導入ご検討中の方へ — セキュリティ・データ取扱いQ&A
セキュリティチェックシートや委託先管理台帳への記入依頼をいただく際に参考にしていただけるよう、事業者情報・データの取扱い・委託先・セキュリティ対策などをQ&A形式でまとめました。個別の項目について追加でご確認されたい場合はお問い合わせください。
1. 事業者情報
- 運営事業者・サービス名を教えてください。
- 事業者はNextCore Consulting 池野 剛史（個人事業主）、サービス名は「監査前診断PRO」です。所在地・電話番号は特定商取引法に基づく表記のとおりで、ご請求いただければ遅滞なく開示します。
- 運営者自身はPマークやISO認証を取得していますか。
- 当方自身はPマーク・ISO27001等の第三者認証を取得していません（個人事業主によるMVPサービスのため）。本サービスはお客様の審査準備を支援するAIツールであり、当方自身の認証取得状況とは別の話である点をご理解ください。
2. サービスの提供体制
- 提供体制やサポート窓口について教えてください。
- 個人事業主による運営で、開発・運用・サポートを1名で行っています（チーム体制・24時間サポート等はありません）。正式なSLA（稼働率保証等）は現時点で設定していません。障害発生時は把握次第、お問い合わせいただいたメールアドレス宛てにご連絡します。サポート窓口はメールフォームのみで、電話・訪問での対応は行っていません。お問い合わせへの回答は原則2営業日以内です。
3. データの取扱い
- どのような情報を取得していますか。
- 会社名・担当者氏名・メールアドレス・電話番号（任意）・お問い合わせ内容、診断のためにアップロードされた文書、URL診断で指定されたページ内容、決済情報（カード番号自体は当方サーバーを経由しません）、IPアドレス（お試し診断はハッシュ化のみ保存）、ログイン用メールアドレス・診断履歴を取得しています。
- アップロードした文書やデータはいつ削除されますか。
- 診断が成功した場合、レポート送付完了後にアップロード文書を直ちに削除します。診断が失敗・未完了の場合は、再診断対応のため受領から最大30日保持し自動削除します（削除3日前・24時間前にメール通知）。診断レポート（指摘内容）は品質確認・お問い合わせ対応のため30日間保存後に削除します。削除後、最大7日以内にバックアップを含め完全に消滅します。無料お試し診断の文書・URL内容は一切保存せず、処理後に即破棄します。
- アップロードした文書はAIの学習に使われますか。
- 使われません。アップロードされた文書・診断結果を、当方または利用するAI基盤がモデルの学習・改善に利用することはありません。Gemini API（有料プラン）を、入力データを学習に利用しない契約条件で利用しています。
4. 委託先・データの越境移転
- 業務委託先や、データの保管・処理が行われる国を教えてください。
- 以下の外部サービスに処理を委託しています。個別のDPA（データ処理契約）の開示が必要な場合は各社の標準契約に基づきご案内可能です（当方独自の追加契約は締結していません）。御社の情報セキュリティ規程で「越境移転の都度個別同意」が必須の場合は、お申込み（利用規約・プライバシーポリシーへの同意）をもって上記委託への同意をいただく運用としています。個別の同意書フォーマットへの署名対応はご相談ください。
| 委託先 | 用途 | 主な所在国 |
|---|---|---|
| Google LLC（Gemini API） | AI診断処理 | 米国 |
| Stripe, Inc. | 決済処理 | 米国 |
| Twilio Inc.（SendGrid） | メール送信 | 米国 |
| Neon, Inc. | データベース（シンガポールリージョン） | 米国・シンガポール |
| Cloudflare, Inc. | ホスティング・ファイル保管・通信 | 米国ほか世界各地 |
5. セキュリティ対策
- 通信・保存データの暗号化やウイルス対策はどうなっていますか。
- 通信はすべてTLSで暗号化しています。保存データはCloudflare R2・Neon PostgreSQLの標準暗号化機能により暗号化されます。ウイルス/マルウェアスキャンは現時点で未実施です（対応準備中）。ご利用端末で最新のウイルス対策ソフトをご利用のうえアップロードいただくようお願いしています。アップロードは対応拡張子（現在はPDFのみ）・ファイルサイズを制限しています。
- 運営者はアップロードした文書の中身を見ることがありますか。
- 運営者は原則としてお客様のアップロードファイルの内容を閲覧しません。障害調査等でやむを得ず閲覧する場合は事前に利用者の明示同意を取得し、閲覧者・目的・日時を記録します（この記録は利用者側で確認可能な設計です）。
6. アクセス制御・認証方式
- ログインの認証方式や二要素認証への対応を教えてください。
- ログイン機能はパスワードを使用しない「メールマジックリンク方式」です（メール宛てに送る一時リンクでログイン。有効期限約30分、使用後失効）。パスワードの保存・漏えいリスクがそもそも発生しない設計です。セッションは署名付きトークンで管理し、HTTPOnly・Secure Cookieで保持します。二要素認証（TOTP等）は現時点で未対応です。
7. 決済・カード情報の取扱い
- クレジットカード情報はどのように扱われますか。
- 決済は決済代行大手Stripe社のシステムで処理しており、クレジットカード番号を当方のサーバーで取得・保持することは一切ありません（PCI DSS準拠はStripe側が担保）。クレジットカードまたは銀行振込に対応しています。
8. 契約・料金・解約
- 契約区分や料金体系、解約条件を教えてください。
- 契約区分は「診断対象文書の所有者」で判定します。自社文書の診断は企業契約、第三者（顧客企業）の文書を診断する場合はコンサル契約です。単発診断は29,800円（税込）の都度払いで、文書アップロード前ならキャンセル・全額返金可、アップロード後（診断開始後）は返金不可です。コンサルプランは月額98,000円（税込）で診断回数無制限（フェアユースあり）、解約は次回請求から停止し日割り返金はありません。適格請求書発行事業者登録番号は2026年7月時点で未取得です（取得後、Stripe発行の領収書に反映されます）。
9. インシデント発生時の対応
- セキュリティインシデントが発生した場合の対応を教えてください。
- セキュリティインシデント・個人情報漏えい等が発生した場合、把握次第速やかに影響のある利用者へメールでご連絡します。個人情報保護委員会への報告等、法令上必要な対応を行います。現時点で専任のセキュリティ担当・CSIRT体制はありません（個人事業主のため）。
10. 事業継続性（BCP）に関する開示
- 運営者に不測の事態があった場合、サービスはどうなりますか。
- 個人事業主による運営のため、運営者本人の病気・事故等による事業停止リスクがあります（法人が持つような代替要員体制はありません）。サービス終了時は事前告知のうえ、未提供の有料診断は全額返金します（利用規約に明記）。この点がお客様の調達基準（BCP要件）に抵触する場合は、個別にご相談ください。
準拠法・免責の要約
- 本サービスはPマーク・ISO等の認証取得・更新・審査通過を保証するものではありません。
- 診断結果はAIによる参考情報であり、最終判断は利用者の責任で行っていただきます。
- 損害賠償責任は、直近の診断1回分の料金を上限とします（当方の故意・重過失を除く）。
- 準拠法は日本法、合意管轄は宮崎地方裁判所です。詳細は利用規約・プライバシーポリシーをご参照ください。