セキュリティとプライバシーへの取り組み

• すべてのページ・APIは HTTPS で暗号化しています。HTTP でのアクセスは自動的に HTTPS へ転送されます（HSTS を有効化）。

• データベースの全テーブルで行単位のアクセス制御（Row Level Security）を有効にしており、会員のお客様がアクセスできるのはご自身の情報と、ご自身向けに承認済みのレポートに限られます。
• 管理者・提携事業者・会員の権限は、お客様側で変更できない認証情報に基づいてサーバー側で判定しています。
• 計測データやレポートの個別ページは、推測困難な期限つきの URL でのみ閲覧でき、検索エンジンに登録されない設定にしています。

• 会員登録時にメールアドレスの確認を行います。イベントでのチェックインには一回限りの認証リンクを使用しています。
• パスワードは業界標準のハッシュ方式（bcrypt）で保管しており、運営者を含め誰も元のパスワードを閲覧できません。
• Google アカウントでのログインは、標準的な認可方式（OAuth 2.0 / PKCE）で行います。

• クレジットカード情報は、決済代行サービス（STORES、Stripe）が直接お預かりし、ZONE のサーバーには保存されません。

• 管理者による重要なデータの変更は監査ログに記録され、限られた権限者のみが閲覧できます。
• 計測へのご同意は、同意の種別・文面・版とともに記録し、後から確認できるようにしています。
• 削除依頼をいただいたデータは、システム上でただちにアクセス対象外となります。

• 認証情報や暗号鍵はソースコードに含めず、サーバー側の環境変数で管理しています。
• 利用しているフレームワークやライブラリの脆弱性情報を確認し、更新を行っています。
• データベースのセキュリティ診断ツールの指摘を定期的に確認しています。

• フォーム送信への自動アクセス対策（レート制限）の導入
• コンテンツセキュリティポリシー（CSP）の導入

セキュリティ上の懸念や脆弱性の報告は contact@zonebrain.co.jp までご連絡ください。内容を確認のうえ、必要な対応を行います。