セキュリティポリシー

セキュリティポリシー

最終更新日: 2026年7月11日

1. 概要

PingRoamは、業界標準のセキュリティ慣行を通じてお客様のデータ保護に取り組んでいます。本ポリシーは、当社のウェブサイト、API、モバイルアプリを通じて処理される情報を保護するために使用する技術的および組織的措置について説明します。

2. 暗号化

  • 転送中: すべての接続はTLS 1.2+（HTTPS）を使用します。
  • 保存時: データベース認証情報とシークレットは安全な環境変数に保存されます。決済カードデータはPingRoamサーバーに保存されません — Whopが決済データを直接処理します。
  • 認証: Firebase Authは、すべてのAPIリクエストで検証される短命のIDトークンを発行します。

3. アクセス制御

  • 本番データベースへのアクセスは、許可された担当者に限定されています。
  • 管理パネルへのアクセスは、ホワイトリストに登録された管理者メールアドレスに限定されています。
  • APIルートは、ユーザーデータ、サポートチケット、プライバシーリクエストに対して認証と所有権チェック（IDOR保護）を適用します。

4. インフラストラクチャセキュリティ

  • APIレート制限（IPあたり100リクエスト/分）。
  • WhopおよびeSIM AccessのWebhook署名検証。
  • クライアント応答に機密データを公開しない構造化エラーロギング。

5. モバイルアプリケーションセキュリティ

  • 認証トークンはFirebase SDKによって管理され、機密トークンはAsyncStorageに保存されません。
  • プッシュ通知トークン（FCM）はサーバー側に保存され、通知を無効にするかアカウントを削除すると削除されます。

6. インシデント対応

内部インシデント対応手順を維持しています。個人データに影響するセキュリティインシデントを特定した場合、以下を行います：

  1. インシデントを迅速に封じ込め、調査します。
  2. GDPRで要求される場合、72時間以内に影響を受けたユーザーと関連監督当局に通知します。
  3. 修復手順を文書化し、必要に応じてコントロールを更新します。

7. 脆弱性報告

セキュリティの脆弱性を発見した場合、件名 Security Report で [email protected] に責任を持って報告してください。合理的な対応機会を得る前に、脆弱性を公に開示しないでください。

8. お問い合わせ

セキュリティに関するお問い合わせ: [email protected]