導入審査で聞かれることに、
先に答えました。

service-operator

サービスの運営者と問い合わせ先は公開されていますか？

運営者、代表者、連絡先を公開しています。セキュリティや個人情報の問い合わせ先は contact@auth.keiban.net です。

service-providers

主要な外部サービスは何ですか？

認証・データベースにSupabase、ホスティングにVercel、決済にStripe、AI回答生成にOpenAI APIを利用します。

authentication

ユーザー認証はどのように行いますか？

Supabase Authを利用し、メールアドレスとパスワードによる認証、メール確認、パスワードリセットを提供します。

bot-protection

自動登録や認証画面へのBotアクセスを抑止していますか？

Cloudflare Turnstileによる認証確認と、認証ページ・APIへのレート制限を組み合わせています。

invitation

社員招待は期限・重複・座席数を確認しますか？

招待は推測困難なトークンを使用し、有効期限、使用済み、メール一致、重複、契約座席数をサーバー側で確認します。

sso

SAML SSOや企業IdP連携は提供していますか？

現行の公開プランでは提供していません。SSOが必須の企業は導入前にお問い合わせください。

mfa

多要素認証を利用できますか？

現行の公開画面では利用者向け多要素認証を案内していません。必須要件の場合は導入前にお問い合わせください。

admin-visibility

管理者は社員のAI相談本文を閲覧できますか？

閲覧できません。管理者が確認できるのは、利用回数、学習状況、認定証などの活用状況です。

company-context

社員へ会社の機密情報がそのまま配信されますか？

社員のAI相談には、管理者向けの詳細情報をそのまま渡さず、社員が利用できる範囲へ整理した会社文脈をサーバー側で作成します。

openai-processing

AI相談時に外部AIサービスへ何を送信しますか？

回答生成に必要な相談内容と会社文脈をOpenAI APIへ送信します。社員の相談では、共有用に絞った会社情報を利用します。

model-training

OpenAI APIへ送信した情報はモデル学習に利用されますか？

明示的にオプトインしない限り、OpenAI APIへ送信したデータはモデル学習に利用されない前提で運用します。

openai-retention

OpenAI側でデータが保持される可能性はありますか？

不正利用監視のため、OpenAI側で相談内容や回答が最大30日保持される場合があります。

prohibited-input

入力を禁止・制限すべき情報を案内していますか？

個人情報、パスワード、APIキー、秘密鍵、未公開の人事情報、顧客の機密情報、契約上共有できない情報を入力しないよう案内しています。

human-review

AIだけで契約・送信・決裁・実行しますか？

行いません。AIは判断材料、計算、比較、下書きを準備し、外部送信、契約、決裁、実行は人が確認して決めます。

card-data

カード番号をKeiBanのサーバーへ保存しますか？

保存しません。決済はStripeが処理し、KeiBanは契約状態、プラン、Stripe上の識別子など必要な情報だけを扱います。

backup-recovery

バックアップ頻度や復旧目標を公開していますか？

現時点では、契約者向けのバックアップ頻度、RPO、RTOを公開していません。必須要件がある場合は導入前にお問い合わせください。

incident-notification

セキュリティ事故時の連絡窓口と通知SLAはありますか？

連絡窓口は contact@auth.keiban.net です。現時点では、公開されたインシデント通知SLAやステータスページはありません。