セキュリティ

最終更新日：2026年9月29日

Point11は、お客様のデータのセキュリティとプライバシーの保護に取り組んでいます。このページでは、当社がそのデータをどのように分離、保護、監視しているか、そしてコンプライアンスへの対応状況について説明します。

顧客データの分離

  • お客様ごとのデータは、データベース自体の内部で分離して保持されています。顧客データを保持するすべてのテーブルでPostgresの行レベルセキュリティを有効化・強制しており、アプリケーションはこれを回避できないデータベースロールを通じて接続します。
  • お客様のワークスペースを特定しないリクエストには、データベースが応答せず、拒否します。
  • これらの分離ルールは、自動テストで検証しています。

Infrastructure

Point11プラットフォームはVercel上でホストし、マネージドPostgres（Neon）とRedis（Upstash）を使用しています。お客様が自社の認証情報を設定した場合、AIモデルの呼び出しを当該お客様のAmazon Bedrock、Microsoft Azure、またはGoogle Vertex AIのアカウントで実行できます。

  • すべての接続でTLS 1.2以上を使用し、転送中のデータを暗号化
  • HTTP Strict Transport Securityにより、ブラウザでHTTPSを強制
  • データベース接続には、完全な証明書検証を伴うTLSが必須
  • 保存時のデータをAES-256または同等の方式で暗号化
  • お客様が提供するモデルプロバイダーの認証情報は、Point11がさらにAES-256-GCMで暗号化し、当該お客様のワークスペースに紐付け
  • ネットワークエッジにおけるプラットフォームレベルのDDoS対策

アクセス制御

  • サインインとシングルサインオンは、当社のIDプロバイダーであるWorkOSが処理し、パスキー、認証アプリ、またはテキストメッセージによる任意の2段階認証（組織で必須にすることも可能）と、ハッシュ値としてのみ保存する1回限り使用可能なリカバリーコードに対応
  • 最小権限の原則に基づくロールベースのアクセス制御
  • APIキーは一度だけ表示し、ハッシュ値としてのみ保存したうえで、単一のワークスペースに範囲を限定し、1年以内に失効するよう設定
  • 本番システムへのアクセスを認可された担当者に限定
  • Point11スタッフのアクセス権は会社のアカウントにのみ付与し、すべての付与、変更、削除を監査ログに記録
  • お客様のワークスペースへのサポートアクセスは、理由の記録を必須とし、期間を限定し、開始時と終了時にログに記録。毎回通知を受けるか、事前に承認するかは、各お客様が選択可能

監視とログ記録

  • サインイン、2段階認証の変更、ロールの変更、APIキーの変更、スタッフによるアクセスなど、セキュリティに関わる操作を、データベースが編集や削除から保護する追記専用の監査ログに記録し、少なくとも1年間保持
  • 重要な顧客向け経路を5分ごとに検証する合成テストを含む、自動ヘルスチェック
  • 運用上のインシデントを、検知から文書化された解決まで追跡

セキュアな開発

  • すべての本番リリースは、型チェック、リント、ユニットテストと統合テスト、データベーススキーマの検証を含む自動チェックを通過
  • データベースの変更はリリース前にレビューし、適用済みのマイグレーション履歴は変更不可
  • 当社ソフトウェアの依存関係に含まれる既知の脆弱性の自動アラート
  • コードリポジトリへのコミットとプッシュに対するシークレットの自動スキャン
  • サードパーティパッケージの新しいバージョンは、インストール可能になるまで3日間の待機期間を設け、侵害されたリリースにさらされるリスクを抑制
  • プライベートまたは内部ネットワークのアドレスに対するプラットフォームからのリクエストを阻止する、サーバー側の保護機能

データの取り扱い

Point11は、自社のAIモデルの学習に顧客データを使用しません。Metaは、Point11 Analyticsの多くの機能を実行するMuse Sparkモデルの入力と出力を、Metaの規約に基づき自社モデルの改善に使用する場合があります。対象となる機能とデータは、当社のプライバシーポリシーに記載しています。Vercel AI Gatewayを経由するその他の言語モデルおよび画像モデルの呼び出しについては、送信されたデータで学習を行わないプロバイダーのみを使用するよう、Gatewayに求めています。

顧客データは、サービスの提供と法的義務の履行に必要な期間、保持します。アカウントの閉鎖時に何が削除され、何が保持されるかは、当社のプライバシーポリシーで説明しています。お客様は書面で削除を請求できます。

顧客データを処理するサービスプロバイダーと、各社が受け取るデータは、当社のプライバシーポリシーに記載しています。

Point11が決済カード情報を直接処理・保存することはありません。決済処理はPCI DSS認証を取得した決済事業者（Stripe）が行います。HIPAAの要件やその他のコンプライアンス上のご要望については、legal@point11.aiにお問い合わせください。

インシデント対応と復旧

  • 顧客データに影響する確認済みのセキュリティインシデントは、不当に遅滞することなく、当社が認識してから72時間以内に、影響を受けるワークスペースのオーナーと管理者にメールで通知
  • 確認されたインシデントに対する事後検証と是正
  • 当社のデータベースプロバイダーであるNeonによる、マネージドデータベースのバックアップとポイントインタイムリカバリ

コンプライアンス

Point11は、SOC 2レポートもISO 27001認証もまだ取得していません。当社のホスティングおよびデータベースのプロバイダーであるVercelとNeonは、Point11が稼働するインフラストラクチャーについてSOC 2 Type 2レポートを維持していますが、これらのレポートはPoint11自体のアプリケーションを対象としていません。

セキュリティ上の問題の報告

Point11のアカウントやデータに影響するセキュリティインシデントの疑い（予期しないアクティビティ、APIキーの漏えい、不正アクセスの疑いなど）は、security@point11.aiまでメールでご報告ください。Point11のプラットフォームにおけるセキュリティ上の脆弱性も同じアドレスにご報告ください。対象範囲、セーフハーバー、報告手順は、脆弱性開示ポリシーをご覧ください。

セキュリティレビュー

Point11をベンダーとして評価されていますか？当社はセキュリティに関する質問票への回答に対応しており、これらの取り組みを貴社のチームに詳しくご説明することもできます。legal@point11.aiまたは担当者にお問い合わせください。

クラウドプロバイダー経由での購入をご希望ですか？Point11 AnalyticsはAWS Marketplace、Microsoft Marketplaceでご利用いただけます。