実施している対策、引いている境界線、そして責任の分担。このページに載せていない詳細が必要な場合は、セキュリティドキュメントを請求できます。セキュリティチェックシートへの回答は、後回しにせず早い段階で対応します。
現時点で実施している対策と、それを運用する体制。
顧客の個人情報（メールアドレス、氏名、生年月日）は、ディスク上だけでなくアプリケーション層で暗号化されます。データベースにアクセスできただけでは、個人情報を読み取ることはできません。
パスキーとWebAuthnに加えて、ソーシャルログインとワンタイムコードに対応します。設計上フィッシングへの耐性があるのはパスキーとWebAuthnで、残る2方式は該当しません。
コードと依存ライブラリのスキャンは、コードの変更（プルリクエスト）ごとに自動的に実行されます。ペネトレーションテストは、社内のセキュリティチームが定期的に実施します。
AIエージェントは標準でサジェストモード（提案のみ）で動作し、草案や推奨は人の確認を待ちます。自動実行は、業務フロー単位で導入企業が有効にします。
社内のセキュリティチームが、すべての機能モジュールとリリースを通じてこれらの基準に責任を持ちます。適用は自動化されており、すべてのコード変更がチェックされます。
開発はOWASP Top 10を基準とし、検証はOWASP ASVSに照らして行います。
ここに挙げるのは、QORTEXが対応できるよう設計されたフレームワークです。QORTEXが取得している認証ではありません。各フレームワークのもとで生じる義務そのものは、導入企業に残ります。QORTEXが担う範囲は、セクション03に整理しています。
同意記録、利用目的の範囲管理、開示、訂正、削除は、個別開発ではなくプラットフォームの標準機能です。APPI上の義務を満たす責任そのものは、導入企業に残ります。
アーキテクチャ、データフロー、コンプライアンスのドキュメントを英語で用意。グローバル標準のセキュリティ審査やDPOからの照会に対応します。
QORTEXのセキュリティとプライバシー運用は、ISO/IEC 27001認証とプライバシーマークを保持する株式会社 The Plant が担っています。
カード情報は、購入者から決済ゲートウェイ（GMO、DGFT、または既に利用中の事業者）へ直接渡ります。QORTEXが扱うのはゲートウェイから返る情報、つまりトークン、注文ステータス、ポイントの増減だけです。カード会員データをQORTEX内に保持することはありません。
実際のPCI DSSの適用範囲は、連携方式によって変わります。リダイレクト、Webhook、トークンの取り扱いは導入ごとに評価が必要です。QORTEX側の構成については、QORTEXチームが監査人に説明します。
QORTEXが全面的に担う範囲、共同で設定する範囲、そして導入企業に残る範囲。
| 領域 | 担当 | 内容 |
|---|---|---|
| クラウド基盤 | QORTEX | 稼働先のクラウド事業者から継承する、物理・ネットワークの管理。 |
| プラットフォームの稼働と更新 | QORTEX | サービス、依存ライブラリ、脆弱性を継続的に修正。導入企業側の作業は不要です。 |
| データの暗号化 | QORTEX | 通信の暗号化と、顧客の個人情報に対するアプリケーション層での暗号化。 |
| 機能モジュールの設定と業務フロー | 共同 | QORTEXが安全側に寄せた初期設定とテンプレートを提供。ルール、カスタマージャーニー、外部連携は導入企業が調整します。 |
| AIエージェントの権限 | 共同 | サジェストモードを標準として適用。自動実行への切り替えは、業務フロー単位で導入企業が判断します。 |
| アカウント、ロール、権限 | 導入企業 | 誰が何を見て、何をできるか。ロールと権限は機能として提供し、割り当ては導入企業が行います。 |
| 顧客の同意と利用目的 | 導入企業 | 同意の記録と反映はプラットフォームが担います。APPI上の利用目的の特定は、導入企業の義務です。 |
| APIキーと連携用の認証情報 | 導入企業 | 連携先システムの認証情報は導入企業に発行され、管理も導入企業が行います。 |
QORTEX上のコパイロット、エージェント、AIによる提案は、すべて同じ5つのチェックポイントを通ります。
日本語でも英語でも、いま開いている機能モジュールから質問や依頼を投げます。
エージェントはログインユーザーと同じAPIと権限を使います。そのユーザーが読めないものは、エージェントも読めません。
推論はGoogleのGemini Enterprise Agent Platform上、Googleのエンタープライズセキュリティ境界内で実行されます。顧客データがファンデーションモデルの学習に使われることはありません。
エージェントの操作は監査ログに記録され、API経由で書き出せます。
標準はサジェストモード。草案や推奨は人の確認を待ちます。自動実行は、導入企業が切り替えた範囲にだけ存在します。
推論はGoogleのGemini Enterprise Agent Platform（旧Vertex AI）上、Googleのエンタープライズセキュリティ境界内で実行されます。顧客データがファンデーションモデルの学習に使われることはありません。
エージェントはログインユーザーと同じAPIと権限を使うため、そのユーザーが読めないものは読めません。標準はサジェストモードで、エージェントの操作は監査ログに記録されます。
QORTEX AIはオープンなA2Aプロトコル上に構築され、モデル非依存です。基盤となるLLMは、連携を変更することなく差し替えられます。
機能モジュールごとに、保持するデータ、個人情報の度合い、そしてセキュリティ審査で必ず論点になる境界を整理しました。
| 機能モジュール | 個人情報 | 保持データ | 押さえておきたい境界 |
|---|---|---|---|
| カスタマーアイデンティティ | 高 | プロフィール、認証情報、同意記録 | 個人情報の項目はアプリケーション層で暗号化。同意記録もデータと一緒に書き出せます。 |
| 商品情報管理 | なし | 商品データ、属性、メディア | 商品情報のみ。購入者のデータは保持しません。 |
| コンテンツ管理 | なし | ページ、アセット、ブランドルール | コンテンツとデザインシステムのルールのみ。購入者のデータは保持しません。 |
| 受注管理 | 高 | 注文、住所、出荷イベント | 注文が参照するのは決済ゲートウェイのトークンで、カード番号ではありません。 |
| ロイヤルティ | 高 | ポイント残高、会員ランク、利用履歴 | 残高は監査に対応。すべての増減が、記録済みのイベントと照合できます。 |
| マーケティング | 高 | セグメント、ジャーニー、配信と同意の状態 | 配信はチャネルごとの同意に従います。配信停止はプラットフォーム全体に適用されます。 |
顧客データは国内保管が標準。国外での保管は、明示的な依頼があった場合にのみ対応します。
顧客データは日本国内に保管されます。国外に置くのは、明示的な依頼があった場合のみです。
利用目的の範囲管理、開示、訂正、削除は、個別開発ではなくプラットフォームの標準機能です。
プロフィール、同意記録、監査ログは、いつでも公開形式で書き出せます。独自形式もなく、抽出のための追加費用もかかりません。
どちらも、プラットフォームを運用しているチームに直接届きます。
脆弱性の疑いがあれば、メールで報告できます。再現手順と該当するエンドポイントを添えていただければ、QORTEXチームが受領を確認し、修正までの経過を共有します。
security@qortex.com件名: Security report
セキュリティ審査や調達時のチェックシートには対応します。アーキテクチャ、データフロー、コンプライアンスのドキュメントは、日本語または英語で、請求に応じて提供します。
資料を請求するQORTEX の機能とデリバリーモデルの簡潔な概要。チームと共有し、具体的な議論を始めるのに十分な内容です。