実施している対策、引いている境界線、そして責任の分担。このページに載せていない詳細が必要な場合は、セキュリティドキュメントを提供します。セキュリティチェックシートへの回答は、後回しにせず早い段階で対応します。
実施している対策と、それを運用する体制。
顧客の個人情報（メールアドレス、氏名、生年月日）は、ディスク上だけでなくアプリケーション層で暗号化されます。データベースにアクセスできただけでは、個人情報を読み取ることはできません。
パスキーとWebAuthnに加えて、ソーシャルログインとワンタイムコードに対応します。設計上フィッシングに強いのはパスキーとWebAuthnで、ソーシャルログインとワンタイムコードは同等ではありません。その違いを曖昧にすることはしません。
コードと依存ライブラリのスキャンは、コードの変更（プルリクエスト）ごとに自動的に実行されます。ペネトレーションテストは、社内のセキュリティチームが定期的に実施します。
AIエージェントは標準で提案モードとして動作し、下書きや推奨は担当者の確認を待ちます。自動実行は、業務フロー単位で導入企業が有効にします。
社内のセキュリティチームが、すべての機能モジュールとリリースについて、OWASPの基準に責任を持ちます。適用は自動化されており、すべてのコード変更がチェックされます。
開発はOWASP Top 10を基準とし、検証はOWASP ASVSに照らして行います。
QORTEXは、グローバル基準にも、日本固有の要件にも対応できるよう設計されています。認証を取得しているわけではありません。基準のもとで生じる義務は導入企業に残り、QORTEXが担う範囲はセクション03に整理しています。
同意記録、利用目的の範囲管理、開示、訂正、削除は、個別開発ではなくプラットフォームの標準機能です。APPI上の義務を満たす責任そのものは、導入企業に残ります。
アーキテクチャ、データフロー、コンプライアンスのドキュメントを用意。本社のセキュリティ審査やDPOからの照会に対応します。
QORTEXのセキュリティとプライバシー運用は、ISO/IEC 27001認証とプライバシーマークを保持する株式会社 The Plant が担っています。
カード情報は、購入者から決済ゲートウェイ（GMO、DGFT、または既に利用中の事業者）へ直接渡ります。QORTEXが扱うのは、ゲートウェイから返るトークン、注文ステータス、ポイントの増減だけです。カード会員データをQORTEX内に保持することはありません。
実際のPCI DSSの適用範囲は、連携方式によって変わります。リダイレクト、Webhook、トークンの取り扱いは導入ごとに評価が必要です。QORTEX側の構成については、QORTEXチームが監査人に説明します。
QORTEXが担う範囲、共同で設定する範囲、そして導入企業の範囲。
| 領域 | 担当 | 内容 |
|---|---|---|
| クラウド基盤 | QORTEX | 稼働先のクラウド事業者から継承する、物理・ネットワークの管理。 |
| プラットフォームの稼働と更新 | QORTEX | サービス、依存ライブラリ、脆弱性を継続的に修正。導入企業側の作業は不要です。 |
| データの暗号化 | QORTEX | 通信の暗号化と、顧客の個人情報に対するアプリケーション層での暗号化。 |
| 機能モジュールの設定と業務フロー | 共同 | QORTEXが安全側に寄せた初期設定とテンプレートを提供。ルール、カスタマージャーニー、外部連携は導入企業が調整します。 |
| AIエージェントの裁量範囲 | 共同 | 提案モードを標準として適用。自動実行への切り替えは、業務フロー単位で導入企業が判断します。 |
| ユーザーアカウント、役割、権限 | 導入企業 | 役割と権限の仕組みはQORTEXが用意します。誰に何を許可するかは、導入企業が決めます。 |
| 顧客の同意と利用目的 | 導入企業 | 同意の記録と反映はプラットフォームが担います。APPI上の利用目的の特定は、導入企業の義務です。 |
| APIキーと連携用の認証情報 | 導入企業 | 連携先システムの認証情報は導入企業に発行され、管理も導入企業が行います。 |
QORTEX上のAIアシスタント、エージェント、AIによる提案は、すべて以下の5つのチェックポイントを必ず通ります。
日本語でも英語でも、いま開いている機能モジュールから質問や依頼をします。
エージェントはログインユーザーと同じAPIと権限を使います。そのユーザーが読めないものは、エージェントも読めません。
推論はGoogleのGemini Enterprise Agent Platform上、Googleのエンタープライズセキュリティ境界内で実行されます。顧客データがファンデーションモデルの学習に使われることはありません。
エージェントの操作は監査ログに記録され、API経由で書き出せます。
標準は提案モード。下書きや推奨は担当者の確認を待ちます。自動実行は、導入企業が切り替えた範囲にだけ存在します。
推論はGoogleのGemini Enterprise Agent Platform（旧Vertex AI）上、Googleのエンタープライズセキュリティ境界内で実行されます。顧客データがファンデーションモデルの学習に使われることはありません。
エージェントはログインユーザーと同じAPIと権限を使うため、そのユーザーが読めないものは読めません。標準は提案モードで、エージェントの操作は監査ログに記録されます。
QORTEX AIはオープンなA2Aプロトコル上に構築され、モデル非依存です。基盤となるLLMは、連携を変更することなく差し替えられます。
機能モジュールごとに、保持するデータや個人情報の度合いなど、セキュリティ審査で必要になる情報をまとめました。
| 機能モジュール | 個人情報 | 保持データ | 押さえておきたい点 |
|---|---|---|---|
| 顧客ID・認証管理 | 高 | プロフィール、認証情報、同意記録 | 個人情報の項目はアプリケーション層で暗号化。同意記録もデータと一緒に書き出せます。 |
| 商品情報管理 | なし | 商品データ、属性、メディア | 商品情報のみ。購入者のデータは保持しません。 |
| コンテンツ管理 | なし | ページ、アセット、ブランドルール | コンテンツとデザインシステムのルールのみ。購入者のデータは保持しません。 |
| 受注管理 | 高 | 注文、住所、出荷イベント | 注文が参照するのは決済ゲートウェイのトークンで、カード番号ではありません。 |
| ロイヤルティ | 高 | ポイント残高、会員ランク、利用履歴 | 残高は監査に対応。すべての増減が、記録済みのイベントと照合できます。 |
| マーケティングオートメーション | 高 | セグメント、カスタマージャーニー、配信と同意の状態 | 配信はチャネルごとの同意に従います。配信停止はプラットフォーム全体に適用されます。 |
顧客データは国内保管が標準。国外での保管は、明示的な依頼があった場合にのみ対応します。
顧客データは日本国内に保管されます。国外に置くのは、明示的な依頼があった場合のみです。
利用目的の範囲管理、開示、訂正、削除は、個別開発ではなくプラットフォームの標準機能です。
プロフィール、同意記録、監査ログは、いつでもオープンな形式で書き出せます。独自形式もなく、抽出のための追加費用もかかりません。
どちらも、プラットフォームを運用しているチームに直接届きます。
脆弱性の疑いがあれば、メールで報告できます。再現手順と該当するエンドポイントを添えていただければ、QORTEXチームが受領を確認し、修正までの経過を共有します。
security@qortex.com件名: Security report
セキュリティ審査や調達時のチェックシートには対応します。アーキテクチャ、データフロー、コンプライアンスのドキュメントは、日本語または英語で、請求に応じて提供します。
資料を請求するQORTEX の機能とデリバリーモデルの簡潔な概要。チームと共有し、具体的な議論を始めるのに十分な内容です。