セキュリティとデータ保護

データの保管とサービス構成

チーム会計のユーザー認証、会計データ、PostgreSQLデータベースおよびファイルストレージは、すべてSupabase（基盤はAmazon Web Services、東京リージョン）で管理しています。ユーザーの会計データ、認証データおよびアップロードファイルは日本国内に保管されます。Google Firebaseは、アプリのウェブサイトおよびホームページを表示するためだけに利用しており、これらのデータはFirebase側には保存されません。

利用サービスの第三者認証

チーム会計が利用する基盤事業者は、独立した第三者機関による審査を受けています。

• Supabase：SOC 2 Type II、ISO 27001認証
• Google Firebase：ISO 27001認証、SOC 1・SOC 2・SOC 3評価完了

上記は各事業者が自社のインフラまたは対象サービスについて取得・公表している認証・評価です。認証・評価の対象範囲、適用条件および最新状況は各事業者の公式情報をご確認ください。これらはチーム会計自体が認証を取得していること、またはチーム会計の設定・運用全体が認証されていることを意味するものではありません。

アクセス制御と組織の分離

ログイン状態を確認したうえでサービスを利用できるようにし、組織・メンバー・権限に応じてデータへのアクセスを制御しています。データベースではRow Level Security（RLS）などのアクセス制御を使用し、ある組織のデータが別の組織から参照されないように設計・運用しています。

さらに、Supabase自体も不正アクセスやDDoS攻撃への対策を実施しています。エッジでの通信保護（CDNレベルの保護）はCloudflareによって行われ、これは当ウェブサイトで別途利用しているCloudflareとは異なりSupabaseのインフラ上で実施されています。さらに、インフラ側でも不審なIPアドレスからのアクセスを遮断する仕組みを備えています。

バックアップと復旧

SupabaseによるPostgreSQLデータベースの毎日のバックアップを利用しています。バックアップも保存時にAES-256で暗号化されます。バックアップからの復元が正常に行えることを確認するため、復旧テストも実施しています。バックアップの保持期間や利用可能な復旧機能は、契約中のSupabaseプランおよび同社の仕様に従います。データベースのバックアップと、Supabaseのファイルストレージに保存されたアップロードファイルは別に管理されます。データベースのバックアップだけでは、アップロードファイルそのものは復元されません。

チーム会計からユーザーご自身が出力・ダウンロードしたCSV、PDFその他のファイルは、保存先や暗号化を含め、ユーザーの管理となります。これらのファイルは自動的に暗号化されているとは限りません。外部の場所に保管する場合は、ファイルを暗号化し、暗号化に使用した鍵やパスワードをファイルとは別に管理してください。

利用している主な外部サービス

お客様にもお願いしたいこと

• パスワードを他のサービスと使い回さないこと
• メンバー招待や権限設定を定期的に確認すること
• エクスポートしたファイルを暗号化し、アクセスを制限すること
• 不審なログインや誤送信に気づいた場合は、速やかにご連絡いただくこと

方針の運用と見直し

チーム会計は、社内の情報セキュリティに関する方針・手順に基づき、データの取り扱いに関する方針および本ページの内容を定期的に見直し、必要に応じて更新しています。方針の詳細は情報セキュリティ基本方針をご覧ください。