セキュリティについて

各代理店のデータは、アプリケーションだけでなくデータベース自体（PostgreSQL Row Level Security）でも分離しています。アプリケーションに不具合があった場合でも、データベースが他の代理店のデータへのアクセスを遮断します。

代表者・業務管理責任者・拠点長・募集人の4段階の権限を用意し、拠点長は自拠点のデータのみ、募集人は自分の担当データのみ閲覧できるよう制御しています。

メールによるワンタイムパスワード方式の二要素認証に対応しています。代理店単位で全員への必須化も設定できます。

意向確認書の承認・差戻し、権限の変更などの重要な操作は、誰が・いつ・何を行ったかをすべて記録しています。事後の検証や監査対応にご利用いただけます。

ログイン・二要素認証コード・パスワード再設定・アカウント登録のすべてに試行回数制限を設け、総当たり攻撃を防いでいます。パスワードは8文字以上で英字と数字の組み合わせを必須とし、すべての入力はサーバー側で厳格に検証しています。

ブラウザとサーバー間の通信はすべてTLSで暗号化されています。データは国内外で実績のあるクラウドデータベース基盤(Supabase/PostgreSQL)に保存され、定期的なバックアップが行われています。

データの一括エクスポートや権限変更などの重要な操作は運営者へ即時に通知され、認証まわりの異常な試行は日次で自動監視しています。万一の事故に備え、個人情報保護法の報告義務(委託元である代理店さまへの第一報を含む)を組み込んだインシデント対応手順を整備しています。

すべてのページにContent Security Policyをはじめとするセキュリティヘッダーを適用し、クリックジャッキングやスクリプト注入など、ブラウザを介した攻撃を多層的に防いでいます。