オムニトワークス-P

セキュリティの取り組み

オムニトワークス-Pは、お店とお客様の情報を預かるサービスです。必要な情報だけを持ち、守り、毎日見張り、誰が何をしたかを記録します。ここでは、実際に動いている仕組みだけを書いています。

データの保管と暗号化

データは、Google Cloudの東京リージョンに保管します。
通信はHTTPSで暗号化します。データベースへの接続も、暗号化したものしか受けません。保存したデータは、Google Cloudが暗号化します。
LINE・Google・Chatwork・Twilioなどとつなぐための鍵は、会社と用途ごとに分けて暗号化して保存し、画面やログには出しません。
サービスが使う秘密の値は、専用の保管庫（Google Cloud Secret Manager）に置き、読み取りを記録しています。プログラムの中には置きません。
アプリが使うデータベースのユーザーは、必要な権限だけに絞っています。操作の記録は、足すことと読むことしかできません。

ログインとアカウント

ログインは毎回2段階です。パスワードのあと、メールに届く確認コードで本人を確かめます。
新規登録のときは、携帯電話のSMSでも確かめます。1つの電話番号で作れるアカウントは1つです。電話番号そのものは保存せず、元に戻せない形（ハッシュ）だけを持ちます。
パスワードや確認コードを試せる回数を絞っています。確認コードの誤りが続いたときは、ログインを止めて本人に知らせます。
予約ページ・お問い合わせフォーム・Webサイトの窓など、ログインなしで使うページには、ボット対策（Cloudflare Turnstile）を入れています。
パスワードを変えると、それまでのログインと、AIのアプリへの許可を取り消します。

操作の記録（証跡）

管理画面のログインからログアウトまでの更新（設定や登録の変更、配信、権限の変更など）と、お客様の受付（予約、フォームの送信、チェックイン、会話や通話の開始）を、日時・操作した人・入口・IPアドレス・端末と一緒に記録します。ログインの失敗や、権限がなくて断られた操作も記録します。
管理者は、管理画面の「操作の記録」で自分の会社の分を確かめ、CSVで書き出せます。
記録は書き換えも削除もできない形で保存し、3か月たつと自動で消します。長く残したいときは、CSVで書き出してください。
入力した内容そのもの（お名前や連絡先など）は、記録に入れません。

AIの安全な使い方

お客様の発言や資料の中の文は、AIへの命令としては扱いません。
価格・在庫・予約の空きは、AIに作らせません。登録した表と資料から答え、わからないことは担当者に回します。
お客様に答えるAIが読むのは、お客様に見せてよいと決めた資料と表の列だけです。
AIの回答を作るため、質問と必要な資料の一部をOpenAIのAPIへ送ります（米国）。どの情報をどこへ送るかは、プライバシーポリシーに書いています。

脆弱性への対応

当社のプログラムは、公開の前に点検しています。機能を足すときも、同じ点検をします。サーバーやライブラリの脆弱性は、毎日自動で見つけ、修正版が公開されたら速やかに適用します。

公開の前に毎回、サービスのイメージをTrivy（Aqua Security）で検査し、重大な脆弱性があれば公開しません。
毎朝、動いているサービスを同じ基準で検査し直します。見つかったら担当者に知らせが届きます。
使っている部品は、GitHub Dependabotで見張り、修正版が出たら更新を作ります。
公開されたばかりの部品の版は、すぐには取り込まず、数日待ってから使います（乗っ取られた部品が出回る被害を避けるため）。脆弱性の修正版は待たずに取り込みます。
毎朝、AI（Claude Code）が部品の点検を行い、修正が要るときは修正の準備をして担当者に知らせます。公開は担当者が確かめてから行います。

見張りとバックアップ

5分ごとに、アジア・米国・欧州の3か所からサービスが動いているかを確かめ、止まったときやエラーが増えたときは、すぐ担当者に知らせが届きます。
データベースは毎日バックアップを取り、7日以内の好きな時刻へ戻せます。戻す訓練もしています。

お支払い

お支払いはStripeで行います。カードの番号は当社のサーバーに届かず、保存もしません。

保存の期間

お客様との会話（LINE・Webサイトの窓）：12か月で自動で消します。
操作の記録：3か月で自動で消します。
そのほかの情報の扱いは、プライバシーポリシーをご覧ください。

ご連絡

脆弱性や不審な動きにお気づきのときは、お問い合わせフォームから株式会社オムニトまでご連絡ください。

2026年11月10日公開