Security & Shared Responsibility

セキュリティと責任分担

Revenue CRMの安全は、当社が守る部分と、お客様に管理していただく部分の両方で成り立っています。その分担と、脆弱性を見つけたときの報告の方法を、2026年10月時点の内容でまとめています。

Shared Responsibility

責任分担

領域	当社（Consilegy）	お客様
基盤（実行環境・データベース）	Vercel（実行環境）とSupabase（データベース・ファイル）を使い、いずれも日本（東京リージョン）に置いています。基盤事業者の選定と、契約・設定の管理を行います。	—
アプリケーションのセキュリティ	Revenue CRMの設計・開発・修正、認証と権限の仕組み、依存するソフトウェアの更新を行います。	利用者に付ける役割（オーナー・管理者・メンバー）と、データの種類ごとの権限・見える範囲の設定。
会社ごとのデータの隔離	データベースの行単位のアクセス制御で、会社（ワークスペース）ごとにデータを隔離します。	—
暗号化	通信はすべてTLSで暗号化し、HTTPでの接続はHTTPSに切り替えます。保存したデータは基盤（Supabase）の機能で暗号化されています。	書き出したCSVなど、Revenue CRMの外に持ち出したデータの管理。
利用者のアカウントと多要素認証	メールアドレスとパスワード、またはGoogleアカウントでのログインと、認証アプリを使った多要素認証の仕組みを提供します。多要素認証を登録した利用者は、認証を済ませないと画面に入れません。管理者が多要素認証を解除した記録は、監査ログに残ります。	利用者の追加と削除（退職した人のアカウントを速やかに無効にすることを含みます）、パスワードと認証情報の管理、多要素認証の登録。不正な利用に気づいたときは、すぐに当社へ連絡してください。
登録したデータの中身	利用規約で定めた目的の範囲でのみ取り扱います。入力されたデータをAIの学習に使うことはありません。	登録するデータの中身と、その取得が適法であること。ご本人への利用目的の通知・公表。
外部サービスとの連携	連携の仕組み（Gmail、Googleカレンダー、Zoom、LINE公式アカウント、APIキーなど）を提供します。当社が使う外部委託先は、利用規約の外部委託先一覧に載せています。	連携するかどうかの判断と、連携先のサービスとの契約・設定・認証情報の管理。お客様が接続した連携先との関係は、お客様の責任になります。
バックアップ	データベースを毎日自動でバックアップし、直近7日分を保持します。添付ファイルも毎日複製しています。	重要なデータの手元での控え（設定画面からCSVで書き出せます）。
事故の通知	お預かりした個人情報の漏えい等を知ったときは、利用規約のとおり速やかに、遅くとも3営業日以内に契約者へ通知し、個人情報保護委員会への報告とご本人への通知に協力します。	個人情報保護委員会への報告とご本人への通知（お客様が個人情報の取扱事業者として行うもの）。

分担の根拠はRevenue CRM利用規約です。対策の詳しい内容はセキュリティへの取り組みをご覧ください。

Vulnerability Disclosure

脆弱性の報告

Revenue CRMや当社のウェブサイトに脆弱性を見つけた場合は、次の方法でお知らせください。

報告の方法

[email protected] 宛てに、件名を「脆弱性の報告」としてメールでお送りください。次の内容があると、早く確かめられます。

対象のURLや機能
再現の手順
想定される影響
ご連絡先（匿名でも受け付けます）

対象

Revenue CRM（crm.consilegy.com）
当社のウェブサイト（consilegy.com）

次のものは対象外です。

サービスを止める攻撃（DoS攻撃）や、大量のリクエストの送信
当社やお客様の従業員をだます行為（ソーシャルエンジニアリング）、物理的な侵入
当社が使う外部サービス（Vercel、Supabaseなど）そのものの脆弱性。各社の窓口へ報告してください

調べるときのお願い

ご自身で作ったアカウントとワークスペースだけを使ってください。
他のお客様のデータに触れた場合は、それ以上見たり保存したりせず、すぐにご連絡ください。
データの変更・削除や、サービスの提供を妨げることはしないでください。
当社が修正を終えるまで、内容を公表しないでください。公表の時期はご相談のうえ決めます。

報告者の保護（セーフハーバー）

このページに沿って誠実に調べ、報告していただいた場合、当社はその行為について法的な措置を取りません。また、この方針に沿った調査については、Revenue CRM利用規約第6条第4号に定める当社の書面による事前の承諾を、このページをもって与えたものとします。

当社の対応

報告を受け取ったことを、3営業日以内にお知らせします。
内容を確かめ、深刻度に応じて修正し、進み具合をお知らせします。
ご希望があれば、修正後にお名前を掲載して感謝をお伝えします。報奨金の制度はありません。

Government Requests

捜査機関などからの開示の求め

捜査機関などからお客様のデータの開示を求められた場合は、法令に基づく正式な手続き（令状など）であることを確かめてから応じます。任意の求めには、原則として応じません。
開示する範囲は、求められたものに必要な最小限にとどめます。
法令で禁じられている場合を除き、開示の前に契約者へお知らせします。
求めを受けたことと対応の内容は、社内で記録します。