セキュリティは私たちのものづくりの中核です。このページは、マーケティング用の チェックリストではなく、現時点で私たちのアーキテクチャと運用について実際に 事実であることを記載しています。まだ完了していないこと（正式な監査、認証など） については、そうでないかのようにほのめかすのではなく、率直にそう述べます。
医療と HIPAA
現時点では、Divinci の製品は保護対象保健情報（PHI）の取り扱いについて承認されていません。 Divinci プラットフォームを対象とする Business Associate Agreement（事業提携契約）はなく、PHI を入力しないでください。
医療向けには、別個の提供形態を準備しています。専用のチャットランタイムを独自の Google Cloud プロジェクトでホストし、Divinci プラットフォームの他の部分から切り離して運用します。会話の記録（トランスクリプト）を保存しない設計です。Business Associate Agreement はまだ締結していません。
これが意味しないこと： HIPAA コンプライアンスの認証ではありません。政府が発行する HIPAA 認証は存在せず、当社は HIPAA に準拠していると主張しません。コンプライアンスは、技術的な保護措置、文書化されたポリシー、そしてデータ経路上のすべてのベンダーとの間で締結された Business Associate Agreement の組み合わせであり、お客様との関係ごとに評価されます。当社は文書化したポリシーを採択しましたが、法務レビューの途中です。状況が変わった際は、このページでお知らせします。
データ保護
暗号化
- 転送中：クライアント、当社のエッジ、オリジンインフラの間はすべて TLS で 保護しています。
- 保存時：主要データストアとオブジェクトストレージにおけるプロバイダー レベルの暗号化に加え、指定された機微フィールド向けの専用フィールドレベル 暗号化レイヤーを備えています。
- シークレット管理：認証情報や API キーは、ハードコードや平文の設定ファイル への保存ではなく、集中管理型のシークレットマネージャーを通じて管理しています。 本番環境は、シークレットサービスに到達できない場合に古い認証情報へ黙って フォールバックするのではなく、フェイルクローズするよう構成されています。
データ最小化
- チャット内容を保存または AI プロバイダーに送信する前に、任意で PII のマスキング（Microsoft Presidio）を適用できます。これはエンティティの検出であり、HIPAA における非識別化の判定ではなく、製品を PHI に対して安全にするものではありません。
- ログはポリシーとしてメタデータのみです。メッセージ本文、メールアドレス、 その他の個人データを、アプリケーションログやエラーメッセージに書き込むことは ありません。
アクセス制御
- 認証は Auth0 を利用しています。
- ロールベースアクセス制御（プラットフォームレベル）に加え、 リソース単位の権限（ドキュメント／ワークスペースレベル）を備え、 既定で最小権限の原則を適用しています。
- 改ざん検知可能な監査ログ：機密性の高いレコードへのアクセスは、ハッシュで連鎖したログに記録されます。後からエントリを気づかれずに書き換えられないよう設計されています。
- 本番サービスに対する四半期ごとのアクセスおよび構成レビュー。
アプリケーションセキュリティ
- レンダリング境界での XSS 防御：ユーザー生成コンテンツおよび AI 生成 コンテンツは、HTML としてレンダリングされる箇所すべてでサニタイズ （DOMPurify）されます。信頼できないソースからの生 HTML の挿入は 許可されていません。
- 認可テスト：当社は、認証済みの認可／IDOR 検査を含む、AI 支援および手動の セキュリティテストをステージングおよび本番環境に対して自社で実施しています。 これは（今のところ）継続的な第三者ペネトレーションテストのプログラムでは ありません。そして、実際に存在するようになるまで、そのようなものがあると 主張するつもりもありません。
- 依存関係とコードレビュー：すべての変更に対して標準的なコードレビューを 実施し、依存関係の更新は通常のビルドツールを通じて追跡しています。
可用性と監視
- **合成監視（シンセティックモニタリング）**を顧客向けエンドポイントに対して 実施しています。サーバーエラーのみを対象とするのではなく、実際の障害発生から 数分以内に PagerDuty でオンコール担当へ通知します。単に「200 が返ったか」 ではなく、内容まで検証するチェックです。
- マルチリージョン構成のインフラ（Cloudflare のエッジ＋Google Cloud の オリジン）と、主要データストアの自動バックアップ。
- 契約上の稼働率 SLA は現時点では公開していません。お客様のユースケースで 必要な場合はご相談ください。そのデプロイにとって現実的な水準を一緒に 検討できます。
インシデント対応
当社は、文書化されたインシデント対応プロセスを運用しています。検知と分類、 封じ込め、そのインシデントが報告義務のある侵害に該当するかどうかの誠実な評価、 是正、そして次に何を監視すべきかへとフィードバックされる非難を伴わない ポストモーテムです。当社と事業提携者契約（BAA）を締結しているお客様については、 当社の通知義務はその契約に定められています。このページではなく、その契約条項が 適用されます。
セキュリティ上の懸念や脆弱性の疑いを報告するには、security@divinci.ai まで メールをお送りください。現時点では正式なバグバウンティプログラムは実施して いません。ただし、報告は真摯に受け止め、誠意をもって対応いたします。
正式な認証取得の現状
多くのセキュリティページがそうしていないため、この点については率直に記します。
- HIPAA：HIPAA の認証は取得しておらず、準拠しているとも主張しません。上記の「医療と HIPAA」をご覧ください。
- SOC 2：まだ着手していません。ロードマップには入っており、実際に報告できる ことが出てきた時点でこのページを更新します。それより前に更新することはありません。
- ISO 27001、FedRAMP、PCI DSS：これらの認証は取得していません。カード決済は Stripe を通じて処理されており、Divinci がカード保有者データを直接保存する ことはありません。
私たちは、過大に主張して後から撤回することになるよりも、控えめに述べて 信頼していただくほうを選びます。
お問い合わせ
セキュリティに関するご質問、脆弱性のご報告、個別の商談におけるコンプライアンスの ご確認：security@divinci.ai