セキュリティとデータ取扱い

• Amazon Selling Partner API の接続情報（アクセストークン等）は、保存時にAES-256-GCMで暗号化しています。復号の鍵はアプリケーションの実行環境で管理し、データベースの内容だけでは復号できないようにしています。
• 接続情報は、Amazonへのリクエストを行う業務処理からのみ復号して参照します。保存した接続情報を管理画面に表示することはありません。
• Amazonのログインパスワードは取得しません。接続はお客様自身の認可（OAuth）によって行います。
• 当社の担当者が、お客様のSeller Centralにユーザーとして直接ログインして操作する方式ではありません。
• 接続の解除はお客様の操作で行えます。

• Amazonへ申請・使用する権限（ロール）は、提供する機能に必要な範囲に限定します。
• 購入者の個人情報は、自己出荷注文の出荷業務に必要な範囲でのみ取り扱います。
• 自己出荷（MFN）の配送先情報は、対象注文をSmologiの出荷依頼へ変換し、倉庫から出荷する目的に限定して使用します。

• 会社単位でデータを分離し、契約している会社のデータのみを表示します。
• 利用者ごとに画面・機能単位の権限を設定できます。権限と契約状態は Smologi Portal で管理します。
• 当社の運用担当者による本番環境へのアクセスは、業務上必要な場合に限定します。
• 購入者の個人情報を扱うサーバー間の処理は、どの処理がどのデータを参照したかを記録しています。

• 出荷用CSV、配送ラベルPDFなど、個人情報を含む生成ファイルは、URLを知っていれば誰でも取得できる公開ストレージには置きません。非公開のストレージに保存します。
• ファイルの配信は、認証済みで、かつ対象データの閲覧権限を持つ利用者に対してのみ行います。
• 生成したファイルは保持期間を過ぎると自動的に削除します（配送箱ラベルは14日、その他の帳票類は3日）。

• 購入者の配送先情報（氏名、電話番号、住所）は、対象注文の出荷完了またはキャンセルから30日が経過した後、日次の自動処理で削除します。
• 注文番号、商品、数量、金額など購入者個人を特定しない業務記録は、販売実績の集計と会計処理のために引き続き保存し、法令上の保存義務に従います。
• Amazonの接続情報は、接続の解除時または契約終了時に削除します。
• 保持期間と削除の詳細はプライバシーポリシーの「保持期間と削除」に記載しています。

• 通信は暗号化された経路（HTTPS）で行います。
• アプリケーションとデータベースは、事業者が管理するクラウド基盤上で稼働します。
• バックアップおよび障害対応は、利用しているクラウド事業者の機能とあわせて運用します。

• 操作履歴と外部連携の実行結果・エラーを記録します。
• 連携の失敗や異常はログとして残し、原因調査と復旧に使用します。
• ログは不正利用の調査、障害対応、品質改善の目的で参照します。
• 購入者の個人情報への参照は監査目的の記録として残し、想定外の参照がないか確認できるようにしています。

• 利用している外部ライブラリの脆弱性情報を自動で監視し、更新の通知を受け取る仕組みを設定しています。
• 報告された脆弱性は影響範囲と深刻度を確認し、重大なものから優先して修正します。
• 修正はテストを通したうえで本番環境へ反映します。

• Amazonから取得したデータは、お客様への本サービス提供の目的にのみ利用します。
• Amazonの適正利用規約およびデータ保護ポリシーに沿って運用します。
• データの利用目的、保持、共有、削除の詳細はプライバシーポリシーに記載しています。

現時点で、当社は本サービスに関する第三者のセキュリティ認証を取得していません。取得状況に変更があった場合は本ページを更新します。実施している管理策のみを記載しています。

本サービスに関する脆弱性やセキュリティ上の懸念にお気づきの場合は、次のメールアドレスへご連絡ください。内容を確認し、必要な対応を行います。

support@smologi.com

その他のお問い合わせはお問い合わせページをご覧ください。