株式会社ProAI セキュリティポリシー
- 基本方針
株式会社ProAI(以下「当社」)は、AI技術を活用した製品・サービスの提供にあたり、お客様の情報資産の保護を経営上の最重要課題の一つと位置づけています。当社は、関連法令および業界ガイドラインを遵守するとともに、組織的・人的・技術的な安全管理措置を多層的に講じ、お客様が安心して当社製品・サービスをご利用いただける環境を継続的に維持・改善します。
- 適用範囲
本ポリシーは、当社が提供するすべての製品・サービス(デスクトップアプリケーション「ProAI Studio」を含む)、当社が運用する情報システム、および当社のすべての役職員に適用されます。
- 情報セキュリティ体制
・当社は、情報セキュリティに関する責任者を定め、対策の計画・実施・評価・改善(PDCA)を統括します。
・セキュリティ上の重要事項は経営層へ報告し、必要な経営資源を配分します。
・役職員に対し、年1回以上、最新のセキュリティ情報の社内共有および教育を実施します。
- アクセス管理
・システムおよびデータへのアクセスは、最小権限の原則に基づき、業務上必要な範囲に限定して付与します。
・APIキー、認証情報、管理者権限は厳格に管理し、定期的に棚卸しおよび監査を実施します。
・システム管理者には多要素認証(MFA)を必須とします。
・ログイン履歴およびアクセス権の変更履歴を記録し、不正アクセスの兆候を監視します。
・退職・異動等に伴い不要となったアクセス権は、速やかに削除します。
- データの管理と保護
・お客様のデータおよび機密情報は、適切な暗号化技術(AES-256等)を用いて安全に保管し、通信経路はTLSにより暗号化します。
・個人情報(PII:個人を特定できる情報)の取り扱いは、個人情報保護法をはじめとする関連法令および業界標準に準拠します。
・お預かりするデータは業務上必要な最小限にとどめます(データ最小化の原則)。
・契約終了後にお預かりしているデータは、原則30日以内に削除し、バックアップ媒体上の複製についても最大90日以内に安全な手順で消去します。
・事業継続性の観点から、重要データのバックアップを実施します。
- AIおよび外部AI APIの安全な利用
・当社製品・サービスは、OpenAI、Anthropic、Google、xAI等の主要AIプロバイダーが提供する公式APIを利用します。
・お客様がAIに送信したデータを、当社がAIモデルの学習に使用することは一切ありません。
・各AIプロバイダーは、APIを通じて送信されたデータをモデルの学習に使用しないことを表明しています(各社のAPIデータ利用ポリシーに準拠)。当社は各社のポリシーを継続的に確認し、適切なデータ管理がなされていないと判断した場合は、当該プロバイダーの利用を停止します。
・不適切なコンテンツの生成や誤用を防止するため、多層のコンテンツ制御を実施します。
- 各AIプロバイダーの利用規約および安全機構により、違法行為や有害なコンテンツの生成を求めるプロンプトへの応答は制限されます。
- ProAI StudioのApp Store版では、AIが生成したコンテンツに対するNGワード検査(児童性的コンテンツ、露骨な性表現、違法な薬物・武器の製造方法、自傷行為の助長、ヘイト表現等)を実施し、該当する内容の画面表示およびファイル書き出しを制限します。
・APIのレートリミットを遵守し、過剰なリクエストによるシステム負荷を防ぎます。
・当社が提供するAPIキーまたは認証キーについて悪用が判明した場合、キーの凍結・利用停止等の措置を実施します。
- ProAI Studio(デスクトップアプリケーション)のセキュリティ
7.1 ローカル完結型アーキテクチャ
・ProAI Studioは、お客様の端末上で動作するデスクトップアプリケーションです。お客様が作成するプロジェクトファイル、カードの内容、チャット履歴、AI生成物は、すべてお客様の端末内(またはお客様が指定した保存先)にのみ保存されます。
・当社は、お客様のデータを収集・保存・処理するためのサーバーを運用していません。ProAI Studioが当社のサーバーへお客様のデータを送信することはありません。
7.2 外部送信の限定と透明性
・お客様のコンテンツ(プロンプト、添付データ等)が端末外へ送信されるのは、お客様がAIの実行を指示した際に、お客様が選択したAIプロバイダーの公式APIへ、お客様の端末から直接、TLS暗号化通信により送信される場合のみです。当社のサーバーを中継することはありません。
・このほかに外部通信が発生するのは、お客様が明示的に該当機能を利用した場合に限られます。
- SNS予約投稿機能:お客様が指定した投稿内容を連携先サービスへ送信します。
- ローカルAIのWeb検索機能:検索クエリを検索エンジンへ送信します。
- ローカルAIモデルのダウンロード:許可されたドメイン(Hugging Face)からの取得のみを行います。
- 一部のプレビュー・図表描画機能:公開CDNから汎用ライブラリおよびフォントを取得します(お客様のコンテンツは送信されません)。
・利用状況の自動収集(テレメトリ)、行動トラッキング、クラッシュレポートの自動送信は一切行いません。
・ライセンス認証はオフラインで完結し、認証のための外部通信は発生しません。
7.3 APIキーおよび送信内容の秘匿性
・お客様が登録するAPIキーは、OSのセキュリティ機構(macOSキーチェーン等)と連携した暗号化ストレージ(Electron safeStorage)により、暗号化して端末内に保存します。暗号化が利用できない環境では、平文での保存を行わず処理を中止する設計としています。
・APIキーが端末外へ送信されるのは、お客様が選択したAIプロバイダーへのAPI認証時のみです。
・上記のアーキテクチャにより、お客様のAPIキー、プロンプト、送信データおよびAIの応答内容を当社が取得・閲覧することは、運用上行わないだけでなく、技術的に不可能です。
7.4 多層防御(Defense in Depth)
ProAI Studioは、Electronアプリケーションのセキュリティベストプラクティスに基づき、以下の多段階の防御を実装しています。
(1) プロセス分離とサンドボックス化:UI描画を担うレンダラープロセスをサンドボックス環境で実行し、コンテキスト分離(contextIsolation)を有効化しています。レンダラーからNode.js機能への直接アクセスは遮断しています。
(2) 限定されたプロセス間通信(IPC):レンダラーとメインプロセス間の通信は、contextBridgeを通じて明示的に定義された必要最小限のAPIに限定しています。外部ネットワークへの通信はすべてメインプロセスに集約し、検証のうえ実行します。
(3) 不正な画面遷移・ポップアップの遮断:外部サイトへのナビゲーションおよびwindow.openによるウィンドウ生成を既定でブロックします。外部URLを開く際はhttp/httpsスキームのみを二重に検証したうえでOS標準ブラウザへ委譲します。カメラ・マイク・位置情報等の権限要求は拒否します。
(4) AI出力のサニタイズ(XSS対策):AIの応答を画面に表示する前にDOMPurifyによるサニタイズを実施し、スクリプト注入等を防止します。
(5) ファイルアクセスの限定:お客様のファイルへのアクセスは、OS標準のファイル選択ダイアログを通じてお客様が明示的に選択した範囲に限定します。シンボリックリンクの解決やファイル名検証等のパストラバーサル対策を実装しています。
(6) 配布物の保護と完全性:macOS版は、Apple Developer証明書によるコード署名およびAppleによる公証(Notarization)を取得し、Hardened Runtimeを有効化しています。App Store版はAppleのApp Sandbox内で動作します。また、アプリケーションアーカイブの改ざん検出(整合性検証)を有効化し、ソースコードはバイトコード化・難読化により解析への耐性を高めています。
(7) ダウンロード先の制限:ローカルAIモデルのダウンロードは許可済みドメインのみに限定し、不正なサーバーへの誘導を防止します。
7.5 オフライン利用(ローカルLLM)
・ProAI Studioは、クラウドAIに加え、お客様の端末内で完結するローカルLLMに対応しています。ローカルLLMのみを利用する場合、プロンプトを含む一切のデータが端末外へ送信されることなく、オフライン環境でもAI機能をご利用いただけます。高い機密性が求められる業務でのご利用に適しています。
7.6 App Store版における明示同意
・App Store版では、クラウドAIプロバイダーへの初回送信前に、送信先および送信されるデータについてお客様の明示的な同意を取得します。同意が得られるまで送信を行わない設計としています。
- セキュアな開発
・依存ライブラリの脆弱性情報を継続的に把握し、必要な更新を実施します。
・コードレビュー等により、脆弱性の混入を防止します。
・定期的にセキュリティ監査(自己点検を含む)を実施し、発見された課題は重要度に応じて計画的に是正します。
・脆弱性が発見された場合は、影響を評価のうえ速やかに修正版を提供します。
- 当社運用のWebサイト・サーバーにおける外部攻撃への対策
・SQLインジェクションやXSS(クロスサイトスクリプティング)などの攻撃を防止するため、業界標準に準拠したセキュリティ対策を実施します。
・CSRF(クロスサイトリクエストフォージェリ)対策として、適切なCORS設定を適用します。
・DDoS攻撃の影響を最小限に抑えるため、業務内容に応じてCDN(コンテンツ配信ネットワーク)やファイアウォールを導入します。
- システムの安定性とインシデント対応
・システムの障害発生時には、適切なエラーハンドリングを実施し、お客様への影響を最小限に抑えます。
・重要なシステムイベントやエラーは適切に記録し、分析と再発防止に活用します。
・セキュリティインシデントが発生した場合は、速やかに影響範囲を特定して封じ込めを行い、影響を受けるお客様へ通知するとともに、原因分析と再発防止策を実施します。
・個人データの漏えい等が発生した場合は、個人情報保護法に基づき、個人情報保護委員会への報告および本人への通知を適切に行います。
- 契約とコンプライアンス
・当社は、個人情報保護法、不正競争防止法等の関連法令、および政府・業界のAI関連ガイドライン(AI事業者ガイドライン等)を遵守します。
・お客様との契約に基づき、データの取り扱い、利用範囲および責任分界を明確に規定します。
・お客様からのセキュリティに関するご質問(セキュリティチェックシートへの回答等)には誠実に対応します。
- 本ポリシーの見直し
・本ポリシーは、脅威動向、技術の進展および法令・ガイドラインの改正を踏まえ、適宜見直します。
・本ポリシーに定める措置は、会社の規模およびリソースに応じて実効性のある範囲で誠実に運用します。
本セキュリティポリシーは、当社が提供する製品・サービスの安全性および信頼性を確保するために策定されました。
以上
改訂履歴
2024年5月 制定
2025年2月 改訂
2026年7月 改訂