情報の取扱い

当社は、取り扱う情報を重要度に応じて分類し、取得から廃棄に至る各段階で適切な保護措置を講じています。本ページは情報管理規程のうち公開可能な範囲を要約したものです。

情報の分類

情報資産管理台帳

機密以上の情報について、名称・区分・保管場所・管理責任者・保存期間を記録した情報資産管理台帳を整備しています。システム内の情報だけでなく、書類・外部媒体などシステム外で保管される情報も対象です。

金融機関APIをはじめとする外部サービスの認証情報（アクセストークン、リフレッシュトークン、クライアントシークレット）についても、その所在と管理責任者を台帳に記載しています。台帳は年1回以上、および情報資産の新設・廃止時に更新します。

取得と利用

• 個人情報の取得は、利用目的を明示し、必要最小限の範囲で行います。サービス提供に不要な情報は取得しません。
• 機密以上の情報は、業務上必要な範囲でのみ利用します。
• 本番環境の機密情報を開発環境・検証環境へ複製することを禁止しています。
• 機密以上の情報を私有端末・私有クラウドストレージ・個人アカウントの生成AIサービス等へ入力することを禁止しています。

保管

• 認証情報は可能な限り環境変数管理機能またはシークレット管理サービスに保管し、ソースコードへ直接記述せず、バージョン管理システムへコミットしません。
• 機密以上の情報を含む書類は施錠可能な場所に保管します。

送信・持ち出しの制御

• 機密以上の情報を電子メール、チャット、外部ストレージ等により社外へ送信する場合は、管理責任者の許可を要します。
• 業務用端末から外部記録媒体（USBメモリ等）への書き出しは原則禁止です。やむを得ない場合は管理責任者の許可を得て暗号化した媒体を使用し、使用後は速やかに消去します。
• 個人情報を含むファイルを外部へ送付する場合は、パスワード保護またはアクセス制限付きの共有リンクを用い、共有期限を設定します。

廃棄と保存期間

保存期間を経過した情報は遅滞なく廃棄します。電子データは復元不可能な方法で削除し、書類はシュレッダー等により裁断します。機器を廃棄・返却する際は記憶装置のデータを消去または物理的に破壊します。有効期限を超過したアクセストークン・リフレッシュトークンは物理的に削除します。