セキュリティポリシー

本ポリシーは、当法人が運営する本サービス、その管理機能、関連するクラウド環境および運用業務に適用します。

個人情報の取得項目、利用目的、第三者提供、Cookie等の取扱いについては、利用者の区分に応じて、ユーザー向けプライバシーポリシーまたは団体向けプライバシーポリシーもあわせてご確認ください。

本サービスでは、機能の提供に必要な範囲で、次のような情報を取り扱う場合があります。

• 氏名、メールアドレス、電話番号、生年月日その他のアカウント・プロフィール情報
• 団体情報、担当者情報、ボランティア募集・応募・参加・出欠・評価・証明書に関する情報
• メッセージ、活動レポート、画像、音声、添付ファイルおよび問い合わせ内容
• 決済、寄付、領収書、会計および災害支援機能において利用者が入力・提出する情報
• 端末情報、IPアドレス、アクセス日時、操作・利用履歴、障害記録等
• 利用者の許可に基づき取得するカメラ、マイク、写真、位置情報および通知に関する情報

• 本サービスでは、機能や利用環境に応じて、メールアドレス・パスワード、Google、AppleまたはLINE等を用いた認証を提供します。
• パスワードは当法人が平文で保管せず、Firebase Authenticationの仕組みを通じて管理します。
• データへのアクセスは、Firebase Security Rules、サーバー側の認証・認可処理および役割別の権限により制御します。
• 利用者、団体担当者、当法人の運用担当者等に対し、それぞれの機能遂行に必要な範囲でアクセス権限を付与します。
• 募集情報、団体プロフィール、公開された活動レポート等、サービスの性質上一般公開する情報は、公開範囲を区別して管理します。

• 本サービスとサーバー間の通信にはHTTPS/TLSを使用します。
• クラウド上のデータは、利用するクラウド事業者が提供する保存時の暗号化その他の保護機能を利用します。
• スマートフォンアプリやブラウザには、ログイン状態の維持や表示の高速化等のため、認証情報またはデータの一部が保存される場合があります。
• 当法人は端末上に保存する情報の必要性と保持期間を見直し、機密性の高い情報について、OSが提供する保護機能の利用や保存範囲の縮小に努めます。
• 利用者には、端末の画面ロック、OS・アプリの更新、および第三者と共用する端末でのログアウトを推奨します。

当法人は、本サービスの提供に必要な範囲で、Firebase・Google Cloud、Vercel、AWS SES、GitHub等のクラウド・開発サービスを利用します。また、提供する機能に応じて、認証、決済、通知、メッセージ配信、不正利用対策、アクセス解析、広告、地図およびAI処理等を提供する外部サービスを利用する場合があります。

外部サービスの選定時には、取り扱う情報とリスクを考慮し、必要な設定、アクセス制限および契約・利用条件の確認に努めます。外部サービスへ送信する情報は、機能の提供に必要な範囲に限定するよう努めます。

• ソースコードおよび本番環境へのアクセスを、業務上必要な担当者に限定します。
• 認証情報や秘密情報は、環境変数やシークレット管理機能等を用いて適切に保管し、必要に応じて失効・更新します。
• 入力値の検証、権限確認、出力時の無害化、レート制限等を、機能のリスクに応じて実施します。
• 依存ソフトウェアおよび利用サービスに関する脆弱性情報を確認し、影響を評価したうえで更新または緩和策を実施します。
• 重要な変更について、テスト、レビュー、段階的な反映および必要なロールバック手順の整備に努めます。

• 本サービスの安定運用、不正利用の調査および障害対応に必要な範囲で、アクセス・操作・エラー等のログを記録する場合があります。
• ログへのアクセスを必要な担当者に限定し、目的に応じた保持期間を設定するよう努めます。
• データの重要度および利用するサービスの機能に応じて、バックアップ、復旧手順、冗長化およびロールバック手段を整備します。
• 障害や災害が発生した場合に備え、サービスへの影響を抑え、復旧できる体制の継続的な改善に努めます。

情報漏えい、不正アクセス、改ざん、サービス妨害その他のセキュリティインシデントが発生し、またはそのおそれを認識した場合、当法人は次の対応を行います。

1. 事実確認、影響範囲の特定および被害拡大の防止
2. 原因調査、脆弱性の修正および安全な復旧
3. 再発防止策の検討および実施
4. 法令または影響の程度に応じた、利用者、関係先および関係機関への報告・通知

本サービスの脆弱性またはその疑いを発見された場合は、件名に「脆弱性報告」と記載し、次の情報を可能な範囲で添えてご連絡ください。

• 影響を受けるページ、アプリ、機能またはAPI
• 確認した日時、利用環境および再現手順
• 想定される影響および、必要に応じて画面表示やログ等の資料
• 報告者への連絡方法

調査にあたっては、必要な範囲を超えた個人情報へのアクセス、データの変更・削除、サービス妨害、ソーシャルエンジニアリングおよび第三者への公開を行わず、発見後は速やかにご報告ください。当法人は、善意によるご報告に誠実に対応します。

当法人は、役員、職員、業務従事者等に対して、役割に応じた情報セキュリティ上の注意事項を周知し、サービスや法令、脅威の変化に応じて安全管理措置および本ポリシーを見直します。