セキュリティへの取り組み

このページでは、競合サイト監視が登録された情報をどのように守るかを説明します。書いているのは、実際に設定したことと、機能の提供を始めるときに必ず行うことです。まだ提供していない機能については、そのことを明記しています。

どのような仕組みでも、危険をなくすことはできません。点検を続け、見つかった問題を直していきます。取得する情報と使い道はプライバシーポリシーをご覧ください。

1. いま公開しているもの

• ただいま公開しているのは、紹介のページと規約類だけです。ログインと監視の機能は公開の準備をしています。
• このため、いまの本サービスは利用者のアカウントや監視の設定を保存していません。

2. 通信の暗号化と画面の守り

• 本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
• ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。
• 画面で読み込むスクリプトは本サービスのものに限り、計測を使うときだけ Google アナリティクスのものを加えています（コンテンツ セキュリティ ポリシー）。

3. 組織ごとのデータの分離

• 提供を始めるときは、監視の設定・差分・通知の送り先を組織ごとに分けて保存し、ほかの組織の利用者からは見えず、変えられないようにします。
• ほかの組織の番号を指定しても読めない・変えられないことを、機能を変えるたびに自動のテストで確かめます。
• 利用者のデータを、ほかの組織への表示や AI の学習に使いません。

4. ログインの方式

• ログインは Apple・Google・Microsoft のアカウントだけで行う予定です。本サービスはパスワードを持ちません。
• ログインの途中では、なりすましと横取りを防ぐ確認（PKCE・state・nonce）を行います。ログインの状態を持つ Cookie は、このサイトだけに送られ、画面のスクリプトからは読めない設定にします。

5. 監視するページの取得

• robots.txt で取得が禁止されているページ、ログインが必要なページ、自動の取得を防ぐ仕組みがあるページは取得しません。取得の制限を避ける仕組みは使いません。
• 取得したページは変化を見つけるためだけに使い、登録した組織のメンバーにだけ差分を見せます。転載や再配布はしません。
• チャットへの通知には、取得したページの文を入れません。ページに仕込まれたリンクや呼びかけが、そのままチャットに流れないようにするためです。

6. 記録に送らない情報

• エラーは Sentry で集めて直します。送る前に、URL のクエリを外し、URL の中の ID を伏せます。Cookie・入力した内容・利用者の情報は送りません。手元の開発の環境からは送りません。
• サーバーの自動の要求の記録（URL を含むもの）は残さない設定にしています。
• Google アナリティクスには、メールアドレス・監視するページの URL・入力した内容・利用者の ID を送りません。

7. AI に渡す情報

• 本サービスは、当社のサーバーで AI を使いません。価格・言葉・差分は、プログラムで取得したページから拾います。
• 手元の AI（Claude・ChatGPT など）から使う口を用意するときは、ログインした組織の権限の範囲だけを読み書きできるようにします。AI の費用と処理は利用者の手元で行われ、当社は AI の事業者に利用者のデータを送りません。

8. 保存の期間と削除

• 差分の要約と画面の中のお知らせは90日、価格の推移は1年で削除します。
• 組織を削除すると監視を止め、その組織の監視の設定と結果を削除します。退会すると、ログインの情報とメールアドレスを削除します。

9. 障害と脆弱性の連絡先

本サービスの障害や脆弱性に気づいた場合は、次の窓口にメールでお知らせください。内容を確認し、対応します。

調べるときは、ほかの利用者の情報を見たり変えたりしないでください。大量の通信でサービスを止めることも控えてください。

以上