Schoole株式会社（以下「当社」といいます）は、経営企画支援およびAI導入・内製化支援の提供にあたり、 お客様の事業データ、システムへの認証情報、業務上の記録をお預かりします。 これらは当社にとって最も重い預かりものであり、その保護を事業継続の前提と位置づけます。 本方針は、当社が情報をどう分類し、誰がどこまで触れ、どう守り、事故が起きたときにどう動くかを定めるものです。
01適用範囲と責任者
本方針は、当社の役員および業務に従事する全ての者、当社が業務を委託する先、 ならびに当社が業務に使用する全ての端末、クラウドサービス、ソースコードおよび資格情報に適用されます。
情報セキュリティの最終責任者は代表取締役とします。 責任者は、本方針の維持、違反の是正、およびインシデント発生時の判断を行います。
02情報の分類
当社は、取り扱う情報を次の4つに分類し、分類ごとに取扱いの水準を変えます。
| 公開 | 当社ウェブサイトの掲載内容など、公開を前提とする情報 |
|---|---|
| 社内 | 当社の業務手順、社内資料。外部には出さないが、漏えいしても第三者に直接の損害を与えないもの |
| お客様機密 | お客様の売上・費用・広告実績などの事業データ、面談記録、契約に関する情報 |
| 資格情報 | APIキー、シークレット、アクセストークン、パスワード、認証ファイル |
お客様機密と資格情報は、本方針において最も厳格に扱います。 分類が判断できない情報は、より上位の分類として扱います。
03アクセス制御と最小特権
- お客様機密へのアクセスは、当該案件を担当する者に限定します
- 権限は、業務の遂行に必要な最小の範囲でのみ付与します。外部サービスのAPIを利用する場合は、目的に必要なスコープのみを要求し、書き込み権限は必要な場合に限って取得します
- 複数のお客様のデータを混在させて保管または処理しません。お客様ごとに分離して取り扱います
- 案件の内容が変わったとき、および案件が終了したときに、権限を見直し、不要となったものを速やかに削除します
04認証情報の取扱い
- APIキー、シークレット、アクセストークンをソースコードに直接記述しません。リポジトリの外に置き、OSの資格情報ストアまたは暗号化された環境変数で管理します
- パスワードはサービスごとに固有のものを生成し、パスワードマネージャーで管理します。使い回しを禁止します
- 多要素認証に対応しているサービスでは、必ず多要素認証を有効にします
- 認証情報を、チャット、メール、議事録、ログ、スクリーンショットに残しません
- 案件終了時、および漏えいが疑われる場合に、認証情報を速やかに無効化します
05端末とネットワーク
- 業務に使用する端末には、ウイルス対策ソフトウェアを導入し、リアルタイム保護と定義ファイルの自動更新を有効にします
- OS、ブラウザ、実行環境のセキュリティ更新を自動適用します
- 端末はディスク暗号化を有効にします
- 一定時間の操作がない場合に画面を自動ロックし、復帰に認証を要求します
- 当社はお客様のデータを保持するサーバーを運用しません。当社ウェブサイトはマネージドな共用ホスティング上の静的ページで、お客様のデータを含みません。業務はマネージドなクラウドサービスに対してTLSで接続して行い、端末から外部にサービスを公開しません
06通信と保管の暗号化
お客様機密および資格情報は、通信時と保管時のいずれにおいても暗号化します。 通信については、外部サービスとのAPI通信を含め、TLS 1.2以上を用います。 保管については、端末のディスク暗号化と、利用するクラウドサービス側の暗号化によります。
07委託先および外部サービスの管理
当社は、業務の遂行に必要な範囲で外部サービスを利用し、また業務を委託することがあります。 この場合、委託先および利用先の適格性を確認し、秘密保持および安全管理に関する契約を締結したうえで、 必要かつ適切な監督を行います。利用する主な外部サービスは、 プライバシーポリシーに記載しています。
AIサービスを業務に用いる場合は、入力内容がモデルの学習に利用されない設定または規約のもとで利用します。
08インシデント対応
情報の漏えい、滅失、毀損、不正アクセス、またはそのおそれを検知した者は、 速やかに代表取締役に報告します。報告を受けた責任者は、次の順で対応します。
- 被害の拡大を止める（該当する認証情報の無効化、接続の遮断）
- 影響範囲を特定する（対象となったデータ、お客様、期間）
- 影響を受けるお客様へ遅滞なく報告する
- 法令上必要な場合に、個人情報保護委員会その他の機関へ報告する
- 原因を究明し、再発防止策を本方針または運用手順に反映する
報告および連絡の窓口は kanemichi@schoole.co.jp とします。
09脆弱性と脅威の管理
- OS、ブラウザ、実行環境のセキュリティ更新を自動で適用します
- 連携先プラットフォームのセキュリティ告知を確認し、影響がある場合は速やかに対応します
- 当社が作成するプログラムで用いる外部ライブラリを最新に保ち、脆弱性情報が出た場合に見直します
- アクセストークンは、案件終了時および漏えいが疑われる場合に更新します
10保管期間と削除
お預かりしたデータは、利用目的の達成に必要な期間に限り保管します。 契約が終了した場合、お預かりしたデータおよびAPIのアクセストークンは、 法令により保存が義務づけられているものを除き、終了後3か月以内に削除します。 お客様からデータの削除をご請求いただいた場合は、速やかに削除し、その旨をご報告します。
お客様は、外部サービスの管理画面から当社アプリケーションの連携をいつでも解除できます。 解除された時点で、当社は当該APIを通じた新たなデータの取得を停止します。
11本方針の見直し
本方針は、少なくとも年1回、および当社の業務内容、利用するサービス、 関係法令に重要な変更があったときに見直します。改定した場合は、本ページに改定後の内容と改定日を掲載します。
12お問い合わせ窓口
Schoole株式会社 情報セキュリティ責任者
〒160-0022 東京都新宿区新宿1-36-12 サンカテリーナビル6F
TEL：090-5682-8725
制定日：2026年8月22日
Schoole株式会社 代表取締役 金道 翔平