セキュリティ

varyon は、3D 空間データという機密性の高いコンテンツをお預かりすることを前提に、通信・保存・認証・運用の各レイヤで業界標準のセキュリティ対策を実装しています。本ページではその概要をご紹介します。

暗号化

通信経路: 全てのトラフィックを TLS で暗号化し、クライアント・アプリケーション・データベース・ストレージの各経路で暗号化通信を強制します。
保存データ: データベースおよびオブジェクトストレージともに AES-256 による保存時暗号化を適用しています。
認証情報: パスワードは業界標準のソルト + 計算量の高いハッシュ関数で保存。API トークン・シークレット類は本番環境のシークレットストアにのみ存在し、リポジトリには一切コミットされません。

認証・アクセス制御

利用者認証: メール + パスワード、SSO、メール OTP の各方式に対応 (プランにより一部制限)。セッションはセキュア属性を付与した Cookie で管理します。
公開ビューア: スペース単位でパスワード保護・リンク有効期限・埋め込み許可ドメインを設定可能。ユーザー入力を受け付ける各エンドポイントにはボット対策を導入しています。
権限管理: データベースレベルでの行単位アクセス制御を全ユーザーデータに適用し、ワークスペース・スペース単位での所有者分離を保証しています。

インフラ・ネットワーク

DDoS 防御: Cloudflare の L3 / L4 / L7 DDoS 防御 (ネットワーク層 / SSL/TLS / HTTP) を全ドメインに常時適用しています。アプリケーション層では Vercel のプラットフォーム保護機能 (Firewall / Bot 検知) と当社実装のレート制限を組み合わせて防御しています。
レート制限: 認証エンドポイント、ユーザー入力 API、メール送信など悪用のリスクがある各 API に対し、IP / ユーザー単位のレート制限を設定しています。
バックアップ: データベースは日次の自動バックアップを 7 日間保持し、任意の日次バックアップ時点から復旧できる体制を整えています。

第三者処理者 (sub-processors)

本サービスの提供にあたって利用している第三者処理者の一覧と用途・所在地は Sub-processors ページにて公開しています。変更が生じた場合は事前に通知する運用としています。

越境データ移転

sub-processors の一部は日本国外に所在しています。EU / EEA / 英国 / スイスからの個人データ移転については、欧州委員会の標準契約条項 (SCC) または同等の保護措置を適用します。詳細は Data Processing Addendum (DPA) をご覧ください。

インシデント対応

個人データの漏えい、改ざん、その他のセキュリティインシデントを検知した場合、速やかに状況を調査し、適用法令の通知義務に従って所要の通知を行います。影響を受ける利用者には、登録メールアドレス宛に個別に通知します。

脆弱性報告

本サービスのセキュリティ脆弱性を発見された方は、 support@varyon.tokyo.jp 宛に再現手順を添えてご連絡ください。報告者の身元情報および脆弱性の詳細は、修正完了および合意した公表時期まで秘匿します。当社は誠実に報告いただいた方への法的措置を講じません (善意のセキュリティ研究は歓迎します)。

お問い合わせ

セキュリティに関するご質問・ご相談は support@varyon.tokyo.jp、プライバシーおよび個人情報の取扱いに関するご相談は privacy@varyon.tokyo.jp までご連絡ください。

暗号化