ContentVelo のセキュリティ

当社サーバーへの接続

ContentVelo のアプリケーションへのすべてのリクエストは HTTPS で提供されます。平文 HTTP で到達したリクエストはリダイレクトされ、本番環境では HTTP Strict Transport Security ヘッダーを送出するため、以後ブラウザーが平文 HTTP に戻ることはありません。提供される TLS のバージョンや暗号スイートはアプリケーションではなくホスティング側の性質であるため、保証できないバージョンをここに明記することはしません。

アカウントに変更を加えるリクエストにはアンチフォージェリトークンが付与されます。これにより、他のウェブサイトがお客様の知らないうちにブラウザーを通じてアカウントを操作することはできません。

アカウントとサインイン

サインインはメールアドレスとパスワード、または連携したソーシャルアカウントで行います。サインインに成功するとセッション Cookie が発行されます。この Cookie はブラウザーがスクリプトに公開せず、他のサイトにも送信しません。

• お客様向けポータルのセッションは 7 日間有効で、利用のたびに延長されます。
• 管理用セッションは 8 時間有効で、独自のログインを持つ別アプリケーションから発行されます。
• 新しいメールアドレスは、そのアドレス宛に送られるリンクで確認します。パスワードの再設定には、有効期限のある使い切りのトークンを使用します。
• ContentVelo は現時点で二要素認証を提供していません。お客様のパスワード、またはサインインに使用したソーシャルアカウントが、アカウントを守る唯一の手段です。

パスワードの保存方法

当社はお客様のパスワードそのものを保存せず、その SHA-256 ハッシュを保存します。ContentVelo の誰もそのハッシュからパスワードを読み出すことはできず、当社がお客様にパスワードを尋ねることもありません。

そのハッシュの計算方法を、あえて明記します。現在の標準的な実務より劣る方式であり、パスワードを決める前に知っていただく必要があるからです。アカウントごとに異なるランダム値ではなく、すべてのパスワードに同一の固定値を付加しており、計算は 1 回のみで意図的な遅延もありません。bcrypt、scrypt、Argon2 といった現代的なパスワードハッシュ関数はそのいずれもしません。これらへの移行は当社の作業予定に入っています。

実際上の意味は次のとおりです。万一パスワードのテーブルが流出した場合、ありふれたパスワードや他所で使い回しているパスワードは短時間で復元されます。他では使っていないパスワードを、できるだけ長く設定してください。

Facebook ページとアクセストークン

Facebook ページを連携すると、Meta が発行するアクセストークンが ContentVelo に渡されます。お客様が操作していない間も予約投稿を公開できるよう、当社はそのトークンをデータベースに保存します。トークンは読み取り可能な形式で保存され、アプリケーションによる暗号化は行っていません。したがってトークンの保護は、データベースとそれが動作するサーバーの保護そのものです。

このトークンにより、当社はそのページ自身の投稿とエンゲージメント数値を読み取り、ページへ投稿することができます。お客様の個人 Facebook プロフィール、友達、連携していないページへのアクセス権は含まれません。

ContentVelo 内でページの連携を解除すると、当社が保持するトークンの写しは削除されます。ただし Meta に対して付与した権限までは取り消されません。それは Facebook の設定にある「ビジネス連携」で行います。データ削除のページで両方の手順を説明しています。 データの削除

お支払い

カード情報が ContentVelo に届くことはありません。決済は決済代行会社がホストするページで行われ、当社が受け取るのは結果だけです。すなわち金額、通貨、ステータス、決済手段の名称、代行会社の参照番号であり、これらはご請求履歴を表示するために保管します。当社が代行会社に送信するのは、メールアドレス、請求金額、注文の参照番号、購入するプランの短い説明で、決済を起票するのに必要なものだけです。お名前は送信していません。送信するフォームに名前の項目がないためです。

お客様のデータを扱う他社

ContentVelo を提供するには、お客様のデータの一部を他社へ送信する必要があります。製品が実際に呼び出している先は次のとおりです。

• OpenAI は投稿文を書くための指示を受け取ります。この指示には、事業内容の説明、トーンやキーワードの設定、さらに入力されている場合は投稿に載せたい電話番号、メールアドレス、LINE ID、ウェブサイト、ショップのリンクが含まれます。ページの作風を学習させる操作を行うと、そのページの既存投稿が最大 20 件まで併せて送信されます。
• Google は Gemini API を通じて、画像を生成するための指示を受け取ります。
• 決済代行会社は、メールアドレス、金額、注文の参照番号を受け取り、決済を実行します。お名前は受け取りません。
• 画像ストレージ事業者は、お客様向けに生成した画像およびアップロードされた画像を受け取り、ホストします。これらのファイルは推測困難ではあるものの、アクセス制御のない公開 URL から配信されます。
• 確認リンク、パスワード再設定、通知をお送りするたびに、送信用メール事業者がお客様のメールアドレスとメッセージ本文を受け取ります。

クッキーポリシー

ご利用について記録している内容

アカウント内で行われた操作は、日時、操作内容、ユーザーとワークスペース、IP アドレス、ブラウザーのユーザーエージェント文字列とともに監査ログに記録されます。生成リクエストはすべて、送信した指示、生成されたテキストと画像、使用モデル、コスト、成否、送信元 IP アドレスとともに利用ログに記録されます。これらの記録は、ご請求内容を説明し、不正利用を調査するために存在します。アカウントが存在する限り保持され、現時点で ContentVelo には古いログ行を削除する処理はありません。

当社が主張しないこと

セキュリティのページは、備わっているものと同じ明確さで欠けているものを示してこそ意味があります。上記の日付時点で、ContentVelo には次のものがありません。

• いかなる種類の第三者によるセキュリティ認証・監査
• アプリケーション層での保存データの暗号化。存在する保護はデータベースサーバーとホスティングによるものであり、ContentVelo 自身のコードによるものではありません。
• お客様アカウントおよび管理者アカウントの二要素認証
• 第三者による侵入テスト、または公開されたバグバウンティ制度

本サイトの他の箇所に、本ページより強い表現で当社のセキュリティを説明した記載がある場合は、本ページの記載が最新かつ正確なものです。

セキュリティ上の問題の報告

ContentVelo に脆弱性を発見されたと思われる場合は、再現に十分な詳細を添えてご連絡ください。受領のご連絡をいたします。報奨金の制度はありません。公表の前に、修正のための合理的な時間をいただけますようお願いいたします。