Exayardのセキュリティ
お客様の図面、価格、プロジェクトデータをどのように保護し、エージェントや連携にどのようにアクセス権を付与するかをご説明します。
暗号化
転送中のデータはTLS 1.3で暗号化されます。保存中のデータはAES-256で暗号化されます。図面のPDF、数量拾いの計測、製品価格はストレージ層で暗号化されます。
認証
IDはClerkで管理されます。メール/パスワード、Google、Microsoftに対応し、エンタープライズ向けにはSAML SSOをサポートします。多要素認証はすべての有料プランでご利用いただけます。
役割とアクセス制御
すべてのワークスペースには、2つの組織の役割があります。管理者はチーム、招待、請求、組織設定を管理し、メンバーは日々の数量拾いや積算作業を行います。ワークスペース外と作業を共有する場合は、アカウント全体ではなく単一のプロジェクトに対して、相手に閲覧者アクセス（表示とコメント）または編集者アクセス（変更が可能）を付与します。これらのチェックはすべて当社のサーバー上で実行されるため、インターフェースを回避して、役割が許可していないアクセスを得ることはできません。
APIキーとOAuth
APIキーには明示的なスコープリスト（リソースごとの読み取り/書き込み）が付与されます。OAuthはRFC 7591の動的クライアント登録に準拠しており、登録済みのMCPクライアント（Claude、Cursorなど）は保護リソースのディスカバリーエンドポイントを通じてトークンを取得します。デフォルトで最小権限です。
監査ログ
すべてのリクエストにはX-Request-Idが付与されます。エージェントのIDはOAuthクライアントIDを通じて保持されるため、監査ログでは「aliceの代理として動作するClaude Desktop」と「alice本人」を区別できます。
Webhook
送信Webhookは HMAC-SHA256で署名されます。署名にはタイムスタンプが含まれ、5分より古い配信は拒否されます。エンドポイントのシークレットは作成時にのみ返されます。
データの保存地域
本番データは、SOC 2 Type II認証を維持するインフラプロバイダー上の米国でホストされます。エンタープライズのお客様は特定のデータ保存地域オプションをリクエストできます。
脆弱性の報告
セキュリティに関する問題はsecurity@exayard.comまでご報告ください。報告は1営業日以内に確認し、深刻度の高い問題については30日以内の修正を目指します。誠実に行動する研究者を訴追することはありません。
コンプライアンス
GDPRに準拠したデータ取り扱いを行い、ビジネスのお客様にはデータ処理補遺（DPA）をご用意しています。当社のインフラプロバイダーはSOC 2 Type II認証を維持しています。HIPAAは現在サポートしていません。
アカウントの削除
プロジェクトやアカウント全体は、いつでも設定から削除できます。バックアップは災害復旧のために削除後30日間保持され、その後すべてのデータが完全に消去されます。
サブプロセッサー
これらのプロバイダーは、当社に代わって顧客データを取り扱います。顧客データを扱う新たなサブプロセッサーを追加する前に、お客様へ通知します。
| プロバイダー | 目的 | 場所 |
|---|---|---|
| Vercel | ホスティングとAIゲートウェイ | 米国 |
| Convex | データベースとバックエンド | 米国 |
| Cloudflare | ファイルの保存と配信 | 米国（グローバルネットワーク） |
| Anthropic | AIモデル | 米国 |
| OpenAI | AIモデル | 米国 |
| Clerk | 認証 | 米国 |
| Stripe | 決済 | 米国 |
| Intercom | カスタマーサポート | 米国 |
| Sentry | エラートラッキング | 米国 |
| PostHog | プロダクト分析 | 米国 |
| 分析と広告 | 米国 |
最終確認日：2026年7月