情報セキュリティ基本方針

合同会社MoruApp（以下「当社」）は、お客様からお預かりする情報と当社の情報資産を、事故・災害・不正アクセスなどの脅威から守ることを経営上の重要な責務と考えています。この方針に従って情報セキュリティに取り組みます。

1. 経営者の責任

代表社員が情報セキュリティの最終責任者として、この方針を定め、必要な対策と資源を用意し、継続して改善します。

2. 適用範囲

当社の役員・従業員、業務に従事するすべての者、および当社が業務で扱うすべての情報資産（お客様からお預かりした情報、ソースコード、文書、端末、クラウドサービスのアカウントを含みます）に適用します。

3. お客様からお預かりした情報の取扱い

• お預かりした情報は、契約で定められた目的と範囲に限って利用し、目的外の利用・複製・第三者への提供はしません。
• 保管場所と取扱者を限定し、契約終了時やお客様から求められたときは、契約に従い返却または削除します。
• 業務を再委託する場合は、事前にお客様の承諾を得たうえで、当社と同等の管理を再委託先に求めます。

4. 技術的・物理的な対策

• 業務に使う端末は、OSとソフトウェアを最新の状態に保ち、ウイルス対策、ディスクの暗号化、画面ロックを設定します。
• 業務用アカウントには推測されにくいパスワードを使い、使えるサービスでは多要素認証を有効にします。アカウントは共有しません。
• 公衆の無線LANでお客様の情報を扱うときは、通信の暗号化を確認し、必要に応じてVPNなどを使います。
• 重要なデータは定期的にバックアップします。

5. 生成AIの利用

• 生成AIは、入力したデータを学習に使わない設定や契約条件を確認したサービスに限って業務に使います。
• お客様の情報を生成AIで扱うのは、契約上認められている場合、またはお客様の了承を得た場合に限ります。
• パスワード・APIキーなどの認証情報や、業務に不要な個人情報は生成AIに入力しません。
• 生成AIの出力は、担当者が内容を確認したうえで成果物に使います。

6. 法令と契約の遵守

個人情報の保護に関する法律、不正アクセス行為の禁止等に関する法律、著作権法などの関係法令と、お客様との契約（秘密保持契約を含みます）で定められたセキュリティ上の要求事項を守ります。

7. 教育

業務に従事する者は、情報セキュリティの脅威と対策について継続して学び、この方針を理解したうえで業務に当たります。

8. 事故への対応

情報漏えい、不正アクセス、ウイルス感染などの事故が発生した場合、またはそのおそれがある場合は、被害の拡大防止と原因の究明に努め、影響を受けるお客様へ速やかにご連絡します。再発防止策を講じます。

9. 見直し

この方針は、少なくとも年に1回、および事業内容や環境が大きく変わったときに見直します。