法務・情報システム・DX推進部門の方向けに、データの取り扱い・セキュリティ対策・導入の進め方をまとめました。大手企業の法務ご担当と、契約条項・アクセス権限・運用フローのレベルまで詰めてきた内容です。同じ深さでご説明します。
データ取り扱いの全体像
Data Handling
書類を保管するサービスではありません。読み取り・チェックが済んだら、原本は持ち続けない——それが情報管理のいちばんの対策だと考えています。
アップロードいただいた書類の原本は、24時間で自動削除します。解析結果も7日間で自動削除（運用に合わせて調整可）。
データは貴社専用のワークスペースに論理的に分離して保管し、他社のデータと混在しません。
お預かりしたデータをAIモデルの学習に使わないことを、契約で明文化します。品質改善は統計的な品質管理と合成データで行います。
データの保管は東京リージョンを基本とし、一部のAI基盤で海外を利用する場合は事前にご説明します。
Access Policy
「ベンダーは自分たちのデータを見られるのか」——法務・情シスの方から必ずいただくご質問です。答えを曖昧にせず、区分ごとに定義しています。
稼働監視・障害検知・利用量の管理、規程設定の代行のために必要最小限の範囲でアクセスします。個人情報は含みません。
個人情報を含む書類原本と解析結果には、原則としてアクセスしません。専用環境では管理者権限からも参照できない遮断構成をご提供できます。
事前に貴社指定のご担当者へ報告のうえ（緊急時は事後速やかに報告）、必要最小限の範囲・期間で実施。アクセスログは常時記録し、ご要請があれば提供します。
Security
外部の専門ベンダーによる脆弱性診断（Webアプリケーション診断・プラットフォーム診断）を実施。緊急度の高い指摘は速報のうえ、報告書を納品します。開示範囲は契約で取り決めます。
すべての通信をTLSで暗号化。ログイン認証・APIキー認証によるアクセス制御を行い、操作は監査ログに記録します。
専用環境ではIPアドレス制限を標準対応。多要素認証（MFA）・SSO（IdP連携）もオプションでご提供します。
共用クラウド（論理分離）に加え、貴社IPアドレスのみ接続できる専用サーバーの構築もご用意。要件の変化に応じた将来の移行も可能です。
ISMS認証の取得を計画的に進めています。認証取得前でも、上記の対策と診断結果で実態をご説明できます。
国土交通省「不動産分野におけるAI活用に関する実証事業」のサービス提供事業者に選定。個人情報保護法に準拠した運用を行っています。
Integration
kintoneなどの基幹システムと連携する場合も、渡していただく権限は最小限。「AIが誤ってデータを消す・書き換える」が構造的に起きない形にします。
連携キーはアプリ単位・操作単位で発行（例: 閲覧のみ／必要な追加のみ）。削除・設定変更は構造的に不可。発行と失効の主導権は貴社にあります。
接続元は当社専用サーバーの固定IPに限定し、API利用は監査ログに記録します。
更新は対象範囲のみ・一方通行。本番接続の前にテスト環境で受け入れテストを実施し、エラー検知・復旧手順と処理フロー図を要件定義に明記します。
「読み取り専用」や「連携なし（書類PDFの手動アップロード）」の代替方式もご用意。段階的に進められます。
Onboarding
現場・法務・情シスそれぞれの確認ポイントを、フェーズごとに先回りして用意します。貴社側の作業は最小限です。
書類・規程・件数を拝見し、対象業務と効果の目安を確認。法務・情シスからのご質問には本ページの深さでその場で回答します。
貴社の実書類で読み取り・チェック精度を確認。連携がある場合はテスト環境で受け入れテストを実施します。
処理フロー図・エラー時の復旧手順・ログ保持期間・データ取り扱い条項を文書化。法務ご担当と条文レベルで詰めます。
規程やひな型のチューニングは当社側で実施。運用開始後も精度と運用フローの改善を伴走します。
Q&A
通常運用ではアクセスしません。貴社専用の区画にデータを分離し、当社側からのアクセスを遮断、すべての操作を監査ログに記録します。保守や不具合の再現で必要な場合も、事前同意・記録のもとで最小限に限定します。個人情報保護法のクラウドサービス例外を満たす構成をご提案でき、条項レベルで法務ご担当と詰めます。
最小権限で設計します。連携キーはアプリ単位・操作単位で発行でき（例：閲覧のみ／必要な追加のみ、削除・設定変更は構造的に不可）、発行と失効の主導権は貴社側にあります。接続元は当社専用サーバーの固定IPに限定し、API利用は監査ログに記録。ご要望に応じて「読み取り専用」や「連携なし（依頼書PDFの手動アップロード）」の代替方式もご用意します。
削除・設定変更ができない権限に絞り、更新は対象範囲のみ・一方通行で行います。本番接続の前にテスト環境で受け入れテストを実施し、エラー検知・復旧手順と処理フロー図（読取元→更新先）を要件定義に明記します。「意図しない書き換え」が構造的に起きない設計です。
保管は東京リージョンを基本とし、一部のAI基盤で海外を利用する場合は事前にご説明します。ログは用途ごとに保持期間を定義（動作ログ・解析データ・監査ログでそれぞれ設定）し、契約に明記します。
専用環境ではIPアドレス制限を標準で対応し、MFA・SSO（IdP連携）もオプションでご提供します。専用サーバーの固定IPのみ接続を許可する運用が可能です。
外部の専門ベンダーによる脆弱性診断（Webアプリケーション診断・プラットフォーム診断）を実施し、緊急度の高い指摘は速報のうえ報告書を納品します。ISMS認証の取得も計画的に進めています。診断結果の開示範囲も契約で取り決めます。
貴社の要件に合わせて条項を調整します。通常時はアクセスしない前提を明記しつつ、保守・不具合再現時は「相当措置（同意・記録・最小限のアクセス）」で対応する形など、法務ご担当と条文レベルで詰めた実績があります。
「誤りを黙って通さない」設計です。すべての値に信頼度を付与し、確信の低いものは自動で「要確認」に振り分けます（セーフサイド制御）。原文の該当箇所へワンクリックで飛べる根拠表示で、人が最終確認できるため、判定を全面的にAIへ委ねる必要はありません。
ありません。お客様のデータをAIモデルの学習に使わないことを、契約で明文化しています。品質改善は統計的な品質管理と合成データで行います。
