1. サービス

本セキュリティホワイトペーパーが適用されるサービスは以下のとおりです（以下、これらのサービスを総称して「RightTouchサービス」といいます。）。

• QANT Web、QANT Web for App

• QANT コネクト、QANT コネクト non-voice

• QANT VoC

• QANT スピーク

• QANT Webエージェント

• 上記各サービスに付帯するオプション

RightTouchサービスでは、認証基盤、管理画面、リアルタイム解析等の一部機能の提供のため、株式会社プレイド（以下「プレイド」といいます。）が提供するKARTEの基盤を利用しています。KARTEに関するセキュリティおよびセキュリティホワイトペーパーは以下のURLに記載のとおりです。
https://karte.io/security.html
https://karte.io/assets/pdf/karte-whitepaper.pdf

2. 利用者との責任分界点

RightTouchの責任

RightTouchは、以下のセキュリティ対策を実施します。

• RightTouchサービスのセキュリティ対策

• RightTouchサービスに保管されるお客様からお預かりしたデータの保護

• RightTouchサービスの提供に利用するインスタンスにおける、ミドルウェア、OSのセキュリティ対策

お客様の責任

お客様は、以下のセキュリティ対策を実施する必要があります。

• 各利用者に付与されたパスワードの適切な管理

• RightTouchサービスアカウントの適切な管理（登録、削除、管理者権限の付与など）

3. データ保管場所

RightTouchサービスにおいて取り扱うデータは、それぞれ以下のとおり保管されます。

共通

サービスのユーザーのアカウントデータはGoogle Cloud東京リージョンに保管されます。

QANT Web、QANT Web for App、QANT コネクト、QANT コネクト non-voice、QANT Webエージェント関連のデータ

Google Cloud東京リージョン・台湾リージョン・米国リージョンおよびAWS東京リージョンに保管されます。

QANT VoC関連のデータ

Google Cloud日本リージョンに保管されます。

QANT スピーク関連のデータ

Google Cloud日本リージョンに保管されます。また、エンドユーザーの架電元電話番号は、30日間に限り、Vonageアイルランドリージョン・ドイツリージョンに保管されます。

4. データの削除

RightTouchサービス利用に関する契約が終了した場合、委託された個⼈情報については90⽇以内に削除し、委託された個⼈情報以外については当社が定める相当な期間を経た後に削除できることとします。

5. 装置のセキュリティを保った処分又は再利用

RightTouchサービス提供において使用されるサーバー、ネットワーク機器等の装置は、全てGoogle Cloud・AWSが管理しています。装置の処分・再利用においては、Google Cloud・AWSのポリシー※に従い、セキュリティを保った処分・再利用が行われます。

※
https://cloud.google.com/security/compliance/csv-guidelines-handbook.pdf
https://d1.awsstatic.com/whitepapers/compliance/JP_Whitepapers/AWS_Risk_and_Compliance_Whitepaper_JP.pdf

6. 容量・能力の管理

RightTouchサービスを構成するサーバー、ネットワークのリソースは24時間常時監視されており、必要に応じて自動的にリソースの追加・削減がなされます。

7. クラウドサービスの監視

• RightTouchサービスの稼働状況については、ステータスページ（https://status.qant.jp/）にて確認することができます。

• 目標通知時間：RightTouchが障害を認識してから60分以内

8. 利用者登録および削除

お客様は、契約の範囲内において、いつでも自由にユーザーの追加・削除を行うことが可能です。

【操作方法】

1. 管理画面（https://admin.karte.io/）にアクセス

2. 画面左端のグローバルナビゲーション項目内の「すべてのメニュー」の下のプロジェクト名をクリック

3. 「組織・プロジェクト設定」をクリック

4. 画面右上の「アカウント招待」をクリック

5. 追加するユーザーのメールアドレスを入力し、権限を選択した上で「送信」をクリック

6. 招待されたユーザーにメールが送信される。メールの指示に従ってユーザーを有効化

9. アクセス権の管理

お客様は、登録したユーザーの権限を、自由に切り替えることが出来ます。適切な権限グループを設定することで、閲覧・編集を細かく制御することが可能です。

【操作方法】

1. 管理画面（https://admin.karte.io/）にアクセス

2. 画面左端のグローバルナビゲーション項目内の「すべてのメニュー」の下のプロジェクト名をクリック

3. 「組織・プロジェクト設定」をクリック

4. 権限を変更したいアカウントの「…」をクリックし、「権限グループを変更」をクリック

5. 任意の権限グループを選択し、「保存」をクリック

10. パスワードの配布方法

• 管理者ユーザーが、新規ユーザーを追加したと同時に、新規ユーザーのメールアドレスに、初期パスワードを登録するための、一意のURLを含むメールが送信されます。

• 新規ユーザーは、そのURLにアクセスし、パスワードを入力・設定することで、サービスの利用を開始できます。

11. 暗号化の状況

• RightTouchサービス上で取り扱う主要なデータ（氏名、メールアドレス、設定データ、VoCデータ等）やファイル（サポートアクションやサポートサイトで利用する画像ファイル、ボイスボットの音声ファイル等）は、Google CloudまたはAWSの標準機能により、ディスクレベルでの暗号化が行われます。また、パスワードは、不可逆暗号化（ハッシュ化）された状態で、データベースに保管されます。

• お客様の端末とシステムとの間のインターネット通信は、暗号化通信によって暗号化されます。

12. 手順書の提供

サポートサイトをご用意しておりますので、ご参照ください。

• アプリケーション機能に関するサポートサイト：https://help.qant.jp/

• 認証基盤、管理画面、リアルタイム解析機能等に関するサポートサイト：https://support.karte.io/

13. バックアップの状況

データ

RightTouchサービス上で取り扱う主要なデータは、データに応じて日次またはそれ以上の頻度でバックアップを取得しています。バックアップは、データに応じて2世代分またはそれ以上が保管されます。ただし、お客様によるバックアップデータの復元等に関する要望は、承っておりません。

ファイル

RightTouchサービス上で取り扱う主要なファイルは、Google CloudまたはAWSのクラウドストレージ内で冗長的に格納されます。

14. ログのクロックに関する情報

• RightTouchサービス内で提供されるログは、UTC（世界標準時）で提供されます。

• 管理画面内の表示に関しては、全てJST（UTC+9）で提供されます。

• ログの時間同期には、Google Cloud・AWS 等のクラウドベンダーや、NICT 等の公的機関が提供する、信頼性の⾼いNTP サーバーを使⽤しています。

15. 脆弱性管理に関する情報

• RightTouchサービス開発チームは、システムで利用しているOS、ミドルウェア等に関する脆弱性情報を、定期的に収集しています。

• システムで利用しているコンポーネントに対する脆弱性パッチが公開された場合は、テスト環境での検証を経た後、速やかに適用されます。

16. 開発におけるセキュリティ情報

セキュアコーディング

• 開発は社内で定められたコーディング規約に従って実施されます。

• コードレビューやペアプログラミング等によるチェックが実施されます。

サプライチェーンの管理

• OSSの依存ライブラリの脆弱性チェックを定期的に実施しています。

• 依存ライブラリの定期的なアップデートを実施しています。

開発環境のセキュリティ

• お客様からお預かりしたデータのアクセス管理と権限付与を制御しています。

• APIキー等の機密データはサーバーなどとは分離し、専用のセキュアなDBで管理しています。

17. インシデント発生時の対応

RightTouchサービスのインシデントに関する情報は、下記に記載されていますリンク先からご確認することが可能です。
https://status.qant.jp/

インシデントに関する情報は、当社がインシデントを認識してから60分以内に公表することを目標とします。

インシデント発生時の対応は、インシデントの原因に応じて、RightTouchサービスで利用しているKARTE基盤を提供するプレイドと協力して行います。この場合、インシデント対応に必要な範囲で、お客様からお預かりしたデータにプレイドがアクセスすることがあります。

18. お客様からお預かりしたデータの保護および第三者提供について

お客様からお預かりしたデータを適切に保護することは、RightTouchの責任です。ログデータを含むお客様からお預かりしたデータは、不正なアクセスや改ざんを防ぐため、RightTouchサービス開発チームの一部の人間しかアクセスできない、限られたアクセス権のもとで保管されます。

ただし、裁判所からの証拠提出命令など、法的に認められた形でお客様のデータの提供を要請された場合、RightTouchは、お客様の許可なく、必要最小限の範囲で、お客様情報を外部に提供する可能性があります。

19. 適用法令

お客様とRightTouchとの間の契約は、日本法に基づいて解釈されるものとします。

20. サービスのバージョンアップ報告について

RightTouchサービスでは、毎⽇細かな仕様変更や改善を繰り返しています。その中で重要なものについては、サポートサイト（第12項参照）等で通知しています。

また、仕様変更により、⼤きな影響を受けると考えられる利⽤者には個別に連絡を⾏う場合があります。

改定履歴