Wakeproof

セキュリティポリシー

最終更新日：2026年5月30日

1. セキュリティへの取り組み

Wakeproof（Guse LTDA）は、ユーザーのデータのセキュリティを真剣に捉えています。不正なアクセス、開示、改ざん、破壊からお客様の情報を保護するために、業界標準のセキュリティ対策を実施しています。

2. セキュリティ対策

2.1 データ暗号化

  • TLS/SSL暗号化：デバイスとサーバー間で送信されるすべてのデータはTLS 1.3で暗号化されています
  • パスワード保存：パスワードはハッシュ化・ソルト化されており、平文のパスワードは保存しません
  • トークンセキュリティ：JWT認証トークンはiOS Keychainに保存されます

2.2 アクセス制御

  • 最小権限の原則：システムは必要最小限の権限で動作します
  • トークンの有効期限：認証トークンは自動的に失効し、セッションは毎時クリーンアップされます
  • Face ID / 生体認証：オプションの生体認証ログインはiOSがデバイス上で完全に処理します

2.3 インフラセキュリティ

  • クラウドインフラ：バックエンドはCloudflare Workersで稼働 — グローバル分散、DDoS保護済み
  • データベース：Cloudflare D1（SQLite）、認証済みリクエストのみにアクセスを制限
  • ファイルストレージ：Cloudflare R2、プライベートファイルアクセスには署名付きURLを使用
  • WAF：CloudflareのWebアプリケーションファイアウォールが全エンドポイントで有効

2.4 アプリケーションセキュリティ

  • 入力バリデーション：すべてのAPI入力はZodスキーマで検証されます
  • CORS：クロスオリジンリソース共有は承認済みオリジンに制限されています
  • パラメータ化クエリ：Drizzle ORMによってSQLインジェクションを防止します
  • トランスポートセキュリティ：全エンドポイントでHTTPSを強制

3. データ保護

3.1 デバイス上での処理

いくつかの機密操作はデバイス上で完全に処理され、サーバーには送信されません：

  • 写真確認アラームチャレンジ（Apple Visionフレームワーク）
  • 音量レベル検出（マイクデータ）
  • シェイク検出（加速度センサー）
  • Face ID認証

3.2 データ保持と削除

  • アカウントデータはアカウント解約後30日以内に削除されます
  • アカウントはいつでも削除できます：設定 → アカウント → アカウントを削除
  • サブスクリプション記録は法的・税務上の目的のため7年間保持されます

4. インシデント対応

セキュリティインシデントが発生した場合、次の対応を行います：

  1. 検出と封じ込め — 影響の拡大を防ぐためにインシデントを封じ込め
  2. 調査 — 範囲、原因、および影響を受けたデータを調査
  3. 通知 — 必要な場合、影響を受けたユーザーと関連当局に72時間以内（GDPRに準拠）に通知
  4. 修復 — 脆弱性を修正して通常のサービスを回復
  5. 見直し — プロセスの改善

5. お客様のセキュリティ責任

アカウントを安全に保つために：

  • 強力で固有のパスワードを使用する
  • Face IDを有効にして迅速で安全なログインを実現する
  • ログイン情報を共有しない
  • 共有デバイスからログアウトする
  • 不審なアクティビティを直ちに報告する

6. 責任ある開示

アプリやバックエンドにセキュリティ上の脆弱性を発見した場合は、責任を持って報告してください：

  • メール：contact@guseapp.com（件名：「セキュリティ脆弱性」）
  • 問題を再現するための詳細な手順を含めてください
  • 公開前に修正する合理的な時間を与えてください
  • 実証に必要な範囲を超えて脆弱性を悪用しないでください

改善を手助けしてくれるセキュリティ研究者に感謝します。責任ある開示は認められ、迅速に解決するよう努めます。

7. セキュリティ更新

セキュリティプラクティスを継続的に監視・改善しています。このポリシーは現在のセキュリティ体制を反映するために定期的に見直されます。

8. お問い合わせ

  • セキュリティ問題：contact@guseapp.com（件名：「セキュリティ」）
  • 対応時間：24時間以内の受付確認を目指します