Addnessのセキュリティ
最終更新：2026年10月
Addnessは、組織のゴール・タスク・会話・会議の内容をお預かりするサービスです。このページでは、お客様のデータを守るための取り組みを公開できる範囲でまとめています。よく聞かれる項目に先にお答えした「セキュリティチェックシート回答」は、下の「7. 文書」からダウンロードできます。構成図や御社独自のチェックシートへの回答など、審査に必要な詳細は秘密保持契約のもとで個別に開示します。
まず9つの答え
| AIに何が渡る？ | AI機能を使ったとき、その処理に必要な情報だけを外部AIサービスへ送ります。組織のデータをまとめて送ることはありません。 |
| AIに学習される？ | されません。APIで送ったデータを学習に使わない契約条件のAIサービスだけを使っています。 |
| GoogleやSlackのどこまで見える？ | お客様が許可した範囲だけです。Googleカレンダーは読み取りのみ、Google Driveはお客様が選んだファイルのみ、Slackは投稿のみで、メッセージは読みません。 |
| Addnessの社員はデータを見られる？ | 原則として見ません。サポートや障害対応で必要な場合に限り、権限を持つ担当者だけがアクセスし、操作はすべて記録されます。 |
| 解約したらデータはどうなる？ | 解約して契約が終わると、組織は使えなくなりますが、データは消えずに残ります。契約し直せば、続きから使えます。組織またはアカウントを削除すると、誰も開けなくなり、元には戻せません。データはすぐには消去せず保管し、法令に基づく要請など必要な場合を除き、運営が中身を見ることはありません。完全な削除をご希望の場合は、個別にお申し出いただければ対応します。 |
| データはどこに保存される？ | 主なデータ（データベース・ファイル・バックアップ）は、日本（AWSの東京リージョン）に保存しています。AIの処理・ログイン・エラー監視・アクセス解析・配信・決済・会議の文字起こしの一部は、米国やEUの外部サービスで処理します。国外の委託先とは、個人データの処理契約を結んでいます。委託先の一覧はプライバシーポリシーの「4」にあります。 |
| 自社のサーバー（オンプレミス）や閉じたネットワークで使える？ | 使えません。Addnessはクラウドのサービスとして提供しています。 |
| 社内で、見せる人・見せない人を分けられる？ | 分けられます。ゴールごとに責任者・編集者・メンバー（閲覧とコメント）を決め、上のゴールの権限は下のゴールに引き継がれます。どこにもアサインされていないゴールは、同じ会社のメンバーにも見えません。ゲストとして招いた人は、閲覧とコメント・チャットだけです。会社の管理者はアサインに関係なくほぼすべて見られるので、管理者は最小限の人に絞ることをおすすめします。 |
| 退職した人・外注の人のアクセスは止められる？ | 止められます。管理者がその人を組織から外すと、Addnessにも、その人のAIからも、その組織へはアクセスできなくなります。その人が担当していたゴールは、上のゴールの責任者に移ります。戻す時はもう一度招待します。 |
一覧
| 通信 | TLS 1.2以上で暗号化（TLS 1.3対応） |
| 保存データ | データベース・ファイル・バックアップを保存時に暗号化（AWS KMS） |
| 認証 | メールのワンタイムコード／Google／Apple、二要素認証（認証アプリ） |
| インフラ | AWS 東京リージョン、Multi-AZ |
| AIの学習利用 | なし |
| データ保存地域 | 主データは日本（AWS東京）。AI処理・認証・エラー監視・ホスティング・決済などは米国やEUの外部サービスで処理 |
| 削除 | 組織・アカウントの削除に対応（削除後は元に戻せず、データはすぐには消去せず保管。完全な削除は個別のお申し出で対応） |
| 監視・記録 | 24時間監視、操作ログ、アクティビティログ |
| 第三者認証 | 未取得（セキュリティチェックシートへの回答で個別対応） |
1. セキュリティ概要
インフラ
- Amazon Web Services（AWS）東京リージョンで運用し、お客様の主データ（データベース・ファイル・バックアップ）は日本国内に保存します。AI処理など一部の外部サービスでは国外で処理されます（詳細はプライバシーポリシー4・13）
- アプリケーションはコンテナ基盤（Amazon ECS）、データベースはAmazon RDS for PostgreSQL。データベースは複数の可用性ゾーンで冗長化しています（Multi-AZ）
- データベースとアプリケーションはプライベートネットワーク内に置き、インターネットから直接到達できません
- 本番環境と検証環境は分離しています
- インフラ構成はコードで管理し、変更はレビューを経て適用します
- 秘密情報（APIキー・接続情報）はAWS Secrets Managerで管理し、コードや設定ファイルに書きません
暗号化
- 通信：すべての通信をTLS 1.2以上で暗号化しています（TLS 1.3対応）
- 保存：データベース、ファイル、バックアップを保存時に暗号化しています。鍵はAWS KMSで管理し、自動でローテーションします
- 外部サービスの認証情報：連携先のアクセストークンはAES-256-GCMで暗号化して保存します
バックアップと保持
- 毎日自動でバックアップを取得し、7日間保持します
- データベースは誤削除を防ぐ削除保護を有効にしています
- 保存期間：利用契約期間中は継続的に保存し、解約して契約が終わっても削除しません（組織は使えなくなりますが、契約し直せば続きから使えます）。組織・アカウントを削除した場合も、データはすぐには消去せず保管します（法令で保存が定められた記録はその期間）
- 削除：組織・アカウントの削除に対応します。削除した組織・アカウントは誰も開けず、元に戻せません（バックアップからの復元も原則行いません）。データはすぐには消去せず保管し、法令に基づく要請など必要な場合を除き、当社が中身を見ることはありません。保管したデータは、お客様固有の情報を使わない形で、サービスの品質向上に役立てることがあります（AIの学習には使いません）。完全な削除をご希望の場合は、個別にお申し出いただければ対応します（2026年10月17日以降に削除されたものに適用）
- 個別に削除したゴール等は30日後に完全に消去します
テナント分離
- 組織のデータは、他の組織から参照できません
- ファイルは非公開ストレージに保存し、有効期限付きの署名URLでのみ配信します
- 画面録画は有効期限付きの署名URLでのみ視聴でき、視聴できる範囲は紐づくゴールの閲覧権限に連動します
社員によるアクセス
- 原則として、Addnessの社員がお客様のデータを閲覧することはありません
- サポート対応や障害対応で必要な場合に限り、権限を持つ担当者だけがアクセスします
- 本番データへのアクセスは役割別の権限（読み取り専用、変更可、管理者）に分け、すべての操作セッションを暗号化して記録します
- クラウドの管理アカウントはシングルサインオンで一元管理しています
2. AIとデータ
- AI機能（要約・提案・議事録の生成・チャット）は、当社が契約する外部AIサービスのAPIを利用します
- 送信する情報は、その機能に必要な範囲に限定します。組織のデータ全体を送ることはありません
- お客様のデータがAIモデルの学習に使われることはありません。APIを通じて送信したデータを学習に使用しない契約条件のAIサービスだけを利用しています
- AIモデル提供者側でのデータ保持は、不正利用の監視を目的とした最長30日です
- AIが行う操作（ゴールの作成・更新など）は、操作したユーザー本人の権限の範囲に限られます。ユーザーが見られないデータをAIが見ることはありません
- Addnessのデスクトップアプリはお客様のPC上で動作します。アプリ自体はAIモデルへ接続しません。AIからAddnessのデータを扱うときは、お客様がお使いのAIクライアント（Claude Code・Codexなど）が、Addness MCPサーバーを通じてお客様が認可した範囲にだけアクセスします。Addnessがお客様に代わってAIモデルへデータを送ることはありません
3. 外部サービス連携
外部サービスとの連携は、お客様が自分で有効にした場合にだけ動作します。
- Addnessは外部サービスのパスワードを取得・保存しません。連携はOAuthで行い、アクセスできる範囲は許可された権限（スコープ）の範囲に限られます
- 連携はいつでも解除できます。解除すると、Addnessに保存された連携先の認証情報は削除されます
| Googleカレンダー | すること：予定の読み取り（読み取り専用の権限）／しないこと：予定の作成・変更・削除 |
| Google Drive／スプレッドシート | すること：お客様が選んだファイルの読み取り・更新／しないこと：選んでいないファイルへのアクセス |
| Slack | すること：Addnessからの通知の投稿／しないこと：メッセージの読み取り |
| LINE | すること：お客様が連携したアカウントとの通知・対話／しないこと：連携していないトークの閲覧 |
| 会議（Google Meet・Zoom） | すること：招待された会議への参加、録音、文字起こし／しないこと：招待されていない会議への参加 |
| MCPサーバー | すること：お客様自身が接続した外部MCPサーバーの利用／しないこと：接続していないサービスへのアクセス |
4. アクセス制御
| 対応 | メールのワンタイムコードによるログイン（パスワードを預かりません）／Google・Appleアカウントでのログイン／二要素認証（認証アプリ）／連続失敗時のアカウントロックと登録時のボット対策／組織単位・ゴール単位の権限設定／他組織メンバーのゴール限定アクセス／招待リンクの発行・失効の管理／アクティビティログ（ゴールの変更・コメント・メンバー操作） |
| 未対応 | SAML SSO／SCIMによるユーザー管理／IPアドレス制限／監査ログのエクスポート |
未対応の機能について要望がある場合は、お問い合わせください。
5. 運用とセキュリティ体制
監視と脅威検知
- 主要な指標を常時監視し、異常時は担当者へ即時に通知します
- Amazon GuardDuty、AWS Security Hub、AWS Config、IAM Access Analyzerを有効にしています
- 操作ログ（AWS CloudTrail）とネットワークログは、監査専用のアカウントに分離して保管します
- 可用性99.9%（28日間）を目標に運用しています。この数値は目標であり、SLA（保証値）ではありません
脆弱性への対応
- 依存ライブラリの自動更新と脆弱性スキャン、コードレビューを継続的に行っています
- 外部の会社による脆弱性診断は、現在申請中です。それまでの間も、最新のローカルLLMを使って毎日、脆弱性を自動で点検しています
- 脆弱性のご報告は、下記の窓口で受け付けます。報告内容は担当者が確認し、影響に応じて修正します
インシデント対応
- 検知、封じ込め、調査、復旧、報告の手順を整備しています
- お客様のデータに影響するインシデントが発生した場合は、発覚から原則24時間以内に、影響を受けるお客様へお知らせします
- 発生後は根本原因と再発防止策を記録します
6. 準拠と認証
ISMS（ISO/IEC 27001）、SOC 2、プライバシーマークは、現時点で取得していません。お客様のセキュリティチェックシートへの回答で個別に対応します。
現在の実施状況
- 通信・保存時の暗号化
- 組織・ゴール単位のアクセス制御と二要素認証
- 日次バックアップと削除保護
- 24時間の監視と脅威検知
- 依存ライブラリの脆弱性スキャンとコードレビュー
- 個人情報保護法・電気通信事業法に基づくプライバシーポリシーの整備
7. 文書
- 利用規約
- プライバシーポリシー（委託先・外部サービスの一覧は「4. 委託先および外部サービスへの取扱いの委託」）
- セキュリティチェックシート回答（PDF・2026年10月版）
- 秘密保持契約のもとで提供：システム構成図、御社独自のセキュリティチェックシートへの回答、データの取り扱いに関する覚書
お問い合わせ
セキュリティに関するご質問、詳細資料のご請求、脆弱性のご報告は、サポートフォームまたは privacy@team.addness.co.jp までご連絡ください。