セキュリティとプライバシー

このガイドでは、貴事務所のデータがどこに保管され、どのように保護され、事務所内の誰が閲覧できるのかについて説明します。

データの暗号化#

転送時: ブラウザとLawzana Flow間のすべての通信はHTTPS経由で行われます
保管時: クラウドプロバイダーが保存データを暗号化します（アップロードされたファイルはGoogle Cloud、データベースはDigitalOcean）
ドキュメント: アップロードされたファイルは、サーバーサイド暗号化を使用してGoogle Cloud Storageに保管されます

データレジデンシー（保管場所）#

アップロードされたファイルは、1つのリージョンに保管されます。flow.lawzana.comから登録した法律事務所にはヨーロッパリージョンが割り当てられます。Lawzana Directoryから登録を開始した法律事務所は、ワークスペースの作成時にリージョンを選択します。

リージョン	所在地
米国	米国アイオワ州
ヨーロッパ	ベルギー
アジア太平洋	シンガポール

指定されたリージョンに保管されるのは、アップロードされたファイルのみです。データベース、検索、バックグラウンドジョブ、およびアプリケーションサーバーは、米国のDigitalOcean上で稼働しています。AIリクエストはGoogle Vertex AIのグローバルエンドポイントで処理されるため、ファイルの保管リージョンには限定されません。

設定されているリージョンは、設定 → 一般のファイル保管リージョンで確認できます。

注記

ワークスペースを作成した後にファイル保管リージョンを変更することはできません。

AIデータのプライバシー#

Googleによるリクエストの取り扱い#

本サービスではGoogle Vertex AIを使用しています。Googleがモデルのトレーニングに貴事務所のコンテンツを使用することはなく、当プロジェクトではリクエストログが無効化されています。Googleはキャッシュの目的で、リクエストを最大24時間メモリ内に保持する場合があります。また、不正利用を検知する目的で、リクエストおよびレスポンスのログを最大30日間記録する場合があります。Googleの安全性チェックによってフラグが設定されたリクエストは、最大90日間保持される場合があります。

ドキュメントやデータがAIモデルのトレーニングに使用されることは一切ありません
当社のGoogle Cloudプロジェクトでは、リクエストログが無効化されています
Googleはキャッシュの目的で、リクエストを当プロジェクト専用に隔離されたメモリ内に最大24時間保持する場合があります
Googleは不正利用を検知する目的で、リクエストとレスポンスを最大30日間ログに記録する場合があり、安全性チェックでフラグが設定されたリクエストは最大90日間保持する場合があります
Lawzana Flow自体は、案件の一部としてAIチャット履歴、要約、および抽出された事実を保存します

AI処理の仕組み#

AI処理をリクエストします（例：ドキュメントの要約）
ドキュメントが処理のためにGoogle Vertex AIに送信されます
AIが回答を生成します
回答がLawzana Flowに返送され、アカウントに保存されます
Googleは上記の説明に従ってリクエストを処理します

認証とアクセス#

メールアドレスとパスワードによるサインイン（初回サインイン前のメール認証あり）。パスワードを変更すると、他のすべての端末からサインアウトされます。パスワードが設定されていないアカウントにパスワードを追加するためのリンクは、メールで送信されます
GoogleおよびMicrosoftアカウントによるサインイン
クライアントポータル用マジックリンク: クライアントはパスワードやアカウントを必要としません
ロール（役割）: 4段階の権限レベル（オーナー、管理者、メンバー、閲覧者）。詳細はチームとロールをご覧ください
レコードの表示範囲: メンバーや閲覧者にすべてのリードや案件を表示するか、割り当てられたものや共有されたもののみを表示するかを選択できます
利益相反防止壁（エシカルウォール）: 利益相反のある案件からチームメンバーを隔離します。詳細は利益相反防止壁（エシカルウォール）をご覧ください
ポータルリンクには有効期限があり、いつでも無効化できます

セッションのセキュリティ#

セッションには、署名および暗号化されたHTTP-onlyクッキーを使用しています（JavaScriptからは読み取れません）
アクセス権限は数分ごとに再確認されるため、削除されたメンバーのアクセス権は速やかに失効します

監査ログ#

監査ログには以下の内容が記録されます：

サインイン
リード、案件、連絡先、クライアント、および自動化の変更
ドキュメントのアップロード、閲覧、ダウンロード、削除
案件ステージの変更およびリードの変換
利益相反チェック
チームメンバーのロール変更および削除
レコードの表示範囲、共有設定、およびエシカルウォール設定の変更
請求書、支払い、タイムエントリー、および預託金元帳の変更
スプレッドシートのインポート

監査ログの機能：

アクション、レコードタイプ、ユーザー、日付による検索が可能
CSVファイルとしてエクスポート可能
設定 → 監査ログにて、法律事務所のオーナーのみが利用可能

電子署名#

Flow経由でドキュメントに署名が行われると、ドキュメント、署名者の氏名、メールアドレス、IPアドレス、デバイスおよびブラウザの詳細、各ステップの日時、署名画像、および同意情報が記録されます。また、各PDFのフィンガープリント（ハッシュ値）も保存されます。これらの記録は、貴事務所が削除するかアカウントを解約するまで、事務所のデータとともに保持されます。

公開確認ページには、ドキュメントが署名されたかどうかとその日時のみが表示されます。署名者の氏名は、一致する署名済みPDFのコピーを確認するユーザーにのみ表示されます。ドキュメントの内容、メールアドレス、IPアドレスが表示されることはありません。

Flowの電子署名は、監査証跡を備えた電子署名です。EUのeIDAS規則に基づく高度電子署名（AES）または適格電子署名（QES）ではありません。

インフラストラクチャのセキュリティ#

アプリケーションサーバー、データベース、検索、およびバックグラウンドジョブは、米国のDigitalOceanでホストされています。アップロードされたファイルはGoogle Cloud Storageに保管されます
通信トラフィックはCloudflareを経由します
クロスサイトスクリプティング（XSS）を防止するための**コンテンツセキュリティポリシー（CSP）**ヘッダーを導入しています
Sentryによるエラー監視を実施しています

データのバックアップ#

データベースの自動バックアップを毎日実施し、7日間保持
その7日以内のデータベースの特定時点への復元（ポイントインタイムリカバリ）が可能

お客様のデータ#

データ処理契約（DPA）はご要望に応じて提供可能です
保存されているファイルはいつでもダウンロードできます
全データの完全なエクスポートや、個人データの削除をリクエストいただけます

脆弱性の報告（Responsible Disclosure）#

セキュリティ上の脆弱性を発見された場合は、[email protected]までご報告ください。

お問い合わせ#

セキュリティに関するご質問はこちらまでお問い合わせください：

メール: [email protected]
一般的なサポート: [email protected]