情報セキュリティ基本方針

株式会社Chill&Peace（以下「当社」）は、生成AIエージェントの導入支援およびデジタルマーケティング支援を通じて、お客さまの大切な情報をお預かりします。当社は情報資産を事故・災害・不正から守ることを経営の重要課題と位置づけ、以下の方針に基づき情報セキュリティに取り組みます。

1. 基本的な考え方

• 情報セキュリティに関する法令、国が定める指針その他の社会的規範、およびお客さまとの契約上の義務を遵守します。
• 情報資産の機密性・完全性・可用性を確保するため、社内規程（情報セキュリティ管理規程・情報セキュリティマニュアル）を定め、全役職員がこれに従います。
• 本方針および社内規程は、少なくとも半年に1回、および重大な変更があったときに見直し、継続的に改善します。

2. 当社の基本的な対策

• アクセス管理：情報へのアクセスは業務上必要な担当者・範囲に限定し（最小権限）、退職・契約終了時は直ちにアクセス権を削除します。
• 認証：業務で利用するアカウントは十分な長さのパスワードと多要素認証を用い、パスワードマネージャで管理します。
• 暗号化：外部との通信は暗号化（HTTPS/TLS）された経路のみを用い、業務端末はディスク暗号化を有効にします。
• 端末・ネットワーク：OS・ソフトウェアを最新に保ち、ファイアウォールとマルウェア対策を有効にします。暗号化されたネットワークのみを業務に使用します。
• 認証情報（APIキー等）：プログラムへの直接記載や公開場所への保存を禁止し、暗号化された保管領域で管理します。
• 教育：全役職員に対し、定期的に情報セキュリティ教育を実施します。
• 委託先管理：業務を委託する場合は、契約で秘密保持およびセキュリティ対策の実施を定め、適切に監督します。
• 機器・媒体の廃棄：業務情報を記録した機器・媒体を廃棄・返却する際は、データを復元できない方法で消去します。

3. お預かりするデータの管理方法

4. データの二次利用について

• 当社は、お客さまからお預かりしたデータそのもの（個人情報・取引情報・社内文書等）を、ご契約の目的以外に利用しません。
• サービス品質の向上のため、お客さまや個人を特定できないよう抽象化・匿名化した知見（業務改善の手法、AIエージェントの設計パターン、広告運用の傾向等）に限り、当社のノウハウとして活用することがあります。この場合も、お客さま名・固有の数値・個人情報は含めません。
• 上記を含む二次利用の範囲は、個別のご契約に定めます。ご契約で別段の定めがある場合は、その定めに従います。

5. 脆弱性情報の収集と対応体制

• 当社は、JPCERT/CC・IPA（情報処理推進機構）・JVN（脆弱性対策情報データベース）等の外部機関が公表する脆弱性情報・注意喚起を継続的に受信し、当社の利用システムおよび提供するツールへの影響を確認します。
• 代表取締役を責任者とするセキュリティ対応チーム（CSIRT／PSIRT機能）を設け、影響が確認された場合は速やかに修正・回避策の適用を行います。
• 当社が提供するツール・成果物に関する脆弱性のご報告は、下記の窓口で受け付けます。

6. セキュリティ事故（インシデント）発生時の連絡体制

• 情報漏えい、不正アクセス、提供ツールの不具合・脆弱性の発覚等のセキュリティ事故が発生した場合は、責任者（代表取締役）の指揮のもと、被害の拡大防止・原因の調査・復旧・再発防止を行います。
• お客さまの情報に影響がある、またはそのおそれがある場合は、原則として事故を把握してから24時間以内に、お客さまのご担当者へご連絡します。
• 法令に基づき必要な場合は、個人情報保護委員会等の関係機関へ報告します。

7. お問い合わせ窓口

個人情報の取り扱いについてはプライバシーポリシーをご覧ください。

制定日：2026年10月11日
株式会社Chill&Peace
代表取締役 森本 悠生