セキュリティについて

タクトケアはパスワードを一切使用しません。ログインのたびにメールアドレス宛に届く確認コードを入力する方式（パスワードレス認証）を採用しており、パスワードの漏洩や使い回しによる不正ログインのリスクがそもそも存在しません。この方式は、次項の事業所スタッフ向け端末ロックとは別物です（サービスへのログイン手段は引き続きこのパスワードレス認証のみです）。

事業所スタッフのアカウントでは、端末の紛失・置き忘れ時に画面の内容を第三者に見られてしまわないよう、5分間操作がないと自動的に画面をロックする機能を備えています。ロック解除には、その端末ごとに設定するPINを使用します。このPINはサービスへのログイン手段ではなく、スマートフォン本体の画面ロックと同じように、あくまで端末上だけで完結する仕組みです（サーバーには一切送信されません）。ログイン自体は、前項の通り引き続きパスワード不要です。

• すべての通信は暗号化（HTTPS/TLS）されています。
• 保存されているデータも、データベース提供元（Supabase, Inc.）の基盤により暗号化されています。
• チャットや掲示板に添付された画像・動画は非公開のストレージに保存し、期限付きの一時的なリンク（1時間で失効）を通じてのみ表示します。第三者がURLを知っても閲覧できない仕組みです。

• 家族・共同管理者・閲覧のみのご家族・事業所スタッフという役割ごとに、閲覧・編集できる範囲を細かく制限しています。この制限はアプリの画面上だけでなく、データベース自体のレベル（Row Level Security）で強制されており、アプリの不具合があってもすり抜けられない設計です。
• 契約が終了した事業所は、そのご家族に関するすべてのデータへのアクセスが即座に遮断されます。
• ご希望のご家族は、契約中の各事業所が閲覧できる範囲を、その事業所が実際に担当しているご利用者様のみに絞り込む設定も可能です（デフォルトでは同じ「チーム」として契約事業所全体で情報を共有する設計ですが、任意で制限できます）。

一般的なWebサービスと同様のセキュリティヘッダー（クリックジャッキング対策、コンテンツ改ざん対策等）をすべてのページに適用しています。第三者による広告目的のトラッキングは一切行っていません。

招待コードの入力やお問い合わせフォームの送信など、悪用されうる操作には自動的な回数制限を設けており、短時間に大量の試行を行う不正利用を防いでいます。

本サービスの運営に必要な範囲で、以下の事業者にデータの保管・処理を委託しています。いずれも契約により適切な安全管理措置を求めています。

• Supabase, Inc.（データベース・認証・ファイル保管）
• Vercel Inc.（アプリケーションの実行環境）
• Resend（ログイン用メールの送信）
• Anthropic, PBC（お問い合わせフォームの内容をもとにした返信下書きの自動生成。事業所様からのお問い合わせが主な想定用途です）

データベースは日次（毎日深夜頃）でバックアップを取得し、7日分を保持しています。障害発生時は、最悪の場合でも約24時間前の状態まで復旧可能です。なお、掲示板やチャットに投稿された画像・動画ファイルは、このバックアップの対象には含まれておりません。実際の障害を想定した復旧訓練は、現時点では実施しておりません。

エラーやログイン失敗等はシステムのログとして記録されますが、24時間体制の専任監視は行っておりません（運営者1名によるサービスのため）。万一、情報漏洩等が疑われる事案が発生した場合は、①影響範囲の調査、②法令上報告義務のある事案に該当する場合は個人情報保護委員会への報告、③影響を受ける利用者様への速やかなご連絡、の順で対応します。

ISMS等の第三者認証は、現時点では取得しておりません。取得している、または準拠しているかのような表示は一切行わない方針です。認証取得が必須要件となる場合は、お手数ですがお問い合わせの際にその旨お伝えください。

セキュリティに関するご質問、社内確認資料としてより詳しい情報が必要な場合は、下記までお気軽にご連絡ください。

support@tactcare.net

個人情報の取り扱いについてはプライバシーポリシーもあわせてご確認ください。