最終更新日：2026年8月19日 · このページはプラットフォームの進化に合わせて見直されます
AWS上に構築
グローバルCDNを備え、インフラストラクチャ全体がコードとして定義された、Amazon Web Services上の完全ホスト型サービス。
どこでも暗号化
送信時はTLS 1.2以上、保管時はAWS KMS経由でAES-256により暗号化。シークレットがコード内に保存されることはありません。
24時間体制で監視されています
継続的な脅威検出、監査ログの記録、そしてすべての警告に対応するオンコールエンジニアの配置。
GDPR準拠
法人のお客様向けのデータ処理補足合意書（DPA）、透明性のあるサブプロセッサー、および完全なデータ主体権利。
私たちのセキュリティ原則
サービス間のゼロトラスト
すべての内部呼び出しは暗号化署名されており、ネットワークの場所だけで信頼されるものはありません。
最小権限アクセス
ユーザーおよびサービスは、ロールおよび環境ごとにスコープが設定された、必要最小限のアクセス権のみを取得します。
デフォルトでの暗号化
データ転送時のTLS 1.2以上、および保存時のAES-256はオプションではなくベースライン（必須基準）です。
設計による分離
環境、ネットワーク、および顧客のワークスペースは、アーキテクチャによって分離されています。
回復力とフェイルオーバーへの備え
マルチAZコンピューティング、毎日のバックアップ、およびフェイルオーバー機能は、システム障害が発生することを前提として設計されています。
対応規律
24時間365日のオンコール体制、明確に定義されたインシデントプロセス、そしてインシデント後のふり返り（ポストモーテム）によって、継続的な改善のループが完成します。
01 — インフラストラクチャ ＆ ホスティング
Bannersnackが動作する場所
BannersnackはAmazon Web Services上で完全にホストされており、主要なインフラストラクチャは米国（バージニア北部）に置かれ、AWSのグローバルCDNであるAmazon CloudFrontを通じてコンテンツが世界中に配信されています。
マネージド Kubernetes (EKS)
複数のアベイラビリティゾーンにわたって、最新のKubernetesバージョンに維持されたAmazon EKS上のコンテナ化されたサービス。
コードとしてのインフラストラクチャ
すべてのインフラストラクチャはコード（Pulumi、Kustomize）で定義され、ピアレビューを経て、自動化されたパイプラインを通じてデプロイされます。
AWS Well-Architected
インフラストラクチャとレビューは、Well-Architectedフレームワークの「セキュリティ」と「信頼性」の柱に基づいて構成されています。
隔離された環境
開発、ステージング、および本番環境は完全に分離されており、ファイアウォールルールとACLによってアクセスが制限されています。
弾力性に優れた設計
Exportのワークロードは、負荷に応じて数百から数千のインスタンスに自動スケールするため、特定の顧客のトラフィック集中がプラットフォームのパフォーマンスを低下させることはありません。
02 — 個人情報保護
暗号化とストレージ
あなたが作成するものはすべて、送信中および保存時に保護されます。また、意図的に公開される唯一のもの、つまりあなたが公開することを選択したクリエイティブについては、明確に規定されています。
輸送中に暗号化
すべてのトラフィックはTLSで暗号化されています。本番環境では最新の暗号スイートを使用したTLS 1.2以上が強制され、HTTPはHTTPSにリダイレクトされます。
保存時の暗号化
顧客のデザインおよびアカウントデータは、AWS KMSを介してAES-256で暗号化されて保存され、常にTLS暗号化接続を介して読み戻されます。
公開を前提とした設計
公開および埋め込み用のバナーは、ウェブ上のどこでも機能するように意図的にパブリック（一般公開）にされています。一方で、お客様のアカウントやワークスペースは、認証によって保護されています。
論理的なクライアント分離
各顧客のワークスペースは論理的に分離されており、他の顧客のワークスペースのコンテンツを閲覧または列挙することはできません。
一部のアセットが公開されている理由
Bannersnackはデザインプラットフォームです。明示的にエクスポート、公開、または埋め込んだアセットのみが公開されます。アカウントとワークスペースは、常に認証によって保護されています。
03 — ネットワーク＆アプリケーションセキュリティ
インターネットとデータの間のレイヤー
多層防御：プライベートネットワーキング、強化されたエッジ、署名された内部トラフィック、そして厳重に管理されたシークレット。
04 — 安全な開発
コードがプロダクションに届くまでのプロセス
すべての変更は慎重にレビュー、検証、およびデプロイされ、自動的にプッシュされることは決してありません。
コードレビューと標準
すべての変更は、マージ前にピアレビュー、自動化されたリンティング、および検証ゲートを通過します。
段階的デプロイ
本番環境へのデプロイは明示的に承認されたCI/CDアクションであり、自動プッシュによって行われることは決してありません。
検証済みリリース
すべてのリリースは、自動化された本番環境への適合性、インgress、およびマニフェストの検証チェックに合格します。
ペネトレーションテスト
セキュリティテストは継続的に実施されています。当社は社内で自社プラットフォームをテストするほか、必要に応じていつでも独立した第三者企業に外部アセスメントを依頼しています。エンタープライズのお客様は、機密保持契約（NDA）に基づいて要約を請求いただけます。
05 — モニタリングとインシデント対応
常にプラットフォームに目を光らせて
継続的な検知、確実な監査トレール、そしてすべてのアラートの先には必ず人が対応します。
継続的な脅威検出
Amazon GuardDutyは、クラウド環境を継続的に分析し、脅威や異常な動作を検出します。
監査ログ
Kubernetesコントロールプレーンの監査ログ、ロードバランサーのアクセスログ、およびデータベースのログがキャプチャされ、保持されます。
24時間365日対応
エンジニアは常にオンコール体制を整えています。アラートはメールボックスではなく、直接担当者に通知されます。
インシデント対応
定義されたプロセスには、トリアージ、緩和策、顧客対応、およびインシデント後のレビューが含まれます。
稼働時間
当社は平均99.99%のプラットフォーム稼働率を維持しています。これは測定値であり、契約上のSLAではありません。
06 — 信頼性と継続性
稼働し続ける、そして復旧するための設計
マルチAZコンピューティング、ポイントインタイムリカバリを備えた日次バックアップ、そしていざという時の緩やかな機能退行（グレースフル・デグラデーション）を提供します。
マルチAZコンピューティング
アプリケーション層は、複数のAWSアベイラビリティーゾーンにわたって実行されます。
自動バックアップ
最大15日間のポイントインタイムリカバリが可能な日次バックアップに加え、本番データベースの削除保護機能を提供します。
グレイスフルデグラデーション
プラットフォームの一部が利用できなくなった場合でも、専用のフェイルオーバー機能により状況を常に把握できます。
オンデマンドキャパシティ
キュー主導の自動スケーリングにより、手動での介入なしでトラフィックの急増を吸収します。
07 — コンテンツの安全性
ドメイン上の安全なコンテンツ
公開されたバナーは、当社のCDNからお客様のウェブサイトや広告ネットワークに配信されます。そのため、そのコンテンツの安全性は当社のセキュリティ体制の一部となっています。
0 8 — お支払い
お客様のカード情報が当社のサーバーに送信されることはありません
Bannersnackがお客様のカード詳細を閲覧または保存することは一切なく、機密性の高い決済データも一切処理しません。
09 — プライバシーとGDPR
あなたのデータ、あなたの権利
GDPRを遵守したプライバシープログラムは、CCPA/CPRAおよびその他の地域の法律もカバーしています。詳細については、当社のプライバシーポリシーをご覧ください。
データ処理合意書
ビジネスおよび企業のお客様向けの単独のデータ処理補足契約（DPA）は現在準備中ですが、現時点では、データ処理に関する規約は当社の利用規約およびプライバシーポリシーによってカバーされています。
再委託先 ⚑
サブプロセッサーのリスト（AWS、Stripe、Intercom、Mailgun、Googleなど）は、ご要望に応じて提供可能です。現在、公開用のサブプロセッサー一覧ページを準備中です。
海外送金
データは、EUの標準契約条項および追加の安全対策に基づき、米国（AWS us-east-1）で処理されます。
Your rights
個人データのアクセス、エクスポート、訂正、または削除 — 法律で定められた期間内（GDPRに基づき1ヶ月以内）に対応いたします。連絡先アドレスは以下をご参照ください。
維持
個人データは、アカウントが有効な期間のみ保持され、その後削除または匿名化されますが、法的な例外が一部適用される場合があります。
DPOおよびポリシー
データ保護に関するご質問は、データ保護責任者までお問い合わせください。詳細については、プライバシーおよびCookieポリシーをご覧ください。
プライバシーに関するリクエスト：
· 個人情報保護責任者：
10 — 組織のセキュリティ
セキュリティは人のプロセスでもあります
最小特権、MFAの必須化、管理対象デバイス、そして私たちが協働するすべての人に対するデューデリジェンス。
最小特権 + 多要素認証 (MFA)
アクセス権限はロールおよび環境ごとに範囲が定められており、安全な認証と、全スタッフに対する多要素認証の義務化が導入されています。
セキュリティトレーニング
従業員は社内のセキュリティトレーニングを受け、エンジニアは安全な開発に関するガイダンスを受けます。
管理対象デバイス
専用のデバイス管理チームが会社のハードウェアを管理し、退職時にはアクセス権が消失するようにオフボーディングが処理されます。
ベンダー・デューデリジェンス
サードパーティおよび再委託先は、採用前にデューデリジェンスを受けます。
ISO 27001およびISO 9001の取得に向けて取り組み中
当社の取り組みは、ISO 27001（情報セキュリティ）およびISO 9001（品質管理）の要件に準拠しています。正式な認証取得に向けて検討を進めており、完了次第、ここに証明書が掲載されます。
BannersnackにおけるAI
現在、製品内でのAIの使用は行っておりません。また、お客様のコンテンツがAIモデルのトレーニングに使用されることもありません。私たちのAIポリシーは、あらゆるAI機能のリリースに先立ち、透明性、同意、管理という明確なルールを定めています。
AIポリシーを読む →
セキュリティ・レビュー・チェックリスト
査読者が質問する6つの領域
セキュリティ質問票のクイックマップ — 以下の各項目については、このページで詳しく説明しています。
ガバナンス＆リスク
✓ 定義されたインシデント対応プロセス
✓ ベンダーおよび再委託先（サブプロセッサー）のデューデリジェンス
✓ 社内セキュリティ研修
✓ ISO 27001 / 9001に準拠したプラクティス
ID とアクセス
✓ 全スタッフに対するMFA（多要素認証）の必須化
✓ 最小権限のきめ細かなロール
✓ 名前空間スコープでのKubernetesアクセス
✓ VPN経由の公開鍵認証のみのSSH
データ保護
✓ すべてのトラフィックに TLS 1.2 以上を適用
✓ AWS KMSによる保存時のAES-256暗号化
✓ 論理的な顧客セパレーション
✓ シークレットは暗号化され、コード内には決して保存されません
インフラ・ネットワーク
✓ プライベートVPC — データベースがインターネットからアクセスされることはありません
✓ WAF、レート制限、セキュリティヘッダー
✓ DDoS保護 (CloudFront + Shield)
✓ コードとしてのインフラストラクチャ（ピアレビュー済み）
レジリエンスと事業継続性
✓ マルチAZアプリケーション層
✓ 毎日バックアップ、15日間のポイントインタイムリカバリ
✓ 専用のフェイルオーバー機能
✓ 測定された平均稼働率 99.99%
サードパーティおよびコンテンツのリスク
✓ Stripe限定、PCI-DSS準拠の決済
✓ サブプロセッサー（復委託先）リストおよびデューデリジェンス
✓ 埋め込みコンテンツに対する Google セーフ ブラウジングのスキャン
✓ 暗号署名されたエンタープライズAPI
11 — エンタープライズ向け
セキュリティチームへの報告義務があるチーム向けに構築
上記の内容すべてに加えて、セキュリティチームや調達チームが求める管理機能と契約書類が揃っています。
役割と権限
ワークスペースのロールによって、閲覧、編集、公開、および請求管理を行えるユーザーを制御します。
アクティビティと監査ログ
管理者は、アカウント全体での編集、削除、コンテンツの変更など、ワークスペースのアクティビティ履歴を確認できます。
署名付きエンタープライズAPI
すべてのAPI呼び出しは、クライアントIDで認証され、APIキーで暗号化署名されます。
広告配信の分離
エンタープライズ向け広告配信は、専用のインフラストラクチャを通じて実行されます。
セキュリティレビューのサポート
回答済みの質問票、提供済みのDPA（データ処理補足合意書）、秘密保持契約（NDA）に基づいて共有されたペネトレーションテストの概要、セキュリティチームとの通話。
優先サポート
Enterprise契約には、定義されたSLAに基づく優先サポートを含めることができます。
12 — 責任ある開示
脆弱性を見つけましたか？
私たちはその報告をお待ちしています。また、善意の調査に対して法的措置を講じることはありません。
弊社は2営業日以内にご報告を受領した旨を返信し、調査の進捗状況を随時お知らせいたします。また、ユーザーのプライバシーを尊重し、サービスの停止を伴わない善意の調査に対しては、法的措置を講じることはありません。機械読み取り可能な詳細情報：/.well-known/security.txt
私のデータはどこに保存されていますか？
AWSの米国（バージニア北部）リージョンでホストされており、公開されたクリエイティブはCloudFrontを介して世界中でキャッシュされます。データ転送の保護措置については、上記の「プライバシーとGDPR」を参照してください。
私のデザインは誰が閲覧できますか？
あなたのワークスペースはサインインが必要であり、チームメンバーは招待によってのみ参加できます。公開または埋め込まれたバナーは、仕様として一般公開されます。共有するデザインについては、リンク自体によって閲覧権限が付与されます。デザインのリンクは信頼できる相手とのみ共有してください。
自分のデータを削除するにはどうすればよいですか？
アプリ内でいつでもデザインを削除できます。アカウント全体の削除や個人データの完全な削除については、プライバシーチーム（上の「プライバシー」セクションにある連絡先）までご連絡ください。法律で義務付けられた期間内（GDPRに基づき1か月以内）に対応いたします。
SSOや二要素認証に対応していますか？
いいえ、現時点では対応していません。強力で固有のパスワードの使用を推奨しています。エンタープライズSSOは現在検討中です。もしお客様のチームにとって重要である場合は、ぜひご意見をお聞かせください。
セキュリティの問題を報告するにはどうすればよいですか？
脆弱性 → 弊社のセキュリティチーム（上記の責任ある開示をご参照ください）。不適切なバナーコンテンツ → bannersnack.com/legal-information/abuse。通常、2営業日以内にご報告を受領した旨をご連絡いたします。
