Adaptyは、数千のモバイルアプリのためのサブスクリプション基盤レイヤーであり、当社のお客様に代わって数十億ドル規模のサブスクリプション取引を処理しています。
この立場には明確な責任が伴います。すなわち、お客様及びお客様のユーザーが当社に託すデータは、慎重に取り扱われ、当社に所属しない第三者によって監査され、特定の個人に依存しない管理策によって保護されなければなりません。
このページでは、当社がそれをどのように実現しているかを説明します。
認証
SOC 2 Type II
独立した公認会計士事務所が、当社のセキュリティ、可用性及び機密保持に関する管理策を検査し、報告対象期間におけるそれらの管理策の運用状況の有効性を対象とするSOC 2 Type II保証報告書を発行しています。最新の報告書は、NDAの締結を条件として、お客様及び見込み顧客にご提供しています。担当のアカウントチーム又は[email protected] までご請求ください。
プライバシー規制
Adaptyは、エンドユーザーのデータを厳格にデータ処理者としてのみ処理し、当社のデータ処理契約に基づくお客様の文書化された指示にのみ従って行動します。当社の処理の実務は、以下の要件を満たすよう設計されています。
- GDPR（EU及び英国）；
- LGPD（ブラジル）。
お客様の法域に上記に記載されていない特有の要件がある場合は、当社までお問い合わせください。通常は対応することが可能です。
当社のデータ保護の方法
暗号化
すべての顧客データは、業界標準の暗号方式を使用して、転送中（TLS 1.2+）及び保存時に暗号化されます。
ネットワーク及びインフラストラクチャ
本番環境は、強化された業界標準の環境で稼働しており、サービス間のネットワークセグメンテーション、制限されたイングレス及びイグレス、並びに本番環境にアクセスできるごく少数のエンジニアに対する最小権限アクセスを備えています。本番環境へのアクセスには多要素認証が必要であり、アクセスはログに記録されます。
継続的な監視
当社のインフラストラクチャ及びアプリケーションのログは一元的に集約され、異常が検知されると自動アラートが発せられ、オンコールのエンジニアが24/7体制でインシデントに対応します。
セキュアな開発
すべてのコード変更は、本番環境に反映される前に、ピアレビュー、自動静的解析、及びCIにおけるセキュリティチェックを経ます。依存関係は追跡され、定められたスケジュールでパッチが適用されます。また、当社は、誰が何をいつリリースしたかを記録する明確なデプロイパイプラインを維持しています。
運用上の取組み
人員
すべての従業員は、入社時及び毎年、セキュリティ意識向上トレーニングを受講します。MFAは、それをサポートするすべての社内システムで必須です。顧客データへのアクセスは制限され、ログに記録され、定期的にレビューされます。
ベンダー
当社がインフラストラクチャ、データ処理又はセキュリティに関して依存するすべての第三者は、利用開始前に文書化されたレビューを受け、定期的に再評価されます。重要なベンダーには、同等の認証（通常はSOC 2 Type II又はISO 27001）の保持が求められます。
レジリエンス
当社は、定められたスケジュールで暗号化バックアップを実行し、重要なサービス全体で冗長性を維持し、災害復旧手順をテストしています。これにより、復旧は、プレッシャーの中で手探りで対応するものではなく、実際に訓練を重ねたものとなっています。
インシデント対応
当社は、定義された重大度レベル、コミュニケーションプロトコル、及びインシデント後のレビューを含む、文書化されたインシデント対応計画を維持しています。
脆弱性の報告
Adaptyにセキュリティ上の問題を発見したと思われる場合は、[email protected] までメールでご連絡ください。当社は、信頼できるすべての報告を調査し、報告者と協力して修正を行い、責任ある開示に従う研究者のクレジットを表記します（匿名を希望される場合を除きます）。
Enterprise向けセキュリティレビュー
Enterpriseのお客様及び見込み顧客は、[email protected] に以下をご請求いただけます。
- 最新のSOC 2 Type II報告書（NDAの締結が条件）；
- 記入済みのセキュリティ質問票（CAIQ、SIG、又はお客様独自の形式）；
- 情報セキュリティポリシーの概要；
- ペネトレーションテストの概要。
