Security & Compliance

API利用ログ、履歴を扱う機能、外部プロバイダーを分けてデータの取扱いを確認できるようにしています。

ゲートウェイはFly.ioの東京（nrt）経由で運用。推論は外部プロバイダーが行うため、東京経由は国内でのデータ処理・保存を保証するものではありません。

セキュリティ評価に必要な資料や、第三者監査・認証の状況についてはお問い合わせください。

APIの課金・利用ログにプロンプト・レスポンス本文を記録する項目はありません。これはサービス全体や外部プロバイダーでの非保存を保証するものではありません。チャット履歴など、本文を扱う機能の保存条件は別途確認してください。

利用ログにはユーザー識別子、時刻、使用モデル、トークン数、クレジット消費量、クライアント情報、APIキー識別子、BYOK利用有無などを記録します。保持期間・削除要件については、ご契約前にお問い合わせください。

teai.ioに登録したAPIキーを、対応モデルのプロバイダー認証に使用します（OpenAI / Anthropic / Google / DeepSeek / Moonshot / Qwen）。teai.ioがリクエストを受け取り、持込キーで外部プロバイダーへ転送します。持込キーが適用された場合はteaiのモデル利用クレジットを消費せず、プロバイダー側で課金されます。対象外モデルや有効なキーがない場合は通常経路となります。

バックエンドサービスはFly.ioのプライベートネットワーク内で動作。インターネットから直接アクセスできない構成です。

すべてのリクエストはFly.ioエッジ経由で受け付け。認証、レート制限、リクエスト検証を実施します。

許可リストによるIPアドレス制限を設定可能。特定のネットワークからのみAPIアクセスを許可します。

プライベート接続による企業向け専用ルートを準備中。インターネットを経由せずにAPIにアクセス可能になります。

Fly.io 入口での不正リクエストフィルタリング。SQLインジェクション、XSS、不正なペイロードを検知・ブロックします。

te_ プレフィックス付きAPIキーによる認証。キーはアカウントごとに発行・管理され、即座に無効化が可能です。

アトミックカウンターによるレート制限を実装。DDoS攻撃やAPIの不正利用を防止します。プラン別に制限値をカスタマイズ可能。

認証・キー管理などの対象イベントについて、操作種別・時刻・ユーザー識別子などを記録します。IPの記録はイベントにより異なります。必要な監査範囲・保持期間・削除要件は、ご契約前にお問い合わせください。

対応するモデル・経路では、障害時に代替経路を試します。代替先も利用できない場合などはエラーとなるため、クライアント側でもエラー処理が必要です。

ゲートウェイはFly.io上で運用しています。インフラや外部プロバイダーの障害によって、リクエストが失敗する場合があります。稼働状況はステータスページで確認できます。

RTO（目標復旧時間）・RPO（許容されるデータ損失時間）、バックアップの対象・保持期間・復元可能範囲は、ご契約前にお問い合わせください。

事業継続計画や復旧訓練の記録が導入要件となる場合は、提供可能な資料と対象範囲をご契約前にお問い合わせください。

セキュリティ上の脆弱性を発見された場合は、以下のプロセスで報告をお願いします。

1. 報告: security@enablerhq.com に脆弱性の詳細をお送りください。
2. 確認: 2営業日以内に受領確認をお送りします。
3. 調査: 報告内容を調査し、影響範囲を評価します。
4. 修正: 脆弱性を修正し、報告者に結果を通知します。
5. 公開: 修正完了後、必要に応じてセキュリティアドバイザリを公開します。

日本の個人情報保護法に準拠したデータ取り扱いを実施。個人データの取得、利用、第三者提供について適切な管理体制を維持しています。

EU域内のお客様向けにDPA（Data Processing Agreement）を提供可能。データ処理の透明性と個人の権利を保護します。

電気通信事業法に基づく届出を実施。通信の秘密保護および利用者情報の適切な取り扱いを遵守しています。