セキュリティとトラスト

Kitchen Stockerでは、お客様のデータのセキュリティを最優先事項としています。本ページでは、お客様の情報を保護するために当社が実施している技術的・組織的措置と、アカウントの安全を保つためにお客様にご協力いただける方法についてご説明します。

Kitchen Stockerは、広く認められたセキュリティ認証を取得しているクラウドインフラ提供事業者上でホストされています。データは、欧州連合内、または欧州委員会が同等の保護水準を認めた法域に所在するデータセンターに保存されます。

• すべての接続におけるTLS 1.2以上による通信データの暗号化
• データベースにおける保存データの暗号化
• レストラン識別子によるお客様ごとの厳格な分離を備えたマルチテナントアーキテクチャ
• 整合性検証を伴う毎日の自動バックアップ
• 30日間のバックアップ保持ポリシー

プラットフォームへのアクセスは、安全な認証システムとロールベースのアクセス制御によって保護されています。

• パスワードは最新のハッシュアルゴリズム（bcrypt）で保存され、平文で保存されることは決してありません
• 多要素認証（MFA）が利用可能で、オーナーおよび管理者ロールでは必須です
• きめ細かなロールシステム：オーナー、マネージャー、スタッフのロールごとに差別化された権限
• セッションの自動失効と、すべてのデバイスからログアウトできる機能
• ブルートフォース攻撃を防止するためのログイン失敗回数の制限

Kitchen Stockerは、以下を含むセキュアな開発プラクティスを適用しています。

• パラメータ化クエリによるSQLインジェクション対策
• 入力のサニタイズによるクロスサイトスクリプティング（XSS）対策
• フォームおよび重要なエンドポイントにおけるCSRFトークン
• HTTPセキュリティヘッダー：X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy
• 依存関係の定期的なレビューと、既知の脆弱性のあるパッケージの更新

当社は、異常を検知しセキュリティインシデントに対応するため、継続的な監視システムを備えています。

• サーバーおよびクライアントのエラーのリアルタイムでの収集・分析
• 異常なアクセスパターンに対する自動アラート
• 可用性監視を伴うサービスヘルスエンドポイント
• 責任者を明確に定めた、文書化されたインシデント対応手順
• セキュリティ侵害が確認された場合には、EU一般データ保護規則（GDPR、スペイン語略称RGPD）第33条に従い、影響を受けるお客様へ最長72時間以内に通知

Kitchen Stockerのチームは、日々の業務においてセキュリティ原則に従っています。

• 本番環境へのアクセスを、厳密に必要な担当者のみに限定（最小権限の原則）
• 内部システムへのアクセスにおけるVPNおよび多要素認証の使用
• セキュリティのベストプラクティスに関するチームの定期的なトレーニング
• すべての従業員および協力者との機密保持契約の締結

当社は、文書化された災害復旧手順を含む事業継続計画を備えており、重大なインシデントがサービスの可用性に与える影響を最小限に抑えるため、目標復旧時間（RTO）および目標復旧時点（RPO）を定めています。

• アカウントで多要素認証（MFA）を有効にする
• Kitchen Stocker専用の、一意で強固なパスワードを使用する
• 認証情報を共有せず、各ユーザーをそれぞれ固有のアクセス権とロールで追加する
• 店舗で勤務しなくなったユーザーのアカウントを無効化または削除する
• 管理パネルから、アカウントのアクティブユーザーを定期的に確認する

Kitchen Stockerにセキュリティ上の脆弱性を発見された場合は、当社が修正を行いお客様を保護できるよう、公表される前に責任ある形でご連絡くださいますようお願いいたします。

当社のセキュリティチームまでご連絡ください：security@kitchenstocker.com。脆弱性の詳細な説明と再現手順を含めてください。当社は、最長5営業日以内に回答すること、および善意の研究者に対して法的措置を取らないことをお約束します。