安心・安全への取り組み

1. 運営者情報

専任の大規模チームがあるわけではないため、審査や返信に時間がかかることがあります。 運営者・連絡先は公開し、問い合わせできる状態を維持します。

2. 個人情報の取り扱い

全体は プライバシーポリシー に定めます。要点のみ記載します。

収集する情報の例

• アカウント情報（メールアドレス、パスワードのハッシュ、表示名、ユーザーID 等）
• プロフィール（自己紹介、画像、公開用の所在地・連絡先、リンク 等）
• 認証・開設申請の内容（組織名、提出URL、個人認証の申請 等）
• 投稿・操作（記事、コメント、いいね、フォロー、通知 等）
• 技術情報（IPアドレス、ブラウザ種別、アクセス日時、Cookie / セッション 等）
• お問い合わせや、組織アカウント開設申し込みの内容
• セキュリティ関連の記録（ログイン履歴、セッション、パスキーの公開鍵情報 等）

利用目的

• サービスの提供・維持・改善
• ログイン維持、本人確認、不正利用の防止
• 組織認証・個人認証・組織開設プログラムの審査と結果連絡
• お問い合わせへの対応
• 利用規約違反への対応（アカウント停止等）
• 統計・分析（個人を特定しない形を含む）

保存・第三者提供・削除

• 保存 … 利用目的の達成に必要な期間。不要後は削除または匿名化等。法令で必要な場合はその期間
• 第三者提供 … 法令に基づく場合、生命・身体・財産の保護に必要な場合、委託に必要な範囲等を除き、同意なく提供しません
• 確認・変更 … 設定画面からプロフィール等を変更できます
• 開示・削除等の請求 … お問い合わせ または上記メールへご連絡ください

「アカウントの地域を表示する」をオンにした場合のみ、接続情報から推定した国名を表示することがあります（初期設定はオフ）。詳細はプライバシーポリシーを参照してください。

3. セキュリティ対策

以下は、本サービスで実施している主な対策です。 リスクをゼロにするものではなく、低減のための措置です。

通信

• 本番サイトは HTTPS（TLS） で提供します
• HTTP でアクセスした場合は HTTPS へ転送する運用としています
• ブラウザに対し、一定期間 HTTPS を優先する指示（HSTS）を送っています

アカウントと認証

• パスワードは平文では保存せず、ハッシュ化して保管します
• ログイン状態はサーバー側セッションで管理し、Cookie には HttpOnly 等の属性を付与しています（HTTPS 環境では Secure も付与）
• 任意の二段階認証（認証アプリ / TOTP）を利用できます
• 任意のパスキー（WebAuthn）を登録し、対応端末でログインできます
• ログイン履歴の確認、ログイン中セッションの確認・他端末からのログアウトができます
• パスワード再設定は、メールで送る期限付きリンクで行います
• 二段階認証アプリを利用できなくなった場合の、所定の復旧手続きがあります

改ざん・不正利用への対策

• 重要な操作における CSRF 対策
• データベース操作におけるプリペアドステートメントの利用（SQLインジェクション対策）
• 画面表示時のエスケープ等による XSS リスクの低減
• 投稿の公開上限（レート制限）や、必要に応じたロボット対策（reCAPTCHA）
• 画像アップロード時の形式・容量の検証、アップロード領域でのスクリプト実行の制限
• 利用規約違反等に対する、運営によるアカウント停止・投稿の公開停止
• 組織認証・個人認証・組織開設プログラムの審査

HTTP セキュリティヘッダー等

クリックジャッキングや MIME の誤解釈などを抑えるため、次のような応答ヘッダーを付与しています（例）。

• Content-Security-Policy（サイトの動作を維持しつつ、読み込み元を制限）
• X-Content-Type-Options
• Referrer-Policy
• フレーム埋め込みの制限
• Cross-Origin-Opener-Policy など

ヘッダーの内容は、機能追加やブラウザの変化に応じて見直すことがあります。 外部の評価ツールの点数だけを目標にはせず、実害の低減とサービスの継続利用のバランスを取ります。

4. ユーザー側でできること

• 推測されにくいパスワードを使い、使い回しを避ける
• 設定 → セキュリティ から二段階認証やパスキーを有効にする
• ログイン履歴・他端末のセッションを確認し、覚えのない端末があれば切断する
• 公開したくないプロフィール項目や地域表示は設定でオフにする
• 不正ログインの疑いがあるときは、パスワード変更のうえお問い合わせください
• 利用をやめる場合は、アカウント設定から削除手続きができます（30日以内のログインで復元可能な場合があります）

5. アカウントの削除

ユーザーは、アカウント設定から、自己のアカウントの削除を申し込めます。

• 削除手続き後はログアウトし、プロフィールや公開中の記事はサイト上から見えなくなります
• データはサーバー上に最大30日程度残ることがあり、その間にログインするとアカウントを復元できる場合があります
• 期間を過ぎると、アカウントおよび関連データをサーバーから削除します。削除後の復元はできません
• 管理者アカウントなど、一部は画面からの自己削除ができない場合があります
• 詳細は 利用規約 第7条も参照してください

6. 情報漏えいなどのトラブルへの対応

個人情報の漏えい、滅失、き損等を認識した場合、運営は次の方針で対応します。

• 事実関係と影響範囲の把握
• 可能な範囲での被害拡大の抑制と再発防止
• 必要に応じた、影響を受けるユーザーへの連絡（メールまたはサービス上の告知）
• 法令等により届出が求められる場合の手続き

連絡は登録メールアドレスや、本ページ・きじばについてに記載の連絡先、サービス上のお知らせを通じて行うことがあります。

7. 外部サービスの利用状況

サービス提供のため、次のような外部の仕組みを用いることがあります。利用状況は運用により変わることがあります。

• ホスティング … サイトとデータベースの稼働
• メール送信 … パスワード再設定、認証結果、組織開設の案内など
• ロボット対策（Google reCAPTCHA 等） … 設定時。Google の定めに従いデータが処理されることがあります
• 地域推定 … ユーザーが地域表示を有効にした場合、CDN の国情報や IP 情報源を参照することがあります

広告配信ネットワークへの個人情報の売却は行っていません。 アクセス解析などを新たに導入する場合は、必要に応じて本ページまたはプライバシーポリシーを更新します。

8. セキュリティ上の問題を発見した場合

脆弱性・重大な不具合・不正利用の痕跡などを発見された場合は、 詳細な再現手順を不特定多数に公開する前に、次の窓口へご連絡ください。

• 個人運営のため、確認に時間をいただく場合があります
• 善意の報告を不当に扱う意図はありません
• 報告者の情報は対応に必要な範囲で取り扱います