セキュリティポリシー
01. 基本方針
株式会社HERMコンサルティング（以下「当社」）は、本サービスが取り扱う家計データの機密性・完全性・可用性を守ることを経営上の重要課題と位置づけ、本セキュリティポリシーを定めます。当社は本方針を全ての業務プロセスに適用し、対策状況を定期的に見直し、継続的に改善します。
02. 通信の暗号化
本サービスの全ページ・全API通信はSSL/TLSにより暗号化します。平文（HTTP）でのアクセスはHTTPSへ自動的にリダイレクトします。証明書の有効期限は自動更新の仕組みにより管理し、失効を防ぎます。
03. 認証・アクセス制御
Googleアカウントによる認証（現行）：本サービスは、家計プランをアカウントに保存する操作についてのみ、Firebase Authentication（Googleログイン）による認証を必須とします。入力・試算・結果表示はログインなしでご利用いただけます（詳細はプライバシーポリシー第4条）。本サービスはパスワードを一切受け取らず、保存もしません。ログイン後、クライアントは有効期限付きのIDトークンを取得し、サーバーへのリクエストごとに Authorization ヘッダで送信します。サーバー側はトークンの署名・発行元・有効期限を検証したうえで処理を実行します。
所有者チェック：家計プランの参照・更新・削除を行うエンドポイントは、すべて認証必須の経路に配置し、検証済みトークンの利用者と当該プランの所有者が一致する場合にのみ処理します。プランに付与する公開識別子（plan_key）は連番の内部IDを外部に露出させないためのものであり、それ単体では権限を持ちません。第三者が plan_key を知り得た場合でも、データにアクセスすることはできません。
認証を要しないエンドポイント：試算計算および制度マスタの参照は、保存データを伴わないステートレスな処理のため認証を求めていません。これらは入力値を受け取って結果を返すのみで、他の利用者のデータを参照・変更することはありません。
管理者向け画面（制度マスタ更新・専門家マスタ管理等）は、一般ユーザーとは別のロールベースアクセス制御により保護し、管理操作の履歴を記録します。
共用端末での利用に備え、ログアウト操作時にはブラウザのローカルストレージに保存した入力内容の控えを消去します。
04. データの保存・バックアップ
家計データはデータベースへの保存時・保存後を通じて適切にアクセス制御された環境に置き、データベースへの直接アクセスをアプリケーションサーバー以外から遮断します。定期的な自動バックアップを取得し、復旧手順を整備します。バックアップデータも本文書の管理対象とし、本番環境と同等のアクセス制御を適用します。
プライバシーポリシー第8条に定める保存期間（TTL）を経過したデータは、バックアップを含め合理的な期間内に削除します。
05. 公開エンドポイントの保護
認証を伴わずに公開される計算・お問い合わせの各エンドポイントについては、以下の対策を講じます。
- CSRF対策（トークン検証）
- サーバー側での型・範囲・必須項目のバリデーション（クライアント側検証はUX目的の補助として併用）
- IPアドレス・利用者単位でのレート制限
- フォーム送信のスパム対策（ハニーポット、必要に応じてCAPTCHA等）
- Cross-Origin設定の最小化（許可オリジンを本サービスのドメインに限定）
06. 委託先・外部サービス管理
サーバー基盤・メール配信等の外部事業者については、選定時にセキュリティ体制を確認し、契約において責任範囲とインシデント発生時の連絡義務を明確にします。外部サービスに送信するデータは必要最小限に限定します。
認証基盤として Firebase Authentication（提供者：Google LLC）を利用しています。同基盤へ渡すのは認証に必要な情報（Googleアカウントの表示名・メールアドレス・プロフィール画像URL・利用者識別子）に限られ、家計データそのものは送信していません。外国にある第三者への提供としての位置づけはプライバシーポリシー第6条に定めます。
07. 脆弱性対応
利用しているフレームワーク・ライブラリ（Laravel等）は既知の脆弱性情報を継続的に確認し、セキュリティアップデートを速やかに適用します。依存パッケージの棚卸しを定期的に行い、サポート終了（EOL）バージョンの利用を避けます。
08. インシデント対応
不正アクセスや情報漏えい等のセキュリティインシデントを認知した場合、被害拡大の防止措置を直ちに講じた上で、影響範囲を調査します。個人情報の漏えいが確認された、またはそのおそれがある場合は、法令に従い所管機関への報告および本人への通知を行い、再発防止策を講じます。
09. 運営体制・教育
本サービスは少人数体制での運営を前提とし、情報セキュリティに関する責任者を明確にします。運営に関わる者は、個人情報保護法および本ポリシーの内容を理解した上で業務にあたり、外部委託は行わず内製での管理を基本とします。体制拡大時は、権限分掌と教育計画を別途整備します。
10. 見直し・監査
本ポリシーおよび実装状況は、サービスの成長段階や法令改正に応じて定期的に見直します。特に制度マスタの年度更新時、認証機能の追加時、決済機能の導入時には、本ポリシーとの整合性を確認します。