セキュリティ
最終更新：2026年11月5日
要点：脆弱性を見つけた場合は info@planitude.app までご連絡ください。3 営業日以内に返信します。以下に、お客様のデータをどのように保護しているか、インシデントが発生した場合にどう対応するかを記載します。
脆弱性の報告
件名を「Security」として info@planitude.app 宛にご連絡ください。発見した内容、見つけた場所（ページ、アドレス、機能）、再現手順、攻撃者がその脆弱性で何を行える可能性があるか、使用したアカウントまたはテストデータをお知らせください。スクリーンショットや簡単な概念実証（PoC）があると助かります。実在する個人データは送らないでください。すべての報告について 3 営業日以内に受領をお知らせし、修正されるまで状況をお伝えします。イタリア語または英語でご連絡いただけます。
調査にあたってのルール
テストはご自身のアカウントとデータのみで行ってください。他のユーザーのデータへのアクセス、変更、削除、サービス拒否攻撃や負荷テスト、当社のチームやユーザーに対するソーシャルエンジニアリングやフィッシング、スパムの送信は行わないでください。他人のデータにアクセスできてしまった場合は、そこで作業を止めて当社にお知らせください。問題を公表する前に、修正のための妥当な期間をいただけますようお願いします。報告から最長 90 日をお願いしています。
善意に基づく調査
善意で行動し、これらのルールを守っていただいた場合、当社はその調査を理由に法的措置を取ることはありません。このページは違法な行為を認めるものではなく、当社が利用するプロバイダーなどの第三者を拘束するものでもありません。報奨金は支払っていません。
対象外の報告
通常、当社から返信しない報告は次のとおりです。影響が示されていないセキュリティヘッダーの欠如、Self-XSS、機微なデータを扱わないエンドポイントのレート制限、古い、またはサポートが終了したブラウザにのみ影響する問題、悪用できることの証明がない自動スキャナーの結果。
データの保護方法
サイトとアプリは HTTPS のみで提供し、TLS 1.2 以降と HSTS を使用しています。通信は Cloudflare を経由します。サーバーはドイツにある IONOS のサーバーです。オフサイトのバックアップは暗号化し、欧州連合内に保管して、最長 30 日間保持します。パスワードは bcrypt ハッシュとしてのみ、API キーはハッシュとしてのみ保存します。Jira、Azure DevOps、Slack などの連携サービスから受け取るアクセストークンは、保存時に暗号化しています（AES-256-GCM）。当社のシステムへのアクセスは必要な担当者に限定しており、アプリケーションは管理者アカウントではなく専用のアカウントでデータベースに接続します。
セキュリティインシデント
インシデントを発見した場合、または報告を受けた場合は、調査し、封じ込め、修正します。個人データが影響を受けた場合は、該当するお客様に不当な遅滞なくお知らせします。また、GDPR で求められる場合は、72 時間以内に管轄の監督機関に通知します（第33条および第34条）。Jira などの連携サービスについては、プラットフォーム提供者の規約で求められる場合、提供者にも通知します。お客様としてセキュリティ上の問題を報告する場合は、info@planitude.app までご連絡ください。
連絡先
このページに関するお問い合わせ：info@planitude.app