キーワード

  1. トップ
  2. 認定サービス一覧
  3. クロスアクシア（Cross Axia）

認定番号
生成AI 0003-2610

サービス名称
クロスアクシア（Cross Axia）
サービス概要
現場のリーダー向けに、行動特性の解析やアンケート、生成AIを用いた個人・相性の分析、チーム編成のシミュレーション等を通じて、適切な人材配置や不本意な離職の兆候の可視化を行い、メンバーへのケアや抜擢といった人事労務管理を支援するクラウドサービス
事業者名称
マーカーネット株式会社
認定年月日
2026.10.02
サービスサイト
https://crossaxia.com/
準拠バージョン
1.0
【審査対象項目】【記述内容】必須/
選択		情報開示内容
1開示情報の時点開示情報の日付
開示情報の年月日（西暦）
必須2026年8月28日
事業所・事業
2事業所等の概要事業者名事業者の正式名称（商号）必須マーカーネット株式会社
法人番号9010001081600
3設立年月日事業者の設立年月日（西暦）必須2000年3月27日
4事業所事業者の本店所在地必須〒160-0023　東京都新宿区西新宿六丁目11番3号　Dタワー西新宿16F WeWork
事業者ホームページhttps://www.markernet.co.jp/
5事業の概要主な事業の概要事業者の主な事業の概要必須WEBサイトの企画・制作・運用保守、WEBコンサルティングおよびWEB広告運用を行うほか、自社開発のクラウドサービスをASP・SaaS方式で提供している。2000年創業。
人材
6経営者代表者代表者氏名必須塚　尚益
代表者経歴（生年月日、学歴、業務履歴、資格等）選択1971年生まれ。2000年3月 マーカーネット株式会社を設立し、代表取締役社長に就任（現任）。
7役員役員数選択4名（取締役3名、監査役1名）
8従業員従業員数正社員数（単独ベース）必須15名（単独ベース。アルバイトおよび業務委託を含まない）
財務状況
9財務データ売上高事業者の売上高（単独ベース）必須296,123,490円（2026年3月期）
10経常利益事業者の経常利益額（単独ベース）選択52,949,178円（2026年3月期）
11資本金事業者の資本金（単独ベース）必須30,000,000円（2026年3月期）
12自己資本比率事業者の自己資本の比率（単独ベース）選択82.8%（2026年3月期）
13キャッシュフロー対有利子負債比率事業者のキャッシュフロー対有利子負債比率（単独ベース）選択81.6%（2026年3月期）
14インタレスト・カバレッジ・レシオ事業者のインタレスト・カバレッジ・レシオ（単独ベース）選択支払利息の負担がないため算定対象外（2026年3月期）
2026年3月期において支払利息の計上はなく、利払能力の観点での比率算定は該当しない。
15財務信頼性上場の有無株式上場の有無と、「有り」の場合は市場名選択上場無し
16財務監査・財務データの状況該当する財務監査・財務データの状況を、以下より選択する。
①会計監査人による会計監査、②会計参与による計算書類等の作成、③「中小会計要領」の適用に関するチェックリストの活用、④監査役による監査、⑤いずれでもない		選択③「中小企業会計要領」の適用に関するチェックリストの活用
17決算公告決算公告の実施の有無選択無し
資本関係・所属団体
18資本関係株主構成大株主の名称（上位5株主程度）、及び各々の株式保有比率選択塚　尚益（92.83%）、塚　文恵（7.17%）　※発行済株式総数600株
19所属団体所属団体所属している業界団体、経済団体等の名称選択一般社団法人日本情報システム・ユーザー協会（JUAS）会員、公益社団法人新宿法人会
コンプライアンス
20組織体制コンプライアンス担当役員コンプライアンス担当役員の氏名選択代表取締役社長　塚　尚益
21専担の部署・会議体コンプライアンスを担当する社内の部署・会議体の有無と、「有り」の場合は社内の部署名・会議名選択無し。当社は正社員15名の規模であり、コンプライアンスを専担する部署および会議体は設置していない。関連法令の遵守に関する統括は代表取締役社長が行う。なお、個人情報保護マネジメントシステムに基づき、個人情報保護管理者および個人情報保護監査責任者を任命している。
22情報セキュリティに関する組織体制の状況情報セキュリティに関する責任者の有無と、「有り」の場合は責任者名・役職必須有り：代表取締役社長　塚　尚益
情報セキュリティに関する組織体制の有無有り。情報セキュリティ管理責任者のもとに、アプリケーション・システムに関する対応、サーバー基盤に関する対応、および対外的な判断について責任の分担を定めている。あわせて、個人情報保護マネジメントシステムにおいて、個人情報保護管理者、個人情報保護監査責任者、情報システム管理者および個人情報問合せ窓口の役割・責任・権限を定めている。
23個人情報個人情報の取扱い個人情報の取扱いに関する規程等の有無と、「有り」の場合は記載箇所必須有り：個人情報保護マネジメントシステムマニュアル（JIS Q 15001に適合。プライバシーマーク登録番号 第17000972(08)号）、情報管理規定、プライバシーポリシー、および各サービスの利用規約に記載している。
24守秘義務守秘義務契約守秘義務に係る契約又は条項の有無必須有り。当社はプライバシーマーク（JIS Q 15001）の付与を受けており、個人情報保護マネジメントシステムマニュアルおよび情報管理規定において、業務上知り得た情報の守秘義務を定めている。役員および従業員からは「個人情報に関する誓約書」を取得し、在職中および退職後を通じて秘密情報および個人情報を会社の許可なく発表、公開、漏洩、利用しない旨を誓約させている。業務委託先との間では「個人情報の取扱いに関する契約書」を締結している。
守秘義務違反があった場合のペナルティ条項の有無有り。従業員については、就業規則において、業務上重要な秘密を外部に漏洩して会社に損害を与えた場合を懲戒解雇の事由と定め、あわせて損害賠償の責任を退職後も免れない旨を定めている。業務委託先については、「個人情報の取扱いに関する契約書」において、情報を他に漏らした場合その他契約に違反した場合の損害賠償を定めている。
25従業員教育等従業員に対するセキュリティ教育の実施状況従業員に対するセキュリティ教育実施に関する取組状況必須有り：全従業員を対象に年1回以上実施する。個人情報保護マネジメントシステムに基づき、教育計画書により計画し、実施結果を教育報告書および教育受講者一覧表に記録する。
従業員に対するAI特有のセキュリティ教育の実施有無有り：年1回以上実施する。直近は2026年8月17日に実施し、対象者17名全員が出席した（出席率100%）。入力攻撃対策、著作権・法的リスク、倫理的公正性、出力の信頼性確保を含む社内規程12本の読み合わせを行い、自社サービスを具体例として解説した。
26従業員に対する守秘義務等の状 況従業員に対する守秘義務対応の取組状況必須有り。役員および従業員ならびに業務委託先のうち対象情報資産に接する者に対し、情報セキュリティ基本方針および個人情報保護マネジメントシステム関連規程の遵守を求めている。従業員からは「個人情報に関する誓約書」を取得し、業務委託先との間では「個人情報の取扱いに関する契約書」を締結している。あわせて、年1回以上の教育において守秘義務の内容を周知している。
27委託委託情報に関する開示サービス提供に係る委託先（再委託先）の情報開示の可否と、可能な場合の条件等必須本サービスの提供に係る業務を第三者へ委託していないため、当該委託先および再委託先は存在しない。サービスの提供にあたっては、サーバー基盤としてホスティング事業者のサービスを、AI機能として基盤AIモデル提供事業者のAPIサービスを、それぞれ役務の提供を受ける形で利用している。これらの利用状況に関する情報開示は可（秘密保持契約の締結を条件とする）。なお、当社は、個人情報の取扱いを伴う業務を委託する場合に備え、委託先の評価、契約の締結および台帳による管理の手順を個人情報保護マネジメントシステムにおいて定めている。
28委託先に対する管理状況自社の個人情報保護指針に対する遵守規定の有無必須有り。「個人情報の取扱いに関する契約書」において、受託者に対し、個人情報保護法および当社が策定した個人情報保護方針の趣旨を理解し尊重することを求めている。
委託先（再委託先）の個人情報保護等の状況に関する情報提供の可否と、可能な場合の条件等可（秘密保持契約の締結を条件とする）
委託先（再委託先）との守秘義務対応状況有り。「個人情報の取扱いに関する契約書」により、受託者に管理責任者の設置および個人情報へのアクセス制限を義務づけ、複写・複製の制限、目的外利用の禁止および第三者提供の禁止を義務づけ、漏洩等が生じた場合の損害賠償を定めている。また、受託者の雇用契約に機密保持条項を盛り込み、社員教育を行うことを求めている。
委託先（再委託先）の管理方法契約による管理、定期的な報告および再委託の原則禁止による。具体的には、①「個人情報の取扱いに関する契約書」の締結、②受託者から当社への個人情報の取扱状況の書面報告（2年に1回）、③当社の承諾のない再委託の禁止、④当社による受託者の施設への立入りを含む遵守状況の確認、⑤委託先評価シートによる評価および委託先管理台帳による把握、を行う。
29AIリスクアセスメントの実施AI特有のリスク特定・評価プロセスAIシステムのおかれた環境（外部との接続の有無、利用者の属性など）を考慮した、AI特有のリスク（悪意ある攻撃だけでなく、ヒューマンエラーによる設定ミス等によって生じる脅威も含む）特定・評価プロセスの有無と、「有り」の場合は文書名必須〇有り：AIリスクアセスメント実施規程（MN-AI-001）。外部との接続、送信するデータ、学習への利用、利用者の属性、出力の用途、自動化の程度を前提として明示したうえで、出力の内容・入力・運用および設定（ヒューマンエラー）・可用性および依存・利用のされ方の5類型についてリスクを特定し、影響の大きさ、発生の可能性、現在の対策、残存リスク、対応方針を記録する。新たなAI機能の追加、モデルの変更、送信データの変更、出力用途の変更、AIに起因する事象の発生、および前回実施から1年経過のいずれかに該当する場合に実施する。
AIリスクアセスメント報告書等の開示AIリスクアセスメント報告書等の有無と「有り」の場合、開示可能であれば文書名必須〇有り：AIリスクアセスメント報告書（MN-AI-R01 2026年8月版）。2026年8月7日に実施し、代表取締役社長が承認している。5類型20項目のリスクを特定・評価し、過去に実際に発生した事象3件を反映している。
30権利侵害申出・苦情対応窓口権利侵害申出・苦情対応窓口の設置権利侵害申出・苦情対応窓口の設置有無と、「有り」の場合は文書名必須〇有り。各サービスのウェブサイトにお問い合わせフォームを設置し、利用規約において権利侵害の申出および苦情の受付窓口として明示している（クロスアクシア：/contact）。認証を要さず、当社サービスの利用者でなくても申し出ることができる。対応の手順は「苦情および権利侵害の申出への対応規程」（MN-CS-001）に定めている。
対応プロセスの記録対応プロセス記録の有無必須〇有り。申出はフォーム送信の時点で自動的にデータベースへ記録され、管理画面から分類、対応状況（未対応／対応中／完了）、対応メモおよび対応日時を記録する。記録の保存期間は受付日から3年とし、その旨を利用規約に明記している。毎営業日、未対応の申出および通知未達の有無を確認する。
31AIポリシー及び影響評価等AI倫理方針、サービス提供の考え方等並びにインパクトアセスメントの実施AI倫理方針、サービス提供の考え方等並びにインパクトアセスメントの実施有無と、「有り」の場合は文書名必須〇有り。AI倫理方針およびサービス提供の考え方は「AIガバナンス基本方針」（2026年4月1日制定）として当社ホームページで公表している（https://www.markernet.co.jp/ai-basic-policy/）。同方針は、人間中心・尊厳の尊重、安全性の確保、公平性の担保、プライバシー保護、セキュリティ確保、透明性・説明責任の6原則を定め、AI開発者・提供者としての行動指針においてリスクベースのアプローチとインパクトアセスメントの実施を定めている。インパクトアセスメントは、AIリスクアセスメント実施規程（MN-AI-001）に基づき実施し、その結果をAIリスクアセスメント報告書（MN-AI-R01）に記録している。
ユーザーデータ保護方針、知的財産権保護方針・責任体制ユーザーデータ保護方針、知的財産権保護方針・責任体制の有無と、「有り」の場合、公表していれば文書名やWebページ名等必須〇有り。ユーザーデータ保護方針は各サービスの利用規約に定め、利用者が入力したデータに関する所有権・使用権・著作権その他の権利が原則として利用者または正当な権利者に帰属すること、当社はサービスの提供および保守に必要な範囲においてのみ利用すること、利用者データをAIモデルの追加学習に利用しないことを明示している。知的財産権保護方針および責任体制は「知的財産権保護方針および責任体制」（MN-LEG-001）に定め、知的財産権に関する判断の責任者、権利侵害の申出への対応の責任者、外部著作物のライセンス確認の責任者を置いている。これらの内容は各サービスの「AI利用の透明性について」のページで公表している。
AIシステムのライフサイクル管理ライフサイクル各段階の検証・承認プロセスの有無と「有り」の場合は文書名選択有り：AI機能ライフサイクル管理手順（MN-AI-003）。企画・実装・変更前の検証・リリース前の確認・リリース後の確認・廃止の各段階における確認事項と、管理責任者による承認の要件を定めている。承認の記録は変更内容とともに保管する。
32文書類情報セキュリティに関する規程等の整備情報セキュリティに関する基本方針・規程・マニュアル、リスクアセスメント結果等の状況と文書名必須〇有り：情報セキュリティ基本方針（MN-SEC-001）、セキュリティインシデント対応規程（MN-SEC-002）、サービス設定不備の防止に関する方針（MN-SEC-003）、AIリスクアセスメント実施規程（MN-AI-001）、AIリスクアセスメント報告書（MN-AI-R01）。基本方針では、法令等の遵守、責任の明確化、リスクに基づく管理、技術的対策の実施、インシデントへの備え、継続的改善を定め、現に稼働している技術的措置を記録している。
33事業継続に関する規程の整備事業継続に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名必須有り：事業継続基本方針（MN-BCP-001）。想定する6つの事象、優先して復旧する業務の順序、目標復旧時間、データの保全、体制および役割、利用者への通知、教育および訓練を定めている。
BCP対応計画及び運用手順等の開示の可否と、可能な場合の条件等可（秘密保持契約の締結を条件とする）。なお、本方針の概要は情報開示において開示するが、本方針に基づく個別の対応計画および運用手順は社内文書として取り扱う。
34勧誘・販売・係争に関する規程等の整備勧誘・販売に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名必須有り：販売および表示に関する方針（MN-SLS-001）。販売経路を当社ウェブサイトおよび各サービスサイトからの申込みに限定し、料金・契約条件の表示の一元化、事実に反する表示および著しく優良と誤認させる表示の禁止、AIに関する表示の特則を定めている。
係争に関する規程・管轄裁判所等、係争が生じた際の対応に関する情報を含む文書類の有無と、「有り」の場合は文書名有り：各サービスの利用規約に、準拠法を日本法とし、当社の本店所在地を管轄する裁判所（東京地方裁判所等）を専属的合意管轄とする旨を定めている。勧誘、販売または表示に関する苦情を受け付けた場合の対応は「苦情および権利侵害の申出への対応規程」（MN-CS-001）による。
35ASP・SaaSの苦情対応に関する規程等の整備ASP・SaaSの苦情処理に関する基本方針・規程・マニュアル等の有無と、「有り」の場合はそれらの文書名必須有り：苦情および権利侵害の申出への対応規程（MN-CS-001）。受付窓口、受け付ける申出の種類、受付・事実確認・措置・回答の手順、記録と再発防止を定めている。
ASP・SaaS事業者の事故責任の範囲と補償範囲が記述された文書の有無と、「有り」の場合は文書名有り：各サービスの利用規約に、AI生成コンテンツの非保証、分析精度の非保証、意思決定への不関与、データの保存および利用環境に関する免責事項を定めている。また、サービスレベル（SLA）において、目標値に達しなかった場合に利用料金の返金、減額その他の補償を行わない旨を明示している。
36利用者による設定不備の抑止・防止に係る規程等の整備サービス提供の際の利用者による設定不備を起こさせないための基本方針・規程・マニュアル等の有無と「有り」の場合は文書名必須有り：サービス設定不備の防止に関する方針（MN-SEC-003）。「クラウドサービス利用・提供における適切な設定のためのガイドライン」の評価項目に沿って、IDとアクセス管理、ロギングとモニタリング、オブジェクトストレージ、インフラ管理、鍵管理、データベース等の各類型ごとに対策を定め、利用者が行う設定に対する措置および設定項目の管理（予防的措置・発見的措置）を規定している。
サービス基本特性
37サービス内容サービス名称本ASP・SaaSのサービス名称必須クロスアクシア（Cross Axia）
38サービス開始時期本ASP・SaaSのサービス開始年月日（西暦）必須2026年3月20日
サービス開始から申請時までの間の大規模な改変等の有無と、「有り」の場合は改変年月日（西暦）有り：2026年7月9日　タイミング・オプティマイザーの分析要因を拡充し、当社が提供する「戦術日報ショウヘイ」に蓄積される日報の内容を分析に加味する機能を追加した（両サービスを利用する場合に適用）。
39サービスの内容・範囲本ASP・SaaSのサービスの内容・特徴必須人材の配置と離職予防に特化した、現場のリーダー向けのAI組織シミュレーションサービスである。行動特性のサイクル解析と動的アンケートにより、本人も言語化しにくい不本意な離職の兆候を検討材料として提示し、配置・ケア・抜擢の判断を支援する。主な機能は、個人の分析、1対1の相性分析、相性マトリクス、チーム編成の可視化（Team Simulator）、社員アンケートによる行動特性分析、および状態変化の見込みを提示するタイミング・オプティマイザー分析である。分析結果は判定ではなく検討材料として提示し、画面上に解釈の仕方を併記する。すべての退職を引き止めるのではなく、本人の意図に反した離職に対象を絞る設計としている。分析に用いる社員本人の情報については、本人へ署名付きURLを送付し、利用目的を明示して同意を取得する。同意しない場合も既定値により分析は継続され、本人に不利益は生じない。クロスアクシアにおいて生成AIを利用するのは、個人の分析、1対1の相性分析、チームの調和性の分析、社員アンケートによる性格・行動特性の分析、相性マトリクスの生成、タイミング・オプティマイザー分析、ならびにコンディションサーベイの設問生成および回答の解釈である。いずれもGoogle LLCが提供するGeminiシリーズの基盤AIモデルを利用しており、当社が利用者データで独自に学習させたモデルは用いていない。一方、バイオリズムおよび行動特性サイクルの算出、アンケートの配信・回収および集計は、生成AIを用いない計算処理である。なお、離職リスク者への対応支援に関する技術について、当社は特許出願を行い、1件は2026年8月13日に特許査定を受領している（特願2026-077302）。
他の事業者との間で行っているサービス連携の有無と、「有り」の場合はその内容有り。当社が提供する「戦術日報ショウヘイ」と相互に連携する。社員情報を双方向に連携できるほか、両サービスを利用する場合には、当該サービスに蓄積された日報データを本サービスの分析へ供給する。いずれか一方の契約で両サービスを利用でき、料金は重複しない。本サービスは単独でも利用できる。
40サービス提供時間サービスの提供時間帯必須24時間365日。ただし、計画的なメンテナンスによる一時的な中断を行う場合がある。
41サービスのカスタマイズ範囲アプリケーションのカスタマイズの範囲（契約内容に依存する場合はその旨記述）必須アプリケーションの機能そのもののカスタマイズ（個別開発）は行っていない。利用者は、管理画面から次の設定を行うことができる。日報の設問の追加・変更・削除および出現頻度の設定（毎日／曜日指定／月1回／ランダム）、部署・業務別の配信対象の設定、AIキャラクターの設定、リマインダー時刻の設定、利用開始メールの文面の設定、業務連絡の登録および配信制御。
42移行支援本サービスを利用する際における既存システムからの移行支援の有無（契約内容に依存する場合はその旨記述）必須無し。既存システムからのデータ移行を支援するサービスは提供していない。なお、当社が提供する「戦術日報ショウヘイ」からの社員情報の取込みは、管理画面のボタン操作により行うことができる。
43マネージド・サービスやコンサルティング・サービスの提供本サービスのシステム動作環境の設定や運用支援などをマネージド・サービスやコンサルティング・サービスとして提供しているか、または第3者の当該サービスを紹介しているかの有無。「有り」の場合はその概要選択無し。システム動作環境の設定や運用支援をマネージド・サービスまたはコンサルティング・サービスとして提供しておらず、第三者の当該サービスの紹介も行っていない。利用者による設定を支援する手段として、AIによる設問提案および業務連絡提案、利用状況に応じて配信頻度が自動調整される案内メール、ならびに「よくある質問」の公開を行っている。
44AI適正利用と責任分担の明示適正利用利用者への注意喚起（個人情報の入力回避や、AI生成物が不正確または権利侵害となる可能性について、利用規約や画面上で注意喚起を行っているか）の有無必須有り。利用規約において、AIによる生成コンテンツに事実と異なる内容（ハルシネーション）、不正確な記述または文脈にそぐわない不適切な表現が含まれる可能性があること、およびその内容が第三者の権利を侵害するものとなる可能性があることを明示している。また、第三者の個人情報を入力する際は当該本人の同意を得るか正当な権限に基づくことを利用者の義務として定めている。日報の入力画面には、入力内容がAIによるフィードバック・要約の生成にのみ利用され、AIの学習には利用されない旨を常時表示している。AIが生成した内容には、その旨と、事実関係は元のデータで確認する旨の表示を添えている。
責任分担人間の判断の有無、ＡＩによる判断に基づく損害賠償責任など責任分担にかかわる事項必須有り。利用規約において、本サービスの出力はあくまで参考情報であり、最終的な人事判断およびマネジメント上の意思決定は利用者自身の責任と判断において行うこと、本サービスは判断の「補助」であり決定の「代行」ではないことを明示している。当社の免責の範囲として、AI生成コンテンツの非保証、分析精度の非保証、利用者が行った採用・配置転換・昇進・退職勧奨その他の人事処遇およびその結果への不関与を定めている。あわせて、本サービスの分析結果やAIの応答を根拠として第三者に対し不当な差別、ハラスメントまたは不利益な取り扱いを行うことを禁止事項としている。
45利用者データ、学習済みモデルの権利及び収集方法利用利用者が入力したデータの利用の有無、内容
同意の取得方法など		必須有り。利用者が入力した社員情報、アンケート回答および分析用データを、行動特性の分析、相性の分析、チーム編成の分析、タイミング・オプティマイザー分析、および動的アンケートの設問生成のために利用する。これら以外の目的には利用せず、第三者への提供・販売は行わない。同意は、契約者についてはアカウント登録の際の利用規約への同意により取得する。分析の対象となる社員本人については、署名付きURLを送付し、AI分析にのみ使用し管理者を含む第三者に閲覧・表示されない旨を明示して同意を取得する。同意しない場合も既定値により分析が継続され、本人の利用は妨げられない。同意の状態は管理画面で社員ごとに可視化・管理する。また、利用規約により、契約者は第三者の情報を入力する際にあらかじめ当該本人の同意を得る義務を負う。
46データ収集方法追加学習等の利用データと収集方法必須無し。当社は、利用者データを用いたAIモデルの追加学習（ファインチューニング等）を行っていない。したがって、利用者データから生成された学習済みモデルは存在しない。この状態は、外部AIサービスについて、入力データが提供元のモデル学習に利用されない提供形態を選定することにより担保している。当該条件は、外部AIモデルの選定基準における必須条件であり、これを満たさない提供元は採用しない。
47権利関係利用者データに関する権利（所有権、使用権、著作権、肖像権など）及び利用者データを使った追加学習後の学習済みモデルの権利の開示有無選択利用者データに関する所有権、使用権、著作権その他の権利は、原則として利用者または正当な権利者に帰属する。当社は、本サービスの提供および保守に必要な範囲においてのみ利用する。AIによる生成物について、当社は権利を主張しない。追加学習を行っていないため、利用者データを用いた学習済みモデルは存在しない。
48サービスの変更・終了サービス（事業）変更・終了時等の事前告知利用者への告知時期（事前の告知時期を1ヶ月前、3ヶ月前、6ヶ月前、12ヶ月前等の単位で記述）必須〇1か月前
告知方法必須利用者の登録メールアドレス宛の電子メール、および本サービス画面上への掲示による。
49サービス（事業）変更・終了後の対応・代替措置対応・代替措置の基本方針の有無と、「有り」の場合はその概要必須無し。当社は、本サービスの変更または終了にあたり、他のサービスへの移行その他の代替措置を提供する義務を負わないものとしており、代替措置に関する基本方針は定めていない。この取扱いは利用規約に明示している。なお、パフォーマンス評価のデータについては、契約期間中、管理画面からExcel形式で出力することができる。
50契約の終了等情報の返却・削除・廃棄契約終了時等の情報資産（利用者データ等）の返却責任の有無と、受託情報の返還方法・ファイル形式・費用等必須返却責任：無し。当社は、契約の終了に際して利用者データを利用者へ返却する責任を負わない。ただし、利用者から契約終了前に申出があった場合は、返還の手段、ファイル形式、実施時期および費用の負担について個別に協議のうえ対応する。なお、パフォーマンス評価のデータについては、契約期間中、管理画面からExcel形式で出力することができる。
情報の削除又は廃棄方法の開示の可否と、可能な場合の条件等可。退会またはアカウント削除の手続が完了した時点で、登録情報、分析結果およびAIによる生成結果を含む全てのデータを本番データベースから削除する。削除は、削除フラグによる非表示化ではなく、データベースから該当する行そのものを消去する処理として行う。利用者アカウントの削除に連動して、関連するデータがデータベースの制約により同時に消去される。無料プランの利用者については退会手続の完了と同時に即時削除し、有料プランの利用者については契約終了日を削除予定日として記録し、日次で実行する処理により削除する（契約終了日の到来から最大で約24時間の遅れが生じる）。削除処理の失敗は記録され、検知できる仕組みとしている。
ただし、次のものは削除の対象外とし、それぞれの期間の経過後に自動的に消去する。操作履歴（操作の内容・日時・接続元のIPアドレス等）および苦情・権利侵害の申出に関する記録は、不正利用の調査、障害の原因究明および法令上の要請への対応のため、退会後も記録日から3年間保存する。アプリケーションの動作ログは90日で消去する。決済に関する記録は決済代行事業者において法令の定めに従い保存される。
また、障害復旧を目的として日次で取得しているバックアップには、取得時点のデータが7日間保持され、その経過後に自動的に消去される。
この方法は利用規約に明示しており、開示にあたっての条件は設けていない。
削除又は廃棄したことの証明書等の提供可。利用者から求めがあった場合、データの削除が完了したことを示す通知を電子メールにより発行する。
51サービス料金料金体系初期費用額必須初期費用：0円
月額利用額Leaderプラン 3,980円／月（税込。対象10名まで）、Managerプラン 9,800円／月（税込。対象30名まで）、Directorプラン 32,000円／月（税込。対象100名まで）。申込みから1か月間は無料で利用できる。当社が提供する「戦術日報ショウヘイ」とは、いずれか1契約で両サービスを利用でき、料金は重複しない。
最低利用契約期間無し。最低利用契約期間の定めは設けていない。
AI機能利用に伴う追加的対価の有無と「有り」の場合、開示可能であれば追加的対価の算定基準無し。AI機能の利用に伴う追加的対価（従量課金、トークン課金等）は設けておらず、月額利用料に含まれる。
52解約時違約金支払いの有無解約時違約金（利用者側）の有無と、「有り」の場合はその額必須無し。最低利用契約期間の定めがないため、利用者側の都合により契約を解約した場合の違約金は発生しない。
53利用者からの解約事前受付期限利用者からのサービス解約の受付期限の有無と、「有り」の場合はその期限（何日・何ヶ月前かを記述）必須無し。解約の申出について受付期限は設けていない。当社は、解約を妨げる目的で手続を遅延させ、または不要な引き留めを行わない。
54サービス品質サービス稼働設定値サービス稼働率の目標値必須目標稼働率：月間99.0%
サービス稼働率の実績値期間：2026年4月23日〜2026年8月28日（外形監視の開始日から申請日まで）
稼働率実績値：99.91%
算定方法：外部監視サービスにより本サービスの公開URLへ約5分間隔でアクセスし、応答が得られない状態を停止時間として計上する。短時間の応答不能については、算定にあたって安全側をとり1回あたり5分として計上した。また、外形監視の性質上、実際にはサービスが稼働している場合でも応答不能として検知されることがあるが、これらを区別せず、検知したものはすべて停止時間に算入している。
なお、サービス開始日（2026年3月20日）から外形監視の開始日までの期間については、稼働率を測定していないため算定に含めていない。
サービス停止の事故歴期間：2026年4月23日〜2026年8月28日
当社がサービスの停止と判断した事故はない。外形監視により応答不能を検知した事象が24件あり、うち23件は1分以上5分以内で復旧している。2026年8月27日の早朝、サーバーの更新に伴い断続的に43分間の応答不能を検知した。いずれについても利用者からの申出はなく、データの毀損は生じていない。これらの検知時間はすべて稼働率の停止時間に算入している。
55サービスパフォーマンスの管理システムリソース不足等による応答速度の低下の検知の有無と、「有り」の場合は、検知の場所、検知のインターバル、画面の表示チェック等の検知方法選択有り。サーバーのCPU使用率、ロードアベレージ、メモリ使用量、スワップ使用量、I/O待ちおよびディスク使用率を継続的に記録している。あわせて、サーバー管理ソフトウェアの監視機能により、実メモリ使用率85%超、スワップ使用率50%超、CPU使用率70%超、ロードアベレージ4超、ディスク使用率85%超のいずれかを検知した場合に運用担当者へ電子メールで自動通知する。また、外部監視サービスにより本サービスの公開URLへ約5分間隔でアクセスし、応答の有無とHTTPステータスコードを確認する。

ネットワーク・機器等の増強判断基準又は計画の有無、「有り」の場合は増強の技術的措置（負荷分散対策、ネットワークルーティング、圧縮等）の概要
有り。指標ごとに閾値を定めた増強判断基準を文書で定めている。閾値を超過した場合の技術的措置として、①不要サービスの停止・棚卸し、②ログのローテーション設定の見直し、③スワップの増設、④メモリ・CPUの増設（ホスティング事業者のプラン変更）、⑤定時実行処理の時間分散、⑥サービスの別サーバーへの分離、を影響の小さい順に選択する。月次で評価を実施し、四半期ごとに評価結果を記録する。
56認証取得・監査実施プライバシーマーク（JIS Q 15001）等、ISMS（JIS Q 27001等）、ITSMS（JIS Q 20000-1等）の取得、監査基準委員会報告書第18号（米国監査基準SSAE16、国際監査基準ISAE3402）の作成の有無と、「有り」の場合は認証名又は監査の名称。また、組織の方針に基づく内部システム監査等を実施している場合はその概要選択プライバシーマーク（JIS Q 15001）を取得している（登録番号 第17000972(08)号、有効期間 2025年12月19日〜2027年12月18日、付与機関 一般財団法人日本情報経済社会推進協会）。ISMSおよびITSMSの認証、ならびに監査基準委員会報告書第18号（SSAE16／ISAE3402）の作成はいずれも行っていない。なお、個人情報保護マネジメントシステムに基づき、年1回以上の内部監査を実施し、その結果をマネジメントレビューに報告している。また、本サービスの稼働環境であるクラウドVPSについては、ホスティング事業者が ISO/IEC 27001 の認証を取得している。
57脆弱性診断脆弱性診断の有無と、「有り」の場合は、診断の対象（アプリケーション、OS、ハードウェア等）と、対策の概要選択有り。2026年7月、ソースコード全体を対象としたセキュリティスキャンを実施し、検出された指摘事項（重要度HIGH 1件、MEDIUM 8件、LOW 3件）を重要度に応じて分類のうえ、5回に分けて段階的に修正し本番へ反映した。各回について適用前後の動作確認を行い、適用順序と切り戻し手順を含む手順書を作成している。実施記録は保管している。あわせて、第三者機関による通信の暗号化設定の検査（Qualys SSL Labs、2026年8月29日実施）において総合評価Aを取得している。
AIシステムに対する敵対的テスト（レッドチーミング等）の実施有無（実装された対策の有効性を確認する観点を含む）と「有り」の場合は、対策の概要無し。AIシステムに対する敵対的テスト（レッドチーミング等）は実施していない。当社が実施しているAIエージェントによる擬似攻撃シミュレーションは、従来型の攻撃手法をシミュレートするものであり、AIモデルの振る舞いに対する敵対的テストとは別のものである。当社は、プロンプトインジェクションへの対策として、区切り子による囲い込み、指示文末尾への一律の指示付与、既知の不正な指示の型の検知および記録、出力側での指示文反響の除去を実装しており、その有効性を、本番環境に蓄積された既存のAI生成テキストに対する誤検知の確認（98件に対し誤検知0件、2026年8月13日実施）および検知パターンの読込みを確認する検証コマンドの実行により確認している。なお、検証件数は限定的であり、運用開始後に件数が増えた時点で再度実施することとしている。
58システム動作環境の設定・診断に係る支援ツール等の提供システム動作環境の設定や設定値の診断に係る支援ツール等提供の有無。「有り」の場合は、ツールの概要。選択無し。本サービスは、利用者がシステム動作環境を設定する構成ではないため、設定値の診断に係る支援ツールは提供していない。利用者が管理画面から行う設定については、安全側を既定値とする設計としている。
59学習コンテンツや学習機会の提供システム動作環境そのものや設定に係る学習コンテンツもしくは講習会等の学習機会の提供有無。「有り」の場合はその概要選択有り。次を提供している。①「よくある質問」の公開（導入・機能・データ活用・料金・セキュリティの5分野）。②利用開始時の案内メール（文面は利用者が編集できる）。③利用状況に応じて配信頻度が自動調整される活用案内メール（未稼働の利用者には高頻度、活用中の利用者には低頻度）。④AIによる日報設問および業務連絡の文案提案（業種を入力すると当該業務に即した設問を生成する）。
60バックアップ対策利用者データのバックアップ実施インターバル必須日次

世代バックアップ（何世代前までかを記述）
7世代
61サービス継続サービスが停止しない仕組み（冗長化、負荷分散等）必須冗長化および負荷分散は行っていない。単一のサーバー事業者の環境でサービスを提供しており、待機系の環境を常時稼働させていない。AI機能については、日報要約およびパフォーマンス評価の2機能において、主たる提供元の呼び出しが失敗した場合に別の提供元へ自動的に切り替わる構成としている。その他のAI機能は単一の提供元に依存するが、AI機能が停止した場合も利用者データは失われず、日報の記録および閲覧の機能は継続する。
DR（ディザスターリカバリー）対策の有無と、「有り」の場合はその概要有り。バックアップを日次で取得し7世代分を保持する。論理ダンプ形式で取得し、サービスの稼働サーバーとは別の事業者が提供するオブジェクトストレージ（保管先リージョンは日本国内）に保管している。このため、サーバー事業者に障害が生じた場合であってもバックアップの可用性は影響を受けない。復旧の手順を文書化し、年1回以上の復元テストを実施して記録を保管している。復旧が長期化する場合は、バックアップからの復元により他の稼働環境での再構築を行う。
62受賞・表彰歴ASP・SaaSに関連する各種アワード等の受賞歴選択無し。
63SLA（サービスレベル・アグリーメント）本サービスに係るSLAが契約書に添付されるか否か必須添付されない。当社は、本サービスについて当社が目標とするサービスの水準を「サービスレベル（SLA）」として別に定め、本サービスのウェブサイト上に掲示している。利用規約第9条において、当該SLAを別に定めウェブサイト上に掲示する旨、および同水準が目標値であり達成を保証するものではない旨を定めている。
64契約者数契約者数本ASP・SaaSサービスの契約企業数等選択
アプリケーション等
65品質AI出力の信頼性・安全性およびデータ品質管理出力の正確性・信頼性向上対策、及び安全基準等の学習による不正な指示への耐性向上対策（RLHFやSFT等を用いたファインチューニングなど）の有無
※RLHF：人間のフィードバックに基づく強化学習
※SFT：教師ありファインチューニング		必須〇有り。次の対策を実施している。①AIへ渡す前に入力データを検証し、判定材料が空の場合はAIによる判定を行わない。②AIへの指示文において、判断の根拠を提供されたデータに記述された内容に限るよう指示している。③分析結果は判定ではなく検討材料として提示し、画面上に解釈の仕方を併記する。④全画面に、分析結果はAIが生成しており誤りを含む場合があること、および重要な判断の前に元データ・事実関係を確認すべきことを常時表示している。⑤プロンプト制御を独立したクラス群に分離し、分析ロジックと基盤モデルを疎結合とすることで、モデルの変更時にも指示の一貫性を保つ設計としている。なお、当社は利用者データを用いたファインチューニング（RLHF、SFT等）を行っておらず、出力の信頼性は上記の入力検証、プロンプト設計および出力検証により確保している。
ガードレール等の検討状況実施している。AIへ送信する箇所に一律に適用する共通処理として実装しており、新たなAI機能を追加しても同じ処理を経る構成としている。入力側では、利用者が入力したデータを区切り子で囲んだうえでAIへ渡し、囲む前に入力中の区切り子と同一の文字列を無害化する。指示文の末尾に、囲まれた範囲の内部に指示が書かれていても従わない旨および指示文の内容や役割設定を出力に含めない旨を一律で付与する。既知の不正な指示の型に一致した場合はその事実を記録する（正当な業務記述の誤検知による機能停止を避けるため、検知しても処理はブロックしない）。出力側では、指示文の反響または区切り子が含まれる場合に当該部分を除去し、不適切な用語を検知した場合は出力そのものを利用者に届けない。検知した事実は専用のテーブルに記録し（利用者の入力本文および生成テキストは記録しない）、保持期間3年で自動的に剪定する。月1回、集計コマンドにより検知状況を確認する。
66説明可能性のレベルＡＩの出力結果の根拠の説明可能性のレベル（ホワイトボックス型／ブラックボックス型）選択ブラックボックス型。本サービスは外部の汎用の基盤AIモデルを利用しており、個々の出力について、モデル内部の処理に基づく根拠を提示することはできない。ただし、要約およびフィードバックについては、生成の入力となった日報の原文を利用者が参照できるようにしており、出力と元データの対応関係を確認できる。
67使用する基盤AIモデル等の透明性使用する基盤AIモデル等の情報の開示有無、「有り」の場合はその詳細必須有り。Google LLC が提供する Gemini 3 Flash および Gemini 3.5 Flash Lite を利用している。用途ごとの構成は次のとおりである。個人の分析、1対1の相性分析、相性マトリクス、社員アンケート（行動特性）分析およびタイミング・オプティマイザーのアンケート生成には Gemini 3.5 Flash Lite を、離職予防の中核であるタイミング・オプティマイザー分析には品質を重視して Gemini 3 Flash を用いる。いずれも提供元が学習・提供する汎用の商用モデルであり、当社が独自に学習させたモデルではない。利用するモデルの構成は品質・費用・提供状況に応じて変更することがあり、提供元を追加・変更した場合は「AI利用の透明性について」のページを更新する。なお、サービス開始時は Gemini 2.5 Flash を使用しており、現構成へは環境変数の変更のみで移行している。
68重要システムの場合のリージョン政府、金融、インフラ等重要システムの場合に使用する基盤AIモデル等が稼働するリージョンの開示の有無と、「有り」の場合は、そのリージョン名必須非該当。本サービスは、経済安全保障推進法における特定社会基盤事業者が導入するシステムのうち特定重要設備に該当するものを運用・管理するものではなく、ISMAPに登録されているものでもなく、政府機関のシステムで機密性3以上の情報を扱うものでもないため、重要システムに該当しない。
69公平性・バイアスへの配慮AI出力の公平性を確保するため、不適切用語のフィルタリング等の配慮を行っているか、その実態を開示すること。必須配慮を行っている。①性別・国籍・年齢・出身地・障害の有無・家族構成などの属性に基づく評価・推測・決めつけを行わせないよう、人が読む文章を生成する全てのAIへの指示に明記し、判断の根拠を提供されたデータに記述された内容に限るよう指示している。②AIの出力に不適切な用語が含まれると判定した場合は、当該出力を破棄し利用者に届けない。判定リストの選定にあたっては、正当な業務文の誤検知により利用者の出力が失われることを避けるため、誤検知ゼロを網羅性より優先する設計としており、この結果として判定リストは網羅的ではない。網羅されない範囲については、上記の公平性に関する指示およびモデル提供元の安全フィルタにより担保している。③相性マトリクスの生成およびチームの調和性の分析からは、性別をAIへの入力から除去している。ただし、個人分析、1対1の詳細分析、行動特性分析、コンディション分析およびタイミング分析の各プロンプトには、算命学において運勢の進行方向が性別により決まるという占術上の必要から性別を残している。この点を含め、配慮の実態および分析の考え方と限界は「AI利用の透明性について」のページで公表している。ただし、検知の具体的な条件は、回避を容易にするおそれがあるため公表していない。
70外部連携時のデータ参照制限等の実施有無
RAG（検索拡張生成）等の利用時において、ユーザー権限に応じたデータ参照制限（マルチテナント分離等）や、参照データへの細工によるデータポイズニング攻撃を想定したデータ検証・信頼性確認を行っていること。選択無し。本サービスはRAG（検索拡張生成）を利用していない。AIへ送信するデータは、当該利用者の契約に属する日報および設定情報に限られ、他の契約者のデータが参照されることはない。
71連携他のサービス・事業との連携状況に関する情報提供他のサービスや事業との連携の有無と、「有り」の場合は情報提供の条件等必須有り。当社が提供する「戦術日報ショウヘイ」と相互に連携する。社員情報を双方向に連携できるほか、両サービスを利用する場合には、当該サービスに蓄積された日報データを本サービスの分析へ供給する。2サービス間の内部APIは共有秘密鍵によるHMAC署名で認証し、タイムスタンプの有効範囲の制限と再送検知を行う。連携に関する技術情報の提供は可（秘密保持契約の締結を条件とする）。
72外部AI連携と供給者管理外部AIモデルの選定基準・管理状況必須有り。外部AIサービスの選定基準および管理方法を文書で定めている。選定にあたっては、①入力データが提供元のモデル学習に利用されない提供形態であること（これを満たさない提供元は採用しない）、②データの保存期間および削除条件が明示されていること、③認証情報を環境変数で分離管理できること、④障害時の切替先を確保できること又は当該機能の停止が許容できること、⑤応答時間が許容される時間予算に収まること、⑥費用が許容できる水準であること、⑦出力品質が用途に足りることを確認し記録する。採用・切替の前には実データによる比較を行い、出力品質、所要時間、消費トークン数および推定費用を同一条件で確認する。少なくとも年1回、および提供元の規約・価格・モデル提供状況に変更があったときに見直し、選定基準を満たさなくなった提供元は速やかに利用を停止する。
自社が提供するサービスが動作するサーバー上でのAIエージェントやローカルLLMの利用状況、及びそれらによる外部ツール・システム連携時の権限管理（実行結果がユーザへ与える影響度を考慮し、実行の認可をユーザに都度求める等の対策）の実施状況無し。当社が提供するサービスが動作するサーバー上で、AIエージェントまたはローカルLLMを稼働させていない。AI機能は、外部AIサービスのAPIへHTTPSで送信する構成であり、自社内でのモデル運用は行っていない。AIが外部のツールやシステムを自律的に操作する機能は実装していない。
73セキュリティ死活監視死活監視の有無と、「有り」の場合は死活監視の対象必須〇有り。外部監視サービスにより、本サービスの公開URLへ約5分間隔でアクセスし、応答の有無とHTTPステータスコードを確認する。応答が得られない場合は運用担当者へ電子メールで通知する。あわせて、サーバー内部のCPU使用率、ロードアベレージ、メモリ使用量、スワップ使用量およびディスク使用率について、閾値を超過した場合に自動的に通知する。監視の対象は、アプリケーション（公開URLへの応答）およびサーバーである。
74時刻同期時刻同期への対応の有無と、「有り」の場合は時刻同期方法必須有り。サーバーの時刻はNTPにより同期している。時刻同期への対応方法に関する情報提供は可（秘密保持契約の締結を条件とする）。
75ウイルス対策ウイルス対策の有無必須〇有り。サーバーにマルウェアスキャナーを導入し、日次でスキャンを実施している。シグネチャは提供元により継続的に更新され、サーバー上のエージェントが約30分間隔で更新の有無を確認し自動的に取得する。マルウェアを検知した場合は駆除機能により対処する。ウイルス対策への対応状況に関する情報開示は可（秘密保持契約の締結を条件とする）。
76管理者権限の運用管理システム運用部門の管理者権限の登録・登録削除の手順の有無必須〇有り。管理者権限の発行および削除の手順を文書で定めている。発行は、対象・用途・必要とする期間を管理責任者へ申請し、承認を得たうえで行う。業務上必要な範囲を超える権限は与えない。退職、異動、担当の変更その他により権限が不要となった場合は遅滞なく削除する。運営管理者アカウントの追加・変更・削除・ロックは監査ログに記録される。年1回以上の内部点検にあわせて管理者アカウントの一覧を確認し、不要なアカウントが残存していないことを点検する。アカウントは個人ごとに発行し、複数名で同一のアカウントを共用しない。
77ID・パスワードの運用管理事業者側にて、利用者のID・PWを付与する場合におけるIDやパスワードの運用管理方法の規程の状況必須〇有り。IDおよびパスワードの運用管理方法を文書で定めている。当社は利用者のIDおよびパスワードを当社側で生成して付与していない。契約者（リーダー）は利用登録の際に自らメールアドレスとパスワードを設定する。パスワードは8文字以上とし英字および数字を含むことを要件とし、要件を満たさないものは登録時に拒否する。パスワードは平文で保存せずハッシュ化して保管し、当社の従業員が閲覧することはできない。ログイン試行回数に上限を設け、上限に達した場合は一定時間ロックする。パスワードの再設定は登録メールアドレス宛の有効期限付きリンクによってのみ行う。有効期限は設けず定期的な変更を求めない（定期変更の強制は単純な変更を促し、かえって強度を下げるため）。メンバー（従業員）にはIDおよびパスワードを発行せず、有効期限付きの署名付きURLからアクセスする。
78記録（ログ等）利用者の利用状況の記録（ログ等）取得の状況と、その保存期間及び利用者への提供可否必須〇有り。利用者および当社の管理者による操作の履歴（操作履歴）を取得している。記録する内容は、ログイン、ログイン失敗、ログアウト、管理者アカウントの追加・変更・削除・ロック、メンバーの追加・削除、プランの変更、退会手続き等であり、実行者、操作日時および接続元IPアドレスとともに記録する。保存期間は3年。利用者への提供は可であり、利用者は自己の操作履歴をプロフィール画面から閲覧できる。この取扱いは利用規約に明示している。
システム運用に関するログの取得の有無と、「有り」の場合は保存期間必須有り。アプリケーションログを取得し、保存期間は90日（日次ローテーション）とする。AI利用記録の保存期間は25ヶ月とする。いずれも日次のスケジュールにより自動的に削除する。
ログの改ざん防止措置の有無必須有り。操作履歴の各行はSHA-256によるハッシュ連鎖（直前の行のハッシュを含めて次の行のハッシュを計算する方式）を持ち、検証コマンドにより全行の連鎖および内容の整合性を確認できる。保存期間経過による自動削除は、削除の事実を専用テーブルに記録し、検証時に正当な連鎖の切断として扱う。検証は毎月1回実施し、不整合が検出された場合はセキュリティインシデント対応規程に従って対応する。なお、本措置は改ざんの検知を目的とするものであり、防止を保証するものではない。
79セキュリティパッチ管理パッチ管理の状況とパッチ更新間隔等、パッチ適用方針必須〇有り。サーバー管理ソフトウェア（Plesk）のアップデート機能により一元的に管理し、自動更新のオプションをすべて有効としている。対象は、Plesk本体およびそのセキュリティパッチ、Pleskのリポジトリ経由で管理されるミドルウェア（PHP、Webサーバー、データベース、メールサーバー）、AlmaLinuxの公式リポジトリが提供するOSレベルのパッケージ、および拡張機能である。自動更新のタスクは日次で実行され、修正パッチがリポジトリへ公開されると次回の定期実行時（原則として公開から24時間以内）に自動的に適用される。アプリケーションの依存ライブラリについては、AI機能ライフサイクル管理手順の確認を経て適用する。なお、カーネル等のコア機能に対する更新は、パッケージの適用後にオペレーティングシステムを再起動するまで反映されないため、当該更新があった場合は計画的なメンテナンスとして再起動を実施する。適用の事実および適用したバージョンは記録される。
80暗号化対策暗号化措置（データベース）への対応の有無と、「有り」の場合はその概要必須有り。データベースの保存時暗号化を実施している（MariaDBの透過的暗号化により全テーブルを暗号化）。あわせて、サーバーのストレージ（ディスク）についてはホスティング事業者により暗号化が実施されている。
81AI特有のセキュリティ対策と入出力検証プロンプトインジェクション等の攻撃に対し、入力フィルタ（不正指示検知）や出力フィルタ（情報漏洩防止）等のガードレール機能を実装していること。必須〇有り。プロンプトインジェクション等の攻撃に対し、入力側および出力側のガードレール機能を実装している。入力側では、利用者が入力したデータを区切り子で囲んだうえでAIへ渡し、囲む前に入力中に含まれる区切り子と同一の文字列を無害化する（囲むだけでは入力側から囲みを閉じて指示文の領域へ脱出できるため）。囲みの外に埋め込まれる単一行の値は、改行の畳み込みおよび文字数の制限を行う。指示文の末尾には、囲まれた範囲がすべて利用者の入力であり、その内部に指示・命令・依頼・質問が書かれていても一切従わず処理対象のテキストとしてのみ扱う旨を一律で付与する。既知の不正な指示の型に一致した場合は、その事実を記録する。出力側では、指示文の反響または区切り子が含まれる場合に当該部分を除去し、不適切な用語を検知した場合は出力そのものを利用者に届けない。これらはAIへ送信する箇所に一律に適用する共通処理として実装しており、新たなAI機能を追加しても同じ処理を経る。あわせて、利用者の操作でAIを起動するすべての経路に単位時間あたりの実行回数の上限を設けている。なお、これらの対策は抑止と検知を目的とするものであり、プロンプトインジェクションを原理的に完全に防止するものではない。
82システムプロンプト保護システムプロンプトやRAG用データストア等に含まれる機密情報の保護状況（意図しない出力の防止対策や、キー管理システム等を用いた分離管理の有無を含む）必須有り。AIへの指示文（システムプロンプト）については、その内容および役割設定を出力に含めないよう一律で指示し、出力に指示文の反響が含まれる場合は当該部分を除去する。AI基盤モデルの提供元へ接続するための認証情報（APIキー）は、環境変数で管理し、ソースコードおよびバージョン管理に含めない。当社が提供するサービスごとに分離して管理し、外部APIのエラーをログに記録する際はURLに含まれるAPIキーをマスクする。利用者の入力内容および外部APIのレスポンス本文はログに出力しない。なお、本サービスはRAG用のデータストアを利用していない。
83知財保護の技術的措置技術的措置（電子透かし等）の実施の有無必須有り。AIが第三者の著作物（書籍、記事、歌詞、脚本などの既存の文章）を逐語的に再現しないよう、すべてのAI呼び出しの指示文に一律の禁止を組み込んでいる。利用者が入力したデータそのものの引用・要約・翻訳は、この制限の対象ではない。電子透かしについては、本サービスのAI出力がテキストのみであり、基盤モデルをAPI経由でそのまま利用する構成上これを埋め込む層を持たないため、実装していない。なお、AIによる生成物が第三者の権利を侵害しているとの申出については、各サービスのお問い合わせフォームで受け付け、社内規程に定める手順により対応する。この措置は確率的な抑止であり、権利侵害が生じないことを保証するものではない。
84性能ＡＩ性能対策学習時間、推論時間（利用者の操作に係わるもの）選択当社は利用者データを用いた追加学習（ファインチューニング等）を行っていないため、利用者による学習時間は発生しない。
推論時間（利用者の操作に係わるもの）は、2026年9月の実測により次のとおりである。個人の分析は約7秒、1対1の相性分析は約8秒、チームの調和性の分析は約2秒、社員アンケートによる性格・行動特性の分析は約1.5秒であり、いずれも利用者が画面で結果を待つ同期処理である。
相性マトリクスの生成、タイミング・オプティマイザー分析ならびにコンディションサーベイの設問生成および回答の解釈は、非同期処理として実行するため、利用者が画面で待つ時間は発生しない。結果は処理の完了後に画面上で参照できる。
機能ごとにタイムアウトを設定し、上位の処理のタイムアウトを超えないよう管理している。この上限関係は自動テストにより固定しており、設定値の組み合わせで崩れた場合は検知される。
同一条件の再分析はキャッシュを用いて回避し、AIの呼び出しを行わずに結果を返す。行動特性サイクル解析は毎週自動で再分析し、次回の更新日を画面に明示する。
85設定不備防止設定不備防止対策申請したサービスが該当する「クラウドサービス利用・提供における適切な設定のためのガイドライン」における「【評価項目】　a. クラウドにおけるセキュリティ設定項目の類型」それぞれに対する設定不備防止対策の有無。「有り」の場合は、該当項目と設定不備防止対策の概要必須有り。「クラウドサービス利用・提供における適切な設定のためのガイドライン」の評価項目aの類型に沿って、次の設定不備防止対策を実施している。①IDとアクセス管理：運営管理者と契約者の認証を専用テーブル・専用の認証ガードで完全に分離し、管理画面には接続元IPアドレスの制限と二段階認証を設定している。メンバーはアカウントを持たず有効期限付き署名URLでのみアクセスする。停止・退会した契約者は全リクエストでアカウント状態を検査して遮断する。②ロギングとモニタリング：アプリケーションログおよび監査ログを取得し、保存期間を定めて自動削除する。閾値超過時の自動通知と外形監視を併用する。③オブジェクトストレージ：バックアップの保管先を稼働サーバーとは別事業者のオブジェクトストレージとし、公開設定を行わない。④インフラ管理：OSおよびミドルウェアの更新を自動適用し、マルウェアスキャナー、WAFおよび不正アクセスの自動遮断を稼働させている。⑤鍵管理：APIキー、署名鍵、データベース接続情報を環境変数で管理し、用途ごとに鍵を分離する。ログ出力時にAPIキーをマスクする。⑥データベース：保存時暗号化を実施している。⑦利用者が行う設定：安全側を既定値とする設計とし、利用者に危険な設定を選ばせない。設定値の変更検知・自動復元および定期的な設定値診断は未整備である。
ネットワーク
86センター側ネットワーク回線専用線（VPNを含む）、インターネット等の回線の種類必須インターネット回線。ホスティング事業者が提供するクラウドVPSを利用しており、当社が専用線を敷設するものではない。
87帯域データ通信速度の範囲、帯域保証の有無必須ホスティング事業者が提供するクラウドVPSを利用しており、データ通信速度の範囲および帯域保証について、当該事業者が仕様を公開していないため非開示とする。帯域保証は受けていない。
88セキュリティファイアウォールファイアウォール設置等の不正アクセスを防止する措置の有無必須〇有り。ファイアウォール、WAFおよび不正アクセスの自動遮断を稼働させている。あわせて、管理画面には接続元IPアドレスの制限を設定している。
89不正侵入検知不正パケット、非権限者による不正なサーバ侵入に対する検知等の有無と、「有り」の場合は対応方法必須有り。不正アクセスの自動遮断機能により、認証の失敗等の不正な試行を検知し、当該接続元を自動的に遮断する。遮断の事実はログに記録する。WAFにより不正なリクエストを検知し遮断する。なお、ネットワーク型の侵入検知システム（IDS。不正パケットの検知）は導入していない。検知した事象がインシデントに該当する場合は、セキュリティインシデント対応規程に従い、証拠の保全、被害拡大の防止、原因の調査および恒久対処を行う。
90ネットワーク監視
事業者とエンドユーザとの間のネットワーク（専用線等）において障害が発生した際の通報時間
選択監視対象外。当社と利用者との間のインターネット回線は当社の責任範囲外であるため、当該区間の障害についての通報は行わない。当社が提供する範囲については、外部監視サービスにより公開URLへ約5分間隔でアクセスし、応答が得られない場合に運用担当者へ通知する。利用者への障害通知は、認識後速やかに電子メールおよびサービス画面上への掲示により行う。
91ユーザ認証
ユーザ（利用者）のアクセスを管理するための認証方法、特定の場所及び装置からの接続を認証する方法等
必須〇契約者（リーダー）は、メールアドレスとパスワードによる認証に加え、登録メールアドレスへ送付されるリンクを開くことでログインが完了する二段階の方式とする。運営管理者は、接続元IPアドレスの制限に加え、パスワード検証の後に登録メールアドレスへ送付される確認リンクのクリックを要する二段階認証とする。トークンはハッシュ化して保存し、単回使用かつ有効期限付きとし、使用時はトランザクション内で排他制御を行う。メンバー（従業員）は、アカウント登録を要さず、有効期限付きの署名付きURLからアクセスする。URLの改ざんは署名検証により拒否される。ログイン試行回数には上限を設け、上限に達した場合は一定時間ロックする。
92なりすまし対策（事業者サイド）
第三者によるなりすましサイトに関する対策の実施の有無と、「有り」の場合は認証の方法
必須有り。認証局が発行するSSL/TLSサーバー証明書を取得・使用し、利用者との通信をHTTPSで行う。HTTPでのアクセスはHTTPSへ転送する。あわせて、HTTP Strict Transport Security（HSTS）ヘッダーを付与し、ブラウザに対してHTTPSでの接続を強制している。サーバーの応答からはソフトウェアのバージョン情報を除去している。
93暗号化対策暗号化措置（ネットワーク）への対応の有無と、「有り」の場合はその概要必須有り。利用者との通信（HTTPS）について、TLS 1.3のみを有効とし、TLS 1.2以前のすべてのバージョンを無効化している。暗号スイートはサーバー側の優先順位を適用し、RC4・DES・3DES・MD5等の脆弱な暗号を除外している。HTTPでのアクセスはHTTPSへ転送し、あわせてHSTSヘッダー（有効期間1年、サブドメインを含む）を付与している。第三者機関による検査（Qualys SSL Labs）において総合評価Aを取得している。また、当社が提供する2サービス間の内部APIは、共有秘密鍵によるHMAC署名で認証し、タイムスタンプの有効範囲の制限と再送検知を行う。鍵が未設定の場合は処理を継続せず失敗させる。
94その他セキュリティ対策
その他特筆すべきセキュリティ対策を記述（情報漏洩対策等）
選択次の対策を実施している。①HTTPレスポンスヘッダーにContent-Security-Policyを付与し、読み込み元を制限している。②X-Content-Type-Optionsヘッダーによりコンテンツタイプの推測を抑止している。③サーバーソフトウェアおよびアプリケーション実行環境のバージョン情報を外部に開示しない設定としている。④画面に表示する利用者由来の文字列をエスケープし、クロスサイトスクリプティングを防止している。⑤公開フォームおよび認証経路に送信回数の制限を設けている。⑥OCSPステープリングを有効としている。⑦利用者の入力内容および外部APIのレスポンス本文をログに出力しない。
95ＰＣ側ネットワーク推奨回線専用線（VPNを含む）、インターネット等の回線の種類必須インターネット回線を推奨する。専用線またはVPNによる接続は必要としない。
ユーザ接続回線について、ASP・SaaS事業者が負う責任範囲責任を負わない。当社のサービス提供拠点と利用者との間のインターネット回線は当社の管理の及ばない範囲であり、当該回線に起因して本サービスを利用できない場合について当社は責任を負わない。この取扱いは利用規約に定めている。
96推奨帯域推奨帯域の有無と、「有り」の場合はそのデータ通信速度の範囲必須無し。特定のデータ通信速度の範囲を推奨帯域として定めていない。本サービスは一般的なWebブラウザで利用できるものであり、動画等の大容量の通信を伴わないため、通常のインターネット接続環境で利用できる。
端末
97ＰＣ等
（操作端末）		推奨端末パソコン、スマホ、タブレット、シンクライアント等の端末の種類、OS等必須パソコン、スマートフォンおよびタブレットで利用できる。オペレーティングシステムは、Windows、macOS、iOSおよびAndroidに対応する。専用のアプリケーションのインストールは不要であり、Webブラウザから利用する。
利用するブラウザの種類Google Chrome、Microsoft Edge、Mozilla Firefox および Safari の各最新版に対応する。
ハウジング（サーバ設置場所）
98施設建築物建物形態
データセンター専用建物か否か
必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
99所在地国名、日本の場合は地域ブロック名（例：関東、東北）必須日本（関東地域）
特筆すべき立地上の優位性があれば記述（例：標高、地盤等）選択本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
100耐震・免震構造
耐震数値
必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。

免震構造や制震構造の有無
本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
101非常用電源設備無停電電源
無停電電源装置（UPS）の有無と、「有り」の場合は電力供給時間
必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
102給電ルート異なる変電所を経由した給電ルート（系統）で２ルート以上が確保されているか否か（自家発電機、UPSを除く）必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
103非常用電源
非常用電源（自家発電機）の有無と、「有り」の場合は連続稼働時間の数値
必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
104消火設備サーバルーム内消火設備
自動消火設備の有無と、「有り」の場合はガス系消火設備か否か
必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
105火災感知・報知システム
火災検知システムの有無
必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
106避雷対策設備直撃雷対策
直撃雷対策の有無
必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
107誘導雷対策誘導雷対策の有無必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
108空調設備空調設備
空調設備（床吹き上げ空調、コンピュータ専用個別空調等）の内容
必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
109セキュリティ入退室管理等入退室記録の有無と、「有り」の場合はその保存期間必須本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
監視カメラの有無本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
個人認証システムの有無本項目は、ホスティング事業者（GMOグローバルサイン・ホールディングス株式会社）が提供するクラウドVPSを使用しているが、当該事業者が本項目に関する仕様を公開していないため、非開示とする。
110媒体の保管紙、磁気テープ、光メディア等の媒体の保管のための鍵付きキャビネットの有無選択無し。当社はフルリモートを基本とする体制であり、紙、磁気テープ、光メディア等の媒体により利用者データを保管していない。
保管管理手順書の有無有り。媒体を含む情報資産の取扱いについては、個人情報保護マネジメントシステムにおいて保管管理の手順を定めている。
111その他セキュリティ対策その他特筆すべきセキュリティ対策を記述（破壊侵入防止対策、防犯監視対策等）選択ホスティング事業者は、対象サービス（クラウドVPS）について情報セキュリティマネジメントシステム（ISMS）の国際規格である ISO/IEC 27001 の認証を取得している。当社は、当該事業者が公開する障害情報・メンテナンス情報のダッシュボードを確認するとともに、自社の外形監視（約5分間隔）を併用し、事象の把握を二重化している。
サービスサポート
112サービス窓口
（苦情受付・問合せ）		連絡先電話／FAX、Web、電子メール等の連絡先必須〇電話：03-4595-0186
Web：お問い合わせフォーム（https://crossaxia.com/contact）
FAXによる受付は行っていない。お問い合わせフォームは24時間受け付け、休業日に受け付けたものは翌営業日以降に順次対応する。
代理店連絡先の有無と、「有り」の場合は代理店名称、代理店の本店の所在地と連絡先必須無し。当社は、本サービスの販売経路を当社ウェブサイトおよび本サービスのサイトからの申込みに限定しており、代理店、再販業者その他の第三者を通じた販売を行っていない。
113営業日・時間
営業曜日、営業時間（受付時間）
必須月曜日から金曜日（土曜日、日曜日、祝日および年末年始を除く）　9:00〜18:00
114サポート範囲・手段
サポート範囲
必須操作方法の説明、障害・不具合の受付および対応、苦情および権利侵害の申出の受付、契約・料金・退会に関する手続の案内。

サポート手段（電話、電子メールの返信等）
お問い合わせフォームの送信に対する電子メールでの返信、および電話。
115サービス通知・報告・インシデント対応メンテナンス等の一時的サービス停止時の事前告知
利用者への告知時期（1ヵ月前、3ヵ月前、6ヵ月前、12ヵ月前等の単位で記述）
必須〇1週間前（原則として実施の1週間前までに告知する。緊急を要する場合はこの限りではない）

告知方法
必須利用者の登録メールアドレス宛の電子メール、および本サービス画面上への掲示による。
116障害・災害発生時の通知
障害発生時通知の有無と、「有り」の場合は通知方法及び利用者への通知時間
必須〇有り。本サービスに障害が発生し利用者の利用に支障が生じていることを認識した場合、発生している事象、影響を受ける機能の範囲および復旧の見込みを、認識後速やかに、利用者の登録メールアドレス宛の電子メールおよび本サービス画面上への掲示により通知する。復旧後は、復旧した旨および原因の概要を同様の方法により通知する。掲示はログイン画面にも未認証の状態で表示する設計とし、ログインできない障害の際にも情報が届くようにしている。掲示の記録は3年間保存する。
117セキュリティ・インシデント対応セキュリティに関するインシデントが発生した場合の対応（通知、被害の拡大防止、暫定対処、本格対処など）必須有り。情報の漏えい、滅失、毀損、不正アクセスその他のセキュリティに関する事象が発生し、またはそのおそれを認識した場合、次の対応を行う。①発見者から管理責任者への報告、重大度の判定、および調査に必要なログの退避（証拠の保全）。②被害拡大の防止のための暫定対処（影響を受ける機能の停止、経路・IPアドレスの遮断、認証情報の無効化および再発行、署名URLの失効、該当アカウントの一時停止）。③退避したログに基づく原因の調査（影響を受けた可能性がある範囲と、影響を受けたことが確認された範囲を区別して記録する）。④原因を除去する修正および再現テストの追加による恒久対処。⑤影響を受けるおそれのある利用者への通知（登録メールアドレス宛の電子メールまたはサービス画面上への掲示により、発生した事象、影響を受ける可能性のあるデータの範囲、当社が実施した措置、利用者に依頼する対応および問い合わせ先を通知する）。⑥法令に基づく監督官庁等への報告の要否の判断。⑦発生から収束までの経緯の記録および再発防止の検討。
118定期報告
利用者への定期報告の有無（アプリケーション、サーバ、プラットフォーム、その他機器の監視結果、サービス稼働率、SLAの実施結果等）
必須無し。利用者への定期報告は行っていない。サービスの稼働状況については、目標稼働率および算定方法をサービスレベル（SLA）としてサービスサイト上に掲示している。障害が発生した場合は、認識後速やかに個別に通知する。
本資料のダウンロードはこちら

本資料について本資料は一般社団法人日本クラウド産業協会から公開しております。私的利用・社内利用以外での本資料及び記載情報の転載、複製はご遠慮願います。

ダウンロードする

(注)必須/選択欄の「必須〇」とは、一定の水準を考慮すべき必須開示項目となります。
※本資料は一般社団法人日本クラウド産業協会から公開しております。私的利用・社内利用以外での本資料及び記載情報の転載、複製はご遠慮願います。