何を守るのか、どう守るのか。

データの保管場所

アプリのデータは、ドイツ・フランクフルトのSupabaseに保管しています。エラー監視（Sentry）も同じくフランクフルトでホスティングしています。

一部の再委託先はEU域外の事業者です：Vercel（アプリのホスティング、処理はフランクフルト、米国法人）、Resend（メール）、Anthropic（アシスタント）。これらの移転は、EU-US Data Privacy Frameworkまたは欧州委員会の標準契約条項の対象です。

各社の役割を含む完全な一覧は、委託先一覧ページに掲載しています。

Hokkuがストアでアクセスする情報

Hokkuは、機能に必要なアクセス権限のみをShopifyに求めます：商品、在庫、ディスカウント、カート、テーマ、ファイル、注文、配送、マーケット。

• 注文情報は成果の測定に使用します。読み取るのは注文金額と注文番号です。
• Hokkuは、ストアの顧客の連絡先情報を保存しません。氏名、メールアドレス、住所はいずれも保存しません。
• 訪問はランダムな識別子にひも付けられ、氏名とひも付くことはありません。

すべての通信を検証

• すべての接続にHTTPSを使用しています。ブラウザには、1年間HTTPに戻らないよう指示しています。
• ShopifyからHokkuに送られるメッセージは、すべて署名で検証します。署名が正しくないメッセージは拒否します。
• お客さまのストアから届くリクエストも、同じ方法で検証します。
• Shopify管理画面では、Shopifyが発行する有効期限付きのセッショントークンでアプリが開きます。

技術的な詳細：HSTS max-age 31536000・定数時間で比較するHMAC SHA-256署名・nosniff、Referrer-Policy、Permissions-Policyヘッダー、App Proxyでの厳格なCSP。

データの保持期間

• Hokkuをアンインストールすると、セッションはすぐに削除されます。
• 約48時間後、Shopifyからストアのデータ削除が要求されます。アクセストークン、サポートへのお問い合わせ、会話は削除され、注文番号は匿名化されます。
• 設定は、再インストールされる場合に備えて60日間保持した後、削除します。
• アシスタントとの会話：30日間。
• サポートへのお問い合わせ：12か月。返信先アドレス：90日間。
• 削除したデータは、最大7日間バックアップに残る場合があります。
• 送信したメールのコピーは、メール配信事業者のもとに30日間、さらにバックアップとして7日間残ります。
• ストアの顧客からのデータ開示請求には、30日以内に回答します。

詳細は、プライバシーポリシーと個人情報取扱委託契約に記載しています。

バックアップとログ

• データベースは毎日バックアップしています。各バックアップの保持期間は7日間です。
• Supabaseは次のように述べています：「All customer data is encrypted at rest with AES-256 and in transit via TLS.」(supabase.com/security)
• エラー監視では、個人情報、IPアドレス、リクエストの内容を記録しません。
• サーバーログは1日間、データベースのログは7日間保持します。

コードの監視

• 変更のたびに、コード内に残されたパスワードやキーがないかをスキャンします。
• 使用しているライブラリは、既知の脆弱性データベースと継続的に照合しています。
• これらのライブラリのセキュリティ修正は、自動で提案されます。
• 管理者アカウントへのアクセスは制限され、強固な認証で保護されています。

技術的な詳細：コード変更ごと、および全履歴を対象とした自動チェック・既知の脆弱性の継続的な監視。

脆弱性の報告

support@gethokku.comまでご連絡ください。重大な脆弱性の場合は、件名に「[URGENT]」と記載してください。これらのメッセージは毎日確認しています。

• 5営業日以内に受領を確認します。
• 14日以内に初回の評価を行います。
• 少なくとも月に1回、進捗をお知らせします。
• 90日以内の修正リリースを目標とし、その後、公開日をご相談のうえ決定します。
• 本ポリシーの範囲内で善意に基づいて行われた調査に対して、Hokkuが法的措置をとることはありません。