セキュリティへの取り組み

制定 2026年10月10日

勤怠管理には、従業員の打刻の時刻や休暇の申請など、働く人に関する情報が登録されます。このページでは、それらの情報を守るために当社が行っていることと、提供を始めるときに行うことを分けて説明します。取得する情報と使い道はプライバシーポリシーをご覧ください。

1. 今の公開の範囲

本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。読み込めるスクリプトは本サービス自身のものと、計測を使うときの Google アナリティクスだけに絞っています。

提供を始めるときは、勤怠の記録を組織ごとに分けて保存し、ほかの組織の利用者からは見えず、変えられないようにします。
組織の中では、従業員・上長・管理者の役割を分け、部下の記録を見られるのは上長と管理者だけにします。
利用者の AI から使う接続の口（MCP）と API は、ログインした方の組織と権限の範囲の中だけで読み出しと下書きができる作りにします。打刻・承認・月の締めは、AI からはできません。

ログインは Apple・Google・Microsoft のアカウントで行う方式にします。当社はパスワードを持ちません。
ログインの途中の確認には、なりすましを防ぐための仕組み（PKCE・state・nonce）を使います。ログインの状態を持つ Cookie は、このサービスのホストだけで使え、画面のスクリプトから読めない設定にします。

打刻の時刻は、端末の時計ではなく当社のサーバーの時刻で記録します。
打刻を直すときは申請と承認を通し、元の打刻・直した値・承認した人を残します。管理者が直すときも同じ記録を通します。
位置情報は、組織が選んだときだけ打刻のときに1回、丸めた値と決めた範囲の中かどうかだけを残します。位置の追跡や地図は作りません。顔や指紋などの生体情報は扱いません。

事業者	任せること	渡す情報
Cloudflare, Inc.	画面の配信、アプリの実行、データの保存	通信の内容（暗号化して中継します）、提供を始めた後は勤怠の記録
Functional Software, Inc.（Sentry）	不具合の発見	エラーの内容。URL のクエリとパスの中の番号、Cookie、入力した内容、利用者の情報は送る前に取り除きます
Google LLC（Google アナリティクス）	使われ方の集計	見た画面の URL（クエリを除きます）、ブラウザと端末の種類。氏名・メールアドレス・打刻の時刻は送りません

当社のサーバーでは AI を使いません。集計・有給休暇の付与・法令に照らしたお知らせは、決めた規則のとおりにプログラムで計算します。
勤怠の記録を当社から AI の事業者に送ることはありません。利用者が自分の AI から接続の口（MCP）を使うときは、その利用者の権限の範囲の記録が、利用者の AI に渡ります。

障害に気づいたときや、本サービスの脆弱性を見つけたときは、次の窓口にメールでお知らせください。内容を確認し、対応します。

調べるときは、ほかの利用者の情報を見たり変えたりしないでください。大量の通信でサービスを止めることも控えてください。個人情報の漏えいが起きたとき、または起きたおそれがあるときは、法令に従い、個人情報保護委員会への報告と、影響を受ける方へのご連絡を行います。

以上