セキュリティポリシー（脆弱性のご報告について）

脆弱性のご報告方法

general@smartcontents.co.jp までメールでご連絡ください。ご報告は当社のセキュリティ担当者が対応します。

次の内容を含めていただけると助かります。

• 問題の内容と、攻撃者がそれを使って何ができるか
• 再現手順、または概念実証（PoC）
• 問題を確認されたバージョン、提供形態（クラウド版かローカル版か）、利用環境
• 公表の際にお名前を掲載してよいか（希望される場合）

セキュリティ上の問題について、SNSやブログなど、公開の場には投稿しないでください。また、他のお客様のデータや、ご自身のものではない本番環境に対するテストは行わないでください。ローカル版の問題は、ご自身で用意した環境で確認してください。

当社の対応

修正を提供した際にはお知らせします。修正しないと判断した場合も、その理由とあわせてお伝えします。

報奨金（バグバウンティ）制度は設けていません。

対象範囲

対象：AI Office のWebアプリケーション（クラウド版・ローカル版の両方）、ローカルデーモンとデスクトップクライアント、エージェント実行環境、および本サイト。

対象外：利用者のロック解除済み端末への物理的なアクセスを必要とする問題、当社の従業員やお客様に対するソーシャルエンジニアリング、通信量のみによるサービス拒否、影響が実証されていない自動スキャナーの出力だけの報告、および当社が連携している第三者サービス自体の問題（そのサービスの窓口へご連絡ください）。

協調的な開示

修正を提供するまでの間、公開をお待ちいただくようお願いします。善意で、本ポリシーに従い、他者のデータにアクセスしたり破壊したりせずにいただいたご報告は、攻撃ではなく協力として受け止め、ご一緒に対応します。ただし、本ポリシーの範囲を超えるアクセスや、他者のデータへのアクセス・破壊を伴う行為については、不正アクセス行為の禁止等に関する法律などの法令に基づき対応することがあります。

現在の状況

AI Office は正式リリース前です。ISO/IEC 27001、SOC 2、プライバシーマーク、ISMAP の登録・認証は取得しておらず、外部の脆弱性診断（ペネトレーションテスト）も実施していません。当社のセキュリティ関連文書は、実施していることと実施していないことをそのまま記載しており、実際にない対策があるかのようには記載しません。