セキュリティ

DenchoAIは、領収書・請求書と帳簿データを扱うサービスです。ユーザーが安心して試せるよう、セキュリティ対策と運用方針を公開できる範囲で明示します。

主に、次の4点を大切にしています。

1. データはGoogle Drive (= ユーザー所有) に保存。解約後もデータはユーザー側に残ります。
2. 決済はStripe。クレジットカード情報は当方では持っていません。
3. AIは下書きまで。登録・修正・破棄は必ずユーザーが確認します。
4. 持ち出し自由。CSV出力でいつでもデータを取り出せます。Lock-inなし。

下記に、公開できる範囲で何を実施しているかをまとめました。

領収書・請求書というセンシティブなデータを扱うため、以下の対策を実施しています。

※ 上記は公開できる範囲の自己点検結果です (= 外部監査ではありません)。各項目の技術的な詳細は下のセクション (= 3 〜 12) をご覧ください。

DenchoAIは、サービス内の管理データと、お客様が保有するDrive上のファイルを分けて扱う設計を採用しています。

• 当方の管理データ（データベース）：登録・修正・破棄履歴、ユーザー情報、決済情報、操作履歴を保持。クラウド上にホスト。
• お客様のDrive上のファイル（Google Drive / Google Sheets）：証憑画像、PDF、CSV、スプレッドシートをお客様自身のGoogleアカウント内に作成。お客様が所有権を持ちます。
• 一時状態（処理キャッシュ）：処理中のセッション情報やロック。短時間で自動削除（最大2時間）。

この設計により、当方のサービスが停止しても、お客様の経費データはGoogle Drive内に残ります。

通信経路の暗号化

• すべての通信はHTTPSで暗号化 (= 業界標準TLS 1.2以上)。
• 証明書管理と通信経路の保護 (= CDN経由)。
• LINE / Stripe / Google等の外部サービスとの通信もすべてHTTPSで実施。

保存時の暗号化

• 連携アクセストークン / リフレッシュトークンを業界標準の強度で暗号化して保管。平文では保持しません。
• データベース自体もクラウド側の仕組みで保存時暗号化されています。
• バックアップも暗号化された状態で保管。

本人確認

• LINEログインによるユーザー認証 (= LINE公式の認証フロー)。
• Googleアカウント連携 (= Google公式OAuthの推奨方式、改ざん耐性あり)。

通信の改ざん検知

• LINEからの通知は署名を検証し、不正なリクエストはサーバー側で拒否。
• Stripeからの決済通知もStripeが付与する署名を検証し、改ざんされた通知は拒否。

ユーザーごとのデータ分離

• すべての仕訳データはユーザーIDに紐づけてアクセス制御しており、他ユーザーのデータを参照できない設計です。
• 各ユーザーのGoogle Drive / Google Sheetsは、それぞれ別のGoogleアカウントの所有領域に保存されます。
• 当サービスはdrive.fileスコープのみを使用しており、当サービスが作成したファイル以外にはアクセスしない設計です。

主要な操作 (登録・修正・破棄・課金・連携等)は監査ログに記録されます。

• 各レコードはハッシュチェーンで連結されており、後から改ざんされた場合に検出可能です。
• 監査ログの保存期間は7年間 (電子帳簿保存法の保存期間を意識した設計)。
• ログは追記型で履歴を残し、編集・削除ではなく追加記録で扱う設計です。

DenchoAIは令和5年改正後の電子帳簿保存法 (電子取引の保存要件)を意識した設計で、保存要件の整理 / 確認を支援します。法的な全要件適合を保証するものではありません。

• 真実性の確保：監査ログとハッシュチェーンによる改ざん検知。
• 可視性の確保：日付・金額・取引先による検索が可能。
• 保存期間：7年間（青色申告者・法人）。
• 保存形式：原本の証憑画像をGoogle Driveに保存。仕訳データは当方データベースとGoogle Sheetsに保存。

詳しくは電子帳簿保存法とはをご覧ください。

当サービスは、AI解析や決済処理のため、以下の海外サービスにデータを送信する場合があります。

• OpenAI API（米国）：証憑画像のAI解析。
• Google Vision API / Gemini API：OCR・AI解析（リージョンはGoogleが管理）。
• Stripe（グローバル）：決済処理。

これらのAPIは、各サービス事業者のAPI利用規約に基づき、AIモデルの学習・改善には利用されない設定で運用しています。詳細はプライバシーポリシーをご覧ください。

お客様はいつでも、ご自身のデータをすべて持ち出すことができます。

• Google Drive / Google Sheets：お客様のGoogleアカウントの中にあり、当サービスを退会してもお客様の所有物として残ります。
• CSVエクスポート：税理士確認用、税率内訳、freee形式、マネーフォワード形式などのCSVを出力できます。各会計ソフトでの取込互換性は最終確認中です。

• サービス障害・セキュリティインシデント発生時は、速やかにLINE公式アカウント・公式ウェブサイトでお知らせします。
• 重大インシデント発生時は、影響範囲を特定したうえで、対象ユーザーに個別にご連絡します。
• 個人情報漏えい等の重大事案では、法令上必要な場合に個人情報保護委員会への報告および本人通知などを行います。

サービスの責任範囲を明確にしています。

DenchoAIは2026年5月に公開したサービスです。現時点では、外部セキュリティ認証（SOC 2 / ISMS / JIIMA認証など）は取得していません。これらは、利用者数や法人利用の増加に応じて検討します。

現時点でも、原本はユーザーのGoogle Drive、決済はStripe、操作履歴とハッシュによる改ざん検知を意識した設計で残すという方針で運用しています。便利さだけでなく、あとから説明できる状態を作ることを重視しています。

セキュリティに関するご質問・ご懸念事項・脆弱性のご報告も、通常のお問い合わせ窓口で承ります。

→ お問い合わせページへ

脆弱性のご報告には特に感謝しております。報告いただいた内容は適切に確認・対応のうえ、必要に応じて修正版をリリースします。