セキュリティと信頼性

関連情報: プライバシーポリシー · 利用規約

1. 概要#

Cleveraは画面録画や製品映像、時にはお客様自身のアプリへのサインインを扱うため、セキュリティを製品の一部として重視しています。私たちは以下の設計原則に基づいています：

• 最小権限のアクセス
• 暗号化されたデータフロー
• メディアへの短期間のアクセス
• オープンウェブに触れるあらゆる要素の明確な分離

2. セキュリティ概要#

3. インフラストラクチャ#

• アプリケーションとデータベース: サーバーはHetzner EU（ドイツ）上のLaravel Forgeで管理されています。PostgresデータベースとRedisキューは、アプリケーションサーバーからの接続のみを受け付け、インターネットからは遮断されています。
• ファイル: 録画データ、アップロードファイル、生成メディアは米国のAmazon S3に保存され、公開用のブランドアセットはEU（スウェーデン）に保存されます。メディアはAmazon CloudFrontを通じて配信されます。
• レンダリング: 動画はデフォルトでブラウザ内でレンダリングされるため、最終的なエンコードはデバイス上で行われます。サーバーレンダリングは米国のAWS Lambdaで実行されます。
• ウェブサイトへのアクセス: ウェブサイトを巡回するコンポーネントは以下の2箇所で実行されます：
  • 自社サイトスキャナー: APIキーへのアクセス権を持たない、制限されたシステムユーザーとして実行されます。アウトバウンドファイアウォールにより、内部ネットワークやクラウドメタデータエンドポイントへのアクセスがブロックされ、サーバーサイドリクエストフォージェリ（SSRF）を防ぎます。
  • ブラウザ利用: AI駆動のブラウジングは、弊社のインフラ外であるBrowser Useの分離されたクラウドブラウザで実行されます。
• データ所在地: データは主に米国およびEUで処理されます。現在、お客様がデータ所在地を選択するオプションは提供しておりません。

4. データ保護#

• 転送時: Cleveraへのすべての通信はTLSを使用します。
• 保存時:
  • アプリケーションレベルで以下を暗号化します：
    • 統合OAuthトークン
    • SSOシークレット
    • お客様自身のプロバイダーAPIキー
    • 一時的なウェブサイト認証情報
    • プロバイダーのダウンロードリンク
  • パスワードは不可逆的なハッシュ値としてのみ保存されます。
  • 保存されたファイルは、クラウドプロバイダーの保存時暗号化（AWS SSE-S3）に依存します。
• メディアアクセス: 非公開メディアは、通常24時間以内に期限切れとなる署名付きリンクを通じてのみ提供されます。アップロードは、一度限りの事前署名付きURLを通じて直接ストレージに送信されます。
• 決済: すべてLemon Squeezyによって処理されます。カード情報は弊社のシステムに一切到達しません。
• データ最小化: 各AIプロバイダーには、ジョブに必要な情報のみを送信します。例えば、共有動画の視聴者分析では、デバイスクラスと国のみを保持します。不正利用防止には、生のIPアドレスではなくキー付きハッシュを使用します。

5. AIプロバイダー#

CleveraはGoogle（Gemini）、Anthropic（Claude）、OpenAIのAIモデルを使用しています。また、AIアバターにはHeyGenを使用しています。

• これらのプロバイダーは、お客様のコンテンツを学習に利用しない商用API規約に基づき利用しています。
• 一部のプロバイダーは、不正利用監視のためにAPIデータを最大30日間保持する場合があります。
• 分析のためにアップロードされた動画ファイルは、ジョブ完了後数時間以内にプロバイダー側から削除されます。
• お客様のコンテンツをAIモデルの学習に使用することはありません。

6. AIによるウェブサイト調査と認証情報#

「AIで録画」およびウェブサイト調査機能は、Browser Useのクラウドブラウザ上でAIエージェントを実行します。

• 認証情報はモデルに渡されません: 実行のために提供された認証情報は、シークレットとしてブラウザに渡されます。AIモデルのプロンプトには一切含まれず、ログからも削除されます。
• 短期間の保存: 弊社側では、認証情報はジョブ実行中にのみ暗号化された状態で保持され、その後破棄されます。
• 調査の制限: 調査実行時には、サインイン、フォーム送信、購入を行わないよう指示されています。
• 保存されたサインインは任意です: デフォルトではオフになっており、サイトごとに有効化されます。いつでも削除可能で、30日間使用されない場合は期限切れとなります。アカウント削除時にすべて消去されます。
• 同意: エージェントがアカウントを使用する前に、設定者はCleveraにアクセス権を与える許可があることを確認する必要があります。
• テストアカウントの使用: 撮影には専用のデモ用またはテスト用アカウントの使用を推奨します。

7. 無料ツール#

clevera.ai/tools で提供している無料ツールはアカウントなしで利用できるため、以下の方法でツールとユーザーを保護しています：

• 当社側でのコンテンツ保存は行いません。 入力内容、アップロードファイル、および生成結果はメモリ上で処理され、レスポンスとして返されます。ディスク、データベース、ログへの書き込みは行いません。エラーログにはAIプロバイダーのエラーメッセージが含まれる場合がありますが、お客様の入力内容は含まれません。
• 公開結果の保存は行いません。 生成結果に共有リンクは発行されません。これらはコピーまたはダウンロードするまで、ブラウザのタブ内にのみ存在します。
• ブラウザ完結型ツールはアップロードを行いません。 当社のメディアツールおよび計算ツールは、ファイルをお客様のデバイス上で処理します。送信されるのは利用記録のみで、ファイルの内容は一切送信されません。
• コンテンツによるファイルチェック。 アップロードされたファイルのタイプは、名前や宣言されたタイプだけでなく、その内容に基づいて確認します。
• サイズ制限。 テキストは最大12,000文字まで。画像は1枚あたり最大4MB、1回につき1〜10枚まで。動画は最大20MB、または公開YouTube動画の最初の10分間まで。字幕については、ブラウザが音声の最初の3分間のみを抽出し、その部分のみを送信します。
• メタデータの削除。 ブラウザは、画像がアップロードされる前に、EXIFデータやGPS位置情報などの写真メタデータを削除します。
• 生のIPアドレスの不使用。 利用制限およびブロックには、IPアドレスまたはネットワークのキー付きハッシュ（HMAC）を使用します。
• ボット対策。 AIツールにはCloudflare Turnstileを使用しています。
• 利用制限と自動ブロック。 IPアドレスおよびネットワークごとに、時間単位および日単位の制限が適用されます。拒否されたリクエストが繰り返されると、24時間の自動ブロックが適用されます。
• 利用上限。 支出上限を設定することで、無料ツールが当社に過度なコストを発生させないようにし、無制限のAI利用を防いでいます。
• プロンプトインジェクション対策。 お客様の入力はデータとしてAIモデルに渡され、当社の指示とは分離されます。モデルのルールにより、トピック外や有害なリクエストは拒否されます。
• AIプロバイダー。 無料のAIツールは、有料プランのGoogle Gemini APIを使用しており、テキストツールには必要に応じてOpenAIを使用しています。いずれもモデルの学習には入力データを使用しません。セクション5で説明されている通り、不正利用監視のためにAPIデータを一定期間保持する場合があります。

8. アカウントセキュリティ#

• 二要素認証： 認証アプリ（TOTP）コードおよびリカバリーコード。
• 新デバイス検証： 新しいデバイスや場所からサインインする際、ワンタイムコードをメールで送信します。信頼済みデバイスも定期的に再検証されます。
• シングルサインオン（SSO）：
  • カスタムプランでSAML 2.0およびOpenID Connectに対応
  • Okta、Microsoft Entra ID、Google Workspace、OneLoginおよびその他の標準的なIDプロバイダーをサポート
  • SSOシークレットは暗号化されます
• Googleサインインはすべてのユーザーが利用可能です。
• レート制限により、サインイン、二要素認証、検証、およびAPIエンドポイントをブルートフォース攻撃や不正利用から保護します。
• チームロール： オーナー、管理者、エディター、コンテンツクリエイター。各ロールでメンバーの閲覧・変更権限を制御します。
• APIトークン： デスクトップレコーダー用のAPIトークンは録画機能に限定されており、プロフィールから取り消し可能です。

9. アプリケーションセキュリティ#

• すべての変更に対するコードレビューと自動テスト。
• CSRFトークン、出力エスケープ、パラメータ化されたデータベースクエリ、署名付きCookieなど、一般的なWebリスクに対するフレームワークレベルの保護。
• アップロードされたSVGファイルのサニタイズ。
• アプリ内に埋め込み可能なサイトを制限するコンテンツセキュリティポリシー（CSP）。
• すべての着信Webhook（Lemon Squeezy、HeyGen、Amazon SES）に対する署名検証。
• シークレットはソース管理外で管理し、最小権限のサービス認証情報を使用。

10. 内部アクセス#

• 本番環境へのアクセスは、必要性のある許可されたスタッフのみに制限されています。
• アプリ内の管理ツールには、個別の管理者ロールが必要です。
• スタッフがお客様のコンテンツを閲覧するのは、ご依頼いただいたサポートの提供、不正利用やインシデントの調査、または法律で義務付けられている場合に限られます。

11. ログと監視#

• アプリケーションログおよびセキュリティログは、トラブルシューティングとセキュリティレビューのため、約14〜30日間保持されます。
• エラー率の上昇、ジョブの失敗、異常な利用を検知してアラートを発信します。日次のコストセーフガードにより、無料アカウントでの過度な利用を制限しています。
• 利用状況とクレジットの計測はCleveraに組み込まれており、サードパーティの計測サービスは使用していません。

12. インシデント対応#

当社は、セキュリティインシデントをトリアージ、封じ込め、解決するための定義されたプロセスに従います。

個人データの漏洩がお客様に影響を及ぼす場合、法律の定めに従い、不当な遅延なく対象のお客様に通知します。GDPRに基づき、必要な場合は72時間以内に監督当局へ通知を行います。

13. バックアップと継続性#

• PostgresデータベースはLaravel Forgeにより毎日バックアップされます。各バックアップはクラウドオブジェクトストレージに保存された圧縮ダンプであり、ストレージプロバイダーによって保存時に暗号化され、7日間保持されます。古いバックアップは自動的に削除されます。
• 当社のサービスはソース管理から再デプロイ可能です。
• レンダリング、リサーチ、生成などの長時間実行されるジョブはキューに入れられ、失敗時には再試行されます。

14. データの保持と削除#

• お客様のコンテンツ： アカウントが有効な間保持されます。
• ゴミ箱： ゴミ箱内のアイテムは7日後に完全に削除されます。
• 未使用の録画： 動画に使用されていない録画は15日後に削除されます。
• アカウント削除： 直ちに開始されます。以下の処理が行われます：
  • サブスクリプションのキャンセル
  • トークンおよび保存されたサインイン情報の取り消し
  • 所有するチームの録画、動画、ファイルの短期間内での完全削除
• バックアップ： 保持スケジュールに従って期限切れとなります。

詳細はプライバシーポリシーをご覧ください。

15. コンプライアンス#

• GDPR、UK GDPR、KVKK： 当社はアカウント、請求、ウェブサイトデータに関する管理者です。お客様のコンテンツについては、データ処理補足条項に基づき処理者として行動します。国際的な転送には、必要に応じて標準契約条項（SCC）、英国補足条項、またはKVKK標準契約を使用します。
• CPRA： 当社は個人情報を販売または共有しておらず、文脈を横断した行動ターゲティング広告も行いません。
• SOC 2 / ISO 27001： SOC 2監査は進行中であり、2027年に完了予定です。2027年にISO 27001認証を取得する計画です。
• DPA： team@clevera.aiにてリクエストに応じて提供可能です。

16. サブプロセッサー#

データカテゴリと場所を含む完全なリストは、プライバシーポリシーに記載されています。DPA（データ処理契約）の規定に基づき、重要な変更がある場合はお客様に通知いたします。

17. 脆弱性の開示#

セキュリティ上の問題を発見された場合は、詳細と再現手順を team@clevera.ai までメールでご連絡ください。

以下の点にご協力をお願いいたします：

• ご自身のアカウントのみを対象にテストしてください
• 他者のデータへのアクセスや変更は避けてください
• サービスの品質を低下させないでください
• 自動化された大量スキャンは避けてください
• 公開前に問題を修正するための妥当な期間を設けてください

ご報告いただいた内容については確認の連絡を行い、進捗状況を共有いたします。ご希望であればクレジットを記載いたします。本ガイドラインに従った善意の調査に対しては、法的措置を講じることはありません。

18. お問い合わせ#

セキュリティと信頼: team@clevera.ai
Clevera Teknoloji AŞ, Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye