信頼性
NOLGIA のセキュリティ
最終更新日：October 4, 2026
データの保護方法、処理する事業者、コンプライアンスへの取り組み、セキュリティ問題の報告方法。
1. ホスティングと暗号化
In short: NOLGIA は米国の Google Cloud で稼働しています。データは転送中も保存時も暗号化されます。
- サーバー、データベース、ファイルストレージ、バックアップ、ログは Google Cloud 上で稼働し、データは米国で保管しています。
- データは転送中も保存時も暗号化されます。
- ファイルは非公開のストレージに保管されます。アプリからは、短時間で期限切れになるリンクを通じてアクセスします。
- 本番システムへのアクセスは、権限を持つスタッフに限られています。
2. ログインとアクセス
In short: パスワードは argon2id でハッシュ化されます。キーとトークンはハッシュとしてのみ保存されます。
- Google、メールアドレスとパスワード、または組織のシングルサインオンでログインできます。
- パスワードは argon2id のハッシュとしてのみ保存され、当社が読み取れる形では保存されません。
- API キー、アクセストークン、共有リンク、招待リンクは、ハッシュとしてのみ保存されます。キーが表示されるのは、作成したときの一度だけです。
- 共有リンクとトークンはいつでも取り消せます。
3. 2 段階認証
In short: パスワードのアカウントには認証アプリやパスキーを追加でき、組織はそれを必須にできます。
- メールアドレスとパスワードでログインしている場合は、設定で認証アプリかパスキーによる 2 段階認証をオンにできます。
- オンにすると、使い切りのリカバリーコードが発行されます。リカバリーコードはハッシュとしてのみ、認証アプリのシークレットは暗号化した形でのみ保存します。
- Face ID、指紋、デバイスの PIN で本人確認するパスキーを使えば、パスワードなしでログインすることもできます。
- 組織は、パスワードでログインするメンバーに 2 段階認証を必須にできます。Google、Apple、シングルサインオンでログインするメンバーはそれぞれのプロバイダーの 2 段階認証の設定に従い、SSO を使う組織は ID プロバイダー側で強制します。
- ログイン方法を変更するときは、パスワードと 2 段階目の認証をもう一度求められます。すべての変更はアカウントのセキュリティ履歴に記録されます。
5. 組織、ロール、SSO
In short: 5 つのロールで、誰が何をできるかを管理します。Enterprise では SAML と OIDC のシングルサインオンと監査ログが加わります。
- 組織には 5 つのロールがあります：オーナー、管理者、請求担当、メンバー、閲覧者。
- Enterprise の組織は、認証済みドメインに対して、SAML 2.0 または OIDC の任意の ID プロバイダーでのシングルサインオンを必須にできます。その場合、そのドメインでは他のログイン方法が拒否されます。
- Enterprise の組織には、組織の操作を記録する書き出し対応の監査ログがあります。
詳しくは Enterprise をご覧ください。
6. お客様のデータの分離
In short: 各アカウントと組織のデータは、他の人のデータと分けて保管されます。
すべてのデータはアカウントか組織に属し、すべてのリクエストは何かを返す前に、その所有者と照合されます。
各 NOLGIA Agent は専用のワークスペースで動作し、他のお客様のエージェントとは分離されています。
7. お客様のコンテンツと AI モデル
In short: お客様のコンテンツを AI モデルの学習には使いません。
お客様のコンテンツを AI モデルの学習には使いません。一部のプロバイダーは、独自の規約に基づき、受け取ったデータをモデルの改善に使う権利を留保しています。プロバイダーがオプトアウトを提供している場合は利用を拒否しており、該当するプロバイダーはサブプロセッサーのページに明記しています。
モデルのプロバイダーが受け取るのは、お使いのモデルに必要な情報だけで、使うときに限られます。
8. データの削除
In short: アカウントは設定から削除できます。データはバックアップやログを含め、30 日以内に消去されます。
アイテム、チャット、アカウント全体を自分で削除できます。アカウントを削除すると、気が変わったときのために 7 日間ロックされ、その後ライブラリ、キャラクター、プロジェクト、NOLGIA Agent のチャットとワークスペース、ログイン情報、トークン、キーを完全に削除します。削除されたデータは、リクエストから 30 日以内にバックアップとログから消去されます。保管するのは、税務と会計に必要な匿名化された記録だけです。詳しいスケジュールはプライバシーポリシーをご覧ください。
9. サブプロセッサーと DPA
In short: お客様のデータを処理するすべての企業と、標準のデータ処理補遺を公開しています。
サブプロセッサーのページには、当社のためにお客様のデータを処理するすべての企業と、それぞれが受け取る情報と所在地を掲載しています。新たな主要サブプロセッサーは、業務開始の 15 日以上前にそこで公表します。
データ処理補遺は、ビジネスのお客様のために当社が処理する個人データを対象とし、侵害の通知や国際移転のための標準契約条項を含みます。
10. コンプライアンス
In short: SOC 2 Type II と ISO 27001 の取得に向けて準備しています。
SOC 2 Type II と ISO 27001 の取得に向けて準備しています。セキュリティ質問票への回答は contact@nolgia.ai までお問い合わせください。
11. 脆弱性の報告
In short: セキュリティの問題を見つけましたか？security@nolgia.ai までメールしてください。
問題の説明、再現手順、攻撃者がそれで何をできるかを書いて、security@nolgia.ai までメールしてください。報告を受け取ったことをお知らせし、修正の間も進捗をお伝えします。
- テストは自分のアカウントだけで行い、他の人のデータにアクセスしたり、変更や削除をしたりしないでください。
- サービスを遅くしたり中断させたりするテストは行わず、フィッシングなどのソーシャルエンジニアリングも使わないでください。
- 公開する前に、問題を修正するための十分な時間をください。
security.txt にも同じ連絡先を記載しています。個人データに影響する侵害が発生した場合は、法律の定めに従ってお客様と当局に通知します。