1. 専有ソースコードの所有権
Cyfendoは、お客様のソースコードがお客様の組織にとって最も重要な知的財産であることを理解しています。Cyfendoプラットフォームにアップロードされた、またはCyfendoプラットフォームによってスキャンされたソースコード、設定ファイル、リポジトリのメタデータ、またはソフトウェア成果物について、100%の所有権およびすべての知的財産権はお客様が保持します。
Cyfendoは、お客様のアカウントから依頼されたセキュリティスキャンの実行、脆弱性の検出、および修復パッチ案の生成という業務上の目的のためにのみ、お客様のソースコードを処理します。
2. モデル学習への利用ゼロとゼロデータ保持（ZDR）
お客様のコードが、公開または共有のAI/ML基盤モデルのトレーニング、再トレーニング、ファインチューニング、または改善に使用されることは一切ありません。
- 基盤モデルへの取り込みなし：当社のエージェント型推論パイプラインを通じて送信されるお客様の専有コードスニペットおよびASTデータは、上流のAIインフラストラクチャプロバイダーとのエンタープライズ向けゼロデータ保持（ZDR）契約の対象となります。
- 隔離された推論：AI推論の呼び出しはステートレスかつ一時的です。推論後に、プロンプトやソースコードの表現がモデルプロバイダーによってキャッシュされることはありません。
- 顧客間の混入なし：テナントのスキャンデータおよびASTグラフは、専用のテナント名前空間に厳格に分離されています。
3. 一時的なサンドボックスによる隔離
お客様の本番インフラストラクチャを危険にさらすことなく潜在的な脆弱性を検証するため、Cyfendoは、該当する場合の動的検証に、隔離された軽量のサンドボックス（gVisor / microVMなど）を使用します。
- 一時的なライフサイクル：解析用サンドボックスは、スキャンタスクの実行期間に限ってオンデマンドで作成され、タスクの完了時に直ちに破棄されます。
- ネットワークの隔離：サンドボックスは、ネットワークの送信（エグレス）を制限した名前空間で動作し、不正なデータの外部持ち出しを防止します。
- ストレージの消去：ローカルのスクラッチディスクおよび一時的なボリュームマウントは、スキャン成果物の抽出後に自動的に消去されます。
4. エンタープライズグレードの暗号化基準
Cyfendoは、転送と保存の各層にわたってデータを保護するため、堅牢な暗号プロトコルを適用しています。
- 転送時の暗号化：お客様の開発環境、CI/CDランナー、ブラウザ、およびCyfendoのAPIの間で送信されるすべてのデータは、Perfect Forward Secrecy（PFS）を備えた強力な暗号スイートを用いて、TLS 1.3（最低限のフォールバックとしてTLS 1.2）で暗号化されます。
- 保存時の暗号化：保存された検出事項、脆弱性レポート、およびキャッシュされたデータベースレコードは、エンベロープ暗号化と自動鍵ローテーションを用いたAES-256により、保存時に暗号化されます。
5. クラウドインフラストラクチャ、認証の状況、および評価の範囲
Cyfendoは、SOC 2 Type IIおよびISO 27001の認証を受けたデータセンターでホストされるエンタープライズ向けクラウドインフラストラクチャ（Google Cloud PlatformおよびAWSを含みます）上で運用されています。これらのインフラストラクチャの認証は、当社のホスティングプロバイダーの物理的セキュリティおよびプラットフォームのセキュリティを証明するものであり、Cyfendoを独立した事業体として認証するものではありません。Cyfendoのアプリケーションアーキテクチャ、内部アクセス制御、およびソフトウェア開発ライフサイクルは、SOC 2 Type IIおよびISO 27001の管理フレームワークに沿って設計されています。なお、Cyfendoは自社の独立した企業監査をまだ完了していません。
Cyfendoの評価レポートおよび証明書は、評価時点における自動ソフトウェアセキュリティテストの範囲と実証的な結果を記録したものです。これらは実証的なテスト結果を反映したものであり、独立した第三者認証、規制当局による承認、またはアプリケーションに脆弱性がないことの保証を構成するものではありません。
すべてのサブプロセッサーは、厳格なセキュリティベンダーリスク評価を受け、GDPR、CCPA/CPRA、および業界のベストプラクティスに沿ったデータ処理補足契約（DPA）に拘束されます。
6. アカウントデータと運用テレメトリ
当社は、サービスの提供と保護に必要な最小限の運用データを収集します。
- アカウント情報：認証および請求のための氏名、業務用メールアドレス、および組織名。
- 運用メトリクス：利用量に基づく請求およびキャパシティプランニングのための、スキャンしたコード行数（LOC）、スキャン所要時間、タイムスタンプ、および脆弱性件数の大まかな集計値。
- セキュリティ監査ログ：コンプライアンスおよびテナントのセキュリティ監査のための、ユーザーのサインインイベント、APIトークンの使用状況、およびスキャン開始の記録。
7. 脆弱性開示ポリシー（RFC 9116）
当社は、セキュリティ研究者の皆様が当社のプラットフォームを調査し、潜在的な脆弱性を責任ある方法で報告してくださることを歓迎します。当社のセキュリティ開示ポリシーは、RFC 9116規格に準拠しています。
- セキュリティに関する公式連絡先：contact@cyfendo.com
- 正規のセキュリティ仕様：https://cyfendo.com/.well-known/security.txt
- セーフハーバー：当社は、責任ある開示のガイドラインに従って善意で脆弱性を報告するセキュリティ研究者に対し、法的措置を講じないことを約束します。
8. お問い合わせとデータ処理補足契約（DPA）
プライバシーに関するお問い合わせ、GDPRに基づくデータ主体からの請求、またはエンタープライズ向けデータ処理補足契約（DPA）の締結については、当社のデータ保護オフィスまでご連絡ください。
メール：contact@cyfendo.com
事業者：Cyfendo Inc., Security & Compliance Office