セキュリティ / SECURITY
未公開作品を、安心して預けられる設計
アニメ制作では未公開の作品情報を扱います。AnimaTimeは、派手な認証バッジより 「実装している対策」を正直に示すことを方針としています。以下は現在実装している内容です。
データは国内に保管・暗号化
本番データはSupabase（AWS東京リージョン）に保管され、インフラレベルで暗号化されます。
バックアップは暗号化したうえで、保管場所を分けて国内に保持しています。
通信の暗号化とセキュリティヘッダ
すべての通信はTLSで暗号化し、HSTS（常時HTTPS強制）を全ページに適用しています。
あわせてCSP（コンテンツセキュリティポリシー）、クリックジャッキング防止（X-Frame-Options: DENY）などのセキュリティヘッダを全ページに付与しています。
二段階認証（MFA）・パスキー・パスワード
認証アプリ（TOTP）による二段階認証に対応し、リカバリコードも発行できます。
組織のオーナーは、メンバー全員にMFAを必須化することもできます。
パスキーを登録して、パスワードを使わずにログインすることもできます。
過去に他のサービスから流出したパスワードは、新規登録やパスワード変更のときに使えません。
アクセス制御とテナント分離
役割ベースのアクセス制御（OWNER / ADMIN / MEMBER）で操作権限を分離します。
組織（テナント）間のデータ分離は、アプリケーション層でorganizationIdにより実施しています（Postgres RLSではありません）。実装上の単一の防御線として、横断的なアクセスを設計・テストで防いでいます。
他の組織のデータを指定したリクエストには、存在しないデータと同じ応答を返します。
不正アクセスの検知
他の組織のデータへのアクセスを拒否したときは、その記録を残します。同じ利用者や同じ接続元から拒否が繰り返されると、運営に通知が届きます。
このほか、画面を通らないログイン、パスキーの追加、短時間の大量登録、素材の大量一括ダウンロードなどを毎時確認し、運営に通知します。
アクセスを拒否した記録には、生のIPアドレスやメールアドレスを残しません。この記録は30日で削除します。
メール送信の悪用対策
お試し用のデモ組織からは、招待や発注書の送付など組織の外へ届くメールを送れません。APIキーも発行できません。
組織ごとに、1日に送れるメールの数に上限を設けています。
IPアドレス制限
スタジオ以上・教育機関プラン許可したIPアドレス／CIDRからのみアクセスを許可します。オフィス外からの不正アクセスを防ぎます。
監査ログ・ファイルアクセスログ
メンバー・権限・発注・工程ステータスなど、主要な操作を監査ログに記録します。
素材ファイルの閲覧・ダウンロード履歴を記録するファイルアクセスログを提供します（スタジオ以上・教育機関プラン）。
自動バックアップ
ライト以上毎日自動でバックアップし、直近30世代を保持します。
決済とカード情報
決済はStripeのホスト画面で完結します。カード番号は当社のデータベースに一切保存しません（保持するのはStripeの参照IDのみ）。
データはあなたのもの
保存したデータはJSON／CSVでいつでもエクスポートできます。特定ツールにロックインしません。
アカウント削除時には、関連する個人データを30日以内に削除します。なお、暗号化したオフサイトバックアップは30日間保持するため、削除後も最大30日はバックアップ内に残ります。
外部委託先と国外移転について
主要データは国内（東京）に保管しますが、決済（Stripe・米国）、エラー監視（Sentry）などの一部処理では、委託先を通じてデータが国外に移転します。詳細はプライバシーポリシーをご確認ください。
第三者評価の状況（正直な現在地）
SOC 2はまだ取得しておらず、2027年中の取得を目標に準備しています。外部ペネトレーションテストも実施予定です。
取得済みでない認証を「取得済み」とは表示しません。実装している対策のみをこのページで公開しています。