チェックシート向けの回答
IPA（情報処理推進機構）の「中小企業のためのクラウドサービス安全利用の手引き」のようなチェックシートでよく聞かれる項目を並べました。それぞれの根拠は、この下の節に書いています。
| 項目 | Werp™ の対応 |
|---|---|
| 運営会社 | 株式会社Creators Team（東京都港区） |
| データの保管場所 | AWS の東京リージョン（ap-northeast-1）。メールの送信だけは米国東部リージョン（us-east-1）の Amazon SES を通ります。 |
| 通信の暗号化 | すべて HTTPS です。アプリのサーバーから DB への接続も TLS で暗号化し、証明書を検証しています。 |
| 保存データの暗号化 | DB は保存領域を暗号化する設定で作成しています。写真と添付ファイルは Amazon S3 の既定の暗号化（SSE-S3）で保存されます。 |
| バックアップ | DB は AWS の自動バックアップを7日分残す設定です。写真と添付ファイルは、削除・上書きされる前の版を30日間残します。 |
| 第三者認証 | ISMS（ISO/IEC 27001）、プライバシーマーク、SOC 2、ISMAP のいずれも取得していません。 |
| 稼働率の保証（SLA） | ありません。利用規約の第9条で、保守や障害などのときに事前の通知なくサービスを止めることがあると定めています。 |
| サポートの窓口 | support@werp.in へのメールです。受付時間と回答までの期限は定めていません。 |
| 障害・事故の連絡 | 連絡の方法と期限は約束していません。 |
| アクセス権限の管理 | ロールは管理者とメンバーの2つです。備品ごとに、見られる人と借りられる人をユーザーグループで絞れます。 |
| 多要素認証 | 認証アプリ（TOTP）による二要素認証を、各自がマイページで任意にオンにできます。管理者が全員に必須にする設定はありません。 |
| シングルサインオン | SAML・OpenID Connect によるシングルサインオンと、SCIM によるアカウントの自動連携には対応していません。 |
| 接続元の IP アドレスの制限 | 対応していません。 |
| 操作の記録 | 備品ごとに、登録・変更・貸出・返却の履歴を画面で見られます。ワークスペース全体の操作ログの一覧と書き出しはありません。 |
| データの書き出し | 管理者は、個体の一覧と資産番号ごとの一覧を CSV で書き出せます。棚卸しの結果も CSV で書き出せます。予約と操作の履歴は書き出せません。 |
| 利用をやめたあとのデータ | 管理者がワークスペースを削除すると、30日後に個人情報を自動で削除・匿名化します。請求の記録は法令で定められた期間保存します。 |
| 外部へのデータの送信 | WerpAI™、Google カレンダー連携、決済などで、外部のサービスにデータを送ります。送り先と中身は「外部のサービスに送るデータ」の表のとおりです。 |
| 支払い方法 | Stripe の決済画面で申し込み、以降は自動で請求します。請求書を受け取って振り込む支払いには対応していません。 |
データの保管場所
備品・予約・メンバーなどのデータを入れる DB（Amazon RDS for PostgreSQL）、写真と添付ファイル（Amazon S3）、アプリのサーバー（AWS Lambda）、サインインのアカウント（Amazon Cognito）は、すべて AWS の東京リージョン（ap-northeast-1）にあります。AWS（Amazon Web Services）は米国の事業者です。
メールだけは、招待・確認コード・返却のリマインダーなどを米国東部リージョン（us-east-1）の Amazon SES から送るので、宛先と本文がそこを通ります。werp.in への不正なアクセスを止める AWS WAF の記録（アクセス元の IP アドレスや URL など）も米国東部リージョンの S3 に保存し、90日で消します。この記録では、認証の情報と cookie を伏せています。
外部のサービスに送るデータ
AWS のほかにデータを送るサービスと、送る中身は次のとおりです。
| サービス | 送るもの | 送る場面 |
|---|---|---|
| OpenAI | WerpAI™ の検索の言葉、取得した商品ページの本文。取り込みで列の対応づけを任せたときは、列の見出しと見本の値（メールアドレスと9桁以上の数字は伏せて送ります。人の名前は伏せません） | WerpAI™ で備品を探したとき、取り込みで列の対応づけを WerpAI™ に任せたとき |
| Firecrawl | WerpAI™ の検索の言葉、商品ページの URL | WerpAI™ で備品を探したとき |
| Google Calendar | Werp™ の予約の題名・期間・借りる人の名前・メモ。逆に、連携したカレンダーの予定の題名・説明・主催者の名前を受け取ります（非公開の予定は取り込みません） | 管理者が Google カレンダーを連携したとき |
| Stripe | 請求先のメールアドレスと名前、ワークスペースの ID。カード番号は Stripe の画面に直接入力するので、Werp™ のサーバーは受け取りません | 有料プランを申し込んだとき、請求のたび |
| Cloudflare Turnstile | ブラウザの情報と IP アドレス（Cloudflare が直接受け取ります） | サインイン、アカウントの登録、パスワードの再設定 |
| Google Analytics 4 | 開いたページ、操作のイベント、端末の情報、cookie の識別子。アプリでは、URL のパラメータのうち広告の計測用（utm_）以外を外して送ります | アプリとこのサイトを開いたとき |
| 国土地理院・Nominatim（OpenStreetMap） | 保管場所の住所と座標 | 保管場所の住所から地図の位置を探すとき |
| OpenFreeMap・国土地理院の地図タイル | 閲覧者の IP アドレスと、地図で見ている範囲 | 地図ビューを開いたとき |
| Google Fonts | 閲覧者の IP アドレスとブラウザの情報 | 画面の文字を表示するとき |
通信と保存の暗号化
- werp.in・admin.werp.in・api.werp.in への通信はすべて HTTPS です。werp.in と admin.werp.in は HSTS（2年）を返すので、ブラウザは HTTP では接続しません。
- アプリのサーバーから DB への接続は TLS で、RDS の証明書を検証しています（2026-10-16〜）。
- DB は保存領域を暗号化する設定で作成しています。写真と添付ファイルは Amazon S3 の既定の暗号化（SSE-S3）で保存されます。
- パスワードは Amazon Cognito が管理し、Werp™ の DB には保存しません。
- Google カレンダー連携のトークンは、アプリの中で AES-256-GCM により暗号化してから DB に保存します。
- 写真と添付ファイルは公開せずに保存し、画面には期限2時間の署名付き URL で渡します（2026-10-16〜）。
サーバーとネットワーク
- DB はインターネットから接続できません（2026-10-13〜）。アプリのサーバーは AWS の中の非公開のネットワークに置き、DB に届くのはそこからの接続と、運営の経路（下の「運営によるアクセス」）だけです。
- アプリが DB に使うユーザーは、データの読み書きだけができ、テーブルの作成・変更・削除はできません（2026-10-16〜）。
- werp.in と admin.werp.in の前には AWS WAF を置き、評判の悪い IP アドレス、秘密の情報を探すスキャン、短い時間に大量のリクエストを送る IP アドレスを止めています。api.werp.in には AWS WAF を付けられないので、全体のリクエスト数の上限と、IP アドレスごと・メールアドレスごとの回数制限で守っています。
- werp.in と admin.werp.in は Content Security Policy を返し、スクリプトを読み込める場所と通信できる先を限っています（2026-11-06〜）。
- AWS のアカウントの操作の記録（CloudTrail）には改ざんの検知を付け、権限の変更、DB の公開、セキュリティグループの開放などの操作があると運営にメールで知らせます（2026-10-14〜）。DB とサインインのアカウントの置き場所（Cognito のユーザープール）には削除保護をかけています。
- 依存しているパッケージの脆弱性は GitHub の Dependabot の通知で把握し、月に1回まとめて更新します。
ワークスペースの分離と権限
すべてのワークスペースのデータは1つの DB に入っています。各行がどのワークスペースのものかを持ち、API はリクエストしたワークスペースの行だけを読み書きします。ワークスペースごとに DB を分けてはいません。
ロールは管理者とメンバーの2つです。メンバーは、備品の削除、ほかの人の予約の変更、メンバーの招待、ワークスペースと請求の設定ができません。備品ごとに、見られる人と借りられる人をユーザーグループで絞れます。見られない備品は、ID を知っていても存在しないものとして扱います。
ロールごとにできることの一覧は、こちらにあります。チームとロールサインインせずに見られる画面もあります。QR ラベルをサインインしていない人が読むと、ユニット名・型番・所有者・購入日だけの公開ページが開きます。キオスクの URL を知っている人は、そのユニットの今日の予定を、借りる人の名前を含めて見られます。キオスクの URL は管理者がいつでも無効にできます。
サインインとアカウント
- パスワードは8文字以上で、英大文字・英小文字・数字・記号のうち3種類以上を使います。
- アカウントを作るときは、メールアドレスに届く確認コードで、そのアドレスの持ち主かを確かめます。
- サインイン・アカウントの登録・パスワードの再設定には、ボット対策の Cloudflare Turnstile と回数制限があります。サインインは15分間に、IP アドレスごとに20回、メールアドレスごとに5回までです。
- 二要素認証（認証アプリの6桁のコード）は、各自がマイページでオンにできます。認証アプリを失くしたときは、support@werp.in で本人確認をしたうえで運営が解除します。
- サインアウトすると、それより前に発行したアクセストークンは使えなくなります。パスワードを再設定したときも同じです。
- サインインの状態は最長30日続きます。更新に使うトークンは、ページの JavaScript から読めない cookie（HttpOnly）に入れています。
- シングルサインオン（SAML・OpenID Connect）、SCIM によるアカウントの自動連携、接続元の IP アドレスの制限には対応していません。
運営によるアクセス
運営は管理画面（admin.werp.in）から、ワークスペースの名前とプラン、メンバーの一覧、備品の名前・ブランド・型番、利用の件数を見られます。
管理画面に入れるのは、許可リストに載せた運営のアカウントだけです。サインインはパスキーに限っているので（2026-10-26〜）、パスワードとワンタイムコードを偽のサインイン画面で盗まれても入れません。管理画面での操作はすべて記録します。
DB に直接つなげるのは、運営の AWS のアカウントから AWS Systems Manager の Session Manager を通したときだけです。DB の管理者ユーザーのパスワードは RDS が管理し、7日ごとに自動で替わります。
操作の履歴とログ
- 備品ごとの画面で、登録・変更・貸出・返却などの履歴を、誰がいつ行ったかとあわせて見られます。メンバーに見えるのは、見られる備品の履歴だけです。
- ワークスペース全体の操作の一覧と、履歴の書き出しはありません。
- 操作の履歴は、期限を決めて自動で消すことはしていません。地図の位置の履歴は365日、アプリ内の通知は90日で自動で消します。
- アプリのサーバーの動作記録（ログ）は90日で消します。アクセストークンと URL のパラメータの値は、ログに書きません（2026-10-12〜）。
バックアップ
- DB は AWS の自動バックアップを7日分残す設定で作成しています。DB には削除保護もかけています（2026-10-13〜）。
- 写真と添付ファイルは、削除・上書きされる前の版を30日間残します（2026-10-14〜）。
- 利用者が消したデータを、依頼に応じて元に戻すことは約束していません。
データの書き出しと削除
管理者は資産台帳の画面から、個体ごとの一覧と資産番号ごとの一覧を CSV で書き出せます。棚卸しの結果も CSV で書き出せます。予約・貸出の記録と操作の履歴は、画面で見られますが書き出せません。
使うのをやめるときは、管理者がワークスペースの設定から削除します。有料プランのままでは削除できないので、先に「プラン・請求」で解約します。
削除したワークスペースと、ワークスペースから外したメンバーの個人情報は、30日後に毎時の処理が削除・匿名化します（2026-10-18〜）。名前・メールアドレス・プロフィール画像と、ほかのワークスペースに所属していないサインインのアカウントを消します。削除したワークスペースでは、備品の写真、保管場所の住所と位置、予約の題名とメモ、操作の履歴、通知も消します。
請求の記録は法令で定められた期間保存し、削除したワークスペースの名前は運営の記録として残します。ワークスペースが残っている場合、外したメンバーが借りた予約の日時・備品・状態は業務の記録として残り、名前は「Deleted user」と表示されます。
取得していない認証と約束していないこと
- ISMS（ISO/IEC 27001）、プライバシーマーク、SOC 2、ISMAP は、いずれも取得していません。
- 稼働率の保証（SLA）はありません。利用規約の第9条で、システムの保守・更新や障害などのときに、事前の通知なくサービスを止めることがあると定めています。
- サポートは support@werp.in へのメールで受け付けます。受付時間と回答までの期限は定めていません。
- 障害やセキュリティの事故を利用者に知らせる方法と期限は、約束していません。
- 支払いは Stripe の決済画面から申し込む自動の請求だけです。請求書を受け取って振り込む支払いには対応していません。
- 登録したデータの権利は利用者にあります（利用規約の第8条）。サービスを終えるときは、合理的な期間をおいて知らせます（同第10条）。