信頼性とセキュリティ
スタンドアロンを前提に設計。初期状態から安全。
Proofpointsは、お客様の顧客自身の言葉を、公開できるストーリーへと仕上げます。世界で最もセキュリティ意識の高い組織からも信頼いただけるよう設計しており、その出発点はシンプルなアーキテクチャ上の選択です。お客様のシステムには一切接続しません。
CRM、営業パイプライン、財務システム、IDプロバイダー、社内ネットワークとの連携は一切ありません。接続していただくものは何もありません。当社に届くのは、アドボケイトが共有を選んだストーリーのコンテンツと、お客様がキャンペーンへの招待を選んだ特定の連絡先のみです。機密データが保管されているシステムに接続することは決してありません。
信頼の境界
境界を越えるもの、決して越えないもの
左側はストーリーに必要なものです。右側は常にお客様の社内にとどまります。Proofpointsは、外部との接点を意図的に最小限に絞った、閉じた単一目的のサービスです。
受け取るもの
· インタビューの文字起こし
· ストーリーのコンテンツと編集内容
· アドボケイトの氏名と役職
· お客様がアップロードしたキャンペーン連絡先（氏名、役職、ビジネス用メールアドレス）
· 企業名と公開情報
Proofpointsの境界
暗号化されています。EUでホスティングされています。組織ごとに分離されています。ストーリー制作のためだけに処理されます。
› データベースと監査ログ（EU）
› 暗号化されたファイルストレージ
› AIモデル（お客様のデータで学習することはありません）
› 文字起こし
決して越えないもの
✕ お客様のCRM
✕ 営業・パイプラインデータ
✕ 財務システム
✕ IDプロバイダー／SSOディレクトリ
✕ 社内ネットワーク
✕ お客様の顧客データベースや従業員データベース
当社はお客様のシステムに一切触れず、業務データを大量に取り込むこともありません。当社が保持するのは、お客様からご提供いただいたストーリーのコンテンツと特定のキャンペーン連絡先に限られます。意図的に小さく、明確に定義されたデータフットプリントです。
データの範囲
ストーリーに必要なものだけ
当社が保持するデータ
インタビューの文字起こし、執筆・編集されたストーリー、アドボケイトの氏名と役職、顧客企業の公開情報、そしてキャンペーンの場合は、お客様が招待を選んだ連絡先（氏名、役職、ビジネス用メールアドレス）。当社が保持するデータはこれですべてです。
連絡先データの取り扱い
これらは、お客様がストーリーで紹介したい特定の人物、つまり少数の指名されたアドボケイト候補であり、大量配信用のメーリングリストではありません。当社はお客様のデータ処理者（プロセッサー）として、お客様に代わってデータを処理します。連絡先情報は招待とストーリーの収集のためだけに使用され、販売や共有、AIの学習に使用されることは一切ありません。GDPRに基づいて取り扱い、当社のDPA（データ処理契約）の対象となり、ご要望に応じて削除します。
公開内容への同意
録音への同意と正式な承認ステップが、ワークフローに組み込まれています。アドボケイトはストーリーの公開前に内容を確認し、承認します。誰も同意していないものを公開してしまうことはありません。
データの保管場所
ホスティング、データ所在地、サブプロセッサー
ProofpointsはSOC 2準拠の技術基盤で稼働しています。以下に記載するすべてのインフラプロバイダー（データベース、ホスティング、ファイルストレージ、メール、決済）は最新のSOC 2 Type IIレポートを保有しており、毎年独立した監査を受けています。お客様のデータを保管する3つのプロバイダー（データベース、ホスティング、ファイルストレージ）はISO 27001認証も取得しており、お客様のデータはEU内でホスティングされています。インフラプロバイダーは以下に名称を記載しています。専門サービスについては、その役割と閲覧が許可されている範囲で記載しています。名称を含む完全なリストは、お客様、およびNDAを締結した導入検討中のお客様にご提供しており、変更がある場合はお知らせします。
米国およびその他 EU 域外のお客様へ：EU でのホスティングは最も厳格なデータ保護基準を満たしているため、お客様のデータは最高水準で保護されます。より手厚い保護は制約ではなく利点です。国境を越えるデータ移転には標準的な仕組みが適用されます。特定のホスティングリージョンが必要な場合は、お気軽にご相談ください。
AI とお客様のデータ
お客様の言葉が学習データになることはありません
お客様のコンテンツを学習に使用することはありません
Proofpoints は、お客様のストーリー、文字起こし、データをいかなるモデルの学習にも使用しません。これは今後も変わりません。
モデルプロバイダーも同様です
当社が使用するのは、主要なAIラボの現行フラッグシップモデルである最先端モデルのみです。送信データの学習利用を禁止し、短期保持またはゼロ保持に対応したAPI利用規約を通じて利用しています。モデルの呼び出しは、その処理時間に限りプロバイダー自身のリージョンで処理されます。保存されたストーリーやファイルがEU外に出ることはありません。エンタープライズ契約では、これらのプロバイダーにのみルーティングします。
所有権は常に人の手に
AIが下書きし、判断するのは人です。すべてのストーリーは、公開前に必ず担当者がレビューし、承認します。モデルから自動で公開されることは一切ありません。
AIの具体的な活用範囲
モデルが関わるすべてのタスクについて、その処理内容と参照するデータを完全に開示しています。いずれの場合も、データは各テナント自身のものであり、結果は必ず人がレビューします。
利用するモデルのラインナップは Proofpoints チームが選定し、常に最新の状態に保っています。採用するのは最先端モデルのみで、小規模なモデル、検証されていないモデル、セルフホスト型のモデルは使用しません。管理者はそのラインナップから選択でき、各タスクの指示内容をカスタマイズすることも可能です。すべての出力は編集可能で、すべてのストーリーは公開前に必ず人がレビューし、承認します。
AI生成コンテンツの表示方法
EU AI法第50条では、AI生成コンテンツがそれと識別できること、そして人々がAIと対話していることを認識できることが求められています。以下は、現在当社が適用している対応を表示面ごとにまとめたものです。その中核にあるのは、どんな規制よりも前から大切にしてきた原則です。発言を引用されたご本人が完成したストーリーを読み、ご自身の名前で承認します。
未対応: エクスポートファイルへの暗号署名付きコンテンツクレデンシャル（C2PA）の付与。クライアントまたは調達プロセスから要望があった際に、改めて検討します。ストーリーを「AI検出ツール」にかけることはありません。その理由は当社の基準に記載しています。
管理策
日々のデータ保護の取り組み
テナント分離
組織ごとのデータは完全に分離されています。他テナントへのリクエストには「見つかりません」と返され、他のクライアントのデータが返されることも、その存在が示唆されることも決してありません。
ロールベースのアクセス制御
メンバー、管理者、オーナーの各ロールによって、すべての操作が制御されます。読み取り、書き込み、削除にはそれぞれ適切なロールが必要で、すべてのリクエストに対してサーバー側で強制されます。
あらゆる場所での暗号化
すべてのデータは、データベース、ファイルストレージ、バックアップ全体で、転送中（TLS）・保存時ともにデフォルトで暗号化されます。
監査ログ
作成、更新、削除のすべての操作が、ユーザー、操作内容、リソース、IPアドレス、タイムスタンプとともに記録され、最低2年間保持されます。
最小権限
管理者用キーはサーバー側でのみ扱い、ブラウザに公開されることはありません。Webhookは、処理の前に必ず署名を検証します。
デフォルトで堅牢な設計
セキュリティレスポンスヘッダーを適用し、すべてのリクエストで厳格な入力検証を行います。また、データベースの内部エラーがクライアントに表示されることはありません。
コンプライアンス
現在の取り組み状況
Proofpointsは、英国国家サイバーセキュリティセンター（NCSC）が定める基本認証Cyber Essentialsを取得しています。IASMEによる認証日は16 October 2026、有効期限はOctober 2027です。認証は毎年更新しており、公開登録簿でご確認いただけます。
本プラットフォームはSOC 2の管理基準に準拠して構築されています。テナント分離、最小権限、暗号化、監査ログ、変更管理は、後付けではなく設計段階から組み込まれています。正式なSOC 2監査と第三者によるペネトレーションテストはロードマップに含まれており、NDA締結のうえで現状、エビデンス、スケジュールを喜んで共有いたします。GDPRの義務への対応、EUデータレジデンシー、そしてAI学習への利用禁止を明記したデータ処理契約（DPA）にも対応しています。英国個人情報保護監督機関（ICO）に登録済みで、登録番号はZC197482です。
それ以外の点については、取得していない認証をほのめかすよりも、現状を正確にお伝えしたいと考えています。認証取得がご導入の条件となる場合は、ぜひご相談ください。取得に向けた計画をご説明します。
セキュリティ審査でよく聞かれる質問
審査担当者がすばやく確認できるよう、各項目を1行でまとめています。
デューデリジェンス
セキュリティパッケージ
公開情報 – 本ページ
アーキテクチャの方針、データの取り扱い範囲、サブプロセッサー一覧、AIに関する方針、各種管理策を掲載しています。一次審査に必要な情報はすべて、NDAなしでご確認いただけます。
非公開情報 – NDA締結後
エビデンスパック：セキュリティ監査の状況とレポート、ペネトレーションテストの結果、記入済みのセキュリティ質問票（CAIQ／SIG）、DPAおよびサブプロセッサー契約、ご審査用の詳細なデータフローを含みます。ご依頼いただければ、迅速にご提供します。
セキュリティやデューデリジェンスに関するご質問は、security@proofpoints.com までメールでお問い合わせください。サービスのリアルタイムステータス：proofpoints.betteruptime.com。脆弱性のご報告も同じアドレスで受け付けています。迅速に対応し、善意の研究者に対して法的措置をとることはありません。