アーキテクチャとセキュリティのホワイトペーパーと、記入済みのセキュリティ質問票です。現在構築されているサービスに基づいて書かれています。各回答は根拠となる文書またはソースを示し、示せないものは「主張しない」または「未対応」と明記しています。
2026年11月9日版どちらのファイルも英語です。
パスキーで1分でアカウントを作成し、利用するプラットフォームを接続しましょう。
そのまま使うことも、回答を自社のベンダー審査テンプレートに転記することもできます。
リクエストがサインインの入口からメンバーのリージョンのWorkerとそのデータベースまでどう流れるか、IDトークンがどう署名され鍵がどう守られるか、データの保管場所、誰が何にアクセスできるか、そしてインシデント、脆弱性、復旧への対応を説明します。付録に各記述の根拠を一覧にしています。
avonao-security-whitepaper.md · Markdown、英語.mdをダウンロード一般的な簡易質問票の形式による93問を分野別にまとめ、各問に回答、短い説明、根拠へのリンクを付けています。
avonao-security-questionnaire.csv · CSV、英語.csvをダウンロードホワイトペーパーと質問票は英語版のみです。法的文書と異なる場合は、法的文書が優先します。
ロードマップではなく、構築済みのサービスを説明します。保護が部分的な場合は、その旨を記載しています。
回答欄には4つの値を使います。誰でも同じように並べ替えや絞り込みができるよう、ファイル内では英語のままにしています。
パックは要約です。拘束力を持つのはこれらの文書の本文です。
事業者向けの処理者条件、構築済みのセキュリティ対策、48時間以内の侵害通知、監査、国際移転。
DPAを読む →個人データを処理する各事業者、その役割と所在地。変更は30日前に通知します。
一覧を見る →サインイン、セッション、トークン、データリージョンがアカウントをどう守るかを説明します。
セキュリティのページを読む →Avonaoがアカウントとデータをどう扱うか、そしてルールの読み先。
トラスト情報を開く →脆弱性の報告方法と、調査される方へのお願い。
脆弱性を報告する →収集する情報、保存場所、レコードの種類ごとの保存期間、そしてお客様の選択肢。
ポリシーを読む →お手持ちの質問票をお送りください。書面でお答えします。事業者のお客様は、アーキテクチャを一緒に確認することもできます。
ベンダー審査