情報セキュリティ基本方針
制定日：2026年7月1日／最終改定日：2026年7月29日／適用開始日：2026年8月1日／バージョン：v2.0
株式会社シンフォニード
はじめに
株式会社シンフォニード（以下「当社」といいます。）は、組織可視化サービス「SymVal AI」（以下「本サービス」といいます。）の提供を通じて、企業の働き方改革とセキュリティ向上に貢献することを目指しています。
本サービスは、お客様の事業所内端末における稼働データや通信に関する情報を取得・解析するという特性上、お客様の重要な情報資産およびプライバシーを保護することが当社の事業運営における最重要課題の一つであると認識しております。
当社は、お客様の信頼に応え、安全かつ安定したサービスを継続的に提供するため、ここに「情報セキュリティ基本方針」を定め、経営陣をはじめ全従業員がこれを遵守し、情報セキュリティの維持・向上に努めることを宣言します。
1. 目的
当社は、当社が取り扱うすべての情報資産（お客様からお預かりする稼働データ、解析データ、個人情報、および当社の技術情報、営業情報等）について、機密性、完全性、および可用性を確保し、サイバー攻撃、不正アクセス、漏えい、改ざん、紛失等の脅威から保護することを目的とします。
2. 適用範囲
本方針は、当社のすべての役員、正社員、契約社員、アルバイト、および当社業務に従事する外部委託先の従業員（以下「全従業者」といいます。）に対して適用されます。また、本サービスに係るすべての情報資産および情報システムを対象とします。
3. 情報セキュリティ管理体制
当社は、経営陣を中心とした情報セキュリティ管理体制を構築します。情報セキュリティに関する最高責任者（CISO等）を任命し、各部門に管理責任者を配置することで、情報セキュリティ施策の計画、実施、監査、および継続的な改善を主導します。あわせて、インシデントおよび不具合の記録を一元管理する体制を整備し、対応状況を可視化します。
4. 「取らない」ことを設計で担保する（プライバシー・バイ・デザイン）
当社は、情報を守る最も確実な方法は、そもそも不要な情報を取得しないことであると考えます。当社は、本サービスにおいて次の処理を行わないことを基本設計として維持します。
(1) キーストローク（キー入力内容）の記録。
(2) 対象端末の画面の録画およびスクリーンショットの取得。
(3) 顔画像、音声、心拍その他の生体データの取得、および個人情報保護法に定める特定生体個人情報の取得。
(4) 生体データ等にもとづき個人の感情または心理状態を推認する処理（感情認識）。当社は、EU AI Actにおける職場での感情推認に対する規制の趣旨に整合する設計を維持します。
(5) 対象従業員の思想、信条、病歴その他の要配慮個人情報を推知することを目的とする処理。
本サービスが提供する3つのスコア（生産性・セキュリティ・コンディション）は、いずれもPCの客観的な稼働記録および通信の検知イベントから算出される指標であり、いずれのスコアも0から100までの数値で表示され、数値が大きいほど良好な状態であることを示します。とりわけコンディションスコアは、稼働の偏り（深夜・休日稼働の連続性、稼働時間の過多・急増、平常時からの乖離）を示す行動指標であり、心身の状態を判定するものではありません。
5. 情報資産の保護と安全管理措置
当社は、情報資産の重要度およびリスクに応じて、以下の安全管理措置を適切に講じます。
・匿名化・最小化の原則 対象端末上でのデータ取得および通信解析（TLS復号等）にあたっては、端末上で一次匿名化（検出値のリスクコード化・ファイルパスのハッシュ化）を行い、加工前の生データを端末の外に出さない設計とします。クラウドが受領するのは匿名化されたスコア・統計を基本とし、企業を識別し得る情報については二次匿名化を行います。
・収集対象の限定（ホワイトリスト方式） 金融機関のサイト、認証系サービスその他当社が定めるサービスに係る通信は、復号・解析および収集の対象から除外します。除外設定の登録権限は、お客様の管理者以上の権限を有する者に限定します。
・通信本文の取扱い 通信本文の一時的な取得は既定で無効とし、お客様が明示的に有効化した場合に限り行います。保存前に認証情報、トークン、パスワード、クレジットカード番号、個人番号等を自動的にマスクし、短期間（既定1時間・上限24時間）の経過後に削除します。無効化または撤回があった場合は直ちに新規取得を停止し、未送信のデータを削除します。
・技術的措置 通信経路および保管時の暗号化、厳格なアクセス制御、多要素認証（MFA）の導入、テナントごとのソルト・管理トークンの分離、権限マトリクスにもとづくロールベースアクセス制御、システムの脆弱性管理を実施します。開発・リリース基盤においては、長期のクラウドキーを保持せず、キーレス認証（GitHub OIDC／Google Cloud WIF）とシークレット管理サービスによる注入を徹底します。
・物理的措置 情報システムが設置される施設（クラウドデータセンター等）の選定において高いセキュリティ基準を満たす事業者を採択し、自社オフィス内への不正侵入や情報端末の盗難・紛失を防止する対策を講じます。
・本人への透明性 スコアは数値のみを示すのではなく、算出理由および減点の内訳をあわせて開示し、対象従業員本人が管理者と同一の内容を閲覧できる設計とします。一般ユーザーの画面には本人のデータのみを表示します。
6. 法令・規範の遵守
全従業者は、情報セキュリティに関する法令（個人情報の保護に関する法律、不正アクセス行為の禁止等に関する法律など）、国が定める指針、その他の規範、およびお客様との契約上の守秘義務を厳格に遵守します。
当社は、個人情報保護法の改正動向（課徴金制度の新設、特定生体個人情報に関する規律の新設等）およびAIに関する国内外の規制動向（EU AI Actを含みます。）を継続的に把握し、本サービスの設計・運用に反映します。
7. 教育・訓練の実施
当社は、全従業者に対して、情報セキュリティの重要性を認識させ、情報資産の適切な取扱いを徹底するための教育および訓練を定期的に実施します。
8. 外部委託先の管理
当社は、業務の一部（クラウドインフラの提供、AI推論基盤、決済処理、システム開発等）を外部に委託する場合、当社のセキュリティ基準を満たす委託先を選定し、機密保持契約を締結した上で、適切な監督および評価を継続的に行います。主要な委託先は、プライバシーポリシーにおいて公表します。
9. 情報セキュリティインシデントへの対応
当社は、情報セキュリティに関する事故（インシデント）の発生を未然に防止するよう努めます。万一インシデントが発生した、またはその疑いが発覚した場合には、迅速に原因究明および被害の極小化を図るとともに、お客様および関係機関への報告、ならびに再発防止策を速やかに実施する体制を整備します。あわせて、インシデントおよび不具合の一覧を記録・管理し、対応状況を追跡可能な状態に保ちます。
10. 変更管理・リリース管理
当社は、本ソフトウェアおよびクラウド基盤の変更について、コードの一元管理、自動ビルド・テスト、リリースチャンネルの分離（検証用端末への先行配信と段階的ロールアウト）を通じて、変更に伴うリスクを管理します。お客様の環境に影響を及ぼし得る変更については、事前または速やかな案内を行います。
11. 継続的改善
当社は、情報技術の変化、社会環境の動向、および事業内容の変更等に対応するため、情報セキュリティ管理体制および各種規程・対策を定期的に評価・見直し、継続的な改善に努めます。また、必要に応じて第三者機関による監査やセキュリティ認証（SOC 2等）の取得・維持に向けた活動を推進します。
制定日：2026年7月1日
最終改定日：2026年7月29日（2026年8月1日適用開始）
株式会社シンフォニード 代表取締役 松田 智久
改定履歴
v1.0（2026年7月1日）制定。
v2.0（2026年7月29日改定・2026年8月1日適用開始）：会社名を株式会社シンフォニードに特定。「メンタルケア」を「コンディション」に統一し、3スコアの方向を「100が最良」に明記。「取らないことを設計で担保する」章を新設し、キーストローク記録・画面録画・生体データ取得・感情認識・特定生体個人情報の取得を行わない旨を明記（第4章）。ホワイトリスト方式および通信本文の取扱いを安全管理措置に追記。個人情報保護法改正動向（課徴金・特定生体個人情報）およびEU AI Actへの言及を追加。変更管理・リリース管理の章を新設（第10章）。
以上