セキュリティ方針：インシデント対応とデータ損失の防止

1. 保存するデータ（最小化）

読者について保存するのは、店主が承認したメルマガを届けるのに必要なものだけです：メールアドレス、店主が入力した名前・会社名（任意）、言語、配信の状態、同意の記録（いつ・どのように同意または撤回したか）。

Shopify からは、お客さまのメールアドレスとメール配信の同意だけを読みます。名前・住所・電話番号・注文は読みません。カラーミーショップからは、メルマガ受信を選んだお客さまのメールアドレスだけを読みます。

2. 暗号化

書かないメルマガとの通信はすべて HTTPS（TLS）です。データベース（Supabase・PostgreSQL）は、提供元により保存時に暗号化されています。

つないだお店（Shopify・カラーミーショップ）のアクセストークンは、データベースの中でさらに AES-256-GCM で暗号化し、どの画面にも表示しません。

3. バックアップ

データベースは Supabase の有料プランで、提供元による毎日の自動バックアップがあります。バックアップは提供元が暗号化して保存しています。テスト・開発用のデータは本番のデータと分けています。

4. アクセスの制限

本番のデータベースとサーバーを管理できるのは運営者1名（上記の責任者）だけです。個人ごとのアカウントで、強く使い回さないパスワードを使い、提供元が対応していれば2段階認証を使います。

店主とそのメンバーが見られるのは、自分の組織の読者だけです（データベースの行単位のアクセス制御で強制）。

5. 個人データへのアクセスの記録

人が読者の個人データを見る・取り込む・移すときに、誰が・何を・何件・いつ・どの IP アドレスから行ったかを記録します。対象は、購読者一覧、見込み客の画面、返信の画面、手動の取り込み、Shopify とカラーミーショップからのお客さまの取り込みです。

この記録は1年保存し、その後は自動で削除します。アプリの画面からは読めません。

6. 削除

お店が Shopify またはカラーミーショップのアプリを削除したときは、連携・アクセストークン・そのお店から取り込んだ読者を削除します。Shopify の個人データの開示・削除の通知（customers/data_request・customers/redact・shop/redact）に対応しています。

読者はすべてのメールからいつでも配信停止でき、停止はお店の側にも反映します。削除の求めがあれば、その読者の個人データを削除します。

7. 端末の紛失・担当者の離任

管理に使う端末をなくした・盗まれたとき、またはアクセスできる人が離任したときは、ただちに全セッションからログアウトし、パスワードを変更し、漏れたおそれのある API キーと秘密の値を作り直し、上記のアクセスの記録を確認します。

8. インシデント対応

検知：エラーの通知、提供元からの警告、ふだんと違うアクセスの記録、support@newsletterready.com への報告を見ています。

封じ込め：影響のある機能を止め、漏れた認証情報・トークンを無効にするか作り直し、攻撃元を遮断します。

影響範囲の特定：アクセスの記録とログから、どのデータ・どのお店・どの人に影響があるか、どう起きたかを調べます。

通知：個人データの漏えいを知ってから不当な遅れなく、72時間以内に、影響のある店主、Shopify（Shopify から得たデータの場合）、法律で必要な場合は監督機関に知らせます。店主には、お客さまへ知らせるのに必要な情報を渡します。

復旧と再発防止：通常の運用に戻し、事故と対応を書面で記録し、原因を直して再発を防ぎます。