データ層でのテナント分離
すべてのテーブルがワークスペース ID を持ち、リポジトリの全メソッドがそれを第一引数に取ります。渡し忘れれば他人のデータではなく「何も返らない」結果になります。一意キーもテナント単位なので、2 社が同じ部署名を使っても衝突しません。
セキュリティ
人データは、あなたのものです。
VKT は氏名、報告ライン、休暇の記録、経費の申請を預かります。どれも既定で機微な情報です。だから安全性はページの約束ではなく、システムの作り方で担保します。
暗号化されたワークスペーストークン
ボットトークンはデータベースに入る前に AES-256-GCM で暗号化され、レコードごとにランダムな nonce を持ちます。鍵は環境変数にあり、リポジトリには入りません。鍵の形式が不正ならサービスは起動を拒否します。
組織から導出する権限
管理者は誰かが配るフラグではありません。アプリをインストールした人、または報告ツリーの頂点です。全社集計を見られるか、設定を変えられるかも同じ判定で決まり、Slack でも Web でも共通です。
本当に消える削除
保存期間は設定できます。期間が切れると、申請の内容・メモ・領収書ファイルは削除され、記録には金額・ステータス・承認者だけが残ります。経理には足り、個人の特定には足りない情報です。
セキュリティ
細部の扱い
- 通信
- HTTPS のみ。Slack のトークンがブラウザに渡ることはありません。
- セッション
- 署名付き、HttpOnly、Secure、SameSite=Lax。7 日間、失効可能。
- サインイン
- Slack OIDC。パスワードは一切保存しません。
- 最小権限
- インストールされたモジュールに必要な bot スコープだけ。
- 添付ファイル
- 領収書を読めるのは申請者、承認チェーン、管理者だけ。
- 監査
- 重要な操作は実行者・操作・時刻つきで記録します。
- バックアップ
- 保存時に暗号化し、一定期間のローリングで保持。
- データ所在
- 日本・大阪。
- 再委託先
- 配信と保護に Cloudflare、データベースは自社運用。
GDPR とデータ処理
ワークスペース内の人データについて、当方は処理者として行動します。展開前にデータ処理契約を用意できます。再委託先、保存期間、削除手順はご要望に応じて文書でご説明します。
- データ処理契約はご要望に応じて提供
- 承認・休暇の記録は保存期間を設定可能
- 無期限保存ではなく匿名化
- エクスポートと削除はサポート経由で対応