読むだけでなく、検証できるセキュリティ
契約の価値は、それを裏付ける証拠で決まります。このページでは、SignSpry がどのようにドキュメントを保護し、何が起きたかを証明しているのか、そしてまだロードマップ上にあるものは何かを、わかりやすくご説明します。
証拠
ハッシュチェーン化された監査証跡
送信、閲覧、署名、支払い、辞退、リマインダーなど、エンベロープ上のすべてのイベントが、実行者、IP アドレス、デバイス、UTC タイムスタンプとともに記録され、各記録には直前の記録のハッシュが含まれます。ひとつでも改変・削除すれば、チェーンの破損が目に見えてわかります。
封印済みPDF
最後の当事者が署名すると、PDF はすべてのバイトを対象とする PKCS#7 デジタル署名で封印されます。さらに独立した認証局による RFC 3161 タイムスタンプが時刻を確定するため、当社の時計を信頼する必要はありません。
完了証明書
完了したすべてのドキュメントに添付されます。誰が、どこから、いつ (UTC と現地時刻) 署名したか、本人確認の方法、ドキュメントのハッシュ、イベントの全履歴を、英語と署名者の言語で記載します。
公開検証ツール
誰でも SignSpry の PDF を検証ツールにドロップするだけで、封印されていること、封印後に変更されていないこと、封印された日時を確認できます。アカウントも料金も不要です。裁判所、監査人、取引相手が当社の言葉を信じる必要はありません。
署名者の本人確認
メール認証済みの署名リンク、署名者ごとのオプションのアクセスコード、IP とデバイスの記録、最初のフィールドの前に取得する明示的な同意。グローバルな SMS コード、身分証明書の確認、eIDAS 高度電子署名は今後対応予定です。
どこでも同じ意味を持つ時刻
すべてのタイムスタンプは UTC で保存され、各自の現地時刻と並べて表示されます。そのため、3つのタイムゾーンにまたがって署名された契約でも、イベントの順序は一意に定まります。
プラットフォームのセキュリティ
暗号化
すべての接続に TLS を使用し、すべてのレスポンスに Strict Transport Security とコンテンツセキュリティのヘッダーを付与。AES-256 で暗号化した毎晩のバックアップは、本番サーバーとは別の場所に保管しています。
アカウントの保護
バックアップコード付きの二要素認証、ログイン試行回数の制限とロックアウト、管理者が設定するパスワード有効期限ポリシー、アクティブセッションの管理、ログインや重要な変更を記録するセキュリティログ。
アクセス制御
閲覧者、メンバー、マネージャー、管理者の各ロールとユーザーごとの権限付与を、すべてのリクエストに対してサーバー側で適用します。チームフォルダー、ロック付きテンプレート、保持ポリシーにより、ドキュメントを適切な場所に、必要な期間だけ保管します。
ホスティング & データレジデンシー
本番環境はインド (ムンバイ) の Amazon Web Services で稼働しています。ドキュメント、監査証跡、バックアップはそのリージョン内に保管されます。欧州と米国のお客様がデータを域内に保管できるよう、EU と米国のデータリージョンを次のインフラ整備として計画しています。
当社サーバー内で完結する AI
契約の要約、条項レビュー、義務の抽出、全文検索は、当社が運用するインフラ上で処理されます。ドキュメントの本文が外部のモデルに送信されたり、学習に使われたりすることはありません。
信頼性
自動ヘルスチェック、暗号化された毎晩のオフサイトバックアップ、そしてチェックに失敗すると本番反映を中止するデプロイプロセス。公開ステータスページは今後対応予定です。
プライバシー
プライバシー・バイ・デザイン
収集するのはサービスに必要な情報だけです。署名者にマーケティングを行うことはありません。当社が保持する情報、その理由と期間、権利の行使方法については、プライバシーポリシーをご覧ください。
Cookie の前に同意を
同意いただくまで、分析用・広告用の Cookie は一切設定しません。同意は記録され、Google Consent Mode v2 を通じて尊重され、フッターからいつでも変更できます。フォントは当社サーバーから配信しているため、選択する前にページから外部へリクエストが送られることはありません。
GDPR、DPDP、その先へ
インドのデジタル個人データ保護法 (DPDP) と GDPR を踏まえて構築しています。データの最小化、保持設定、ご要望に応じたデータのエクスポート。データ処理契約、同意記録、エクスポートと消去を備えたセルフサービスの GDPR ツールキットが、ロードマップの次の項目です。
法域ごとの法的承認
SignSpry は、封印された監査証跡に裏付けられた標準的な電子署名を作成します。以下の法律は、電子的に締結できる契約についてこうした署名を認めていますが、いずれも一部の文書類型 (遺言や特定の不動産譲渡など) を対象外としています。これは一般的な情報であり、法的助言ではありません。
| 法域 | 法律 | SignSpry のドキュメントにとっての意味 |
|---|---|---|
| インド | 情報技術法 (Information Technology Act, 2000) 第10A条 | 電子的に締結された契約は有効です。封印済みPDFと監査証跡が電子記録として機能します。 |
| 米国 | ESIGN 法 (2000年) および UETA (49州で採用) | 電子的であることを理由に署名の法的効力を否定することはできません。意思、同意、帰属は監査証跡によって証明されます。 |
| 欧州連合 | eIDAS 規則 (EU) 910/2014 | 標準的な電子署名は証拠として認められます。高度電子署名と適格電子署名は、適格トラストサービスパートナーとともに今後対応予定です。 |
| 英国 | 電子通信法 (Electronic Communications Act 2000)、UK eIDAS | 法律委員会 (Law Commission、2019年) が確認したとおり、電子署名は証拠として認められ、契約において一般に有効です。 |
| シンガポール | 電子取引法 (Electronic Transactions Act 2010) | 信頼できる方法で署名者を特定し、その意思を示せる場合、電子署名は署名の要件を満たします。 |
| アラブ首長国連邦 | 電子取引およびトラストサービスに関する2021年連邦政令法第46号 | 電子署名と電子記録は法的効力を有します。一部の文書は対象外です。 |
| オーストラリア | 1999年電子取引法 (連邦) (Electronic Transactions Act 1999 (Cth)) および各州の同等法 | 署名の要件は、署名者の同意を得た信頼できる電子的方法によって満たされます。 |
| カナダ | PIPEDA 第2部、各州の電子商取引法 | 電子署名は認められています。一部の連邦文書では、安全な電子署名が求められます。 |
お客様のデータを扱うその他の事業者
委託先は最小限に絞っています。各事業者は、業務に必要な情報のみを処理します。
- Amazon Web Services — ムンバイ (ap-south-1) リージョンでのホスティング、ストレージ、バックアップ、送信メールの配信。
- Razorpay — サブスクリプションの決済処理と、署名時に回収する支払いの決済処理。カード情報が当社サーバーに届くことはありません。
- Google — 分析と広告効果測定。該当する Cookie に同意いただいた場合に限ります。
- RFC 3161 タイムスタンプ認証局 — 封印済みドキュメントのハッシュのみを受け取り、ドキュメント自体を受け取ることはありません。
脆弱性の報告
If you believe you have found a security issue, please email support@signspry.com (subject "Security report") with enough detail to reproduce it. We acknowledge reports, fix confirmed issues promptly and credit researchers who wish to be named. Please do not access other customers' data or disrupt the service while testing.
セキュリティ・法務チームからのご質問はありますか?
アーキテクチャのご説明、セキュリティ質問票へのご回答、データ処理契約のご相談など、喜んで対応いたします。