セキュリティの概要

1. 認証とアカウントの保護

業界で認められたプロトコルを使用してアクセスを保護します。ユーザー認証、パスワード ルール、およびトークンの検証は、安全な自己ホスト型 ID プロバイダーを通じて処理されます。パスワードが生のテキストで保存されることはありません。セッションでは、有効期間が短いアクセス トークンを持つ暗号化署名された JSON Web トークン (JWT) が使用され、リフレッシュ トークンは、クライアント側のスクリプトにはアクセスできない、強化された HTTP 専用 (__Host-) Cookie で配信されます。セッションの再利用を防ぐために、サーバー側 (ログアウト時など) でトークンを取り消すことができます。

2. 暗号化規格

データは転送中も保存中も保護されます。

• 輸送中：ユーザー インターフェイス、クライアント アプリケーション、およびバックエンド エンドポイント間のすべてのトラフィックは、最新の TLS (TLS 1.3 まで) を使用して HTTPS 経由で暗号化されます。
• 静止時:データベース エントリ、プロファイル値、履歴書アセット、ストレージ バケットは保存時に AES-256 を使用して暗号化され、クラウド プロバイダーの暗号化サービス (AWS S3 および RDS) を通じて管理されます。

3. AI 処理境界 (AWS Bedrock)

EliteResume AI は、AWS Bedrock を使用して、箇条書きの書き換え、要約、カバーレター、ATS 分析などの大規模な言語モデル機能を実行します。これらの機能を提供するために、関連する履歴書または職務内容のテキストが処理のために Bedrock に送信されます。私たちは次の境界を強制します。

• モデルトレーニングなし:AWS Bedrock のサービス規約によれば、入力と出力は、基礎モデルをトレーニングするために AWS によって保存されることはなく、その目的でモデルプロバイダーと共有されることもありません。
• 弊社側ではコンテンツのログ記録はありません:私たちのアプリケーションは、各 AI リクエストに関するメタデータ (使用されたモデルとトークン数) のみを記録し、プロンプトのテキストや生成された出力を記録することはありません。

4. 支払い処理 (PCI-DSS)

EliteResume AI は、カード番号や未加工の請求詳細を収集、保存、処理しません。すべてのトランザクションは、認定された PCI-DSS レベル 1 サービス プロバイダーである Stripe に委任されます。 Stripe はトークン化された方法を使用して支払いを処理し、支払いの詳細をプラットフォームのデータベースから隔離します。当社は、機密性のない参照情報 (Stripe の顧客識別子や請求書の識別子など) のみを保持します。

5. システムとインフラストラクチャのセキュリティ

当社のインフラストラクチャはアマゾン ウェブ サービスでホストされており、そのデータセンターは SOC 2 や ISO/IEC 27001 などの主要な情報セキュリティ標準に対して独自に認定されています。当社のプラットフォームは Cloudflare CDN を前面に据え、グローバルなエッジ配信と一般的な脅威を軽減する Web アプリケーション ファイアウォール (WAF) を提供します。アップロードされたファイルは検証され (タイプ、サイズ、コンテンツのチェック)、保存されたドキュメントへのアクセスは、認証された時間制限のあるリンクを介してのみ許可されます。当社のセキュリティ慣行は、NIST サイバーセキュリティ フレームワークなどの認知された業界のガイダンスに基づいています。