データの安全性について

ブラウザとサーバー間の全通信はTLS（SSL）で暗号化。アップロードされた請求書PDFも暗号化された通信経路で転送されます。

HSTS（HTTP Strict Transport Security）を設定済み。HTTPでのアクセスは自動的にHTTPSへリダイレクト。

アップロードされた請求書PDFはSupabase Storage（非公開バケット）に保存。直接URLでのアクセスは不可能。

ファイルへのアクセスは署名付きURL（短時間有効）経由のみ。認証済みユーザーの自分のファイルのみアクセス可能。

Clerk（エンタープライズグレードの認証サービス）を使用。メール・Googleアカウントでの認証に対応。

各APIエンドポイントで認証チェックを実施。他ユーザーのデータには絶対にアクセスできない設計。

請求書の解析にはAnthropic（Claude）のVision APIを使用。画像データは解析目的のみで使用され、学習に使用されません。

Anthropic Enterprise APIを使用（商用利用前提）。解析後のデータはトルカのDBに保存され、Anthropicには保存されません。

クレジットカード情報はStripe（PCI DSS Level 1準拠）で処理。トルカのサーバーにはカード情報が一切保存されません。

Stripeは世界最高水準の決済セキュリティ基準であるPCI DSS Level 1に準拠。

X-Frame-Options（DENY）・X-Content-Type-Options（nosniff）・Referrer-Policyなどのセキュリティヘッダーを設定。

クリックジャッキング攻撃・MIMEタイプスニッフィング攻撃を防ぐ設定を適用済み。