あなたのデータを、しっかりと保護
セキュリティは機能ではなく、私たちの構築方法そのものです。保存時および通信時に暗号化され、GDPRに準拠し、エンタープライズ対応です。
保存時および通信時に暗号化
文書、分析、チャットメッセージ、条項など、すべてのユーザー生成コンテンツは、ディスクに書き込まれる前にAES-256で暗号化されます。鍵はバージョン管理され、ローテーションに対応しています。通信中のデータはTLS 1.2+で保護されます。ファイル名やタイムスタンプなど、コンテンツ以外のメタデータのみが平文のまま検索可能です。
GDPR準拠、EU内でホスティング
AttorlyはRailwayのEU-Westリージョンで稼働し、案件データはEU内の当社データベースにあります。アップロードされたファイルは暗号化された状態でCloudflare R2に保存されます。処理者が米国から業務を行う場合（CloudflareやAIモデルプロバイダーを含む）、データ移転は標準契約条項（SCC）またはEU-US Data Privacy Frameworkに基づき、当社のサブプロセッサー登録簿に処理者ごとに文書化されています。当社はデータ処理契約を提供し、消去権（削除の権利）のご要請に対応し、完全なデータポータビリティをサポートします。
SOC 2 Type II への準備
SOC 2 Type II の基準を満たすよう設計されたインフラとプロセス。継続的な監視、アクセス制御、変更管理を実施しています。第三者による監査はロードマップに含まれています。
SSO & SAML
SAML 2.0を使用したエンタープライズ向けシングルサインオンで、アクセス管理を一元化
監査ログ
プラットフォーム上で行われたすべての操作について、完全かつ改ざん不可能な監査証跡を提供
データの所在
AttorlyはRailwayのEU-Westリージョンのサーバーで稼働し、案件データはEU内の当社データベースにあります。アップロードされたファイルは当社サーバー上で暗号化されてからCloudflare R2に保存されますが、Cloudflare R2はファイルがEU内にとどまることを保証しません。AI分析は、EU標準契約条項のもと米国に拠点を置くモデルプロバイダーが処理します — 下記のAIプロバイダーの項をご覧ください。Enterpriseのお客様は、独自のストレージバケットと暗号鍵を接続し、任意のリージョンにファイルを保持できます。
AIプロバイダーによるデータの取り扱い
Attorlyは、分析、ドラフト作成、リサーチに最先端のAIモデルを使用しています。当社のインフラから外部に送られる内容とその条件は、正確に次のとおりです。リクエストはEUでホストされる当社のゲートウェイを経由してルーティングされ（ゲートウェイに到達できない場合は同じプロバイダーに直接送られます）、プロバイダーは当該リクエストに必要なテキストのみを受け取ります。プロバイダー側でのデータ保持は、以下にリンクするAPI利用条件に基づく短期的な不正利用監視に限定されています。
| プロバイダー | 用途 | 所在地 | データ条件 |
|---|---|---|---|
| GetPlatform AI Gateway | リクエストのルーティングと使用量の計測 — 当社自身のサービスで、AIリクエストが最初に経由する地点。到達できない場合、リクエストは同じプロバイダーに直接送られます | EU（オランダ） | データ条件を見る |
| Anthropic (Claude) | 法的分析、ドラフト作成、リサーチのための主要モデル | 米国 | データ条件を見る |
| OpenAI | フォールバックモデルおよび文書の埋め込み（embeddings） | 米国 | データ条件を見る |
| Google (Gemini API) | 法令コーパスの埋め込み（embeddings）およびフォールバックモデル | グローバル（Google Cloud） | データ条件を見る |
| Mistral AI | 文書のOCR。オプションとして、お客様自身のキーまたはセルフホスト環境によるEU限定の分析にも対応 | EU（フランス） | データ条件を見る |
| Voyage AI | 法務向けにチューニングされた埋め込み（embeddings） — オプトイン方式で、お客様自身のキーの利用に限定 | 米国 | データ条件を見る |
学習には一切使用されません
お客様のコンテンツがAIモデルの学習に使用されることは一切ありません。当社も、当社のプロバイダーも使用しません。すべてのプロバイダーは、顧客データでの学習を除外するAPI利用条件のもとで使用されています。
リクエストに必要なものだけ
プロバイダーが受け取るのは、その特定のリクエストに必要なプロンプトと文書の抜粋のみです。お客様の文書ストア全体が渡されることはありません。お客様の文書はAIプロバイダーではなく、当社自身のストレージに暗号化されたまま保管されます。
お客様のキー、お客様のモデル
お客様自身のモデルキーを持ち込むことも、セルフホストのEU限定環境で分析を実行することも可能です。エンタープライズプランでは、お客様自身の暗号化キーの持ち込み（BYOK）にも対応しています。
完全な透明性
お客様のデータに触れるすべての第三者は、その所在地、移転メカニズム、データ処理契約とともに、公開されている当社のサブプロセッサー登録簿に記載されています。
法情報ソースとライセンス
Attorlyのリーガルリサーチは、公的機関による公式の公表物に基づいています。製品内に表示されるすべての法文には、各利用条件が求めるとおり、発行元と再利用の条件を明記しています。以下がその完全な一覧です。
| 発行元 | 利用対象 | 条件 | 必要な表示 |
|---|---|---|---|
| Lovdata | ノルウェーの現行法律および主要な規則当社のリサーチコーパスに保存 | NLOD 2.0 | Inneholder data under Norsk lisens for offentlige data (NLOD) tilgjengeliggjort av Lovdata |
| Stortinget | 法案に関するノルウェー国会委員会の報告書（innstillinger）当社のリサーチコーパスに保存 | NLOD 2.0 | Kilde: Stortinget |
| Sveriges riksdag | スウェーデンの法令（SFS）および政府提出法案（propositioner）当社のリサーチコーパスに保存 | 利用規約 | Källa: Sveriges riksdag |
| Sveriges Domstolar | スウェーデンの全裁判所の先例となる判決当社のリサーチコーパスに保存 | CC0 1.0 | 指定なし |
| Retsinformation | デンマークの法律および規則、法案（lovforslag）、委員会報告書（betænkninger）当社のリサーチコーパスに保存 | ophavsretsloven § 9 | 指定なし |
| Gesetze im Internet | ドイツの連邦法律および規則当社のリサーチコーパスに保存 | UrhG § 5 | 指定なし |
| Rechtsprechung im Internet | ドイツ連邦通常裁判所（民事部）、連邦労働裁判所および連邦憲法裁判所の判決と、その公式の判決要旨当社のリサーチコーパスに保存 | 利用規約 | 指定なし |
| EUR-Lex | 現行のEU規則・指令および欧州連合司法裁判所の判決当社のリサーチコーパスに保存 | Decision 2011/833/EU | 指定なし |
| Finlex | フィンランドの法令検索時にリアルタイムで照会、保存しない | tekijänoikeuslaki 9 § | 指定なし |
| legislation.gov.uk | 英国の法令検索時にリアルタイムで照会、保存しない | OGL v3.0 | Contains public sector information licensed under the Open Government Licence v3.0. |
| Congress.gov | 米国連邦議会の法案および法律検索時にリアルタイムで照会、保存しない | 17 U.S.C. § 105 | 指定なし |
| CourtListener | 米国の裁判所の判決検索時にリアルタイムで照会、保存しない | 利用規約 | 指定なし |
| SEC EDGAR | 米国企業の法定開示書類検索時にリアルタイムで照会、保存しない | 利用規約 | 指定なし |
法律や判決などの公式文書は、当社がテキストを保存している法域では著作権の対象外です（åndsverkloven § 14, upphovsrättslagen 1 kap. 9 §, ophavsretsloven § 9, UrhG § 5）。EUの文書は欧州委員会決定2011/833/EUに基づいて再利用しています。これらは発行元自身のオープンデータ提供経路からのみ取得し、民間が編集したデータベースから抽出することはありません。
リサーチコーパスにはユーザーデータが含まれないため、保存時に暗号化していません。そのテキストは検索インデックスの構築のために当社の埋め込みプロバイダーに送信され、リクエストの根拠となる場合には抜粋が回答モデルに送信されます。
ここに記載された発行元はAttorlyを推奨しておらず、Attorlyはいずれの発行元のサービスでもありません。
データの保存期間
データ処理契約に定める期間です。毎日のジョブが監査ログを 2 年後に、破棄されたプレイブックのインポートを 30 日後に削除します。文書と分析結果は、文書またはアカウントの削除時に、下表の期間内に削除されます。
| データ | 保存期間 |
|---|---|
| アカウントデータ | アカウントが有効な間 |
| 文書 | 削除するまで、またはアカウント削除から 30 日後まで |
| 分析結果 | 文書の削除から 90 日後まで |
| 監査ログ | 2 年 |
| 破棄されたプレイブックのインポート | 最終変更から 30 日後まで |
セキュリティ質問票
セキュリティ質問票またはベンダー評価を security@attorly.ai までお送りください。Attorly は SOC 2 および ISO 27001 の認証を取得していません。回答ではその旨を明記し、実施している管理策を説明します。
security@attorly.ai にメール