セキュリティ
データの保存先
アカウント情報・入力データ・計測結果は、Supabase の日本（東京リージョン）に保管しています。一方、アプリケーションの処理（サーバー機能の実行）は、配信基盤 Vercel の米国リージョンで行われます。したがって、保管は国内、処理は国外を経由します。詳細と越境移転の取り扱いは、プライバシーポリシーに記載しています。
通信の暗号化
本サービスとの通信は TLS で暗号化されています。HTTPS の強制（HSTS: max-age=2年 / includeSubDomains / preload）はアプリケーション側で全レスポンスに付与しており、ブラウザの HSTS preload リストにも登録済みです。
決済情報
クレジットカード番号などの決済情報は、決済事業者である Stripe のみが取得・保持します。当社はカード番号そのものを保持しません。
セキュリティヘッダ
Content-Security-Policy（CSP）をはじめ、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、Cross-Origin-Opener-Policy の各セキュリティヘッダを全ページに設定し、CSP 違反のレポートを受け取って検知できるようにしています。
計測入力データの扱い
計測のために入力された質問文やブランド名を、当社が自社AIの学習に使うことはありません。
委託先の開示
本サービスは、計測処理に DataForSEO、決済に Stripe、データベース・認証に Supabase、ホスティングに Vercel、メールの送信に Resend、外部認証に Google および GitHub、計測ジョブの実行管理に Inngest、アクセス解析に Plausible（Plausible Insights OÜ・エストニア）を利用しています。各委託先の取り扱いの詳細は、プライバシーポリシーに記載しています。
ログインの保護
パスワードは12文字以上（英大文字・小文字・数字を含む）を必須とし、既知の漏洩パスワードは登録できません。認証アプリによる二段階認証（TOTP）を設定画面から有効にでき、有効にした場合はログインのたびに6桁のコードを求めます。
データの持ち出しと削除
設定画面から、保存されているデータをJSONで書き出せます。アカウントの削除も設定画面から行え、実行すると組織のデータはすべて削除されます（有効なご契約がある場合は、削除の前に自動で解約します）。メールでのご依頼をお待ちいただく必要はありません。
運用データの保持期間
サイトの利用状況の記録は400日、レート制限の記録は7日、無料計測の利用回数の記録は90日、決済イベントの処理済み記録は90日、共有回線での無料計測救済の記録は180日を超えたものを、週次の自動処理で削除します。保持期間はコード上の1箇所で管理し、この記載と同じ値を処理が読んでいます。
障害の検知
公開ページ・主要APIの外形監視に加え、サーバー側でエラー（HTTP 5xx）が発生した場合は運用者へ自動で通知されます。Stripe のご契約状態とアカウントのプランは週次で突き合わせ、食い違いがあれば通知します。
脆弱性の報告窓口
/.well-known/security.txt（RFC 9116）を公開しています。security@uitruth.app またはお問い合わせページからご報告ください。受領後5営業日以内に一次回答します。個人事業のため24時間の有人対応は行っていません。
取得した回答の保持期間
計測のために取得した回答の生データ（APIから返る元のJSON）は、取得から90日を経過したものを削除します。登録アカウントの計測結果と回答本文は、アカウントが存続する間は期間の制限なく保持します（アカウント削除時にすべて削除します）。登録なしのゲスト計測の結果は、取得から12か月を経過した後に順次削除します。過去との比較や推移は、これまでどおりご覧いただけます。
計測の処理者
計測のために外部へ渡すのは、計測する質問文と、入力されたブランド名です。取得は計測プロバイダ（DataForSEO / Bright Data）を通じて行い、結果はSupabase（東京リージョン）に保存します。取得した回答の生データ（JSON）は90日で削除します（回答本文と集計済みデータは残ります）。委託先の一覧と法的な取り扱いは、プライバシーポリシーに記載しています。
脆弱性のご報告
本サービスの脆弱性を発見された場合は、お問い合わせページからご連絡ください。内容を確認のうえ、順次対応します。