FesRegi は運営者 横山眞 が個人で開発・運営し、情報セキュリティの責任はすべて運営者が負います

運営者は、この方針を自分で決めて守り、毎年見直して取り組みを良くしていきます

事故の可能性はゼロにできないため、起きにくくする対策と、起きたときにすぐ気づき、知らせ、戻す備えの両方を用意します

FesRegi がお預かりする情報で最も高い分類は Ⅱ で、要配慮個人情報 (病歴・犯罪歴など) は扱いません

分類の違う情報が同じ場所 (データベース全体・バックアップ・ログ) にあるときは、その中で最も高い分類に合わせて守ります

サービス提供・システム管理・運用の統括・個人情報保護の責任者は、すべて運営者 横山眞 が兼務します

連絡先: メール support@fesregi.app / Instagram @fesregi.app のダイレクトメッセージ (セキュリティ・事故・脆弱性の連絡も同じ窓口です)

返信の目安: 通常のお問い合わせは 3 営業日以内。障害・事故は、運営者が気づいたら速やかに第一報を出します

データを売らない・AI の学習に使わせない: お預かりしたデータを第三者に売らず、AI・機械学習の学習に使いも使わせもしません

見られるのは運営者だけ: 本番のデータと管理画面を見られるのは、運営者 1 人と、運営者が自分で始めた作業の中で使う AI だけです。AI は学習に使わない設定を確かめたものだけを使い、本番を書き換える操作は運営者が 1 件ずつ承認し、本番のデータは原則として手元の端末に保存しません

個人データに触れる仕事は人に任せない: 開発・運用・サポートは運営者が自分で行い、お預かりした個人データに触れる仕事の委託や人の雇用はしません。委託しているのは営業 (協賛のお願い・学校へのご紹介) だけで、営業の委託先 (国内の個人) は秘密を守ることを契約で約束し、本番のデータ・管理画面・お問い合わせの窓口を見られず、お預かりした個人情報を受け取りません。この体制を変えるときは、先にこの方針を改定してお知らせします

外部サービスの選び方: サーバー・ログイン・メール・決済などの外部サービスは、原則として国際的な第三者認証 (ISO/IEC 27001・SOC 2 など) を受けている事業者から選び、本番のサーバーとデータベースは日本 (東京) に置きます。外部サービスのアカウントの多要素認証や権限の設定は、運営者の責任で守ります

ログインと通信: 委員会の利用には Google または Apple のログインを必須にし、FesRegi はパスワードを持ちません。運営者の管理画面は Google ログインにパスキーの確認を加え、利用者の端末から FesRegi のサーバーまでの通信はすべて暗号化 (HTTPS) しています

バックアップと監視: 毎日のバックアップを別の事業者に暗号化して保管し、戻せるかを定期的に試します。異常は運営者に通知し、委員会・運営者の大事な操作を監査ログに残します

AI を使った点検: 本番に出すすべての変更に決まった点検と AI のコードレビューを通し、ログイン・権限・データベースに関わる変更には AI のセキュリティレビューも行い、指摘は運営者が 1 件ずつ確かめて直します。毎年、自分で脆弱性の診断をし、ソフトウェアの脆弱性は確認できたら重大なものから速やかに直します

端末と情報の収集: 運営に使う端末は、ディスクの暗号化・自動アップデート・画面ロック・紛失時の遠隔ロックを使います。IPA・JPCERT/CC などのセキュリティ情報と、法令・ガイドラインの改訂を定期的に確かめます

マルウェア (不正プログラム) への対策: サーバーは外からの入口を絞り、各部品を必要な権限だけで動かし、OS とソフトウェアを更新します。本番に出したファイルが書き換えられていないかを照らし合わせ、利用者がアップロードできるファイルは決まった種類に限ります。運営に使う端末は OS の標準のマルウェア対策と自動アップデートを使い、アプリは公式の入手先からだけ入れます

法令: 個人情報の保護に関する法律 / 電気通信事業法 / 消費者契約法 / 民法 (定型約款) / 特定商取引法 / 不正アクセス行為の禁止等に関する法律 / 著作権法 / サイバーセキュリティ基本法 (事業者の責務)

準拠しているガイドライン: 文部科学省「教育情報セキュリティポリシーに関するガイドライン」(令和7年3月) / 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」(令和8年3月版) — 事業者に求められる項目に対する自己評価の結果を、学校向け資料で開示しています

第三者認証: 無料・個人運営で取得と維持の費用を賄えないため、ISMS (ISO/IEC 27001) などの第三者認証は取得しておらず、取得する予定もありません。代わりに、基盤の事業者が取得している認証と、自己点検の結果の公開で説明します

流れ: 気づく → 重大さを判断する → 止める・広げない → 証拠を残す → 知らせる → 直す → 再発を防ぐ、の順で対応し、記録を残します

学校へのお知らせ: 気づいたら速やかに委員会の委員のメールアドレスへ第一報を送り (委員会の無い学校には店舗へのアプリ内のお知らせで知らせます)、直るまで新しい情報があれば随時続報を送ります

利用者へのお知らせ: 重大な事故のときは、影響を受ける方にアプリ内のお知らせとメールで知らせ (メールアドレスの無いゲストにはアプリ内のお知らせで) 知らせます

個人情報の漏えい: 法令に従って個人情報保護委員会に報告し、ご本人にお知らせします。学校が公表・説明するときは協力します

攻撃を受けたとき: 記録を残して警察と IPA に相談します。文化祭の当日は、模擬店の POS が動き続けることを最優先にします

脆弱性のご報告: support@fesregi.app と Instagram @fesregi.app のダイレクトメッセージで受け付け (https://fesregi.app/.well-known/security.txt にも書きます)、3 営業日以内に返信します。報奨金はありません

この方針に反したとき: 運営者自身が守れていなかったと分かったときも、事故と同じように記録し、直し、必要ならお知らせします

毎年、この方針が実態に合っているかを見直します

大きな事故が起きたとき・個人データが渡る外部サービスを増やすとき・法令やガイドラインが変わったとき・有料のプランを始めるとき・人を雇うときや営業のほかの業務を委託するときは、その都度見直します

変えたときは、版と改定日を更新し、前の版も読めるように残します (変えた内容と前の版の全文は 改定履歴 に載せます)

この方針は、2026年10月22日から施行します。