Onplana のセキュリティ
プロジェクトのデータは重要な資産です。エンタープライズ級のセキュリティ、暗号化、アクセス制御、監査ログ、データの分離で守っているので、侵害の心配ではなくプロジェクトの遂行に集中できます。
組織で Onplana の導入を検討していますか？ 回答付きのセキュリティレビューを読む。AI のデータの扱いを最初に載せています。
セキュリティの柱
セキュリティは、認証からインフラまで、Onplana のプラットフォームのあらゆる層に組み込まれています。
あらゆる場所で暗号化
- 転送中のすべてのデータに TLS 1.2+
- 保存データに AES-256 暗号化
- すべてのエンドポイントで HTTPS を必須化
- SSL で暗号化されたデータベース接続
認証とアクセス
- 二要素認証（TOTP と、10 個の使い捨てバックアップコード）
- テナント内での 2FA のリセット（組織の Owner または Admin が実行、権限の保護付き）
- ドメイン検証付きの SAML 2.0 と OIDC による SSO（Enterprise）
- テナントごとの無効化と変更の記録を備えた SCIM 2.0
- ブルートフォース攻撃に対するロックアウト（Redis を使用し、Postgres を予備に）
- 使い捨ての交換コードを使い、URL に JWT を載せない
- トークンのバージョン管理と全端末からのサインアウト
- IP 許可リスト（Enterprise）
監査とコンプライアンス
- 変更の前後を構造化して比較できる、追記専用の監査ログ
- 六つの保持プロファイル：STANDARD / GDPR / HIPAA / FINRA / SOC 2 / CUSTOM
- 複数の組織に属する人には、最も厳しい保持が適用される
- セキュリティイベントのストリーム（サインイン、パスワードの変更、2FA、SCIM）
- フィルターと期間を指定した CSV または JSON での監査のエクスポート
- コンプライアンススコアのダッシュボード（2FA、トークンのスコープ、保持、IP）
- ガバナンス対象のプロジェクト向けの変更管理委員会
インフラ
- SOC 2 に準拠したクラウドプロバイダーである Microsoft Azure でホスト
- すべてのクエリで、各テナントのデータをその組織に限定
- ポイントインタイムリストアに対応した自動バックアップ
- DDoS 対策とリクエストのレート制限
- 定期的な脆弱性スキャン
データの保護
- テナント間の分離：組織がほかの組織のデータを見ることはない
- ごみ箱による論理削除（30 日間は復元可能）
- お客様の Azure サブスクリプション内の専用デプロイによるデータレジデンシー（Enterprise+）。マネージドサービスは単一のリージョンで稼働
- お客様のデータが AI モデルの学習に使われることはない
- データはいつでもエクスポート可能（ロックインなし）
組織の管理
- 五つの既定のロールとカスタムロール（Business プラン以上）
- きめ細かな権限キー（組織とプロジェクト）
- 権限マトリックスを変更できるのは Owner だけ（権限昇格の防止）
- 最後の Owner の保護：唯一の Owner は降格できない
- Admin は Owner の 2FA をリセットできない（権限の分離）
- プランごとの上限付きのゲスト席の管理
- 2FA の状態、最終サインイン、非アクティブの表示を備えたアクセスレビュー
本番環境の保護
- 起動時のチェック：シークレットが欠けているか不正な形式なら、サービスは起動しない
- 用途ごとに分けた JWT のシークレット（認証、SSO の状態、請求、カレンダー）
- Helmet のヘッダー（HSTS、CSP、X-Frame-Options、COOP/CORP）
- ルートごとの制限（認証、OAuth、AI、テナントごとの SCIM）
- HMAC-SHA256 と SSRF 対策を備えた webhook
- デプロイ時のビルド SHA の検証（バージョンが気づかれずに遅れることはない）
お客様のドキュメント
契約書、計画書、顧客のファイルを Onplana にアップロードしたとき、それがどうなるか。
暗号化されたプライベートなストレージ
アップロードされたファイルは West US の Azure Blob Storage に保存され、Azure Storage によって保存時に暗号化され、二つ目のリージョン（East US）に複製されます。ストレージアカウントはパブリックネットワークからのトラフィックを受け付けず、プライベートエンドポイント経由でのみ到達できます。公開されたコンテナーはなく、アカウントには共有アクセスキーもないので、Onplana はマネージド ID でアクセスします。
転送中の暗号化
お客様のブラウザーと Onplana の間、Onplana とストレージの間は HTTPS のみで、最低でも TLS 1.2 を使います。
アプリからしか開けない
すべてのダウンロードはサインイン済みのアプリを通り、アプリはそのファイルがお客様の組織のものかを確認します。プロジェクトのファイルにはそのプロジェクトへのアクセスも必要で、制限付きのフォルダーは共有された人にしか開けません。保存されたファイルへの公開リンクはありません。
受け入れ時にチェック
ファイルの実際の種類は内容から読み取られ、許可された種類のリストと照合されます。実行ファイルは除外されます。ファイルあたり最大 100 MB で、プランのストレージの範囲内です。
バージョンとごみ箱
すべてのドキュメントがバージョン履歴を保持し、これはすべてのプランで同じです。削除されたファイルは内容ごとごみ箱に入り、既定では 30 日間、HIPAA と FINRA の保持プロファイルでは六年間保持されます。
組織の外との共有
外部の受信者は、メールで届く六桁のコードで共有ファイルを開きます。コードの有効期間は 15 分です。共有できるのは検証済みの送信者だけで、送信には一時間あたりの上限があり、共有した人はいつでもアクセスを取り消せます。Owner と Admin はリンクに既定の有効期限を設定でき、Professional プラン以上では、Owner がほかのすべてのロールに組織の外へのファイル共有を禁止できます。
Office のファイルは Onplana の中に
ブラウザーで編集する Word、Excel、PowerPoint のファイルは、外部のエディターではなく、Onplana の Azure 環境にある Onplana の編集サービスで開きます。
監査ログに記録
アップロード、ダウンロード（アプリで開いたファイルやエージェントが読んだファイル）、バージョンの復元、ブラウザーの Office エディターからの保存は、削除、共有と取り消し、タスクの添付ファイルの追加と削除、ごみ箱からの復元と同じく監査ログに記録されます（Enterprise プラン以上）。各エントリーには、Web アプリや MCP 経由のエージェントといった発生元のクライアントが記され、一人が同じファイルを一時間のうちに何度ダウンロードしても一つのエントリーにまとまります。
詳しい流れ： ファイルの保護のしくみ （英語）.
規制対象の購入者と公共部門
Onplana は Microsoft Azure でのみ稼働します。ホスト型のサービスとして、または Enterprise+ として利用でき、Enterprise+ は Onplana がお客様の Azure サブスクリプション内に構築して運用する専用の導入です。お客様がインストールするパッケージではありません。ツールがお客様の境界の内側で動くことを規則が求める場合、答えは Enterprise+ です。よく尋ねられる要件ごとに、ホスト型のサービスが行うこと、Enterprise+ が行うこと、私たちが主張しないことを示します。
FedRAMP と政府機関の承認
ホスト型のサービス: ホスト型のサービスは、FedRAMP の承認も、政府機関の運用承認（ATO）も受けていません。
Enterprise+: Enterprise+ は、お客様が選んだリージョンで、お客様の Key Vault のキーを使い、お客様の Azure サブスクリプション内で稼働します。運用するのは Onplana なので、導入の責任は運用契約で合意したとおり共有されます。Microsoft は、これが使うデータ、セキュリティ、エッジ、AI のサービス（Azure Database for PostgreSQL、Key Vault、Storage、Front Door、Azure OpenAI）を Azure Government で一般提供されているものとして示しており、Azure Government 自体は FedRAMP High と DoD IL2、IL4、IL5 の承認を受けています。Azure Government での導入は顧客ごとに範囲を定めて見積もります。ご相談ください。
主張しないこと: Onplana 自体についての FedRAMP の承認、政府機関の運用承認、またはインパクトレベル。
HIPAA
ホスト型のサービス: HIPAA の保持プロファイルは削除されたファイルを六年間保持し、二要素認証は組織全体で必須にでき、操作のないセッションは期限切れになり、監査ログのエクスポートは Enterprise から利用できます。
Enterprise+: お客様のプロジェクト、ファイル、監査ログは、お客様のサブスクリプション内のデータベースとストレージアカウントに置かれます。
主張しないこと: HIPAA への準拠。プロジェクトに保護対象の医療情報が含まれる場合は、Onplana に入れる前にご相談ください。
ITAR と CMMC
ホスト型のサービス: ホスト型のサービスは、輸出管理の対象となる技術データや管理対象の非機密情報を扱うためのものではありません。それらのデータは入れないでください。
Enterprise+: Enterprise+ は、データをお客様の Azure サブスクリプションとリージョンの中に置きます。Azure Government での導入では、そこで利用できる Azure OpenAI のモデルを使い、Claude のプロバイダーは使いません。フォームでお客様の境界をお知らせいただければ、Onplana がその内側でどのように導入を運用するかを見積もりに記します。
主張しないこと: ITAR への準拠、または CMMC のいずれかのレベル。
GDPR とデータレジデンシー
ホスト型のサービス: ホスト型のサービスは West US という単一のリージョンで稼働します。DPA は、EU の標準契約条項と英国およびスイスの補遺で国際移転をカバーし、すべての再委託先を記載しています。GDPR の保持プロファイルとデータのエクスポートはすべてのプランにあります。
Enterprise+: データを選んだリージョンに留める必要がある場合、Enterprise+ はそのリージョンのお客様の Azure サブスクリプション内で稼働します。
主張しないこと: ホスト型のサービスでのリージョンごとのレジデンシーの切り替え。
何もネットワークの外に出さない
ホスト型のサービス: ホスト型のサービスはクラウドサービスです。AI 機能は誰かが使ったときに Anthropic または Azure OpenAI を呼び出し、再委託先のページはデータを扱うすべてのサービスを記載しています。AI 機能は無効にできます。
Enterprise+: Enterprise+ では、データはお客様のサブスクリプション内に留まります。AI のプロバイダーなど、呼び出す外部のサービスはプロジェクトの範囲の中で合意され、AI 機能は無効にできます。
主張しないこと: お客様のネットワークの外に何も出ないこと。導入を運用するのは Onplana なので、当社のチームが運用と更新のためにアクセスします。
規制対象の組織や公共部門のために購入をご検討ですか？ Enterprise+ について問い合わせる.
企業向けのセキュリティ機能
Enterprise プランと Enterprise+ には、厳しいコンプライアンス要件を持つ組織向けの追加のセキュリティ機能が含まれます。
Microsoft Entra の設定ガイド： SAML で SSO を設定する （英語） · SCIM のプロビジョニングを設定する （英語）。同じ設定は Okta、OneLogin、JumpCloud、Ping のほか、RFC 7644 または SAML 2.0 に対応したあらゆる ID プロバイダーで行えます。
OAuth の資格情報とサードパーティーのトークン
すべての OAuth のアクセストークンとリフレッシュトークン（Google、Microsoft、Box、Dropbox、そのほか連携するすべてのプロバイダーのもの）は、データベースに書き込まれる前に、保存時に AES-256-GCM で暗号化されます。暗号化キーは Azure Key Vault で管理され、暗号化されたデータと一緒に保存されることはありません。連携を解除すると、Onplana はすぐにプロバイダー側でトークンを取り消し（プロバイダーがトークンごとの取り消しに対応している場合）、接続の記録を削除済みとして記録します。この記録は 30 日後に完全に削除されます。
当社のセキュリティの取り組み
安全な開発
コードレビューとセキュリティに重点を置いたテストを、すべてのリリースサイクルに組み込んでいます。
インシデント対応
重大度のレベルとエスカレーションの経路を定めた、文書化されたインシデント対応の手順。
依存関係の管理
サードパーティーの依存関係にある既知の脆弱性を自動で監視しています。
最小限のアクセス
本番システムへの社内のアクセスは最小権限の原則に従い、MFA を必須としています。
データの取り扱い
データのアクセス、保持、削除に関する厳格なポリシー。開発用のマシンに顧客のデータは置きません。
回答付きのセキュリティレビュー
ベンダー向けセキュリティ質問票の質問に、当社の回答と、それぞれの出典となるページを添えています。AI のデータの扱いを最初に載せています。
AI のデータの扱い
- Onplana はどの AI プロバイダーを使っていますか？
- Anthropic の Claude API と、Microsoft の Azure OpenAI Service です。Onplana が両方を管理し、どちらがリクエストを処理するかを決め、もう一方を予備にしています。たとえば、プロバイダーの障害時にはもう一方に切り替えます。 出典： 再委託先 （英語）
- AI のリクエストはどこで処理されますか？
- Anthropic は米国で処理します。Azure OpenAI は、Azure East US 2（米国）にある Onplana の Azure OpenAI 環境で処理し、OpenAI Inc. とデータを共有することはありません。 出典： 再委託先 （英語）
- AI のプロバイダーにはどのデータが送られますか？
- プロジェクトのテキスト、タスクの説明、AI 機能に渡された自由記述のテキストで、誰かがその機能を使ったときに送られます。対象は、リスクの検出、計画の生成、状況レポート、アプリ内のチャットです。 出典： 再委託先 （英語）
- 当社のデータは AI モデルの学習に使われますか？
- いいえ。AI のプロバイダーに送られたプロジェクトのデータは、そのリクエストへの回答を生成するためだけに使われ、顧客のデータも会話の内容も AI モデルの学習には使われません。 出典： プライバシーポリシー、第三節 （英語）
- AI のプロバイダーは当社のプロンプトを保持しますか？
- AI の処理はリアルタイムで行われ、プロバイダーはリクエストの期間を超えてデータを保持しません。Anthropic のポリシーでは、API の入力は学習に使われず、リクエストの完了後は保持されません。 出典： プライバシーポリシー、第三節 （英語）
- 自社の AI プロバイダーや API キーを使えますか？
- いいえ。Onplana が二つの AI プロバイダーを管理し、その資格情報を保管しています。顧客が用意する AI プロバイダーはありません。 出典： プライバシーポリシー、第三節 （英語）
- AI 機能は無効にできますか？
- はい。AI 機能は、中核のプラットフォームに影響を与えずに、いつでも無効にできます。 出典： プライバシーポリシー、第三節 （英語）
- Onplana の誰かが当社の AI との会話を読みますか？
- 有料プランでは読みません。無料プランでは、アプリの AI アシスタントとの会話が、誤った回答や不正利用の自動レビューにかけられることがあります。問題が検出された場合、プラットフォーム管理者の権限を持つ Onplana のチームメンバーがその抜粋を見ることがあり、閲覧はすべて社内の監査ログに残ります。 出典： プライバシーポリシー、第三節 （英語）
- 各プランにはどの AI 機能が含まれますか？
- プロジェクトの文脈を使う AI チャットは無料プランを含むすべてのプランで、AI によるリスクの検出はProfessional プラン以上で利用できます。AI の利用はすべて、プランの AI トークンの割り当ての中で行われます。 出典： 料金
ホスティングとデータの所在
- Onplana はどこでホストされていますか？
- Microsoft Azure の West US（米国）で、Container Apps、Postgres Flexible Server、Redis、Blob Storage、Key Vault を使っています。 出典： 再委託先 （英語）
- Onplana はマルチテナントですか？ テナントはどう分離されていますか？
- はい。すべてのクエリはその組織に限定され、リクエストのミドルウェアで再度確認されるので、組織がほかの組織のデータを見ることはありません。 出典： DPIA の補足資料 （英語）
- 当社のデータを、当社が選んだリージョンやサブスクリプションに留められますか？
- マネージドサービスは単一のリージョンで稼働します。データレジデンシーのためには、Enterprise+ があります。これは Onplana がお客様の Azure サブスクリプション内に構築して運用する専用デプロイで、暗号化キーもそこに置かれます。 出典： セキュリティ
- 何かをインストールする必要がありますか？
- いいえ。Onplana はホスト型のサービスで、Web アプリ、REST API、AI エージェント向けの MCP サーバーから使います。デスクトップ、スマートフォン、ブラウザー向けの任意のアプリもあり、これらは Onplana のサービスとだけ通信します。 出典： DPIA の補足資料 （英語）
暗号化
- 転送中のデータは暗号化されていますか？
- はい。すべての接続で TLS 1.2 以降を使い、すべてのエンドポイントで HTTPS を必須とし、データベースへの接続も暗号化しています。 出典： セキュリティ
- 保存データは暗号化されていますか？
- はい。Postgres、Blob Storage、Key Vault で、保存時に AES-256 で暗号化しています。 出典： DPIA の補足資料 （英語）
- 保存されたファイルはどのように保護されていますか？
- ファイルは West US の Azure Blob Storage に保存され、保存時に暗号化され、East US に複製されます。ストレージアカウントはパブリックネットワークからのトラフィックを受け付けず、プライベートエンドポイント経由で到達し、公開されたコンテナーも共有アクセスキーもありません。すべてのダウンロードはサインイン済みのアプリを通ります。 出典： セキュリティ、お客様のドキュメント
- 連携したサービスのトークンはどのように保管されていますか？
- Google、Microsoft、Box、Dropbox などのプロバイダーの OAuth のアクセストークンとリフレッシュトークンは、書き込まれる前に AES-256-GCM で暗号化され、キーは Azure Key Vault にあります。連携を解除すると、プロバイダーが対応していればプロバイダー側で取り消され、記録は 30 日後に完全に削除されます。 出典： セキュリティ
ID とアクセス
- シングルサインオンに対応していますか？
- はい。ドメイン検証付きの SAML 2.0 と OIDC に、Enterprise プラン以上で対応しています。Microsoft Entra 向けの設定ガイドがあり、SAML 2.0 に対応したどの ID プロバイダーでも動作します。 出典： セキュリティ
- SCIM のプロビジョニングに対応していますか？
- はい。テナントごとの無効化と変更の記録を備えた SCIM 2.0 に、Enterprise プラン以上で対応しています。 出典： セキュリティ
- 多要素認証はありますか？
- はい。10 個の使い捨てバックアップコード付きの TOTP による二要素認証を、無料プランを含むすべてのプランで利用できます。組織の Owner または Admin は、メンバーの二要素認証をリセットできます。 出典： セキュリティ
- アクセスを当社のネットワークに限定できますか？
- はい。IP 許可リストをEnterprise プラン以上で利用できます。 出典： セキュリティ
- ロールと権限はどのように管理しますか？
- 五つの組み込みロール、Professional プラン以上で使える権限マトリックス、Business プラン以上で使えるカスタムロールがあります。マトリックスを変更できるのは Owner だけで、最後の Owner は降格できず、Admin は Owner の二要素認証をリセットできません。 出典： セキュリティ
- セッションはどのように管理されていますか？
- トークンのバージョン管理と全端末からのサインアウト、それに操作のないセッションをタイムアウトさせるセッションの登録簿で管理しています。 出典： DPIA の補足資料 （英語）
- ブルートフォースによるサインインはどう防いでいますか？
- 失敗した試行が繰り返されるとロックアウトが働き、サインイン、OAuth、AI、SCIM のルートにはそれぞれ独自の制限があります。 出典： セキュリティ
ログと監視
- 監査ログはありますか？ エクスポートできますか？
- はい、Enterprise プラン以上で利用できます。すべての変更の前後の値を記録する追記専用の監査ログで、フィルターと期間を指定して CSV または JSON でエクスポートできます。 出典： セキュリティ
- 監査ログを当社の SIEM に送れますか？
- はい、Enterprise プラン以上で利用できます。Microsoft Sentinel、Splunk、Elastic、Datadog が、組織の監査ログだけを読み取る単一スコープのトークンで Onplana の API をポーリングします。Sentinel には既製のコネクタがあり、その他は汎用の REST ポーラーを使います。 出典： ドキュメント、監査ログを SIEM に送る （英語）
- セキュリティイベントは記録されますか？
- はい。セキュリティイベントのストリームが、サインイン、パスワードの変更、二要素認証の変更、SCIM の活動を記録し、アクセスレビューでは各メンバーの二要素認証の状態、最終サインイン、非アクティブかどうかがわかります。 出典： セキュリティ
- ファイルへのアクセスは記録されますか？
- はい、Enterprise プラン以上で記録されます。アップロード、ダウンロード（エージェントが読んだファイルを含む）、バージョンの復元、ブラウザーの Office からの保存、削除、共有と取り消しが、それぞれ発生元のクライアントとともに監査ログに残ります。 出典： セキュリティ、お客様のドキュメント
保持、削除、バックアップ
- データを保持する期間を決められますか？
- はい。六つの保持プロファイル（Standard、GDPR、HIPAA、FINRA、SOC 2、Custom）があり、複数の組織に属する人には最も厳しいものが適用され、毎日の削除処理で実行されます。 出典： セキュリティ
- 削除された項目はどうなりますか？
- ごみ箱に入り、既定では 30 日間は復元できます。HIPAA と FINRA のプロファイルでは、削除されたファイルは六年間保持されます。 出典： セキュリティ、お客様のドキュメント
- 当社のデータをエクスポートできますか？
- はい。いつでも、ロックインなしでエクスポートできます。各ユーザーも、設定のプライバシーとデータから自分のデータをエクスポートできます。 出典： DPIA の補足資料 （英語）
- ユーザーのアカウントはどのように削除されますか？
- 本人による削除には 7 日間の猶予期間があり、その間は本人が取り消せます。その後、データはその場で匿名化され、毎日の削除処理で削除されます。 出典： DPIA の補足資料 （英語）
- バックアップはどのように行われていますか？
- Azure Postgres Flexible Server で、7 日間のポイントインタイムリストアに対応した暗号化済みの毎日のバックアップを取っています。保存されたファイルはバージョン履歴を保持し、二つ目のリージョン（East US）に複製されます。 出典： 再委託先 （英語）
再委託先と契約
- 当社のデータを扱う再委託先はどこですか？
- 主なものは Microsoft Azure、Stripe、Anthropic、Azure OpenAI、Sentry、Azure Communication Services、hCaptcha です。Google、Box、Dropbox、GitHub、Jira などの連携先の再委託先は、お客様の組織がそれらを接続した場合にだけデータを受け取ります。重要な変更は事前にお知らせします。 出典： 再委託先 （英語）
- データ処理契約に署名しますか？ 国際移転はどうカバーされますか？
- はい。契約はご依頼から一営業日以内にお送りし、署名済みの控えは五営業日以内にお渡しします。国際移転は、該当する場合に EU の標準契約条項、英国の補遺、スイスの補遺でカバーします。 出典： データ処理契約 （英語）
セキュリティの運用
- インシデント対応のプロセスはありますか？
- はい。重大度のレベルとエスカレーションの経路を定めた、文書化されたインシデント対応の手順があります。侵害の通知はデータ処理契約で定めています。 出典： セキュリティ
- 脆弱性はどのように管理されていますか？
- 定期的な脆弱性スキャン、サードパーティーの依存関係の自動監視、そしてリリースごとのセキュリティに重点を置いたテストを伴うコードレビューで管理しています。 出典： セキュリティ
- Onplana で本番環境にアクセスできるのは誰ですか？
- 本番環境への社内のアクセスは最小権限に従い MFA を必須としており、開発用のマシンに顧客のデータは置いていません。 出典： セキュリティ
- 脆弱性はどのように報告すればよいですか？
- support@onplana.com までメールでお知らせください。 出典： セキュリティ
- アップロードされたファイルはどのようにチェックされますか？
- ファイルの実際の種類は内容から読み取られ、許可された種類のリストと照合されます。実行ファイルは除外され、ファイルあたり最大 100 MB です。 出典： セキュリティ、お客様のドキュメント
- 送信される webhook には署名がありますか？
- はい。HMAC-SHA256 で署名し、webhook の宛先はサーバーサイドリクエストフォージェリから保護しています。 出典： セキュリティ
コンプライアンス
- SOC 2 のレポートはありますか？
- まだありません。SOC 2 は当社のロードマップにあります。Onplana は SOC 2 に準拠したクラウドプロバイダーである Microsoft Azure でホストされ、SOC 2 の保持プロファイルを提供しています。 出典： セキュリティ
- Onplana は FedRAMP の承認を受けていますか？
- いいえ。ホスト型のサービスは、FedRAMP の承認も、政府機関の運用承認も受けていません。独自の境界が必要な購入者には、Enterprise+ があります。これは Onplana がお客様の Azure サブスクリプション内に構築して運用する専用の導入で、責任は運用契約で合意したとおり共有されます。Azure Government 自体は FedRAMP High の承認を受けており、そこでの導入は顧客ごとに範囲を定めて見積もります。 出典： セキュリティ
- HIPAA の対象となる医療データに Onplana を使えますか？
- HIPAA への準拠は主張していません。HIPAA の保持プロファイルは削除されたファイルを六年間保持し、二要素認証は組織全体で必須にできます。プロジェクトに保護対象の医療情報が含まれる場合は、Onplana に入れる前にご相談ください。 出典： セキュリティ
- Onplana に ITAR や CMMC のデータを入れられますか？
- ホスト型のサービスには入れられません。輸出管理の対象となる技術データと管理対象の非機密情報は入れないでください。ITAR への準拠も、CMMC のどのレベルも主張していません。Enterprise+ は、データをお客様の Azure サブスクリプションとリージョンの中に置きます。 出典： セキュリティ
- Onplana を当社の境界の内側で、何もネットワークの外に出さずに動かせますか？
- Onplana は Microsoft Azure でのみ稼働し、インストールするパッケージではありません。Enterprise+ はお客様の Azure サブスクリプション内で稼働し、AI のプロバイダーなど、呼び出す外部のサービスはプロジェクトの範囲の中で合意され、AI 機能は無効にできます。Onplana のチームが運用と更新のために導入環境にアクセスするので、お客様のネットワークの外に何も出ないとは主張していません。 出典： セキュリティ
レビューの質問が見当たりませんか？ 次の宛先までご連絡ください： support@onplana.com。データ処理契約は次のページから依頼できます：データ処理契約のページ （英語）.
お客様の Azure サブスクリプションで Onplana を使う必要がありますか？ Enterprise+ のしくみを見る.
責任ある開示
Onplana にセキュリティ上の脆弱性を見つけた場合は、責任ある方法でお知らせください。プラットフォームとユーザーの安全を守るためのご協力に感謝します。
support@onplana.comセキュリティについてのご質問は？
まずは上のセキュリティレビューをご覧ください。そこで扱っていないことについては、質問票へのご回答、資料のご提供、コンプライアンス要件のご相談に喜んで対応します。
機能ごとの一覧は、こちらの資料をご覧ください： Security & Compliance Overview （英語）.