GDPR
PaperOfficeは処理者に対するGDPRの要件を満たしています — ジェネレーターによるDPA（第28条）とTOM（第32条）、EU内での処理。
- EUでのデータ処理
- 削除権
- 透明性のある処理
セキュリティとコンプライアンス
検証可能な制御。
AVV、TOM、ISO/IEC 27001 証明書 — 主張ではなく文書化済み。
世界の大手企業からの信頼
OEMパートナーシップ
ハードウェア大手はPaperOfficeを独占的に採用しています。
QNAPの唯一の公式DMSパートナー。Classicはアプリ、AIはBYOS。
もっと見るISO/IEC 27001
認証取得済み
SOC 2 Type 2
準備中
ASUSTORの唯一の公式DMSパートナー。Classicはアプリ、AIはBYOS。
もっと見る証明
データセンター内で。アプリ内で。
EU Datacenter Spain内の自社ハードウェアでの処理。AVVとTOMはジェネレーターによって生成され、企業データを含むPDF形式で提供されます。
100% EUパブリッククラウドなしサブプロセッサーなし
基準とエビデンス EU Datacenter Spain
自社工場。パブリッククラウドなし。ハイパースケーラーなし。
アプリ内のジェネレーター
AVVとTOMは、企業データを用いてPDF形式で生成されます。
Cloudflare Inc.
ネットワーク保護：DDoS対策、WAF、CDN。ドキュメントへのアクセスなし。
その他の資料
ホワイトペーパー、ペネトレーションテストレポート、ISO/IEC 27001証明書はエンタープライズプラン以降のリクエストに応じて提供します。
基準とエビデンス
認められたセキュリティ基準。 監査に対応可能。
文書化された基準：処理者に対するGDPRの要件を満たしています。ISO/IEC 27001認証を取得済みです。SOC 2 Type IIは準備中です。
ISO/IEC 27001 (認証取得済み) ISO/IEC 27001 認証を取得済みです（証明書は NDA 締結後に提供）。SOC 2 Type II は準備中です。
情報セキュリティマネジメントの国際標準
- ISO/IEC 27001 認証取得済みの ISMS
- 年次監査
- 継続的改善
SOC 2 Type II (準備中) ISO/IEC 27001 認証を取得済みです（証明書は NDA 締結後に提供）。SOC 2 Type II は準備中です。
AICPAサービス組織管理信頼サービス基準
- セキュリティ管理
- 可用性
- 機密性
HIPAA
医療データに関する米国の基準 — PaperOffice は HIPAA Security Rule のすべての技術的保護要件を満たしています。
- アクセス制御、MFA、監査ログ
- 送信時および保存時の暗号化
- BAA はご要望に応じて提供（別途の補足契約）
Stripeによるカード決済
カード決済はStripe Checkoutで行われます。カード情報はStripe上で入力され、PaperOfficeのサーバーには届きません。
- Stripe：PCI DSS Level 1のサービスプロバイダー
- 決済ページはStripeがホスト
- PaperOfficeのサーバーにカード番号はありません
GoBD
GoBD（ドイツの帳簿保存規則）に基づく記録保持のための技術的な構成要素
- 変更不可能なバージョン（WORM）
- チェックサムと完全性
- 漏れのない監査ログ
ISO/IEC 27001 認証を取得済みです（証明書は NDA 締結後に提供）。SOC 2 Type II は準備中です。
暗号化
AES-256暗号化
すべての文書はAES-256で暗号化して保存され、TLS 1.3で転送されます。
保存時
保存されているすべてのデータは完全に暗号化されます
転送時
すべての接続にTLS 1.3を使用
鍵管理
鍵はデータベースの外に保管 — 権限のあるサービスのみが読み取り可能
アクセス制御
復号は承認された処理に限定 — 監査証跡付き
アーキテクチャ
ゼロトラスト。 暗黙の信頼なし。すべてのリクエストは検証される。
すべてのリクエストは認証されます。すべてのアクセスは記録されます。例外はありません。
アイデンティティファースト
多要素認証、パスキー、Googleによるログイン; 新しいデバイスや不審なネットワークでのコード確認。
最小権限の原則
最小限の権限。本当に必要なものへのアクセスのみ。
継続的な検証
永続的な検証。「信頼ゾーン」はありません。すべてのセッションが検証されます。
完全な監査証跡
すべてのアクセスの完全なログ記録。不変の監査ログ。
マイクロセグメンテーション
分離されたネットワークセグメント。ある領域での侵害は分離されたままです。
ログイン監視
新しいデバイスや新しいIPアドレスからのログイン、またはVPN・プロキシ・データセンターのネットワークからのログインを警告します。「いいえ、ご本人ではありません」を選ぶと、アカウントがロックされ、すべてのセッションが終了します。
トラストセンター
アプリ内でのAVVおよびTOM対応
アプリ内のジェネレーターは、企業データを使用してAVVとTOMをPDF形式で生成します。
GDPR第28条
DPAジェネレーター
データ処理契約書はアプリ内で作成され、会社情報が事前に入力された状態で、PaperOfficeの社名入りのレターヘッド付きPDFとして出力されます。
- 個別に選択可能なサービス
- コンプライアンスパッケージにTOMと一緒に収録
- 生成されたすべてのバージョンの履歴
GDPR第32条
TOMジェネレーター
アカウントで実際に使用されているサービスに対する技術的および組織的な措置
- サービス別の措置カタログ
- ダウンロード前のプレビュー
- DPA（データ処理契約）を含むコンプライアンスパッケージ内のPDF
リアルタイム
Security Center
アカウントのすべてのデバイスとセッションを一目で把握 — 誰が、いつ、どこから、何にアクセスしているか
- ライブステータス付きデバイスダッシュボード
- アクティブなセッションの位置マップ
- セッションのロックまたは削除
アクセス制御
Geo-Fencing
デバイスごとに、アクセスが許可される国が定義されます。承認されていない地域はブロックされます。
- デバイスごとの国別承認
- 非承認地域のブロック
- セキュリティセンターで管理
透明性
サブプロセッサーなし。 最大限の制御。
PaperOffice は独自の EU インフラストラクチャを運営しています。DDoS 攻撃やボットへの対策として、PaperOffice は Cloudflare Enterprise をネットワーク保護に利用しています — ドキュメントへのアクセスはありません。
ネットワーク保護
Cloudflare Inc.
DDoS対策 & CDN
- DDoS対策、WAF、ボット対策
- 文書の内容へのアクセスなし
- 優先サポート付きのEnterpriseプラン
- トラフィックルーティングのみ – データ保存なし
コアインフラストラクチャ：100% 独自システム
データベース、ストレージ、AIモデルおよびバックアップシステムは、EU Datacenter Spain内の自社ハードウェア上で稼働しています。
- 米国ハイパースケーラークラウドサービスなし
- US CLOUD Act 不適用 – 米国当局によるアクセスなし
- すべての機能に対応した自社AIインフラ
- 第三国へのデータ転送なし
その他の資料
ホワイトペーパー、ペネトレーションテストレポート、およびISO/IEC 27001証明書は、エンタープライズプラン以降のリクエストに応じて提供されます。
アプリ内
- データ処理契約書（DPA） GDPR第28条に基づいて生成された会社データ。
- TOM文書 GDPR第32条に基づく技術的・組織的措置。
- コンプライアンスパッケージ AVVとTOMを1つのPDFにまとめ、すべてのバージョンの履歴付き。
Enterpriseプランからのリクエストに応じて
- セキュリティホワイトペーパー アーキテクチャ、暗号化およびセキュリティプロセスの概要。
- ペネトレーションテストレポート 機密保持契約（NDA）に基づく最新の独立評価の概要
- 証明書と監査状況 機密保持契約（NDA）に基づき、ISO/IEC 27001証明書を要求に応じて提供。SOC 2 Type IIは準備中