top of page

情報セキュリティ方針

ウィンワークス株式会社は、情報セキュリティに関する基本方針と、クラウドサービスの提供者としての方針を、次のとおり定め、公開しています。

情報セキュリティ基本方針

 

ウィンワークス株式会社（以下、当社）は、お客様からお預かりした情報資産を事故・災害・犯罪などの脅威から守り、お客様ならびに社会の信頼に応えるべく、以下の方針に基づき全社で情報セキュリティに取り組みます。

​

1. 経営者の責任


当社は、経営者主導で組織的かつ継続的に情報セキュリティの改善・向上に努めます。

​

2. 社内体制の整備


当社は、情報セキュリティの維持及び改善のために組織を設置し、情報セキュリティ対策を社内の正式な規則として定めます。

​

3. 従業員の取組み


当社の従業員は、情報セキュリティのために必要とされる知識、技術を習得し、情報セキュリティへの取り組みを確かなものにします。

​

4. 法令及び契約上の要求事項の遵守


当社は、情報セキュリティに関わる法令、規制、規範、契約上の義務を遵守するとともに、お客様の期待に応えます。

​

5. 違反及び事故への対応


当社は、情報セキュリティに関わる法令違反、契約違反及び事故が発生した場合には適切に対処し、再発防止に努めます。

​

制定日：2026年6月8日
ウィンワークス株式会社
代表取締役社長　森 庸輔

クラウドサービス情報セキュリティ方針

​

1. 目的

 

当社は、情報セキュリティ基本方針に基づき、クラウドサービスの提供者として遵守すべき事項を本方針に定めます。本方針は、情報セキュリティ基本方針を補完し、クラウドサービスに固有の事項について当社の考え方を示すものです。

 

2. 適用範囲

 

本方針は、当社が提供するクラウドサービス「WINWORKS One」及びその提供に関わる当社の業務に適用します。

 

3. 責任の分担

 

クラウドサービスの情報セキュリティは、当社と利用者の双方がそれぞれの責任範囲を果たすことにより確保されます。

 

当社が責任を負う範囲

 

  • アプリケーションの設計、開発及び保守

  • 本サービスを構成するクラウド基盤（Amazon Web Services 東京リージョン）の設定及び運用

  • 通信の暗号化及び保存データの暗号化

  • 脆弱性情報の収集及び対応

  • バックアップの取得

  • 上記に関わる当社の従業者及び委託先の管理

 

利用者が責任を負う範囲

 

  • 利用者アカウントの発行、権限の設定及び削除

  • ID及びパスワードの管理、並びに権限を有する者のみに利用させること

  • 本サービスに登録する情報の内容及び適法性（要配慮個人情報を登録する場合の本人の同意の取得を含みます）

  • 利用者が使用する端末及びネットワークの管理

  • 外部のID基盤と連携して認証を行う場合の、当該基盤の管理

 

クラウド基盤の物理的設備及び仮想化基盤の安全性については、クラウド基盤事業者が公表する責任共有モデルによります。

 

4. 利用者から預託されたデータの取扱い

 

保存場所

 

利用者から預託されたデータは、日本国内（東京リージョン）に保存します。

 

利用目的の限定

 

本サービスの提供、サポートサービスの提供及び有償で受託する支援業務の遂行に必要な範囲においてのみ取り扱います。

​

アクセスの制限


利用者から明示的に許諾された場合、本サービスの利用に必要な場合及びシステム上のトラブルシューティングに必要な場合を除き、当社が利用者のデータにアクセスし、編集し、又は改変することはありません。

​

第三者への提供


個人データの取扱いの委託、再委託及び法令に基づく場合を除き、第三者に提供しません。外国にある委託先に取扱いを委託する場合は、委託先及びその所在国を当社が公表するプライバシーポリシーに記載します。

 

検証環境への複製

 

本サービスの保守、障害の原因の調査及び復旧並びに機能の追加又は変更に係る事前の確認のため、本番環境のデータを検証環境に複製することがあります。検証環境には、本番環境と同等の安全管理措置を講じます。

 

保存期間と削除

 

利用者から預託されたデータは、サービス利用契約の有効期間中保存し、契約終了の日から3ヶ月以内に削除します。削除後にデータを復元することはできません。

 

統計的処理を施した情報の利用

 

特定の個人を識別することができない形に統計的処理を施した情報を利用することがあります。

 

5. 特権的アクセス権を用いた操作

 

  • 特権的アクセス権を付与する者を必要最小限に限定し、付与にあたっては代表取締役の承認を得ます。

  • 特権的アクセス権による操作は、多要素認証を経た限定された経路からのみ行います。

  • 特権的アクセス権による操作の記録を取得し、1年間保管します。

  • 特権的アクセス権を用いて利用者のデータを取り扱うのは、第4項に定める範囲に限ります。

  • 付与の状況は定期的に点検し、必要がなくなった権限は速やかに削除します。

  • 委託先に特権的アクセス権を付与する場合は、覚書その他の合意により当社と同等の義務を課し、必要かつ適切な監督を行います。

​​

6. 利用者への通知

​

  • 定期の保守点検：事前に通知します。

  • 臨時の保守点検、障害その他による一時的な中断：事前の連絡なく中断することがあります。発生した場合は遅滞なく報告します。

  • 情報セキュリティ事象（個人データの漏えい等）：遅滞なく通知し、法令に基づく報告を行います。

  • 利用者の運用に影響を及ぼす機能の追加又は変更：事前に通知します。

  • 本サービスの廃止：6ヶ月前までに通知します。

  • 利用約款及びプライバシーポリシーの改定（プライバシーポリシーの別表の記載事項の変更その他の軽微な変更を除きます）：30日以上の予告期間を設けて通知します。

​

プライバシーポリシーの別表の記載事項の変更その他の軽微な変更については、当社ウェブサイトへの掲載をもって通知に代えます。

 

7. 委託先の管理

 

本サービスの提供に関連して業務を委託する場合、当社が負う義務と同等の義務を委託先に課し、必要かつ適切な監督を行います。外国にある事業者に個人データの取扱いを委託する場合は、当該国における個人情報の保護に関する制度を確認したうえで、契約上、技術上及び運用上の相当措置を講じます。

生成AIの利用は、サポートサービス及び有償で受託する支援業務の範囲に限られます。本サービスにおける勤務スケジューリングの計算及び勤務スケジュールの確定に、生成AIが関与することはありません。

 

8. 情報セキュリティ事象への対応

 

情報セキュリティ事象を認識した場合、あらかじめ定めた手順に従い、影響の把握、封じ込め、復旧及び再発防止を行い、その記録を残します。

 

9. 準拠する規格及び法令

 

当社は、ISO/IEC 27001 及び ISO/IEC 27017 に基づく情報セキュリティマネジメントシステムを運用し、個人情報の保護に関する法律その他の関係法令を遵守します。

 

10. 本方針の見直し

 

本方針は、少なくとも年に1回、及び重要な変更が生じた場合に見直し、当社ウェブサイトにおいて公開します。

 

制定日：2026年9月4日
ウィンワークス株式会社

bottom of page