永続データ — Neon Postgres（EU）
オフィスのデータ（brief、チャット、ファイル、メモリの記録）は、EU 内でホストされる Neon Postgres + pgvector のデータベースに保存されます。
セキュリティ
チームが Pixel Office を使い始めるとき、IT とセキュリティの担当者が尋ねる質問への書面での回答。誇張なし、ありのままに。
オフィスのデータ（brief、チャット、ファイル、メモリの記録）は、EU 内でホストされる Neon Postgres + pgvector のデータベースに保存されます。
API サーバーは Railway、ウェブ画面は Vercel で動いています（どちらも米国拠点の事業者）。処理のあいだデータはこれらのサーバーを通りますが、永続的な保管先は上のデータベースです。
プロダクト分析は PostHog の EU サーバーに保管され、Cookie 同意に従い、入力したテキストは収集前にマスクされます — KVKK に準拠した構成です。
トルコ国外への移転は、トルコ KVKK 第9条と標準契約条項（SCC）に基づいて行われます。提供事業者の全一覧は、下のサブプロセッサー表にあります。
各オフィスは独立したテナントです。すべてのクエリはアプリ層でテナント ID により範囲を限定します。最も機微なテーブル — ナレッジプール（アップロードされた書類の断片）とオフィスメモリ — では、さらに Postgres の Row-Level Security (RLS) をデータベース層で強制します（FORCE ROW LEVEL SECURITY）。あるテナントのクエリが別テナントの行に届くことは、データベースエンジン自体によって阻まれます。
HTTPS はすべての場所で必須です（HSTS 有効）。データベース接続は TLS で行われます（sslmode=require）。
データベースとホスティングの提供事業者は、ディスクレベルの暗号化を適用しています（提供事業者レベルの保存時暗号化）。
連携したアカウントの OAuth token（Google、Slack など）は、データベースに Fernet で暗号化して保存されます。復号されるのはそのツール呼び出しのときだけで、ログに平文で書かれることはありません。本番環境は暗号化キーが設定されていないと起動しません。
あなたのデータが AI モデルの学習に使われることはありません。
この約束は、モデルプロバイダーの商用 API 規約に基づいています：API 経由で送信された入力と出力は、プロバイダーのモデルの学習には使われません。Pixel Office もユーザーデータで自社モデルを学習させません — 唯一の例外は、集計・匿名化された利用指標です（例：どの Pixmate が最もよく採用されているか）。
Pixmate の応答は、上記の副処理者一覧に記載された AI プロバイダー上で実行されることがあります。どのプロバイダーが使われるかは、タスクの種類と可用性に応じて当社のシステムが自動的に決定します。LLM 呼び出しのトレースは、社内の品質確認とデバッグのみを目的として EU 内でホストされる Langfuse Cloud に保存され、第三者と共有されることも、マーケティング目的で利用されることもありません。
サービス提供に使っている事業者と、その役割です。いずれの事業者も、あなたのデータを自社のマーケティングには使いません。リストが変われば、このページも更新します。
| プロバイダー | 目的 | リージョン |
|---|---|---|
| Anthropic | AI model inference (Pixmate responses) | US |
| AI model inference (Pixmate responses) | US | |
| OpenAI | AI model inference (Pixmate responses) | US |
| Fireworks AI | AI model inference (may be used on specific task types) | US |
| Voyage AI | Embeddings for uploaded documents/text (knowledge search) | US |
| Railway | API hosting (application server, background jobs) | US |
| Vercel | Web front-end hosting | US |
| Neon | Postgres database + pgvector (persistent data store) | EU |
| Clerk | Authentication (sessions, passwords, SSO connections) | US |
| Whop | Payment processing — Merchant of Record; card data lives only at Whop | US |
| PostHog | Product analytics — EU servers, consent-gated, typed text masked | EU |
| Sentry | Error monitoring (crash reports, performance) | US |
| Langfuse Cloud | LLM call traces — internal quality/debugging only | EU |
| Resend | Transactional email (invites, billing notices) | US |
各オフィスは複数人で使え、4つの役割があります: owner（削除と請求を含む全権限）、admin（メンバー管理と設定）、editor（brief の実行と書類のアップロード）、viewer（閲覧のみ）。メンバーはメール招待で参加します。招待リンクは有効期限付きの一回きりで、役割は後から変更できます。
SAML 2.0 と OIDC ベースの企業向け SSO（Microsoft Entra ID、Okta、Google Workspace を含む）を、法人チーム向けにご要望に応じて有効化しています。有効化後、IdP 側の設定は約15分で完了し、既存のユーザーアカウントはメールアドレスの一致でデータを失わずに SSO に接続されます。チームで利用したい場合はご連絡ください: alperen@pixel-office.com
SSO を利用するチームでは、MFA と条件付きアクセスのポリシーはそのまま有効です — 認証はすべて自社の IdP 側で行われます。パスワードでログインするユーザーには、Clerk 経由の任意の2要素認証（TOTP）が用意されています。
セッションの JWT は短命で、リクエストごとに更新されます。取り消されたセッションは新しいトークンを取得できません。IdP 側で無効化されたユーザーは、新たにサインインできなくなります。
アカウントはプロフィール → 危険ゾーンからご自身で削除できます。削除は即時です: あなただけが所有するオフィスと、その中のすべて（brief、出力、書類、連携トークン）が完全に削除されます。バックアップからの完全な削除は、ローリングバックアップの保持期間により最大90日かかることがあります。
オフィスメモリの記録は1件ずつ確認でき、完全に削除できます（元に戻せないハード削除）。
アクセス・訂正・削除・異議の請求はこちら: alperen@pixel-office.com — 遅くとも30日以内に回答します。詳細: KVKK 通知 · プライバシーポリシー
チームのために Pixel Office を始める
商談は不要 — オフィスを作ってチームを招待するだけ。IT チームがこのページや DPA を確認したい場合も対応できます。
プライバシーを大切にしています
サイトの運営に必要なクッキーを使用し、お客様の同意がある場合は利用状況を把握するための分析クッキーを使用します。 詳細を見る