脆弱性報告ポリシー

ALAKI株式会社（以下「当社」といいます。）は、当社が提供・運営するMONJI、MONJI+および関連する本番環境のウェブサイト、アプリケーション、API、MCPその他の情報システムの安全性向上を目的として、善意に基づく脆弱性報告を受け付けています。

本ポリシーはBug Bounty（脆弱性報奨金制度）ではなく、無制限の検査、侵入、データ取得、サービス妨害その他の行為を許可するものではありません。本ポリシーに定める対象範囲および条件をすべて満たす場合に限り、必要最小限のセキュリティ調査を限定的に許可します。

本ポリシーは、当社が管理・運営する対象システムに関するセキュリティ調査について、その対象範囲、調査条件、報告方法およびセーフハーバーを定めるものです。

その時点で適用されるMONJIまたはMONJI+の利用規約その他の条件は、引き続き適用されます。利用規約等が脆弱性診断、ペネトレーションテスト、不正アクセス、認証・認可の回避、AI／MCPの不正利用その他これらに類する行為を禁止している場合であっても、本ポリシーの対象範囲および条件を完全に遵守する調査については、本ポリシーに記載された限定的な範囲に限り、当社が明示的に許可したものとして取り扱います。

本ポリシーの範囲を超える行為、本ポリシーに違反する行為、第三者システムに対する行為その他本ポリシーで明示的に許可されていない行為は、本ポリシーによって許可されるものではなく、利用規約その他の契約および関係法令が適用されます。

脆弱性報告に含まれる個人情報の取扱いについては、その時点で適用されるMONJIのプライバシーポリシーが適用されます。

脆弱性に関するご報告は、以下の専用窓口から行ってください。

確認の遅延および機密情報の不要な拡散を防ぐため、営業窓口、一般のお問い合わせフォーム、SNS、公開のIssue Tracker、その他本件と無関係な第三者経由で脆弱性情報を送信しないでください。

本ポリシーの対象は、原則として、当社が運営・管理する以下の本番環境の資産とします。

以下は、当社が事前に書面で明示的に許可した場合を除き、本ポリシーの対象外です。

本ポリシーに基づくセキュリティ調査は、以下の条件をすべて満たす場合に限り許可されます。

MONJIは、MCP、APIその他の技術的方法によるAI連携機能を提供する場合があります。これらの機能に関するセキュリティ調査は、前条の条件に加え、以下に従ってください。

以下の行為は、本ポリシーにより許可されません。

当社が問題を理解・再現できるよう、合理的に可能な範囲で、以下の情報を脆弱性報告フォームに記載してください。

報告内容が不十分、重複、再現不能、対象外、既知の問題、またはセキュリティ脆弱性に該当しないと当社が合理的に判断した場合、当社は当該報告への対応を終了し、または追加情報の提供を待つ場合があります。

当社は、協調的な脆弱性開示を原則とします。

当社が修正または緩和策を実施する前、または当社と書面により別途公開日を合意する前に、非公開の脆弱性情報、Exploit Code、PoC資料、影響を受けたデータその他の非公開情報を公表、公開、販売、譲渡または第三者へ共有しないでください。

法令上、脆弱性情報の開示が必要であると考える場合は、法令上許される範囲で、当社が合理的な保護措置を講じることができるよう事前にご連絡ください。

当社は、脆弱性の調査、再現、修正、サービスの安全確保、法令遵守または権利利益の保護に合理的に必要な範囲で、報告内容および関連情報を、当社の役職員、委託先、専門家、影響を受ける利用者またはその他の関係者と共有する場合があります。

当社は、専用窓口から受領した報告について、合理的な範囲で内容を確認し、必要に応じて追加情報または確認事項の提供をお願いする場合があります。

確認、トリアージ、修正・緩和、公開調整その他の対応に要する期間は、重大度、再現性、技術的な複雑性、影響範囲、第三者サービスへの依存、報告件数その他の事情により異なります。当社は、受領確認、修正、緩和、公開調整その他の対応について、特定の期限を保証するものではありません。

当社は、報告が重複、情報提供のみ、再現不能、対象外、既知の問題、またはセキュリティ脆弱性に該当しないと合理的に判断した場合、その旨をもって対応を終了することがあります。

当社は、報告者に対し、内部調査の詳細、セキュリティアーキテクチャ、修正方法、ログ、顧客情報その他の秘密情報を開示する義務を負いません。

MONJIは、本ポリシーに基づくBug Bounty（脆弱性報奨金制度）を実施していません。当社は、脆弱性報告について、報酬、謝礼、対価、費用償還その他の金銭的給付を約束するものではありません。

また、当社は、Hall of Fameへの掲載、公開謝辞、Security Acknowledgements、推薦、参照先としての掲載その他の非金銭的な承認または顕彰を約束するものではありません。

例外的に当社がこれらを行う場合は、当社が事前に書面または電磁的方法で明示的に合意した場合に限ります。報告を送信したこと自体により、報酬、費用償還、掲載、謝辞その他の権利が発生するものではありません。

報告者が善意に基づき、本ポリシーの対象範囲内で行動し、本ポリシーに定めるすべての調査条件および秘密保持条件を遵守し、発見した脆弱性を速やかに専用窓口から報告した場合、当社は、その本ポリシーに適合したセキュリティ調査のみを理由として、当該報告者に対する民事上の請求を行わない方針とします。

前項のセーフハーバーは、本ポリシーにより明示的に許可された行為に限って適用されます。対象範囲を超える行為、本ポリシー違反、悪意ある行為、当社または第三者への意図的な加害、権限のないデータへのアクセスまたは利用、法令違反、第三者システムへの無許可の影響その他本ポリシーに反する行為には適用されません。

本ポリシーは、警察その他の捜査機関、行政機関、裁判所、第三者サービス提供者、顧客その他の第三者を拘束するものではなく、当社はこれらの者に代わって許可、免責または法的保護を付与することはできません。

本ポリシーは、法令上必要な届出、証拠保全、裁判・行政手続への対応、当社・利用者・第三者の権利利益を保護するため合理的に必要な措置を制限するものではありません。

予定しているテストが本ポリシーにより許可されているか明確でない場合は、当社の事前の書面承諾なく当該テストを実施しないでください。

脆弱性報告には、パスワード、アクセストークン、リフレッシュトークン、APIキー、秘密鍵、不要な個人情報、本件と無関係なユーザーコンテンツその他調査に不要な秘密情報を含めないでください。必要な場合は、可能な範囲で伏字・マスキング等を行ってください。

当社は、報告内容および関連情報を、脆弱性の調査、再現、修正・緩和、記録、再発防止、報告者との連絡、本サービスおよび利用者の保護、ならびに法令遵守のために必要な範囲で利用する場合があります。

本フォーム等を通じて当社に提供された個人情報は、その時点で適用されるMONJIのプライバシーポリシーおよび関係法令に従って取り扱います。

当社は、本サービスの内容、セキュリティ対策、AI連携機能、法令、外部サービスその他の運用上の事情に応じて、本ポリシーを変更することがあります。最新の内容および最終更新日は、MONJIのウェブサイト上に掲載します。

後日改定された本ポリシーは、改定前のポリシーに適合して完了したセキュリティ調査について、当該時点で適用されていたセーフハーバーを遡及的に失わせるものではありません。