お客様のデータの保護方法、共有先、保持期間についてご説明します。最終更新: 2026年11月4日。
Squish はマルチサービス構成のプラットフォームです。お客様向けサイト(squish.co)と社内 CRM(work.squish.co)は Cloudflare Workers / Pages 上で稼働しています。5 つの Node.js バックエンド — squish-backend、squish-crm-backend、squish-provisioning、squish-email、squish-hosting — は Railway の US-East リージョンで稼働します。顧客レコードは Salesforce に、トランザクション状態・監査ログ・プロビジョニングのメタデータは Google Firestore(US リージョン)に保存されます。決済データは Stripe が保持しており、Squish は設計上 PCI の適用範囲外です。
ドメイン登録は NameSilo を通じて仲介しています。共有 Web ホスティングは DigitalOcean の Droplet 上の Plesk ノードで稼働し、Managed Cloud VPS は専用の Droplet 上で既定として CyberPanel を使用します。ホスティングされたサイトは Bunny の CDN と WAF を介して配信されます。Microsoft 365 ライセンスは Pax8（CSP）経由で提供しています。
すべての特権操作は、以下の追記専用 Firestore コレクションのいずれかに記録されます。
セキュリティコントロールはこのページに記載するだけではありません。重要なものはコードでアサートされており、次のデプロイが気 づかないうちにそれらを弱めることはできません。
運用データは正当な理由のある短期間のみ保持し、財務記録は米国税法が求める 7 年間保管します。お客様からの削除リクエストは、非財務データについて 30 日以内に対応します。
| データ種別 | 保持期間 | 保存先 |
|---|---|---|
| 運用ログ(デバッグ、ハートビート) | 30 日 | Firestore(cron_runs の TTL) |
| メール送信ログ | 90 日 | Firestore(email_log の TTL) |
| Webhook イベント(Stripe など) | 90 日 | Firestore(webhook_events の TTL) |
| 放棄されたカート | 90 日 | Firestore(carts の TTL、status=draft|abandoned) |
| 決済失敗の記録 | 最終アクティビティから 1 年 | Firestore(failed_charges の TTL) |
| セキュリティイベント(認証失敗、RBAC 拒否) | 1 年 | Firestore(security_events の TTL) |
| 代理操作の監査記録(スタッフによる顧客代理) | 無期限 | Firestore(impersonation_sessions) |
| ドメイン更新記 録(財務) | 7 年 | Firestore(domain_renewals)+ Salesforce Order |
| 返金、請求関連の操作 | 7 年 | Firestore(billing_actions)+ Salesforce |
| 成功した決済、請求書、注文 | 7 年 | Stripe + Salesforce Order(ミラーリング) |
| 顧客アカウントデータ(有効なアカウント) | アカウント存続期間 + 30 日 | Salesforce Account / Contact |
| AI アシスタントの会話記録 | 無期限 | Salesforce Chat_Conversation__c + Chat_Message__c |
| ウェブサイトビルダーのプロジェクト(Faber) | 無期限 | Firestore(faberProjects) |
| 削除リクエスト後の顧客データ | 30 日。ただし、ご依頼があっても削除できない記録は除きます：請求記録は 7 年、セキュリティ・不正利用の記録は 1 年、AI アシスタントの会話記録・スタッフによるアクセス記録・ウェブサイトビルダーのプロジェクトは無期限。請求記録には Stripe 上のお客様レコードも含まれます（保存済みのカードは削除されます） | Salesforce + Firestore のパージジョブ |
当社に代わってお客様のデータを処理するベンダーの一覧です。各社は独自のコンプライアンスプログラムを運用しています — リンク先は各社の公開トラストページです。
| ベンダー | 用途 | リージョン | コンプライアンス |
|---|---|---|---|
| Stripe | 決済処理、カード情報の保管(PCI 適用範囲) | 米国 | SOC 1、SOC 2、PCI DSS L1 |
| Salesforce | 顧客レコード、注文、サポートケース | 米国 | SOC 1、SOC 2、ISO 27001、ISO 27018 |
| Google Firebase | 認証、Firestore データベース、ホスティング | 米国 | SOC 1、SOC 2、SOC 3、ISO 27001、ISO 27017、ISO 27018 |
| Cloudflare | CDN、DDoS 防御、WAF、スタッフアクセス(Zero Trust) | グローバルエッジ | SOC 2、ISO 27001、PCI DSS |
| NameSilo | ドメイン登録 + DNS | 米国 / カナダ | ICANN 認定レジストラ |
| Pax8 | Microsoft 365 ライセンスのプロビジョニング(CSP) | 米国 | SOC 2 |
| Microsoft | Microsoft 365 メールボックス + テナントホスティング(委任管理で運用) | 米国(お客様が選択) | SOC 1、SOC 2、ISO 27001、ISO 27018、HIPAA |
| Resend | トランザクションメールの配信 | 米国 | SOC 2 |
| Trustpilot | 購入後のレビュー依頼 | EU | SOC 2 Type 2 |
| Railway | バックエンドコンテナのホスティング(US-East) | 米国 | SOC 2 |
| DigitalOcean | Plesk 共有ホスティング用 Droplet | 米国 | SOC 2、SOC 3、ISO 27001、PCI DSS |
| Amazon Web Services | マネージド AWS ホスティング案件 | 米国 | SOC 1, SOC 2, ISO 27001, PCI DSS |
| Bunny.net | ホスティングされたお客様サイト、パーキングドメイン、リダイレクト向けの CDN + WAF | グローバルエッジ | GDPR（DPA提供可能） |
| Anthropic | AI アシスタント(チャットサポート、プロンプトルーティング)、AI Visibility の回答チェック | 米国 | SOC 2 |
| Perplexity | AI Visibility の回答チェック | 米国 | SOC 2 |
現在: Squish は、上記のコントロールに裏付けられた自己表明型のセキュリティプログラムを運用しています。SOC 2 Type 1 のコントロールセット(アクセス制御、暗号化、監査ログ、ベンダー管理、変更管理)の大部分はすでに整備済みで、正式な監査はロードマップ上にあります。
SOC 2 Type 1: 進行中。年内の認証取得を目標としています。
SOC 2 Type 2: Type 1 認証の取得後に観察期間を開始します。
調達ご担当者様へ: セキュリティ質問票(CAIQ-Lite、SIG-Lite、または貴社独自のフォーマット)に喜んで対応します。お問い合わせはこちらまで: security@squish.co.
データ処理契約(DPA): GDPR 第 28 条に準拠し EU 標準契約条項を含む当社の標準 DPA は squish.co/dpa で公開しており、当社の利用規約に自動的に組み込まれます。