Security & Compliance

最終更新日: 2026年3月1日

ZTT Platformは、Google Cloud Platformの企業向けセキュリティ基盤の上に構築された完全サーバーレスの業務自動化プラットフォームです。お客様のデータを安全に保護しながら、バックオフィス業務のZero Touch化を実現します。

1. プラットフォームアーキテクチャ

ZTT Platformは、Google Cloud Platform（GCP）上の完全サーバーレスアーキテクチャで構築されています。従来のサーバー常時稼働型とは異なり、処理が必要な時にのみインスタンスが起動し、完了後に自動で解放されます。この設計はZTT-E（経費精算）をはじめ、ZTT-H（勤怠・労務）、ZTT-A（会計）、ZTT-S（営業管理）、ZTT-W（予実管理）の全モジュールに共通して適用されます。

Cloud Functions Gen2

リクエスト単位で自動スケールする処理エンジン。OS・ミドルウェア管理はGoogleが実施します。

Cloud Firestore

テナントごとにデータを論理分離するデータベース。自動バックアップと無制限スケールに対応します。

Cloud Pub/Sub

テナント単位の並列処理を実現する非同期メッセージング基盤。障害時は自動リトライします。

Secret Manager

APIキー・認証情報をGCPの暗号化ストレージで安全に管理します。

アーキテクチャ概要図

ZTT Platform Architecture INPUT SOURCES Google Calendar Gmail Google Drive Slack 会計システム（API連携） OAuth 2.0 個別同意（read-only） ZTT Platform — Google Cloud Platform Cloud Functions Gen2 処理エンジン Cloud Firestore テナント分離DB Cloud Pub/Sub 非同期分散処理 Vertex AI OCR・AI判定 Secret Mgr 鍵管理 ZTT-E ZTT-H ZTT-A ZTT-S ZTT-W プラガブル・モジュール構成（各モジュールは独立して追加可能） AES-256 暗号化 TLS 1.2+ 通信 SECURITY CONTROLS Firebase Auth RBAC テナント分離 監査ログ プライバシー保護 OUTPUT Slack 承認WF 会計システム連携 クライアントポータル CSV/PDFエクスポート

2. 認証・認可

2.1 OAuth 2.0 個別認証方式

ZTT Platformは、OAuth 2.0個別認証方式を採用しています。従来のドメイン全体委任（DWD）方式とは異なり、各ユーザーが自身のGoogleアカウントに対してアクセス権限を明示的に許可する方式です。

  • 最小権限の原則: すべてのアクセスはread-onlyに制限されています。カレンダーの予定を変更・削除したり、メールを送信・削除することはできません。
  • ユーザー主導の制御: ユーザーはいつでもGoogleアカウント設定からアクセス権限を取り消すことができます。
  • 管理者権限不要: Google Workspace管理者の関与なしに、個人単位で導入を開始できます。

2.2 ロールベースアクセス制御（RBAC）

Firebase Authenticationと連携した多段階のロール体系で、ユーザーごとにアクセス可能なデータと操作を制御しています。

ロールアクセス範囲
従業員自身のデータのみ
マネージャー管轄部署のデータ
経理担当者テナント全体のデータ
テナント管理者テナント全体のデータおよび設定管理

3. データ保護

3.1 テナントデータ分離

各クライアント企業のデータは、Firestoreのドキュメントパスにより物理的に分離されています。あるテナントのデータに対して、他テナントのユーザーやシステムがアクセスすることは設計上不可能です。

3.2 暗号化

保護対象暗号化方式管理主体
通信データTLS 1.2以上GCP管理
保存データAES-256GCP管理
認証情報Secret ManagerGCP管理

3.3 個人情報の取扱い

ZTT Platformが処理するデータにおける個人情報の範囲と保護措置は以下の通りです。

データ個人情報保護措置
従業員マスタ該当テナント分離＋RBAC
業務データ（従業員に紐付く）該当テナント分離＋RBAC
証憑画像（OCR処理時）非該当AI送信時に個人情報を含めない設計
通勤経路情報該当通知時に自動マスキング

AI（Vertex AI）に送信されるのは証憑画像やカレンダーのイベント情報のみです。従業員の氏名・メールアドレス等の個人情報は含まれません。

3.4 データ削除

契約終了時またはお客様の要請に基づき、テナントデータの完全削除を実施します。削除完了後は削除証明書を発行いたします。詳細はデータ削除リクエストをご参照ください。

4. 可用性・スケーラビリティ

4.1 Google Cloudの信頼性

項目内容
SLACloud Functions: 99.95%、Firestore: 99.999%
データリージョン東京（asia-northeast1）
バックアップFirestoreの自動バックアップ
災害復旧GCPのマルチゾーン冗長化による自動復旧

4.2 自動スケーリング

サーバーレスアーキテクチャにより、クライアント数の増加に応じて自動でスケールします。1社でも1,000社でも同一のアーキテクチャで動作し、設定値の変更のみで対応可能です。

  • テナント並列処理: 各テナントの処理はPub/Subメッセージとして独立にディスパッチされ、Cloud Functionsが並列にインスタンスを起動します。
  • 障害分離: あるテナントの処理でエラーが発生しても、他テナントの処理には一切影響しません。
  • 自動リトライ: 一時的なエラーは自動リトライし、恒久的なエラーはDead Letter Queueで管理します。

5. コンプライアンス（プラットフォーム共通）

以下は全モジュールに共通して適用されるコンプライアンス機能です。

5.1 監査ログ

全モジュールの業務処理において、監査証跡を自動記録します。

  • AI判定結果とその法的根拠
  • 承認ワークフローの全ステップ
  • 外部システム連携の実行結果
  • データ修正の変更履歴（修正前後を記録）

5.2 データ保存

要件対応内容
検索機能日付・金額・取引先等の複数軸での検索に対応しています。
訂正削除の履歴変更前後を記録する修正履歴機能を実装しています。監査ログ（16種のアクション）を自動保存します。
保存期間7年間の保存に対応しています。

6. モジュール別コンプライアンス

各モジュールの業務領域に応じた固有のコンプライアンス対応は以下の通りです。

6.1 ZTT-E（経費精算）

電子帳簿保存法

ZTT-Eは経費精算データの作成・管理を行うモジュールです。法定帳簿の保存義務は連携先の会計システムが担います。

要件ZTT-Eの対応
証憑の保存原本はGoogle Driveに保存します。API連携可能な会計システム（freee等）をご利用の場合は、会計システム側にも証憑をアップロードします。経費データから証憑URLで原本にリンクします。
証憑の真実性Google Driveのバージョン管理機能により訂正削除の履歴が確保されます。

インボイス制度（適格請求書等保存方式）

適格請求書発行事業者登録番号（T-番号）の自動取得と会計連携に対応しています。

  • 自動取得: OCR読取・過去実績照合・国税庁Web-API検索の3段階で自動取得します。
  • 形式チェック: T + 13桁のバリデーションを実施します。
  • 会計連携: API連携可能な会計システムにはT-番号と適格請求書ステータスを自動送信します。CSVエクスポートにもインボイス区分を出力します。

Google APIデータの利用範囲

APIスコープアクセス内容制限
Google Calendar予定・添付ファイル読み取り専用
Gmail領収書関連メールのみ読み取り専用、ベンダーマスタに基づく検索
Google Driveカレンダー添付の証憑画像読み取り専用

※ 今後提供予定のモジュールについては、提供開始時にモジュール固有のコンプライアンス情報を本ページに追記します。

7. 運用体制

7.1 インフラ運用

サーバーレスアーキテクチャの採用により、OSやミドルウェアの更新、セキュリティパッチの適用はすべてGoogle Cloud Platformが自動で実施します。PuRuthはアプリケーション品質の管理に専念しています。

7.2 インシデント対応

項目内容
障害検知Cloud MonitoringおよびSlackアラートによる即時検知
連絡先ztt-e_support@puruth.com
営業時間平日 10:00〜18:00（JST）

8. Google Cloud Platformの認証・認定

ZTT Platformの基盤であるGoogle Cloud Platformは、以下の国際的なセキュリティ認証・認定を取得しています。

  • ISO/IEC 27001 — 情報セキュリティマネジメントシステム
  • ISO/IEC 27017 — クラウドサービスのセキュリティ管理
  • ISO/IEC 27018 — パブリッククラウドにおける個人情報保護
  • SOC 1 / SOC 2 / SOC 3 — サービス組織の内部統制
  • ISMAP — 政府情報システムのためのセキュリティ評価制度

詳細はGoogle Cloud コンプライアンスのページをご参照ください。

9. よくある質問

プラットフォーム共通

Q. データは海外のサーバーに保存されますか？

業務データはすべて東京リージョン（asia-northeast1）に保存されます。AI処理（Vertex AI）は米国リージョンを使用しますが、送信されるのは証憑画像等であり、個人を特定できる情報は含まれません。

Q. Google Workspace管理者の承認は必要ですか？

不要です。OAuth 2.0個別認証方式を採用しているため、各ユーザーが自身のGoogleアカウントで認証するだけで利用を開始できます。管理者権限やドメイン全体の設定変更は不要です。

Q. 解約時にデータはどうなりますか？

解約後30日以内にデータを完全削除します。削除前にCSV形式でのエクスポートが可能です。削除完了後は削除証明書を発行いたします。会計システムに連携済みのデータは会計システム側に残ります。

Q. セキュリティチェックシートへの記入に対応していますか？

はい、対応しています。御社指定のフォーマットでの記入にも対応いたしますので、お気軽にお問い合わせください。

ZTT-E（経費精算）固有

Q. メールの読み取りに不安があります。

Gmail APIのアクセスは読み取り専用であり、メールの送信・削除・変更はできません。全メールを読み取るのではなく、領収書関連のメールのみをベンダーマスタに基づいて限定的に検索します。権限はいつでもGoogleアカウント設定から取り消し可能です。

Q. AIが勘定科目を間違えることはありませんか？

AI判定は参考情報として提供され、最終的には上長承認・経理承認の2段階ワークフローで人間がチェックします。判定結果には法的根拠が付記されるため、承認者は根拠を確認した上で判断できます。

Q. 領収書の原本はどこに保存されますか？

領収書の原本はユーザーのGoogle Driveに保存されます。ZTT-Eはその参照URLのみを保持し、証憑の閲覧・検索を可能にします。API連携可能な会計システムをご利用の場合は、会計システム側にも自動アップロードされます。

10. お問い合わせ

セキュリティに関するご質問やセキュリティチェックシートの記入依頼は、以下の連絡先までお問い合わせください。

PuRuth株式会社
〒150-0002 東京都渋谷区渋谷2-19-15 宮益坂ビルディング609
メール: ztt-e_support@puruth.com
ウェブサイト: https://puruth-inc.com/

制定日: 2026年3月1日

ZTT-E トップに戻る