DPOが 反対しない短縮サービス。
DSAR 対応、SOC 2 証跡の鮮度、ベンダー調査を管理。DPO が承認する短縮リンク基盤。
- すべてのワークスペースにEUデフォルトのリージョン
- 監査ログはアプリケーション上で追記のみ、ハッシュ連鎖
- 13社のサブプロセッサー、すべて所在地 + 目的とともに公開
- 30日SLAのDSAR API（Business は5日間の迅速処理）
- EU regioneu · primary originEU residency · default
Primary database, analytics store and backups are hosted here (Hetzner, Germany and Finland).
- US Eastus-east · redirect edgeEdge node
Redirect node in Ashburn. Processes visitor requests and IP addresses; no per-workspace region selection.
- Asia-Pacificapac · redirect edgeEdge node
Redirect node in Singapore. Processes visitor requests and IP addresses; no per-workspace region selection.
追記のみの監査ログ
すべての状態変化。操作者、IP、変更前/変更後の差分、ソース。
アプリケーションは監査テーブルに追記するだけで、各エントリは直前のエントリとハッシュ連鎖されているため、改ざんを検出できます。これはアプリケーションレベルの仕組みであり、データベースの権限による制限ではありません。保持期間は既定で730日で、ワークスペースごとに設定できます。
- 操作者IDユーザーIDまたはサービスプリンシパル、ソースIPとリクエストID付き
- 変更前/変更後の差分変更行の構造化JSON差分 - テキストログ行だけではない
- SIEMファイアホースSplunk / Datadog / ELKへのリアルタイムHMAC署名ウェブフック
- 改ざん防止チェーン検証エンドポイント付きのハッシュ連鎖エントリ
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }データ主体アクセス要求
DSAR、サポートチケットではなく。APIコール、署名済みバンドル、SLAクロック。
エンドユーザーからのデータ主体要求を受け取ります。ダッシュボードまたはAPIを通じてコントローラー代行のデータ主体要求として転送します - Elidoはデータ主体ではなくコントローラー（あなた）を認証します。バンドルは署名済みzipファイル：身元記録、リンク、データ主体が操作者である監査ログエントリ、データ主体がワークスペースオーナーの場合は課金領収書。標準SLAは30日；Business迅速処理は5営業日以内。
- Step 1
Subject request
End user → controller (you)Subject contacts you. You authenticate them in your own product, not in Elido.
- Step 2
DSAR API call
POST /v1/dsarForward as a controller-on-behalf request with subject email + request type (export / erase).
- Step 3
Workspace bundle
signed zip · JSON + CSVIdentity, links, audit-log entries where subject is actor, billing if owner, anonymised click metadata.
- Step 4
SLA
30 days · 5 days expeditedStandard SLA on every plan; Business expedited tier returns inside 5 business days.
13社のサブプロセッサーを公開掲載
ホスティング、エッジ、バックアップ、メール、決済、チャット、AI、SSO、CAPTCHA、URL確認。13社のベンダー。これが全リストです。
ベンダーの場所、処理目的、データカテゴリ、DPAリファレンスURLを含む完全なリストは/legal/subprocessorsにあります。サブプロセッサーの追加または変更は、処理開始前にアプリ内バナーとメールですべてのワークスペース管理者に30日前通知されるため、顧客は異議を申し立てられます。
- Compute & hostingISO 27001Primary app + edge infrastructureEU · Germany + Finland
- Edge computeISO 27001 · SOC 2Redirect edge nodesUS + APAC
- Email deliverySOC 2 Type IITransactional emailEU (opt-out for EU-only)
- PaymentsPCI DSS L1Card acquiringEU
- CDN + WAFISO 27001 · SOC 2Marketing proxy (not redirect path)Global · EU routing
調達デッキに載せられるもの
- すべてのワークスペースにEUデフォルトのリージョン
- 監査ログはアプリケーション上で追記のみ、ハッシュ連鎖
- 13社のサブプロセッサー、すべて所在地 + 目的とともに公開
- 30日SLAのDSAR API（Business は5日間の迅速処理）
- SOC 2は準備中、ISO 27001は未認証
- HIPAA対応BAA（Business+）、セーフガード設定済み
製品における「コンプライアンス」の具体像
多くのURL短縮サービスは、1ページの資料やベンダーアンケートでコンプライアンスの質問に答えるだけです。以下の機能は、単なる営業資料の約束ではなく、実際にコードとして実装されているものです。
メインデータはEUでホスト
メインのデータベース、分析ストア、リンクのメタデータ、バックアップはEU(Hetzner、ドイツとフィンランド)でホストされています。リダイレクトネットワークはHetznerアッシュバーン(米国)とOVHシンガポールでも稼働しているため、訪問者のリクエスト、IPアドレス、ユーザーエージェント、リファラーはそこで処理され、これらのノードにはリンクデータのキャッシュまたはレプリカが残ることがあります。ワークスペースごとのリージョン選択はまだ提供しておらず、すべてのワークスペースが同じインフラから配信されます。バックアップはアップロード前に暗号化されます。
すべての状態変更を記録する追記専用ログ
ワークスペース設定、APIキーの発行とローテーション、メンバーの招待とロール変更、カスタムドメインの登録、ブランド設定の変更、プラン変更、リンクの作成・更新・削除など、状態を変えるすべての操作が、実行者、UTCタイムスタンプ、変更前後のJSON差分、送信元IP、リクエストIDとともに監査ログに記録されます。保持期間はデフォルト730日で、ワークスペースごとに変更できます。イベントは署名付きWebhookでSIEM(Splunk、Datadog、ELK)へストリーミングできます。アプリケーションは監査テーブルに追記するだけで、各エントリは直前のエントリとハッシュで連鎖しているため、検証用エンドポイントで改ざんを検知できます。これはデータベースの権限制限ではなく、アプリケーションレベルの仕組みです。
13社のベンダー、すべて公開
当社は13社のサブプロセッサーを利用しており、一覧は全文を公開しています：ホスティングとデータベース（EU - ドイツ + フィンランド、および米国のエッジノード）、リダイレクトエッジ（米国とシンガポール）、暗号化バックアップ、トランザクションメール、決済（ウクライナ国外は Paddle、ウクライナは monobank）、ライブチャット、AI機能、エンタープライズ向けSSO、CAPTCHAとDNS/プロキシ、URLレピュテーション確認、オフラインの位置情報データセット。ベンダーの所在地と処理の目的を記載した名称付きの全一覧は /legal/subprocessors にあります。サブプロセッサーの追加または交換の際は、処理が始まる前にアプリ内バナーとメールですべてのワークスペース管理者に30日前に通知するため、お客様は異議を申し立てることができます。
サポートチケットではなく、API経由でエクスポートと削除が可能
DSAR APIは、本人ごとのバンドルをJSONとCSVで署名付きzipにして返します。内容は、本人の識別レコード、本人のリンク、本人が実行者である監査ログのエントリ、ワークスペースオーナーの場合は請求書とプラン履歴です。削除リクエストでは、アカウントレコード(メールと氏名)を匿名化し、セッションを終了し、ログインIDを削除します。請求記録は法律で求められる範囲で保持されます。短縮リンクの訪問者について記録されたクリックイベント(IPアドレスを含む)は、まだ自動では対象に含まれません。短縮リンクをお知らせいただければ、個別に対応します。標準の対応期間は30日です。
SOC 2は準備中、HIPAA対応
SOC 2は準備中です。監査レポートは発行されておらず、認証を取得したとは主張しません。ISO 27001は認証を取得していません。準備中の統制には、アクセスレビュー、変更管理チケット、脆弱性スキャンの定期実施、インシデント訓練、ベンダーリスクレビューが含まれます。Business+の「HIPAA対応」とは、ElidoをビジネスアソシエイトとするBAAを締結し、保護措置を実装済みであることを指します。具体的には、保存時と転送時の暗号化、追記専用の監査証跡、RBAC、スコープを絞ったAPIキー、文書化された72時間の侵害通知手順です。HIPAAそのものは業界の自己証明であり、監査人が求めるのはBAAと保護措置です。セキュリティ体制の変更は、公開当日に/changelogに載ります。
エビデンスとなるスタック
- EU データ所在
- GDPR DPA
- SOC 2(準備中)
- ISO 27001(計画中)
- 監査ログ + SIEM ファイアホース
- DSAR API
DPO の測定指標
- サブプロセッサー数
- 13社、公開リスト
- DSAR 対応
- 30日以内
- 監査ログ保持期間
- デフォルト730日
コンプライアンスが購入基準になる時の違い
DPOがベンダー審査を行う際に必ず聞かれる質問です。3つの選択肢に対する率直な回答を比較してください。
調達担当者からのよくある質問
データは具体的にどこに保存されますか？
メインのデータベース、分析ストア、リンクのメタデータ、バックアップはEUです。リダイレクトノードは米国(アッシュバーン)とシンガポールでも稼働し、そこで訪問者のリクエストを処理します。ワークスペースごとのリージョン選択はまだ提供していません。
SOC 2 / ISO 27001の対象ですか？
SOC 2は準備中で、レポートは発行されていません。ISO 27001は認証を取得していません。どちらも取得済みとは主張しません。最新の状況は/trustのTrust Centerで確認できます。
DPAを締結できますか？
[email protected]へのご依頼で提供します。EU標準契約条項を含みます。DPAは、更新され続ける文書として/legal/subprocessorsのサブプロセッサー一覧を参照しており、変更は30日前にお知らせします。修正をご希望の場合は、ご連絡ください。
サブプロセッサーは何社関与していますか？
13社で、すべてがEUにあるわけではありません。ホスティングとデータベース(Hetzner、DE/FI、加えてアッシュバーンの米国エッジノード)、リダイレクトエッジ(OVH、シンガポール)、暗号化バックアップ(Backblaze)、トランザクションメール、決済(ウクライナ国外はPaddle、ウクライナはmonobank、Coinbase Commerceは有効化した場合のみ)、ライブチャット、AI機能、エンタープライズSSO、CAPTCHAとDNS/プロキシ、URLレピュテーション確認、オフラインのジオロケーションデータセットです。所在地と目的を含む社名入りの完全な一覧は/legal/subprocessorsにあります。サブプロセッサーを追加する際は、30日前にお客様へ通知します。
暗号化キーに独自のHSM / KMS（BYOK）を使用できますか？
マルチテナントのSaaSでは未対応です。お客様管理の鍵はまだ提供していません。データベースのバックアップは、当社サーバーを出る前に暗号化されます。セルフホスティングは契約によりご利用いただけます（Enterprise）。[email protected] までお問い合わせください。
データ侵害通知のSLAはどうなっていますか？
個人データの侵害が確認された場合、顧客への通知は24時間以内、規制当局への通知は72時間以内（GDPR第33条）に行います。通知にはその時点で判明している情報が含まれ、完全なフォレンジック調査の完了を待たずに報告されます。手順はTrust Center（/trust/incident-response）に記載されています。
エンドユーザー（データ主体）からのDSARに対応しますか？
私たちはデータ処理者として、管理者（お客様）からの指示に基づいて行動します。エンドユーザーからのリクエストはお客様が受け付け、ダッシュボードまたはAPIを通じて私たちに転送していただくことで履行されます。エンドユーザーを直接認証する手段がないため、DSARを直接受け付けることはありません。認証はお客様の責任となります。
Elidoの管理者が監査ログを改ざんすることは可能ですか？
製品経由ではできません。アプリケーションは監査テーブルに追記するだけで、各エントリは直前のエントリとハッシュで連鎖しているため、検証用エンドポイントで改ざんを検知できます。これはデータベースの権限制限ではなくアプリケーションレベルの仕組みです。データベースに直接アクセスできる人なら行を書き換えられますが、その場合はチェーンの検証が通らなくなります。保持期間(デフォルト730日)を過ぎた削除は自動で行われ、「retention purge」というメタイベントが記録されます。
公開されたsecurity.txtや脆弱性報告ポリシーはありますか？
はい。security.txtは/.well-known/security.txt、協調的開示ポリシーは/trust/disclosureにあります。脆弱性は[email protected]へご報告ください。HackerOneでの有償バグバウンティは準備中で、まだ開始していません。
契約終了時はどうなりますか？データの持ち出しは可能ですか？
APIまたはサポートリクエストを通じて、いつでもすべてのデータをエクスポート可能です。リンク、クリックイベント（生データまたは集計データを選択可能）、監査ログ、メンバー情報、設定、ブランディングを含むJSON + CSVバンドルを提供します。契約終了から30日間は誤解約防止のためにデータを保持し、その後、プライマリ、レプリカ、バックアップから完全に消去します。必要に応じて消去証明書を発行することも可能です。