信頼を、 文書に残します。
Elido は既定でEUにホストされ、GDPRに配慮し、監査証跡を組み込んで構築されています。以下では、現在整っているものと、計画中または進行中のものを区別し、それぞれにラベルを付けています。
- EUリージョンEUEU-residency · 既定
すべてのワークスペースについて、現在、主要データベース、分析ストア、バックアップが置かれている場所です。
- 米国東部US計画中
計画中です。未実装：現在、ワークスペースをここに固定することはできません。
- アジア太平洋APAC計画中
計画中です。未実装：現在、ワークスペースをここに固定することはできません。
プロダクトの観点で「信頼」とは
私たちが意味する信頼
各柱は、製品、DPA、または監査ログにおける具体的な事項に対応しています。
デフォルトでEU-residency
データベース、分析、バックアップはEUでホストされています。米国（アッシュバーン）とシンガポールのリダイレクトノードが訪問者のリクエストを処理します。ワークスペースごとの米国東部やアジア太平洋への固定は、まだ利用できません。
すべてに監査トレイルを
ワークスペース設定、ロール変更、キーローテーション、リンク作成、削除、エクスポート。すべてのイベントに「誰が、いつ、何を」が記録され、エクスポート可能です。
AIはデフォルトで読み取り専用
AI統合にはスコープ設定されたローテーション可能なキーが付与されます。書き込み/削除アクセスは、デフォルトではなく明示的な監査対象設定です。
顧客管理の鍵（計画中）
独自の鍵を持ち込む暗号化は、まだ利用できません。データベースのバックアップは、当社のサーバーを離れる前に暗号化されます。
アンチアビューズパイプライン
すべてのリンクは、作成時およびローリング再スキャン時に複合スキャナー（URLhaus + Google Safe Browsing + ヒューリスティック）を通過します。
サブプロセッサーの透明性
全一覧、所在地、目的。追加の際は30日前の通知をお約束します。
追記専用の監査ログ
あらゆる状態変更が記録されます。
アプリケーションは監査テーブルに追記するだけで（更新の経路はありません）、各エントリは直前のエントリとハッシュ連鎖されているため、改ざんは管理者用の検証エンドポイントで検出できます。これはアプリケーションレベルの仕組みであり、データベースの権限による制限ではありません。保持期間を過ぎたエントリは毎日削除されます。既定は730日間で、ワークスペースごとに30日から設定できます（たとえばHIPAAワークスペースでは6年間）。
- アクター IDユーザー ID またはサービスプリンシパルに加え、ソース IP とリクエスト ID
- 変更前後の差分変更行の構造化された JSON 差分です。単なるテキストログ行ではありません
- SIEM への送出HMAC で署名された Webhook を、Splunk / Datadog / ELK へリアルタイム送信します
- 改ざん耐性チェーン検証エンドポイント付きのハッシュ連鎖エントリ
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }データ主体アクセス要求
API による本人権利の対応。
アクセス請求および消去請求は [email protected] 宛てにお送りください。当社のチームが各請求を記録し、30日の期限を管理します。データ主体の請求向けのセルフサービスや公開APIは、まだありません。アクセス用のバンドルは、CSVファイルのzipです：アカウントレコード、ワークスペースのメンバーシップ、所有ワークスペース、リンク、本人がアクターである監査ログのエントリ、セッション。消去は、現在、アカウントのメールアドレスと氏名を匿名化してセッションを終了します。クリックイベント（訪問者のIPアドレスを含む）は、まだ自動的にエクスポートも消去もされません。優先対応の区分はありません。
- ステップ 1
本人請求
エンドユーザー → 管理者（あなた）本人があなたに連絡します。あなたは自社プロダクトで本人を認証してください。Elido ではありません。
- ステップ 2
請求の記録
アカウントのメールアドレスと請求の種類（export / erase）を記載してメールでお送りください。当社のチームが記録し、本人確認を行います。
- ステップ 3
ワークスペースバンドル
zip · CSVアカウント、メンバーシップ、所有ワークスペース、リンク、本人がアクターである監査ログのエントリ、セッション。クリックイベントは、まだ含まれません。
- ステップ 4
SLA
30日GDPRの1か月の期限を、すべてのプランのすべての請求について管理します。
13社のサブプロセッサーを公開掲載
13社のベンダー。公開掲載しています。
ベンダーの所在地、処理目的、データカテゴリ、DPA 参照 URL を含む完全な一覧は /legal/subprocessors にあります。サブプロセッサーの追加または交換は、処理開始前にワークスペース管理者全員へアプリ内バナーとメールで30日前通知をトリガーし、お客様は異議申し立てができます。
- コンピューティング & ホスティングISO 27001主要なアプリ + エッジインフラEU · ドイツ + フィンランド
- エッジコンピューティングISO 27001 · SOC 2リダイレクトノード（訪問者のIPアドレスを受信）米国（アッシュバーン）+ シンガポール
- メール配信トランザクションメールEU + 米国
- 決済カード決済（ウクライナ国外は Paddle、ウクライナは monobank）英国 / EU / UA
- CDN + WAFISO 27001 · SOC 2DNS、プロキシ、CAPTCHA。ライブチャット、AI、SSO、URLレピュテーションのベンダーは全一覧に掲載グローバル · EU ルーティング
コンプライアンスの立ち位置
お客様が尋ねるフレームワークでの現状。
各行は、現在整っているものと、まだ進行中のものを示します。
ISO 27001
認証は取得していません。ISO 27001 の取得に向けて取り組んでいますが、証明書は発行されておらず、監査日も公表していません。
SOC 2 Type II
監査準備を進めています。観察期間は2026年後半から2027年にかけて実施する予定です。SOC 2 レポートはまだ発行されていません。
GDPR
標準 SCC 付きの DPA をご請求により提供し、サブプロセッサーリストを公開しています。すべてのデータフローがEU内に限られるわけではありません。プライバシーポリシーをご覧ください。
HIPAA-ready
Business+ で BAA を提供。監査ログとアクセス制御は実装済みです。法的条件は BAA 自体で定めます。
EU residency
主要データベース、分析、バックアップはEUにあります。米国とシンガポールのリダイレクトノードが訪問者のリクエストを処理するため、EU域外への移転は発生します。
Encryption
転送時は TLS、オフサイトのバックアップは暗号化。BYOK は、まだ利用できません。
コンプライアンス FAQ
調達部門からよく届く質問。
DPA に署名しますか？
はい。標準の DPA には EU SCC が含まれています。まだダウンロードやチェックアウト時の同意には対応していません。署名済みの写しは [email protected] 宛てにご請求ください。Business と Enterprise ではカスタムの修正にも対応します。
サブプロセッサーは何社利用していますか？
13社で、すべてがEU拠点ではありません：ホスティング（EUと米国）、リダイレクトエッジ（米国、シンガポール）、バックアップ、トランザクションメール、決済（Paddle、monobank、任意で Coinbase）、ライブチャット、AI、SSO、CAPTCHA/DNS、URLレピュテーション、オフラインの位置情報データセット。所在地と目的を記載した名称付きの全一覧は /legal/subprocessors にあります。
リージョンピンはすべてのプランで利用できますか？
まだです。すべてのワークスペースが同じインフラから提供されます（主要部分はEU、リダイレクトノードは米国とシンガポールにもあります）。ワークスペースごとの米国東部やアジア太平洋への固定は計画中で、未実装であり、現在はどのプランでも提供していません。
DSAR の対応時間は？
すべてのプランで30日（GDPRの1か月）です。請求は [email protected] 宛てに送られ、当社のチームが対応します。優先対応の区分はなく、請求用の公開APIもまだありません。アクセス用のバンドルはCSVファイルのzipで、クリックイベントはまだ含まれません。
HIPAA の BAA はどのように扱いますか？
BAA は Business+ のみです。監査ログとアクセス制御は既定のティアと同じです。開始するには [email protected] 宛てにメールをお送りください。
セルフホスティングのオプションはありますか？
Kubernetes 用の Helm チャートがリポジトリにあります。ライセンス条件と対応するセルフホスティングの形態は契約ごとに定めます。セルフホスティングを前提とする前に [email protected] までご連絡ください。
サブプロセッサーの変更はどのように通知しますか？
サブプロセッサーの追加または交換の際は、アプリ内バナーとすべてのワークスペース管理者へのメールで30日前に通知します。お客様は処理が始まる前に異議を申し立てることができます。変更は /legal/subprocessors に反映されます。
インシデントや稼働率はどこで公開していますか？
リアルタイムのステータス、最近のインシデント、詳細な事後検証は /status でご覧いただけます。個人データの侵害は、GDPRおよびDPAの定めに従い、影響を受けるお客様に通知します。
詳細はこちら
調達の判断のために当社を評価されている場合は、まずこちらをご覧ください。
お問い合わせ
セキュリティに関する質問がありますか？
脆弱性の報告は [email protected] まで（PGP利用可）。SOC 2 / ISO / DPA については [email protected] まで。1営業日以内の返信を目指しています。