脆弱性開示ポリシー

株式会社フィールフロウは、当社が運営するサービスのセキュリティ上の問題について、外部の皆さまからの報告を歓迎します。本ポリシーは、報告の対象範囲・方法、当社の対応の目安、善意の調査者を保護するための条件を定めるものです。

対象範囲

当社が自ら開発・運営する、次のホスト上のサービスを対象とします。

• feelflow.net — コーポレートサイト
• id.feelflow.net — FeelFlow ID（共通アカウント基盤）
• strategy.feelflow.net — FeelFlow Strategy（事業変革シミュレーター）
• chatbot.feelflow.net — FeelFlow Chat（チャットボット）
• hub.feelflow.net — FeelFlow AgentHub（エージェントHub）
• board.feelflow.net — FeelFlow Board（ディスカッションボード）
• praxisai.jp — FeelFlow Praxis（プラクシス）
• help.feelflow.net — ヘルプセンター

一覧にないホストやサービスは対象外です。対象かどうか判断できない場合は、テストを始める前に下記の報告先へお問い合わせください。

報告方法

報告先は security.txtの Contact欄に記載しています。日本語または英語で、次の情報をお送りください。

• 対象のホスト・URL・機能
• 問題の内容と、想定される影響
• 再現手順（必要に応じてスクリーンショットやリクエスト例）
• 返信先の連絡先と、謝辞に記載するお名前の希望の有無

報告には、問題を示すのに必要な最小限の情報だけを含めてください。他者の個人情報や認証情報は送らないでください。

当社の対応（目安）

• 受領の連絡: 報告の受領から 5 営業日以内
• 初期評価（再現の可否と深刻度）の連絡: 報告の受領から 10 営業日以内
• その後は、修正の見通しと進捗を報告者と共有します

営業日は土日・祝日・年末年始（12月29日〜1月3日）を除く日です。上記はいずれも目安であり、修正完了の時期は問題の深刻度や影響範囲によって異なります。

調査にあたってのお願い

• ご自身で作成したアカウントとデータだけを使って確認してください
• 他者のデータや個人情報に到達した場合は、その時点で調査を止め、閲覧・保存・複製をせずにご報告ください
• データの改変・削除や、サービスの停止につながる操作はしないでください
• 修正が完了し、公開の時期について当社と合意するまで、問題の内容を第三者に開示しないでください

対象外の行為

次の行為は本ポリシーの対象外であり、行わないでください。

• DoS・DDoS 攻撃、大量のリクエスト送信、負荷試験などサービスの可用性を損なう行為
• ソーシャルエンジニアリング（当社の役員・従業員・取引先へのなりすましやフィッシングを含む）と、物理的な侵入
• お問い合わせフォームやニュースレター登録への大量・自動の送信（実際のメールが送られます）
• AI 診断など、外部の AI サービスを呼び出す機能への大量の送信
• 当社が利用するクラウド事業者・決済事業者などの第三者のサービス（各事業者のポリシーに従ってください）

善意の調査者の保護（セーフハーバー）

本ポリシーに従い、善意で行われた調査と報告について、当社は報告者に対して民事・刑事の法的措置を取りません。第三者から当社に対して調査に関する請求があった場合は、その調査が本ポリシーに沿って行われたものであることを当社から表明します。

ただし、本ポリシーは法令に違反する行為を免責するものではなく、当社以外の第三者のサービスに対する調査を許可するものでもありません。また、第三者がどのような判断をするかを当社が保証することはできません。

公開と謝辞

修正の完了後、公開の時期と内容を報告者と相談のうえで決めます。報告者の同意がある場合は、公開の際に謝辞としてお名前を記載します。

報奨金について

当社には現在、報奨金（バグバウンティ）制度はありません。報告に対する金銭その他の謝礼はお支払いしていません。

改定

当社は本ポリシーを必要に応じて改定することがあります。

制定日: 2026.10.29
最終更新日: 2026.10.29