セキュリティ対策はPhotoroomが担うので、チームの負担を減らせます

はい。Photoroomは、APIサービスを対象としたSOC 2 Type 2の認証を取得しています。最新のレポート（2026年4月）および現在の管理体制はTrust Centerでご確認いただけます。調達プロセスで他の範囲の証明が必要な場合は、早めに営業チームまでご相談ください。

はい、どちらも対応しています。PhotoroomはGDPRの原則に基づき、サブプロセッサーの一覧を公開し、情報漏えい時の通知プロセスを定め、モデル学習前には個人データを匿名化しています。Enterpriseのお客様には、アカウント担当者を通じてデータ処理契約（DPA）もご用意しています。

ご契約内容によって異なります。

• Enterprise契約の場合、デフォルトでは学習に利用されません。学習は書面で明確に合意された場合のみ行われます。

• セルフサービスAPIプランでは、API経由で送信された画像がAIモデルの学習に使用されることはありません。

• すべてのプランで、トレーニング用データと本番用データは別々に保存されます。トレーニング用データへのアクセスはMLチームのメンバーに限定され、すべてのアクセス履歴が記録されます。

当社のインフラは米国のGoogle Cloud PlatformおよびAmazon Web Services上で運用されています。通信中のデータはTLS 1.2以上で暗号化され（Cloudflare経由で管理）、保存データもGCPおよびAWSのインフラ層で暗号化されています。現在、EU限定のデータ保管には対応していません。地域限定のデータ保管が契約条件となる場合は、早めに営業担当までご相談ください。

Sync APIで処理された画像は、レスポンスが返るとすぐに破棄されます。Async APIで処理された画像は、ジョブ実行中は一時的に保持され、その後破棄されます。運用ログは15日後に削除され、APIアクセスログは1年間保持され、セキュリティ調査や監査依頼時に利用可能です。

GCPやAWSはホスティングとストレージ、CloudflareはCDN・セキュリティ・DNS、DatadogはイベントログやAPIパラメータの記録、Vercelはホスティングに利用しています。現在の利用サービス一覧はTrust Centerで公開しています。

2024年10月に、サービスが約30分間利用できない障害が1件発生しました。お客様のデータ漏洩はありませんでした。この障害は記録され、インシデント対応手順に沿って確認・検証されています。

はい。アプリユーザーは、アカウント設定の切り替えスイッチで、モデル改善への協力をオプトアウトできます。データをトレーニングに使用する場合は、事前に個人データを匿名化します。なお、これはAPIのお客様への約束とは別のものです。セルフサービスAPIプランとEnterprise APIプランのどちらでも、画像をAIモデルのトレーニングに使用することはありません。