セキュリティ

Plondo のセキュリティ

Plondo Network, LLC は、ダイレクトセリングプラットフォームにおけるアクセス管理、データ保護、可用性、および監視にわたるセキュリティを徹底しています。Plondo は強力な認証とロールベースの権限管理を必須とし、転送中および保存中のデータを保護するとともに、テスト済みのバックアップと文書化されたインシデント対応計画を維持しています。Plondo は PCI DSS に準拠し、クライアントとのエンゲージメントに SOC 2 Type 2 に準じたコントロールを適用し、GDPR および CCPA に沿って個人データを取り扱います。コントロールドキュメントは、適格な見込み客からのご要望に応じて提供いたします。

コンプライアンスとデータ保護

Plondo Network, LLC は PCI DSS に準拠しています。コンプライアンス証明書は、適格な見込み客からのご要望に応じて提供いたします。カード決済は PCI DSS 準拠のプロバイダーを通じて処理され、Plondo は生のカード番号を保存しません。

PlondoはクライアントのエンゲージメントにおいてSOC 2 Type 2準拠の環境を設計・運用しており、構築・運営するシステムにも同一のコントロールフレームワークを適用しています。

Plondo は、データ主体のアクセス・削除リクエストへの対応を含め、GDPR および CCPA に準拠した形で個人データを取り扱います。

Plondo が提供するもの

PCI DSS 準拠の決済処理を採用しており、カード番号の生データは Plondo のシステムに保存されません。
アクセス管理、変更管理、ログ管理、モニタリングにわたり、SOC 2 Type 2 に準拠したコントロールを実施しています。
秘密保持契約の締結を条件に、証明書およびコントロール関連ドキュメントをご要望に応じて提供いたします。

責任共有モデル

Plondo は、ダイレクトセリングプラットフォーム本体、すなわちアプリケーション、そのデータベース、および稼働サーバーを運用しています。Plondo を利用する企業は、チームメンバーのアクセス権限や各担当者のロールなど、自社側の設定を独自に管理します。

どのプラットフォームも単独では安全ではありません。Plondo のプログラムとお客様自身の設定の選択はどちらも重要であり、いずれかに不備があればもう一方を損なう可能性があります。

誰が何に責任を持つかを簡略化して示した図
領域	Plondo 側	お客様側
プラットフォームとインフラストラクチャ	アプリケーション、データベース、およびそれらが稼働するサーバーを構築、ホスト、保守します。	設定は不要です。すべて Plondo が担当します。
アカウントとロール	プラットフォーム内のログイン、ロール、および権限管理機能を提供します。	どのスタッフにアカウントを付与するか、また各担当者に割り当てるロールを決定します。
デバイスとネットワーク	Plondo の対象範囲外です。	チームが Plondo にアクセスする際に使用するコンピューター、電話、およびネットワークのセキュリティ確保。
プラットフォームに入力されたデータ	入力された内容を保存・処理します。	チームが入力または連携する顧客、ディストリビューター、および注文データの内容を決定します。

Plondo が提供するもの

Plondo が運営する範囲と、チームが設定する範囲をまとめた書面によるサマリー。
Plondo がアクセスを付与した後、自社チームが管理するアカウントおよびロール制御。
新機能によって、Plondo と自社チームの間で管理の所在が変わる場合の通知。

認証とアクセス

Plondo のプラットフォームは、ロールベースのアクセス制御と最小権限の原則に基づいたログイン管理を実施しています。多要素認証はすべてのユーザーに必須化でき、シングルサインオンは主要なアイデンティティプロバイダーと連携するため、チック独自の認証基準を適用できます。セッション制御によりログインの有効期間を制限し、従業員がチームを離れた際はアクセス権が速やかに削除されます。

Plondo が提供するもの

多要素認証をオプションとして提供するだけでなく、すべてのユーザーに必須化できること。
各担当者が実際に必要とするデータと操作にのみスコープされた、ロールベースの権限管理。
主要なアイデンティティプロバイダーとのシングルサインオン対応。
チームからの申請を受けた後、退職した従業員のアクセス権を速やかに削除できること。

データ保護

Plondo は、最新の TLS 暗号化により転送中のデータを保護し、保存データには保存時暗号化を適用しています。シークレットおよび暗号化キーは、アプリケーションコード内ではなく、マネージド型のシークレット・キーストレージで管理されます。

支払いデータはPCI DSS準拠のプロセッサーによって処理され、Plondoは生のカード番号を自社システムに保存しません。貴社がPlondoの利用を終了した場合、データはエクスポートして返却することができます。

Plondo が提供するもの

ユーザーのブラウザとPlondoのサーバー間における、最新のTLSを使用した転送中の暗号化。
保存された顧客、ディストリビューター、および注文データの保管時の暗号化。
アプリケーションコードへの埋め込みではなく、シークレットおよびキーの管理された安全なストレージ。
PCI DSS準拠のプロセッサーを通じた決済処理。Plondoのシステムには生のカード番号を保存しません。
貴社がPlondoの利用を終了した場合のデータのエクスポートおよび返却。

テナンシーと分離

Plondoは共有プラットフォーム上で多くのダイレクトセリング企業にサービスを提供しており、各企業のデータをプラットフォーム内で論理的に分離して管理しています。環境は分離されており、企業データへのアクセスはその企業にスコープされているため、スタッフおよびプロセスは各自の役割に関係するデータにのみアクセスできます。

Plondo が提供するもの

プラットフォーム上の他のすべての企業から、貴社データを論理的に分離します。
企業ごとにスコープされた、分離された環境とアクセス管理。
プラットフォームを離れる際も、分離を維持したままデータをエクスポートできる明確な手順。

セキュアな開発

Plondo は、すべてのコード変更をライブプラットフォームへ反映する前に、ピアレビューを通じて確認します。自動化ツールが依存関係とコードを継続的にスキャンし、既知の脆弱性を検出します。Plondo は開発環境とステージング環境を常に分離して管理し、すべての変更はそれらの環境を経てから本番環境へ適用されます。

Plondo はさらに、定期的なサードパーティによるペネトレーションテストを実施し、発見事項を修正完了まで追跡管理します。

Plondo が提供するもの

ライブプラットフォームへの反映前に行う、コード変更のピアレビュー。
依存関係および脆弱性の自動スキャン。
すべての変更が通過する、開発・ステージング・本番の分離された環境。
定期的なサードパーティによるペネトレーションテストを実施し、発見された問題は修正完了まで追跡管理します。

ログと監査証跡

Plondo はプラットフォーム全体のアカウント操作および管理操作の監査ログを保持しています。ログは一元管理され、アラート付きで監視されています。また、貴社の管理者は自社に関するアクティビティを閲覧・エクスポートすることができます。

Plondo が提供するもの

アカウント操作および管理操作の監査ログ。
重要なアクティビティへのアラートを備えた、一元化されたログ管理。
管理者が閲覧・エクスポートできる、自社のアクティビティログ。

バックアップと事業継続性

Plondo は毎日自動バックアップを実施しており、要件に応じて5分ごとの頻度にも対応しています。バックアップはただ取得するだけでなく、実際にリストアすることで検証されており、お客様の要件に応じて3年から7年間保持されます。事業継続計画では、プラットフォームの目標復旧時間（RTO）および目標復旧時点（RPO）を定め、調達プロセスにおいて見込み顧客と共有しています。

Plondo が提供するもの

毎日の自動バックアップを実施し、必要なクライアントには5分ごとの間隔にも対応します。
バックアップの保持期間は3年から7年で、クライアントの要件に応じて設定します。
バックアップは取得するだけでなく、実際のリストアを通じてテストを行います。
目標復旧時間（RTO）と目標復旧時点（RPO）を明記したビジネス継続計画を、調達プロセス中に共有します。

インシデント対応

Plondo は、検知・アラート・封じ込め・顧客通知をカバーする文書化されたインシデント対応計画を維持しています。チームは定期的に訓練を実施し、いざというときに計画が確実に機能するよう備えています。

Plondo が提供するもの

検知・封じ込め・通知をカバーする、文書化されたインシデント対応計画。
プラットフォームに組み込まれた検知およびアラート機能。
お客様のデータに関わるインシデントが確認された際の、顧客通知プロセス。
インシデント対応計画を検証する実践的な訓練の実施。

サブプロセッサーとベンダーリスク

Plondo は、プラットフォームの一部を運営するために利用する外部インフラおよびサービスプロバイダーを審査しています。現在のサブプロセッサーリストはリクエストに応じてご提供でき、新しいプロバイダーはオンボーディング前に審査を行い、お客様のデータに影響を与える変更についてはご連絡いたします。

Plondo が提供するもの

審査済みサブプロセッサーの最新リスト（リクエストに応じてご提供）。
新しいプロバイダーのオンボーディング前審査。
サブプロセッサーの変更がお客様のデータに影響する場合の事前通知。

プライバシーおよび個人データに関するリクエスト

Plondo は、データの最小化と定められた保持期限に基づいて個人データを管理しています。データ主体によるアクセス、訂正、削除のリクエストに対応し、リクエスト者の本人確認を行うとともに、お客様のディストリビューターまたはカスタマーからのリクエストを適切にルーティングします。

プライバシーポリシーには、Plondo が収集する個人データの内容およびその利用方法が記載されています。

Plondo が提供するもの

個人データのデータ最小化および保持期間の制限。
本人確認を伴う、データ主体によるアクセス・修正・削除の請求。
ディストリビューターまたはお客様からのプライバシー請求のルーティング。

責任ある脆弱性開示

Plondo は、セキュリティ上の脆弱性を公開投稿ではなくお問い合わせページを通じて責任を持ってご報告いただくことを歓迎します。お問い合わせページから Plondo のチームにご連絡いただき、発見した内容をご説明のうえ、Plondo が再現できる十分な詳細情報をお含みください。

Plondo は、そのチャネルを通じて届いたすべての報告を確認し、受領の旨をお伝えしたうえで、報告者へ直接フォローアップします。

Plondo が提供するもの

お問い合わせページを通じて提出された報告の受領確認。
報告者への直接フォローアップ。

Plondo に問い合わせる

Plondo のお問い合わせページを開きます。

詳細情報

このページでは、Plondoがダイレクトセリングプラットフォームに適用しているセキュリティ対策およびコンプライアンス体制について説明します。

Plondoのプライバシーに関する取り組みについては、プライバシーポリシーをご覧ください。セキュリティレポートやその他のお問い合わせは、お問い合わせページをご利用ください。Plondoを運営する会社の詳細については、会社概要ページをご覧ください。

Published August 20, 2026 · Last reviewed August 20, 2026