御社はSozAIに録音を任せられるか

要点

SozAIは、スマートフォン、タブレット、Mac、Webで使える文字起こしアプリです。録音と文字起こしは、ドイツにあるHetznerのサーバーに保存され、すべての接続はHTTPSを使います。ファイルや録音の音声は、音声認識のために米国のAssemblyAIへ送られ、文字起こしのテキストは、ノートやチャットのためにOpenRouter経由でAIモデルへ送られます。SozAIのコードが、録音をモデルの学習に使うことはなく、録音や、アカウント全体の削除はご自身でできます。SOC 2レポート、自社のISO 27001認証、SSO、監査ログ、HIPAAのBAAはありません。

下の表が、全体像を一画面にまとめたものです。各行には裏付けとなるページへのリンクがあり、セキュリティ審査の担当者は、私たちを信じるのではなく、確認できます。

管理策の一覧

2026年十月27日時点の回答です。表の行とリンク先のページが食い違っている場合は、[email protected]までお知らせください。誤っているほうを修正します。

一件の録音が通る経路

web.sozai.appでアップロードした、一時間のインタビューを例にします。ファイルはHTTPSでドイツにある当社のサーバーに届き、そこに保存されます。その音声は、一度だけ米国のAssemblyAIへ送られ、話者ラベルとタイムスタンプ付きのテキストが返ってきます。それ以降のAI機能は、そのテキストをもとに動きます。ノートやクイズを求めると、文字起こしは、そのタスクに割り当てられたモデルへOpenRouter経由で送られます。音声認識以外のAIモデルが、音声を受け取ることはありません。

経路が違うものが二つあります。YouTubeのリンクはGoogle Gemini APIに送られ、受け取るのはリンクと当社の指示だけで、あなたの音声は含まれません。Macアプリで録音した会議は、Mac自身で文字起こしされます。音声はアップロードされず、完成したテキストだけがアカウントに保存されます。アプリが求める同意を含む詳細は、SozAIでのAIの使い方にあります。

sozai.appの無料ツールは別のルールです

sozai.app/tools/の無料の学習・要約ツールは、アカウントなしで使えます。貼り付けたテキストはOpenRouter経由で無料のAIモデルに送られ、無料モデルの提供元は、受け取った内容を保持したり利用したりする場合があります。機密のテキストは入れず、代わりに上の表が当てはまるアプリを使ってください。

SozAIが向いていない場合

次のいずれかに当てはまるなら、ほかのものを選んでください。

• 患者の情報を扱い、HIPAAのBAAが必要な場合。診療ノートには、姉妹アプリのnotavikが、録音とノートを端末内に置きます。
• セキュリティ方針で、すべてのベンダーにSOC 2レポートまたはSSOを求めている場合。
• 音声がEUの外に出てはならない場合。音声認識は米国で動きます。
• 管理者が、すべてのメンバーの録音を見たり管理したりする必要がある場合。ライブラリは一人ひとりのものです。

どれにも当てはまらなければ、録音する相手がそれを知っている限り、SozAIはインタビューや社内会議に向いています。

問題が起きたとき

1. 封じ込め:影響を受けるアクセスを遮断し、鍵を入れ替え、必要なら該当のサービスを止めます。
2. 評価:サーバーのログから、どのデータが、どのアカウントで、いつからかを調べます。
3. 通知:データが影響を受けた顧客へ、不当な遅延なく、メールで知らせます。侵害を確認してから72時間を目標とします(DPAの第10条)。
4. 修正と見直し:原因をふさぎ、修正が効いているか確認し、変更があれば、このページとセキュリティ質問票を更新します。

データベースは毎晩バックアップされ、復元は月に一度テストされます。目標は、失われるデータが最大24時間分、サービスの復旧が24時間以内です。

脆弱性の報告

件名に「Security」と入れて、[email protected]にメールしてください。見つけたことと再現手順、SozAIのどの部分に関わるかをお書きください。報告は英語とロシア語で読んでおり、通常は一営業日以内に返信します。

検証の際は、三つのお願いがあります。

1. ご自身のアカウントだけを使ってください。他の人のデータを開いたり変更したりせず、他の人のデータが見えたらすぐにやめてください。
2. サービス拒否や負荷のテストは行わず、自動化した大量のリクエストを送らないでください。
3. 公開する前に、修正する時間をください。公開の予定時期も教えてください。

報奨金付きのバグバウンティは実施していません。同じ連絡先は、機械が読める形で/.well-known/security.txtにも公開しています。