SECURITY & DATA HANDLING

社内資料を、どこに保存し、どこまで外部AIへ送るのか。

Nexfila AIの先行導入で採用する標準構成を公開します。保存場所、暗号化、外部AIへの送信範囲、保持期間、削除、運営者アクセスまで明示します。

以下は先行導入で採用する標準セキュリティ仕様です。個別要件がある場合は契約前に確認します。

標準構成

ホスティングNexfilaが管理する共有基盤上で提供します。顧客ごとの専用サーバーは作らず、WeKnora標準のワークスペース境界でデータを分離します。

顧客分離顧客ごとに独立したワークスペースを割り当て、認証・RBAC・tenant_idによるデータ分離を行います。他社ワークスペースの資料や会話へアクセスできないことをE2Eで確認してから有料提供します。

共有基盤アプリ・DB・検索処理・モデル設定は共通運用し、顧客ごとの容量・権限・利用状態はワークスペース単位で管理します。

外部公開ブラウザからはHTTPS/TLSで接続し、DBやRedis等の管理ポートは外部公開しません。

文書検索用EmbeddingBGE-M3をNexfila管理基盤内で実行し、Embeddingのために元文書全文を外部APIへ送りません。

回答生成OpenAI API / GPT-5.6 Lunaを標準モデルとして使用します。

保存時暗号化

アップロード資料、解析済みテキスト、検索インデックス、会話履歴などの本番データは、保存時暗号化されたストレージへ保存することを本番要件とします。

顧客データはworkspace / tenant単位で識別・分離
モデルAPIキーやDB credential等のsecretを顧客UIへ表示しない
secretをGitHubへcommitしない
DB・ファイルストレージ・バックアップの暗号化を有料提供前にE2E確認

現在の段階：本番基盤は構築中です。特定クラウド事業者や暗号鍵管理方式を未確定のまま「導入済み」とは表示せず、有料提供開始前に採用構成をこのページへ反映します。

質問から回答までのデータフロー

図と7ステップで詳しく確認したい方は、社内AIのRAGデータフロー解説をご覧ください。

1. 資料をアップロード
元資料と派生データは、顧客ワークスペースに紐づけてNexfila管理基盤へ保存します。

2. 文書検索の準備
BGE-M3によるEmbeddingをNexfila管理基盤内で実行します。

3. 社員が質問
顧客ワークスペース内の資料だけを対象に関連箇所を検索します。

4. 必要最小限だけOpenAI APIへ送信
質問、必要な場合の直近会話、検索で選ばれた関連文書の抜粋を送ります。元ファイルそのものや検索に不要な文書全文は送りません。

5. 回答と出典を表示
回答と、検索元の資料情報を合わせて表示します。

OpenAI APIでのデータ取扱い

OpenAI APIへ送信した入力・出力は、OpenAIの標準ポリシー上、明示的にオプトインしない限りモデル学習・改善には利用されません。

Nexfila AIの標準Pilotでは、OpenAI Responses API等を利用する場合にstore=falseを明示し、response application stateを保存しない構成を必須にします。OpenAI Conversations / Files / Vector Store等の永続化機能も標準では使用しません。

一方、標準APIでは不正利用監視ログとしてプロンプトや回答が最大30日保持される場合があります。標準PilotではZero Data Retentionを前提条件にはしていません。

重要：Nexfila管理下のデータと、回答生成時にOpenAI APIへ送信する質問・関連抜粋では取扱い主体が異なります。外部AIへ送信した部分にはOpenAI側の処理・保持ポリシーが適用されるため、「すべてのデータが外部へ一切出ない」サービスではありません。

バックアップ

対象	標準方針
データベース	共有本番DBを定期バックアップし、復元テストを実施します。
ファイル	アップロード資料等の永続ストレージをバックアップ対象に含めます。
暗号化	バックアップも保存時暗号化の対象とし、復旧時に顧客間のworkspace境界を維持できることを確認します。

共有基盤では「1社分だけサーバーを丸ごと戻す」方式ではないため、tenant単位の削除と復旧手順を有料提供前にE2E確認します。

保持期間・削除

データ	標準方針
アップロード資料	契約中は顧客が削除するまで保持
会話履歴	30日
アプリ/監査メタデータログ	90日。可能な限り質問本文・資料本文をログへ残しません。
本番バックアップ	保持期間を本番運用開始前に確定し、契約条件へ明記
契約終了後	workspaceへのアクセスを停止し、本番tenantデータを7日以内を目安にphysical purge。バックアップ内のコピーは定めたバックアップ保持期間の満了に伴って消去
OpenAI側	標準APIの不正利用監視ログは最大30日保持される場合があります

同じ会社の中でも、見せる資料を分けられます

標準Pilotは、全社員がすべての資料を見られる前提ではありません。公開登録は無効にし、招待された利用者だけがアクセスできます。

Owner / Admin / Contributor / Viewer の4段階RBACを利用
一般社員はViewerを基本とし、質問・参照中心
全社共通資料と、人事・経営などの限定資料を分ける必要がある場合は、同じNexfila AI基盤内でワークスペースを分離
利用者は必要なワークスペースだけに所属
複雑な多階層権限や独自ACLは標準Pilotの範囲外

会社間も社内の機密範囲も、WeKnora標準のワークスペース境界とRBACを使って分離します。1つのworkspace内で部署別の独自KB ACLは追加実装しません。

社内AIのアクセス権限を詳しく見る

Nexfilaが保持する権限

顧客workspaceのOwner / Adminは利用企業が保持し、Nexfilaは顧客workspaceへ常設で所属しません。Nexfilaが保持するSystem Adminはworkspace roleと独立しており、それだけで顧客資料を閲覧できる権限ではありません。

Nexfilaは共有アプリ基盤、データベース、バックアップ、デプロイ等の運用権限を、基盤管理・セキュリティ更新・稼働保守・障害復旧のために保持します。顧客資料の確認が必要な例外時は、顧客の明示依頼による一時的なworkspace権限を使用し、日時・対象・理由・解除を記録します。

PilotではNexfila運営者以外の外注者・第三者へ顧客資料アクセス権を付与しません。

顧客向けAI画面に広告・行動解析タグを入れません

公開サイトではGA4やMicrosoft Clarityを利用していますが、社内資料を質問する顧客向けAI画面にはGA4、Clarity、広告タグ等を入れません。

通信・不要機能

ブラウザとの通信はHTTPS/TLS
DB、Redis等の管理ポートをインターネットへ直接公開しない
OpenAI等の外部API通信もHTTPS/TLS
Web Search、MCP、Skills、Sandbox、Custom Agent、Long-term Memory、外部データソース自動同期等は標準Pilotで無効

どの資料を入れるかは、利用企業が決めます

Nexfilaが各資料の機密区分を一方的に決めるものではありません。利用企業が、自社の情報管理ルール・法令・契約・権限に基づいて、Nexfila AIへ登録する資料を判断します。

社内限定・社外秘・個人情報を含むという区分だけで、一律に標準Pilotの対象外にはしません。就業規則、社内手順書、製品・サービス資料、社内申請ルール、一般的な価格・運用資料、社内FAQなどを利用できます。

登録しないでください：
パスワード、APIキー、秘密鍵などの認証秘密、カードセキュリティコード（CVV等）やPINなどの決済認証情報、マイナンバー。また、利用企業が登録・利用するために必要な権利や許諾を持たない資料は登録できません。

標準的な相互NDAは、希望があれば追加料金なしで締結に対応します。

資料ごとの登録可否をどう考えるかは、社外秘・個人情報を社内AIへ登録するときの判断基準で整理しています。

一次情報

Tencent WeKnora 公式GitHub OpenAI API Data Controls 社内AI導入前のセキュリティチェックリスト Nexfila AI 利用規約先行導入の料金・契約条件 ChatGPT・Copilot・Geminiとの違いプライバシーポリシー

この条件を確認したうえで、先行導入を検討できます。

問い合わせ送信時点では契約・決済は発生しません。

先行導入を申し込む