概要
簡潔な回答
| 問い | 応答 |
|---|---|
| データはどこに保存されますか？ | EU 内です。データベースとファイルは、ドイツ・フランクフルトの Supabase に保存されます。 |
| 暗号化されていますか？ | はい。通信中は TLS で、保存時はホスティング事業者によって暗号化されます。接続（Jira、Azure DevOps、Teams、Slack）のトークンは、UAT Studio がさらに AES-256 で暗号化しており、誰も読み出すことはできません。 |
| どのようにサインインしますか？ | Microsoft の職場アカウント（Microsoft Entra ID）、またはメールで届くワンタイムコードでサインインします。Microsoft の場合は、2 段階目の認証を含め、お客様の組織のサインインルールが適用されます。メールのコードの場合、管理者は認証アプリによる 2 段階認証を追加でき、ワークスペースですべての管理者に必須とすることもできます。漏えいするパスワードはなく、招待された人だけが利用できます。 |
| Microsoft サインインのために、IT 部門がアプリを承認する必要はありますか？ | IT 部門だけがアプリを承認できる設定の組織の場合のみ必要です。UAT Studio が Microsoft に求めるのは、サインインと基本プロフィールだけです（openid、profile、email、User.Read）。管理者はこちらの承認リンクから、組織全体に対して一度だけ承認できます。 |
| 誰が何を見られますか？ | ワークスペースごと・プロジェクトごとにロールがあります。管理者、テスター（自分のプロジェクトとグループのみ）、ステークホルダー（閲覧のみ）、開発者（課題のみ）です。データベースがすべてのリクエストでこれを強制します。 |
| UAT Studio のサポートはデータを見られますか？ | お客様の許可がある場合のみ、管理者が選んだ期間に限って閲覧できます。すべての閲覧と変更は監査ログに記録されます。 |
| 監査ログはありますか？ | はい。テストケース、結果、課題、ユーザー、アクセス権へのすべての変更が、誰がいつ行ったかとともに記録されます。管理者は Excel にエクスポートできます。 |
| データが AI の学習に使われますか？ | いいえ。AI テスト設計は任意のアドオンです。送信されるユーザーストーリー、プロセスの説明、課題のテキストが AI の学習に使われることはなく、テスターの名前も送信されません。 |
| 自社の AI モデルを使えますか？ | はい。管理者が自社のモデルを接続できます：Microsoft Foundry / Azure OpenAI（OpenAI のモデルまたは Claude。Microsoft Copilot もこの経路です）、OpenAI、Anthropic、Amazon Bedrock、Google Gemini および Vertex AI。その場合、テキストはお客様の契約とリージョンの範囲内で自社のプロバイダーに送られ、UAT Studio 経由で Anthropic に送られることはありません。キーは暗号化して保存され、読み出すことはできません。 |
| 何をテストしたかを監査人に証明できますか？ | はい。管理者は UAT ごとにエビデンスパックをダウンロードできます。PDF の go/no-go レポート、ステップごとのすべての結果、履歴付きの課題、すべてのサインオフ、監査ログ、スクリーンショットが含まれ、ファイルごとに SHA-256 チェックサムが付きます。パック全体のチェックサムも監査ログに記録されます。 |
| アクセシビリティには対応していますか？ | UAT Studio は WCAG 2.1 レベル AA（EN 301 549）を目指しています。リリースのたびにすべての画面を自動でチェックしていますが、第三者による監査はまだ実施していません。アクセシビリティ方針をご覧ください。 |
| データを取り出せますか？ | はい、いつでも可能です。各プロジェクトは Excel に、ワークスペースのすべてのデータはファイルごと一括でダウンロードできます。ご依頼があればワークスペースを削除します。 |
ホスティング
ホスティングと再委託先
UAT Studio は Salvion（KvK 42076990）の製品です。運営には次のサービス事業者（再委託先）を利用しています。
| 事業者 | 用途 | 所在地 |
|---|---|---|
| Supabase | データベース、サインイン、ファイル | EU（ドイツ・フランクフルト） |
| Cloudflare | アプリとウェブサイトのホスティング、攻撃からの保護 | グローバルネットワーク。テストデータは保存しません |
| Resend | メールの送信（招待、サインインコード、通知） | EU（アイルランド） |
| Anthropic | AI テスト設計（テストケース、課題の要約と記述）。ワークスペースがそのアドオンを利用し、自社の AI モデルを接続していない場合のみ | 米国（EU 標準契約条項に基づく） |
お客様ご自身で設定した接続（Jira、Azure DevOps、Teams、Slack、Zapier、Make、Webhook）は、設定に従って、それぞれのサービスにあるお客様のアカウントへデータを送信します。
セキュリティ
UAT Studio のセキュリティ対策
- データベースでのアクセスルール。API を直接呼び出した場合も含め、すべての読み取りと書き込みがユーザーのロールに照らしてチェックされます。
- Microsoft でサインイン（Microsoft Entra ID。Microsoft 365 を使うすべての組織に対応）、またはメールのワンタイムコードでサインイン。利用できるのは招待されたアドレスだけで、Microsoft が確認済みのメールアドレスに限られます。
- 認証アプリによる2 段階認証。ワークスペースですべての管理者に必須とすることができます。Microsoft でのサインインは 2 段階目として扱われます。
- 接続のトークンとシークレットは AES-256（AES-GCM）で暗号化され、鍵はデータベースとは別に保管されます。表示されるのは末尾 4 文字だけです。API キーはフィンガープリントとしてのみ保存されます。
- ファイル（スクリーンショット、エビデンス）は、プロジェクトへのアクセス権を持つ人だけが、有効期間の短いリンクを通じて利用できます。
- サポートによる閲覧も含め、すべての変更を誰がいつ行ったかを記録する監査ログ。
- リリースは、本番環境に反映される前に、セキュリティルールと画面の自動テストを通過します。
プライバシー
プライバシーと GDPR
ワークスペース内のデータについては、お客様の組織が管理者（controller）、Salvion が処理者（processor）となります。当社はお客様とデータ処理契約（verwerkersovereenkomst）を締結します。[email protected] までご請求ください。当社自身が処理するデータについては、プライバシーポリシーで説明しています。
UAT のためのヒントテスト環境は本番環境のコピーであることがよくあります。できる限りテストデータを使い、個人データが写ったスクリーンショットはトリミングするかぼかすよう、テスターに依頼してください。
購入
UAT Studio の購入
- プロジェクトごと、月ごと、または年ごとに請求書でお支払いいただけます。請求書には貴社の発注番号を記載します。
- 14 日間の無料パイロットから始められます。クレジットカードも契約の縛りも不要です。
- ユーザー単位のライセンスは不要：すべての業務テスターが含まれるため、テスターの人数が変わっても新たな承認は不要です。
- 取引先登録：貴社の取引先登録フォームに記入し、ご依頼に応じて会社情報と銀行口座情報を提供します。
ご質問
セキュリティ質問票
セキュリティ質問票やベンダー質問票は [email protected] までお送りください。通常、数営業日以内にご返送します。