本ページは、総務省「クラウドサービスの安全・信頼性に係る情報開示指針（ASP・SaaS編）」に基づき、SP-FAXの安全性・信頼性に関する情報を開示するものです。
医療・機密情報向けの設計では、厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」および総務省・経済産業省の提供事業者向けガイドライン第2.0版を参照しています。現時点で包括的な適合認証・適合完了を表明するものではありません。
事業所・事業
| 事業者名 |
株式会社SPREAD |
| 設立年 |
2006年 |
| 本店所在地 |
〒105-0003 東京都港区西新橋一丁目18番6号 クロスオフィス内幸町1005号室 |
| 主な事業の概要 |
EC運営支援、Webサービス・業務システムの開発・運営、クラウドFAXサービス（SP-FAX）の提供 |
コンプライアンス
| 情報セキュリティ規程 |
「情報セキュリティ基本方針」を公開し、社内規程および責任分担に基づいて情報セキュリティを管理しています。 |
| 苦情対応規程 |
「サービス苦情対応規程」を制定し、苦情受付から解決までの手順を定めています。 |
| 個人情報保護 |
JAPHICマーク取得済み（認定番号: 2011130180） |
| 情報開示認定 |
ASPIC「クラウドサービス情報開示認定制度」の通常区分で申請準備中です（未取得・審査前）。 |
| 電気通信番号使用計画認定 |
総務省認定取得済み（総基番第147号、2026年7月2日）。対象は固定電話番号［第2］（電話転送役務あり）および特定IP電話番号［第2］です。 |
サービス基本特性
| サービス名称 |
SP-FAX |
| サービス開始時期 |
2026年7月 |
| サービスの基本タイプ |
アプリケーションサービス |
| サービスの内容・範囲 |
オンラインFAX送受信サービス。Web管理画面またはREST APIからFAXを送信し、受信したFAXを電子データとして確認できます。送受信履歴と文書は、権限のある利用者が管理画面またはAPIから参照できます。AI-OCRによる文書のテキスト化は付加機能であり、今回準備中のASPIC「ASP・SaaS」通常区分の認定申請対象には含めません。 |
| カスタマイズ範囲 |
REST APIによる外部システム連携が可能です。アプリケーション自体のカスタマイズには対応していません。 |
| 課金方法 |
月額固定料金（プランによる）＋FAX送信枚数に応じた従量課金 |
| 料金体系 |
送信のみプランは初期費用・月額基本料0円です。送受信プランは、050番号が初期費用2,200円・月額1,100円、0AB-J番号・番号ポータビリティが初期費用3,300円〜・月額2,200円です。FAX送信は8pt/枚（税込8円相当）、AI OCRは10pt/ページ（税込10円相当）です。金額は税込です。番号ポータビリティの標準的な手続き（平日日中の切替）は初期費用に含み、設備対応・時間外の切替は事前見積もりです。旧サービスの解約金等はお客様と移転元事業者との間で別途発生する場合があります（詳細は特定商取引法に基づく表記参照）。 |
| 解約時ペナルティ |
違約金なし |
| 解約の受付期限 |
FAXプランは管理画面またはお問い合わせにより、いつでも解約できます。FAXプラン解約後もOCR専用アカウントを継続利用できます。アカウント全体の利用終了はお問い合わせにより受け付けます。 |
| サービス稼働率 |
目標値: 99.9%（計画的なメンテナンス時間を除く） |
| 個人情報の取扱い |
個人情報を収集する際は利用目的を明示します。詳細はプライバシーポリシーをご参照ください。 |
| バックアップ |
データベースはRDS Multi-AZ構成とし、自動バックアップを7日間保持してポイントインタイムリカバリに対応しています。Multi-AZは同一AWSリージョン内の冗長化であり、リージョン全体の障害に対応するクロスリージョンDRではありません。FAX文書を含む各保存領域は、データの種類と復旧要件に応じてバックアップまたは冗長化を行います。 |
| SLA |
本ページに記載の情報開示項目は、サービス契約の付属資料として参照できます。標準の復旧目標時間（RTO）・復旧時点目標（RPO）は障害対象により異なり、契約上の保証値ではありません。個別の保証値が必要な場合は契約時に合意します。 |
サービス変更・終了の
事前告知 |
サービスの重要な変更・終了については、影響範囲に応じて事前に登録メールアドレス等へ通知します。個別の通知期間を定める場合は、利用規約または契約条件に従います。 |
| 終了後の対応・代替措置 |
利用者は、管理画面またはAPIで取得可能な履歴・文書を利用期間中に保存できます。サービス終了時の個別のデータ提供・移行支援はお問い合わせにより受け付けます。利用終了後のデータは、法令、契約条件、セキュリティ調査およびバックアップの保持期間に従って保管し、不要となった後に削除または匿名化します。 |
| 変更・終了に係る問合せ先 |
support@spread-inc.co.jp（平日 10:00〜17:00） |
オンラインFAX固有の取扱い
| 送信機能 |
Web管理画面から宛先FAX番号とPDFまたはTIFF文書を指定して送信できます。CSVによる複数宛先への一括送信およびREST APIからの送信にも対応しています。 |
| 受信機能 |
契約番号で受信したFAXを受信履歴へ記録し、権限のある利用者が文書を閲覧できます。 |
| 受信通知・メール転送 |
受信FAXは、登録したメールアドレスへ通知できます。PDFを添付する方式と、機密情報をメールへ記載せず管理画面での確認を案内する「通知のみ」の方式を選択できます。 |
| 送受信結果 |
送信履歴および受信履歴を記録し、処理状態と結果を管理画面で確認できます。相手先機器、回線状態その他の外部要因により送受信が完了しない場合があります。 |
| 処理継続・重複防止 |
メール取込等の非同期処理は耐久性のあるキューで受け付け、処理失敗時の再試行、デッドレターキューからの再処理および重複排除を行います。FAX送信APIは冪等性キーに対応し、同一要求の再試行による意図しない二重送信・二重課金を抑止します。 |
| 利用者の確認事項 |
FAX送信前に、利用者が宛先番号および送信文書を確認します。一括送信では、CSVに記載した宛先へ同一文書が送信されます。 |
| テナント分離 |
利用者、FAX番号、送受信履歴および文書は契約組織単位で管理します。アプリケーションの認証・認可とテナント識別子によるアクセス制御に加え、テナント単位で管理するデータベーステーブルにはPostgreSQLの行レベルセキュリティ（RLS）を適用し、他の契約組織からの参照・更新を多層で制限します。 |
| 通信経路と暗号化の範囲 |
利用者のブラウザまたはAPIクライアントとSP-FAXの間はTLS 1.2またはTLS 1.3で暗号化し、TLS 1.0およびTLS 1.1は受け付けません。HSTSを有効化し、公開配信経路を経由しないオリジンサーバーへの直接アクセスを制限しています。一般の電話網・FAX網を経由する区間は、電話網の仕様および接続事業者の提供条件に従います。 |
| 医療・機密情報向け設定 |
医療・機密情報向けには、全利用者のMFA必須化と受信メールの「通知のみ」固定、OCR処理場所および保存期限の制限を組み合わせたセキュリティプロファイルを技術検証しています。実データでの利用は、契約条件、責任分界、保存・削除条件および運用体制を確認し、当社責任者が承認した契約組織に限定します。本機能のみをもって厚生労働省ガイドラインへの包括的な適合を保証するものではありません。 |
| 障害時の取扱い |
FAX送受信の異常を監視し、障害発生時は影響範囲を確認して復旧対応を行います。通信事業者またはFAX経路の障害時は、必要に応じて代替FAX経路へ切り替えます。代替経路は、共通するEC2、VPCまたはAWSリージョン全体の障害を代替するものではありません。 |
医療・機密情報向けの責任分界と外部サービス
対象文書、利用機能、保存期間、通知方法および事故連絡期限は、導入前に利用者と個別確認します。以下は標準的な責任分界の概要です。
| 利用者の責任範囲 |
医療情報等を取り扱う目的・法的根拠、対象文書、利用者、保存の要否を決定し、利用者アカウント・端末・MFA復旧情報を管理します。FAX送信時は宛先番号と送信内容を確認し、サービス停止時の診療・業務継続方法を定めます。 |
| SP-FAXの責任範囲 |
契約した範囲のFAX送受信、管理画面、API、必要に応じたOCRを提供し、認証・認可、テナント分離、監査記録、バックアップ、脆弱性対応および当社管理範囲のインシデント対応を行います。通信事業者区間の品質は各事業者の提供条件にも依存します。 |
| 保存・削除条件 |
FAX原本、OCR結果、送受信履歴、監査ログは目的と復旧要件が異なるため、同一期間では管理しません。医療・機密情報向けでは原本・OCR結果の保存期間を契約組織ごとに定め、期間満了後の削除対象、バックアップから消去されるまでの期限および削除証明の要否を個別契約で確定します。 |
| AWS |
アプリケーション、FAX文書、データベース、ログおよびバックアップの基盤としてAmazon Web Servicesを利用します。主要な保存先は東京リージョンです。 |
| Google Cloud / Gemini |
AI OCRを利用する場合に限り、対象文書と抽出処理に必要なデータをOCR処理へ送信します。医療情報を扱う契約では、利用モデル、処理場所、保存条件およびデータ利用条件を確認し、要件を満たさない場合はOCRを利用しません。 |
| 通信・通知・決済 |
FAX番号と通信信号・通信記録はSIP・電話網の接続事業者が取り扱う場合があります。メール通知では設定によりPDFを添付せず、管理画面での確認だけを案内できます。決済事業者にはFAX文書やOCR結果を送信しません。 |
| 参照ガイドライン |
厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」
総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン 第2.0版」
|
アプリケーション・システム
| 主要ソフトウェア |
SIPベースFAXエンジン、マルチテナント対応クラウドWebアプリケーション |
| 提供事業者 |
株式会社SPREAD |
| 死活監視 |
内部では、PM2によるアプリケーションプロセスの常時監視、systemdによるWebサーバーの異常終了時再起動、および2分周期のwatchdogによる復旧確認を行っています。アプリケーション用データベース、FAXエンジン、FAX送信キュー、メール取込キュー等は、内部ヘルスチェックとCloudWatch等で個別に監視します。これらを補完するAWS外部からの監視として、UptimeRobotがWebサービスの応答可否とWebサイトを5分間隔で確認します。 |
| 障害監視 |
サービスが応答していても発生し得る性能低下・滞留・処理失敗を検知するため、CloudWatchでRDSの負荷・容量・接続・遅延と、SQSの滞留・DLQを監視し、SNS・Lambdaを経由して運用チャットへ通知します。FAX送信は15分ごとの失敗率・経路異常監視に加え、日次の実送信E2E試験で通信経路と送達を確認します。 |
| 時刻同期 |
AWS Time Sync Service（chrony/NTP）を使用しています。 |
| Web攻撃対策 |
AWS WAFによる不正リクエストの検知・遮断を実施しています。対象ルールのブロック発生をCloudWatchで5分単位に評価し、運用チャットへ通知します。 |
| アップロード検査 |
利用者がアップロードするファイルには、OCR対象ファイル、FAX送信用文書および一括送信用CSV等があります。OCR対象ファイルの直接アップロードは専用の一時保存領域でマルウェア検査を行い、安全性を確認できないファイルを後続処理へ進めません。FAX送信用文書等は、認証、ファイル形式、容量および文書実体等を入力経路ごとに検証しています。マルウェア検査の適用範囲は入力経路ごとに異なります。 |
| ログ取得・保存 |
認証、設定・権限変更、API操作、FAX操作の監査ログを取得し、日次で改ざん防止ストレージ（S3 Object Lock）へ出力して7年間保全します。その他のアクセスログ、システムログおよびセキュリティイベントログは、種類と利用目的に応じた期間保存します。 |
| 保存データの暗号化 |
FAX文書の長期保存先はAWS東京リージョンのS3とし、AWS KMSを用いて保存時に暗号化します。処理中に一時保存されるEC2のEBSボリュームおよびデータベースも保存時暗号化を有効にしています。 |
| セキュリティパッチ管理 |
セキュリティ更新を継続的に確認し、脆弱性の重要度、悪用状況、影響範囲および適用時のサービス影響を評価して、優先度に応じて適用します。 |
| セキュリティ検証 |
認証・認可、テナント分離、APIアクセス制御、セッションおよび監査証跡について、複数のフロンティアAIモデルを用いた敵対的レビューを継続しています。指摘は担当者が妥当性を確認し、必要に応じて自動回帰テストへ反映します。AIによるレビューは第三者機関による脆弱性診断・監査・認証を代替するものではなく、第三者機関による診断等は現時点で未実施です。 |
ネットワーク
| 推奨回線 |
インターネット接続（有線推奨） |
| 推奨帯域 |
特定の帯域要件はありません。 |
| 推奨端末・OS |
Windows / macOS。ブラウザは Google Chrome、Mozilla Firefox、Safari、Microsoft Edge の最新版を推奨します。 |
| 不正アクセス防止 |
あり（AWS Security Groupsによる接続元・ポート制限、公開経路の制御およびアプリケーションの認証・認可を組み合わせています。） |
| 不正侵入検知 |
あり（AWS WAFでWeb攻撃を検知・遮断し、Amazon GuardDutyでAWSアカウント、ネットワーク、ストレージ等の脅威兆候を検知します。検知結果はCloudWatch等の運用監視と組み合わせて確認します。） |
| ID・パスワード管理 |
ID・パスワードの運用管理規程を制定し、適切な管理を行っています。 |
| ユーザ認証 |
ID・パスワード認証では12文字以上かつ4分類中3分類以上を要求し、有効期限を180日としています。GoogleログインとTOTP多要素認証（MFA）に対応し、テナント単位でMFAを必須化できます。SAML 2.0企業SSOの接続・必須化はエンタープライズ向け機能（要お問い合わせ）として、要件に応じた個別設定と料金案内を行います。 |
| APIアクセス制御 |
APIキー認証に加え、APIキーごとにFAX送信・参照、OCR、トラッキング等の権限範囲（scope）、有効期限および接続元IPv4アドレス/CIDRを設定できます。キーは失効でき、新規発行キーではFAX送信APIの冪等性キーを既定で必須としています。テナント単位のレート制御により、一契約組織の集中処理が他の契約組織へ及ぼす影響を抑制します。 |
| 管理者権限の管理 |
管理者機能はロールにより制限し、認証、権限確認および監査ログを組み合わせて管理します。管理者権限の付与・変更・削除に関する社内手順は継続的に整備・見直しを行います。 |
| なりすまし対策 |
あり（TLS/SSL証明書によるサーバー認証を実施しています。） |
ハウジング（サーバー設置場所）
本サービスはAmazon Web Services（AWS）東京リージョン（ap-northeast-1）を利用しています。データセンターの物理的・環境的対策はAWSとの責任共有モデルにおけるAWSの管理範囲であり、公開資料および必要に応じてAWS Artifactの監査報告書により確認します。個別施設の所在地や非公開の設備仕様は推測して開示しません。
| 建物形態 |
AWSが管理するデータセンター（個別施設の詳細は非公開） |
| 所在地 |
日本（東京） |
| 耐震構造 |
AWSの物理的・環境的管理策の対象（詳細はAWSの公開資料または監査報告書で確認） |
| 無停電電源（UPS） |
AWSの物理的・環境的管理策の対象 |
| 給電ルート |
AWSの物理的・環境的管理策の対象 |
| 非常用電源 |
AWSの物理的・環境的管理策の対象 |
| 消火設備 |
AWSの物理的・環境的管理策の対象 |
| 火災検知システム |
AWSの物理的・環境的管理策の対象 |
| 直撃雷対策 |
AWSの物理的・環境的管理策の対象 |
| 誘導雷対策 |
AWSの物理的・環境的管理策の対象 |
| 入退室管理 |
AWSの物理的アクセス管理策の対象 |
| 媒体の保管 |
当社は利用者データを可搬媒体へ保管しません。AWS管理下の媒体はAWSの媒体管理策の対象です。 |
サービスサポート
| 連絡先 |
メール: support@spread-inc.co.jp
Web: https://fax.spread-inc.co.jp
|
| 営業日・受付時間 |
平日 10:00〜17:00（土日祝・年末年始を除く） |
| サポート範囲 |
サービスの利用方法に関するご質問、障害・不具合の受付（メール対応） |
| 可用性・復旧対策 |
顧客向けWeb/APIは東京リージョン内の異なる2つのAvailability Zoneへ配置し、CloudFront、WAF、ALBおよび2台のWebノードで構成しています。アプリケーションとWebサーバーのプロセス監視・自動復旧、RDS Multi-AZによるデータベース冗長化、ポイントインタイムリカバリおよびデータのバックアップを組み合わせています。FAXエンジンを含むサービス全体がMulti-AZのActive-Active構成ではありません。通信事業者またはFAX経路の障害時には代替経路へ切り替える運用手順を整備し、切替操作を監査ログへ記録します。 |
| 事故責任・補償範囲 |
当社の故意または重過失による場合を除き、当社の賠償責任は、損害が発生した月に利用者が支払った利用料金を上限とします。詳細は利用規約をご参照ください。 |
| メンテナンスの事前告知 |
利用者への影響が見込まれる計画的なメンテナンスは、可能な限り事前に登録メールアドレス等へ通知します。緊急対応では、事前通知が困難な場合があります。個別の通知期限・時間帯を定める場合は契約条件に従います。 |
| 障害発生時の通知 |
利用者への影響が確認された障害は、影響範囲と緊急度に応じて登録メールアドレス等へ通知します。 |
| セキュリティ事故対応 |
セキュリティ事故を検知した場合は、影響範囲の確認、封じ込め、証拠保全、復旧および再発防止の流れに沿って対応します。対応手順は訓練結果とサービス変更を踏まえて見直します。利用者への連絡が必要な場合は、確認できた事実と暫定対応を区別して通知します。 |
| 定期報告 |
なし（障害・メンテナンス発生時に個別に通知します。） |
運営会社
| 会社名 | 株式会社SPREAD |
| 代表者 | 代表取締役社長 清松 信吉 |
| 所在地 | 〒105-0003 東京都港区西新橋一丁目18番6号 クロスオフィス内幸町1005号室 |
| お問い合わせ | support@spread-inc.co.jp |
| 電気通信事業届出番号 | A-08-23517(総務省関東総合通信局、令和8年3月31日届出受理) |
| 電気通信番号使用計画認定 | 総基番第147号（総務省、2026年7月2日認定） |