トラストセンター：認証、監査、およびデータ保護

BroadNetは、ISO/IEC 27001（情報セキュリティ）、ISO/IEC 27018（クラウドにおける個人情報保護）、ISO 9001（品質マネジメント）、ISO 22301（事業継続マネジメント）を維持しています。また、セキュリティ、可用性、機密性をカバーするSOC 2 Type IIレポートを保持し、GDPRに準拠しています（データ処理契約を提供可能）。eSIMインフラストラクチャに関するGSMA SAS-SM（Subscription Manager）認定は現在取得手続き中です。BroadNetは、GSMAアソシエイトメンバーであり、Mobile Ecosystem Forum（MEF）のメンバーでもあります。

はい。証明書の写し、ISO 27001適用宣言書、SOC 2 Type IIレポート、および最新のペネトレーションテストのエグゼクティブサマリーは、相互NDA（秘密保持契約）に基づき、見込み客および既存の法人のお客様に提供されます。trust@broadnet.meに評価用パッケージをリクエストしてください。通常、1営業日以内にご返信します。

すべての基本サービス契約（MSA）には、EU標準契約条項（SCC）を組み込んだ標準的なデータ処理合意書（DPA）が含まれています。GDPRに基づき、BroadNetは処理者（Processor）、お客様は管理者（Controller）として機能します。最新の再処理者（subprocessor）リストは公開されており、新しい再処理者を起用する場合は、お客様が異議を申し立てられるよう、少なくとも30日前に通知されます。

BroadNetは、契約に応じて、MENA地域（デフォルト）、EU地域、米国地域、およびシンガポール地域のホスティングをサポートしています。リクエストに応じて、EUの顧客データをEU専用のルートおよびストレージに隔離することが可能であり、法人向け契約ではGCC（湾岸協力会議）のデータレジデンシーも利用可能です。国境を越えたデータ転送は、EU SCCおよび各地域に適した補足条項によって管理されます。

すべてのAPIおよびWebhookトラフィックは、転送時にTLS 1.3を使用します。保存データは、テナントごとの鍵派生を用いたAES-256で暗号化されます。eSIMサブスクリプション管理プラットフォームの鍵管理は、FIPS 140-2 Level 3を満たすHSMで行われ、文書化された二重制御のキーセレモニー（鍵生成儀式）手順に従って運用されます。

メッセージ本文は、標準ティアでは90日間、エンタープライズティアでは契約により設定可能な最大7年間保持されます。ヘルスケア向けワークロードでは、WebhookログからPII（個人情報）およびPHI（保護対象保健情報）がデフォルトで削除されます。また、顧客による一括削除のために、APIを通じてGDPR Article-17の消去権ツールが提供されます。

BroadNetはHIPAAに準拠しています。PHI（個人健康情報）の送信を予定されている場合は、事前にHIPAAの要件をお知らせください。BAAの利用可否は契約時に確認されます。管理策には、PHIセーフなテンプレート、ログ記録の制限、保存時のAES-256暗号化、および転送時のTLS 1.3が含まれます。HIPAAへの準拠は、認証ではなく、契約および管理策に基づくコミットメントです。

調整開示ポリシーおよび推奨言語については、security@broadnet.meにメールでお問い合わせいただくか、/.well-known/security.txtをご確認ください。BroadNetは定期的に第三者によるペネトレーションテストを実施し、機密保持契約（NDA）に基づきエグゼクティブサマリーを共有します。重大な脆弱性が発見された場合は、30日間のSLAに基づき修正されます。