# トラストセンター：認証、監査、およびデータ保護 - 正規URL: https://www.broadnet.me/ja/trust - 言語: ja - 最終更新日: 2026-10-19 - 発行者: BroadNet (https://www.broadnet.me) - レンダリングされたページから生成した、上記ページのMarkdown版です。 すべてのエビデンスを1か所に集約。 これはBroadNetのコンプライアンス・エビデンス・ハブです。調達部門やセキュリティ担当者がベンダーの審査を行う際に必要となる、認証、証明書、データ取り扱い管理、再委託先、および開示プロセスがまとめられています。詳細なレポートはNDA（秘密保持契約）に基づき提供されますが、審査担当者が最初に確認すべき情報はすべてここにあります。 [セキュリティパッケージを請求する](https://www.broadnet.me/ja/contact?topic=security-package) [監査レポート（NDA）](https://www.broadnet.me/trust/audit-reports) Trust & Complianceによる管理·最終更新日 October 2026 監査済みおよび認定済み - ISO/IEC 27001:2022 — 情報セキュリティ - ISO/IEC 27018 — クラウドプライバシー（個人データ） - ISO 9001 — 品質管理 - ISO 22301 — 事業継続性 - SOC 2 Type II — NDAに基づきレポート提供可能 - GDPRに準拠。データ処理合意書（DPA）あり 証明書の写しおよび監査レポートは、NDA締結後、以下の窓口へご依頼いただければ共有可能です：[trust@broadnet.me](mailto:trust@broadnet.me)。 調達書類 ## 営業担当との商談なしで、今すぐ調達担当者が確認できる内容。 以下の概要は公開情報です。完全な監査レポートおよび証明書のコピーは機密保持契約（NDA）の対象となり、リクエストに応じて送付されます。 [データ処理合意書 (DPA) EU標準契約条項（SCC）を含む標準のデータ処理契約（DPA）を、すべてのMSAに組み込んでいます。BroadNetは処理者、お客様は管理者となります。 データ処理合意書（DPA）を確認する](https://www.broadnet.me/legal/dpa) [サブプロセッサーリスト 現在のサブプロセッサーリスト。新しいサブプロセッサーを起用する場合は、少なくとも30日前に通知されます。 リストを表示](https://www.broadnet.me/legal/sub-processors) [セキュリティ質問票 (SIG / CAIQ) 完了済みのSIG / CAIQ質問票、ペネトレーションテストのエグゼクティブサマリー、および証明書のコピーをご請求ください。1営業日以内にご返信します。 パックをリクエストする](https://www.broadnet.me/ja/contact?topic=security-package)市場別のデータホスティング場所 各市場における顧客データのホスティング場所、およびリージョンの固定方法について。 市場別表示 認証および証明書 ## 重要な領域で監査を受けています。 BroadNetは、情報セキュリティ、品質、事業継続性に関する国際的に認められた標準に基づき、継続的な第三者監査を実施しています。すべての証明書のコピーおよびレポートは、相互NDA（秘密保持契約）に基づき、リクエストに応じて共有されます。 | 標準 | 認証範囲 | 発行機関 | 監査サイクル | 証明書と認証 | |---|---|---|---|---| | ISO/IEC 27001:2022 | メッセージングプラットフォーム、通信事業者向け製品、顧客データの取り扱い、およびサプライヤー関係をカバーするISMS。 | 認定認証機関（証明書に記載） | 年次監視 · 3年ごとの再認証 | 証明書および適用宣言書（NDAに基づき提供） [IAF CertSearchで検証する](https://www.iafcertsearch.org/) 「BroadNet」を検索 | | ISO/IEC 27018 | BroadNetのクラウドメッセージングサービスにおける個人情報（PII）の保護。ISO/IEC 27018は、ISO 27001 ISMSを拡張したクラウドプライバシーの行動規範です。 | 認定認証機関（証明書に記載） | ISO 27001 ISMSによる評価済み | 証明書の写しはNDAに基づき共有されます。 [IAF CertSearchで検証する](https://www.iafcertsearch.org/) 「BroadNet」を検索 | | ISO 9001:2015 | 通信メッセージング製品の設計、配信、およびサポートのための品質管理システム。 | 認定認証機関（証明書に記載） | 年次監視監査 | 証明書の写しはNDAに基づき共有されます。 [IAF CertSearchで検証する](https://www.iafcertsearch.org/) 「BroadNet」を検索 | | ISO 22301 | 事業継続管理（BCM） — インシデント対応、目標復旧時間（RTO）、およびサプライヤー障害シナリオ。 | 認定認証機関（証明書に記載） | 年次監査 · 継続計画を毎年テスト済み | NDAに基づいた証明書および継続計画の概要。 [IAF CertSearchで検証する](https://www.iafcertsearch.org/) 「BroadNet」を検索 | | SOC 2 Type II | 信頼サービス基準：定義された報告期間におけるセキュリティ、可用性、および機密性。 | 独立系CPA事務所 | 年次報告期間 | 詳細レポートはNDA（秘密保持契約）に基づき提供。SOC 2のレポートが公開レジストリに掲載されることはありません。 [パックをリクエストする](https://www.broadnet.me/ja/contact?topic=security-package) | | GDPR | EU一般データ保護規則（Regulation (EU) 2016/679）：BroadNetは、データ処理契約に基づき、処理者としてお客様の個人データを処理します。 | EU規則（証明書ではなく、法令への準拠） | 継続的な義務 | EU標準契約条項を含むデータ処理契約。 [データ処理合意書（DPA）を確認する](https://www.broadnet.me/legal/dpa) | 進行中：eSIM運用に向けたGSMA SAS-SM（Subscription Manager）認定。現時点ではまだ取得していないため、保有認証には記載されていません。 MobileValidateはBroadNetによって運営されており、BroadNetのISO認証およびデータ保護契約（DPA）に準拠しています。 認証：最新の証明書写しおよび監査レポートは、NDA締結後に以下の窓口へご依頼いただければ提供可能です。[trust@broadnet.me](mailto:trust@broadnet.me)。また、BroadNetはGSMAアソシエイトメンバーであり、Mobile Ecosystem Forum (MEF)のメンバーでもあります。 準拠しているフレームワーク ## プライバシーおよびセクターフレームワーク。 認証済み標準規格に加え、BroadNetは、お客様が遵守すべきデータ保護および各セクターの規制に適合するよう、プロセッサ制御を運用しています。 [GDPR Article-28処理者管理、EU SCCを含む標準的なDPA、データの最小化、およびArticle-17消去権ツール。リクエストに応じてEU内のみの配信ルートを提供します。 GDPRポスチャ](https://www.broadnet.me/compliance/gdpr) [UAE PDPL 連邦政令法第45号（2021年）：法的根拠、データ主体権、侵害通知、および国境を越えたデータ転送の管理。 UAE PDPL](https://www.broadnet.me/compliance/pdpl-uae) [サウジアラビアPDPL SDAIAの執行に準拠した、同意、データの最小化、国境を越えたデータ転送の制限、および72時間以内の侵害通知。 サウジアラビアPDPL](https://www.broadnet.me/compliance/pdpl-saudi) ### HIPAA準拠 契約時にBAAの可用性を確認済み。PHIセーフなテンプレート、制限付きロギング、保存時のAES-256、通信時のTLS 1.3に対応。 [SOC 2トラストサービス 独立したSOC 2 Type IIレポートによって証明される、セキュリティ、可用性、および機密性の基準。 SOC 2](https://www.broadnet.me/compliance/soc2) [ISO 27001 ISMS ある時点の断片的なスナップショットではなく、認証されたマネジメントシステム — コントロールは継続的に監査および維持されます。 ISO 27001](https://www.broadnet.me/compliance/iso27001) 業界団体への加盟 ## 標準規格を策定する組織の内部から BroadNetは、世界中のメッセージング、シグナリング、および相互接続の標準を定義する業界団体のメンバーであり、各リンクから加盟内容の概要を確認できます。 [GSMAアソシエイトメンバー GSMAアソシエイトメンバー メッセージング・ワーキンググループ、シグナリング・セキュリティ・ガイドライン、および相互接続ドキュメントのサイクル。 解説を読む](https://www.broadnet.me/trust/gsma) [MEF (Mobile Ecosystem Forum) MEF (Mobile Ecosystem Forum) A2Pメッセージング行動規範、送信元IDのベストプラクティス、および消費者保護の取り組み。 解説を読む](https://www.broadnet.me/trust/mef) [GLF (ITW Global Leaders' Forum) GLF (ITW Global Leaders' Forum) 通信キャリア主導による、ホールセール・インターコネクト、不正、およびメッセージングの標準化。 解説を読む](https://www.broadnet.me/trust/glf) ### 通信事業者コミュニティ ホールセール・メッセージングの相互接続および品質フォーラム。 ### 地域の規制当局 TDRA（UAE）、CST（KSA）、NTRA（エジプト）、TRC（ヨルダン）、および配信ルート対象国の同等の当局によって認定されています。 ### GSMA Open Gateway メッセージング、不正対策、およびアイデンティティに関するキャリアグレードのネットワークAPI標準に準拠。 ドキュメントおよびポリシーライブラリ ## 審査担当者が求めるすべての要件 詳細ページおよびダウンロード可能なポリシー。NDA（秘密保持契約）の対象となる項目は、相互の秘密保持契約の締結後に共有されます。セキュリティパッケージをリクエストすることで、これらをまとめて入手可能です。 [NDA 監査レポート（限定公開） ISO 27001、9001、22301、およびSOC 2のレポート（NDAに基づき提供） 開く](https://www.broadnet.me/trust/audit-reports) [解説 ISO/IEC 27001 ISMSの適用範囲、証明書、および適用宣言書（SoA）の解説。 開く](https://www.broadnet.me/trust/iso-27001) [解説 ISO 9001 品質マネジメントシステムの解説と適用範囲。 開く](https://www.broadnet.me/trust/iso-9001) [解説 ISO 22301 事業継続管理 — RTO/RPOおよび机上演習。 開く](https://www.broadnet.me/trust/iso-22301) [解説 SOC 2 Type II Trust Services Criteriaの対応範囲。レポートはNDAに基づき提供します。 開く](https://www.broadnet.me/trust/soc-2-type-ii) [ポリシー データ処理合意書 EU SCCに準拠した標準的なDPA。すべてのMSAに自動的に組み込まれます。 開く](https://www.broadnet.me/legal/dpa) [ポリシー サブプロセッサーリスト 現在のサブプロセッサー（変更の30日前までに通知） 開く](https://www.broadnet.me/legal/sub-processors) [ポリシー データレジデンシー データの保存場所と、リージョンの固定方法 開く](https://www.broadnet.me/security/data-residency) [ポリシー 侵害通知ポリシー 72時間以内の通知と協調的な開示。 開く](https://www.broadnet.me/security/breach-notification) [ポリシー プライバシーポリシー BroadNetによる訪問者、見込み客、およびエンドユーザーのデータの取り扱いについて。 開く](https://www.broadnet.me/legal/privacy-policy) [ポリシー 利用規約 契約、利用規約、および準拠法。 開く](https://www.broadnet.me/legal/terms-of-service) [概要 セキュリティの概要 プラットフォーム、アカウント、運用、および通信キャリア側の管理策。 開く](https://www.broadnet.me/ja/security) データ取り扱い ## データレジデンシー、保持、暗号化、鍵管理 顧客およびエンドユーザーのデータがどのように保管、保護、そして最終的に破棄されるかについて説明します。詳細はDPAおよびセキュリティ概要に記載されています。 | 制御 | BroadNetによる実施方法 | |---|---| | データレジデンシー | デフォルトでは中東・北アフリカ地域にホストされますが、EU、米国、シンガポールでのホスティングも可能です。リクエストに応じてEU限定ルーティングを提供し、法人契約ではGCCレジデンシーが利用可能です。 | | データ保持 | メッセージ本文の保持期間は標準で90日間、エンタープライズティアでは最大7年間（設定可能）です。ヘルスケア向けとして、WebhookログからPII/PHIはデフォルトで削除されます。 | | 通信経路の暗号化 | すべてのAPIおよびWebhookトラフィックにおけるTLS 1.3 | | 保存データの暗号化 | 保存時の顧客データには、テナントごとの鍵派生を用いたAES-256を採用。 | | 暗号鍵管理 | 文書化されたキーセレモニー手順に基づく、HSMによる管理（eSIM署名キーには最低FIPS 140-2 Level 3を適用）。 | | アクセス制御 | ロールベースのアクセス制御（RBAC）、管理者への必須の2FA、および状態変更を伴うすべての操作に対する不変の監査ログ記録。 | | 消去権 | API経由で提供されるGDPR Article-17ツール。電話番号のハッシュ、メッセージID範囲、またはテナントによる、顧客主導の一斉削除が可能です。 | | クロスボーダー送金 | EU標準契約条項（2021）および、適用される場合は英国国際データ移転合意（IDTA）に準拠。十分性認定を追跡しています。 | ### 市場別のデータホスティング場所 | 市場 | データのホスティング先 | 取得方法 | |---|---|---| | UAEおよび広域GCC | デフォルトで中東・北アフリカ地域にホストされます。ほとんどの本番メッセージングは、ドバイのデータセンターを含む、同地域のBroadNetが運営するティア3施設で実行されます。 | 標準仕様。GCC（湾岸協力会議）のデータレジデンシーは法人向け契約に明記されます。 | | サウジアラビア | サウジアラビア国内：BroadNetはリヤドにデータセンターを運営しており、サウジアラビアのPDPLに準拠して、KSAアカウントの顧客データを国内に保持します。 | お問い合わせください。 | | 欧州連合 | 欧州連合（EU）内でのホスティング。EUのトラフィックは、EU専用の配信ルートとストレージに隔離可能です。 | リクエストに応じて提供いたします。国境を越えたデータ転送は、EU標準契約条項（2021）に従って管理されます。 | | アメリカ合衆国 | 米国でのホスティング | 契約内容により異なります。 | | シンガポール | シンガポールでのホスティング | 契約内容により異なります。 | データレジデンシーポリシーに詳細が記載されており、リージョンは契約に基づき固定されます。 [データレジデンシーポリシーを確認する](https://www.broadnet.me/security/data-residency) 調達ツールおよびAIエージェント向けの機械判読可能形式： [compliance.json（認証、データレジデンシー、データ取り扱い）](https://www.broadnet.me/ai/compliance.json) · [sla.json（稼働率、サービスクレジット、サポート目標）](https://www.broadnet.me/ai/sla.json) データの所在 中東・北アフリカ · EU · US · シンガポール 継続率 90日 → 7年（ティア別） 輸送中 TLS 1.3 保存時 AES-256 · テナントごとのキー [データレジデンシーポリシーを確認する →](https://www.broadnet.me/security/data-residency) サブプロセッサー（再委託先） ## 短いリストと、30日前の通知。 BroadNetはサブプロセッサーの規模を意図的に最小限に抑えています。ほとんどのプロダクション・メッセージングは、中東・北アフリカ地域のBroadNetが運営するTier-3施設で実行されており、非中東・北アフリカ地域のワークロードおよび運用ツールについては、限定的なサードパーティがサポートしています。 ### 使用技術とその理由 - インフラ— BroadNet Tier-3中東・北アフリカ施設（プライマリ）、非中東・北アフリカのワークロード用リージョナルクラウド。 - トランザクションメール— アカウントおよびアラート通知のみ。 - ステータスページ— 公開インシデント情報のホスティング。 - アナリティクス— セルフホスト型。第三者機関やGoogle Analyticsは使用しません。 ### 変更の通知方法 新しい再処理者が関与する場合、データ処理が開始される前に、内容の確認や異議申し立てを行うための時間を確保するため、少なくとも30日前に顧客に通知されます。最新かつ公式なリストは再処理者ページに掲載されており、DPA（データ処理補足合意書）において参照されます。 [現在のサブプロセッサーリストを表示 →](https://www.broadnet.me/legal/sub-processors) 会社概要・法的情報 ## 契約相手を、書面で明確に。 プラットフォームを運営するグループ法人、および関係を規定するポリシー文書です。 ### BroadNet Technologies Sarl **設立** 2003 **HQ** アラブ首長国連邦、ドバイ **法的形態** Sarl（有限責任会社） **契約主体** お客様の市場を担当するBroadNetの拠点が署名します。契約主体は契約書に明記されます。 **規制当局** TDRA (Telecommunications & Digital Government Regulatory Authority) **フットプリント** MENA全域に加え、アフリカ、アジア、ヨーロッパ、LATAMにわたるパートナーシップ ### 法的文書 - [利用規約](https://www.broadnet.me/legal/terms-of-service) - [プライバシーポリシー](https://www.broadnet.me/legal/privacy-policy) - [許容利用ポリシー](https://www.broadnet.me/legal/acceptable-use) - [データ処理合意書](https://www.broadnet.me/legal/dpa) - [サブプロセッサー一覧](https://www.broadnet.me/legal/sub-processors) - [Cookieポリシー](https://www.broadnet.me/legal/cookie-policy) 脆弱性の開示とテスト ## 協調的な脆弱性開示と、定期的なテストを実施。 BroadNetは定期的な第三者によるペネトレーションテストを実施し、連携による脆弱性公開プロセスを運用しています。発見した内容はすべて報告してください。迅速に対応いたします。 ### 脆弱性の報告 security@broadnet.me までメールでご連絡いただくか、/.well-known/security.txt で機械可読なポリシーと対応言語をご確認ください。 ### ペネトレーションテスト 定期的な独立ペネトレーションテストを実施します。エグゼクティブサマリーは、NDAに基づき評価者に共有されます。 ### 修復SLA 重大な検出事項は30日間のSLAに基づき修正され、致命的な問題は最優先で対応されます。 [security.txtを表示](https://www.broadnet.me/.well-known/security.txt) [security@broadnet.me](mailto:security@broadnet.me) コンプライアンスに関するFAQ ## 調達に関するお問い合わせ回答済み。 セキュリティおよび調達チームが最も頻繁に尋ねる質問。ここに記載されていない事項については、セキュリティパッケージに含まれています。 **BroadNetが保有する認証および証明書は何ですか？** BroadNetは、ISO/IEC 27001（情報セキュリティ）、ISO/IEC 27018（クラウドにおける個人情報保護）、ISO 9001（品質マネジメント）、ISO 22301（事業継続マネジメント）を維持しています。また、セキュリティ、可用性、機密性をカバーするSOC 2 Type IIレポートを保持し、GDPRに準拠しています（データ処理契約を提供可能）。eSIMインフラストラクチャに関するGSMA SAS-SM（Subscription Manager）認定は現在取得手続き中です。BroadNetは、GSMAアソシエイトメンバーであり、Mobile Ecosystem Forum（MEF）のメンバーでもあります。 **調達審査用に、監査レポートや証明書を取得することは可能ですか？** はい。証明書の写し、ISO 27001適用宣言書、SOC 2 Type IIレポート、および最新のペネトレーションテストのエグゼクティブサマリーは、相互NDA（秘密保持契約）に基づき、見込み客および既存の法人のお客様に提供されます。trust@broadnet.meに評価用パッケージをリクエストしてください。通常、1営業日以内にご返信します。 **DPA（データ処理合意書）の締結は可能ですか？また、再処理者リストはありますか？** すべての基本サービス契約（MSA）には、EU標準契約条項（SCC）を組み込んだ標準的なデータ処理合意書（DPA）が含まれています。GDPRに基づき、BroadNetは処理者（Processor）、お客様は管理者（Controller）として機能します。最新の再処理者（subprocessor）リストは公開されており、新しい再処理者を起用する場合は、お客様が異議を申し立てられるよう、少なくとも30日前に通知されます。 **顧客データはどこに保存されますか？また、リージョンを選択することはできますか？** BroadNetは、契約に応じて、MENA地域（デフォルト）、EU地域、米国地域、およびシンガポール地域のホスティングをサポートしています。リクエストに応じて、EUの顧客データをEU専用のルートおよびストレージに隔離することが可能であり、法人向け契約ではGCC（湾岸協力会議）のデータレジデンシーも利用可能です。国境を越えたデータ転送は、EU SCCおよび各地域に適した補足条項によって管理されます。 **データの暗号化方法と鍵の管理方法について教えてください。** すべてのAPIおよびWebhookトラフィックは、転送時にTLS 1.3を使用します。保存データは、テナントごとの鍵派生を用いたAES-256で暗号化されます。eSIMサブスクリプション管理プラットフォームの鍵管理は、FIPS 140-2 Level 3を満たすHSMで行われ、文書化された二重制御のキーセレモニー（鍵生成儀式）手順に従って運用されます。 **メッセージの内容はどのくらいの期間保持されますか？** メッセージ本文は、標準ティアでは90日間、エンタープライズティアでは契約により設定可能な最大7年間保持されます。ヘルスケア向けワークロードでは、WebhookログからPII（個人情報）およびPHI（保護対象保健情報）がデフォルトで削除されます。また、顧客による一括削除のために、APIを通じてGDPR Article-17の消去権ツールが提供されます。 **HIPAAのワークロードに対応していますか？** BroadNetはHIPAAに準拠しています。PHI（個人健康情報）の送信を予定されている場合は、事前にHIPAAの要件をお知らせください。BAAの利用可否は契約時に確認されます。管理策には、PHIセーフなテンプレート、ログ記録の制限、保存時のAES-256暗号化、および転送時のTLS 1.3が含まれます。HIPAAへの準拠は、認証ではなく、契約および管理策に基づくコミットメントです。 **セキュリティの脆弱性を報告するにはどうすればよいですか？** 調整開示ポリシーおよび推奨言語については、security@broadnet.meにメールでお問い合わせいただくか、/.well-known/security.txtをご確認ください。BroadNetは定期的に第三者によるペネトレーションテストを実施し、機密保持契約（NDA）に基づきエグゼクティブサマリーを共有します。重大な脆弱性が発見された場合は、30日間のSLAに基づき修正されます。 ## 調達審査用のセキュリティ資料が必要ですか？ NDA（秘密保持契約）に基づき、証明書の写し、SOC 2レポート、ペネトレーションテストの要約、記入済みのセキュリティ質問票（SIG/CAIQ）、DPAテンプレート、および再委託先リストを1営業日以内に送付いたします。 [セキュリティパッケージを請求する](https://www.broadnet.me/ja/contact?topic=security-package) [trust@broadnet.me](mailto:trust@broadnet.me)