セキュリティ
あなたの音源。 あなたの管理。
アップロードした音源、送った契約書、撮影した領収書を、あなたの手元に置き、他の誰の手にも渡さない。Levels Flow がそれを守る仕組みを紹介します。見せかけのセキュリティではなく、事実だけをお伝えします。
音源をあなたのものに保つ方法。
見覚えのあるインフラに置く、あなたの音源。
音声は Cloudflare R2 に、アートワーク・領収書・契約書は AWS S3 上で動く Supabase Storage に保存されます。すべての行は行レベルセキュリティでアカウントごとに分離され、あるスタジオの API 呼び出しが別のスタジオのファイルに届かないことを、データベース自体が保証します。署名付きダウンロード URL はリスナーごとに発行され、あなたが決めた期限で失効します。
通信時も保存時も暗号化。
すべてのリクエストは TLS で行われます。クライアントは HTTPS で共有リンクを開き、あなたは HTTPS でサインインし、ダッシュボードは HTTPS でデータベースと通信します。保存された音声は Cloudflare R2 内で暗号化され、AWS S3 上のデータはすべてサーバー側の AES-256 で暗号化されます。暗号化されていないバックアップは残りません。
パスワードを持ち回らない認証。
ログインには Supabase Auth を使っています。有効期間の短いセッショントークン、端末ごとのリフレッシュトークン、パスワードが苦手な人向けのマジックリンクに対応。ハッシュ化は bcrypt で、平文のパスワードを私たちが目にすることはありません。二要素認証はロードマップに入っています。
共有リンクは署名付きで、範囲が限定され、取り消せます。
公開リスニング URL はどれも、1曲または1プロジェクトに紐づく署名付きトークンです。曲のページからワンクリックでリンクを取り消せば、トークンは即座に無効になります。Studio 以上では有効期限を設定でき、Pro 以上ではウォーターマーク付きプレビューを使えるので、ファイルが流出しても、最終的な Master ではなくプレビューだとひと目で分かります。
意識しなくていいバックアップ。
Supabase が本番プロジェクトのデータベースを毎日自動でバックアップし、ポイントインタイムリカバリにも対応しています。音声は Cloudflare R2 にあり、ネット上のほかの音楽と同じ「イレブンナイン」の耐久性を前提に作られています。Master の管理は、引き続きあなたの役目です。
データはあなたのもの。文書でも明記します。
/api/export/me から、いつでもすべてを JSON アーカイブとしてエクスポートできます。設定からアカウントを削除すれば、データも一緒に消えます。音源はあなたのものであり、学習用データでも、パートナーのデータレイクでもありません。
しないこと
チェックマークより、「しないこと」のほうが大切です。
製品にできることなら、誰でも並べられます。私たちが守っているのは、もっと短いリスト。あなたのファイルやクライアントの注意に対して、決してしないことです。
- 製品内で広告を表示しません。これからもずっと。
- クライアントが開く共有ページに、トラッキングピクセルを置きません。
- あなたの音源で AI を学習させません。自社でも、他社でも。
正式なコンプライアンスの現状
正直にお伝えします。偽るより、未取得のほうがましだからです。
それぞれ監査を受けているインフラの上で運用しています。Cloudflare（音源を置く R2）と AWS（Supabase Storage の裏側にある S3）は、いずれも SOC 2 と ISO 27001 の認証を取得しています。Supabase は GDPR に沿った運用で、全テーブルに行レベルセキュリティをかけたデータベースの基盤を担っています。HTTPS はあらゆる場所で強制しています。
Levels Flow という会社単位では、SOC 2 や ISO 27001 の独立監査をまだ完了していません。きちんと行うには数か月かかり、中途半端に行えば形だけになってしまいます。レーベルやエージェンシーから、当社名義の署名入りレポートを求められている場合は Enterprise プランについてご相談ください。必要な内容に向けて取り組みます。
セキュリティ上の問題を見つけた場合の連絡先は admin@levelsflow.com。1営業日以内に返信します。協調的な開示を歓迎します。