Lovable セキュリティ・データ保護 説明資料
セキュリティ審査・チェックシート対応のための一次情報整理（作成：株式会社100／記載内容の確認日：2026年7月30日）
本資料はLovable公式の公開一次情報(セキュリティページ・DPA・Product Terms・プライバシーポリシー・公式ドキュメント・Trust Center)に基づいて株式会社100が作成した説明資料です。Lovable Labs Incorporatedによる公式文書ではありません。契約条件・機能は変更される可能性があるため、ご契約前には最新の一次情報およびLovable社からの書面回答を必ずご確認ください。
第1章本資料の位置づけと結論
LovableはSOC 2 Type II・ISO/IEC 27001:2022に加え、2026年7月にはAIエージェント向けの第三者標準AIUC-1を業界で初めて取得し、顧客データのAIモデル学習利用をDPA第10条で契約上禁止しています。Enterprise構成に3つの統制(学習オプトアウト・機微データ送信ブロック・外部公開制限)を加えることで、日本のエンタープライズ企業のセキュリティ審査で問われる主要論点の大半について、公開文書を根拠にご確認いただけます。
本資料は、お客さまのセキュリティ・情報システム・法務部門による導入審査(セキュリティチェックシート、委託先評価、ベンダーアセスメント)にご利用いただく一次情報集として、株式会社100が作成しました。第15章のよくあるご質問30問のうち26問は公開一次情報のみで回答が確定しており、残る4問(日本リージョンの提供条件・SIEM連携/監査ログ長期保存・稼働率SLA・解決目標時間)は、株式会社100がお客さま案件ごとにLovable社へ確認・交渉のうえ回答する事項として明示しています。
本資料の使い方
審査・評価時: お客さまのチェックシート・委託先評価の一次情報としてご参照ください。各記載には根拠となる原文書と条番号を付記しています
チェックシートへのご回答: 第15章のよくあるご質問30問から該当項目をご参照ください
個別確認事項: 第16章の【個別確認】【契約交渉】4点は、株式会社100がLovable社へ書面で確認・交渉のうえ、結果をお客さまへ共有します
※ 本資料のうち日本の個人情報保護法に関する記述(第7章)は一般的な論点整理であり、法的助言ではありません。最終判断はお客さまの法務部門・専門家の確認を前提としてください。
第2章サービス提供者と適用される契約文書
適用文書はプランで異なり、Free/Proにはプライバシーポリシー(2026年4月14日版)、Business/EnterpriseにはDPA(2025年11月6日版)とProduct Terms(2026年2月版)が適用されます。審査・ご評価の際は、必ずBusiness/Enterprise向け文書を基準にご確認ください。Free/Pro向けポリシーとは数値(サブプロセッサ異議申立10営業日など)が異なるため、本資料でも両者を区別して記載しています。
提供者はLovable Labs Incorporated(米国デラウェア州登記)で、2023年にスウェーデン・ストックホルムで創業した企業です。EU側の連絡先としてストックホルム所在地とEU代理人(Assenteo Ltd)、データ保護責任者(DPO: dpo@lovable.dev)を設置しています。
| 文書 | 適用対象 | 審査上の要点 |
|---|---|---|
| 利用規約 + プライバシーポリシー(2026/4/14版) | Free / Proプラン | 個人向け条件。異議申立10営業日、削除・保持の数値はこちら側の規定 |
| Data Processing Agreement(2025/11/6版・署名版あり) | Business / Enterpriseプラン | GDPR準拠の処理契約。学習利用禁止(§10)、認証維持義務(§5.2)、異議申立20営業日(§7.3) |
| Product Terms(2026年2月版) | Enterprise契約(Order Form) | 可用性(§9)・サポート水準(§10-11)・コード所有権(§4.5) |
| DORAアデンダム | 金融規制業種(希望時) | EUデジタルオペレーショナルレジリエンス法対応の追加契約 |
※ Business/Enterpriseの利用にはDPAが標準で含まれます(署名版PDFも公開)。本資料の各記載には、根拠となるDPA・Product Termsの条番号を付記しています。
第3章第三者認証・コンプライアンス
SOC 2 Type IIとISO/IEC 27001:2022の維持はDPA第5.2条に定められた契約義務であり、2026年7月にはAIエージェント向けの第三者標準AIUC-1をコーディングエージェント基盤として初めて取得しました。「取得しているか」だけでなく「維持が契約条項に明記されているか」「AI固有リスクの第三者評価があるか」まで、契約文書と公開情報でご確認いただけます。
| 項目 | 内容 |
|---|---|
| SOC 2 Type II | 取得済み。年次監査を実施(プライバシーポリシー§10に明記)。レポートはNDA条件で開示 |
| ISO/IEC 27001:2022 | 取得済み。契約期間中の維持義務をDPA§5.2に規定 |
| AIUC-1 | 2026年7月22日発表(コーディングエージェント基盤で初取得)。AIエージェント向けのセキュリティ・安全性・信頼性標準で、6原則51要件(セキュアなコード生成・シークレット保護・サンドボックス実行・人による監督等)を独立検証。四半期ごとの第三者レッドチーム演習を含み、対応状況のホワイトペーパーを公開 |
| GDPR | 準拠。DPA・SCCs(モジュール2/3)・英国IDTA・スイスアデンダムを整備 |
| EU AI Act | 自社評価でLow Risk区分(2026年3月公式ブログでの公表) |
| HIPAA | 非対応。BAA(業務提携契約)は締結せず、保護対象保健情報の入力は契約上禁止 |
| DORA(EU金融) | 規制対象金融機関向けにアデンダムを提供 |
| Trust Center | trust.lovable.dev で認証ステータス・ポリシー・サブプロセッサ一覧を公開(閲覧申請制の資料を含む) |
データセンターはSOC 2・ISO 27001認証取得施設を利用し、従業員のバックグラウンドチェック・秘密保持契約・年次セキュリティ教育を実施している旨がプライバシーポリシーに明記されています。
第4章データの分類と流れ
データはCustomer Personal Data・Service Data・Log Dataの3区分で扱われ、DPAの保護義務が及ぶのはCustomer Personal Dataに限られます。「Service Dataは匿名化のうえLovable自社目的で利用され、オプトアウト不可・無期限保持」という限定があるため、まずこの3区分の違いをご確認ください。
| 区分 | 内容(例) | 取扱い |
|---|---|---|
| Customer Personal Data | お客さまの指示で処理される個人データ(プロジェクト内の氏名・メール、公開アプリのエンドユーザーデータ等) | DPA保護対象。学習利用禁止(§10)。終了時に返却・削除(§11) |
| Service Data | 集約・匿名化された利用状況(機能/API利用回数、クレジット消費、ストレージ使用量、エラー傾向等) | DPA対象外。Lovableが独立管理者として自社目的(分析・課金・製品開発等)で利用。オプトアウト不可。匿名化形式で無期限保持 |
| Log Data | 運用テレメトリ(IPアドレスとおおよその位置、ブラウザ、アクセス画面/API、タイムスタンプ、セッション/端末ID、エラーコード等) | セキュリティ・改善目的。最長90日保持(法令上の必要がある場合を除く) |
AI処理におけるデータ送信の2系統
プラットフォーム本体(コード生成): Anthropic Claude、Google Vertex AI、OpenAI、AWS Bedrockへ複数事業者振り分け(障害時フェイルオーバーあり)。全LLM入力にプロンプトフィルタと機微データ検知を適用し、事業者単位の即時遮断(サーキットブレーカー)を実装
AI Gateway(お客さまが構築したアプリ用の任意機能): 入力と関連データをOpenAI、Google Gemini、OpenRouterへ送信。パススルー方式で、ワークスペースに保存しない限りプロンプト・応答の原文は保存されない
※ 各AI事業者は契約上、顧客データの学習不可・保存/削除条件の遵守・DPA同等のセキュリティ義務を負います(DPA§7.5、公式ブログ2026年3月)。
第5章AIモデル学習への利用(最頻出論点)
Customer Personal DataのAI/ML学習・微調整への利用はDPA第10条で契約上禁止され、さらにBusiness以上ではワークスペース設定(Data collection opt out)で学習・内部評価への利用を停止できます。「契約(DPA)」と「設定(オプトアウト)」の二重の根拠でご確認いただけます。
| 論点 | 回答 |
|---|---|
| プロンプト・コード・ワークスペースデータは学習に使われるか | Customer Personal Dataの学習・微調整・AI/ML開発利用はDPA§10で禁止。エンタープライズ顧客データで基盤モデルを学習・調整しないことを公式に表明 |
| オプトアウト設定 | Business/Enterprise: 管理者がSettings → Privacy & securityで「Data collection opt out」を有効化(コード・プロジェクト・ワークスペースデータを学習にも内部評価にも使わない)。Free/Pro: サポート/privacy@lovable.devへの申請で可 |
| PII(個人識別情報)の扱い | 生のPII・識別可能なPIIは学習に使わない、PIIを販売しない、と全プラン共通で明記(匿名化・集約後の業務利用はあり) |
| Service Dataの扱い(限界) | 匿名化・集約済みのService DataはLovable自社モデルの学習・調整に利用され得る(DPA§9)。オプトアウト不可。この点は正直に開示する |
| 外部AI事業者側 | 契約上、学習利用不可・保存/削除条件・DPA同等のセキュリティ義務(§7.5) |
※ オプトアウトの既定値は無効(オフ)です。導入初日にワークスペース管理者が有効化することを、株式会社100は導入手順の必須項目としています。
第6章データ保存場所と越境移転
保存データ(プロジェクト・データベース・ファイル)はAmericas・Europe・Asia Pacificから選択したリージョンに留まり、Enterpriseでは日本を含む国別リージョンをリクエストベースで利用できます(2026年7月時点の公式ドキュメント)。一方、AI推論処理は複数事業者へ振り分けられ単一地域に固定できないため、「保存は指定リージョン内・AI処理は越境(契約的保護で担保)」という整理でご理解ください。
保存リージョン
選択肢: Americas / Europe / Asia Pacific(プロジェクトのCloud有効化時に選択、以後変更不可・リージョン間移動不可)
Business/Enterprise: 管理者が新規プロジェクトの既定リージョンを強制設定可能(Settings → Privacy & security → Default hosting region)
Enterprise: 国別リージョン(例: 日本・ドイツ・米国東部)をアカウントチームへのリクエストで有効化可能。提供条件・費用は株式会社100がLovable社へ確認します【個別確認】
Cloud基盤はSupabaseのオープンソース基盤上に構築され、プロジェクトごとに独立した環境が割り当てられる
越境移転の保護(GDPR系)
EU SCCs モジュール2(管理者→処理者)/モジュール3(処理者→復処理者)、英国IDTA、スイスアデンダムをDPA・ポリシーで整備
政府機関からのデータアクセス要求は、原則お客さまへのリダイレクトと事前通知を行う旨をDPA§8.4に規定(DPA締結時点で要求受領実績なしと表明)
移転メカニズムが無効化された場合は代替手段を誠実に整備(§8.5)
バックアップ
Lovable CloudのデータベースはUTC基準で日次バックアップされ、約14日分を保持。UIから任意時点への復元が可能(Enterpriseでは復元操作が監査ログに記録)
※ マーケティング上のセキュリティページには保存地域として「EU・US・Australia」の表記が残っていますが、機能ドキュメント(2026年7月更新)の「Americas/Europe/Asia Pacific+Enterprise国別リージョン」が実装上の最新情報です。本資料は後者(機能ドキュメント)を基準に記載しています。
第7章個人情報保護法(日本)対応の考え方
Lovable Labs Incorporatedは米国法人のため、個人データを取り扱わせる場合は個人情報保護法の「外国にある第三者への提供」(法第28条)の論点整理が必要です。株式会社100の推奨は「原則として個人データ・機密情報をプロンプトや生成アプリに入れない運用+入れる場合は基準適合体制の該当性を法務確認」です。
以下は一般的な論点整理であり、法的助言ではありません。個別案件の適法性判断は、お客さまの法務部門または専門家の確認を前提としてください。
| 論点 | 整理 |
|---|---|
| 委託構成 | お客さまが個人データの取扱いをLovableに委託する構成(法第27条5項1号)。委託先の監督義務(法第25条)として、本資料記載の認証・DPA・技術的措置を確認記録に残す |
| 越境移転(法第28条) | 契約主体が米国法人であり、AI処理でも米国等の事業者を経由し得るため、外国にある第三者への提供の規律が及ぶ前提で設計する。対応は(a)本人の同意、または(b)基準適合体制の整備(DPA等でAPPI相当措置を担保し、定期的な確認と本人への情報提供体制を整える)のいずれか |
| 外的環境の把握 | 安全管理措置の一環として、保存リージョン(選択した地域)とAI処理で経由し得る国(米国等)の制度を把握し、プライバシーポリシー等の公表事項に反映する |
| クラウド例外の適用可否 | Lovableはプロンプトを処理しAI事業者へ送信する仕組みのため、「個人データを取り扱わないこととなっている」クラウド例外には該当しない前提で設計するのが安全 |
| 実務上の推奨 | ①個人データ・機密情報をプロンプトに入れない社内規程(DPA§3.8の入力禁止とも整合)、②Enterpriseの機微データ検知・送信ブロックで技術的に担保、③生成アプリでエンドユーザーの個人データを扱う場合のみ28条対応を法務確認 |
第8章ID管理・アクセス制御
SSO(SAML 2.0/OIDC)はBusiness以上、SCIMによる自動プロビジョニングと監査ログはEnterprise限定です。情報システム部門の標準要件(SSO強制・退職時の自動アカウント削除・操作証跡)を全て満たすのはEnterpriseのみであり、ここがプラン選定の分岐点になります。
| 機能 | 内容 | 提供プラン |
|---|---|---|
| SSO | SAML 2.0 / OIDC(Okta・Microsoft Entra ID・Auth0ほか任意の準拠IdP)。SSO強制、セッション24時間/48時間/7日、JITプロビジョニング | Business以上 |
| SCIM | ユーザー/グループの自動作成・自動削除、グループ→ロールのマッピング、JITよりSCIM優先 | Enterprise |
| 二要素認証(2FA) | 認証アプリ/SMS。SSOと併用可 | 全プラン |
| ロールベース権限 | Owner / Admin / Editor / Viewer / 外部コラボレーター。閲覧・編集・承認・公開を分離し、認可判定はサーバー側で強制 | 有料プラン |
| ワークスペースグループ | グループ単位のプロジェクト/フォルダ/公開アプリのアクセス付与。SCIMグループ同期 | Business以上 |
| ドメイン認証プロビジョニング | 認証済み会社ドメインのサインアップを自動追加(Enterpriseは一括追加も可) | Business以上 |
| 招待の制限 | メール招待を管理者・オーナーに限定 | Enterprise |
公開・共有の統制
新規公開の既定範囲を「ワークスペース内のみ」等に固定(Business以上)
外部公開できるロールの限定(管理者・オーナーのみ等)と公開プレビューリンクの全社無効化(Enterprise)
プロジェクトの社外ワークスペースへの移管可否を管理者が制御(Enterprise・既定は移管不可)
公開アプリのエンドユーザー認証手段(メール/電話/Google/Apple/SAML SSO)の全社ロックダウン(Business以上)
MCP(外部ツール接続)のリモート/ローカル/サードパーティクライアント別の許可制御(EnterpriseはサードパーティMCPクライアントが既定で無効)
第9章情報漏えい対策(入力ガバナンス)
Enterpriseでは機微データ(PII)の検知をチャット履歴・Cloudデータベース・ストレージに適用し、チャット送信保護を「記録のみ/送信前確認/送信ブロック(原文は破棄され記録もされない)」の3モードから選択できます。「誤入力は起きる」前提の予防統制を製品側に備えるため、入力禁止ルール(規程)と技術統制の二層での対策が可能です。
| 統制 | 内容 |
|---|---|
| 機微データ検知(Enterprise) | ワークスペースのマスタースイッチで有効化。チャット履歴・Lovable Cloudデータベース・ストレージのPIIをオンデマンドスキャン |
| チャット送信保護(Enterprise) | Log only(既定: 検知結果を記録し送信は継続)/ Ask before sending(検知時に一時停止し、編集・マスキング送信・原文送信を選択)/ Block original(原文送信不可・要編集。原文は破棄され、ログにも残らない) |
| PIIを含む公開のブロック(Enterprise) | 未解決のPII検知があるプロジェクトの公開を禁止するゲート |
| 公開ストレージバケットのブロック(全プラン) | Lovable Cloudのストレージバケットを既定で非公開に強制し、公開バケットの作成を防止(既定で有効) |
| Secretsの自動検知(全プラン) | チャットに貼られたAPIキーを自動検知し、Secretsへの保存を誘導。フロントエンドへの埋め込みを防止 |
| 誤入力後の削除対応 | privacy@lovable.devへ、アカウント/ワークスペース/プロジェクトID・日時・該当プロンプト・削除依頼内容を連絡。DPA・法令・技術的に可能な範囲で特定・削除(バックアップには世代交代まで一定期間残存し得る) |
※ 検知は製品機能であり、すべての誤入力の検出を契約上保証するものではありません。運用上は「規程(入力禁止)+検知/ブロック(技術)+事後手続(削除窓口)」の三段構成を推奨します。
第10章生成アプリケーションのセキュリティ
各プロジェクトには独立したSupabase環境(専用のPostgreSQL・認証・ストレージ・Edge Functions・API)が割り当てられ、公開のたびに基本スキャン(約10〜15秒)が自動実行されます。Wiz(SAST/SCA)・Aikido(AIペネトレーションテスト)まで拡張することで、「AI生成コードの品質をどう担保するか」という論点を第三者の証跡付きでご確認いただけます。
テナント分離とインフラ
プロジェクト単位の完全分離(共有DBの論理分離ではなく、独立インフラ)。アカウント間のデータアクセス不可
基盤はGoogle Cloud+Cloudflareのマルチクラウド。プライベートGKE、公開サブネットの限定、Cloud ArmorによるL7 DDoS対策、WAF、IP/ユーザー/ワークスペース単位の適応型レート制限
暗号化: 保存時AES-256、通信TLS 1.3、サービス間mTLS。SecretsはGoogle Cloud KMS(ワークスペース単位のキーリング)で項目単位AES-GCM暗号化、API/画面/ログに平文非表示
スキャンと修正
| 機能 | 内容 |
|---|---|
| 基本スキャン(自動) | 公開ダイアログ表示時に自動実行(約10〜15秒)。RLSポリシーのリント、DBスキーマとアクセス制御のレビュー、npm依存関係の既知脆弱性チェック。依存関係チェックは変更時に随時実行 |
| Deepスキャン(オンデマンド) | エージェント型のコード全体レビュー(約2〜4分)。過剰権限・RLSバイパス関数の検出、認証/認可欠落のあるEdge Function/API、露出シークレット、SQLインジェクション/XSS等の入力処理、ログ経由の情報漏えい、セキュリティメモリ(登録済みのプロジェクト固有文脈)に基づく個別レビュー |
| 定期Deepスキャン(Enterprise) | 週次(月曜8時)/月次(1日8時)で全プロジェクトまたは公開済みプロジェクトに自動実行。1プロジェクト1回あたり1クレジット。オンデマンド実行は無料 |
| 自動修正(Auto-fix) | 基本スキャンのエラー級検知を、チャット応答時に自動修正。適用範囲(選択PJ/外部公開済み/公開済み/全PJ)をワークスペース既定として設定可 |
| 公開ゲート | 重大検知がある場合の公開ブロック、初回公開前の基本スキャン必須化(全プラン)。PII検知未解決時の公開ブロック(Enterprise) |
| Wiz連携 | SCA(推移的依存を含む脆弱ライブラリ検出)+SAST(危険パターン・ハードコードシークレット検出)を全プロジェクトの標準スキャンに追加 |
| Aikido AIペンテスト | 稼働中アプリへの動的テスト(OWASP Top 10、LLM Top 10、権限昇格、IDOR、認証/セッション、API)。検証済みの悪用可能な指摘のみを報告し、SOC 2 / ISO 27001 / セキュリティ質問票に対応した報告書を生成 |
| その他 | HIBP(Have I Been Pwned)による漏えいパスワード拒否、Edge Functionsの既定JWT保護、会話型セキュリティレビュー |
ガバナンス機能(2026年7月アップデート)
公開範囲の指定: アプリ公開時に「全員/ワークスペース限定/指名リスト(メール招待の外部ゲスト含む)」を選択可能。プロジェクト(コード・チャット履歴)と公開URLのアクセス権は分離されており、公開してもソースや履歴は露出しない。公開停止は即時反映
ワークスペース統制: 新規プロジェクトの既定公開範囲、外部コラボレーターの権限レベルとSSOバイパス可否、外部共有の全面無効化、外部公開の実行権限の管理者/オーナー限定を管理者が一括設定可能
Workspace Insights: 全プロジェクトをレビュー優先度順に横断表示(セキュリティ検知・所有者・ライフサイクル・コスト・公開状態、EnterpriseはPII検知を含む)。CSVエクスポートとオンデマンドの再スキャン実行に対応し、外部共有はここに記録される
放置アプリの自動整理: 無編集・無訪問のプロジェクトを日次で検出しSecurity Centerに一覧表示。自動削除を有効化すると所有者へ5日前・1日前にメール警告し、期限後もソフトデリート+復元猶予を経て消去(公開されたまま放置されるシャドーITの棚卸しに有効)
再利用可能認証: ワークスペース内アプリがSSO/Google/メールのログイン済みIDを短命の署名付きトークンで自動認識し、社内ツールごとのログイン実装が不要に
アプリ利用者コネクタ: アプリの利用者が自分の権限の範囲で自分のツールを接続する方式を提供開始(2026年7月29日)
第11章監査ログ・モニタリング
監査ログはEnterprise限定で、保持期間は13週間(約90日)、セルフサーブの一括エクスポートは未提供です(SIEM連携・長期保存はアカウントチーム経由で相談可)。90日を超える証跡保全が要件となる場合は、JSON手動コピーの定期運用、またはSIEM連携の個別確認(株式会社100が対応)を導入設計に組み込むことを推奨します。
対象イベント: メンバー/ロール変更、ワークスペース設定、グループ、SSO/SCIM、Secrets・連携(GitHub/Slack/MCP)、プロジェクト操作(作成/削除/公開解除/移動/共同編集者/カスタムドメイン)、プロンプト送信、Lovable Cloud設定(認証・ストレージ等)
記録内容: 誰が(操作者のUser ID・IPアドレス・User Agent)・いつ・何を・どのリソースに、を構造化JSONで保持。行展開でJSON詳細を確認・コピー可能
閲覧権限: ワークスペースの管理者・オーナーのみ。フィルタ(操作種別・メンバー・期間)で絞り込み
保持: 13週間(約90日)で自動削除。2026年2月26日以前のログは不完全な場合がある旨が公式に明記
エクスポート: セルフサーブの一括出力・公開APIは未提供。SIEM連携・長期保存はアカウントチームへの個別確認事項(提供条件は個別)【個別確認】
補足: Security Center(Business以上)は横断のスキャン結果・依存脆弱性・Secrets一覧(値は非表示)をCSVエクスポート可能。Workspace Insights(Enterprise)は公開状態×PII検知×所有者不在などをレビュー優先度付きで横断表示し、CSVエクスポート可
Lovable社内のセキュリティ監視ログは一元管理のうえ1年間保持され、年次のSOC 2 Type II監査を受けている旨がプライバシーポリシー(2026年4月14日版)§10に明記されています。管理画面の監査ログ(13週間)とは別枠であるため、コンプライアンス要件でどちらを基準とするかを要件定義時にご整理ください。
第12章インシデント対応・可用性・サポート
侵害を確認してから72時間以内の顧客通知と24時間365日の対応体制が公式文書に明記される一方、稼働率の保証は標準契約になくAS IS提供です。サポートも初回応答時間のみの規定(Critical 12営業時間等)のため、解決目標やサービスクレジットが必要な場合はOrder Form/サポート追加契約での個別交渉が唯一の経路になります。
インシデント対応
通知: 通知対象となる侵害(Personal Data Breach)を確認後、影響を受けるお客さまへ72時間以内に通知(プライバシーポリシー§10)。DPA§6では不当な遅滞なき通知+侵害内容・対象データ種別の説明+フォローアップ報告を規定
体制: 24時間365日のインシデント対応チーム。根本原因の調査義務(DPA§6.1)
免責的規定: 未遂(ログイン試行・ポートスキャン等)は侵害に含まれない。法執行機関の要請による通知遅延があり得る
過去の公開インシデント(2026年4月)
事象: 2026年2月3日〜4月20日、バックエンドのリグレッションにより、パブリック設定のプロジェクトのチャット履歴・ソースコードが、リンクを知る他の認証済みユーザーから閲覧され得る状態が発生(4月20日に外部研究者が公表、Lovableが同日認知)
影響範囲: プライベートプロジェクトとLovable Cloud(DB・ストレージ)は非影響。Enterpriseは2025年5月以降パブリックプロジェクトの新規作成・公開化が不可のため、構造的に対象外
対応: 公表から2時間以内に修正。既存パブリックプロジェクトの一括プライベート化(公式テンプレートを除く)、可視性設定のUX再設計、HackerOne経由の脆弱性トリアージ体制の再構築(2026年2月22日の初報が誤クローズされた経緯まで自ら公表)、閲覧範囲の調査と対象者への個別通知を実施
ご評価にあたってのポイント: ①Enterprise構成は対象外だった構造、②2時間での修正と原因・経緯の全面公表という透明性、③プロジェクト可視性と公開URLの権限分離という現行仕様、の3点を併せてご確認ください
可用性(Product Terms §8-9)
稼働率保証・停止時補償: 標準契約に規定なし。サービスは現状有姿(AS IS)提供
バックアップ・メンテナンスのための一時停止は補償なしで可(オフピーク実施と事前通知の努力義務)
通信回線・クラウド事業者等の第三者インフラ起因の停止は免責
稼働実績はstatus.lovable.devで公開(実績表示であり契約上の保証ではない)
サポート(Product Terms §10-11)
| 重大度 | 定義 | 初回応答時間 |
|---|---|---|
| Critical | 機能・性能の著しい低下、または重大なセキュリティリスク | 12営業時間 |
| Major | 機能・性能の低下(重大でないもの) | 3営業日 |
| Minor | 日常利用に影響しない軽微な不具合 | 10営業日 |
上記は「初回応答」(切り分け結果の要約+解決見込みの連絡)までの目安時間であり、修正完了の期限ではない。時間はいずれも概算(approximate)
適用条件: Order Formでサポートサービスを申し込んだ場合のみ。サポートは時間課金(コンサルティング料率)、窓口はお客さま側の1名のスーパーユーザーに集約
バグ該当性・重大度の判定はLovableの裁量。バグでないと判明した調査時間はコンサルティング費用として請求され得る
Enterprise契約には専任アカウントチーム・優先サポート・カスタムオンボーディングが付帯。解決目標時間・暫定対応(回避策)時間・サービスクレジットはOrder Form/サポート追加契約で交渉可能(契約書面への明記が必須)【交渉事項】
第13章契約終了時のデータ返却・削除とポータビリティ
契約終了後30日以内に書面で指示すれば、Customer Personal Dataは返却または削除されます。コードとAI Outputの所有権はお客さまに帰属し、GitHubへ随時同期・エクスポートできるため、「やめられるか(ロックインはないか)」という観点を明確にご確認いただけます。ただしバックアップからの完全消去時期には数値の確約がない点にご留意ください。
終了と同時に処理停止(安全な保管・法令上の保持を除く)。30暦日以内の書面指示で返却または削除(DPA§11)
指示がない場合、Lovableの保持スケジュールに従い削除または復元不能な匿名化を実施し得る
削除後もバックアップには一定期間残存し得る(Business/Enterprise向けDPAでは残存期間の数値確約なし。参考: Free/Pro向けポリシーではバックアップ最長90日と明記)
手作業のデータ取り出し・個別削除が合計2人時(person-hours)を超える場合、実費(プロフェッショナルサービス料率)を請求され得る
ポータビリティ: コード・AI Outputは顧客所有(Product Terms§4.5)。GitHub(Enterprise Cloud/Server含む)・GitLabへの同期、自己運用インフラ(セルフホストSupabase等)への移行経路が公式に案内されている
コードのリージョン統制(Enterprise): GitHub Enterprise Cloudのデータレジデンシー(*.ghe.com)またはお客さま運用のGitHub Enterprise Serverにリポジトリを保持可能
第14章入力禁止データと必須の社内統制
健康情報(PHI)・金融口座番号・政府発行識別子(マイナンバー等)・生体データなどの機微データの入力は、DPA第3.8条で契約上禁止されており、違反に起因する第三者請求はお客さまが補償責任を負います(第13条)。導入時には入力禁止リストの社内規程化と利用者教育が必須であり、株式会社100が規程整備・教育を含めた導入設計をご支援します。
| 入力禁止(DPA§3.8の例示) | 日本での該当例 |
|---|---|
| HIPAA上の保護対象保健情報(PHI) | 診療情報・健診結果・処方情報などの要配慮個人情報(健康関連) |
| 金融口座番号 | 銀行口座番号、クレジットカード番号(PAN) |
| 政府発行の識別子 | マイナンバー(個人番号)、パスポート番号、運転免許証番号 |
| 生体データ | 指紋・顔認証テンプレート等の生体識別情報 |
推奨統制: ①入力禁止リストを社内規程・利用ガイドラインに明記、②Enterpriseの機微データ検知+送信ブロック(Block original)で技術的に強制、③定期教育と監査ログ(プロンプト送信記録)による点検
※ 上記はサービス利用時の入力に関する契約上の制限であり、生成したアプリの設計で扱うデータの適法性はお客さまの責任範囲です(DPA§3.4)。
第15章セキュリティ審査でよくいただくご質問(30問)
以下は日本のエンタープライズ企業の審査で標準的に問われる観点を30問に整理した回答集です。26問は公開一次情報のみで回答が確定しています。【個別確認】1問は株式会社100がLovable社へ確認のうえ回答する事項、【契約交渉】3問はOrder Form等の契約書面で個別に取り決める事項です。
Q1AI学習プロンプト・コード・チャット履歴・データはAIモデルの学習に使われるか
回答：使われない。Customer Personal Dataの学習・微調整利用はDPA§10で契約上禁止。Business以上はワークスペース設定(Data collection opt out)で学習・内部評価への利用を停止可。Free/Proはサポート経由で申請
根拠：DPA§10 / 公式Docs(data-opt-out)
Q2AI学習外部AI事業者側で学習・保存されないか
回答：各AI事業者は契約上、顧客データの学習不可・所定の保存/削除条件・DPA同等のセキュリティ義務を負う
根拠：DPA§7.5 / 公式ブログ(2026/3)
Q3送信先どのAI事業者にデータが送られるか
回答：①プラットフォームのコード生成: Anthropic Claude / Google Vertex AI / OpenAI / AWS Bedrock(複数振り分け・障害時切替)。②アプリ用AI Gateway(任意): OpenAI / Google Gemini / OpenRouter(パススルー・原則不保存)
根拠：公式ブログ / プライバシーポリシー§2
Q4データ分類データはどのような区分で扱われるか
回答：Customer Personal Data(DPA保護対象)/ Service Data(匿名化利用状況。DPA対象外・オプトアウト不可・匿名化で無期限保持)/ Log Data(運用テレメトリ・最長90日)
根拠：DPA§1,9・別紙1 / PP§8
Q5保存場所データはどこに保存されるか
回答：プロジェクト作成時にAmericas / Europe / Asia Pacificから選択し、以後固定。管理者は既定リージョンを強制可(Business以上)
根拠：公式Docs(Cloud)
Q6保存場所日本国内に保存できるか
回答：Enterpriseでは日本を含む国別リージョンをリクエストベースで提供(2026年7月時点)。提供条件・費用は株式会社100がLovable社へ確認します【個別確認】
根拠：公式Docs(Cloud)
Q7越境AI処理を単一地域(日本/EU等)に限定できるか
回答：できない。AI推論は複数事業者へ振り分けられ地域固定不可。保存データは選択リージョンに留まり、越境部分はDPA・SCCs等の契約的保護で担保
根拠：DPA§8 / Lovable書面回答
Q8越境国外移転の法的保護は何か
回答：EU SCCs(モジュール2/3)・英国IDTA・スイスアデンダム。政府機関のアクセス要求は原則顧客へリダイレクト・通知(DPA§8.4)。日本の個情法対応は第7章参照
根拠：DPA§8 / PP§6
Q9委託先サブプロセッサ(再委託先)の一覧と変更通知は
回答：trust.lovable.devで公開(名称・所在地・目的)、少なくとも年1回更新。主要: Supabase(ホスティング)、Stripe(決済)、OpenAI/Google/OpenRouter(AI Gateway)、Anthropic/AWS(生成AI)、Google Cloud/Cloudflare(インフラ)
根拠：サブプロセッサページ(2026/1/14) / PP§4
Q10委託先サブプロセッサ変更に異議を申し立てられるか
回答：可能。Business/EnterpriseはDPAに基づき通知から20営業日以内にprivacy@lovable.devへ。協議不調時の救済は解約+前払費用の返金。(Free/Pro向けポリシーは10営業日で、適用文書が異なる点に注意)
根拠：DPA§7.3-7.4 / PP§4
Q11認証第三者認証の取得状況は
回答：SOC 2 Type II・ISO/IEC 27001:2022を取得(維持はDPA§5.2の契約義務)。加えてAIエージェント向け第三者標準AIUC-1を2026年7月に業界初取得。監査レポートは秘密保持条件で開示【NDA】
根拠：DPA§5.2 / 公式ブログ(2026/7/22)
Q12認証業界規制(医療・金融)への対応は
回答：HIPAA非対応(BAA締結せず、PHI入力は契約上禁止)。金融向けにDORAアデンダムを提供。EU AI Actは自社評価でLow Risk
根拠：公式Docs FAQ / DORAアデンダム / 公式ブログ
Q13ID管理SSO(Entra ID等)に対応しているか
回答：対応。SAML 2.0 / OIDC(Okta・Microsoft Entra ID・Auth0ほか)。SSO強制、セッション24h/48h/7日、JITプロビジョニング。Business以上
根拠：公式Docs(Enterprise)
Q14ID管理SCIMによる自動アカウント管理は
回答：Enterprise限定で対応。自動プロビジョニング/デプロビジョニング、グループ→ロールマッピング、SCIM優先動作
根拠：公式Docs(Enterprise)
Q15権限権限管理(RBAC)の仕組みは
回答：Owner/Admin/Editor/Viewer/外部コラボレーターのロール制。閲覧・編集・承認・公開を分離し、認可はサーバー側で強制。グループ・制限プロジェクト(Business以上)
根拠：セキュリティページ / 公式Docs
Q16公開統制意図しない外部公開を防げるか
回答：公開範囲を全員/ワークスペース/指名リストから指定可能(プロジェクトと公開URLの権限は分離)。外部共有の全面無効化・公開権限の管理者限定・既定公開範囲の統制、重大検知/PII未解決時の公開ブロック、公開ストレージバケットの既定ブロック(全プラン)、放置アプリの日次検出・自動整理
根拠：公式Docs / 公式ブログ(2026/7/24)
Q17漏えい対策機微情報の誤入力を検知・防止できるか
回答：Enterpriseで機微データ検知(チャット履歴/Cloud DB/ストレージ)+チャット送信保護(記録のみ/送信前確認/送信ブロック=原文破棄・非記録)+PII検知未解決時の公開ブロックを提供。全件検出の契約保証ではないため、入力禁止規程との併用を推奨
根拠：公式Docs(Enterprise)
Q18秘密情報APIキー等のSecrets管理は
回答：保存AES-256/通信TLS 1.3。SecretsはGoogle Cloud KMS(ワークスペース単位キーリング)で項目単位AES-GCM暗号化、API/画面/ログに平文非表示、サービス間mTLS。チャット貼付キーの自動検知あり
根拠：公式ブログ / セキュリティページ
Q19分離マルチテナントの分離方式は
回答：プロジェクトごとに独立したSupabase環境(専用PostgreSQL・認証・ストレージ・Edge Functions・API)。アカウント間アクセス不可。アプリ層+インフラ層で分離を強制
根拠：公式ブログ / セキュリティページ
Q20脆弱性生成コードの脆弱性対策は
回答：公開時に基本スキャン自動実行(約10〜15秒: RLS/スキーマ/依存関係)。Deepスキャン(約2〜4分・エージェント型)、自動修正、公開ゲート。EnterpriseはWiz(SAST/SCA)・週次/月次の定期Deepスキャン・セキュリティメモリまで拡張可
根拠：公式Docs(Security)
Q21脆弱性ペネトレーションテストの実施・報告は
回答：Aikido連携でAIペンテストを実行可(OWASP Top 10・LLM Top 10・IDOR・認証/API)。悪用可能性を検証済みの指摘のみ報告し、SOC 2/ISO 27001/質問票対応の報告書を生成
根拠：公式Docs(Aikido) / 公式ブログ
Q22監査監査ログの範囲・保持・取得方法は
回答：Enterprise限定。メンバー/権限/SSO/SCIM/Secrets/連携/プロジェクト操作/プロンプト送信等を操作者IP・UA付きJSONで記録。保持13週間(約90日)。セルフサーブの一括エクスポート未提供(JSON手動コピー)。SIEM連携・長期保存は契約時の個別取り決め【契約交渉】
根拠：公式Docs(audit-logs)
Q23監査事業者側の内部ログ・監査体制は
回答：一元化したセキュリティ監視ログを1年間保持し、年次でSOC 2 Type II監査を実施(公開文書に明記)
根拠：プライバシーポリシー§10
Q24インシデントセキュリティ事故発生時の通知は
回答：通知対象侵害の確認後72時間以内に影響顧客へ通知。24時間365日の対応体制。DPA上は不当な遅滞なき通知+内容/対象データ種別/追加報告
根拠：PP§10 / DPA§6
Q25可用性稼働率の保証・停止時の補償は
回答：標準契約に保証・補償なし(AS IS)。メンテ停止は無補償、第三者インフラ起因は免責。実績はstatus.lovable.devで公開。SLA/クレジットが必要な場合は契約書面で個別に取り決め【契約交渉】
根拠：Product Terms§8-9
Q26サポート障害時の対応時間(SLA)は
回答：サポート契約時の初回応答: Critical 12営業時間 / Major 3営業日 / Minor 10営業日(応答=切り分け要約+解決見込み。時間は概算)。修正完了期限の標準規定なし。解決目標・クレジットはOrder Form/サポート追加契約で個別に取り決め【契約交渉】
根拠：Product Terms§10-11
Q27契約終了終了時のデータ返却・削除は
回答：終了後30暦日以内の書面指示で返却/削除。指示なき場合は保持スケジュールに従い削除/匿名化。バックアップに一定期間残存(数値確約なし)。2人時超の手作業は実費。コード・AI Outputは顧客所有でGitHubへ随時同期可
根拠：DPA§11・別紙1 / Product Terms§4.5
Q28入力制限入力してはならないデータは
回答：健康情報(PHI)・金融口座番号・政府発行識別子(マイナンバー等)・生体データ等の機微データはDPA§3.8で入力禁止。違反起因の第三者請求は顧客補償(§13)。社内規程化と利用者教育を必須の統制として推奨
根拠：DPA§3.8,13
Q29AI固有AIエージェント固有のリスク(生成コードの安全性等)への第三者評価はあるか
回答：AIUC-1認証を2026年7月に取得(コーディングエージェント基盤で初)。セキュアなコード生成・シークレット保護・ハルシネーション等への敵対的テストを含む6原則51要件の独立検証で、四半期ごとの第三者レッドチーム演習を伴う。対応状況のホワイトペーパーを公開
根拠：公式ブログ(2026/7/22)
Q30実績過去のセキュリティインシデントの有無と対応は
回答：2026年4月に「パブリック設定PJのチャット履歴・コードが他ユーザーから閲覧され得た」事象(2026/2/3〜4/20)を公表。プライベートPJ・Lovable Cloudは非影響、Enterpriseは2025年5月からパブリックPJ作成不可のため構造的に対象外。公表から2時間で修正し、全パブリックPJの私設化・開示プロセス再構築まで実施
根拠：公式ブログ(2026/4/22)
第16章標準提供で満たせない点と個別確認・契約交渉事項
稼働率SLA・修正完了期限・監査ログの長期保存/一括出力・AI処理の地域固定・HIPAAの5点は、2026年7月時点の標準提供では満たせません。ご評価を円滑に進めていただけるよう、この5点をあらかじめ開示し、それぞれの代替策(契約交渉・運用・構成)を併記します。
標準提供で満たせない点(あらかじめの開示)
| 制約 | 代替策 |
|---|---|
| 稼働率保証(SLA)・停止補償なし | status.lovable.devで稼働実績をご確認いただけます。必要な場合はOrder Formでの個別交渉が可能。基幹系ではなく業務改善・社内ツール等の用途から始める設計も有効 |
| 修正完了期限の標準規定なし(応答時間のみ) | Enterpriseには専任アカウントチームが付帯。解決目標・回避策時間・クレジットが必要な場合はOrder Form/サポート追加契約への文言明記が必要(口頭合意は不可) |
| 監査ログ13週間・セルフサーブ一括出力なし | 13週間以内のJSON手動コピーの定期運用で証跡を保全。SIEM連携・長期保存は個別確認事項(株式会社100が対応)。Security CenterのCSV出力(スキャン/依存/Secrets)も代替の証跡になる |
| AI処理の単一地域固定不可 | 保存(指定リージョン)と処理(越境・契約的保護)を分けて整理。個人データを入力しない運用+送信ブロックにより、越境するデータ自体を最小化できる |
| HIPAA非対応・機微データ入力禁止 | 医療・要配慮情報を扱うユースケースは対象外。入力禁止規程+Enterprise検知で利用範囲を固定する |
個別確認・契約交渉リスト(株式会社100がLovable社に確認・交渉します)
| # | 確認・交渉事項 | 確認先・進め方 |
|---|---|---|
| 1 | 日本リージョン(国別リージョン)の提供可否・条件・費用・提供時期 | Lovableアカウントチーム。回答は書面(メール)で取得し、お客さまへ共有します |
| 2 | SOC 2 Type II / ISO 27001レポートの開示手続き | Trust Center(trust.lovable.dev)の閲覧申請+NDA |
| 3 | SIEM連携・監査ログ長期保存の提供条件 | Lovableアカウントチーム。提供時期未確約のため、要件となる場合は契約書面への明記が必要 |
| 4 | 解決目標時間・回避策提供時間・サービスクレジット | Order Form / サポート追加契約に条文として明記(明記のない口頭説明は効力なし) |
第17章株式会社100の推奨導入構成
株式会社100は、お客さまへの導入にあたり、Enterpriseプランに「学習オプトアウト有効化・機微データ検知+送信ブロック(Block original)・外部公開の限定・日本リージョン申請」を加えた構成を標準として推奨します。この構成で第15章の30問中26問は公開文書ベースで回答が確定し、残る論点は第16章の個別確認・契約交渉4点に収束します。
| 設定・手続き | 内容(導入初日に実施) |
|---|---|
| プラン | Enterprise(SCIM・監査ログ・機微データ検知・定期Deepスキャン・国別リージョンが必要なため) |
| 学習オプトアウト | Settings → Privacy & security → Data collection opt out を有効化(既定は無効) |
| 入力ガバナンス | Sensitive data scanning有効化+Chat send protectionを「Block original」に設定。Block publishing with PIIを有効化 |
| 公開統制 | 既定公開範囲=ワークスペース内、外部公開=管理者/オーナー限定、公開プレビューリンク無効化、プロジェクト移管無効(既定)、放置アプリの自動整理を有効化 |
| ID | SSO(SAML/OIDC)強制+SCIMプロビジョニング+セッション期間の設定 |
| リージョン | 既定リージョンを固定(Default hosting region)。日本リージョンをアカウントチームへ申請(株式会社100が対応)【個別確認】 |
| スキャン | 定期Deepスキャン(週次)+Auto-fix(公開済みPJ)+公開ゲート(重大検知ブロック/初回公開前スキャン必須) |
| 規程 | 入力禁止リスト(マイナンバー・口座番号・健康情報・生体情報等)の社内規程化と教育 |
| 証跡運用 | 監査ログの月次JSON保全(13週間以内)、Security CenterのCSVを監査資料として保管 |
第18章出典一覧（いずれも2026年7月30日確認）
※ 本資料は株式会社100が公開情報を整理した二次資料です。契約上の効力を持つのはLovableの各原文書であり、齟齬がある場合は原文書が優先します。
関連資料
フォーム入力は不要です。クリックでそのままダウンロードいただけます
PDF版
全18章の通し版。稟議添付・全文参照に
Word版（docx）
お客さま社内で編集可能な原本
Excel版（xlsx）
30問チェックシート回答一覧（記入用列付き）
セキュリティシート自動記入（準備中）
お客さまのセキュリティチェックシートをアップロードすると、上記の一次情報を元に自動記入するアプリを準備中です。ご興味のあるお客さまはお問い合わせください。
お問い合わせ