FlowOSが現在行っていること、導入前にお客様と一緒に決めること、そして現時点で未対応の事項。承認が必要なIT、法務、コンプライアンスの各部門に向けた内容です。
アプリケーションとデータをどこでホスティングするか、また利用するプロバイダーは、 導入前にお客様ごとに定めます。ホスティングは、欧州のプロバイダーに限定することもできます。
AIについては、FlowOSはAnthropic（Claude）、OpenAI、Google（Gemini）、Mistralなど複数のモデルプロバイダーを利用しています。 「EUのみ」モード を使うと、欧州のプロバイダーであるMistralのみに利用を限定できます。モデルプロバイダーに送信されたデータは、そのプロバイダー自身の規約に基づいて処理されます。
パスワードはscryptでソルト付きハッシュ化、セッショントークンはランダム生成、ログイン試行にはレート制限を設けてブルートフォース攻撃を防ぎます。
アプリコード（TOTP）による二要素認証。設定時には、GoogleまたはMicrosoftの法人アカウントによるシングルサインオン（OpenID Connect）。
管理者、マネージャー、メンバーのロールを、データへのアクセス前にサーバー側で確認します。FlowOS ERPでは、自然言語での質問にも各ロールの権限が適用されます。
サインイン、招待、権限の変更、ドキュメント、共有、モデル呼び出しは監査ログに記録され、管理者が確認・エクスポートできます（FlowOS ERPではCSV）。
モデルプロバイダーやコネクタのAPIキーはサーバー上に保持され、ブラウザには送信されません。暗号化された接続（HTTPS）とHTTPセキュリティヘッダー（HSTS、iframe埋め込み対策、nosniff、no-referrer）を備えています。
操作の種類ごとの自律レベル。FlowOS ERPでは、選択したレベルにかかわらず、支払いと削除には必ず人の承認が必要です。
アプリケーションとデータのホスティング先、利用するプロバイダー。欧州のプロバイダーに限定することもできます。プライベート環境や、お客様のインフラへの導入は、お客様のチームと検討できます。
許可するモデルプロバイダー、必要に応じて「EU only」モード、そして各プロバイダーのデータ規約を、お客様と一緒に確認します。
お客様ごとのデータ処理契約（DPA）、保管期間、サービスとサポートの取り決め、可逆性：すべて契約書に明記します。
導入前に、セキュリティ資料を共有し、お客様のチームからの質問票に回答し、データ処理契約（DPA）を締結します。情報システム部門とのセキュリティレビューも実施できます。
Thinking Platformsは、自社のモデルをお客様のデータで学習させることはありません。 FlowOSは、モデルプロバイダーが提供する法人向けAPIを利用しています。プロバイダーの選定とそのデータ規約は、お客様と一緒に確認します。
監査ログには、誰がいつ何をしたかが記録されます。エージェントごと、組織ごとの利用上限と、管理者による即時のアカウント無効化で、管理権限はお客様の手元に残ります。
導入前に、どのモデルプロバイダーをどのモードで利用するかをお伝えします。