お客様の店舗データを、企業単位で分離して守る

TENPO ONEは1つのデータベースで複数の契約企業のデータを取り扱いますが、注文・顧客・売上などの主要なデータは、企業ID単位でアクセスできる範囲を区切っています。他社のデータをIDで直接指定してもデータベース側で拒否される設計で、企業間でデータが混ざらないよう境界を強制しています（この仕組みは技術的には「行レベルセキュリティ（RLS）」と呼ばれます）。

契約企業オーナー・本社管理者・本社経理担当・エリアマネージャー・店長・副店長・一般スタッフ・アルバイト・外部税理士等、9段階のロールを用意し、閲覧・登録・承認・削除といった操作をロールごとに制御します。全店舗を横断できる本社ロールと、自店舗の業務に絞られる店舗ロールを分けることで、必要な人に必要な範囲だけ情報を届けます。権限の確認は画面表示だけでなく、サーバー側・データベース側でも重ねて行う設計です。

金額の確定・返金・勤怠の修正・請求書の操作・取消（VOID）など、業務上重要な操作は監査ログに記録されます。誰が・いつ・何を行ったかを後から確認できるほか、確定した会計データ（入金・返金の記録等）は物理的に削除できない設計にしており、誤操作からの復旧性を高めています。

アカウントが利用停止となったユーザーや退職したユーザーは、次回のアクセス時点でシステムから遮断されます。ロールや所属店舗が変更された場合も、次のリクエストから新しい権限が反映されます。契約企業自体が利用停止・解約となった場合も、ログインができない状態に切り替わります。

請求書・領収書などのアップロードは、ファイルの種類・拡張子・サイズをサーバー側で検証しています。保存場所も契約企業ごとに区切られており、非公開の書類は自社が保存したファイルのみ閲覧できる設計です。他社が保存したファイルは、URLを推測しても取得できません。書類の共有には有効期限付きのURLを用い、期限が切れれば無効になります。

データベースは定期的なバックアップに加え、特定時点への復旧（ポイント・イン・タイム・リカバリ）を前提とした復旧設計を行っています。復旧にかかる時間や許容できるデータ損失の範囲については社内で目標値を定めていますが、これはあくまで目標であり、保証された値ではありません。正式な保持期間・バックアップ方式は、データベース基盤（Supabase）のプラン契約内容に応じて確定します。

会計の確定・返金・レジ締め・給与確定などの重要な処理は、途中で例外的なエラーが発生した場合でも処理全体を取り消し、一部だけ反映された不整合な状態を残さない設計にしています。障害発生時は、エラーIDを画面に表示し、社内の記録と突き合わせて原因を追跡できるようにしています。