テナント分離
アプリは、データベースへの問い合わせで 常にテナント ID でスコープ します。これにより、テナント A のユーザーがテナント B のデータを読む経路を閉じます。
これは アプリとデータ層の責務 です。利用者側でも、URL を共有したり、スクショに機密を映り込ませたりしないよう運用ルールで補強してください。
チーム分離
クライアント・提案書・レポートなど多くの業務オブジェクトは チーム ID でも縛られます。UI 上は「見えない」だけでなく、サーバ側でもチーム権限を検証する設計です。
テナントの 監査ログ（権限のあるロールのみ）では、招待・ロール変更・削除など、重要なイベントが記録されます。コンプライアンス要件に応じてエクスポートや保管ポリシーを定めてください（監査ログ）。
専用デプロイ・BYOC の追加論点
サポートによる代理閲覧 など、人間が顧客データに触れる機能がある場合、契約と監査ログの双方で許容範囲を確認してください。社内ポリシーに無い操作は行わないでください。