プライバシーポリシー

2.1 利用者情報（当社が取得主体）

• アカウント情報: 氏名、メールアドレス、所属組織名、役割、パスワード（不可逆に変換して保存し、当社は元のパスワードを保持しません）
• 契約・請求情報: 契約プラン、請求先情報、支払方法の識別情報（決済は決済代行事業者が処理し、当社はカード番号全体を保持しません）
• 利用状況情報: ログイン日時、IP アドレス、ブラウザの種類、操作の記録（監査ログ）、AI 機能の利用回数・利用履歴
• お問い合わせ内容: サポート窓口へお寄せいただいた内容および対応の記録
• 導入相談・お問い合わせの情報: 会社名、氏名、メールアドレス、有料職業紹介事業の許可の有無および許可番号、所在都道府県、現在お使いのツール、ご相談の内容、ご希望の相談形式、日程調整の結果（予約の日時）
• 実務ガイドのお申し込みの情報: 会社名、氏名、メールアドレス、有料職業紹介事業の許可の状況（取得済み・申請中・これから）、お知らせメールの受け取りのご希望の有無、お申し込み前に当社ウェブサイトへ来られた経路を示す短い値（広告やリンクの区分）

2.2 顧客データ（利用企業が取得主体・当社は受託者）

• 利用企業が登録する候補者情報（氏名、連絡先、経歴、スキル、希望条件、面談記録等）および取引先企業のご担当者情報
• 候補者が公開ページで入力・送信する情報（予約した日時、ご連絡事項、希望日時、氏名、連絡先、志望動機、履歴書等の添付書類、利用企業の案内への同意の記録）
• 利用企業がメール取り込み機能を利用した場合の、受信メールの件名・本文・添付
• 利用企業が Chrome 拡張機能「ROSTER 取り込み」を利用した場合の、利用者が取り込み操作を行ったページの URL・タイトル・表示されている文章（選択範囲がある場合はその部分）。拡張機能が送信するのは利用者がボタンまたは右クリックメニューを押したときに限られ、送信先は本サービス（roster.co.jp）のみです。閲覧の常時監視や自動収集は行わず、拡張機能側にページの本文は保存しません（利用者の端末に保存されるのは接続トークン・組織名・接続確認日時・AI 利用回数の残数と、直近1回の取り込み結果の文言のみです）

2.3 公開ページのアクセス情報

公開ページでは、不正アクセスや過度なアクセスを防ぐため、アクセス日時・操作の種類・IP アドレスを一方向に変換した値（元の IP アドレスに戻せない値）を記録します。IP アドレスそのものは保存しません。

2.4 本サービスに登録してはならない情報

利用企業は、本サービスに、個人番号（マイナンバー）を含む特定個人情報、および運転免許証・パスポート・在留カード・個人番号カード・戸籍に関する書類その他の本人確認書類の画像または写しを登録することができません。これらの書類には本籍・出生地・国籍等が記載されていることが多く、職業安定法第5条の4および同法に基づく指針（平成11年労働省告示第141号）が求職者から収集してはならないと定める事項を含むためです。当社は、これらに該当するおそれのあるファイルの保存を自動的に中止する仕組みを設けていますが、この仕組みは完全ではありません。登録の可否の判断は、利用企業の責任において行われます。

3.1 Cookie

本サービス（ログインが必要な画面）では、ログイン状態の維持と、ご利用中の組織・表示設定の記憶のために Cookie および同種の技術を利用します。これらは本サービスの提供に必要なものに限られ、広告目的の追跡には使用しません。ブラウザの設定で Cookie を無効にした場合、本サービスにログインできなくなります。候補者向けの公開ページ（面談予約）では Cookie を使用しません。当社ウェブサイトのサービス紹介のページでは、どの広告やリンクからお越しいただいたかを記録するため、Cookie（名前: roster_utm、保存期間: 30日）を利用します。記録するのは広告やリンクの区分を示す短い値だけで、氏名などお客様を特定する情報は含みません。あわせて、広告やリンク経由でお越しいただいた最初の1回だけ、その区分の値（utm_source など）、表示したページ、参照元のサイト名、端末の大まかな種類（スマートフォン・タブレット・パソコン）を当社のデータベースに記録し、リンクごとの訪問数の把握に使います。この記録には、IP アドレス、ブラウザの識別情報（User-Agent）、Cookie の識別子は含まず、個人を特定できません。

3.2 外部への情報の送信

当社ウェブサイトおよび本サービス（ログイン後の画面、ログイン・新規登録の画面、候補者向けの公開ページを含みます）では、次のとおり、お客様の端末から外部の事業者へ情報が送信されます。送信先ごとに、送信が起きる画面を記載しています。いずれも広告目的の追跡には使用しません。

送信先各社の取扱いの詳細は、次の各ページをご覧ください。

• Vercel Web Analytics: https://vercel.com/docs/analytics/privacy-policy
• Cloudflare Turnstile: https://www.cloudflare.com/turnstile-privacy-policy/

4.1 利用者情報

1. 本サービスの提供、維持、保護および改善のため
2. 本人確認、ログイン認証、不正利用の防止・調査のため
3. 料金の請求、決済処理、請求書の発行のため
4. お問い合わせへの対応、障害・保守のご連絡のため
5. 導入相談・お問い合わせへの対応、日程の調整、および本サービスの導入に関するご案内のため
6. 資料（実務ガイド等）のお申し込みへの対応とダウンロード用リンクの送付、およびお申し込み時にお知らせの受け取りをご希望いただいた方への、法令の期限や機能に関するお知らせメールの送信のため
7. 本サービスの機能追加・変更・利用規約の改定等の重要なお知らせのため
8. 本サービスに関するご案内・キャンペーンのご連絡のため（ご希望により停止できます）
9. 利用状況の統計的な分析による本サービスの改善のため（個人を識別できない形で行います）

4.2 顧客データ

当社は、顧客データを利用企業からの委託の範囲内で、本サービスの機能（保管、検索、集計、AI による下書き・要約・構造化、通知、書類の作成等）を提供するためにのみ処理します。当社は顧客データを当社自身の営業目的や生成 AI の学習目的に利用しません。

6.1 委託

当社は、本サービスの提供にあたり、次の業務を外部の事業者に委託しています。委託先とは契約により守秘義務と安全管理措置を定め、必要かつ適切な監督を行います。

6.2 外国にある第三者への提供の根拠

6.3 の委託先はいずれも日本国外（米国）に所在するため、個人情報保護法第28条にいう「外国にある第三者」に当たります。当社は、これらの事業者が個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な体制（同法施行規則第16条に定める基準に適合する体制）を整備していることを、各社が公表する契約条件により確認したうえで提供しています。

当社は、同法施行規則第18条第1項に従い、委託先における相当措置の実施状況および所在国の制度が相当措置の実施に及ぼす影響を年1回以上確認し、相当措置の継続的な実施が困難となった場合には提供を停止します。

ご本人からお求めがあった場合、当社は、同法第28条第3項に基づき、委託先が講じている相当措置に関する情報を、第12節の窓口を通じてご提供します。

なお、米国は、個人情報保護委員会が「個人の権利利益を保護する上で我が国と同等の水準にあると認められる制度を有している外国」として指定した国ではありません。米国には連邦レベルの包括的な個人情報保護法はなく、分野別の連邦法および州法が適用されます。

6.3 委託先の一覧

6.4 利用企業の設定により送信される先

次の連携は、利用企業がご自身で接続を設定した場合にのみ行われます。接続するかどうか、どの出来事を通知するかは、利用企業が 設定＞連携 および 設定＞通知 で選択できます。

これらの連携を利用した場合、送信された情報の取扱いは各サービス提供者のプライバシーポリシーによります。

カレンダー連携を接続した方を担当者とする予約ページでは、その方の予定が入っている時間帯を予約できないようにするため、接続したカレンダーの予定の開始・終了時刻をその都度参照します。参照するのは開始・終了時刻と「空き時間として扱う予定か」「ご本人が辞退した予定か」だけで、空き時間の判定にだけ使います。予定の件名・内容・他の参加者の情報は取得も保存もしません。

カレンダー連携は、本サービスの 設定＞連携 の「接続を解除」からいつでも解除できます。各社のアカウント側で本サービスへのアクセスを取り消すこともでき、Google は「サードパーティ製のアプリとサービス」（https://myaccount.google.com/connections）、Microsoft は、個人のアカウントは https://account.live.com/consent/Manage、職場・学校のアカウントはマイ アプリ（https://myapplications.microsoft.com/）の「アプリケーションの管理」から行えます（組織の管理者が承認した連携は、組織の管理者にご依頼ください）。

Google から取得する情報の取扱い

• 取得する情報: Google カレンダー連携を接続したアカウントの識別子・メールアドレス、本サービスが作成した予定（面談）の日時・件名・場所、および予約ページの空き時間を判定するための、接続したカレンダーの予定の開始・終了時刻。本サービスが作成していない予定については、空き時間の判定のためにその都度、開始・終了時刻と「空き時間として扱う予定か」「ご本人が辞退した予定か」だけを参照し、件名・内容・他の参加者の情報は取得も保存もしません。
• 利用目的: 面談の予約・変更・取消しに合わせて、接続した方のカレンダーの予定を作成・更新・削除すること、カレンダー側で変更された日時等を本サービスの面談に反映すること、および予約ページで、接続した方の予定が入っている時間帯を予約できないようにすることに限ります。広告、利用者の追跡、生成 AI のモデルの学習には利用しません。
• 保存: アクセスのための鍵（リフレッシュトークン）は暗号化して保存します。予定の対応関係（本サービスの面談と予定の識別子）を保存します。
• 共有: 第三者に販売・提供しません。ただし、法令に基づく場合、および本サービスの提供に必要な範囲で第6.3項の委託先が取り扱う場合を除きます。
• 削除: 設定＞連携 の「接続を解除」で、Google 側のアクセス権を失効させ、当社が保管する鍵を消去します。組織を削除した場合は、関連する情報も第8節のとおり削除します。

本サービスによる Google API から受け取った情報の利用および他のアプリへの転送は、Limited Use の要件を含む Google API Services User Data Policy（https://developers.google.com/terms/api-services-user-data-policy）に準拠します。

ROSTER's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6.5 お客様が直接入力する外部サービス

導入相談の日程調整には Cal.com, Inc.（米国）が提供する予約ページを利用しています。ご予約は当社のウェブサイトではなく同社のページ上で行われ、そこでご入力いただいた内容（お名前・メールアドレス・ご希望の日時）の取扱いは、同社のプライバシーポリシーによります。ご予約が確定すると、当社には予約の日時・お申し込みの識別子・お申し込みいただいた方のメールアドレスが送信され、当社は第4節の目的（導入相談への対応）に利用します。