セキュリティ・AIガバナンス

登録番号はGIJP-2161-ICです。

個人情報の取り扱いについても、内部監査と経営による見直し（マネジメントレビュー）を行っています。

診断で見つかった点は、深刻度に応じて対応しています。

方針は少なくとも年に1回見直し、個人データの取得・利用・保存・提供・削除の段階ごとの取り扱いを、社内の規程で定めています。個人情報保護方針（プライバシーポリシー）は、当社のWebサイトで公開しています。

就業規則にも、秘密保持と個人情報の管理の義務、違反したときの懲戒を定めています。

ISO/IEC 27001の認証書の写しや、第三者による侵入テストの実施の概要などをご用意しています。お問い合わせフォームからご連絡いただければ、担当者から資料のお渡しとチェックシートの受け取り方をご案内します。

当社は自社のサーバー設備を持たず、クラウド事業者のデータセンターを利用しています。データを処理する場所などの詳細は、お問い合わせください。

保管するデータは当社が管理する鍵で暗号化し、鍵は定期的に更新しています。Webサイトとの通信には、常にHTTPSを使うよう強制しています。

評価に使うAIには、候補者の氏名やメールアドレスを渡しません。候補者へのフィードバックの文章は、氏名や第三者の固有名などを書かないようAIに指示したうえで、送付の前に貴社が確認・編集できます。

候補者や企業からの削除のご依頼にも応じます。候補者の方は、受験した企業、または当社の窓口からご依頼いただけます。

SSOは貴社のドメインの所有を確認したうえで設定し、SSO以外でのログインを認めない設定もできます。メンバーの招待や役割の変更、SSOの設定はオーナーだけが行えます。選考ごとに、候補者の登録、評価の確認、評価の閲覧のみといった権限を担当者に付与できます。

ログインに一定回数続けて失敗するとアカウントを一時的にロックし、そのときログインしている状態も無効にします。オーナーは管理画面からロックを解除できます。ログインは8時間で自動的に切れます。SSOでログインする場合は、貴社のID管理の仕組み（IdP）で設定した多要素認証が、そのまま適用されます。SSO以外でのログインを認めない設定と組み合わせれば、管理画面へのログインに、貴社の多要素認証を必ず求めることができます。

記録は一元的に管理し、不正な閲覧や持ち出しの兆候がないかを確認しています。記録の確認が必要な場合は、お問い合わせください。

確認コードは、短い時間だけ有効です。入力の誤りが続くと、リンクを一時的にロックします。1つの受験は1台の端末でしか進められず、別の端末から開くと、改めて確認コードでの確認が必要になります。

Standard Plan以上では、タブの切り替え、全画面の解除、コピーや印刷の試み、外部ディスプレイの接続などの操作を記録します。プランと選考によっては、スマートフォンをセカンドカメラとして使い、手元や周りの様子も確認します。これらの記録は評価（スコア）には使わず、確認が必要な受験を見つけるためだけに使います。

AIが映像や操作の記録から気になる点を整理し、担当者が記録を見て確かめられるようにしています。

規約では、データを受験企業に代わって取り扱うこと、受験中は映像と音声を記録すること、AIの結果は参考情報で合否は企業が判断すること、受験中に生成AIや他人の助けを使ってはいけないことなどを説明しています。同意した日時と規約の版は記録します。

候補者は、メールに届く確認コードを入力してフィードバックを閲覧します。閲覧できるのは、送付からおよそ1か月です。

利用しているAIサービスや、処理を行う場所などの詳細は、お問い合わせいただければご案内します。

利用している外部のAIサービスとも、データを学習に使わない契約・設定にしています。

映像と音声は、受験の記録と公正さの確認にだけ使い、評価や感情の推定、本人の特定（生体認証）には使いません。年齢・性別・国籍などの属性や、職務経歴書などの書類も評価には使いません。

採点は、評価の観点ごとに文書で定めた基準に沿って行います。

採用担当者は、スコアの根拠と受験の記録をたどって、評価を確かめ、説明することができます。

AIは評価基準に基づいてスコアと根拠をまとめるところまでを担い、合否を単独で決めることはありません。

評価の入力をシミュレーションの中で話された内容に限り、評価基準は実際の受験の記録をもとに継続的に見直しています。公平性の設計にあたっては、総務省・経済産業省の「AI事業者ガイドライン」など、国内の行政指針を参考にしています。

候補者の発言を指示として扱わないよう、AIへの渡し方と、返せる結果の形式を定めています。