プライバシーポリシー

1. 個人情報保護方針

キリハレ株式会社（以下「当社」といいます）は、HR Tech領域のSaaSサービス（ハラスメント判定AI、ストレスチェック、健康診断管理、エンゲージメント調査、退職予測等）を提供する事業者として、お客様企業の従業員の方々の心身の健康・職場環境に直結する情報をお預かりしています。なかでも、ストレスチェック結果・健診結果・医師面接記録・ハラスメント相談内容といった要配慮個人情報および機微性の高い情報を恒常的に取り扱う立場にあることを深く認識しています。

このような事業特性を踏まえ、当社は個人情報の保護を経営の最重要課題のひとつと位置付け、以下の方針に基づき個人情報保護マネジメントシステム（PMS）を構築・運用し、継続的に改善していきます。

1. 事業の用に供する目的の明示

   当社は、HR Tech SaaS事業（ハラスメント判定AIおよび関連プロダクト群、ストレスチェック・健診管理・エンゲージメント調査・退職予測等のサービス提供）、ならびにこれに付随する顧客サポート・契約管理・採用・経理・人事労務業務等のために個人情報を取得・利用します。具体的な利用目的は本書に明示し、目的の達成に必要な範囲を超えて利用することはありません。

2. 個人情報の適正な取得・利用・提供

   当社は、適法かつ公正な手段により個人情報を取得し、本人の同意を得た利用目的の範囲内でのみ取り扱います。要配慮個人情報（健康情報を含む）の取得については、原則としてあらかじめ本人の同意を得るものとし、目的外利用および同意なき第三者提供は行いません。なお、お客様企業の人事・管理者に対するハラスメント相談内容の共有等、サービスの性質上必要となる第三者提供については、利用目的および提供先を本人にあらかじめ明示し同意を取得する運用を徹底します。

3. 法令・国が定める指針その他の規範の遵守

   当社は、個人情報の保護に関する法律（個人情報保護法）、労働安全衛生法、労働基準法、マイナンバー法、ならびに個人情報保護委員会のガイドライン、JIS Q 15001:2023、JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」その他関係法令・規範を遵守します。

4. 安全管理措置の実施

   当社は、個人情報の漏えい、滅失またはき損の防止、その他個人情報の適切な管理のために、組織的・人的・物理的・技術的の各観点から必要かつ適切な安全管理措置を講じます。とりわけ要配慮個人情報については、アクセス権限の最小化、暗号化、アクセスログの取得・監視等、追加的な保護策を実施します。

5. 委託先の適切な管理

   当社は、個人情報の取扱いを外部に委託する場合、委託先の選定基準を定め、契約により個人情報の安全管理に関する事項を明確化したうえで、定期的に委託先の取扱状況を確認します。クラウドインフラ事業者・LLM API事業者・決済事業者・メール配信事業者・その他外部APIを利用する場合も同様の管理を行います。

6. 外国にある第三者への提供（越境移転）への対応

   当社は、サービス提供のため米国その他の外国にある第三者に個人データを提供する場合があります。この場合、個人情報保護法第28条に基づき、移転先国名、当該外国における個人情報保護に関する制度の情報、および当該第三者が講ずる個人情報の保護のための措置に関する情報を、あらかじめ本人に提供したうえで同意を取得する運用を徹底します。

7. 個人情報に関する本人の権利への対応

   当社は、保有個人データに関する本人からの開示・訂正・追加・削除・利用停止・第三者提供停止の請求、ならびに第三者提供記録の開示請求に対し、法令に定める手続に従って遅滞なく対応します。窓口は本書に明示します。

8. 苦情および相談への対応

   当社は、個人情報の取扱いに関する苦情および相談に対応するため、専用の窓口を設置し、本人からの問合せに誠実かつ迅速に対応します。窓口の連絡先は本書に明示します。

9. 個人情報保護マネジメントシステムの継続的改善

   当社は、JIS Q 15001:2023に準拠した個人情報保護マネジメントシステム（PMS）を構築・運用し、定期的な内部監査およびマネジメントレビューを通じて、その有効性を継続的に見直し改善します。あわせて、HR Tech SaaSという事業領域における個人情報を取り巻く環境変化（法改正、AI規制動向、海外移転規律の変更等）を監視し、PMSへ適時に反映します。

10. 全従業者への周知・教育

    当社は、本方針および関連する規程・手順を全従業者（役員、従業員、業務委託契約者等を含む）に周知するとともに、年1回以上の教育を実施し、個人情報保護に関する認識と力量の向上を図ります。

制定日

2026年5月8日

最終改定日

2026年8月19日

事業者の代表者

代表取締役 佐藤 元輝

個人情報保護管理者

佐藤 元輝（代表取締役兼任）

個人情報保護監査責任者

佐藤 彩和佳

2. 事業者情報

本書は、当社「個人情報保護方針」に基づく具体的な取扱事項を定めたものであり、当社ホームページにおいて公表します。本書は、当社の以下の事業活動に伴って取得・利用する個人情報を対象とします。

• HR Tech SaaS の提供業務（ハラスメント送信前判定および事後分析、ストレスチェック、健康診断結果管理、過重労働判定、エンゲージメント調査、退職予測、ハラスメント相談、カウンセリング、会議録音・文字起こし・要約等）
• 顧客サポート、契約管理、請求・入金管理
• 自社の人事労務管理（採用、雇用契約、給与・社会保険、評価、退職管理）
• 委託先管理および取引先管理

3. 取得する個人情報の項目および利用目的

当社は、以下の利用目的の達成に必要な範囲で個人情報を取得・利用します。

3.1 顧客企業の従業員（サービスエンドユーザー）

3.2 顧客企業の管理者・担当者

3.3 当社サービスへのお問合せ者・採用応募者・取引先担当者・カウンセラー

4. 個人情報を与えることの必要性・任意性

JIS Q 15001:2023 表C.1（表示事項整理表）A.7 b)、ならびに個人情報保護法第21条に基づき、書面または電磁的記録（Webフォーム、API連携、CSVインポート、アプリ画面入力等）により本人から直接個人情報を取得する場面ごとに、当該情報の入力が必須か任意か、および提供されない場合に本人へ生じる結果を以下のとおり明示します。

4.1 入力必須の項目（提供されない場合は当該機能が利用できない）

4.2 任意項目（提供されない場合でも本人に直接の不利益は生じない）

4.3 法令上の義務に基づき取得する項目

事業者として法令上取得・記録が義務づけられている情報（健康診断結果のうち労働安全衛生規則上の必須項目、ストレスチェックの実施記録、過重労働判定の根拠データ等）は、当社が顧客企業から委託を受けて取り扱います。法令上の義務の範囲については、エンドユーザーへの周知は顧客企業（取扱事業者）の責任で行う前提とし、当社はその通知文ひな型および同意取得画面を提供します。

5. 要配慮個人情報および機微性の高い情報の取扱い

5.1 該当する情報

5.2 取得・利用の原則

• 取得時に利用目的および第三者提供の有無を明示し、本人の同意を得たうえでのみ取得します。
• 同意なき目的外利用および同意なき第三者提供は行いません（個情法第18条・第27条）。
• アクセス権限を業務上必要な最小限の従業者および顧客企業の指定管理者に限定します。
• 録音を含む会議記録については、録音開始時に当該事実を会議参加者全員に明示し（録音開始時の音声告知およびUI上の録音中表示）、参加者の同意のもとで取得します。

6. 個人情報の取得方法

当社は、以下の方法により個人情報を取得します。

• 顧客企業から委託または提供される従業員データ（CSVインポート、API連携、SCIM等）
• 当社SaaSサービス上で本人が入力する情報（ストレスチェック回答、相談内容、エンゲージメント回答等）
• 顧客企業の管理者が当社サービス上で入力する情報
• 当社ホームページのお問合せフォーム、メール、書面、採用応募フォーム等
• Slack / Microsoft Teams / Microsoft Outlook / Gmail / Chatwork / ブラウザ拡張機能 / Officeアドイン等を経由する送信前判定対象メッセージ（顧客企業の同意およびエンドユーザー周知のもと）
• バッチ処理によるSlack / Microsoft Teams / Chatwork / Gmailからの過去メッセージ収集（顧客企業のOAuth同意に基づく）
• 健診結果画像のアップロード・OCR処理（健診管理機能）
• キリハレ AI 応対へ入力または連携される受信メール本文、宛先・差出人、返信案、組織ポリシー、社内ナレッジおよび承認・監査記録
• 会議録音および文字起こし（会議録音・文字起こしアプリのローカル録音 + クラウド文字起こしパイプライン）

なお、エンドユーザー（顧客企業の従業員）への利用目的通知は、原則として顧客企業（取扱事業者）が就業規則・社内通達等で実施し、当社は通知文ひな型および同意取得画面を提供する立場です（顧客企業との業務委託契約および利用規約に基づく）。当社サービスログイン時においても、利用目的および第三者提供の概要を表示する同意取得画面を提供します。

7. 第三者提供

7.1 国内の第三者提供

当社は、以下の場合を除き、本人の同意なく個人データを第三者に提供しません。

• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要であって本人の同意を得ることが困難であるとき
• 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合
• 国または地方公共団体等への協力のため必要な場合

7.2 顧客企業の人事・管理者への提供

当社サービスの性質上、顧客企業の人事担当者・指定管理者・産業医に対し、当該従業員の以下の情報を提供する場合があります。提供範囲は顧客企業との利用規約および本人同意の範囲に従います。

7.3 委託に伴う提供（第三者提供には該当しない取扱い）

当社は、利用目的の達成に必要な範囲で、個人データの取扱いを以下の事業者に委託します（個情法第27条第5項第1号）。委託先は当社の選定基準を満たし、契約により安全管理および利用範囲を明確化しています。

上記委託先一覧は委託事業者管理台帳と同期し、稼働状況の変動にあわせて随時更新します（最終照合は同台帳の年次レビューにて実施）。

7.4 第三者提供記録の作成・保存

第27条第1項各号該当の第三者提供を行った場合は、提供年月日・提供先・対象本人・対象個人データ項目等を記録し、3年間保存します（個情法施行規則第20条準拠）。

8. 外国にある第三者への個人データの提供（越境移転）

当社は、サービス提供のため、外国にある事業者へ個人データの取扱いを委託する場合があります。個人情報保護法第28条に基づき、本人同意を根拠とする場合は必要な情報をあらかじめ本人へ提供します。個人情報取扱事業者と同等の相当措置を継続的に講ずる体制を契約等で確保する方法を採る場合は、その実施状況を継続確認し、本人の求めに応じて必要な情報を提供します。

8.1 提供先・提供国・対応スキーム

上表は契約事業者と主な処理地域を示します。Pマークまたは個人情報保護法が国外処理を一律に禁止するものとは扱わず、委託契約、相当措置、外的環境、再委託先および取扱状況を継続確認します。キリハレ AI 応対の現行本番では Cloudflare Workers AI へ本文を送りません。日本国内固定を保証しない経路を有効にする場合は、その事実と実設定を契約ごとに開示します。

8.2 移転先国（米国）における個人情報保護制度の概要

当社は、移転先国における個人情報保護制度の情報を、個人情報保護委員会が公表する「外国における個人情報の保護に関する制度等の調査」（出典: 個人情報保護委員会 https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/#gaikoku）に基づき、本人へ別途提供します。

• アメリカ合衆国: 連邦レベルの包括的な個人情報保護法は未制定。州法（カリフォルニア州CCPA/CPRA、バージニア州VCDPA、コロラド州CPA、コネチカット州CTDPA、ユタ州UCPA等の包括法）および分野別法（HIPAA：医療情報、GLBA：金融情報、COPPA：児童情報、FCRA：信用情報等）が存在する。OECD 8原則およびAPEC越境プライバシー規則（CBPR）の参加国。

その他、移転先国の制度情報は委託事業者管理台帳に追記し、必要に応じて本人への情報提供文書を更新します。

8.3 第三者が講ずる個人情報の保護のための措置

各事業者は、自社プライバシーポリシーおよびデータ処理契約（DPA）において、暗号化、アクセス制御、運営者従業員の機密保持義務、サブプロセッサ管理等の保護措置を講じています。詳細は委託事業者管理台帳および各事業者の公表資料を参照ください。代表的な保護措置の例:

• Microsoft（Azure OpenAI）: ISO/IEC 27001、ISO/IEC 27018、SOC 2 Type II認証
• Amazon Web Services（Bedrock）: AWSの認証・コンプライアンスプログラムおよび共通責任モデルに基づく管理
• Cloudflare: ISO/IEC 27001、SOC 2 Type II認証
• Stripe: PCI DSS Level 1準拠、SOC 1/2 Type II認証

8.4 サービス別の生成AI・音声認識の取扱い

EAP の AI 相談、キリハレ AI 応対、FAQ、キリハレミーティングは、モデル、保存基盤、送信する情報と契約上の設定が異なります。一つの標準経路として扱いません。

EAP の AI お悩み相談

• AssemblyAI の米国 LLM Gateway への別々の呼び出しで返信下書きと品質レビューを行います。どちらも Terra を主モデルに指定し、Gateway 内の一段代替として Luna も指定します。レビューでは共感、協働・自律性、安全性等を確認し、完了できない場合は未審査の下書きを表示しません。
• Gateway の一時的な障害時は Azure OpenAI の Terra へ退避します。キリハレ AI 応対のメール生成・校閲とは別の処理です。

キリハレ AI 応対

• 本番の受付・本命起草・批評・統合・校閲・必要時の昇格は、Microsoft Azure の GlobalStandard 配備で処理します。処理されるリージョンは固定されず、日本国内リージョン処理ではありません。
• Azureへ送信した入力・出力はOpenAIその他のモデル提供者へ提供されず、Microsoftとモデル提供者は許可なく基盤モデルの学習または製品改善に使用しません。当社は状態を保持するAPI機能を使いません。
• Azureの不正利用監視により、検知された入力・出力の一部が一定期間保存され、権限を付与された担当者の確認対象になる場合があります。当社は適用範囲を継続確認し、変更時は本書を更新します。
• 現行本番では、サービス全体の複数モデル処理と AWS 経路をともに無効にし、19種すべてをAzureのLuna単体で処理します。受付役の意図判定によりLuna単体・安価合議・強力合議を切り替える経路は実装済みですが、契約者設定だけでは有効になりません。
• AWS Bedrock経路を使う場合は、運用者がサービス全体と AWS 経路を有効にし、契約者側でも複数モデル処理を有効にする必要があります。対象案件の受信本文・根拠材料を東京リージョンへ送り、Azureの批評役とLunaが最終統合・校閲を行います。モデル提供者は配備アカウント、ログ、顧客の入力・出力へアクセスできません。当社は固定モデルID、最小権限IAM、実効データ保持方式を継続確認します。
• Cloudflare Workers AIの従来合議経路も実装には残っていますが、現行本番では無効です。サービス全体と契約者側の複数モデル処理を有効にし、運用者が検証経路として明示指定した場合だけ動きます。Cloudflareは明示的な同意なくWorkers AIの入力・出力をモデル学習やサービス改善に使いません。保存サービスを組み合わせない一方、推論処理を日本国内へ固定するものではありません。
• 複数モデル処理を無効にしても生成機能は継続し、全案件でAzureのLuna単体経路を使います。
• 品質評価では、実在の顧客データを用いず合成したテストデータに限り、AssemblyAI等の検証用APIを利用する場合があります。
• Together AIはキリハレ AI 応対の本番生成には使用しません。

FAQ

• 当サイトの公開 FAQ は承認済みの FAQ 正本から事前生成する静的ページです。ページの閲覧や、ページ内の質問の開閉だけでは LLM へ文章を送信しません。
• 契約機能の FAQ チャットを利用する場合は、利用者の質問、直近の会話、承認済み FAQ 記事の必要範囲を AssemblyAI Gateway の Terra へ送信し、一時障害時は Azure OpenAI の Terra へ退避します。

キリハレミーティング

• 標準構成は Cloudflare のデータベース・オブジェクトストレージに保存し、文字起こしは当社管理 ASR、議事録・要約・アクション項目の標準 AI 生成は AssemblyAI Gateway を使います。標準構成は日本国内だけに限定されません。
• Enterprise の国内構成は、契約と実設定に応じて東京・大阪のデータベース構成、東京ストレージ、Azure OpenAI Japan East 等を使います。適用範囲は契約書と実設定を優先します。

9. 保有個人データに関する事項（個情法第32条対応）

9.1 保有個人データの利用目的

第3項に記載のとおりです。本人から個別の利用目的の通知を求められた場合、当社は遅滞なく回答します。

9.2 開示等の請求等の手続

本人または代理人は、当社に対し、保有個人データの以下の請求を行うことができます。

• 利用目的の通知の求め
• 開示請求（第三者提供記録の開示を含む）
• 訂正・追加・削除の請求
• 利用停止・消去・第三者提供停止の請求

受付窓口

必要書類

• 当社所定の請求書（当社ホームページからダウンロード）
• 本人確認書類の写し（運転免許証・マイナンバーカード等。代理人の場合は委任状および代理人の本人確認書類）

回答方法

原則として、ご請求者ご本人の住所宛に書面（簡易書留）または、ご本人の同意があれば電子メールにて回答します。

手数料

• 利用目的の通知および開示請求につき1件あたり ¥1,000
• 訂正・追加・削除・利用停止等の請求は無料

9.3 安全管理のために講じた措置の概要

当社は、保有個人データの安全管理のため、以下の措置を講じています（詳細は安全管理規程に定めます）。

• 基本方針の策定: 個人情報保護方針および各種規程の策定
• 個人データの取扱いに係る規律の整備: 取得・利用・保存・提供・削除等の各段階での取扱規程の整備
• 組織的安全管理措置: 個人情報保護管理者の選任、従業者の責任明確化、漏えい等事案への対応体制の整備
• 人的安全管理措置: 従業者への定期教育（年1回以上）、誓約書の取得
• 物理的安全管理措置: 業務エリアへの入退室管理、機器の盗難防止、書類・記録媒体の施錠管理
• 技術的安全管理措置: アクセス制御（顧客企業のHR / adminロールベースの権限分離を含む）、認証、ログ取得、暗号化、不正アクセス対策、データバックアップ、APIキーのハッシュ化保存
• 外的環境の把握: 委託先・越境移転先の所在国（米国）における個人情報保護制度を把握し、必要な対応を実施

9.4 個人データの保管期間

当社は、利用目的を達成するために必要な期間、個人データを保管し、保管期間経過後は遅滞なく廃棄します。主要な保管期間は以下のとおりです（個人情報保護法およびJIS Q 15001:2023に基づき、業界標準的な期間として設定）。

保管期間を超えて保管する必要がある場合（法令上の証憑保存義務、係争対応等）には、当該必要性が解消するまで延長します。

10. 苦情・相談窓口

個人情報の取扱いに関する苦情・相談・お問合せは下記までお寄せください。

11. 認定個人情報保護団体

当社は、本書作成時点（2026年5月8日）において、認定個人情報保護団体に加入していません。将来、加入した場合には本書に当該団体の名称および苦情申出先を追記します。

12. クッキー（Cookie）等の取扱い

当社ホームページでは、利便性向上およびアクセス解析のためクッキーを利用する場合があります。利用者はブラウザ設定により受入れを拒否できますが、その場合、当社サービスの一部機能をご利用いただけない可能性があります。

当社ホームページで実装されている主なトラッキング・解析ツールは以下のとおりです。これらは個人関連情報を含み得るため、提供先で個人データとなることが想定される場合は、個情法第31条に基づき本人同意を取得します（同意取得はLP上のクッキーバナーにて実施）。

• Google Tag Manager
• Google Analytics
• Facebook Pixel（Meta Platforms, Inc.）
• Google Adsコンバージョン
• Microsoft Clarity
• X（Twitter）Universal Tag（X Corp.）

13. 制定日・改定履歴

制定日

2026年5月8日

最終改定日

2026年8月19日

事業者の代表者

代表取締役 佐藤 元輝