SkillCort Legal
プライバシーポリシー
SkillCort がプラットフォームとウェブサイト（skillcort.com とサブドメイン）の全体で個人データをどう処理するか。
SkillCort は、米国フロリダ州で登記された有限責任会社 SkillCort LLC（以下「SkillCort」「私たち」）が運営する、ワークサンプルに基づくスキル評価のプラットフォームです。
管理者の情報（SkillCort が管理者となる処理について）: SkillCort LLC — 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA。連絡先: privacy@skillcort.com。
1. 役割: 誰が管理者で、誰が処理者か
SkillCort は、二つの異なる立場で個人データを処理します。どちらの立場かによって、権利の行使をどこへ向けるべきかが決まります。
| データ主体 | 管理者 | SkillCort の役割 |
|---|---|---|
| 候補者・参加者（組織からアセスメントに招待された人） | アセスメントを実施するお客様の組織 | 処理者 — 候補者のデータは、その組織の文書化された指示にのみ従って処理します |
| お客様のアカウント利用者（プラットフォームのアカウントを持つ組織の担当者） | SkillCort | 管理者 |
| ウェブサイトの訪問者およびデモをお申し込みの方 | SkillCort | 管理者 |
あなたが候補者である場合: あなたのデータをなぜ、どのように処理するかを決めるのは、あなたを招待した組織です。プライバシーに関する請求は、まずその組織へお寄せください。私たちにご連絡いただいた場合は、遅滞なくその組織へ転送し、対応を支援します（第 10 章を参照）。
2. 何を、なぜ、どの法的根拠で処理するか
以下の表は、各処理の活動を、関わるデータ、目的、法的根拠（GDPR 第 6 条、トルコ個人データ保護法第 5 条〜第 6 条）に対応づけたものです。データは、あなたがプラットフォームを利用し、またはフォームを送信するときに、全部または一部が自動化された手段によって収集されます。
2.1 候補者のデータ（管理者: お客様の組織。適用される根拠はその組織が確認します）
| 活動 | データ | 目的 | 典型的な法的根拠 |
|---|---|---|---|
| アセスメントへのアクセス | 氏名、メールアドレス、招待・アクセスの記録 | 適切な候補者を適切なアセスメントへ通すこと | 契約の履行に必要（第 6 条(1)(b)） |
| 回答の取得 | 解答、提出されたファイル、ワークサンプルの成果物、コード | スキルの評価と採点 | 契約の履行に必要。管理者の正当な利益（第 6 条(1)(f)） |
| 技術的な記録 | IP アドレス、ブラウザー／端末の情報、セッションと操作の時刻 | セッションの安全確保、障害の切り分け、不正の防止 | 正当な利益。法的請求の確立・防御 |
| 監督 — 組織が有効にした場合のみ | 第 3 章を参照 | アセスメントの健全性 | 第 3 章を参照 |
| 評価の結果 | スコア、評価者の記録、決定の記録 | 採用・認定・育成に関する決定の基礎 | 管理者の正当な利益 |
2.2 お客様のアカウントのデータ（管理者: SkillCort）
| 活動 | データ | 目的 | 法的根拠 |
|---|---|---|---|
| アカウントの作成とサインイン | 氏名、勤務先のメールアドレス、認証の記録（パスワードレスのマジックリンク） | アカウントの開設と保護 | 契約の履行に必要 |
| 請求 | 請求先の氏名、住所、税務上の情報 | 法令上求められる請求書の発行 | 法的義務 |
| 製品内の操作の記録 | 利用者の操作ログ、監査証跡 | セキュリティ、説明責任、確認できる決定の履歴 | 正当な利益 |
| サービスに関する連絡 | メールアドレス | 招待、通知、取引メール | 契約の履行に必要 |
2.3 ウェブサイトの訪問者とマーケティング（管理者: SkillCort）
| 活動 | データ | 目的 | 法的根拠 |
|---|---|---|---|
| デモのお申し込みフォーム | 氏名、勤務先のメールアドレス、会社名、チームの規模 | お申し込みの検討とご返答 | あなたの求めに応じた契約前の手続き |
| サイトの解析 | ページの閲覧数と集計された利用の指標（Vercel Web Analytics） | サイトの性能の計測 | 正当な利益 — クッキーを使わないことを検証済み: サイトはクッキーを設定せず、解析のスクリプトはクッキーも永続的な識別子も使いません（コード監査、2026年8月3日） |
| マーケティングのメール | メールアドレス | 製品のお知らせ | あなたの同意がある場合のみ。すべてのメールに配信停止のリンクを含みます |
これらの表を超える目的であなたのデータを処理することはありません。新しい目的が生じた場合には、まずお知らせし、必要な場合には同意をいただきます。
3. 監督のデータ — 個別の開示
監督の機能は既定でオフです。実施する組織が有効にした場合にのみ動き、しかもアセスメントが始まる前に候補者へ明確に伝えられ、別個の明示的な同意を得たあとにのみ動きます。候補者へ示されていないものが監視されることはありません。
組織の設定によって、監督は次のものを処理することがあります。
- カメラ: 一定間隔の写真（30 秒ごと）または連続した映像の記録
- 画面: 一定間隔のスクリーンショットまたは連続した画面の記録
- 行動に関する不正防止のシグナル: タブや焦点の切り替え、全画面からの離脱、コピー／貼り付けの出来事、印刷の試み、回答欄への大きな貼り付け、切断、そして生存を示すハートビート
シグナルの仕組み（プロファイリングに関する開示）: これらの出来事は時系列に記録され、規則に基づく計数によって不正防止の要約（「問題なし／軽微な出来事／要確認」）へまとめられます。これは GDPR 第 4 条(4)にいうプロファイリングに当たる場合があります。私たちは次のことをお約束します。
- 単独のシグナルが候補者を自動的に不合格にすることは決してありません。 シグナルは人の確認者に文脈を与えるだけであり、評価の決定は常に人にあります（第 8 章を参照）。
- AI が支え、人が判断します: 確認者がセッションを開くと、AI がカメラのコマ、画面の記録、マイクの書き起こしを走査し、開いて見る価値のある瞬間に印を付けることがあります。すべての印には、人による明示的な確認または取り下げの判断が付きます。AI が受験中に無人で走ることはなく、決めることもありません。
- プラットフォームはギャラリーに対する自動の顔照合も顔認識も行わず、生体テンプレートを保存しません。また候補者どうしの本人の照合も行いません。組織が本人確認の確認を有効にした場合、候補者のセッションの自撮り、身分証の写真、および組織が任意で用意した参照写真が、権限のある確認者に並べて示されます。名前の分かる確認者が本人確認の判断と時刻を記録します。それでもカメラの記録には人の映像が含まれるため、お客様の組織には、自らの法域における特別な類型のデータの要件に照らして評価していただくことを期待しています。
- 釣り合い: 組織は必要なものだけを有効にできます（映像ではなく写真、画面のみ、など）。私たちは、そのアセスメントの目的を満たす、最も踏み込みの少ない設定をお勧めします。
保持と削除: 監督の記録のファイル — カメラ、画面、マイクの取得、セッションの自撮り、身分証の画像、そして本人確認の確認で使われた参照写真の版を含みます — および不正防止のシグナルの出来事の記録は、組織が設定した期間（既定: 90 日）の終わりに自動的に削除されます。組織は、受験の単位の記録および不正防止のシグナルの出来事について、より早い削除を実行できます。記録以外の本人確認の確認の記録（判断、名前の分かる確認者と時刻、記録、そしてすでに削除されているかもしれない記録への識別子や参照）は、別のアセスメントデータの保持期間（既定: 24 か月）に従います。
4. AI が支える機能
- AI が候補者について決定を下すことはありません。その出力は、人の評価者が確認するシグナルです。
- アセスメントで AI が使われるとき、候補者はそのことを知らされます。
- モデルの学習: 私たちの AI の副処理者は、この内容で学習しないことを義務づけられています（OpenAI は API の内容を学習に使わず、不正利用の監視のために入力を最長 30 日保持します。Anthropic の商用条件は顧客の内容での学習を禁じています）。SkillCort は候補者のデータでモデルを作りません。アバターの描画が受け取るのは作成された設問の文だけで、候補者のデータを受け取ることはありません。
- 顧客をまたぐ候補者のプロファイル、隠れた評価スコア、共有される候補者の記憶を、私たちは作りません。
5. データの共有先
私たちは個人データを販売しません。以下の受領者に対して、記載された目的のためにのみ開示します。
| 受領者 | 目的 | 所在 |
|---|---|---|
| お客様の組織（候補者のアセスメントを実施する組織） | 管理者への結果と記録の提供 | その組織の国 |
| Supabase（データベース、ファイルの保管、認証） | ホスティングの副処理者 | データはドイツ・フランクフルト（EU）にホスト |
| Vercel（アプリケーションのホスティング、クッキーを使わないサイト解析） | ホスティングの副処理者 | フランクフルト（EU — fra1）。米国法人（DPF 認証） |
| Resend（取引メール） | 招待と通知のメールの配信 | 米国 — 北バージニア（DPF 認証） |
| OpenAI（音声認識、音声合成、確認者が起動する監督の記録の AI による確認、ライブ AI 面接役の発話） | AI の副処理者 | 米国（DPF 認証）。API の内容での学習なし。不正利用の監視のための保持は 30 日以内 |
| Anthropic（評価の要約、提案、下書きのための既定の AI モデル） | AI の副処理者 | 米国。この内容での学習を契約上禁止 |
| HeyGen / LiveAvatar（面接役のアバターの描画と配信） | アバターの副処理者 — 受け取るのは作成された設問の文だけで、候補者のデータは送られません | 米国（DPF 認証） |
| Cloudflare（ライブのウェブカメラ表示の最中のみ） | ライブのカメラ映像のリアルタイムの中継（記録されません） | グローバルネットワーク。米国法人 |
| 公的機関 | 法令上求められる場合に、検証された求めに応じて | — |
すべての副処理者との間でデータ処理契約（DPA）を締結しています。副処理者の一覧の変更は、このページでお知らせします。
6. 国際的な移転
プラットフォームのデータは欧州連合（ドイツ・フランクフルト — Supabase と Vercel）にホストされます。SkillCort は米国に設立されているため、サービスの運営のためにデータは米国からアクセス可能です。取引メール（Resend）と AI の処理（OpenAI、Anthropic、HeyGen）は、第 5 章に記載のとおり米国で行われます。
- トルコからの移転は、トルコ個人データ保護法第 9 条（2024年改正）に基づきトルコ個人データ保護機関が公表する標準契約に依拠し、法定の期間内に同機関へ届け出ます。
- EU／英国から米国へのアクセス・移転は、GDPR 第 46 条に基づき各提供者が締結した標準契約条項に依拠し、提供者が認証を受けている場合には EU・米国データプライバシーフレームワーク（Vercel、Resend、OpenAI、HeyGen — 2026年8月3日に確認）にも依拠します。文書化された移転影響評価と補完的措置がこれを支えます。
7. 保持
私たちは、データの類型ごとに、あらかじめ、文書化できる形で保持期間を定めています。
| データの類型 | 期間 |
|---|---|
| 監督の記録および不正防止のシグナルの出来事 | 組織の設定による（7〜3650 日、既定 90 日）。日次の処理により自動的に削除されます。これには本人確認で取得した記録と、確認で使われた参照写真の版が含まれます。組織は、受験の単位の記録および不正防止のシグナルの出来事について、より早い削除を実行できます。 |
| 記録以外の本人確認の確認の記録 | 判断、名前の分かる確認者、時刻、記録、そして削除された記録への参照は、関連するアセスメントの記録の期間（既定 24 か月）に従います。参照が残っていても、削除された記録が保たれたり戻ったりすることはありません。 |
| 候補者の回答、スコア、評価者の記録、結果の記録 | SkillCort が組織に代わって処理する場合: その組織が適法に設定した期間。設定がない場合は、アセスメントのセッションの完了から 24 か月。組織の文書化された指示があればより早く削除します。法令がより長い期間を求める場合、または法的請求の確立、行使、防御のために必要な場合には、厳密に必要な期間と範囲でのみ保持します。この日程は日次の自動削除の処理によって守られます。組織は設定 → データで自らの期間を定めます。 |
| アカウントのデータ | アカウントが存続するあいだ。その後は以下のアカウント閉鎖の日程に従って削除します。 |
| アカウントまたは契約の終了 | お客様のデータは終了後最長 30 日間書き出せる状態に保たれ、その後、稼働中の本番システムから削除されます。残存する暗号化されたバックアップの複製は、通常のバックアップの周期を通じて最長 90 日以内に削除または上書きされます。法令上求められる記録と、法的請求のために厳密に必要な記録は除きます。 |
| セキュリティ、アクセス、監査のログ | 説明責任のため、バックアップとは別に 24 か月保持し、日次の自動削除の処理によって守られます。 |
| 請求の記録 | 法定の税務上の保持期間 |
| デモのお申し込みの記録 | 最後のやり取りから 24 か月。お取引が始まった場合を除きます。 |
| 削除の請求 | 確認された請求は 30 日以内に対応します。 |
スコアと決定の履歴の監査の記録は、説明責任のため追記しかできない形で保持され、保持の規則の対象であり続けます。災害からの復旧のために日次の暗号化されたバックアップがあります。削除は、バックアップが周期を巡るにつれて、最長 90 日以内にそこへも及びます。
8. 自動化された意思決定とプロファイリング
私たちは、あなたについて法的な効果またはそれに類する重大な影響を生じさせる、もっぱら自動化された決定を行いません（GDPR 第 22 条）。不正防止のシグナルと AI の出力にはプロファイリングの要素が含まれることがあります（第 3 章〜第 4 章を参照）。それらは常に人の確認の対象です。異議の申し出のしかたは第 10 章を参照してください。
9. セキュリティ
データは通信中も保管時も暗号化されます。テナントのデータは分離され、アクセスは役割に基づく最小限の権限の制御に従います。監督の記録は非公開のバケットに保管されます。バックアップは日次で実行されます。不正なアクセスを検知した場合には、所管の機関へ、そして必要な場合にはあなたへ通知します（GDPR 第 33 条〜第 34 条、トルコ個人データ保護法第 12 条(5)）。インターネット上の通信の方法で 100% 安全なものはありません。
10. あなたの権利と、その行使のしかた
GDPR 第 15 条〜第 22 条およびトルコ個人データ保護法第 11 条に基づき、あなたは自分のデータにアクセスし、訂正し、消去を求め、処理を制限し、移転について知り、可搬な複製を受け取り、異議を述べ、自動化された結果に異論を唱えることができます。処理が同意に基づく場合、あなたはいつでも将来に向けてその同意を撤回できます。
- 候補者の方: 請求は、あなたを招待した組織へお寄せください。privacy@skillcort.com へご連絡いただいた場合は、遅滞なくその組織へ転送します。
- アカウントの利用者およびサイトの訪問者の方: privacy@skillcort.com までご連絡ください。30 日以内に無償でご返答します。
- ご納得いただけない場合には、トルコ個人データ保護委員会（kvkk.gov.tr）へ、または GDPR が適用される場合にはお住まいの監督機関へ苦情を申し立てることができます。
11. クッキー
厳密に必要なクッキー（セッション、セキュリティ）は同意なしに動きます。それ以外のクッキー（使う場合の解析を含みます）は既定でオフであり、あなたのオプトインの同意があるときにのみ動きます。それぞれのクッキーの名前、目的、期間、当事者はクッキーポリシーを参照してください。
12. 変更
実質的な変更は、新しい発効日とともにこのページでお知らせします。登録利用者にはメールでも通知します。以前の版は、ご請求により提供します。
13. 連絡先
SkillCort LLC
7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA
メール: privacy@skillcort.com