プライバシーポリシー

第1条（総則）

株式会社ExecutiveSearch.AI（以下「当社」といいます。所在地：〒150-0012 東京都渋谷区広尾1-1-39 恵比寿プライムスクエアタワー4F）は、当社が運営するAI人材特定プラットフォーム「Headhunt.AI」（以下「本サービス」といいます。）に関連して取り扱う個人情報の保護について、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）、職業安定法、人工知能関連技術の研究開発及び活用の推進に関する法律（令和7年法律第53号。以下「AI推進法」といいます。）その他の関係法令およびガイドラインを遵守し、以下のとおりプライバシーポリシー（以下「本ポリシー」といいます。）を定めます。

第2条（個人情報取扱事業者）

名称：株式会社ExecutiveSearch.AI

代表者：代表取締役 ホインスキーケネスチャールズ

親会社：株式会社モンスターラボ（東証: 5255）

特定募集情報等提供事業届出受理番号：届出済（受理番号は取得次第、本欄に記載いたします。）

個人情報保護管理者：代表取締役

第3条（定義）

本ポリシーにおいて、以下の用語は次の意味を有します。

（1）「個人情報」とは、個人情報保護法第2条第1項に定義される情報をいいます。

（2）「個人データ」とは、個人情報保護法第16条第3項に定義されるデータをいいます。

（3）「利用者」とは、本サービスの利用契約を締結した法人または個人事業主をいいます。

（4）「候補者情報」とは、当社が適法に取得し本サービスのデータベースに格納する個人の個人情報を含む職業関連情報をいいます。

（5）「利用者情報」とは、利用者に関する個人情報をいいます。

（6）「ATS連携データ」とは、利用者が本サービスのATS連携機能を通じて当社に委託して処理させるデータをいいます。

（7）「利用者担当者」とは、利用者が指定する本サービスのアカウント利用者をいいます。

第4条（候補者情報の取得）

1. 当社は、候補者情報を、適法に事業を行う第三者データプロバイダーとの商業ライセンス契約に基づき取得します。

2. 当社は、候補者本人から直接個人情報を取得することはありません（候補者本人が当社に直接お問い合わせいただいた場合を除きます。）。

3. 候補者情報に含まれるカテゴリー：

（a）氏名

（b）現在および過去の所属組織名・役職名

（c）職務経歴

（d）学歴

（e）AIによる推定情報（推定年齢、推定年収水準、推定語学力等）

（f）公開プロフィールURL

4. 当社は、要配慮個人情報（人種、信条、社会的身分、病歴等）を取得・保有しません。

第5条（利用目的）

1. 候補者情報の利用目的：

（a）本サービスにおいて利用に供するデータベースの構築

（b）構築したデータベースを用いた利用者への情報提供

（c）本サービスにおけるAIスコアリングの実施（求人要件への適合度評価）

（d）利用者への候補者の特定・提示（利用者の採用活動、人材関連事業または営業・マーケティング活動（意思決定者の特定等）における使用を含みます。）

（e）スカウトメール文面の自動生成

（f）本サービスのアルゴリズム改善および品質管理

（g）統計データの作成（個人が特定できない形式）

（h）法令に基づく対応

2. 利用者情報の利用目的：

（a）アカウント管理・認証

（b）利用料金の請求・決済管理

（c）本サービスに関するお知らせ・サポート提供

（d）利用状況の分析および本サービスの改善

（e）法令に基づく対応

3. 当社は、取得した個人情報の利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲で行い、変更後の利用目的を公表します。

第6条（AIによる処理およびデータ保管）

1. 本サービスは、候補者情報およびATS連携データに対してAI技術を用いたスコアリング・分析処理およびスカウトメール文面の生成を行います。本サービスは、利用者が入力した求人情報および検索条件に基づき候補者情報を検索・スコアリングするツールであり、利用者の意思決定を支援するための情報提供サービスです。候補者の選定および採用に関する最終判断は、すべて利用者自身が行うものであり、当社が候補者と利用者との間の雇用関係の成立をあっせんするものではありません。

2. 個人データの保管場所は、原則として日本国内のサーバー（Amazon Web Services, Inc. のアジアパシフィック（東京）リージョン）です。AI処理の実行時に、個人データの一部が委託先（第3項参照）の処理基盤に送信されます。送信されたデータは、各委託先とのデータ処理契約（DPA）に基づき、処理完了後短期間で削除されるとともに、当該委託先のAIモデルの学習・トレーニングには使用されません。本項に関する詳細は第9条第2項「外的環境の把握」をご参照ください。

3. AIスコアリング処理の実施にあたり、以下の委託先にデータの処理を委託しています。

（a）OpenAI, Inc.（米国カリフォルニア州サンフランシスコ）— AIモデルによるスコアリング・分析処理・スカウトメール文面の生成

（b）Google LLC（米国カリフォルニア州マウンテンビュー）— AIモデルによるスコアリング・分析処理・スカウトメール文面の生成

（c）Cohere Inc.（カナダ国オンタリオ州トロント／米国カリフォルニア州にも拠点）— AIモデルによるスコアリング・分析処理・スカウトメール文面の生成

（d）Amazon Web Services, Inc.（米国法人。当社設定により、データ保管・処理は同社のアジアパシフィック（東京）リージョンにて実施）— データストレージおよびインフラストラクチャ

4. 上記委託先に対しては、個人情報保護法第25条に基づき必要かつ適切な監督を行っています。各委託先のデータ処理契約（DPA）またはサービス規約に基づき、以下を確保しています。

（a）AI処理を行う委託先（OpenAI、Google、Cohere）が当社から受領したデータを自社のAIモデルの学習・トレーニングに使用しないこと

（b）処理に必要な範囲のデータのみを送信すること

（c）委託先に送信されたデータは、処理完了後短期間で削除されること

5. 当社は、AI推進法の趣旨に基づきAI技術の適正な利用に努めるとともに、AIアルゴリズムが保護された属性に基づく不当な差別を行わないよう、定期的な検証を通じて公平性の確保に取り組みます。

第7条（第三者提供）

1. 当社は、利用者に対し、本サービスの利用契約に基づき候補者情報を提供します。利用者への第三者提供の詳細は、第17条をご確認ください。

2. 前項以外に、当社は、以下の場合を除き、個人データを第三者に提供しません。

（a）当社が利用目的の達成に必要な範囲内において個人データの取扱いの全部または一部を委託する場合

（b）合併その他の事由による事業の承継に伴って個人データが提供される場合

（c）国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがある場合

（d）その他、個人情報保護法その他の法令で認められる場合

第8条（ATS連携データ）

1. 利用者がATS連携機能を利用する場合、利用者は自己の保有するデータを本サービスに連携できます。

2. ATS連携データについて、当社は利用者からの委託に基づく受託者の立場で取り扱います。利用者がATS連携データの取扱いに関する責任を負い、当社は下記の委託の目的の範囲内でのみ処理します。

（a）AIスコアリングの実施

（b）利用者データベースの検索・分析支援

（c）利用者の指示に基づくデータの変換・構造化

3. 当社はATS連携データを利用者ごとに論理的かつ物理的に分離して保管し、他の利用者のデータと混合しません。

4. 利用契約終了時、当社は合理的な期間（原則として30日）内にATS連携データを削除します。利用者は契約終了前にデータエクスポートを完了してください。

第9条（安全管理措置）

1. 当社は、個人データの漏えい、滅失または毀損の防止その他の安全管理のため、必要かつ適切な措置を講じます。当社が講じる安全管理措置の詳細については、第16条のお問い合わせ窓口までお問い合わせください。

2. 外的環境の把握：当社は、本サービスの提供に関連して、以下の外国所在の事業者に個人データの取扱いを委託しています。これらの委託に伴い、個人データが当該外国において取り扱われることになるため、個人情報保護法第23条に基づく安全管理措置の一環として、当該外国の個人情報の保護に関する制度等を把握した上で必要かつ適切な措置を講じております。当該措置の内容について、同法第32条第1項第4号および同法施行令第10条第1号に基づき、以下のとおり公表いたします。

（a）OpenAI, Inc.（米国カリフォルニア州サンフランシスコ）— AIモデルによるスコアリング・分析処理・スカウトメール文面の生成

（b）Google LLC（米国カリフォルニア州マウンテンビュー）— AIモデルによるスコアリング・分析処理・スカウトメール文面の生成

（c）Cohere Inc.（カナダオンタリオ州トロント／米国カリフォルニア州にも拠点）— AIモデルによるスコアリング・分析処理・スカウトメール文面の生成

（d）Amazon Web Services, Inc.（米国法人。当社設定により、データ保管・処理は同社のアジアパシフィック（東京）リージョンにて実施）— データストレージおよびインフラストラクチャ

【外国の個人情報保護に関する制度】

上記委託先の所在国における個人情報保護に関する制度は、以下のとおりです。

・米国：連邦レベルでの包括的な個人情報保護法は存在しませんが、州法レベルで個人情報保護制度が整備されており、特にカリフォルニア州においてはカリフォルニア州消費者プライバシー法（CCPA、後継法CPRAを含みます。）により、消費者の個人情報に関する権利および事業者の義務が定められています。その他、バージニア州、コロラド州等の州においても包括的な州個人情報保護法が施行されています。米国の制度については、個人情報保護委員会が提供する情報を以下のリンクからご確認ください。
https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/

・カナダ：連邦法として個人情報保護及び電子文書法（PIPEDA：Personal Information Protection and Electronic Documents Act）が、商業活動における個人情報の収集・利用・開示等を規律しています。

これらの制度は、適用範囲、対象者、執行体制等の点でAPPIと差異がありますが、いずれもデータ主体の権利保護および事業者の責任等について包括的な制度を構築しています。

カナダの制度については、個人情報保護委員会が提供する情報を以下のリンクからご確認ください。
https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_canada/

【当社が講じている保護措置】

当社は、上記委託先との間でデータ処理契約（DPA）を締結し、以下を含む契約上の保護措置を確保しています。

・AI処理を行う委託先（OpenAI、Google、Cohere）が当社から受領した個人データを、自社のAIモデルの学習・トレーニングに使用しないこと

・処理に必要な範囲のデータのみを送信すること（最小化原則）

・委託先に送信されたデータは、処理完了後短期間で削除されること

・通信経路の暗号化（TLS 1.2以上）および保存データの暗号化（AES-256相当）

・当社が選択可能な範囲で、日本国内のリージョンを優先的に利用すること

・インシデント発生時の通知義務

第10条（委託先の監督）

1. 当社は、利用目的の達成に必要な範囲で個人データの取扱いの全部または一部を外部事業者に委託することがあります。主な委託先は第6条第3項に記載のとおりです。

2. 委託先は、個人情報保護に関する十分な水準を有する事業者を選定し、契約により安全管理を義務付けます。

3. 委託先のデータ取扱状況について、必要かつ適切な監督を行います。

第11条（Cookieおよび外部送信）

1. 本サービス（app.headhunt.ai）は、ログイン認証のためにのみセッションCookieを使用します。これは認証状態の維持に技術上必要なものであり、トラッキング、アクセス解析、または広告の目的では使用しません。

2. 当社のマーケティングウェブサイト（headhunt.ai）では、訪問者の利用状況を把握するため、Google LLC（米国カリフォルニア州マウンテンビュー）が提供するGoogle Analytics 4を使用しています。Google Analyticsは、初回訪問時に表示される同意バナーで訪問者が同意した場合にのみ有効となります。同意取得時には、匿名化された利用データ（閲覧ページ、参照元、国レベルの大まかな所在地、デバイス種別）がGoogleに送信されます。IPアドレスは送信前に匿名化されます。当社はGoogle Analyticsを広告のパーソナライズには使用しておりません。

3. 訪問者は、ページフッターの「Cookieの設定」をクリックするか、ブラウザのローカルストレージから「hh_consent」エントリを削除することで、同意をいつでも撤回することができます。いずれの方法でも同意バナーが再表示され、再度選択を求められます。ブラウザ設定によりCookieを無効にすることも可能ですが、本サービス（app.headhunt.ai）でCookieを無効にした場合はログインができなくなります。

4. Google Analyticsを通じてGoogleに送信されたデータの取扱いは、Googleのプライバシーポリシー（https://policies.google.com/privacy）に準拠します。

第12条（開示等の請求）

1. 候補者情報のご本人および利用者担当者は、個人情報保護法に基づき、当社が保有する自己の個人データについて、以下の請求ができます。

（a）保有個人データの利用目的の通知

（b）保有個人データの開示

（c）保有個人データの内容の訂正、追加または削除

（d）保有個人データの利用の停止または消去

（e）個人データの第三者への提供の停止

2. 請求は第16条のお問い合わせ窓口にご連絡ください。ご本人確認の上、遅滞なく対応します。

3. 以下の場合、請求の全部または一部に応じられないことがあります。

（a）ご本人確認ができない場合

（b）法令上の要件を満たさない場合、または除外事由に該当する場合

（c）本人または第三者の生命・身体・財産その他の権利利益を害するおそれがある場合

4. 開示請求に対して実費相当の手数料を申し受ける場合があります。

第13条（データの保有期間）

1. 候補者情報：当社は、本サービスの提供に必要な期間、候補者情報を保有します。候補者本人から削除の請求があった場合には、合理的な期間内に対応します。

2. 利用者情報：利用契約の存続期間中および契約終了後法令上必要な期間保有します。

3. ATS連携データ：利用契約の存続期間中保有し、契約終了後は第8条第4項に基づき削除します。

4. AI処理委託先でのデータ保持：各委託先のサービス規約に定められた期間（処理完了後短期間）で自動的に削除されます。

第14条（漏えい等の対応）

1. 個人データの漏えい、滅失、毀損その他のセキュリティ事故が発生し、またはそのおそれがある場合には、速やかに事実関係を調査し、被害の拡大を防止するための措置を講じます。

2. 個人情報保護法に基づき報告義務が生じる場合には、個人情報保護委員会への報告および本人への通知を所定の期間内に行います。

3. ATS連携データに関するセキュリティ事故については、利用者に対しても速やかに通知します。

第15条（本ポリシーの変更）

1. 当社は、法令の改正、事業内容の変更、その他合理的な理由がある場合に本ポリシーを変更することがあります。

2. 重要な変更は当社ウェブサイトで事前に告知します。

3. 変更後のポリシーは当社ウェブサイト掲載時から効力を生じます。

第16条（お問い合わせ窓口）

個人情報の取扱いに関するお問い合わせ、苦情、開示等のご請求は以下までご連絡ください。

第17条（オプトアウトに関する公表事項）

1. 当社の名称・住所・代表者名

名称：株式会社ExecutiveSearch.AI

住所：〒150-0012 東京都渋谷区広尾1-1-39 恵比寿プライムスクエアタワー4F

代表者：代表取締役 ホインスキーケネスチャールズ

2. 第三者への提供を利用目的としていること

（a）本サービスにおいて利用に供するデータベースの構築

（b）構築したデータベースを用いた利用者への情報提供

（c）本サービスにおけるAIスコアリングの実施（求人要件への適合度評価）

（d）利用者への候補者の特定・提示（利用者の採用活動、人材関連事業または営業・マーケティング活動（意思決定者の特定等）における使用を含みます。）

（e）スカウトメール文面の自動生成

3. 個人データの提供先

採用活動又は採用活動に関するサービス提供のために情報を必要とされている法人その他の組織・団体であって、当社サービスについて契約を締結する者

4. 第三者に提供される個人データの項目

（a）氏名

（b）現在および過去の所属組織名・役職名

（c）職務経歴

（d）学歴

（e）AIによる推定情報（推定年齢、推定年収水準、推定語学力等）

（f）公開プロフィールURL

5. 第三者に提供される個人データの取得の方法

適法に事業を行う第三者データプロバイダーとの商業ライセンス契約に基づき取得

6. 第三者に提供される個人データの更新の方法

５の方法により取得した情報により作成したデータベースについて、新規情報の取得ごとに既存情報と整合を確認し、データベースの更新を行う。

7. 第三者への提供の方法

当社サービスの契約者のみが利用できるインターネット上のサービスを通じて提供

8. 第三者への提供停止の受付先等

第三者への提供停止をご希望の場合は、第16条のお問合せ窓口までお問い合わせください。

9. 個人データの第三者への提供を開始する予定日

2026年5月21日

第18条（カレンダー連携データ）

1. 本サービスは、利用者担当者が自ら保有するカレンダーおよびオンライン会議のアカウントを本サービスに接続することができる任意の日程調整機能を提供します。本機能は、各プロバイダーの同意画面において「Scout Scheduling」の名称で表示されます。接続は常に利用者担当者の操作により開始され、各プロバイダーが運用するOAuth 2.0認可フローによって行われ、当該プロバイダーの同意画面において同意がなされた場合に限り有効となります。本機能の利用は任意であり、アカウントを接続しない利用者担当者による本サービスの利用に影響はありません。

2. 本条において「カレンダー連携データ」とは、前項に基づく認可の結果として当社が以下のプロバイダーから受領する情報をいいます。

（a）Google LLC（Googleカレンダー）　取得項目：カレンダーの一覧および属性情報、既存の予定の日時および空き状況、ならびに本サービスが利用者担当者に代わって作成、更新または取り消した予定。要求する認可スコープ：https://www.googleapis.com/auth/calendar.readonlyおよびhttps://www.googleapis.com/auth/calendar.events

（b）Microsoft Corporation（Microsoft 365／OutlookカレンダーおよびMicrosoft Teams）　取得項目：サインインした個人の基本プロフィール（表示名、メールアドレスおよびユーザー識別子）、既存の予定の日時および空き状況、本サービスが利用者担当者に代わって作成、更新または取り消した予定、ならびに当該予定について生成されたTeamsオンライン会議のリンク。要求する認可スコープ：User.Read、Calendars.ReadWrite、OnlineMeetings.ReadWriteおよびoffline_access

（c）Zoom Communications, Inc.（Zoomミーティング）　取得項目：本サービスが利用者担当者に代わって作成、更新または取り消したミーティング。要求する認可スコープ：meeting:read:meeting、meeting:write:meeting、meeting:update:meetingおよびmeeting:delete:meeting。当社は、Zoomの録画、文字起こし、チャットメッセージおよび参加者リストにはアクセスしません。

3. 当社は、カレンダー連携データを以下の目的にのみ利用します。いずれも本サービス上で利用者担当者に対して表示される機能に対応するものです。

（a）面接候補日時を提案するための空き状況の判定

（b）接続されたカレンダー上の面接予定の作成、更新および取消

（c）当該予定に対するオンライン会議リンクの発行

（d）接続状態の表示および接続障害の原因調査

4. 当社は、カレンダー連携データを前項以外の目的で利用しません。誤解を避けるため第5条の定めを明確化すると、カレンダー連携データは、広告の配信に利用せず、候補者情報のデータベースの構築、拡充または検証に利用せず、認可を行った利用者担当者が所属する利用者以外の利用者に提供せず、また、当社のものであるか第三者のものであるかを問わず、汎用的な人工知能または機械学習モデルの開発、改善もしくは学習には一切利用しません。第6条第3項に掲げるAI処理の委託先は、カレンダー連携データを受領しません。

5. 当社の役員、従業員および業務委託先は、本サービスの通常の運用において、接続されたカレンダーの内容を閲覧しません。アクセスは、第3項の目的に必要な自動処理および直前に記載した例外に限定されます。

6. 各プロバイダーが発行する認可トークンは、第6条第2項に従い、Amazon Web Services, Inc.のアジアパシフィック（東京）リージョンにおいて暗号化して保管し、第3項の機能を実行する本サービスの構成要素のみがアクセスできるものとします。

7. 利用者担当者は、いつでも本サービス上で接続を解除することができ、また、各プロバイダーのアカウント設定において当社のアクセス権を直接取り消すことができます。接続の解除または取消しがなされた場合、当社は当該アカウントに係る認可トークンを削除します。接続されたカレンダー上に既に作成された予定は、利用者担当者自身のカレンダーに属し、その管理下にあるため、自動的には削除されません。

8. 第13条にかかわらず、カレンダー連携データは接続が有効である間に限り保有します。保管された認可トークンは、接続の解除、アクセス権の取消しまたは利用契約の終了のいずれか早い時点で削除します。

9. 接続先サービス自体の利用については、引き続き各プロバイダーの規約およびプライバシーポリシー（Googleプライバシーポリシー、MicrosoftプライバシーステートメントおよびZoomプライバシーステートメント）が適用されます。

附則

本ポリシーは2026年5月12日から施行します。

2026年7月25日改定（第2版）：カレンダーおよびオンライン会議との任意の連携機能により取得するデータの取扱い（Googleユーザーデータに関するLimited Useの表明を含みます。）を定める第18条（カレンダー連携データ）を追加しました。本改定は、開示事項を追加し当社に対する制限を加えるものであり、当社による個人情報の利用範囲を拡大するものではありません。

本ポリシーの日本語版と英語版に矛盾がある場合、日本語版が優先します。