プライバシー
ポリシー
個人情報の収集、利用、保護の方法
はじめに
Xeitoでは、プライバシーの保護と個人情報のセキュリティを保証することにコミットしています。このプライバシーポリシーは、一般データ保護規則（GDPR - EU 2016/679）および個人情報保護法およびデジタル権利の保証に関する有機法（LOPDGDD）に準拠して、個人情報をどのように収集、使用、保管、保護するかを説明します。
本サービスを利用することにより、このポリシーで説明されている慣行に同意したことになります。私たちのプライバシー慣行に同意しない場合はサービスを利用しないでください。
このポリシーは、地理的位置に関わらず、すべてのXeitoユーザーに適用されます。
データ管理責任者
収集するデータ
個人情報
氏名
メールアドレス
電話番号（任意）
地理的位置および場所の偏好
履歴書および関連文書
職業情報
職務経験およびキャリア経歴
学歴および資格
技術スキルおよび能力
仕事の偏好（種類、給与、場所）
処理の法的根拠
GDPR第6条に基づき、以下の法的根拠により個人データを処理します：
| Purpose | Legal basis |
|---|---|
| サービスの提供（求人検索、プロフィール、アラート） | 契約の履行 — GDPR第6条(1)(b) |
| 認証とアカウントセキュリティ | 正当な利益 — GDPR第6条(1)(f) |
| AI/ML求人レコメンデーション | 正当な利益 — GDPR第6条(1)(f) |
| マーケティング通信およびニュースレター | 同意 — GDPR第6条(1)(a) |
| 法的義務の履行（会計、GDPR） | 法的義務 — GDPR第6条(1)(c) |
| 不正・不正使用の検出 | 正当な利益 — GDPR第6条(1)(f) |
受信者およびデータ処理者
GDPR第28条に基づくデータ処理契約（DPA）を締結した以下の処理者にのみデータを共有します：
| Processor | Role | Location / safeguard |
|---|---|---|
| Neon (Neon Inc.) | PostgreSQLデータベース（ホスティングおよびバックアップ） | 米国 — 標準契約条項（SCC） |
| Cloudflare, Inc. | CDN、Workers（APIおよびWeb）、セキュリティ | 米国 — SCC / EU–US データプライバシーフレームワーク |
| Fly.io, Inc. | セルフホストサービス（GlitchTipエラーモニタリング、n8nワークフロー、Forgejoソース管理）のアプリケーションホスティング | 米国本社；データはEU（アムステルダム）— SCC |
| Stripe (SPEL) | 決済およびサブスクリプション処理 | EU（アイルランド）— SPEL SSA |
| Resend | トランザクションメールおよびニュースレター配信 | 米国 — SCC |
| Groq, Inc. | AI推論（キャリアアシスタント、CV分析） | 米国 — SCC |
商業目的で個人データを第三者に販売、貸し出し、または譲渡することはありません。
国際データ転送
一部の処理者は米国でデータを処理します。これらの転送は以下によって保護されています：
SCC: 欧州委員会が採択した標準契約条項（SCC）（決定2021/914）、モジュール2（管理者 → 処理者）。
DPF: 処理者が認定されている場合、EU–USデータプライバシーフレームワーク（DPF）。
適用されるSCCのコピーは[email protected]へのメールでリクエストできます。
自動化された意思決定とプロファイリング
Xeitoはユーザーに重大な影響を与える可能性のある自動化システムを使用しています：
AI求人レコメンデーション
MLレコメンデーションエンジンがプロフィールとインタラクション履歴を分析し、関連する求人を表示します。プロフィール設定からパーソナライズドレコメンデーションを無効にできます。
AIセマンティック検索
検索結果は言語モデルによって並べ替えられます。拘束力のある決定は生成されません。
AI履歴書分析（ATS）
適合性スコアはあくまで参考であり、採用決定は雇用主が行います。
法的効果または同様の重大な影響を生じさせる自動処理のみに基づく決定の対象とならない権利があります（GDPR第22条）。この権利を行使するには[email protected]にお問い合わせください。
データ保持期間
GDPR第5条(1)(e)に従い、必要最小限の期間データを保持します：
| データカテゴリ | 保持期間 | 法的根拠 |
|---|---|---|
| アカウントデータ（メール、氏名、ハッシュ化パスワード） | アカウント期間 + 削除後30日 | 契約 |
| 認証セッション | 有効期限まで | 正当な利益（セキュリティ） |
| 検索履歴 | 90日 | 正当な利益（UX） |
| 求人インタラクション履歴 | 12ヶ月 | 正当な利益（レコメンデーション） |
| AI機能使用ログ | 90日 | 正当な利益（請求/不正使用） |
| AIアシスタントとの会話（カバーレター・給与コーチングのチャット） | 会話での最後の操作から90日 | 正当な利益（サービスの継続性） |
| 履歴書/CV書類（アップロードされたファイルおよび解析された内容） | アカウント期間 — アカウント削除時に消去されます。新しいアップロードにより置き換えられた版は、置き換えから数日後に定期削除処理により消去されます。 | 契約 |
| サブスクリプションおよび購入記録 | 6年 | 法的義務（会計） |
| クレジット取引履歴（消費・返還・付与） | 6年間。アカウント削除時に、お客様を特定できる情報は削除されます | 法的義務（会計） |
| クーリングオフおよびキャンセルリクエスト | 6年 | 法的義務（消費者法） |
アカウントを削除すると、すべてのプロフィールデータ、履歴書ファイル、セッション、設定が即座に削除されます。会計記録は法律上の義務により6年間保持されます。
データセキュリティ
GDPR第32条に従い、適切な技術的・組織的措置を適用します：
すべての機密データの転送中（TLS 1.2+）および保存中の暗号化
内部システムへの従業員アクセスに対する多要素認証（MFA）
最小権限の原則：認可された職員のみがユーザーデータにアクセス可能
すべての処理者は同等のセキュリティ義務を持つDPAに拘束されています
セルフホストGlitchTip（Fly EU）によるエラーモニタリングと異常検出
定期的なセキュリティ監査と脆弱性管理
子どものプライバシー
LOPDGDD第7条に従い、Xeitoの最低利用年齢は16歳です。16歳未満のユーザーのデータを意図的に収集することはありません。16歳未満のユーザーを発見した場合、そのアカウントとデータを遅滞なく削除します。お子様がアカウントを作成したと思われる親権者の方は、[email protected]までご連絡ください。
GDPRに基づくあなたの権利
GDPRおよびLOPDGDDに基づき、あなたは次の権利を有します：
アクセス権（第15条GDPR）
あなたに関するすべての個人情報のコピーを要求できます
訂正権（第16条GDPR）
不正確または不完全なデータの修正を要求できます
削除権（第17条GDPR）
特定の条件下で個人情報の削除を要求できます
処理制限権（第18条GDPR）
あなたのデータの処理を制限することを要求できます
データポータビリティ権（第20条GDPR）
構造化された一般的に使用される形式でデータを受け取ることを要求できます
拒否権（第21条GDPR）
個人情報の処理に異議を唱えることができます
AEPDへの申し立て権
個人データの処理がGDPRに違反していると考える場合、管轄する監督機関に申し立てる権利があります：
スペインデータ保護機関（AEPD — Agencia Española de Protección de Datos）
C/ Jorge Juan, 6 — 28001 マドリード、スペイン
正式な申し立てを行う前に、まず[email protected]にご連絡いただき、問題を解決することも歓迎します。
広告とGoogle AdSense
Xeitoは、Google AdSenseを通じてブログやマーケティングの公開ページに広告を表示することで、無料サービスを資金調達しています。広告は無料ページに常に表示されます — Premium加入者のみ広告が表示されません。
Googleが収集する情報
デフォルトでは非パーソナライズ広告（NPA）を配信します：広告Cookieは設定されず、Googleはあなたの閲覧データを使用して表示する広告を選択しません。Cookieバナーからパーソナライズ広告に同意した場合のみ、Googleは広告Cookie（NID、IDE、doubleclick.net）およびIPアドレスや閲覧履歴などのシグナルを使用して、広告をあなたの興味に合わせて調整します。
お客様の同意
広告は同意の有無にかかわらず表示されます — これによりサービスを無料で提供しています。Cookieバナーはパーソナライズのみを制御します：同意するとパーソナライズ広告が許可され、拒否すると非パーソナライズ広告のみが表示されます。フッターの「Cookie設定」リンクからいつでも選択を変更できます。広告を完全に非表示にするには、Premiumにご登録ください。
パーソナライズ広告の無効化方法
Cookieバナーからいつでもパーソナライズの同意を撤回できます — 次のページ表示から広告は非パーソナライズに切り替わります。また、myadcenter.google.comでGoogleと直接広告の設定を管理するか、adssettings.google.comのGoogleアカウントでパーソナライズ広告をオフにすることもできます。すべての参加サイトにわたってサードパーティの広告Cookieをオプトアウトするには、youronlinechoices.eu（EEA）またはaboutads.info/choices（米国）にアクセスしてください。
詳細情報
Googleが広告データをどのように使用するかについての詳細情報は、policies.google.com/technologies/adsおよびpolicies.google.com/privacyで公開されています。
お問い合わせ
このプライバシーポリシーに関するご質問がある場合、または権利を行使したい場合は、以下の方法でご連絡ください：
メールアドレス: [email protected]
データ保護責任者: [email protected]