PRIVACY POLICY プライバシーポリシー

01PRIVACY POLICY / 個人情報保護方針

当社は、当社が取り扱う全ての個人情報の保護について、社会的使命を十分に認識し、本人の権利の保護、個人情報に関する法規制等を遵守します。また、以下に示す方針を具現化するための個人情報保護マネジメントシステムを構築し、最新の IT 技術の動向、社会的要請の変化、経営環境の変動等を常に認識しながら、その継続的改善に、全社を挙げて取り組むことをここに宣言します。

a）個人情報は、システムの開発及び関連支援サービス業務における当社の正当な事業遂行上並びに従業員の雇用、人事管理上必要な範囲に限定して、取得・利用及び提供をし、特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（目的外利用）を行いません。また、目的外利用を行わないための措置を講じます。

b）個人情報保護に関する法令、国が定める指針及びその他の規範を遵守致します。

c）個人情報の漏えい、滅失、き損などのリスクに対しては、合理的な安全対策を講じて防止すべく事業の実情に合致した経営資源を注入し個人情報セキュリティ体制を継続的に向上させます。また、個人情報保護上、問題があると判断された場合には速やかに是正措置を講じます。

d）個人情報取扱いに関する苦情及び相談に対しては、迅速かつ誠実に、適切な対応をさせていただきます。

e）個人情報保護マネジメントシステムは、当社を取り巻く環境の変化を踏まえ、適時・適切に見直してその改善を継続的に推進します。

以上

02IDENTIFIABLE INFORMATION / 個人情報に関する公表文

■ 個人情報の取扱いについて

１．当社が取り扱う個人情報の利用目的

1. ご本人から直接書面によって取得する個人情報（ホームページや電子メール等によるものを含む）の利用目的取得に先立ち、ご本人に対し書面により明示します。
2. 前項以外の方法によって取得する個人情報の利用目的

２．個人関連情報について

「個人関連情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報のうち、個人情報、仮名加工情報および匿名加工情報のいずれにも該当しないものをいいます。

1. 取得する個人関連情報の種類

• 閲覧者の端末情報（IP アドレス、オペレーティングシステムやブラウザの種類等）
• 閲覧者の行動履歴（サイトへの到達経路、訪問日時、訪問回数等）

2. 取得方法

・クッキー（Cookie）について

当社のウェブサイトの中には、お客様の操作性向上のため「クッキー」と呼ばれる技術を使っているページがあります。「クッキー」とは、ウェブサーバがお客様のハードディスクに目印となるごく小さなデータを保存する機能であり、一部のページでは、この「クッキー」を使用して、一度入力したデータを再利用し、お客様の操作を簡便にしています。なお、この「クッキー」のみでは、お客様個人を特定することはできません。お客様は、ご自身のブラウザの設定を変更することにより、「クッキー」が送信されてきたとき、事前にその「クッキー」を受け取るかどうか選択することができます。

・Web ビーコンについて

当社からお客様へお送りする HTML メールに「Web ビーコン」（小さな画像ファイル）を埋め込むことにより、お送りしたメールの受信、開封状況を収集する場合があります。これらの情報は、「サービス改善のための分析、各種マーケティング活動」にのみ利用いたします。なお、メール上の画像表示に関する「画像ダウンロード」を無効化することにより、メール開封状況等の情報は当社に送信されなくなります。

・第三者企業が提供するツールにおける個人関連情報の収集、取扱いについて

当社は、個人関連情報の収集、取扱いを第三者が提供するツールを用いて行っています。各ツールによるアクセスデータの利用の詳細は、下記のウェブサイトをご参照ください。

・Google Analytics

「Google Analytics」は、Google 社が提供するウェブ解析ツールで、Cookie、Web ビーコン、またはそれらに類似するテクノロジーによって利用者情報を収集しています。このデータは匿名で収集されており、個人を特定するものではありません。Google Analytics については、以下をご参照ください。

• Google Analytics の利用規約：https://www.google.com/analytics/terms/jp.html
• Google のプライバシーポリシー：https://www.google.com/intl/ja/policies/privacy/
• Google のサービスを使用するサイトやアプリから収集した情報の Google による使用：https://policies.google.com/technologies/partner-sites

なお、Google Analytics による利用者情報の収集を希望されない場合は、Google 社が提供する「Google アナリティクス オプトアウト アドオン」を使用中のブラウザにインストールすることで、無効にすることができます。以下よりご利用ください。

• Google Analytics オプトアウトアドオン：https://tools.google.com/dlpage/gaoptout?hl=ja

・HubSpot

HubSpot は、株式会社 HubSpot Japan が提供するマーケティング・オートメーション・ツールです。「HubSpot」においては Web ビーコンおよび Cookie によりご利用者様の使用する端末の情報を取得しております。

・Clarity

Clarity は、Microsoft Corporation が提供するユーザー行動分析ツールです。「Clarity」では Cookie および同様の技術を用いて、サイト訪問者のクリック、スクロール、マウスの動き等の操作情報を匿名で収集しています。これにより、ウェブサイトのユーザー体験の改善や分析を行うことが可能となります。

・Google Tag Manager

Google Tag Manager は、Google LLC が提供するタグ管理ツールです。「Google Tag Manager」では、ウェブサイトに設置された各種マーケティングタグや解析タグ（例：Google Analytics、Clarity、広告タグなど）を一元的に管理・制御するために Cookie 等を利用する場合があります。Google Tag Manager 自体は個人を特定できる情報を収集しませんが、管理されるタグによっては情報が収集される場合があります。

・Google Ads Conversion Tracking

Google Ads Conversion Tracking は、Google LLC が提供する広告効果測定ツールです。「Google Ads」により配信された広告の成果（例：お問い合わせ完了や購入など）を測定するために、Cookie や同様の技術を用いてユーザーの操作情報を取得する場合があります。この情報は、広告配信の最適化や効果分析に活用されます。

３．個人情報の共同利用について

当社はお客様、お取引先やパートナー企業様、CAC グループ各社役員・従業員に関する個人情報を、当社グループにて共同して利用することがございます。詳しくは「個人情報保護方針 | 株式会社 CAC Holdings」をご覧ください。

■ 保有個人データに関する事項の周知

当社で保有している保有個人データ又は第三者提供記録に関して、ご本人様又はその代理人様からの利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止または第三者提供記録の開示の請求（以下、「開示等の請求」といいます）につきましては、以下の要領にて対応させていただきます。

a）事業者の名称

b）個人情報の保護管理者

管理者名：事業推進部長 德岡 悠史

c）全ての保有個人データの利用目的

d）保有個人データの取扱いに関する苦情の申し出先

こちらの問い合わせフォームより受付けております。

e）認定個人情報保護団体

※当社は加盟しておりません

f）保有個人データ又は第三者提供記録の開示等の求めに応じる手続き

1）開示等の求めの申し出先

開示等のお求めは、こちらの問い合わせフォームよりお申し出ください。
※電磁的手続きによる開示等をご希望の方は、その旨お申し出ください。原則としてご希望に沿って対応させていただきます。

2）開示等の求めに関するお手続き

1. お申し出受付け後、当社からご利用いただく所定の請求書様式「保有個人データ開示等請求書」を郵送いたします。
2. ご記入いただいた請求書、代理人によるお求めの場合は代理人であることを確認する書類、手数料分の郵便為替（利用目的の通知並びに開示の請求の場合のみ）を上記個人情報問合せ係までご郵送ください。
3. 上記請求書を受領後、ご本人確認のため、当社に登録していただいている個人情報のうちご本人確認可能な 2 項目程度（例：電話番号と生年月日等）の情報をお問合せさせていただきます。
4. 回答は原則としてご本人に対して書面（封書郵送）にておこないます。

3）代理人によるお求めの場合、代理人であることを確認する資料

開示等をお求めになる方が代理人様である場合は、代理人である事を証明する資料及び代理人様ご自身を証明する資料を同封してください。各資料に含まれる本籍地情報は都道府県までとし、それ以降の情報は黒塗り等の処理をしてください。また各資料は個人番号を含まないものをお送りいただくか、全桁を墨塗り等の処理をしてください。

① 代理人である事を証明する資料

• ＜開示等の求めをすることにつき本人が委任した代理人様の場合＞ 本人の委任状（原本）
• ＜代理人様が未成年者の法定代理人の場合＞いずれかの写し：戸籍謄本、住民票（続柄の記載されたもの）、その他法定代理権の確認ができる公的書類
• ＜代理人様が成年被後見人の法定代理人の場合＞いずれかの写し：後見登記等に関する登記事項証明書、その他法定代理権の確認ができる公的書類

② 代理人様ご自身を証明する資料

• 運転免許証、パスポート、健康保険の被保険者証、住民票

4）利用目的の通知または開示のお求めについての手数料

1 回のお求めにつき 1,000 円
（書面でのご請求の場合は、お送りいただく請求書等に郵便為替を同封していただきます。その他の方法でご請求いただく場合は、ご請求時にご相談させていただきます。）

g）保有個人データの安全管理のために講じた措置

1）基本方針の策定

保有個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓口」等について「個人情報保護方針」を策定しています。

2）保有個人データの取扱いに係る規律の整備

保有個人データは取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人情報保護規程を策定しています。

3）組織的安全管理措置

1. 保有個人データの取扱いに関する責任者を設置するとともに、保有個人データを取り扱う従業者及び当該従業者が取り扱う保有個人データの範囲を明確化し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備しています。
2. 保有個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による監査を実施しています。

4）人的安全管理措置

1. 保有個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施しています。
2. 保有個人データを含む秘密保持に関する誓約書の提出を全従業者から受けています。

5）物理的安全管理措置

1. 保有個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者による保有個人データの閲覧を防止する措置を講じています。
2. 保有個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に保有個人データが判明しないよう措置を講じています。

6）技術的安全管理措置

1. アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定しています。
2. 保有個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入しています。

以上

03INFORMATION SECURITY / 情報セキュリティポリシー

当サイトの運営に際し、お客様のプライバシーを尊重し個人情報に対して十分な配慮を行うとともに、大切に保護し、適正な管理を行うことに努めております。

１．適用範囲

本ポリシーは当社の全事業分野（IT システム開発・運用、情報提供サービス、講演・セミナー運営、ベンチャー支援、労働者派遣・職業紹介 等）に適用する。

当社に所属する全役員・社員（正規・契約・派遣を問わない）および当社業務に従事する外部委託先・協力会社のスタッフが対象となる。

保護対象となる情報資産は、当社が保有または管理するあらゆる情報（電子データ、文書、システム、設備等）とし、個人情報を含む全情報資産を対象とする。

クラウドサービスやリモートワーク、BYOD（個人所有端末の業務利用）など多様な作業環境下で利用する端末・サービスも本ポリシーの適用範囲に含める。

２．本ポリシーの目的

本ポリシーは「情報資産に対して適切な管理を確保すること」を目的とし、以下の項目に関し定義・明確化するものである。

• 当社における情報セキュリティの目的
• 情報資産に関わる者（役員、管理者、利用者、開発者等）の基本責務
• リスクマネジメント、並びに日常時、緊急対応時、および復旧時の情報セキュリティ管理策への取組み体制と責任
• 情報資産の管理と責任
• 特筆すべき事業上の要求事項、法的および規制要求事項、契約上の情報セキュリティ義務
• 情報資産の機密性・完全性・可用性（CIA）を確保することによる事業継続の維持
• ISMS（情報セキュリティマネジメントシステム）の確立・実施・維持・継続的改善
• プライバシーマーク制度（JIS Q 15001 準拠）に準じて適切な管理策を講じての個人情報の安全管理
• 各種法令・規制と社内規程を遵守することによる、顧客・取引先からの信頼と社会的信用の向上

３．用語および定義

４．役員および社員の基本的な責務

すべての役員および社員は本ポリシーを遵守し、利用する情報資産の保護に努める責任を負う。

• 経営層（役員・管理職）：情報セキュリティの重要性を認識し、必要な体制・資源を確保する責任を負う。方針・予算・組織体制を策定し、ISMS 運営を主導する。
• 情報セキュリティ管理責任者：ISMS の構築・運用を統括し、リスクアセスメント、対策立案、社内教育、規程整備、内部監査等を実施する。
• システム管理者：ネットワークやシステムのセキュリティ設定、アクセス制御、ソフトウェアの適切な更新・管理、ログ監視などを担当する。
• 全社員・従業員：本ポリシーおよび関連規程・手順を遵守し、情報資産を適切に取り扱う。ログイン情報の管理、不正持ち出しの禁止、インシデントや不審な事象の迅速な報告を行う。
• 教育訓練：全社員は定期的な情報セキュリティ教育・訓練を受講し、最新の脅威・対策を理解・実践する。新人研修・年次研修・フォローアップ研修を実施する。

(1) 私的利用の禁止

情報資産の私的利用を放置することは、当社の不利益となるばかりでなく、情報資産への脅威ともなりえるので、情報資産を私的な目的のために利用することを禁止する。

(2) 個人情報及び機密情報の保護

すべての業務において個人情報及び機密情報を保護しなければならない。

(3) 情報セキュリティ管理スキルの習得

個人情報及び機密情報を扱う者は、PC などの情報機器、印刷物の取り扱いおよびその破棄の方法、並びに役割に応じて、契約や法的および規制要求事項上の義務をよく理解しなければならない。また研修やセミナーなどを通じて、職務に応じた情報セキュリティ知識を身につけなければならない。

(4) 本ポリシーの解釈

本ポリシーの解釈に疑問を持った場合には、主管部門に問い合わせ、確認を行わなければならない。

(5) 懲戒について

本ポリシーから逸脱した場合には社内規程に基づき処分される。また、逸脱の事実や逸脱の可能性を発見した場合は、速やかに主管部門に報告しなければならない。

５．情報セキュリティの運用・管理

• リスク管理：定期的に情報セキュリティリスクアセスメントを実施し、リスク軽減のための対応策を策定・実施する。リスク評価結果はマネジメントレビューに報告する。
• 内部監査：ISMS 運用状況の定期的な内部監査を実施し、規程違反や改善点を是正する。監査結果は記録し、必要な改善措置を迅速に実行する。
• インシデント対応：情報セキュリティインシデント発生時には、速やかに所定の報告ルート（上長や情報セキュリティ部門）へ通知する。事実確認・原因調査を行い、再発防止策を策定・実施する。
• 事業継続対策：重要情報の定期バックアップ、復旧訓練、BCP（事業継続計画）の策定・維持を行い、災害・障害発生時の業務継続性を確保する。
• 文書管理：情報セキュリティに関する文書・記録（方針、規程、手順、会議議事録、監査報告等）は適切に管理・保管する。古い文書は改訂履歴に基づき廃棄・保存する。

６．情報資産の管理

全ての情報資産に対して情報セキュリティに関する責任の所在を明らかにするために、情報資産の責任者を明確に定める。

• 資産台帳・分類管理：情報資産台帳を整備し、所有者・保管場所・分類レベル（機密・社外秘・一般）を明確化する。個人情報は別途個人情報台帳で管理し、管理責任者を定める。
• 管理責任者の明確化：各情報資産には所有者（管理責任者）を割り当て、資産の利用・変更・廃棄に責任を持たせる。
• ソフトウェアライセンス管理：使用するソフトウェアは適正なライセンスで管理し、不正コピーを禁止する。ライセンス期限やバージョン更新を管理する。
• 媒体・機器の持出・廃棄管理：機密文書・記録媒体は施錠保管し、搬出の際は上長承認を得る。不要になった媒体は安全に廃棄（シュレッダー処理、消去）する。モバイル端末や PC は紛失・盗難対策（暗号化、自動消去機能）を講じる。
• アクセス権限管理：システム・ネットワークへのアクセスは ID 管理に基づき付与し、必要最小限の権限原則を徹底する。入退職時にはアカウントの新設・削除・権限変更を確実に行う。

７．情報セキュリティに関する法的および規制要求事項の遵守

• 法令・規制の特定：情報セキュリティ・個人情報関連の国内外法令（個人情報保護法、電気通信事業法、著作権法、労働関連法規、派遣法等）および業界ガイドラインを特定し、要求事項を順守する。法令改正時には速やかにポリシーや規程を更新する。
• プライバシーマーク制度：個人情報の適正管理策として、プライバシーマークの審査基準に準拠し運用する。P マークは「個人情報の取扱いが適切であるか」を評価し、基準適合事業者に付与される制度である。当社は取得事業者として継続的な適合を維持する。
• その他基準・規格：ISO/IEC 27017／27018／27701 等のクラウド・プライバシー関連規格も参考にし、必要に応じて運用ルールに取り込む。顧客・取引先からのセキュリティ要件も順守する。

情報資産の責任者は、刑法および民法、その他の法令、規制または契約上の義務、ならびに情報セキュリティ上の要求事項に対する違反を避けなければならない。特に、個人情報保護や知的財産権に関する法律、規制に関しては、十分に理解し、管理を適切に行わなければならない。

また、ソフトウェアや情報機器を販売する場合には、暗号装置やソフトウェア等の輸出等に関する規制をよく理解し、法律違反とならないようにしなければならない。

８．製品・サービスにおける情報セキュリティ要件の適用と説明

• 開発、運用、コンサルテーション：顧客から多くの情報を受領し業務を遂行するにあたり、情報資産の責任者は個人情報や機密情報などの情報資産を明確に定義し、契約上の情報セキュリティ義務をよく理解して情報セキュリティ要件を正しく判断しなければならない。
• 製品およびサービス提供：情報セキュリティ要件や防御策について適切な情報を顧客に提供する責任を負う。
• セキュア開発・運用：当社が提供するシステム・サービスは、セキュア開発ライフサイクル（セキュリティ要件定義・設計、脆弱性診断・テスト）を順守する。提供物には認証機能や暗号化を実装し、脆弱性対策（パッチ適用など）を確実に行う。また、運用に際しては当社が管理すべき情報資産のリストを作成し、顧客の合意を取る必要がある。
• 契約書・仕様書での明示：顧客向け製品・サービスの仕様書・契約書には情報セキュリティ要件（機密保持、個人情報取扱い、安全基準）を明記し、顧客および協力会社に説明する。必要に応じて社外秘契約（NDA）を締結する。当社の情報セキュリティポリシーが、顧客の要望と食い違う場合（特にコストが関係する場合に起こり得る）、当社の情報セキュリティポリシーやその目的を十分に説明し、顧客の理解を得ることが重要である。
• セミナー・イベント運営：講演・セミナー等で収集する参加者情報や資料は適切に管理する。オンラインイベントではシステムログイン情報の管理、セキュアな配信プラットフォーム利用のルールを定める。
• 派遣・委託業務：労働者派遣や業務委託先で当社情報を扱う場合は、本ポリシーに準拠した運用を求める。委託先へは必要なセキュリティ要件（アクセス制限、情報廃棄ルール等）を説明し、遵守を徹底させる。

９．協力会社社員への適用

当社は外部協力会社社員（含むアルバイト）に対し、業務範囲内で本ポリシーおよび関連規程の遵守を契約条項で義務付ける。機密保持契約（NDA）を締結し、情報漏洩防止措置を明確にする。また情報資産の利用を許可する場合には、派遣契約、業務委託契約、請負契約等の契約上に情報セキュリティ要件を記載し、本ポリシーを遵守させる。

情報の漏洩があった場合、協力会社に対して損害賠償請求を行う可能性があることを説明しなければならない。

協力会社の情報セキュリティ体制を評価し、必要に応じて立入検査や監査を行う。協力会社社員に対しても当社から情報セキュリティに関する説明等を提供することで本ポリシーに沿った指示、教育を事前に実施し、セキュリティ意識を共有する。

当社から協力会社へ提供するシステム・データアクセスは最小限に制限し、アクセスログを取得・監視する。協力会社が扱う当社データは暗号化や安全な伝送手段で管理し、外部流出の防止に努める。

１０．情報セキュリティに関する基本要件

• 組織的対策：情報セキュリティ責任者を任命し、セキュリティ委員会や定期会議による運営体制を整備する。内部監査やマネジメントレビューを実施し、是正・改善を行う。
• 人的対策・教育：全社員に対して年次セキュリティ教育を実施し、情報セキュリティの重要性や具体的対策（パスワード管理、フィッシング対策等）を周知する。疑わしいメールや SNS 等の注意喚起訓練も行う。
• 物理的対策：オフィス入退室管理（IC カード・来訪記録）、機密書類・媒体の施錠保管、防犯カメラの設置などにより、物理的アクセスを制御する。サーバ室やバックアップ保管場所への立入制限を徹底し、停電・火災対策（UPS、消火設備）を施す。
• アクセス制御・認証：情報システムへのアクセスは個人アカウントで行い、多要素認証やパスワード変更ルールを適用する。アクセス権は業務上必要最小限とし、定期的に権限を見直す。アカウントの貸与禁止やロックアウト機能の設定も徹底する。
• ネットワーク・通信：社内ネットワークはファイアウォールや IDS／IPS で監視・制御し、無線 LAN は強固な認証と暗号化（WPA3 等）を行う。リモートアクセスには VPN や SSL／TLS を必須とし、安全性を確保する。
• 端末セキュリティ：PC・サーバには最新のパッチ適用とウイルス対策ソフト導入を行う。端末はスクリーンロックを自動化し、暗号化ストレージやリモートワイプ機能を利用する。公私混在しない MDM（モバイル端末管理）ポリシーで BYOD 端末を管理する。
• バックアップと災害対策：重要データは定期的に暗号化したうえで隔離した拠点へバックアップする。災害発生時には事業継続計画（BCP）に従い、迅速にシステム復旧・業務再開を行う。バックアップデータの復元テストも定期的に実施する。
• クラウドサービス管理：利用するクラウドサービスはセキュリティ要件を満たすものに限定し、サービス提供者の認証や合意された利用契約（SLA）を遵守する。クラウド上のデータも暗号化等で保護し、アクセスログを取得する。
• ログ管理と監視：システム・ネットワークのアクセスログや操作ログを取得・保存し、定期的にレビューする。不審なアクセスや異常を検知した場合は速やかに対処し、再発防止策を講じる。
• インシデント対応：インシデント対応チームを編成し、発生時には手順書に従って原因究明・被害拡大防止・復旧措置を実施する。関係者への通知や外部報告が必要な場合は法令・社内ルールに従い適切に行う。

１１．改定

本ポリシーは少なくとも年 1 回以上、または法令改正・事業形態の変化・情報セキュリティ上の重大な事象発生時に見直しを行い、必要に応じて改定する。

ポリシーの改定は経営層の承認を経て行い、改訂履歴を記録する。改定後は全社員および協力会社に周知し、関係規程・手順書も合わせて更新する。

以上