セキュリティへの取り組み

Office Kobayashi（以下「当社」）は、採用支援サービス「SANGO」の提供にあたり、お客様と候補者の皆さまからお預かりする情報を守ることが事業の前提であると考え、以下の方針を定めて実行します。

1. 経営者の責任：代表者が情報セキュリティに責任を持ち、対策に必要な資源を確保して、継続して取り組みます。
2. 体制の整備：情報の取り扱いの決まりを定め、サービスに関わる者に守らせます。外部の事業者に処理を委託するときは、信頼できる事業者を選び、委託の範囲を必要最小限にします。
3. 情報の最小化と適切な管理：候補者の個人情報はお客様自身のGoogleアカウント上に置き、当社のサーバーで持つ情報を必要最小限にします。保有する情報は、不正なアクセス・漏えい・改ざん・紛失から守るための技術的・人的な対策を講じます。
4. 法令と契約の遵守：個人情報の保護に関する法律をはじめとする法令、国が定めるガイドライン、およびお客様との契約上の義務を守ります。
5. 事故への対応：情報セキュリティ上の事故が起きた、または起きるおそれがあるときは、速やかに原因を調べて被害を最小限に抑え、影響を受けるお客様にお知らせし、再発を防ぐ措置を講じます。
6. 継続的な改善：コードやデータベースの権限設定を定期的に点検し、新しい脅威や事業の変化に合わせて、この方針と対策を見直します。

制定日：2026年10月6日
Office Kobayashi　代表 Kobayashi Kotaro

候補者の一覧（氏名・メールアドレス・電話番号）と履歴書などの書類は、お客様自身のGoogleドライブ（候補者DBシート・候補者フォルダ）に保存します。SANGOのデータベースは、候補者を応募IDという番号で参照するだけで、氏名や連絡先を保存しない作りです。タスクや通知の控え、システムのログにも候補者の氏名を書きません。

例外として、面接の議事録と評価は応募IDに紐づけてSANGOに保存します（詳しくはプライバシーポリシー）。

• 通信の暗号化：すべての通信をHTTPSで暗号化し、暗号化されていない接続を受け付けない設定（HSTS）にしています。
• 会社ごとのデータの分離：データベースの行ごとにアクセスを制御し、所属していない会社のデータには届かない作りです。採用設計や面接シートなどの主要なデータは、閲覧のみのメンバーがデータベースの側でも書き換えられない設定です。
• 鍵とトークンの保護：GoogleやSlackとの接続に使う鍵はサーバー側でのみ扱い、ブラウザからは読めない設定にしています。メンバーがワークスペースを外れたときは、その人の接続情報を自動で削除します。
• パスワードを持たないログイン：ログインはGoogleアカウントのみで、SANGOはパスワードを保存しません。
• 外から届く情報の確認：転送で届く採用媒体の通知メールは、送信元の正当性（SPF・DKIM）を確かめてから取り込みます。候補者に送る個別リンクには改ざん防止の署名を付けています。
• 候補者に届くものは人が送る：AIが作った文面を、担当者の確認なしに候補者へ送ることはありません。
• 管理画面の保護：運営が使う管理画面には2段階認証を設定しています。

AIの処理にはAnthropic社のAPIを利用し、処理に必要な最小限の情報だけを送ります。Anthropic社は、API経由の入力と出力を既定ではAIの学習に使わないと公表しています（Anthropic Privacy Center）。候補者の合否や点数をAIに判断させることはしません。

SANGOのGoogle連携は、Googleのアプリ審査（OAuthの確認）を経て公開しています。ドライブへのアクセスは「SANGOが作成したファイルのみ」に限定しており、お客様の他のファイルは読みません。接続はいつでもお客様の操作で解除できます。

サービスの提供にあたり、以下の事業者に処理を委託しています。

SANGOのセキュリティ上の問題に気づかれた場合は、support@sango-ai.comまでお知らせください。件名に「セキュリティ」と入れていただけると、優先して確認します。報告の窓口はsecurity.txtにも記載しています。