1. お客様のデータについて責任を負う者
お客様の個人データの管理者は、MySkillsSpaceサービスの運営者です。その完全な識別情報、登記上の住所および登録番号は、本通知の一部を構成するお問い合わせページに掲載されています。
本通知に関するご質問、または第11項に記載された権利の行使については、お問い合わせフォームをご利用ください。プライバシーに関する請求には、不当に遅滞することなく、いかなる場合も受領から1か月以内に回答します。請求が複雑な場合は、その1か月以内にその旨をお知らせし、さらに2か月延長することがあります。
データ保護オフィサーは選任していません。ここに記載する処理がGDPR第37条1項の条件を満たさないためです。これが変更された場合には、当該オフィサーの連絡先を本ページに掲載します。
2. 本通知の対象範囲
本通知は、MySkillsSpaceのウェブサイトとその背後のアカウント領域を対象とします。現在実際に機能しているとおりにサービスを説明します。専門家は個人またはチームとしてプロフィールと料金付きサービスを公開し、誰でも専門家、サービス、チームを閲覧でき、ログインした企業はプロフィールの保存、メッセージや採用招待の送信、採用プロセスの運用、専門家へのスキル評価の依頼ができます。
お客様がご利用のサービスには、求人掲示板、雇用主ディレクトリ、給与ツールはありません。ただし画面上でそれらのセクションが表示されている場合を除きます。これらは既定では無効になっています。決済、広告、スポンサー枠はなく、お客様に関する自動化された決定も行われません。
3. 当社が収集する情報
アカウントデータ。アカウントを持つために必ずご提供いただくものです。電子メールアドレス、姓名、パスワード（bcryptハッシュとしてのみ保存され、判読可能な形式で保存されることはありません）、登録する役割、および画面表示言語です。これらがなければアカウントを作成できません。
プロフィールおよび出品データ。いずれも任意であり、すべてお客様ご自身が記載するものです。見出し、概要、都市および国、スキル、言語、雇用主名と期間を含む職歴、学歴、資格、実績、ポートフォリオのリンク、稼働可否、希望単価、ならびにお客様が公開するサービスとその説明、価格、および表示することを選んだ連絡先です。これらのどれを、誰に対して表示するかはお客様が決定します。
お客様がアップロードするファイル。履歴書その他の書類、アバター画像およびカバー画像です。アップロードされたファイルは申告されたファイル形式と照合され、第三者のストレージ事業者ではなく、本サービス自身のサーバーに保存されます。
サービスの利用により生じる活動データ：会話とそのメッセージ、招待、通知とそのために有効にしたブラウザのプッシュ購読、保存した検索、保存したプロフィールとサービス、およびログインした企業についてはSkills Firstプロフィールが開示された記録。作成または参加したチーム：メンバーシップ、チーム内の役割、関連する招待と参加リクエスト。参加する採用プロセス：その段階、決定、活動ログ。受験したスキル評価：回答、スコア、結果と、セッションの技術的イベント（開始、提出、フォーカスや接続の変化、時間）。これらはセッションの経過を示す中立的な記録として保持されます。ユーザーが書いた内容を別の言語で表示する場合、再生成を避けるためその翻訳が保存されます。
サーバーが記録する技術データ。サーバーログに記録されるIPアドレス、ブラウザのユーザーエージェント、リクエストの時刻と結果、証明できるようにするため同意の記録に付随するIPアドレスとユーザーエージェント、ならびにログイン、パスワード変更、アカウント削除、管理上の決定といったセキュリティに関わる行為についての監査記録です。
分析に同意した場合に限る利用データです。閲覧したページ、行った操作、ブラウザと端末の技術情報、IPアドレスから得られるおおよその位置、ログイン中はアカウントIDと役割。PostHogが当社の指示で収集し、広告表示には使いません。
4. 利用目的および法的根拠
お客様が求めたサービスを提供するため。アカウントの作成と運用、プロフィールおよびサービスの公開、検索および閲覧、メッセージ、招待、通知、保存項目です。法的根拠は契約の履行、GDPR第6条1項(b)です。第3項に記載のアカウントデータをご提供いただけない場合、当社はサービスを提供できません。
サービスの安全と稼働を維持するため。レート制限、不正利用の防止、サーバーログおよび監査ログ、ならびにインシデントの調査です。法的根拠は、悪用されないサービスに対する当社の正当な利益、GDPR第6条1項(f)です。
公開されたコンテンツを管理し、利用規約を執行するため。コンテンツの制限または削除、アカウントの停止、および影響を受ける方への理由の通知を含みます。法的根拠は、適法なプラットフォームに対する当社の正当な利益、および法がその措置を求める場合は法的義務の遵守であり、GDPR第6条1項(f)および第6条1項(c)です。
お問い合わせフォームから送信されたメッセージに回答し、苦情に対応するため。法的根拠は、当社に連絡された方に回答することについての当社の正当な利益、GDPR第6条1項(f)です。
お客様が別途購読された場合に、電子メールで商業的情報を送信するため。法的根拠はお客様の同意であり、GDPR第6条1項(a)およびポーランド電子通信法第398条です。配信停止リンクからいつでも同意を撤回でき、撤回前に受け取ったものには影響しません。
分析に同意したときに、サービスの使われ方を把握するためです。開かれたページ、行われた操作、端末とブラウザの種類、IPアドレスから得られるおおよその位置。PostHogで行います。根拠は同意、GDPR第6条1項(a)およびポーランド電子通信法第399条です。Cookieの案内からいつでも撤回でき、撤回前に記録された内容には影響しません。
5. 他の人が見られる範囲
プロフィールの公開範囲はお客様が設定します。公開、ログイン済み会員のみ、ログイン済み企業のみ、身元非公開、または非公開です。この設定は画面上で隠されるだけでなく、プロフィールを返し得るすべての経路でサーバーが適用し、公開でないプロフィールは閲覧権限のない訪問者に対しては拒否されます。
身元非公開モードでは、氏名、写真、勤務先、連絡先、リンク、希望給与、プロフィールハンドルが非表示になり、あなたと各職歴の所在地は最大でも国までに縮められます。あなたが書いた文章の中でも、サーバーはページ送信前に氏名、あらゆるメールアドレス、電話番号、あらゆるウェブアドレスを置き換えます。これは表示上の選択であり、結び付け不能の保証ではありません。自分について書いた内容が十分に特徴的であれば、たとえば説明に挙げた勤務先や狭く記述したサービスから、依然として本人が特定されることがあります。設定のプライバシーチェックは文章の中で見つけたものを一覧にします。身元非公開モードは名前を出さずに仕事を見せるものであり、追跡不能ではないと考えてください。
連絡先と履歴書ファイルが匿名の訪問者に表示されることはありません。お客様が有効にした場合にのみ表示され、その場合もログイン済みの企業と管理者に対してのみ表示されます。お客様の公開プロフィールが検索エンジンに提供されるのは、インデックス登録を有効にした場合に限られ、既定では無効です。
6. 結果の並び順とマッチ率
検索結果は訪問者が選ぶ基準で並べられます。既定では公開日が新しい順、または価格順、あるいは記載された稼働可否の順です。上位表示のために支払うことは誰にもできず、プロモーション枠やスポンサー枠の結果はありません。
サービスの横に表示される割合は、お客様ご自身が公開した情報、すなわちプロフィールの充実度、スキルが記載されているか、価格と稼働可否が記載されているかに基づく、単純で固定的な計算です。これは人工知能ではなく算術であり、結果の並び順を変えることはなく、お客様に関するいかなる決定も生みません。GDPR第22条にいうプロファイリングは行われず、法的効果またはこれに類する重大な影響を及ぼす決定が自動的に行われることもありません。
7. データを受け取るその他の者
他の利用者。ただしお客様が設定した範囲内に限られます。公開範囲設定が許す内容、お客様が参加する会話の内容、およびお客様が受け取る招待です。サービスの管理者は、モデレーションおよびサポートに必要な範囲で、アカウントデータおよびコンテンツデータを閲覧できます。
当社の指示に基づいて業務を行う事業者：サービスを稼働させるサーバーをホストする cyber_Folks S.A.、パスワード再設定や確認リンクなどアカウント関連メールを送信する Resend、ドメインの DNS を提供し、リバースプロキシとしてサービスの前段に位置してリクエストを中継し、暗号化されたオフサイトのバックアップコピーを保管するオブジェクトストレージ（Cloudflare R2）を提供する Cloudflare, Inc.、そして同意をいただいた場合にのみプロダクト分析を提供する PostHog, Inc. です。本サービスは広告ネットワーク、決済事業者、人工知能事業者を利用していないため、これらにお客様のデータが渡ることはありません。
Google が受領者となる場面は二つあります。Google でログインする場合、Google がそのログインを処理し、お客様のメールアドレス、氏名、プロフィール画像を当社に返します。また、その方法で登録した利用者の画像は Google から配信されるため、表示のためにお客様のブラウザが Google に接続します。これとは別に、お客様のブラウザが二つの接続を行います。地図を開くと OpenStreetMap からタイルが読み込まれ、OpenStreetMap はお客様の IP アドレスを受け取ります。また、入力された地名を座標に変換するために当社サーバーが OpenStreetMap の Nominatim に問い合わせます。この問い合わせは地名を含み、お客様からではなく当社サーバーから送信されます。
分析に同意すると、ブラウザは利用イベントを当社のオリジンへ送り、当社がPostHogの欧州クラウドへ転送します。PostHogは訪問したページ、行った操作、IPアドレス、ブラウザと端末の情報、ランダムな識別子を見ます。ログイン中はアカウントIDと役割を付け、メールアドレスや氏名は付けません。メッセージ本文、パスワード、アップロードしたファイルはPostHogに渡りません。Cookieの案内からいつでも止められ、その後はイベント送信を止め、このブラウザで使った識別子を忘れるようPostHogに指示します。
8. 欧州経済領域外への移転
本サービス、そのデータベース、アップロードされたファイルはポーランドのサーバーに保管されています。暗号化されたバックアップコピーは、欧州連合の管轄制限を設定して作成した Cloudflare R2 バケットに保存されるため、EU 域内のデータセンターにとどまります。同意いただいた分析イベントは PostHog の欧州連合クラウドで処理されます。Cloudflare と Resend はグローバルに分散したインフラを運用しており、Google と PostHog, Inc. は欧州経済領域外に所在するため、それらによる処理の一部は域外で行われる場合があります。
その場合の移転は、当該事業者との契約に定める保護措置、すなわち十分性認定、認証、または欧州委員会が承認した標準契約条項に基づきます。特定の事業者にどれが適用されるかは、お問い合わせフォームからご確認いただけます。
9. 保存期間
アカウント、プロフィール、出品およびファイルのデータは、アカウントが存在する間保存します。アカウントを削除すると、アカウントの記録とプロフィール上のすべての情報は直ちに匿名化され、アップロードされたファイルはサーバーから削除され、職歴、公開されたサービス、書類および保存項目は削除され、すべてのセッションが終了します。他の方の会話や記録が壊れないように、匿名化された空のアカウント記録が残されますが、そこにお客様を識別するデータは含まれません。
お客様が他の利用者に送信したメッセージは、お客様のアカウントがなくなった後も相手方の会話に残り、匿名化されたアカウントとして表示されます。それらはお客様のものであると同時に相手方の記録でもあるため、お客様のプロフィールとともに削除されることはありません。
サーバーログ、監査ログおよび同意の記録は、セキュリティと説明責任のために保存します。同意の記録は、同意を証明し、請求に対して防御するために必要となり得る間保存し、アカウントに関する行為の監査記録も同じ理由で保存します。
お問い合わせフォームのメッセージ：案件およびその後の対応に必要な期間。
バックアップ：データベースのコピーを毎日サーバー上で作成し、最新 14 件を保管します。1 日 1 回、最新のコピーとアップロードファイルのアーカイブを暗号化し、第 7 条および第 8 条に記載のオフサイト保管先へ送信します。そこでは直近 14 件の日次、4 件の週次、6 件の月次コピーを保持し、それより古いものは自動的に削除されます。バックアップにはその時点でデータベースとファイル保管庫にあるすべて（後に削除されたアカウントのデータを含む）が含まれるため、削除されたデータはそれを含む最後のコピーが入れ替わるまで最長 6 か月間バックアップに残ることがあります。バックアップは障害後にサービスを復旧するためだけに存在し、削除されたデータを復元する目的でバックアップを戻すことはありません。
10. データの保護方法
パスワードはbcryptハッシュとしてのみ保存されます。通信はTLSで提供されます。セッションには短期間有効なアクセストークンと、JavaScriptから読み取れないクッキーに保持されるリフレッシュトークンを使用します。セッションの終了またはパスワードの変更により、これらのトークンは有効期限切れを待たずに直ちに無効になります。
他の利用者のデータへのアクセスは、すべての経路でサーバーが拒否し、アップロードされたファイルは申告されたファイル形式と照合され、リクエストにはレート制限が適用されます。管理上の操作は監査ログに記録されます。
完全に安全なシステムは存在せず、当社もそのように主張することはありません。お客様の権利および自由に対するリスクを生じさせるおそれのある侵害が発生した場合、当社は監督機関に通知し、法が求める場合にはお客様にも通知します。
バックアップコピーは、当社のみが保持する鍵でサーバーから送出される前に暗号化されます。ストレージ事業者が受け取るのは暗号化されたファイルのみで、その内容を読むことはできません。バックアップへのアクセスはサービスを運用する担当者に限られ、保管先は各ファイルの過去バージョンを保持するためコピーを気づかれずに破壊することはできず、復元テストを行うことでバックアップが実際に頼れるものであることを確認しています。
11. お客様の権利
お客様には、ご自身のデータへのアクセスおよびその写しを得る権利、訂正を求める権利、消去を求める権利、処理の制限を求める権利、当社の正当な利益に基づく処理に異議を述べる権利、およびデータポータビリティの権利があります。処理がお客様の同意に基づく場合、お客様はいつでも同意を撤回できます。撤回は、撤回前に行われた処理には影響しません。
このうちいくつかは、お客様ご自身で直ちに行使できます。アカウント領域でプロフィール上の情報を編集または訂正すること、公開範囲を変更すること、アカウント設定からご自身のデータの写しをファイルとしてダウンロードすること、配信停止リンクからニュースレターの同意を撤回すること、およびパスワードの確認後にアカウント設定からアカウントを削除することです。
その他の事項、すなわち処理の制限、異議、または権利の取り扱いに関するご質問については、お問い合わせフォームをご利用ください。当社は、請求がお客様ご本人からのものであることを確認できる程度の情報をお尋ねします。請求が明らかに根拠を欠くか過度である場合を除き、費用は請求しません。
お客様には監督機関に苦情を申し立てる権利もあります。ポーランドにおいては、個人データ保護庁長官（Prezes Urzędu Ochrony Danych Osobowych）、ul. Moniuszki 1A, 00-014 Warszawa、uodo.gov.pl です。欧州経済領域内の他国にお住まいまたは勤務されている場合は、その国の監督機関に苦情を申し立てることもできます。
12. クッキーとお客様の端末上の保存
サービスは動作に必要なものだけを端末に保存します。ログインセッション、言語、国、通貨、表示設定、Cookie案内への回答です。これらは必要です。別に、分析に同意した場合、分析ツールはランダムな識別子と短いセッションも保存し、ページ閲覧を無関係なヒットではなく1回の訪問として数えられます。Cookie案内に各項目、目的、保存期間を書いています。
分析は同意するまでオフです。Cookie案内からいつでも承諾、拒否、変更でき、すでに回答した後でもできます。拒否してもサービスの利用には影響しません。
13. 年齢
MySkillsSpaceは、専門的なサービスを提供する方と、そうした方を探す企業のためのサービスです。子どもを対象とするものではなく、アカウントは16歳以上の方を想定しています。子どもがアカウントを作成したと思われる場合は、お問い合わせフォームからお知らせください。当社が削除します。
14. 本通知の変更
本通知は、サービスの変更または法令の変更に伴い変更されることがあります。効力を有する版は、本ページ上部に表示された発効日によって特定されます。
変更がお客様のデータの利用方法に重大な影響を及ぼす場合、アカウント保有者には、黙って書き換えるのではなく、電子メールまたはサービス内の通知により、発効前にお知らせします。