プライバシーポリシー（個人情報保護方針）

事業者名

やりがいラボ合同会社

適格請求書発行事業者登録番号

【T〇〇〇〇〇〇〇〇〇〇〇〇〇】

所在地

東京都新宿区西新宿三丁目3番13号 西新宿水間ビル2F

個人情報保護管理者

亀井 凱（代表社員）

連絡先

info@yarigailab.com（問い合わせ窓口）

（以下「当機関」といい、本サービス ストレスチェック SaaS「きしべ」（Kishibe） を提供する。）

※ 当機関は 2026年9月4日に設立されたやりがいラボ合同会社である。設立前に個人事業主 亀井 凱として取得した個人情報は、同日をもって当機関が承継した。

本ポリシーは、当機関が提供するストレスチェック SaaS「きしべ」（Kishibe）（労働安全衛生法第66条の10に基づくストレスチェック制度の実施支援。以下「本サービス」） において取得する個人情報の取扱いを定める。

当機関は、本サービスの提供にあたり以下の個人情報を取得する。

1. 受検者の情報：氏名、メールアドレス、社員番号、所属 （会社・事業場・部署）、年代、性別
2. 要配慮個人情報：ストレスチェックの回答内容および結果 （心身の状態に関する情報。個人情報保護法上の「要配慮個人情報」に該当）
3. 面談に関する情報：医師・保健師等による面接指導の記録
4. アカウント情報：ログイン認証情報、操作ログ（監査ログ）

要配慮個人情報の取得は、本人の同意（受検への参加）に基づく。

取得した個人情報は、以下の目的の範囲内で利用する。

1. ストレスチェックの実施、採点、結果の通知
2. 高ストレス者への医師による面接指導の案内・実施
3. 集団分析（部署・事業場単位の集計。個人を特定しない統計処理）
4. 法令に基づく記録の保存
5. 本サービスの運営・保守・問い合わせ対応

労働安全衛生法第66条の10および関連指針に基づき、ストレスチェックの個人結果は、受検者本人の同意がない限り、事業者（受検者の勤務先）に提供しない。事業者が把握できるのは、集団分析による統計情報（10人以上の集団単位）に限られる。

ストレスチェックの実施に関わる者（実施者である医師・保健師等、および実施事務従事者）は、 労働安全衛生法第105条に基づく守秘義務を負い、業務上知り得た受検者の秘密を漏らさない。

当機関は、以下の場合を除き、本人の同意なく個人情報を第三者に提供しない。

1. 法令に基づく場合
2. 人の生命・身体・財産の保護に必要で、本人同意が困難な場合（緊急対応等）
3. その他、個人情報保護法が認める場合

当機関は、利用目的の達成に必要な範囲で、個人情報の取扱いを外部に委託する場合がある。 委託先は適切に選定し、契約により安全管理を義務づける。

主な委託先と取扱い

越境移転に関する補足

⚠️ Resend Inc. について：Resend は電子メールの送信元リージョンとして東京を選択できるが、それは送信元を決めるものであって、アカウントのデータ・メタデータ・送信ログの保管国は米国のまま変わらない。したがって受検者のメールアドレスの取扱いは、個人情報保護法第28条（外国にある第三者への提供）の対象となる。

⚠️ Supabase Pte. Ltd. について：当機関のデータベースは東京（ap-northeast-1）に置かれているが、それはデータセンターの位置を定めるものであって、委託先の法人の所在地ではない。第28条の「外国にある第三者」は提供先の法人がどこにあるかで判断する。同社はシンガポール法人であり、同社の Data Processing Addendum は「Supabase 又はその再委託先が設備を有する場所であればどこでも取り扱うことができる」旨を定め、 同社が公表する Transfer Impact Assessment は移転先を米国及びシンガポールと明示している。またデータベース本体は東京にあるが、ログは BigQuery（Google Cloud）に置かれる。したがって受検者の個人データの取扱いは、第28条の対象となる。

⚠️ Stripe について：日本における契約主体はStripe Japan, Inc.（日本法人）であり、日本国内の事業者として決済サービスを提供する。ただし個人データの取扱いに関しては Stripe Payments Europe, Limited（アイルランド）が当事者に加わる（Stripe サービス利用規約による）。アイルランドは下記のとおり第28条の「外国」から除外されるため、米国・シンガポール所在の委託先とは扱いが異なる。

委託先のうち、Supabase Pte. Ltd.（シンガポール）、Vercel Inc.・Cloudflare, Inc.・Resend Inc.・Anthropic, PBC（いずれも米国）は、外国にある第三者に当たる：

• Supabase Pte. Ltd. は、当機関が預ける個人データのうち最も機微なもの（受検者の氏名・回答・判定結果・面接指導の記録・就業上の措置に関する意見書。要配慮個人情報を含む）を保管する。本人の同意によらず、個人情報保護法第28条に基づく相当措置の継続的確保（同法施行規則第18条）により対応する。当機関はデータベースの保管場所を東京に指定しているが、これは第28条の適用を左右しない
• Resend Inc. は個人データ（受検者メールアドレス・通知本文）を米国で保管する。本人の同意によらず、個人情報保護法第28条に基づく相当措置の継続的確保（同法施行規則第18条）により対応する。
• Anthropic PBC への送信データには個人データが含まれない（集計値・URL ステータスのみ。受検者の回答内容や個人結果は送信しない設計）
• Vercel Inc. は関数の実行リージョンを東京に固定しているが、保管国は米国として扱う。同社は自らの Data Processing Addendum において米国その他の国へデータを移転しうる旨を明示しており、障害時には他リージョンへ自動的に切り替わるため。ただし当機関は Vercel に個人データを保存せず、通信の処理に限って利用する。Resend と同様、相当措置の継続的確保（施行規則第18条）により対応する
• Cloudflare は DNS 機能のみ利用し、個人データを保管しない
• Stripe Payments Europe, Limited はアイルランドに所在する。アイルランドは EU 加盟国であり、個人情報保護委員会が本邦と同等の水準にあると認める個人情報保護制度を有している国として指定している。したがって第28条の対象とならず、本人の同意は不要である。通常の委託（同法第27条第5項第1号）として取り扱う
• 決済に関して当機関が Stripe に提供するのは、事業者（お客様）の請求先情報に限られる。受検者の氏名・メールアドレス・回答・結果は提供しない

⚠️ 保管場所と、委託先の所在地は別である。個人情報保護法第28条の「外国にある第三者」は、提供先の法人がどこにあるかで判断する（個人情報保護委員会 ガイドライン 外国にある第三者への提供編）。 サーバーやデータセンターの位置では判断しない。日本国内のリージョンを選んでいても、委託先が外国法人であれば第28条の対象になる。

当機関は、顧客企業（事業者）からストレスチェックの実施を受託する立場であり、 受検者の個人情報を委託の範囲で取り扱う。ただし第5条のとおり、個人結果は委託元である事業者にも開示しない。

当機関は、個人情報の漏えい・滅失・毀損を防止するため、以下を含む安全管理措置を講じる。

1. アクセス制御（役割に応じた権限管理、組織・事業場境界でのデータ分離）
2. 通信の暗号化（HTTPS）、保存データの保護
3. 操作の監査ログ記録
4. レート制限等の不正アクセス対策

ストレスチェックの結果等の記録は、労働安全衛生法関連法令に基づき5年間保存する。保存期間経過後は、適切な方法で削除する （詳細は「データ保存・削除ポリシー」参照）。

受検者本人は、自己の個人情報について、開示・訂正・追加・削除・利用停止を請求できる。 請求はinfo@yarigailab.comで受け付ける。本人確認の上、法令に基づき対応する。

個人情報の取扱いに関する問い合わせは、以下で受け付ける。

メール

info@yarigailab.com

事業者名

やりがいラボ合同会社

住所

東京都新宿区西新宿三丁目3番13号 西新宿水間ビル2F

本ポリシーは、法令の変更やサービスの改善に応じて改定することがある。 重要な変更は本サービス上で告知する。