最終更新日: 2026年3月19日
このデータ処理契約（「DPA」）は、Curriculo Inc.（「プロセッサー」、「私たち」または「Curriculo」）とCurriculo ATSを購読しているエンティティ（「コントローラー」、「カスタマー」または「あなた」）との間の契約の一部であり、Curriculo ATSプラットフォームおよび関連サービスに関連する個人データの処理に関するものです。
1. 適用範囲と適用性
このDPAは、Curriculo ATSプラットフォームを使用するカスタマーのためにCurriculoが個人データを処理することに適用されます。これは、私たちの利用規約およびプライバシーポリシーを補足するものです。このDPAとその他の契約との間に矛盾がある場合、このDPAがデータ処理に関する事項について優先します。
このDPAは、個人ユーザーが自分自身の履歴書データのデータコントローラーであるCurriculo AI履歴書ビルダーを通じて処理されたデータには適用されません。
2. 定義
- 「個人データ」とは、Curriculo ATSプラットフォームを通じて処理される識別されたまたは識別可能な自然人に関連する情報を意味します。
- 「処理」とは、個人データに対して行われる操作を意味し、収集、保存、取得、分析、修正、送信、削除を含みます。
- 「データ主体」とは、個人データが関連する識別されたまたは識別可能な自然人を意味し、主に求人応募者や候補者を指します。
- 「サブプロセッサー」とは、カスタマーの代理で個人データを処理するためにCurriculoが関与させる第三者を意味します。
3. 処理される個人データの種類
Curriculo ATSサービスを提供する過程で、私たちはあなたの代理として以下のカテゴリの個人データを処理します:
- 候補者の身元データ: 名前、メールアドレス、電話番号、住所
- 職業データ: 履歴書、カバーレター、職歴、学歴、スキル、資格
- 応募データ: 求人応募、面接ノート、評価結果、採用段階の進行
- AI生成データ: マッチスコア、スキルギャップ分析、候補者の要約、建設的なフィードバックレポート
- コミュニケーションデータ: プラットフォームを通じてリクルーターと候補者間で交換されたメールやメッセージ
- 雇用主アカウントデータ: リクルーターの名前、役割、ログイン資格情報、プラットフォームの活動ログ
4. 目的と法律に基づく根拠
Curriculoは、カスタマーの指示に従ってCurriculo ATSサービスを提供する目的でのみ個人データを処理します。これには以下が含まれます:
- 候補者管理とパイプライン追跡
- AIによる候補者スクリーニングとスコアリング
- スキルギャップ分析と建設的なフィードバック生成
- 面接のスケジュールと調整
- 採用分析とレポート作成
- プラットフォームの機能、メンテナンス、改善
5. データ主体の権利
Curriculoは、適用されるデータ保護法の下でデータ主体のリクエストに応じるために必要な義務を果たすためにカスタマーを支援します。これには以下のリクエストが含まれます:
- アクセス: データ主体に関して保持している個人データのコピーを提供
- 訂正: 不正確または不完全な個人データの修正
- 削除: 個人データを削除する権利（「忘れられる権利」）
- 移行: 構造化された機械可読形式での個人データのエクスポート
- 制限: 個人データの処理を制限する
- 異議: 正当な利益に基づく処理の停止
6. セキュリティ対策
Curriculoは、個人データを保護するために適切な技術的および組織的措置を実施します。これには以下が含まれます:
- 暗号化: すべてのデータは転送中（TLS 1.2+）および静止中（AES-256）に暗号化されます。
- アクセス制御: 行動ベースのアクセス制御と管理アクセスのための多要素認証
- インフラストラクチャ: SOC 2タイプII認証を持つデータセンターでAWSホスティング
- 監視: 継続的なセキュリティ監視、脆弱性スキャン、侵入検知
- 従業員トレーニング: カスタマーデータにアクセスするすべての職員に対する定期的なセキュリティ意識トレーニング
- 監査: 年次の第三者によるセキュリティ評価およびペネトレーションテスト
7. サブプロセッサー
Curriculoは、Curriculo ATSサービスを提供するために次のサブプロセッサーを利用します:
- Amazon Web Services (AWS): クラウドインフラストラクチャおよびデータストレージ（米国地域）
- PostHog: プロダクト分析（匿名化された使用データのみ）
- OpenAI: 候補者スコアリング、スキルギャップ分析、フィードバック生成のためのAI処理（カスタマーデータへのトレーニングなしでOpenAIの企業データ処理条件に従って処理される）
想定されるサブプロセッサーの変更について、カスタマーに通知し、異議を唱えるための合理的な期間を提供します。
8. データの保持と削除
- 候補者データは、プラットフォーム内でカスタマーが設定した保持設定に従って保持されます。
- カスタマーのCurriculo ATSサブスクリプションが終了した場合、すべてのカスタマーデータは90日以内に削除され、適用法により保持が必要とされる場合を除きます。
- カスタマーは、プラットフォームのデータエクスポート機能を使用して、いつでもデータをエクスポートできます。
- バックアップコピーは、主データ削除から30日以内に消去されます。
9. 国際データ転送
Curriculo Inc.はアメリカ合衆国に拠点を置いています。欧州経済地域（EEA）、イギリス、またはスイスからの個人データの転送に関して、Curriculoは以下に依存します:
- EU-USデータプライバシーフレームワーク（DPF）
- 欧州委員会に承認された標準契約条項（SCC）
10. データ侵害通知
カスタマーデータに影響を与える個人データの侵害が発生した場合、Curriculoは次のことを行います:
- 侵害を認識した72時間以内に影響を受けたカスタマーに遅滞なく通知します。
- カスタマーが自らの侵害報告義務を果たすために十分な情報を提供します。
- 侵害を抑え、修正するための合理的な手段を講じます。
- 必要に応じてカスタマーおよび監督当局と協力します。
11. 準拠
このDPAは、適用されるデータ保護規制への準拠を確保するために設計されています。これには以下が含まれます:
- GDPR（一般データ保護規則）に基づくEEAデータ主体
- UK GDPRに基づくイギリスデータ主体
- CCPA/CPRA（カリフォルニア州消費者プライバシー法 / カリフォルニア州プライバシー権法）に基づくカリフォルニア州居住者
- その他の適用される州および連邦のプライバシー法
12. お問い合わせ
このDPAについての質問や、記録用の署名済みコピーを要求する場合は、次の連絡先までご連絡ください:
メール:legal@curriculo.me
Curriculo Inc.
アメリカ合衆国ニューヨーク州ブルックリン