プライバシーポリシー

Qmitate（以下「当サービス」といいます）の運営者（以下「当社」といいます）は、ユーザーの個人情報の保護を重要と考え、 個人情報の保護に関する法律（以下「個情法」といいます）その他の法令を遵守し、以下のとおりプライバシーポリシー（以下「本ポリシー」といいます）を定めます。

当サービスでは、ユーザー（サロン事業者）が登録する従業員・顧客等の個人情報について、その取扱事業者はユーザーであり、当社はユーザーから委託を受けてこれを取り扱います。本ポリシーは、当社が取り扱う個人情報全般（ユーザー自身の登録情報、および当社が委託を受けて取り扱う情報）に関する方針を定めるものです。

第1章　収集する情報

当社は、当サービスの提供に必要な範囲で、以下の情報を収集します。

• 登録情報:氏名、メールアドレス、電話番号、ログインID、パスワード（ハッシュ化して保存）
• 事業者情報:サロン名、店舗住所、代表者名、業態情報
• 従業員情報:従業員氏名、氏名カナ、スタッフコード、雇用形態、入社日・退職日、給与額、手当情報、銀行口座情報（給与振込目的）、休業・配慮の情報（任意。病気や障がいに関する情報を含む場合があり、その取得に必要な本人の同意は使用者であるユーザーが得ます）
• 業務データ:売上データ、勤怠データ、経費データ、給与計算結果
• アクセスログ:IPアドレス、ブラウザ情報、アクセス日時、参照URL
• 2要素認証情報:認証シークレット（暗号化して保存）、リカバリーコード（ハッシュ化して保存）
• Cookie情報:セッション管理、利用状況分析のための Cookie
• 収集しない情報:当社は、マイナンバー（個人番号）および特定個人情報を収集・保管しません（利用規約第5条の2）。

第2章　利用目的

当社は、収集した情報を以下の目的で利用します。

• 給与計算、売上管理、勤怠管理、経費管理等の当サービスの提供
• 経営分析、ベンチマーク分析、異常値検知等の分析機能の提供
• ユーザーサポート、問い合わせ対応
• 利用料金の請求および支払い処理
• 当サービスに関する重要なお知らせの通知
• 当サービスの改善、新機能の開発
• 匿名加工情報の作成および統計データとしての利用（第4章に詳述）
• 不正利用の防止、セキュリティ対策
• 法令または正当な権限を有する公的機関からの要請への対応

第3章　外部委託先・データ処理者

当社は、当サービスの提供にあたり、以下の外部委託先にユーザー情報の処理を委託する場合があります。 各委託先とは、個情法第25条に定める監督義務を履行するため、機密保持契約を締結しています。

※外部委託先の追加・変更がある場合、本ポリシーを改定の上、施行日の30日前までに通知します。

第4章　匿名加工情報の作成と提供

1. 当社は、美容業界全体の発展および当サービスの改善を目的として、ユーザーから取得した情報をもとに匿名加工情報を作成し、ベンチマーク機能等の形でユーザーに提供することがあります。現時点では、匿名加工情報の作成、統計利用およびベンチマーク機能の提供は行っていません。以下の各項は、当社がこれらを開始する場合に適用されます。
2. 匿名加工情報の作成にあたり、当社は以下の加工基準を適用します。
   • 個人識別情報（氏名、メールアドレス、スタッフコード、店舗名等）を全て削除または置換
   • 集計対象が10事業者未満となる場合は公表しない（k-匿名性 k≧10）
   • 特定事業者の影響度が30%を超える集計結果は公表しない
   • 加工方法に関する情報の安全管理のための措置を講じる
3. ユーザーは、当サービスの「設定 > 経営ポリシー」画面より、統計利用への提供をいつでも停止（オプトアウト）することができます。
4. オプトアウト後、以降の匿名加工情報作成において当該ユーザーのデータは除外されます。ただし、既に公表された統計データからの遡及削除はできません。
5. 当社は、匿名加工情報を作成したときは、個情法第43条第3項に基づき、当該匿名加工情報に含まれる個人に関する情報の項目を本ページに公表します。作成を開始した場合に公表を予定している項目は、店舗の業態・地域区分、売上・客単価・指名率等の経営指標、給与・労務に関する集計値であり、いずれも個人・店舗・事業者を特定できない統計値に加工したものです。
6. 当社は、匿名加工情報を第三者に提供する場合、提供に先立ち、提供する情報の項目および提供の方法を公表するとともに、提供先に対して当該情報が匿名加工情報である旨を明示します。

第5章　第三者への提供

1. 当社は、以下のいずれかに該当する場合を除き、ユーザーの事前の同意なく個人情報を第三者に提供しません。
   • 法令に基づく場合
   • 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
   • 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合
2. ユーザーが自らの操作により税理士その他の外部専門家に当サービスへのアクセス権を付与した場合、当該専門家による閲覧はユーザーの指示に基づく取扱いであり、当社からの第三者提供には該当しません。アクセス権の付与および取消しは、ユーザーの責任において行っていただきます。
3. 当社は、事業承継に伴って個人情報を提供する場合があります。この場合、承継先に本ポリシーの遵守を義務付けます。

第6章　Cookie およびアクセス解析

1. 当サービスは、ユーザー体験の向上およびサービス改善のため、Cookie を使用します。
2. Cookie の種類と用途:
   • 必須 Cookie:ログイン状態の維持、CSRF トークン管理（無効化不可）
   • 機能 Cookie:UI設定の記憶（ガイドモードON/OFF、言語設定等）
   • 分析 Cookie:利用状況の集計（匿名化処理後）
3. ユーザーは、ブラウザ設定により Cookie を無効化できますが、一部機能が利用できなくなる可能性があります。
4. 当サービスは、現時点で第三者による広告 Cookie を使用していません。
5. 外部送信について（電気通信事業法に基づく公表）:当サービスは、本文・見出し用の Web フォントを含む表示用リソースを当社サーバーから配信しており、画面表示にあたって利用者のブラウザから第三者（外部事業者）へ利用者情報を自動的に送信する処理（外部送信）は行っていません。

第7章　ユーザーの権利（開示・訂正・利用停止）

1. 本人（当社が保有個人データを取り扱う個人をいい、ユーザーご本人のほか、ユーザーの従業員・顧客等を含みます）は、個情法第32条から第39条に基づき、以下の権利を有します。
   • 個人情報の開示請求（第33条）
   • 個人情報の訂正・追加・削除請求（第34条）
   • 個人情報の利用停止・消去請求（第35条）
   • 個人情報の第三者提供停止請求（第35条）
   • 保有個人データの利用目的の通知請求（第32条第2項）
2. 上記請求の受付窓口:
   Qmitate プライバシー窓口
   メール: support@qmitate.com
   受付時間: 平日 10:00 - 18:00（土日祝・年末年始を除く）
   ※当社は個人事業として運営しており、即時対応が困難な場合があります。原則として受領後5営業日以内に一次回答いたします。
3. 請求に対する当社の回答は、原則として、本人確認その他請求内容の特定に必要な手続が完了した日から14日以内に行います。本人確認のため、追加情報の提供を求めることがあります。請求の内容により調査に時間を要する場合は、その旨と見込みの時期を、上記期間内にご連絡します。開示は、個情法第33条第1項に基づき、本人が請求した方法（電磁的記録の提供を含みます）により行い、当該方法による開示が困難な場合は書面の交付により行います。
4. 保有個人データの利用目的の通知請求（第32条第2項）および開示請求（第33条）に関する手数料は、1回につき1,000円（税別）を申し受けます。ただし、訂正・利用停止請求は無料とします。
5. ユーザーの従業員・顧客等の本人からの開示・訂正・利用停止等の請求については、当該個人情報の取扱事業者である利用サロン（ユーザー）が一次的な窓口となります。本人の方は、まず勤務先または利用先のサロンへお問い合わせください。当社は、ユーザーからの依頼に基づき、必要なデータの抽出・訂正・削除等に協力します。

第8章　安全管理措置

当社は、個人情報の漏洩、滅失または毀損を防止するため、以下の安全管理措置を講じます。

• 組織的安全管理措置:個人情報保護責任者（運営者）による取扱規程の整備、年次自己点検の実施
• 人的安全管理措置:運営に関与する者に対する機密保持義務の徹底
• 物理的安全管理措置:業務用機器の盗難・紛失防止、業務環境への第三者立ち入り制限
• 技術的安全管理措置:SSL/TLS暗号化通信、アクセス制御、監査ログ、2要素認証機能の提供、定期的なセキュリティ脆弱性診断
• 外部委託先の監督:委託先との機密保持契約、年次の委託先見直し

第9章　個人関連情報の第三者提供

当社は、Cookie、アクセスログ等の個人関連情報を、第三者が個人情報として取得することが想定される場合において、 ユーザーの同意を取得せずに提供することはありません（個情法第31条）。

第10章　漏えい等発生時の対応

1. 当社は、個人データの漏えい、滅失、毀損その他個人の権利利益を害するおそれのある事案を把握した場合、速やかに事実関係を確認し、被害拡大防止と再発防止に必要な措置を講じます。
2. 当社がユーザーから委託を受けて取り扱う個人データについて前項の事案が発生した場合、当社は、個情法第26条第1項ただし書に基づき、委託元であるユーザーへ遅滞なく通知します。この場合、個人情報保護委員会への報告および本人への通知はユーザーが行うものとし、当社は、事実関係・原因・影響範囲等に関する情報の提供その他の必要な協力を行います。当社が自ら取扱事業者として保有する個人データ（ユーザーの登録情報、アクセスログ等）について前項の事案が発生した場合は、当社が個情法第26条に基づく報告および本人への通知を行います。
3. 本人通知は、登録メールアドレス、サービス内通知、管理者向け連絡先その他合理的な方法により行います。

第11章　越境移転

1. 第3章に記載のとおり、当社は、当サービスの開発・保守・運用の業務において米国所在の Anthropic PBC が提供する AI 支援ツールを利用しており、当該作業の過程で個人データが米国において取り扱われることがあります。また、データベースバックアップの遠隔地保管のため、米国所在の Google LLC（Google ドライブ）へ暗号化したバックアップを保管しています。さらに、将来 AI 分析機能を導入する場合には、Anthropic PBC へ当該分析処理を委託することがあります（当サービスの機能としての AI 分析は現時点では提供していません）。また、LINE公式アカウントによるスタッフ通知機能をご利用の場合、通知の送信に必要な範囲で LINEヤフー株式会社を通じて情報が処理され、その一部が国外のサーバーで取り扱われることがあります。同社は日本国内に主たる事業拠点を有し、同社の個人情報保護方針に従って取り扱われます。当該連携は任意であり、通知本文に給与額等の機微情報は含めません。
2. 米国は、個情法第28条に定める「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」には指定されていませんが、以下の保護措置を講じています。
   • Anthropic PBC（開発・保守・運用における AI 支援ツールの利用）: 入力データを AI モデルの学習に利用しない条件のサービス／プランを選定し、利用条件を記録のうえ定期的に確認する。個人データへの接触は必要最小限とし、原則として仮名化・マスキング済みデータを用いる
   • Google LLC（Google ドライブ／データベースバックアップの遠隔地保管）: バックアップは当社が管理する鍵で暗号化した状態でのみ保管し、復号鍵は同社に提供しません。保管期間は90日以内で自動削除します
   • Anthropic PBC（AI分析は現在未提供。将来導入する場合）: SOC 2 Type II 等の認証先を選定し、学習データ利用除外の個別契約を締結した上で委託
3. ユーザーは、越境移転に関する詳細情報（委託先の個人情報保護制度等）について、第7章の窓口にお問い合わせいただけます。

第12章　データの保持と削除

1. 当社は、契約期間中、ユーザーデータを安全に保持します。
2. 契約終了後2ヶ月間、ユーザーはユーザーデータを参照専用で閲覧し、CSVまたはPDF形式で出力できます。
3. 契約終了後2ヶ月経過後から6ヶ月経過時まで、当社は問い合わせ対応、再契約相談、証跡確認のため、ユーザーデータを運営者権限で保管します。この期間、ユーザー画面からの利用は原則として停止します。
4. 契約終了後6ヶ月経過後、当社は、法令上保存が必要な情報を除き、ユーザーデータの削除または匿名化を開始します。以下の情報については、法令で定められた保存期間中は保持します。
   • 税務関係書類：7年間（国税通則法）
   • 労働関係書類：5年間（労働基準法第109条）
   • 電子帳簿保存法対象書類：7年間
5. スタッフ本人がQRコードから送信した仮登録のうち、正式登録されなかったものは、送信から30日を過ぎた後に削除します。正式登録されたものは、従業員の情報として本章の各項に従います。
6. 削除または匿名化の処理後も、バックアップデータには最大90日間残存する場合があります。

第13章　未成年者の個人情報

1. 当サービスは事業者向けのサービスであり、18歳未満の方が自らアカウントを開設して当サービスを利用することは想定していません。
2. 当社は、18歳未満の方が自ら開設したアカウントを確認した場合、速やかに当該アカウントおよびこれに伴い取得した情報を削除します。
3. 他方、ユーザー（サロン事業者）が使用者として雇用する18歳未満の従業員の情報（氏名・勤怠・給与等）については、当社は、ユーザーからの委託に基づき、給与計算・勤怠管理その他本サービスの提供に必要な範囲で取り扱います。
4. この場合の取扱いは本ポリシー各章および利用規約第5条の2に従い、当該情報を取り扱う事業者であるユーザーの指示に基づいて行います。
5. スタッフ本人がQRコードから行う仮登録は、使用者であるユーザーが本人を確かめて正式登録するものであり、第2項の「自ら開設したアカウント」ではなく、第3項の従業員の情報として取り扱います。
6. 労働基準法その他の法令に基づく年少者に関する記録の作成・保存は、使用者であるユーザーの責任において行われます。

第14章　本ポリシーの改定

1. 当社は、法令の改正または当サービスの運営上必要と判断した場合、本ポリシーを改定することがあります。
2. 重要な変更がある場合、施行日の30日前までに当サービス上またはメールにより通知します。
3. 改定後の本ポリシーは、施行日から適用されます。

第15章　お問い合わせ

本ポリシーに関するお問い合わせは、以下の窓口までご連絡ください。

---

制定日: 2026年4月11日
最終改定日: 2026年9月27日
施行日: 2026年9月27日