個人情報まわりの導入対応

KIZAMI 自身に(OAuth のための)プライバシーポリシーは不要です。KIZAMI は OIDC クライアントであり、 導入企業が自社の IdP に Internal/シングルテナントでアプリ登録するため、Google 等の審査もポリシー URL も 要求されません。

一方、打刻記録・IPアドレス・ユーザーエージェント・GPS座標は従業員の個人情報であり、個人情報保護法上の 義務(利用目的の特定・公表、GPS取得時の明示)を負うのは導入企業です。セルフホスト OSS では 個人情報の管理者は導入企業であって KIZAMI プロジェクトではないため、この義務を果たすのは導入企業の 責任です。KIZAMI が提供できるのは、その義務を果たしやすくするための雛形までです。

このページは、KIZAMI を導入する際に個人情報まわりで行うべきことを手順としてまとめたものです。 法的助言ではありません。 内容に不安がある場合は社会保険労務士・弁護士等の専門家に確認してください。

1. 雛形を確認する

管理権限を持つユーザーで「設定 > 個人情報」画面(/settings/privacy)を開くと、現在のテナント設定 (GPSの有効/無効・保持期間)から自動生成された、次の2種類の雛形を確認できます。

• 従業員向けプライバシー通知 — 取得する情報(メールアドレス・打刻時刻・IP・UA・打刻手段・GPS座標)、 利用目的、保存期間、開示・訂正等の請求先をまとめたもの
• 社内利用規約(打刻に関するルール) — 正確な打刻の義務・代理打刻の禁止・修正申請の手続き・ 不正打刻の扱いをまとめたもの

画面からコピー・Markdownダウンロードができるほか、「社内規定として登録」ボタンで 「設定 > 社内規定」の該当項目にそのまま登録することもできます(登録後も自由に編集できます)。

2. 自社の実情に合わせて見直す

雛形は一般的な内容にとどまるため、少なくとも次の項目は自社の実情に置き換えてください。

• 開示・訂正等の請求を受け付ける窓口(部署名・連絡先)
• 打刻記録の保存期間が、雛形が前提とする期間(労働基準法第109条の記録保存義務)と食い違わないか
• 事業の性質上、雛形にない取得項目・利用目的がないか

3. 従業員へ通知する

見直した内容を、従業員に実際に周知してください。周知の方法(掲示・イントラ掲載・雇用契約書への 添付・入社時の説明など)は個人情報保護法が具体的に指定しているものではないため、自社で選んで 構いません。周知した日付・方法は、後から確認できるよう記録しておくことを推奨します (「設定 > 社内規定」の記入欄に残すこともできます)。

4. 就業規則へ反映する

「社内利用規約」の雛形は、就業規則の服務規律等に組み込む、あるいは別紙として運用するなど、 自社の就業規則の構成に合わせて反映してください。「設定 > 社内規定」で就業規則へのリンクを 設定しておくと、ヘルプ画面や生成される雛形の末尾に案内が自動的に付きます。

5. GPS を有効にする場合の追加対応

打刻時に位置情報(GPS座標)を取得する設定を有効にする場合は、次の対応が追加で必要になります。

• 取得することの明示: プライバシー通知に位置情報の取得目的・保存期間を明記する(GPSが無効な 間、雛形には位置情報の項目は現れません。GPSを有効にすると自動的に追加されます)
• 保持期間の設定: GPS座標の保持期間を、打刻記録本体と別に短く設定することもできます (未設定の場合は打刻記録と同一の期間になります)
• 常時追跡ではないことの周知: KIZAMI が取得する位置情報は打刻の瞬間の座標のみで、 継続的な位置追跡は行いません。この点を従業員に誤解のないよう伝えてください

GPS設定を変更した場合は、「設定 > 個人情報」画面を開き直すと、変更後の内容を反映した雛形が 再生成されます。