案件・要員データの取り扱い｜どこに保存され、どこへ出ていくのか

SES の案件情報は取引先の商売の中身で、要員情報は個人情報です。 ツールに入れる前に「どこに保存されて、どこへ出ていくのか」を確認するのは当然のことです。 この記事では現在の実装をそのまま書きます。

なぜこの記事を書くか

「セキュリティは万全です」と書かれた資料は判断材料になりません。 必要なのはデータがどこを通るかの具体です。 ここを曖昧にしたまま導入すると、取引先から聞かれたときに答えられません。

どこに保存されるか

通信はすべて HTTPS で、HSTS を有効にしています（`max-age=31536000; includeSubDomains`）。

他社に見えない仕組み

複数の会社が同じシステムを使うので、分離が最も重要です。 アプリケーションのコードで絞るだけでなく、データベース側で行単位のアクセス制御をかけています。

• 自社の文脈を設定していないクエリは、結果が空になる
• 現在 18 のテーブルに設定済み
• アプリ側で絞り忘れても、データベースが最後の砦として効く

「コードで絞っているから大丈夫」という作りだと、 新しい画面を追加したときに絞り忘れが起きます。 そこを構造的に防ぐための設計です。

外部に出る経路と、出ない経路

ここがいちばん知りたいところだと思うので、分けて書きます。

解析の中心は自社のGPUで動かしています。案件本文やスキルシートの中身を外部のAPIに投げる構成にはしていません。 モデルは自社で用意したもので、SES のデータで追加学習しています。

解析に使うLLMの扱い

ただしすべてが自社内で完結しているわけではありません。 類似検索のための埋め込みベクトル生成と、一部の要約生成には Google の Gemini API を使っており、ここはテキストが外部に出ます。

この利用は有料ティアで行っています。 Gemini API の規約では、有料ティアについて 「Google はプロンプトや応答を製品の改善に使用しない」と明記されています。 無料枠では学習および人によるレビューの対象になるため、ここは明確に分けています。

出典：Gemini API Additional Terms of Service（2026年9月時点）。 有料ティアの判定は API の応答に含まれるサービスティア表示で確認しています。

導入前に確認すべきこと

これは Qasica に限らず、どのツールを検討するときも同じです。

1. データの保存先（国・リージョン）
2. 他社との分離がどこで担保されているか — アプリ側だけか、DB側もか
3. 外部APIにテキストが出るか — 出るなら、どの処理で、どこへ
4. その外部APIの利用が有料ティアか — 無料枠は学習対象になる場合がある
5. 添付ファイルの保存期間と削除の扱い
6. 監査ログの有無 — 誰が何を見たかを追えるか

4 番は見落とされがちです。同じ API でも、無料枠と有料ティアで規約上の扱いが変わります。

よくある質問

この記事について

記載は 2026 年 9 月時点の実装です。変更があればこの記事を更新します。 契約条件やより詳しい情報が必要な場合は個別にご案内します。

関連記事：メールの自動取り込みの仕組み / マッチングの判定ロジック

資料請求・相談はこちら