OfferBoxの学生情報の取り扱い｜媒体の対策と企業の義務

新しい採用媒体を導入するとき、情報システム部門や法務から「学生の個人情報はどう守られているのか」と聞かれることがあります。結論から言うと、OfferBoxについては、i-plugが公開している「OfferBoxセキュリティー・ポリシー」とプライバシーポリシー、そして企業向け利用規約の3つで、多くの論点を確認できます。セキュリティー・ポリシーでは、ISO/IEC 27001（ISMS）の認証取得や通信の暗号化などが示され、利用規約では、学生情報を無断で第三者に提供しないことや、事故が起きたときの報告など、利用企業の側の義務が定められています。この記事では、社内の稟議で説明しやすいように、媒体側の対策と企業側の義務を分けて整理します（2026年9月30日時点。最新は公式ページでご確認ください）。

結論｜媒体側の対策と、企業側の義務は分けて見る

学生情報の取り扱いは、i-plugが守る部分と、利用企業が守る部分に分かれます。

稟議で「媒体は安全か」だけを説明すると、導入後に社内で守るべきことが抜け落ちます。媒体側の対策と自社側の義務を、別々の項目として説明するのが実務的です。

仕組み｜公開されている対策と方針

セキュリティー・ポリシーで示されていること

OfferBoxセキュリティー・ポリシーでは、次の内容が示されています。

• ISO/IEC 27001（ISMS）の認証を取得している
• 通信はSSL/TLSで暗号化している
• サーバーを24時間365日監視している。2025年のサーバー稼働率は99.9%（未稼働時間には計画停止の8時間46分を含む）
• サーバーにアクセスできるメンバーを限定し、ログイン・操作ログをすべて保存している。情報セキュリティ委員会が定期的に研修を行っている
• セキュリティ専門会社による脆弱性診断を実施している
• 経済産業省の「クラウドサービスレベルのチェックリスト」に準拠したセキュリティチェックシートをダウンロードできる

最後のチェックシートは、社内のセキュリティ審査の書式に合わせて回答を求められたときに使える資料です。

プライバシーポリシーで示されていること

i-plugの個人情報保護方針・プライバシーポリシー（2012年8月13日制定、2026年4月1日最終改定）では、学生の個人情報の利用目的として、サービス提供に伴う利用企業への提供、適性検査の結果を分析して利用企業に詳しい結果を提供すること、オファーの受信・承認の履歴などを分析して企業側の検索結果の表示順位を最適化すること、などが挙がっています。第三者提供は原則として本人の同意がある場合に限り、例外としてサービス提供のために氏名・住所・電話番号・メールアドレスなどを利用企業に提供する場合などが明記されています。オプトアウト制度は使っていないとされています。また、個人データの一部はアメリカ合衆国で保管され、それ以外の国のサーバーは所在国を特定できないと書かれています。企業担当者の情報は、i-plugとグループ会社で共同利用するとされています。

エージェントベストの見解

セキュリティの確認で時間がかかる会社に共通するのは、情報システム部門の審査を申込の直前に始めることです。当社は3媒体すべての販売パートナーとして申込の手続きも見ていますが、プランや送信計画が決まったあとに審査が入り、そこで数週間止まると、オファーを送り始める時期がずれ込みます。新卒採用は時期で学生の動きが変わるので、この遅れはそのまま接点の減少になります。当社がお勧めしているのは、媒体を比べている段階で、候補の媒体のセキュリティ資料を先に情報システム部門へ渡しておくことです。OfferBoxの場合は、公開されているセキュリティー・ポリシーとチェックシートがあるので、社内の書式に沿った確認を並行して進められます。審査と比較を同時に走らせると、決まったときにすぐ動けます。申込までの流れはOfferBoxを初めて使う会社へにまとめています。

確認する項目｜利用企業に課される義務

利用規約（29卒対象プラン用の条番号）で、学生情報に関わる利用企業の義務として確認できるのは次の点です。

1. 無断で第三者に提供しない：学生情報をi-plugに無断で第三者へ提供することは禁止事項です（第19条(8)）
2. 事故が起きたら報告する：漏えいなどの事故が起きたら直ちにi-plugに報告し、原因を調査して再発防止策をとります（第10条2項）
3. 第三者に移すときは法令に沿う：i-plugから取得した個人情報を国内外の第三者に移す場合は、法令に従い本人の同意を得るなどの対応をします（第10条4項）
4. IDを管理する：ID等は企業の責任で管理し、運用を日本国内の第三者に委託する場合を除いて、第三者に使わせてはいけません（第6条）
5. 統計情報としての利用：i-plugは、企業情報や利用状況を統計情報・匿名加工情報として利用することがあります（第10条3項）

社内では、これらを「誰が守るか」まで落とし込んでおきます。特に2つ目の報告は、事故の発生を知った担当者が誰に伝え、誰がi-plugに連絡するかを決めておかないと、「直ちに」が実現できません。

注意点｜稟議で誤解されやすいところ

• Pマークの記載は確認できない：今回確認したページには、プライバシーマークの取得を示す記載はありませんでした。社内の基準でPマークを求められる場合は、ISMS認証との扱いを社内で確認します
• 保管場所には海外が含まれる：プライバシーポリシーでは、個人データの一部がアメリカ合衆国で保管されるとされています。海外保管に社内ルールがある会社は、事前に確認します
• 規約は卒年ごとに版が分かれる：26・27卒、28卒、29卒で版が分かれています。申し込むプランに対応した版を読みます
• 運用委託の範囲に注意：運用を外部に委託する場合、委託先がIDでログインして生じた損害は、IDを持つ企業が負うとされています
• i-plugがメッセージを確認することがある：規約では、問い合わせ対応などのために、利用状況（サイト内の学生とのメッセージを含む）を確認することがあるとされています

エージェントベストの見解

学生情報の扱いで、導入後に実際に問題になりやすいのは、媒体の外に持ち出したあとの情報です。媒体側の対策がどれだけ整っていても、承認した学生のプロフィールを面接官に共有するときに、個人のメールやチャットに貼り付けて回していれば、その先は企業の管理になります。当社は運用代行も行っていますが、代行を始める前に最初に決めていただくのは「学生情報を社内のどこに置き、誰まで見せるか」です。規約上、運用委託先にIDを使わせることは認められていますが、損害の責任は利用企業にあります。だからこそ、委託先が見られる範囲と、面接官に渡す範囲を分けて決めておく。媒体選びの段階でここまで話しておくと、導入後のルール作りが短く済みます。外に出す範囲の考え方は運用代行の範囲に書いています。

まとめ

• 学生情報の扱いは、セキュリティー・ポリシー、プライバシーポリシー、利用規約の3つで確認できる
• セキュリティー・ポリシーでは、ISO/IEC 27001の認証取得、SSL/TLS、常時監視、ログの保存、脆弱性診断が示されている
• プライバシーポリシーでは、利用企業への提供や、一部データのアメリカでの保管が明記されている
• 利用企業には、無断での第三者提供の禁止、事故時の報告、第三者に移すときの法令対応などの義務がある
• 稟議では、媒体側の対策と自社側の義務を分けて説明し、審査は比較の段階から並行して進める

よくある質問

OfferBoxはプライバシーマークを取得していますか

今回確認したセキュリティー・ポリシーとプライバシーポリシーには、プライバシーマークの取得を示す記載はありませんでした。公式に示されているのはISO/IEC 27001（ISMS）の認証取得です。社内の基準で必要な場合は、申込前に確認してください。

社内のセキュリティ審査の書式に回答してもらえますか

公式のセキュリティー・ポリシーでは、経済産業省の「クラウドサービスレベルのチェックリスト」に準拠したセキュリティチェックシートをダウンロードできるとされています。まずはこの資料で社内の項目を埋め、足りない点を個別に確認するのが進めやすい方法です。

セキュリティの確認も含めて相談できますか

できます。当社はOfferBox・Wantedly・ワンキャリアの販売パートナーとして、申込前の媒体選びから申込後の運用まで相談を受けています。代理店手数料は媒体側から支払われるため、企業の料金は各媒体の正規料金のままです。