このページは機械翻訳技術を用いて自動翻訳されています。正確性を確保するために合理的な努力を払っていますが、英文(.com)サイトを正本とします。解釈に相違、曖昧さ、または不一致が生じた場合は、英文(.com)サイトが優先されます。

データ保護方針 - ComponentSource Group

1. はじめに

  1. 本ポリシーは、イングランド、アイルランド共和国、アメリカ合衆国および日本に登録された会社から成る COMPONENTSOURCE GROUP（「ComponentSource」または「当社」）の、適用されるデータ保護法に基づくデータ保護ならびに顧客、供給者、出版社、従業員およびビジネス上の連絡先（「データ主体」）の個人データに関する権利について、当社が所在する、または事業を行う各法域において定める義務を示すものです。これには特に、EU 規則 2016/679 一般データ保護規則（「GDPR」） https://gdpr-info.eu、英国一般データ保護規則および英国データ保護法 2018（総称して「UK GDPR」）、EU-US データ・プライバシー・フレームワーク（「DPF」）および EU-US DPF に対する英国拡張、米国商務省が運営する自己認証プログラム、ならびに改正済みカリフォルニア州消費者プライバシー法 2018（Cal.Civ.Code 1798.100 から 1798.199）（「CCPA」）、またはそれらの同等法、ならびにこれらの法律への法定改正を含みます。他の適用されるデータ保護法が GDPR、UK GDPR、または CCPA と実質的に同様である場合、本ポリシーは合理的に解釈され、そのような他の法域および法に適用されるものとします。
  2. 適用されるデータ保護法では、「個人データ」とは、識別された、または識別可能な自然人（データ主体）に関するあらゆる情報を意味します。識別可能な自然人とは、特に、氏名、住所若しくは電子メールアドレス、電話番号、識別番号、位置データ、オンライン識別子、またはその自然人の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的アイデンティティに特有の一つ若しくは複数の要素を参照することにより、直接的又は間接的に識別できる者をいいます。
  3. 本ポリシーは、個人データの収集、処理、移転、保管および廃棄に関する当社の義務を定めるものです。本ポリシーに定める手順および原則は、当社、その従業員、代理人、請負業者、または当社を代理して業務を行うその他の当事者によって、常に遵守されなければなりません。
  4. ComponentSource は、法の文言のみならず、その趣旨も遵守することを約束しており、関わるすべての個人データを正確、適法かつ公正に取り扱うことを重視し、接するすべての個人の法的権利、プライバシーおよび信頼を尊重します。

2. データ保護の原則

本ポリシーは、すべての GDPR およびすべての適用されるデータ保護法の遵守を確保することを目的としています。適用されるデータ保護法は、個人データを取り扱うすべての当事者が遵守しなければならない以下の原則を定めています。すべての個人データは、次のとおりでなければなりません。

  • データ主体との関係において、適法、公正かつ透明な方法で処理されること。
  • 特定され、明確で、正当な目的のために収集され、その目的と両立しない方法でさらに処理されないこと。統計目的のための追加処理は、当初の目的と両立しないとはみなされません。
  • 処理目的に照らして適切であり、関連性を有し、必要な範囲に限定されていること。
  • 正確であり、必要に応じて最新の状態に保たれていること。処理目的に照らして不正確な個人データは、遅滞なく消去または訂正されるよう、合理的なすべての措置が講じられなければなりません。
  • 個人データの処理目的に必要な期間を超えて、データ主体を識別可能な形式で保管されないこと。個人データが統計目的のみに処理される場合、またはデータ主体の権利および自由を保護するために適用されるデータ保護法により要求される適切な技術的および組織的措置の実施を条件として、当社の事業上の正当な運用上の必要性を含む適用されるデータ保護法により別段認められる場合には、より長期間保管されることがあります。
  • 不正又は違法な処理および偶発的な紛失、破壊または損壊に対する保護を含め、適切な技術的又は組織的措置を用いて、個人データの適切な安全性を確保する方法で処理されること。

3. データ主体の権利

適用されるデータ保護法は、データ主体に適用される以下の権利を定めています（詳細については、示された本ポリシーの該当部分を参照してください）。

  1. 通知を受ける権利（第 12 条）。
  2. 開示請求権（第 13 条）。
  3. 訂正を求める権利（第 14 条）。
  4. 消去を求める権利（「忘れられる権利」とも呼ばれます）（第 15 条）。
  5. 処理の制限を求める権利（第 16 条）。
  6. 異議を申し立てる権利（第 17 条）。および
  7. 自動化された意思決定およびプロファイリングに関する権利（第 18 条および第 19 条）。

4. 適法、公正かつ透明なデータ処理

適用されるデータ保護法は、データ主体の権利を不利益にすることなく、個人データが適法、公正かつ透明に処理されることを確保しようとするものです。適用されるデータ保護法によれば、少なくとも以下のいずれか一つが適用される場合、個人データの処理は適法となります。

  1. データ主体が、一つ以上の特定の目的のための自己の個人データの処理について同意していること。
  2. 処理が、データ主体が当事者である契約の履行のため、またはデータ主体との契約締結前に、その要請に基づき措置を講じるために必要であること。
  3. 処理が、データ管理者に課される法的義務の遵守のために必要であること。
  4. 処理が、データ主体または他の自然人の重要な利益を保護するために必要であること。
  5. 処理が、公共の利益において実施される任務の遂行またはデータ管理者に付与された公的権限の行使のために必要であること。又は
  6. 処理が、データ管理者または第三者が追求する正当な利益のために必要であること。ただし、そのような利益が、個人データの保護を必要とするデータ主体の基本的権利および自由、特にデータ主体が子どもである場合によって優先される場合を除きます。

5. 特定された、明確な、正当な目的

ComponentSource は、本ポリシーの第 20 条に定める個人データを収集し、処理します。これには以下が含まれます。

  • データ主体から直接収集した個人データ。
  • 第三者から取得した個人データ。

当社は、本ポリシーの第 20 条に定める特定の目的（または適用されるデータ保護法で明示的に認められるその他の目的）のためにのみ個人データを収集、処理および保有します。

データ主体には、ComponentSource が自己の個人データを使用する目的について通知が維持されます。データ主体への通知維持に関する詳細は、第 12 条を参照してください。

6. 適切で、関連性があり、限定されたデータ処理

ComponentSource は、上記第 5 条および下記第 20 条に定める、データ主体に通知済み（または通知予定）の特定の目的のために、またその目的に必要な範囲に限ってのみ、個人データを収集し処理します。

7. データの正確性および最新化

  1. ComponentSource は、収集、処理および保有するすべての個人データが正確かつ最新の状態に保たれるよう、合理的に必要な範囲で努めます。これには、下記第 14 条に定めるデータ主体の要請に応じた個人データの訂正が含まれますが、これに限定されません。
  2. 個人データの正確性は、収集時に確認されます。その後、個人データの変更が ComponentSource に通知された場合、または個人データが不正確または古くなっていることが判明した場合には、適切に、遅滞なく修正または消去するための合理的なすべての措置が講じられます。

8. データ保持

  1. 事業の正当な運用上の必要性に照らし、ComponentSource は、当該個人データが当初収集、保有および処理された目的に照らして必要な期間を超えて個人データを保持しません。
  2. 個人データが不要になった場合には、遅滞なく消去またはその他の方法で廃棄するための合理的なすべての措置が講じられます。
  3. ComponentSource が保有する特定の個人データ類型に関する保持期間を含む、データ保持に対する当社の方針の詳細については、当社のデータ保持ポリシーを参照してください。

9. 安全な処理

ComponentSource は、収集、保有および処理されるすべての個人データが安全に保たれ、不正又は違法な処理および偶発的な紛失、破壊又は損壊から保護されるようにします。実施すべき技術的および組織的措置の詳細は、本ポリシーの第 20 条から第 26 条に記載されています。

10. 説明責任および記録管理

当社のデータ保護責任者（"DPM"）は、dpm@componentsource.com まで連絡できます。

DPM は、本ポリシーの実施を監督し、本ポリシー、当社のその他のデータ保護関連方針、およびすべての適用されるデータ保護法の遵守状況を監視する責任を負います。ComponentSource は、個人データの収集、保有および処理に関する内部記録を保持し、以下の情報を含めます。

  • 当社、その DPM、および該当する第三者データ処理者の名称と詳細。
  • 当社が個人データを収集、保有および処理する目的。
  • 当社が収集、保有および処理する個人データのカテゴリ、および当該個人データが関連するデータ主体のカテゴリの詳細。
  • EEA 域外の国への個人データ移転の詳細（すべての仕組みおよびセキュリティ保護措置を含む）。
  • 当社が個人データをどの程度の期間保持するかの詳細（ComponentSource のデータ保持ポリシーを参照してください）。および
  • 個人データの安全性を確保するために ComponentSource が講じるすべての技術的および組織的措置の詳細な説明。

11. データ保護影響評価

ComponentSource は、新規プロジェクトおよび／または個人データの新たな利用について、すべてデータ保護影響評価を実施します。

データ保護影響評価はデータ保護責任者が監督し、以下を扱います。

  • 収集、保有および処理される個人データの種類。
  • 個人データを使用する目的。
  • 当社の目標。
  • 個人データの使用方法。
  • 協議の対象となる当事者（社内および／または社外）。
  • 処理目的との関係におけるデータ処理の必要性および比例性。
  • データ主体に対して生じるリスク。
  • 当社内部および当社に対して生じるリスク。
  • 特定されたリスクを最小化し、対処するために提案される措置。

12. データ主体への情報提供

  1. データ主体からの要請があった場合、ComponentSource は 5 営業日以内に、データ主体に対し第 12.2 条に定める情報を提供します。
    1. 個人データがデータ主体から直接収集される場合、当該データ主体には収集時にその目的が通知されます。
    2. 個人データが第三者から取得される場合、関連するデータ主体にはその目的が次のいずれかの時点で通知されます。
      1. 個人データがデータ主体との連絡に使用される場合は、最初の連絡時。
      2. 個人データが他の当事者へ移転される場合は、その移転の前。
      3. 合理的に可能な限り速やかに、いかなる場合も個人データ取得後 1 か月以内。
  2. データ主体の要請に応じて、以下の情報が提供されます。
    1. 当社の詳細（DPM の連絡先を含むがこれに限定されない）。
    2. 個人データが収集され、処理される目的（本ポリシーの第 20 条に詳細を記載）。
    3. 該当する場合、当社が個人データの収集および処理を正当化する根拠となる正当な利益。
    4. 個人データがデータ主体から直接取得されていない場合、収集および処理される個人データのカテゴリ。
    5. v.    個人データが 1 つ以上の第三者に移転される場合、それらの当事者の詳細。
    6. 個人データが欧州経済領域（「EEA」）外に所在する第三者に移転される場合、その移転に関する詳細（設けられている保護措置を含むがこれに限定されない。詳細は本ポリシーの第 27 条を参照してください）。
    7. データ保持に関する詳細。
    8. 適用されるデータ保護法に基づくデータ主体の権利の詳細。
    9. 当社による自己の個人データの処理に対する同意をいつでも撤回する権利の詳細。
    10. 情報コミッショナー事務局（UK GDPR における「監督当局」）への苦情申立て権、または該当する場合はアイルランド共和国、米国および日本の同等機関への苦情申立て権の詳細。
    11. 該当する場合、個人データの収集および処理を必要とする法的又は契約上の要件若しくは義務、およびそれを提供しない場合の結果の詳細。および
    12. 個人データを使用して行われる自動化された意思決定またはプロファイリングの詳細（意思決定の方法、その重要性、および結果に関する情報を含む）。

13. データ主体による開示請求

  1. データ主体は、ComponentSource が自己について保有する個人データ、その個人データで何をしているのか、そしてその理由について、いつでも開示請求（「SAR」）を行うことができます。
  2. SAR を行いたいデータ主体は、Subject Access Request Form を使用し、dpm@componentsource.com の DPM 宛てに送付してください。
  3. SAR への回答は通常、受領後 1 か月以内に行われますが、SAR が複雑である場合および／または多数の請求がある場合は、最長 2 か月延長されることがあります。この追加期間が必要な場合、データ主体に通知されます。
  4. 受領したすべての SAR は DPM が対応します。
  5. ComponentSource は、通常の SAR の処理に対して料金を請求しません。当社は、すでにデータ主体に提供済みの情報の追加コピー、および明らかに根拠がないか過剰な請求、特に反復的な請求については、合理的な料金を請求する権利を留保します。

14. 個人データの訂正

  1. データ主体は、不正確または不完全な自己の個人データについて、ComponentSource に訂正を求める権利を有します。
  2. ComponentSource は、問題をデータ主体が当社に通知してから 1 か月以内に、当該個人データを訂正し、その訂正をデータ主体に通知します。複雑な請求の場合は、この期間を最長 2 か月延長できます。この追加期間が必要な場合、データ主体に通知されます。
  3. 影響を受けた個人データが第三者に開示されている場合、それらの当事者には、次回の取引処理時までに、当該個人データに対して行う必要のある訂正について通知されます。

15. 個人データの消去

  1. データ主体は、以下の場合に ComponentSource が自己について保有する個人データの消去を求める権利を有します。
    1. 当初収集または処理された目的との関係で、当該個人データを保有することがもはや当社にとって必要ではなくなった場合。
    2. データ主体が、ComponentSource による自己の個人データの保有および処理に対する同意の撤回を希望する場合。
    3. データ主体が、ComponentSource による自己の個人データの保有および処理に異議を唱える場合（かつ、当社がそれを継続することを許容する優越的な正当な利益が存在しない場合）（異議を申し立てる権利の詳細については本ポリシーの第 17 条を参照してください）。
    4. 個人データが違法に処理された場合。
    5. ComponentSource が特定の法的義務を遵守するために、個人データの消去が必要な場合。
  2. ComponentSource に個人データを消去しない合理的な根拠がない限り、消去の要求にはすべて応じ、データ主体の要求受領後 1 か月以内に消去した旨を通知します。複雑な請求の場合は、この期間を最長 2 か月延長できます。この追加期間が必要な場合、データ主体に通知されます。
  3. データ主体の要求に応じて消去される個人データが第三者に開示されていた場合、それらの当事者には消去について通知されます（ただし、それが不可能であるか、または不釣り合いな努力を要する場合を除きます）。
  4. 個人データの消去は、消去の状況（要求および対応）を詳細に記録した ComponentSource の内部記録には及ばず、また、当社の不正防止システムの有効な運用に有害となるいかなる消去も行われません。

16. 個人データ処理の制限

  1. データ主体は、ComponentSource に対して、自己に関する個人データの処理停止を求めることができます。データ主体がそのような要請を行った場合、当社は、当該個人データがそれ以上処理されないことを確保するために必要な、当該データ主体に関する個人データのうち必要最小限の量（存在する場合）のみを保持します。

    注： データ主体は、ComponentSource の対応により、進行中のソフトウェアライセンスの取消しが必要となる可能性があることについて警告を受け、その実施前に、要請を撤回または修正する機会を与えられます。
  2. 影響を受けた個人データが第三者に開示されている場合、それらの当事者には、適用される処理上の制限について通知されます（ただし、それが不可能であるか、または不釣り合いな努力を要する場合を除きます）。

17. 個人データ処理への異議

  1. データ主体は、正当な利益、ダイレクトマーケティング（プロファイリングを含む）、および統計目的のための処理に基づく ComponentSource による自己の個人データ処理に異議を申し立てる権利を有します。
  2. データ主体が、正当な利益に基づく ComponentSource による自己の個人データ処理に異議を申し立てた場合、当社は、当該処理に関する当社の正当な根拠がデータ主体の利益、権利および自由に優先すること、または当該処理が法的請求の遂行に必要であることが示されない限り、直ちにその処理を停止します。
  3. データ主体が、ダイレクトマーケティング目的のための ComponentSource による自己の個人データ処理に異議を申し立てた場合、当社は、直ちにその処理を停止します。

18. 自動化された意思決定

  1. 当社は、自動化された意思決定プロセスにおいて個人データを使用します。
  2. そのような決定がデータ主体に法的効果（または同等に重大な影響）を及ぼす場合、当該データ主体は、適用されるデータ保護法の下で、そのような決定に異議を唱え、人的関与を求め、自らの見解を表明し、当社からその決定の説明を受ける権利を有します。
  3. 第 18.2 条に記載された権利は、以下の場合には適用されません。
    1. その決定が、当社とデータ主体との間の契約の締結または履行に必要である場合。
    2. その決定が法律により認められている場合。又は
    3. データ主体が明示的に同意している場合。

19. プロファイリング

  1. 当社は、顧客サービスの有用性および有効性を最大化するため、一般的なプロファイリング目的で個人データを使用します。
  2. 個人データがプロファイリング目的で使用される場合、以下が適用されます。
    1. エラーのリスクを最小化するために、技術的および組織的措置が実施されます。エラーが発生した場合、これらの措置により容易に訂正できるようにするものとします。および
    2. プロファイリング目的で処理されるすべての個人データは、プロファイリングから生じる差別的効果を防ぐために保護されます（データセキュリティの詳細については、本ポリシーの第 21 条から第 25 条を参照してください）。

20. 収集、保有および処理される個人データ

以下の個人データは ComponentSource によって収集、保有および処理されます（データ保持の詳細については、当社のデータ保持ポリシーを参照してください）。

データ参照 データの種類 データの目的
Customer 氏名 見積作成、受注処理、認証およびソフトウェア提供
Customer 組織名および種別 顧客登録、見積作成、受注処理、認証およびソフトウェア提供
Customer 住所（番地、郡／州、郵便番号、国を含む） 見積作成、受注処理、認証およびソフトウェア提供、紙カタログの配送、販促品（コーヒーマグ）の配送
Customer 電子メールアドレス 顧客登録、見積作成、受注処理、認証およびソフトウェア提供、製品ニュース、顧客向けメールニュースレターの配信、顧客との連絡
Customer 電話番号 見積作成、受注処理およびソフトウェア提供、顧客との連絡

 

データ参照 データの種類 データの目的
Customer IP address 見積作成、受注処理、認証、支払処理およびソフトウェア提供
Customer Bank Account Numbers, Sort Code, Account Name 受注処理および支払処理
Customer Credit/Debit Card Number, Card Holder Name, Expiry Date and CV2 number (CV2 is only used per transaction and never stored) 受注処理、支払処理、認証および確認
End User Licensee Name (if different from Customer) 見積作成、受注処理、認証およびソフトウェア提供
End User Licensee Organisation name and type Publisher へのライセンシー登録、見積作成、受注処理、認証およびソフトウェア提供
End User Licensee Address (including street, county/state, zip or post code, country) 見積作成、受注処理、認証およびソフトウェア提供
End User Licensee Email address 見積作成、受注処理、認証、& ソフトウェア提供、ライセンシーとの連絡
End User Licensee Telephone number 見積作成、受注処理およびソフトウェア提供、ライセンシーとの連絡
End User Licensee IP address 見積作成、受注処理、認証、支払処理およびソフトウェア提供
Publisher Name, Address, Email Address, Telephone number, Bank Account Details 受注処理、支払処理およびソフトウェア提供
Supplier Name, Address, Email Address, Telephone number, Bank Account Details 受注処理、支払処理および配送
Shareholder Name, Address, Email Address, Telephone number, Bank Account Details 株主との連絡、会社提出書類および名簿、ならびに支払処理
Employee/ Director/ Contractor Name, Address, Email Address, Telephone number, National Insurance number, Tax Codes, Bank Account Details and all other information required in connection with the operation and administration of their employment contracts 雇用契約または業務委託契約に関する個別のプライバシー通知付属書におけるデータ利用

21. データセキュリティ - 個人データおよび通信の移転

  1. ComponentSource は、個人データを含むすべての通信およびその他の移転について、次の措置が講じられるようにします。
    1. 当社のウェブサイト上で提供されるクレジットカードデータは暗号化されること。
    2. 送信または受信の別を問わず、個人データを含むすべての電子メールは安全に保管されること。
    3. 個人データを紙媒体で移転する場合は、受取人に直接渡すか、認定された郵送または配送サービスを使用して送付すること。

22. データセキュリティ - 保管

  1. ComponentSource は、個人データの保管について、次の措置が講じられるようにします。
    1. 個人データの電子コピーはすべて安全に保管されること。
    2. 個人データのすべての紙媒体コピーは、物理的な可搬媒体に保存された電子コピーとともに、安全に保管されること。
    3. 電子的に保管されるすべての個人データは定期的にバックアップされ、可能な限りバックアップはオフサイトに保管されること。
  2. データ保護責任者の書面による承認がない限り、またその承認がある場合でも、その承認に記載されたすべての指示および制限に厳密に従い、かつ絶対に必要な期間を超えない限り、個人データは、ComponentSource 所有か否かを問わず、いかなるモバイル機器（ラップトップ、タブレット、スマートフォンを含むがこれらに限定されない）にも保管してはなりません。および
  3. 個人データは従業員の私物デバイスに移転してはならず、個人データは、当該当事者が本ポリシーおよびすべての適用されるデータ保護法の文言と趣旨を完全に遵守することに同意した場合に限り、当社を代理して業務を行う代理人、請負業者、その他の当事者のデバイスにのみ移転できます（これには、すべての適切な技術的および組織的措置が講じられていることを当社に示すことが含まれる場合があります）。

23. データセキュリティ - 廃棄

個人データがいかなる理由であれ消去またはその他の方法で廃棄される場合（コピーが作成され、もはや不要となった場合を含む）、安全に削除し、廃棄しなければなりません。個人データの削除および廃棄に関する詳細は、当社のデータ保持ポリシーを参照してください。

24. データセキュリティ - 個人データの利用

ComponentSource は、個人データの利用について、次の措置が講じられるようにします。

  1. 個人データを非公式に共有してはならず、ComponentSource を代理して業務を行う従業員、代理人、下請業者、またはその他の当事者が、既にアクセス権を有していない個人データへのアクセスを必要とする場合、そのアクセスは DPM に正式に申請しなければならない。
  2. DPM の承認なしに、ComponentSource を代理して業務を行うか否かを問わず、いかなる従業員、代理人、請負業者、その他の当事者にも個人データを移転してはならない。
  3. 個人データは常に注意深く取り扱わなければならず、無権限の従業員、代理人、下請業者、その他の当事者の目に触れる場所や、放置された状態のままにしてはならない。
  4. 個人データがコンピュータ画面上で表示されており、当該コンピュータを一定期間無人にする場合は、使用者は離席前にコンピュータと画面をロックしなければならない。および
  5. ComponentSource が保有する個人データがマーケティング目的で使用される場合、適切な同意が得られていること、およびデータ主体が直接または第三者サービスを通じてオプトアウトしていないことを確認する責任は DPM にあります。

25. データセキュリティ - IT セキュリティ

ComponentSource は、IT および情報セキュリティについて、次の措置が講じられるようにします。

  1. 個人データを保護するために使用されるすべてのパスワードは定期的に変更されるべきであり、容易に推測される、またはその他の方法で侵害されやすい単語やフレーズを使用してはなりません。すべてのパスワードには、大文字、小文字、数字および記号の組み合わせを含めることが推奨されます。
  2. いかなる場合も、役職や部署に関係なく、ComponentSource を代理して業務を行う従業員、代理人、請負業者、その他の当事者の間で、パスワードを書き留めたり共有したりしてはなりません。パスワードを忘れた場合は、適用される方法でリセットしなければなりません。IT スタッフはパスワードにアクセスできません。
  3. すべてのソフトウェア（アプリケーションおよびオペレーティングシステムを含むがこれらに限定されない）は、商業上可能な限り、常に最新の状態に保たれます。当社の IT スタッフは、発行元または製造元によってセキュリティ関連の更新が利用可能になった後、妥当な技術的理由がない限り、当該更新を速やかにインストールする責任を負います。および
  4. CIO または DPM の事前承認なしに、当社所有のコンピュータまたはデバイスにソフトウェアをインストールしてはなりません。

26. 組織的措置

ComponentSource は、個人データの収集、保有および処理について、次の措置が講じられるようにします。

  1. 本ポリシーの写しを受け取るすべての従業員、代理人、請負業者。
  2. 割り当てられた職務を正しく遂行するために個人データへのアクセスおよび利用が必要な ComponentSource を代理して業務を行う従業員、代理人、下請業者、またはその他の当事者のみが、ComponentSource が保有する個人データにアクセスできるものとします。
  3. 個人データを取り扱う ComponentSource を代理して業務を行うすべての従業員、代理人、請負業者、その他の当事者は、その取扱いについて適切な訓練を受けるものとします。
  4. 個人データを取り扱う ComponentSource を代理して業務を行うすべての従業員、代理人、請負業者、その他の当事者は、適切な監督を受けるものとします。
  5. 個人データを取り扱う ComponentSource を代理して業務を行うすべての従業員、代理人、請負業者、その他の当事者は、職場内外を問わず、個人データに関連する業務上の事柄を話し合う際に、注意、慎重さおよび裁量を行使することが求められ、また奨励されます。
  6. 個人データの収集、保有および処理の方法は、定期的に評価および見直しされます。
  7. ComponentSource が保有するすべての個人データは、当社のデータ保持ポリシーに定めるとおり、定期的に見直されます。
  8. 個人データを取り扱う ComponentSource を代理して業務を行う従業員、代理人、請負業者、その他の当事者の業務遂行は、定期的に評価および見直しされます。
  9. 個人データを取り扱う ComponentSource を代理して業務を行うすべての従業員、代理人、請負業者、その他の当事者は、すべての適用されるデータ保護法および本ポリシーの原則に従って取り扱うことを契約上拘束されます。
  10. 個人データを取り扱う ComponentSource を代理して業務を行うすべての代理人、請負業者、その他の当事者は、個人データの処理に関与する自らのすべての従業員が、本ポリシーおよび適用されるデータ保護法から生じる当社の関連従業員と同じ条件に拘束されるようにしなければなりません。および
  11. ComponentSource を代理して個人データを取り扱う代理人、請負業者、その他の当事者が本ポリシー上の義務に違反した場合、その当事者は、当該違反から生じうるあらゆる費用、責任、損害、損失、請求または手続について、ComponentSource を補償し、かつ免責するものとします。

27. EEA 域外の国への個人データの移転

  1. すべての個人データは、英国、アイルランド共和国、米国および日本にある当社オフィスのサーバーに保管されています。ComponentSource は、随時、EEA 域外の他国へ個人データを移転する場合があります（「移転」には遠隔で利用可能にすることを含みます）。
  2. EEA 域外の国への個人データの移転は、以下のいずれか一つ以上が適用される場合にのみ行われます。
    1. 移転は、関連するデータ主体の十分な情報に基づく同意を得て行われる場合。たとえば、エンドユーザーライセンシーのデータがライセンスの条件として Software Publisher/Owner に移転される場合。
    2. 移転が、データ主体と ComponentSource との間の契約の履行（またはデータ主体の要請に基づく契約締結前の措置）のために必要である場合。
    3. 移転先が、個人データに対して適切な保護水準を確保すると送出国が判断した国、地域、または当該国の特定の一若しくは複数の部門（または国際機関）である場合。
    4. 移転先が、公的機関又は団体間の法的拘束力を有する合意、拘束力ある企業規則、適用されるデータ保護法で採用された標準データ保護条項、監督当局（例：英国の Information Commissioner’s Office）が承認した行動規範の遵守、承認された認証メカニズムに基づく認証（適用されるデータ保護法に規定されるもの）、管轄監督当局によって合意かつ承認された契約条項、または管轄監督当局によって承認された公的機関又は団体間の行政取決めに盛り込まれた条項の形で適切な保護措置を提供する国（または国際機関）である場合。
    5. 移転が、重要な公益上の理由のために必要である場合。
    6. 移転が、法的請求の遂行のために必要である場合。
    7. データ主体が身体的又は法的に同意を与えることができない場合に、そのデータ主体又は他の個人の重要な利益を保護するために移転が必要である場合。又は
    8. 移転が、適用されるデータ保護法に基づき公衆に情報を提供することを意図し、一般の公衆または登録簿にアクセスする正当な利益を示せる者に開放された登録簿から行われる場合。

28. データ侵害通知

  1. すべての個人データ侵害は、発見後ただちに DPM に緊急報告しなければなりません。
  2. 個人データ侵害が発生し、当該侵害がデータ主体の権利および自由に対するリスク（例：金銭的損失、機密保持違反、差別、評判の毀損、その他の重大な社会的または経済的損害）をもたらす可能性がある場合、DPM は、関連する監督当局に遅滞なく、かついかなる場合もその事実を認識してから 72 時間以内に当該侵害を通知させなければなりません。
  3. 個人データ侵害が、データ主体の権利および自由に対して高いリスク（すなわち、第 28b 条で述べられているものより高いリスク）をもたらす可能性がある場合、DPM は、影響を受けるすべてのデータ主体に対し、直接かつ不当に遅滞することなく当該侵害を通知するようにしなければなりません。
  4. データ侵害通知には、以下の情報を含めるものとします。
    1. 関係するデータ主体の類型および概算人数。
    2. 関係する個人データ記録の類型および概算件数。
    3. DPM の名称および連絡先（または、より詳しい情報を得られるその他の連絡窓口）。
    4. 侵害がもたらすと考えられる結果。
    5. 侵害に対処するために当社が講じた、または講じることを提案する措置の詳細（必要に応じて、その可能性のある悪影響を軽減する措置を含む）。

29. ポリシーの実施

本ポリシーの施行日は 2025 年 11 月 1 日です。

CSDPP 10/2025