データ保持ポリシー - ComponentSource Group

1. はじめに

1. 本ポリシーは、England、Republic of Ireland、United States of America および Japan に登録された会社から成る COMPONENTSOURCE GROUP（以下「ComponentSource」または「当社」）が、存在し事業を行う法域における Applicable Data Protection Laws に従い、ComponentSource が収集、保有、処理する個人データの保持に関して負う義務を定めるものであり、特に EU Regulation 2016/679 General Data Protection Regulation（以下「GDPR」）、https://gdpr-info.eu 、UK General Data Protection Regulation および UK Data Protection Act 2018（総称して「UK GDPR」）、EU-US Data Privacy Framework（以下「DPF」）および EU-US DPF への UK Extension、米国商務省が運営する自己認証プログラム、ならびに改正済み California Consumer Privacy Act 2018（Cal.Civ.Code 1798.100 to 1798.199）（以下「CCPA」）、またはそれらに相当する法令を含み、これらの法律のいずれかに対する法定改正を含みます。他の Applicable Data Protection Laws が GDPR、UK GDPR、または CCPA と実質的に同様である範囲において、本ポリシーは、当該他の法域および法令にも合理的に適用されるよう解釈されます。
2. Applicable Data Protection Laws は、「Personal Data」を、特定された、または特定可能な自然人（Data Subject）に関するあらゆる情報として定義します。特定可能な自然人とは、特に氏名、住所、メールアドレス、電話番号、識別番号、位置情報、オンライン識別子、またはその自然人の身体的、生理的、遺伝的、精神的、経済的、文化的、もしくは社会的アイデンティティに固有の一つ以上の要素を参照することにより、直接または間接に識別できる者をいいます。
3. Applicable Data Protection Laws に基づき、Personal Data は、その Personal Data が処理される目的のために必要な期間を超えて、Data Subject を識別可能な形式で保持してはなりません。一定の場合には、そのデータが公益上のアーカイブ目的、統計目的、または Applicable Data Protection Laws により別途認められる目的で処理される場合には、より長期間保管されることがあります（ただし、当該データを保護するために Applicable Data Protection Laws が要求する適切な技術的および組織的措置の実施を条件とします）。
4. さらに、Applicable Data Protection Laws には、消去権または「忘れられる権利」が含まれます。Data Subject は、以下の場合に、自身の Personal Data の消去（および当該 Personal Data の処理の停止）を求める権利を有します。
   1. Personal Data が、当初収集または処理された目的のためにもはや必要でない場合（上記参照）。
   2. Data Subject が同意を撤回した場合。
   3. Data Subject が自身の Personal Data の処理に異議を述べ、当社にこれを上回る正当な利益がない場合。
   4. Personal Data が違法に処理された場合（すなわち Applicable Data Protection Laws に違反している場合）。
   5. 法的義務を遵守するために Personal Data を消去する必要がある場合。
5. 本ポリシーは、ComponentSource が、ソフトウェアアプリケーション開発者にライセンス済みソフトウェアツールおよびコンポーネントを提供する事業の目的で保有する Personal Data の種類、当該 Personal Data を保持する期間、それらの期間を設定および見直しするための基準、ならびにいつ、どのように削除またはその他の方法で処分されるかを定めます。
6. データ保護および Applicable Data Protection Laws の遵守に関するその他の事項については、当社のData Protection Policyをご参照ください。

2. 目的

本ポリシーの主たる目的は、Personal Data の保持に関する制限を定め、その制限および Data Subject のさらなる消去権が遵守されるようにすることです。これに加えて、本ポリシーは、Applicable Data Protection Laws の下での当社の義務および Data Subject の権利を、当社が完全に遵守することを確保することを目的とします。

Applicable Data Protection Laws に基づく Data Subject の権利を保護することに加え、ComponentSource が過剰な量のデータを保持しないようにすることで、本ポリシーはデータ管理の速度および効率の向上も目的とします。

3. 適用範囲

1. 本ポリシーは、ComponentSource が保有するすべての Personal Data および、当社に代わって Personal Data を処理する第三者のデータ処理業者（「Sub-processors」）が保有する Personal Data に適用されます。
2. ComponentSource またはその Sub-processors が保有する Personal data は、以下の方法および以下の場所に保管されます。
   1. UK、Ireland、USA に所在する当社のサーバー。
   2. Sub-processors により運用される第三者サーバー（Amazon、Microsoft、Google Analytics、Segment、Woopra、Inspectlet、LiveChat を含むがこれらに限定されない）で、世界各地の法域に所在し、UK、Ireland、Japan、USA 以外の場合は、Applicable Data Protection Laws の下で適切とみなされるデータ保護法の適用を受けるもの。
   3. UK、Ireland、Japan、USA にある当社施設内に恒久的に設置されたコンピューター。
   4. 当社が従業員に提供するノートパソコンおよびその他のモバイルデバイス。
   5. 従業員、代理人、および下請業者が所有するコンピューターおよびモバイルデバイス。
   6. UK、Ireland、Japan、USA に保管されている紙媒体記録。

4. Data Subject の権利およびデータの完全性

1. ComponentSource が保有するすべての Personal Data は、当社のData Protection Policyに定めるとおり、Applicable Data Protection Laws の要件およびそれに基づく Data Subject の権利に従って保有されます。
2. Data Subject は、自身の権利、当社が自分について保有する Personal Data、その Personal Data がどのように使用されるかについて、当社のData Protection Policy の第 12 条および第 13 条に定めるとおり、ならびに当社が当該 Personal Data をどのくらいの期間保有するか（または固定の保持期間を定められない場合は、データの保持を決定する基準）について、十分な情報を提供されます。
3. ComponentSource に Personal Data の消去を拒否する合理的な理由がある場合、または Personal Data が消去の状況（要求および対応）を記載した ComponentSource の内部記録のみに関するものである場合、あるいは消去が当社の不正防止システムの効果的運用に不利益を及ぼす場合を除き、Data Subject には、当社が保有する自身の Personal Data に対する管理権が付与されます。これには、不正確なデータの訂正を求める権利、本 Data Retention Policy に別途定める保持期間にかかわらず自身の Personal Data の削除またはその他の処分を求める権利、当社による自身の Personal Data の利用を制限する権利、ならびに当社のData Protection Policy の第 14 条から第 19 条に定める、機械による自動的な意思決定およびプロファイリングに関する追加の権利が含まれます。

5. 技術的および組織的なデータセキュリティ措置

1. Personal Data の安全性を保護するため、ComponentSource では以下の技術的措置を講じています。詳細については、当社のData Protection Policy の第 21 条から第 25 条をご参照ください。
   1. Personal Data のすべての紙媒体コピー、および物理メディアに保存された電子コピーは、安全に保管しなければなりません。
   2. ComponentSource のために業務を行っているか否かにかかわらず、いかなる従業員、代理人、契約業者、またはその他の関係者にも、許可なく Personal Data を移転してはなりません。
   3. Personal Data は常に慎重に取り扱わなければならず、機微な Personal Data は放置したり、見える状態にしてはなりません。
   4. 機微な Personal Data を閲覧するために使用するコンピューターは、放置する前に必ずロックしなければなりません。
   5. 当該デバイスが当社の所有であるか否かを問わず、機微な Personal Data をいかなるモバイルデバイスにも保存してはなりません。ただし、当社の Data Protection Manager（"DPM"）による正式な書面承認があり、その承認時に示されたすべての指示および制限に厳密に従う場合を除きます。また、保存期間は絶対に必要な最短期間を超えてはなりません。
   6. 従業員個人所有のデバイスへ Personal Data を移転してはなりません。また、代理人、契約業者、または当社のために業務を行うその他の関係者が所有するデバイスに Personal Data を移転できるのは、当該関係者が当社のData Protection Policyおよび Applicable Data Protection Laws（EU、UK、USA または Japan 以外で適切とみなされる場合）を完全に遵守することに同意している場合に限られます。
   7. 電子的に保管されるすべての Personal Data は、少なくとも週 1 回バックアップを取得し、バックアップはオンサイトおよびオフサイトに保管しなければなりません。オフサイトのバックアップはすべて暗号化しなければなりません。
   8. Personal Data の電子コピーはすべて、パスワードを使用して安全に保管しなければなりません。
   9. Personal Data を保護するために使用するすべてのパスワードは定期的に変更し、安全でなければなりません。容易に推測できる単語やフレーズ、またはその他の方法で侵害されやすいものを使用してはなりません。すべてのパスワードには、大文字、小文字、数字、および記号の組み合わせを含めることが推奨されます。
   10. いかなる場合も、パスワードを書き留めたり共有したりしてはなりません。パスワードを忘れた場合は、適用される方法を用いてリセットしなければなりません。当社の IT スタッフはパスワードにアクセスできません。
   11. すべてのソフトウェアは、合理的に可能な限り常に最新の状態に保たなければなりません。セキュリティ関連の更新は、利用可能になり次第、合理的に可能な限り速やかにインストールしなければなりません。
   12. 事前承認なしに、当社所有のコンピューターまたはデバイスにソフトウェアをインストールしてはなりません。
   13. 当社が保有する Personal Data をマーケティング目的で使用する場合、適切な同意が得られており、Data Subject がオプトアウトしていないことを確認する責任は DPM にあります。
2. 個人データの安全性を保護するため、当社では以下の組織的措置を講じています。詳細については、当社のData Protection Policy の第 26 条をご参照ください。
   1. ComponentSource のために業務を行うすべての従業員およびその他の関係者は、Applicable Data Protection Laws および当社のData Protection Policyに基づく自らの責任と当社の責任の双方について、十分に認識していなければなりません。
   2. 職務を遂行するために Personal Data へのアクセスおよびその利用を必要とする ComponentSource のために業務を行う従業員およびその他の関係者のみが、当社が保有する Personal Data にアクセスできるものとします。
   3. Personal Data を取り扱う ComponentSource のために業務を行うすべての従業員およびその他の関係者は、その取扱いに適切な訓練を受けなければなりません。
   4. Personal Data を取り扱う ComponentSource のために業務を行うすべての従業員およびその他の関係者は、適切な監督を受けなければなりません。
   5. Personal Data を取り扱う ComponentSource のために業務を行うすべての従業員およびその他の関係者は、Personal Data に関する業務について議論する際、常に注意と慎重さを払わなければなりません。
   6. Personal Data の収集、保有、および処理の方法は、定期的に評価および見直しを行うべきです。
   7. Personal Data を取り扱う ComponentSource のために業務を行う従業員およびその他の関係者の業績は、定期的に評価および見直しを行うべきです。
   8. Personal Data を取り扱う ComponentSource のために業務を行うすべての従業員およびその他の関係者は、Applicable Data Protection Laws および当社のData Protection Policyを遵守することを契約上義務付けられます。
   9. Personal Data を取り扱う ComponentSource のために業務を行うすべての代理人、契約業者、またはその他の関係者は、Applicable Data Protection Laws および当社のData Protection Policyに起因して当該関連従業員に適用される条件と同一の条件を、関連する従業員のすべてに確実に適用しなければなりません。
   10. Personal Data を取り扱う当社のために業務を行う代理人、契約業者、またはその他の関係者が、Applicable Data Protection Laws および/または当社のData Protection Policyに基づく義務を履行しなかった場合には、その不履行に起因して生じうる費用、責任、損害、損失、請求、または訴訟について、当該関係者に当社を補償し無害に保つことを契約上求めるため、あらゆる合理的な努力を行うべきです。

6. データの廃棄

下記 本ポリシー第 7 条に定めるデータ保持期間が満了した場合、または Data Subject が自身の Personal Data の消去権を行使した場合、Personal Data は以下のとおり削除、破棄、またはその他の方法で廃棄しなければなりません。

1. 電子的に保管された Sensitive Personal Data を含む Personal Data（すべてのバックアップを含む）は、安全に削除しなければなりません。
2. 紙媒体で保管された Sensitive Personal Data を含む Personal Data は、細断しなければなりません。

7. データ保持

1. 上記のとおり、また法令の要求に従い、ComponentSource は、当該データが収集、保有、および処理される目的に照らして必要な期間を超えて、いかなる Personal Data も保持してはなりません。
2. 異なる目的で使用される異なる種類の Personal Data は、当然ながら異なる期間保持されます（およびその保持は定期的に見直されます）。詳細は以下のとおりです。
3. 保持期間を設定および／または見直す際には、以下を考慮しなければなりません。
   1. 当社の目的および正当または合理的な要件。
   2. 対象となる Personal Data の種類。
   3. 対象となるデータが収集、保有、および処理される目的。
   4. 当該データを収集、保有、および処理するための当社の法的根拠。
   5. 当該データが関連する Data Subject の区分。
   6. 当社の事業、出版社、および顧客を保護するために、効果的な不正防止手続を運用し維持する必要性。
4. 特定の種類のデータについて正確な保持期間を定めることができない場合には、当該データの保持を決定する基準を設定し、その結果、当該データおよびその保持がそれらの基準に照らして定期的に見直し可能であることを確保しなければなりません。
5. 以下に定める保持期間にかかわらず、Data Subject からの要求への対応であるか否かを問わず、当社内でそのように決定した場合には、一定の Personal Data は、定められた保持期間の満了前に削除またはその他の方法で廃棄されることがあります。
6. 限定的な状況では、その保持が公益上のアーカイブ目的、科学的または歴史的研究目的、あるいは統計目的である場合には、Personal Data をより長期間保持する必要があることもあります。こうした保持はすべて、Applicable Data Protection Laws に要求されるとおり、Data Subject の権利および自由を保護するための適切な技術的および組織的措置の実施を条件とします。

Data Reference	Type of Data	Purpose of Data	Normal Retention Period
Customer	Name	Quote creation, order processing, authentication & software delivery	7 years from date of expiry of last contract or license
Customer	Organisation name and type	Customer registration, quote creation, order processing, authentication & software delivery	7 years from date of expiry of last contract or license
Customer	Address (including street, county/state, zip or post code, country)	Quote creation, order processing, authentication & software delivery, paper catalogue delivery, promotional item delivery (coffee mug)	7 years from date of expiry of last contract or license
Customer	Email address	Customer registration, quote creation, order processing, authentication & software delivery, Product news, customer email newsletter delivery, customer communications	7 years from date of expiry of last contract or license
Customer	Telephone number	Quote creation, order processing & software delivery, customer communications	7 years from date of expiry of last contract or license
Customer	IP address	Quote creation, order processing, authentication, payment processing & software delivery	7 years from date of expiry of last contract or license
Customer	Bank Account Numbers, Sort Code, Account Name	Order processing and payment processing	7 years from date of expiry of last contract or license
Customer	Credit/Debit Card Number, Card Holder Name, Expiry Date and CV2 number (CV2 is only used per transaction and never stored)	Order processing, payment processing, authentication and verification	6 weeks from date of last use
End User Licensee	Name (if different from Customer)	Quote creation, order processing, authentication & software delivery	7 years from date of expiry of last contract or license
End User Licensee	Organisation name and type	Licensee registration with Publisher, quote creation, order processing, authentication & software delivery	7 years from date of expiry of last contract or license
End User Licensee	Address (including street, county/state, zip or post code, country)	Quote creation, order processing, authentication & software delivery	7 years from date of expiry of last contract or license
End User Licensee	Email address	Quote creation, order processing, authentication, & software delivery, licensee communications	7 years from date of expiry of last contract or license
End User Licensee	Telephone number	Quote creation, order processing & software delivery, licensee communications	7 years from date of expiry of last contract or license
End User Licensee	IP address	Quote creation, order processing, authentication, payment processing & software delivery	7 years from date of expiry of last contract or license
Publisher	Name, Address, Email Address, Telephone number, Bank Account Details	Order processing, payment processing and software delivery	7 years from date of expiry of last contract or license
Supplier	Name, Address, Email Address, Telephone number, Bank Account Details	Order processing, payment processing and delivery	7 years from date of expiry of last contract or license
Shareholder	Name, Address, Email Address, Telephone number, Bank Account Details	Shareholder communications, company returns and registers, plus payment processing	7 years from date of cessation of all shareholdings
Employee/ Director/ Contractor	Name, Address, Email Address, Telephone number, Bank Account Details	Data usage in the individual Privacy Notice Schedules to their Employment Contracts or Contracts of Engagement	7 years from date of termination of contract

8. 役割と責任

1. ComponentSource の DPM への連絡先は dpm@componentsource.com です。
2. DPM は、本ポリシーの実施を監督し、本ポリシー、当社のその他のデータ保護関連方針（Data Protection Policy を含みますがこれに限りません）、および Applicable Data Protection Laws への遵守を監視する責任を負います。
3. DPM は、当社全体において上記のデータ保持期間への遵守を確保する責任を直接負います。
4. 本ポリシー、Personal Data の保持、または Applicable Data Protection Laws への遵守に関するその他のあらゆる質問は、DPM に問い合わせるものとします。

9. ポリシーの施行

本ポリシーの発効日は 2025 年 11 月 1 日です。

CSDRP 10/2025