このページは機械翻訳技術を用いて自動翻訳されています。正確性を確保するために合理的な努力を払っていますが、英文(.com)サイトを正本とします。解釈に相違、曖昧さ、または不一致が生じた場合は、英文(.com)サイトが優先されます。
この方針は、イングランド、アイルランド共和国、オランダ（支店）、アメリカ合衆国および日本に登録された企業で構成されるCOMPONENTSOURCE GROUP（「ComponentSource」または「当社」）の、データ保護に関する義務および顧客、供給者、出版者、従業員ならびに取引先（「データ主体」）の権利について、当社が存在し、または事業を行う法域における適用されるデータ保護法に基づくそれらの個人データに関して定めるものです。これには特に EU Regulation 2016/679 General Data Protection Regulation（「EU GDPR」）、英国一般データ保護規則および英国データ保護法2018（総称して「UK GDPR」）（併せて「GDPR」）、EU-US Data Privacy Framework、米国商務省が運営する自己認証プログラム（「DPF」）、ならびに改正後の2018年カリフォルニア州消費者プライバシー法（Cal.Civ.Code 1798.100 to 1798.199）（「CCPA」）が含まれます。GDPR、DPF、またはCCPAと実質的に同様である他の適用されるデータ保護法が適用される範囲では、本方針は、当該他の法域および法律にも適用されるよう合理的に解釈されます。
適用されるデータ保護法は、「個人データ」を、識別された、または識別可能な自然人（データ主体）に関するあらゆる情報として定義しています。識別可能な自然人とは、特に氏名、住所または電子メールアドレス、電話番号、識別番号、位置データ、オンライン識別子、またはその自然人の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的アイデンティティに特有の一つ以上の要素を参照することにより、直接的または間接的に識別できる者を指します。
この方針は、個人データの収集、処理、移転、保管、廃棄に関する当社の義務を定めるものです。本方針に定める手続および原則は、当社、その従業員、代理人、請負業者、または当社のために業務を行うその他の者により、常に遵守されなければなりません。
ComponentSourceは、法令の文言だけでなくその趣旨も遵守することを約束し、関係するすべての個人データを正確、適法、かつ公正に取り扱うことを重視し、取引先であるすべての個人の法的権利、プライバシー、および信頼を尊重します。
この方針は、GDPRおよびすべての適用されるデータ保護法への準拠を確保することを目的としています。適用されるデータ保護法は、個人データを取り扱うすべての当事者が遵守しなければならない以下の原則を定めています。すべての個人データは、以下のとおりでなければなりません。
2.1 データ主体に関して、適法、公正、かつ透明性のある方法で処理されること。
2.2 特定され、明示され、かつ正当な目的のために収集され、その目的と両立しない方法でさらに処理されないこと。統計目的のための追加処理は、当初の目的と両立しないものとはみなされません。
2.3 適切であり、関連性があり、かつ処理目的に必要な範囲に限定されること。
2.4 正確であり、必要に応じて最新に保たれること。処理目的との関係で不正確な個人データは、遅滞なく削除または訂正されるよう、あらゆる合理的な手段を講じなければなりません。
2.5 個人データが処理される目的に必要な期間を超えて、データ主体を識別可能な形式で保持されないこと。個人データは、統計目的のみに処理される場合、または適用されるデータ保護法により別途許容される場合（データ主体の権利と自由を保護するために適用されるデータ保護法が要求する適切な技術的および組織的措置を実施することを条件とする）、より長期間保管されることがあります。
2.6 不正または違法な処理、および偶発的な紛失、破壊、損壊に対する保護を含め、適切な技術的または組織的措置を用いて、個人データの適切な安全性を確保する方法で処理されること。
適用されるデータ保護法は、データ主体に適用される以下の権利を定めています（詳細は示された本方針の各該当箇所を参照してください）。
3.1 通知を受ける権利（第12節）。
3.2 アクセス権（第13節）；
3.3 訂正を求める権利（第14節）；
3.4 消去を求める権利（「忘れられる権利」とも呼ばれる）（第15節）；
3.5 処理の制限を求める権利（第16節）；
3.6 異議を申し立てる権利（第17節）；および
3.7 自動化された意思決定およびプロファイリングに関する権利（第18節および第19節）。
4.1 適用されるデータ保護法は、データ主体の権利に悪影響を及ぼすことなく、個人データが適法、公正、かつ透明性をもって処理されることを確保することを目的としています。適用されるデータ保護法は、以下のいずれかが適用される場合に個人データの処理が適法であると定めています。
4.1.1 データ主体が、1つまたは複数の特定の目的のために自身の個人データの処理に同意している場合。
4.1.2 当該処理が、データ主体が当事者である契約の履行、またはデータ主体との契約締結前にその要請に応じて手続を講じるために必要である場合。
4.1.3 当該処理が、データ管理者に課される法的義務の遵守に必要である場合。
4.1.4 当該処理が、データ主体または他の自然人の重大な利益を保護するために必要である場合。
4.1.5 当該処理が、公共の利益のために実施される任務の遂行、またはデータ管理者に付与された公的権限の行使のために必要である場合。
4.1.6 当該処理が、データ管理者または第三者が追求する正当な利益のために必要である場合。ただし、個人データの保護を必要とするデータ主体の基本的権利および自由、特にデータ主体が児童である場合には、その利益が優先される場合を除きます。
5.1 ComponentSourceは、本方針の第20節に記載された個人データを収集および処理します。これには以下が含まれます。
5.1.1 データ主体から直接収集した個人データ；および
5.1.2 第三者から取得した個人データ。
5.2 当社は、本方針の第20節に定める特定の目的（または適用されるデータ保護法により明示的に許可されるその他の目的）のためにのみ、個人データを収集、処理、保有します。
5.3 データ主体は、ComponentSourceが自身の個人データを使用する目的について通知を受け続けます。データ主体への通知に関する詳細は、第12節を参照してください。
ComponentSourceは、上記第5節および下記第20節に定める、データ主体に通知された（または通知される予定の）特定の目的に必要な範囲およびその目的のためにのみ、個人データを収集および処理します。
7.1 ComponentSourceは、収集、処理、保有するすべての個人データが正確かつ最新であることを合理的に必要な範囲で確保するよう努めます。これには、下記第14節に定めるとおり、データ主体の要請に応じた個人データの訂正が含まれますが、これに限定されません。
7.2 個人データの正確性は、収集時に確認されます。その後、個人データの変更がComponentSourceに通知された場合、または個人データが不正確もしくは古くなっていることが判明した場合には、適宜、当該データを遅滞なく修正または削除するためのあらゆる合理的な手段が講じられます。
8.1 事業の正当な運営上の必要性に従うことを条件として、ComponentSourceは、当該個人データが当初収集、保有、処理された目的に照らして必要な期間を超えて個人データを保持しません。
8.2 個人データがもはや必要でない場合、速やかに削除またはその他の方法で廃棄するため、あらゆる合理的な手段が講じられます。
8.3 ComponentSourceが保持する特定の個人データの種類に関する保持期間を含む、当社のデータ保持に関する方針の詳細は、Data Retention Policyを参照してください。
ComponentSourceは、収集、保有、処理されるすべての個人データが安全に保たれ、不正または違法な処理、および偶発的な紛失、破壊、損壊から保護されることを確保します。講じるべき技術的および組織的措置の詳細は、本方針の第20節から第26節に示されています。
10.1 当社のデータ保護責任者であるNigel Farnworthは、dpm@componentsource.com、電話 +44 (118) 982 2108 または +1 (770) 250 6105 で連絡できます。
10.2 データ保護責任者は、本方針の実施を監督し、本方針、当社のその他のデータ保護関連方針、およびすべての適用されるデータ保護法への準拠を監視する責任を負います。ComponentSourceは、個人データの収集、保有、および処理に関する社内記録を保持し、以下の情報を含めます。
10.2.1 当社、そのデータ保護責任者、および該当する第三者データ処理者の名称と詳細。
10.2.2 当社が個人データを収集、保有、および処理する目的。
10.2.3 当社が収集、保有、および処理する個人データの種類の区分、および当該個人データが関連するデータ主体の区分の詳細。
10.2.4 EEA域外の国への個人データ移転の詳細（すべての仕組みおよびセキュリティ保護策を含む）。
10.2.5 個人データが当社によってどのくらいの期間保持されるかの詳細（ComponentSource Data Retention Policyを参照）および
10.2.6 個人データの安全性を確保するためにComponentSourceが講じるすべての技術的および組織的措置の詳細な説明。
11.1 ComponentSourceは、あらゆる新規プロジェクトおよび／または個人データの新たな利用について、データ保護影響評価を実施します。
11.2 データ保護影響評価はデータ保護責任者が監督し、以下を扱います。
11.2.1 収集、保有、および処理される個人データの種類；
11.2.2 個人データを使用する目的；
11.2.3 当社の目的；
11.2.4 個人データの使用方法；
11.2.5 協議すべき当事者（社内および／または社外）；
11.2.6 処理される目的に照らしたデータ処理の必要性および比例性；
11.2.7 データ主体に及ぶリスク；
11.2.8 社内および当社に対して及ぶリスク；および
11.2.9 特定されたリスクを最小化し、対処するために提案される措置。
12.1 データ主体からの要請があった場合、ComponentSourceは5営業日以内に、第12.2節に定める情報をデータ主体に提供します。
12.1.1 個人データがデータ主体から直接収集される場合、当該データ主体は収集時にその目的について通知されます；および
12.1.2 個人データが第三者から取得される場合、関連するデータ主体はその目的について以下のとおり通知されます。
a) 個人データがデータ主体との連絡に使用される場合、最初の連絡が行われる時点で；または
b) 個人データが他の当事者に移転される場合、その移転が行われる前に；または
c) 合理的に可能な限り速やかに、いかなる場合も個人データ取得後1か月を超えない時点で。
12.2 以下の情報は、要請に応じてデータ主体に提供されます。
12.2.1 当社の詳細（データ保護責任者の連絡先を含みますが、これに限定されません）；
12.2.2 個人データが収集され、処理される目的（本方針第20節に詳細記載）；
12.2.3 該当する場合、当社が個人データの収集および処理の正当化に用いる正当な利益；
12.2.4 個人データがデータ主体から直接取得されていない場合、収集・処理される個人データの区分；
12.2.5 個人データが1つまたは複数の第三者に移転される場合、当該第三者の詳細；
12.2.6 個人データが欧州経済領域（「EEA」）外に所在する第三者に移転される場合、その移転の詳細（設置されている保護策を含むがこれに限定されません。詳細は本方針第27節を参照）；
12.2.7 データ保持の詳細；
12.2.8 適用されるデータ保護法に基づくデータ主体の権利の詳細；
12.2.9 当社による個人データの処理に対する同意をデータ主体がいつでも撤回できる権利の詳細；
12.2.10 情報コミッショナー事務局（UK GDPRにおける「監督当局」）に苦情を申し立てる権利、または該当する場合にはアイルランド共和国、オランダ、米国および日本の同等の当局に申し立てる権利の詳細；
12.2.11 該当する場合、個人データの収集および処理を必要とする法的または契約上の要件もしくは義務、およびそれを提供しなかった場合の結果の詳細；および
12.2.12 個人データを使用して行われる自動化された意思決定またはプロファイリングの詳細（意思決定の方法、当該意思決定の重要性、および結果に関する情報を含む）。
13.1 データ主体は、ComponentSourceが自身について保有する個人データ、その個人データに対して何を行っているか、そしてその理由について、いつでも開示請求（「SAR」）を行うことができます。
13.2 SARを行うことを希望するデータ主体は、Subject Access Request Formを使用し、当該フォームを当社のデータ保護責任者宛てに dpm@componentsource.com へ送付してください。
13.3 SARへの回答は通常、受領後1か月以内に行われますが、SARが複雑である場合や複数の請求がある場合には、最長2か月まで延長されることがあります。そのような追加期間が必要な場合は、データ主体に通知されます。
13.4 受領したすべてのSARは、当社のデータ保護責任者が対応します。
13.5 ComponentSourceは、通常のSARの処理に対して手数料を請求しません。当社は、既にデータ主体に提供された情報の追加コピー、および明らかに根拠がない、または過度な請求、特に反復的な請求に対しては、合理的な手数料を請求する権利を留保します。
14.1 データ主体は、不正確または不完全な自身の個人データについて、ComponentSourceに訂正を求める権利を有します。
14.2 ComponentSourceは、当該個人データを訂正し、その訂正についてデータ主体に通知します。これは、データ主体が当社に問題を通知してから1か月以内に行われます。複雑な請求の場合、この期間は最長2か月延長されることがあります。そのような追加期間が必要な場合は、データ主体に通知されます。
14.3 影響を受けた個人データが第三者に開示されている場合、当該個人データに対して必要な訂正は、次の取引の処理時またはそれ以前に当該第三者に通知されます。
15.1 データ主体は、以下の場合にComponentSourceが自身に関して保有する個人データを消去するよう要求する権利を有します。
15.1.1 当初収集または処理された目的に照らして、当該個人データを保有する必要がもはやない場合；
15.1.2 データ主体が、ComponentSourceによる自身の個人データの保有および処理に対する同意の撤回を希望する場合；
15.1.3 データ主体が、ComponentSourceによる自身の個人データの保有および処理に異議を唱え（かつ、当該保有および処理を継続させる上書きされるべき正当な利益がない場合）（異議を申し立てる権利の詳細は本方針第17節を参照）；
15.1.4 個人データが違法に処理された場合；
15.1.5 ComponentSourceが特定の法的義務を遵守するために個人データを消去する必要がある場合。
15.2 ComponentSourceに個人データの消去を拒否する合理的根拠がない限り、すべての消去請求は受け入れられ、データ主体の請求を受領してから1か月以内に、データ主体に消去について通知されます。複雑な請求の場合、この期間は最長2か月延長されることがあります。そのような追加期間が必要な場合は、データ主体に通知されます。
15.3 データ主体の請求に応じて消去される個人データが第三者に開示されている場合、当該第三者には消去が通知されます（実行不可能であるか、またはそのために不釣り合いな労力を要する場合を除く）。
15.4 個人データの消去は、その消去の状況（請求および対応）を詳述するComponentSource内部記録には及ばず、また当社の不正防止システムの有効な運用を損なうような消去も行われません。
16.1 データ主体は、ComponentSourceに対し、自身に関して保有する個人データの処理を停止するよう要求できます。データ主体がこのような要請を行った場合、当社は、当該個人データがそれ以上処理されないことを確実にするために必要な、当該データ主体に関する個人データの量（存在する場合）のみを保持します。
注：データ主体は、ComponentSourceによる対応の結果、継続中のソフトウェアライセンスの取消しが必要となる可能性があることについて警告され、実施前に要請を撤回または修正する機会が与えられます。
16.2 影響を受けた個人データが第三者に開示されている場合、当該第三者には、その処理に対する適用される制限が通知されます（実行不可能であるか、またはそのために不釣り合いな労力を要する場合を除く）。
17.1 データ主体は、正当な利益、ダイレクトマーケティング（プロファイリングを含む）、および統計目的の処理に基づくComponentSourceによる自身の個人データの処理に異議を唱える権利を有します。
17.2 データ主体が、正当な利益に基づくComponentSourceによる自身の個人データの処理に異議を唱えた場合、当社は、当該処理に関する当社の正当な根拠がデータ主体の利益、権利、および自由を上回ること、または当該処理が法的請求の遂行に必要であることが示されない限り、その処理を直ちに停止します。
17.3 データ主体が、ダイレクトマーケティング目的でのComponentSourceによる自身の個人データの処理に異議を唱えた場合、当社はその処理を直ちに停止します。
18.1 当社は、自動化された意思決定プロセスにおいて個人データを使用します。
18.2 そのような決定がデータ主体に法的な（または同様に重要な）影響を及ぼす場合、当該データ主体は、適用されるデータ保護法に基づき、その決定に異議を唱え、人間による介入を求め、自身の見解を述べ、当社からその決定の説明を受ける権利を有します。
18.3 第18.2節に記載の権利は、以下の場合には適用されません。
18.3.1 当該決定が、当社とデータ主体との間の契約の締結または履行に必要である場合；
18.3.2 当該決定が法律により認められている場合；または
18.3.3 データ主体が明示的に同意している場合。
19.1 当社は、顧客サービスの有用性および有効性を最大化するため、プロファイリング目的で一般的に個人データを使用します。
19.2 個人データがプロファイリング目的で使用される場合、以下が適用されます。
19.2.1 誤りのリスクを最小化するために、技術的および組織的措置が実施されます。誤りが発生した場合、そのような措置により容易に修正できるようにすべきです；および
19.2.2 プロファイリングの結果生じる差別的影響を防止するため、プロファイリング目的で処理されるすべての個人データは保護されます（データセキュリティの詳細は本方針第21節から第25節を参照）。
以下の個人データはComponentSourceにより収集、保有、および処理されます（データ保持の詳細は、当社のData Retention Policyを参照してください）。
| データ参照 | データの種類 | データの目的 |
|---|---|---|
| 顧客 | 氏名 | 見積作成、注文処理、認証およびソフトウェア提供 |
| 顧客 | 組織名および種類 | 顧客登録、見積作成、注文処理、認証およびソフトウェア提供 |
| 顧客 | 住所（街路、郡/州、郵便番号、国を含む） | 見積作成、注文処理、認証およびソフトウェア提供、紙カタログの配送、販促品の配送（コーヒーマグ） |
| 顧客 | 電子メールアドレス | 顧客登録、見積作成、注文処理、認証およびソフトウェア提供、製品ニュース、顧客向けメールニュースレターの配信、顧客との連絡 |
| 顧客 | 電話番号 | 見積作成、注文処理およびソフトウェア提供、顧客との連絡 |
| 顧客 | IPアドレス | 見積作成、注文処理、認証、決済処理およびソフトウェア提供 |
| 顧客 | 銀行口座番号、ソートコード、口座名義 | 注文処理および決済処理 |
| 顧客 | クレジット/デビットカード番号、カード名義人名、有効期限およびCV2番号（CV2は取引ごとにのみ使用され、保存されません） | 注文処理、決済処理、認証および検証 |
| エンドユーザーライセンシー | 氏名（顧客と異なる場合） | 見積作成、注文処理、認証およびソフトウェア提供 |
| エンドユーザーライセンシー | 組織名および種類 | Publisherへのライセンシー登録、見積作成、注文処理、認証およびソフトウェア提供 |
| エンドユーザーライセンシー | 住所（街路、郡/州、郵便番号、国を含む） | 見積作成、注文処理、認証およびソフトウェア提供 |
| エンドユーザーライセンシー | 電子メールアドレス | 見積作成、注文処理、認証、およびソフトウェア提供、ライセンシーとの連絡 |
| エンドユーザーライセンシー | 電話番号 | 見積作成、注文処理およびソフトウェア提供、ライセンシーとの連絡 |
| エンドユーザーライセンシー | IPアドレス | 見積作成、注文処理、認証、決済処理およびソフトウェア提供 |
| Publisher | 氏名、住所、電子メールアドレス、電話番号、銀行口座情報 | 注文処理、決済処理およびソフトウェア提供 |
| Supplier | 氏名、住所、電子メールアドレス、電話番号、銀行口座情報 | 注文処理、決済処理およびソフトウェア提供 |
| 株主 | 氏名、住所、電子メールアドレス、電話番号、銀行口座情報 | 株主との連絡、会社提出書類および登記簿、ならびに決済処理 |
| 従業員 / 取締役 / 請負業者 | 氏名、住所、電子メールアドレス、電話番号、国民保険番号、税コード、銀行口座情報、および雇用契約の運営および管理に関連して必要となるその他すべての情報 | 雇用契約または業務委託契約に付随する個別のプライバシー通知別紙におけるデータの使用 |
ComponentSourceは、個人データを含むすべての通信およびその他の移転について、以下の措置が講じられることを確保します。
21.1 当社のウェブサイト上で提供されたクレジットカードデータは暗号化されます。
21.2 送受信を問わず、個人データを含むすべての電子メールは安全に保管されます。
21.3 個人データを紙媒体で移転する場合は、受取人に直接手渡しするか、認められた郵送または配送サービスを使用して送付するものとします。
ComponentSourceは、個人データの保管に関して以下の措置が講じられることを確保します。
22.1 個人データのすべての電子コピーは安全に保管されるものとします。
22.2 個人データのすべての紙コピーは、物理的なリムーバブルメディアに保存された電子コピーとともに、安全に保管されるものとします。
22.3 電子的に保管されるすべての個人データは、可能な限り定期的にバックアップされ、バックアップは可能な場合にはオフサイトに保管されるものとします。
22.4 個人データは、Data Protection Managerの書面による承認なしに、ComponentSource所有か否かを問わず、いかなるモバイル機器（ノートパソコン、タブレット、スマートフォンを含むがこれらに限定されない）にも保存されてはならず、承認がある場合でも、その承認に記載されたすべての指示および制限に厳密に従い、かつ絶対に必要な期間を超えて保存してはなりません；および
22.5 個人データは、従業員の私有機器へ移転されてはならず、個人データは、当該当事者が本方針およびすべての適用されるデータ保護法の文言と趣旨を完全に遵守することに同意している場合に限り、当社のために業務を行う代理人、請負業者、またはその他の当事者に属する機器へ移転できます（これには、すべての適切な技術的および組織的措置が講じられていることを当社に示すことが含まれる場合があります）。
いかなる個人データも、何らかの理由で削除またはその他の方法で廃棄される場合（複製が作成され、もはや必要でない場合を含む）、安全に削除し、廃棄しなければなりません。個人データの削除および廃棄に関する詳細は、当社のData Retention Policyを参照してください。
ComponentSourceは、個人データの使用に関して以下の措置が講じられることを確保します。
24.1 個人データは非公式に共有されてはならず、ComponentSourceのために業務を行う従業員、代理人、下請業者、またはその他の当事者が、既にアクセス権を有していない個人データへのアクセスを必要とする場合、そのアクセスはData Protection Managerに正式に申請しなければなりません；
24.2 Data Protection Managerの承認なしに、ComponentSourceのために業務を行っているか否かを問わず、従業員、代理人、請負業者、またはその他の当事者に個人データを移転してはなりません；
24.3 個人データは常に慎重に取り扱わなければならず、権限のない従業員、代理人、下請業者、またはその他の当事者の目に触れる場所や放置された状態にしてはなりません；
24.4 個人データがコンピュータ画面上で閲覧されている場合で、当該コンピュータを一定時間放置する必要があるときは、ユーザーはその場を離れる前にコンピュータおよび画面をロックしなければなりません；および
24.5 ComponentSourceが保有する個人データがマーケティング目的で使用される場合、適切な同意が得られ、また、直接または第三者サービスを通じて、いずれのデータ主体もオプトアウトしていないことを確認する責任はData Protection Managerにあります。
ComponentSourceは、ITおよび情報セキュリティに関して以下の措置が講じられることを確保します。
25.1 個人データを保護するために使用されるすべてのパスワードは定期的に変更し、容易に推測される、またはその他の方法で侵害されうる単語や句を使用してはなりません。すべてのパスワードには、大文字、小文字、数字、および記号を組み合わせることが推奨されます。
25.2 いかなる事情においても、年功や部署にかかわらず、ComponentSourceのために業務を行う従業員、代理人、請負業者、またはその他の当事者間でパスワードを書き留めたり共有したりしてはなりません。パスワードを忘れた場合は、該当する方法でリセットしなければなりません。ITスタッフはパスワードにアクセスできません。
25.3 すべてのソフトウェア（アプリケーションおよびオペレーティングシステムを含むがこれらに限定されない）は、商業上可能な限り最新に保たれます。当社のITスタッフは、正当な技術的理由がない限り、Publisherまたは製造元によって更新が利用可能になった後、速やかにあらゆるセキュリティ関連更新をインストールする責任を負います；および
25.4 IT ManagerまたはData Protection Managerの事前承認なしに、当社所有のコンピュータまたは機器にソフトウェアをインストールしてはなりません。
ComponentSourceは、個人データの収集、保有、および処理に関して以下の措置が講じられることを確保します。
26.1 ComponentSourceのために業務を行うすべての従業員、代理人、請負業者、またはその他の当事者は、適用されるデータ保護法および本方針に基づく個人の責任と当社の責任の両方について十分に認識され、本方針の写しが提供されます；
26.2 割り当てられた職務を適切に遂行するために個人データへのアクセスおよび使用を必要とする、ComponentSourceのために業務を行う従業員、代理人、下請業者、またはその他の当事者のみが、ComponentSourceが保有する個人データへのアクセスを有します；
26.3 個人データを取り扱うComponentSourceのために業務を行うすべての従業員、代理人、請負業者、またはその他の当事者は、適切な訓練を受けます；
26.4 個人データを取り扱うComponentSourceのために業務を行うすべての従業員、代理人、請負業者、またはその他の当事者は、適切に監督されます；
26.5 個人データを取り扱うComponentSourceのために業務を行うすべての従業員、代理人、請負業者、またはその他の当事者は、職場内外を問わず、個人データに関連する業務上の事項を話し合う際に、注意、慎重さ、および裁量を行使することが求められ、また奨励されます；
26.6 個人データを収集、保有、および処理する方法は、定期的に評価および見直されます；
26.7 ComponentSourceが保有するすべての個人データは、当社のData Retention Policyに定めるとおり、定期的に見直されます；
26.8 個人データを取り扱うComponentSourceのために業務を行う従業員、代理人、請負業者、またはその他の当事者の業務遂行は、定期的に評価および見直されます；
26.9 個人データを取り扱うComponentSourceのために業務を行うすべての従業員、代理人、請負業者、またはその他の当事者は、契約により、すべての適用されるデータ保護法および本方針の原則に従って行う義務を負います；
26.10 個人データを取り扱うComponentSourceのために業務を行うすべての代理人、請負業者、またはその他の当事者は、個人データの処理に関与する自らの全従業員について、本方針および適用されるデータ保護法に起因する当社の関連従業員と同じ条件を課さなければなりません；および
26.11 ComponentSourceのために業務を行う個人データを取り扱う代理人、請負業者、またはその他の当事者が本方針に基づく義務を履行しない場合、その当事者は、その不履行に起因する可能性のある費用、責任、損害、損失、請求または手続について、ComponentSourceを補償し、免責します。
27.1 すべての個人データは、英国、アイルランド共和国、オランダ、米国および日本の当社オフィス内にある当社サーバーに保管されています。ComponentSourceは、随時、個人データをEEA域外の他国へ移転することがあります（「移転」には、遠隔で利用可能にすることが含まれます）。
27.2 EEA域外の国への個人データの移転は、以下のいずれかが適用される場合に限り行われます。
27.2.1 関連するデータ主体の十分な情報に基づく同意を得て移転する場合。たとえば、エンドユーザーライセンシーのデータがライセンス条件としてSoftware Publisher/Ownerに移転される場合；
27.2.2 データ主体とComponentSourceとの間の契約の履行に必要である場合（またはデータ主体の要請により契約締結前に講じられる措置のため）；
27.2.3 提供元の国が、当該国、地域、または当該国の1つ以上の特定部門（または国際機関）が個人データについて適切な保護水準を確保していると判断した場合；
27.2.4 公共当局または機関間の法的拘束力のある合意、拘束的企業準則、適用されるデータ保護法に採用された標準データ保護条項、監督当局（例：英国のInformation Commissioner’s Office）が承認した行動規範の遵守、承認された認証メカニズム（適用されるデータ保護法に規定されるとおり）に基づく認証、管轄の監督当局が合意し承認した契約条項、または管轄の監督当局が承認した公共当局または機関間の行政取決めに挿入された規定の形で適切な保護措置が提供される国（または国際機関）への移転である場合；
27.2.5 重要な公共の利益のために必要な移転である場合；
27.2.6 法的請求の遂行に必要な移転である場合；
27.2.7 データ主体が物理的または法的に同意を与えることができない場合に、データ主体または他の個人の重大な利益を保護するために必要な移転である場合；または
27.2.8 適用されるデータ保護法上、一般公開を目的としており、一般公衆または当該登記簿にアクセスする正当な利益を示すことができる者に対して公開されている登録簿からの移転である場合。
28.1 すべての個人データ侵害は、発見後ただちに当社のデータ保護責任者へ緊急に報告しなければなりません。
28.2 個人データ侵害が発生し、その侵害がデータ主体の権利および自由に対するリスク（例：金銭的損失、機密保持違反、差別、信用毀損、その他重大な社会的または経済的損害）をもたらす可能性がある場合、データ保護責任者は、関連する監督当局に遅滞なく、かつ、いかなる場合もその事実を把握してから72時間以内に、その侵害が通知されることを確保しなければなりません。
28.3 個人データ侵害が、データ主体の権利および自由に対して高いリスク（すなわち、第28.2節で説明されるものより高いリスク）をもたらす可能性がある場合、データ保護責任者は、影響を受けたすべてのデータ主体に対し、直接かつ不当な遅延なくその侵害が通知されることを確保すべきです。
28.4 データ侵害通知には、以下の情報を含める必要があります。
28.4.1 関係するデータ主体の区分および概算人数；
28.4.2 関係する個人データ記録の区分および概算件数；
28.4.3 当社のデータ保護責任者の氏名および連絡先（または、より詳細な情報を得られるその他の連絡先）；
28.4.4 侵害のおそれのある結果；
28.4.5 必要に応じてその悪影響を軽減する措置を含め、当該侵害に対処するために当社が講じた、または講じる予定の措置の詳細。
この方針は2023年11月1日付で有効とみなされます。
この方針は以下により承認・認可されています。
| 氏名： | Harry Kelly |
| 役職： | Group Director |
| 日付： | 2024年11月1日 |
| 見直し期限： | 2025年10月31日 |
CSDataProtection 11/2023