一般データ保護規則（GDPR）ポリシー

1. ポリシー声明

当社のビジネスは、お客様、仕入先、面接候補者、同僚に関する個人情報を毎日受け取り、使用し、保存します。この情報が[データ保護法（2018年）]と一般データ保護規則（以下「データ保護要件」と総称）の要件に沿って適切かつ合法的に取り扱われることが重要です。

私たちはデータ保護の義務を真剣に受け止めており、個人情報を適切かつ責任ある方法で使用するために私たちに寄せられた信頼を尊重しています。

2. このポリシーについて

このポリシー及びそれに言及される他の文書は、収集または処理したいかなる個人データについても私たちがどのように処理するかを明示しています。

このポリシーは従業員の雇用契約の一部ではなく、いつでも修正される可能性があります。

Alex Smitは当社のデータ保護担当者（DPO）であり、データ保護要件およびこのポリシーの遵守を確保する責任があります。このポリシーの運用に関する質問や、ポリシーが遵守されていないという懸念がある場合は、まず最初にDPOに対処するか、当社の不服処理ポリシーに従って報告する必要があります（従業員ハンドブックを参照）。

3. 個人データとは何ですか？

個人データとは、生存する個人に関連するデータ（電子的または紙ベースで保存されているかどうかにかかわらず）を指し、そのデータから直接または間接的に（またはそのデータおよび当社が所持する他の情報から）個人を識別することができます。

処理とは、個人データを使用するすべての活動を指します。これには、データの取得、記録、保持、整理、修正、検索、使用、開示、消去、破棄が含まれます。処理には、個人データを第三者に転送することも含まれます。

機密性の高い個人データには、人の人種または民族、政治的見解、宗教的または思想的信念、労働組合への所属、遺伝子、生体特性、身体的または精神的健康状態、性的指向または性生活に関する個人データが含まれます。また、犯罪行為や有罪判決に関するデータも含まれる場合があります。機密性の高い個人データは、個人の同意を得る条件を含む厳格な条件の下でのみ処理できます。

4. データ保護原則

個人データを処理するすべての人は、データが以下のようであることを確認する必要があります：

a. 公正かつ適法に処理され、透明性が確保される。
b. 特定された、明示的かつ合法な目的のために収集され、さらなる処理が互換性のある目的のために完了される。
c. 目的に必要な範囲内で適切で関連性があり、適切に制限される。
d. 正確であり、必要に応じて最新の状態を保つ。
e. 目的に必要な期間以上は識別可能な形式で保管されない。
f. 個人の権利に沿って処理され、個人データの適切なセキュリティが確保されるように処理され、第三者による不正または違法な処理、意図しない損失、破壊、損傷から保護されるように、適切な技術的または組織的措置が取られる。
g. 適切な保護がない国に所在する人や組織に転送されず、まず個人に通知されることなく処理されることはない。

5. 公正で適法な処理

データ保護要件は個人データの処理を防ぐことを意図しているのではなく、個人の権利に悪影響を与えることなく公正に行われることを確保するためのものです。

データ保護要件に従い、個人データは、法的な目的のために必要な場合にのみ処理されます。法的な目的には、個人が同意したかどうか、個人との契約の履行に必要な処理、法的義務の遵守、またはビジネスの正当な利益のために必要な処理などが含まれます。機密性の高い個人データを処理する場合、追加の条件が満たされなければなりません。

6. 限られた目的のための処理

当社の業務の過程で、個人データを収集および処理する場合があります。これには、データ主体（たとえば、フォームの記入や郵便、電話、電子メール等による連絡などによって直接データを受け取ったデータ）から受け取ったデータと、他のソース（地位情報、ビジネスパートナー、技術、支払い、配達サービスの下請け業者、信用調査機関などを含む）から受け取ったデータが含まれる可能性があります。

当社は、スケジュール1に明示された特定の目的のため、またはデータ保護要件で明示的に許可されているその他の目的のためにのみ個人データを処理します。これらの目的をデータ主体に最初にデータを収集する際またはできるだけ速やかにその後に通知します。

7. 個人への通知

個人から直接に個人データを収集する場合、以下について通知します：

a.当社が個人データを処理する目的、および処理の法的根拠。
b. 当社がビジネスの正当な利益を個人データを処理するための根拠とする場合、追求される正当な利益。
c. 当社がその個人データを共有または開示する可能性のある第三者の種類。
d. 個人が当社の個人データの使用および開示を制限する方法。
e. 情報が保存される期間、またはその期間を決定する基準についての情報。
f. コントローラーとして、個人データのアクセスおよび訂正または消去、または処理の制限を要求する権利。
g. 処理に対する異議申し立て権利およびデータ携帯性権利。
h. 同意が与えられた場合でも、同意が取り消される前の処理の合法性に影響を与えることなく、いつでも同意を取り下げる権利。
i. 情報委員会に苦情を申し立てる権利。
j. 個人に関連する個人データが始まった他のソースと、それが公にアクセス可能なソースから来たかどうか。
k. 個人データの提供が法的または契約上の要件、契約締結に必要な要件であるか、個人が個人データを提供する義務があるか、データ提供を怠った場合の結果があるか。

他のソースから個人に関する個人データを受け取った場合、個人に対してできるだけ速やかに（関連する個人データのカテゴリについて知らせることに加えて）この情報を提供しますが、遅くとも1か月以内に提供します。

また、当社が処理する個人データについてデータ主体に通知し、そのデータに関して当社がデータコントローラーであること、当社の連絡先詳細、およびDPOが誰であるかを明示します。

8. 適切で関連性があり、過度でない処理

当社は、データ主体に通知された特定の目的に必要とされる範囲内の個人データのみを収集します。

9. 正確なデータ

当社は、保持している個人データが正確で最新の状態を保つようにします。個人データの正確性を収集時およびその後定期的な間隔で確認します。不正確または時代遅れのデータを修正または破棄するためのすべての合理的な措置を講じます。

10. 適時な処理

個人データは、収集された目的または目的のために必要な期間以上保存しません。もはや必要とされていないすべてのデータを、システムから削除または抹消するためにすべての合理的な措置を講じます。

11. データ主体の権利に準拠した処理

個人データは、特に個人の権利に沿って処理され、以下の権利が含まれます：

a. 個人を関する個人データが処理されているかどうかの確認。
b. データコントローラーが保有するデータへのアクセスをリクエストする。
c. 個人データの訂正、消去、処理制限をリクエストする。
d. 監督当局に苦情を提出する。
e. 直接マーケティングを含む処理に異議を申し立てる。

12. データセキュリティ

個人データの違法または不正な処理、個人データの送信、保存、または他の方法で処理された個人データの意図しないまたは違法な破壊、損傷、紛失、変更、個人データへの不正開示またはアクセスに対して適切なセキュリティ対策を講じます。不法なデータ転送が発生すれば、適切な担当者によって調査され、会社の処分手続きが適用されます。

私たちは処理手段の決定およびデータ収集の段階からデータの破棄の段階まで、すべての個人データのセキュリティを維持するための手順と技術を導入します。個人データは、データ処理者がこれらの手順とポリシーに従うことに同意した場合、または適切な対策を自ら講じた場合にのみ、データ処理者に転送されます。

個人データの機密性、整合性、可用性を保護することによってデータセキュリティを維持します。

a. 機密性とは、データを使用する許可を受けた人だけがアクセスできることを意味します。
b. 完全性とは、個人データが処理される目的に適して正確であるべきことを意味します。
c. 可用性とは、許可されたユーザーが許可された目的のために必要な場合にデータにアクセスできることを意味します。したがって、個人データは個々のPCではなく、当社の中央コンピュータシステムに保存されるべきです。

セキュリティ手順には以下が含まれます：

a. 入場管理。入場管理されたエリアで見知らぬ人物が見られた場合は報告する必要があります。
b. セキュリティロック可能な机や戸棚。机や戸棚には機密情報を保持している場合は常にロックされている必要があります。（個人情報は常に機密情報と見なされます。）
c. データの最小化。
d. 廃棄方法。紙文書はシュレッダーで処分されるべきです。デジタルストレージデバイスは不要になった場合には物理的に破壊されるべきです。
e. 設備。従業員は、個別のモニターが通行人に機密情報を表示しないようにし、PCを放置する際にはログオフする必要があります。

13. 主体アクセスリクエスト

個人は、当社が保持している自身に関する情報の正式なリクエストを行う必要があります。リクエストを受け取った従業員は、直ちにDPOまたは人事部のメンバーに転送する必要があります。

電話でのお問い合わせを受けた場合、システムに保存されている個人データは、以下の条件が満たされた場合のみ開示します：

a. 情報が権利を有する者にのみ与えられるよう、電話をかけてきた人物の身元を確認します。
b. 電話をかけてきた人物の身元が確認できず、身元を確認できない場合は、リクエストを書面で提出するよう求めます。

電子的なリクエストがなされた場合、可能な限りデータは電子的に提供されます。

難しい状況では、従業員はリクエストを上司に紹介してサポートを求めます。

14. このポリシーの変更

当社はいつでもこのポリシーを変更する権利を留保します。適切な場合、ウェブサイト上でのクッキーバナーにより変更を通知します。