データ処理
追加条項

別紙B – 技術的および組織的対策について

当社は、個人データを保護するための技術的および組織的なセキュリティ対策を展開し、維持しています。以下は、当社のプラットフォームと個人データを安全に保つために当社が採用している対策の概要です。

一般条項

• 当社は、業界標準に準拠した文書化された情報セキュリティポリシーを維持し、毎年見直しと更新を行っています。セキュリティポリシーの策定と保守は、情報セキュリティ分野の専門知識を持つ担当者によって管理されています。
• すべての従業員のコンピュータは、ウイルス対策ソフトウェアまたは類似の保護メカニズムで最新の状態に維持されるものとします。

トレーニングおよび従業員

• 当社の全従業員は、暦年に少なくとも1回、セキュリティトレーニングプログラムを受講します。
• 退職または契約終了時に、従業員はいかなるアクセスキー、コード、または個人データや当社の施設への類似のアクセス権も保持してはなりません。

アクセス制御

• 当社の情報セキュリティポリシーでは、個人データへの不正アクセスや紛失を防止するための合理的な措置を定めるものとします。
• 当社はシステム管理者を指名し、本「技術的および組織的対策」に従って他の従業員の個人データへのアクセスを制限します。このアクセス権限は毎年見直されるものとします。
• 当社は、従業員によるすべてのアクセスおよびリモートアクセスについて、強力なパスワード、二要素認証、または不正アクセスを防止するその他のメカニズムで構成される認証プロセスを義務付けるものとします。
• アクセス、データの挿入、削除、および変更は、タイムスタンプを含めてログに記録されます。

物理的セキュリティ

• 当社は自社施設の物理的セキュリティを確保し、施設へのすべてのアクセスまたは立ち入りを監視します。
• 当社は、当社のポリシーに従い、すべての従業員に対して、機密データの物理的コピーを必要以上に長く保持しないよう義務付けています。
• 訪問者の当社施設へのアクセスは監視および制限されており、専任の担当者によって管理されています。
• すべての個人データは、温度調節、消火設備、煙探知機などの合理的な環境対策を備えた施設に配置されたサーバー（マシン）でホスティングおよび保存されるものとします。

完全性・整合性

• 当社は定期的にシステムのバックアップを行っており、初期導入時および重要な変更・更新時にソフトウェアを検査して、セキュリティの脆弱性を発見し修正することを約束します。
• 当社は、暦年に少なくとも1回ペネトレーションテスト（侵入テスト）を受け、社内ポリシーに従って発見された事項を修正します。
• 当社は、本契約の発効日以降にすべての新しいシステムを導入する前に、デフォルトのアカウントアクセス設定および認証キーをすべて変更することを約束します。
• すべての従業員のノートパソコンは当社によって管理され、定期的に監視されています。
• 当社は、強力な暗号化によって保護されていない限り、監視対象環境外に個人データを保存することはありません。

削除

• 当社は、DPA（データ処理追加条項）に従ってすべての個人データを削除することを約束します。
• 当社は個人データの自動バックアップ慣行を維持しており、これらは設定された間隔で削除されます。

サードパーティのリスク管理

個人データにアクセスすることになる新しいサードパーティのサービスプロバイダーと契約する前に、当社はその情報セキュリティ慣行についてリスク評価を実施します。

法執行機関からの要求に関する方針

• 当社の最も重要なコアバリューの1つは、人権の尊重です。そのため、当社は、法執行機関、政府機関、規制当局、および司法機関から受け取るすべてのデータ要求が有効であり、適用される法的手続きに従って行われていることを確認します。
• 当局への個人データのすべての開示は、本DPAに従って行われるものとします。