プライバシーポリシー
I. 趣旨および目的
適用法令は、個人データの処理に関して、いくつかの義務を課しています。スーペリア・エセックス・グループは、個人のプライバシーを尊重し、個人データの処理に関わる当社の事業活動において、適用法令が定める法的基準を遵守することに努めております。
当社は、適用法令に定められた主要なデータ保護の原則および中核的な要件を遵守する責任を負い、その遵守に全力を尽くしてまいります。
本ポリシーでは、当社が遵守するデータ保護に関する主要な原則を説明するとともに、個人のプライバシーの尊重および個人データの保護に関する当社の取り組みを明示しています。
II. 適用範囲
本ポリシーは、EU域内のすべてのスーペリア・エセックス・グループの事業所、ならびにEUから個人データを受け取る、または適用法令の適用を受けるその他のすべてのスーペリア・エセックス・グループの事業所に適用されます。
個人データは、本ポリシーおよび適用法令に従って処理されるものとします。
本ポリシーは、本ポリシーの第XIII条に記載されているスーペリア・エセックス・グループのその他のポリシーと併せてお読みください。スーペリア・エセックス・グループは、本ポリシーまたは適用法令を遵守するために必要とされる場合、追加のポリシー、手順、または慣行を導入することがあります。
データ保護は、スーペリア・エセックス・グループの全従業員および事業部門が共同で負う責任であり、すべての従業員および事業部門は、本方針に定められた原則および要件を熟知し、これを遵守することが求められます。
III. 定義
本ポリシーの他の箇所で定義されている用語に加え、本ポリシーで使用される以下の用語については、以下に定める意味を有します：
- 「関連会社」とは、当該事業体によって部分的または完全に支配されている事業体、当該事業体を支配している事業体、または当該事業体と共通の支配下にある事業体を指します。
- 「適用法令」とは、GDPRおよびEEA諸国においてGDPRを実施するための各国の国内法を意味します。
- 「自動化された意思決定」とは、個人データのプロファイリングを含む自動化された処理のみに基づいて行われる意思決定のプロセスを指し、それによってデータ主体に対して法的効力が生じるものをいいます。
- 「管理者」とは、単独で、または他者と共同して、個人データの処理の目的および手段を決定する、自然人、法人、公的機関、機関、その他の団体をいいます。
- 「データ主体」とは、個人データに関連する、特定された、または特定可能な自然人を指します。特定可能な自然人とは、特に氏名、識別番号、位置情報、オンライン識別子などの識別子、あるいは当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的、または社会的な特性に特有の1つまたは複数の要素を参照することにより、直接的または間接的に特定できる者を指します。
- 「EEA」とは、欧州経済領域（European Economic Area）を指し、EU加盟国すべてに加え、アイスランド、リヒテンシュタイン、ノルウェーを含みます。
- 「発効日」とは、2018年5月25日を指します。
- 「従業員」とは、正社員、パートタイム従業員、臨時従業員、復職者、再雇用者、退職者および元従業員、インターン、研修生を指します。
- 「事業所」とは、安定した体制を通じて活動が実効的かつ実質的に行われていることを意味します。その体制の法的形態が、支店であるか、あるいは法人格を有する子会社であるかは、問題ではありません。
- 「EU」とは、欧州連合を指します。
- 「GDPR」とは、個人データの処理および当該データの自由な移動に関する自然人の保護ならびに指令95/46/ECの廃止に関する、2016年4月27日付の欧州議会および理事会規則（EU）2016/679（一般データ保護規則）を指します。
- 「個人データ」とは、データ主体に関するあらゆる情報を指します。個人データには、特別カテゴリーの個人データが含まれます。
- 「本ポリシー」とは、本一般プライバシーポリシーを指します。
- 「プライバシー担当官」とは、以下の第XII条に基づき指定された者を指します。
- 「プロファイリング」とは、個人データを用いて自然人に関連する特定の個人的側面を評価すること、とりわけ、当該自然人の業務上のパフォーマンス、経済状況、健康状態、個人的嗜好、関心事、信頼性、行動、位置情報または移動状況に関する側面を分析または予測することを目的とする、あらゆる形態の個人データの自動処理を意味します。
- 「処理」とは、自動化された手段によるか否かを問わず、個人データまたは個人データの集合に対して行われる、収集、記録、整理、構造化、保存、適応または変更、検索、照会、利用、送信による開示、頒布またはその他の方法による提供、照合または結合、制限、消去または破棄などの、あらゆる操作または一連の操作を意味します。
- 「個人データの漏洩」とは、事業体のシステムを通じて送信、保存、またはその他の方法で処理された個人データについて、偶発的または違法な破壊、紛失、改ざん、不正な開示、または不正アクセスにつながるセキュリティ上の侵害を意味します。
- 「特別カテゴリーの個人データ」には、人種または民族的出自、政治的見解、宗教的または哲学的信条、あるいは労働組合への加入状況を示す個人データ、ならびに自然人を一意に識別する目的で処理される遺伝データ、生体認証データ、健康に関するデータ、および自然人の性生活や性的指向に関するデータが含まれます。
- 「Superior Essex Group」、「当社」、「当社の」とは、デラウェア州法人であるSuperior Essex Inc.（登録先：Corporation Service Company、251 Little Falls Drive, Wilmington, DE 19808）、およびデラウェア州法人であるEssex Solutions Inc.（登録先：Corporation Service Company、251 Little Falls Drive, Wilmington, DE 19808）、デラウェア州法人であるSuperior Solutions Global Inc.（登録先：Corporation Service Company、251 Little Falls Drive, Wilmington, DE 19808）、デラウェア州法人であるEssex Brownell Inc.（登録先：Corporation Service Company、251 Little Falls Drive, Wilmington, DE 19808、Corporation Service Company（住所：251 Little Falls Drive, Wilmington, DE 19808）に登録されているデラウェア州法人Superior Essex International Inc.、およびそれぞれの関連会社。
IV. データ保護の主要な原則
個人データを処理するにあたっては、以下の主要なデータ保護原則を適用いたします：
- 当社は、データ主体に対して、適法、公正かつ透明な方法で個人データを処理いたします（以下、「適法性、公正性および透明性の原則」といいます）；
- 当社は、特定され、明示され、かつ正当な目的のためにのみ個人データを収集し、それらの目的と相容れない方法で当該個人データをさらに処理することはありません（以下、「利用目的の限定の原則」といいます）；
- 当社は、個人データが、その処理目的に照らして適切かつ関連性があり、かつ必要な範囲に限定されるよう確保いたします（以下、「データ最小化の原則」といいます）；
- 当社は、個人データが正確であり、必要に応じて最新の状態に保たれるよう確保するとともに、処理の目的を考慮した上で、不正確な個人データについては、遅滞なく消去または訂正されるよう、あらゆる合理的な措置を講じます（以下、「正確性の原則」といいます）。
- 当社は、個人データを、その処理の目的に必要な期間を超えて、データ主体を特定できる形で保持することはありません（以下、「保存期間の制限の原則」といいます）；
- 当社は、データ主体の権利（以下、「データ主体の権利」といいます）に従って、個人データを処理いたします。また、
- 当社は、個人データが処理される際、不正または違法な処理、ならびに偶発的な紛失、破壊、または毀損から保護するため、適切な技術的、組織的、およびセキュリティ上の措置を講じることを保証いたします（以下、「完全性、機密性およびセキュリティの原則」といいます）。
A. 目的限定の原則
当社の事業活動において、当社は、さまざまな目的のために、異なるカテゴリーのデータ主体から、さまざまな種類の個人データを収集・処理いたします。当社は、具体的かつ明確で正当な目的を事前に特定し、それらを「処理活動記録」（第VIII節参照）に記録いたします。当社は、関連する例外が適用されない限り、個人データを最初に収集する際、またはその直後に、これらの目的をデータ主体に通知いたします（次のB項参照）。
適用法令で認められている場合を除き、特定の目的のために収集された個人データを、それとは相容れない別の目的のために処理することはありません。
当初特定された目的とは異なる目的で個人データを処理する予定の場合は、処理活動を開始する前に、プライバシー担当者に相談してください。
B. 適法性、公正性および透明性の原則
1. 適法性と公正性
個人データの処理は、適用される法令で認められている場合にのみ、適法となります。
- 当社は、適用法令に規定される許容される法的根拠のいずれかに基づいてのみ、個人データを処理いたします。当社が最も一般的に依拠する個人データ処理の法的根拠には、以下が含まれますが、これらに限定されるものではありません：
- データ主体が当事者となっている契約を履行する必要性；
- 当社が従うべき、EUに由来する法的義務を遵守する必要性；
- 当社（データ管理者）または第三者が追求する正当な利益の目的上、必要である場合；および／または
- データ主体から得られた同意。
- 当社は、処理する「特別カテゴリーの個人データ」の量を最小限に抑えることを目指しております。特別カテゴリーの個人データについては、適用法令で認められている場合、例えば、法的に処理が義務付けられている場合や、データ主体からの明示的な同意が得られている場合などに限り、処理を行います。
- 当社は、適切な法的根拠を事前に特定し、それらを「処理活動記録」（下記第VIII節を参照）に記載いたします。
2. 透明性
適用法令に従い、当社が個人データを処理する前に、当該個人に対し、いわゆる「データ保護に関する通知」を提供いたします。この通知には、少なくとも、対象者が理解しやすい形で、以下の事項を記載いたします：
- 関連するデータ管理者であるスーペリア・エセックス・グループ傘下の事業体の名称および連絡先情報；
- 当社が処理する個人データのカテゴリー；
- 当社が個人データを処理する目的およびその法的根拠；
- 個人データを誰に開示するか；
- 個人データをEEA域外へ移転する場合（移転先の国および利用される移転手段を含みます）；
- 個人データを保存する期間（または、それが不可能な場合は、その期間を決定するために用いた基準）；
- データ主体が、自身の個人データの処理に関して行使できる権利；
- 個人データの提供が、法令上の要件であるか、契約上の要件であるか、あるいは契約を締結するために必要な要件であるか、また、データ主体が当該個人データを提供する義務を負っているか、および当該データを提供しなかった場合に生じうる結果について；ならびに
- プロファイリングを含む自動化された意思決定が行われていること、およびGDPRで要求される場合には、その論理に関する有意義な情報、ならびに当該処理がデータ主体にとって持つ意義および想定される結果について。
C. データ最小化の原則
当社は、処理するすべての個人データが、その処理目的に照らして適切かつ関連性があり、かつ当該目的に必要な範囲に限定されるよう、合理的な技術的および組織的措置を講じます。
D. 正確性の原則
当社は、処理するすべての個人データが正確かつ最新の状態に保たれるよう、合理的な技術的および組織的措置を講じます。個人データの正確性については、収集時およびその後定期的に確認を行います。不正確または古いデータについては、これを破棄または修正するためにあらゆる合理的な措置を講じます。
E. 保存の制限の原則
当社は、個人データが収集された目的のために必要な期間、または適用法令により要求または許可される期間を超えて保持されないよう、またスーペリア・エセックス・グループの記録保存方針に従い、合理的な技術的および組織的措置を講じます。当社は、もはや必要とされないすべての個人データを、安全に破棄するか、または当社のシステムおよび記録から確実に消去するために、あらゆる合理的な措置を講じます。
F. データ主体の権利
当社は、適用法令に基づきデータ主体に認められている権利を尊重いたします。特に、以下の権利を尊重いたします：
- アクセス権：データ主体は、当社が管理責任を負う自身の個人データに関する情報の開示を請求し、当該データの写しの提供を請求することができます。
- 訂正権：データ主体は、不正確な個人データの訂正、および不完全なデータの補完を求めることができます。
- 消去権：データ主体は、自身の個人データが不正確である場合、または当社が追求する目的と整合しない方法で処理されている場合、当該個人データの消去を請求することができます。
- データポータビリティの権利：当社がデータ主体との契約またはその同意に基づき個人データを処理する場合、データ主体は、自身の個人データを構造化され、一般的に使用され、機械で読み取り可能な形式で受け取ることを請求することができ、また、技術的に実行可能な場合には、当該データを第三者に移転するよう当社に求めることができます。
- 処理の制限を求める権利：データ主体は、自身の個人データの処理を制限するよう請求することができます。
- 異議申立ての権利：データ主体は、自身の個人データの処理に対して異議を申し立てたり、これに反対したりすることができます。
- 苦情を申し立てる権利：データ主体は、自身の常居所、勤務地、または違反が疑われる場所のいずれかに所在する、EU内の管轄監督当局に対して苦情を申し立てることができます。
- 同意の拒否または撤回に関する権利：データ主体は、自身の個人データの処理に対する同意を拒否することができ、また、いかなる不利益も被ることなく、いつでもその同意を撤回することができます。
- 自動化された処理のみに基づく決定の対象とならない権利：データ主体は、GDPRで定められた例外を除き、プロファイリングを含め、自動化された処理のみに基づいて行われ、当該データ主体に法的効果をもたらす、または同様の重大な影響を及ぼす決定（すなわち、自動化された意思決定）の対象とならない権利を有します。
適用される法令により、当社は、データ主体からの正当な要請に対して、所定の期間内に回答することが義務付けられています。データ主体からの要請は、すべて直ちにプライバシー担当者に転送しなければなりません（第XII節を参照）。
G. 完全性、機密性およびセキュリティの原則
当社が処理する個人データを保護するため、個人データの不正または違法な処理、ならびに個人データの偶発的な紛失、破壊、または毀損を防ぐべく、合理的な技術的および組織的措置を講じます。
こうした措置には、必要に応じて以下のものが含まれるものとします：
- 個人データの仮名化および暗号化；
- 処理システムおよびサービスの機密性、完全性、可用性、および回復力を継続的に確保する能力；
- 物理的または技術的なインシデントが発生した場合に、個人データの可用性およびアクセスを適時に回復する能力；
- 処理のセキュリティを確保するための技術的および組織的措置の有効性を、定期的に試験、評価および検証するためのプロセスです。
V. 設計段階およびデフォルト設定によるデータ保護
当社は、処理の手段を決定する時点および処理そのものを行う時点の両方において、本ポリシーの第III節に定められた主要なデータ保護原則を効果的に実施し、かつ適用法令の要件を満たすために必要な保護措置を処理に組み込むことを目的とした、仮名化などの適切な技術的および組織的措置を講じるよう、合理的な努力を払います。
当社は、デフォルトとして、処理の各特定の目的に必要な個人データのみが処理されるよう、適切な技術的および組織的措置を講じるために合理的な措置を講じます。
当社が実施するデータ処理の一部は、個人のプライバシーおよび権利・自由にリスクをもたらす可能性があります。適用法令で要求される場合、当社はデータ保護影響評価を実施し、計画されているデータ処理業務が個人データの保護に与える影響、処理の目的との関連性におけるその必要性および比例性、ならびに関係する個人の権利・自由に対するリスク、およびこれらのリスクに対処するために計画されている措置について評価いたします。
VI. 個人データの開示に関する取扱い
当社は、個人データへのアクセスを、アクセスに正当な目的があり、かつ職務を遂行するためにそのアクセスが必要な者に限定するよう、合理的な予防措置を講じます。また、該当する場合は、適切な保護措置を講じます。
A. グループ内
スーペリア・エセックス・グループ内で個人データを共有する際は、本ポリシーの第IV節に記載されている主要なデータ保護原則を遵守するよう、合理的な措置を講じます。この目的のために、当社は「グローバル・グループ内データ処理および移転に関する契約」を締結しております。
B. 第三者
当社が個人データを第三者と共有する場合、必要に応じてデューデリジェンスを実施し、適切な契約上の措置やその他の保護措置を講じるよう合理的な措置を講じます。これらの措置には、とりわけ、個人データの完全性、可用性、および機密性の保護を確保するための条項が含まれます。
VII. 国際的なデータ転送の取扱い
当社が個人データを他の国または地域へ移転する場合、原産国において当該個人データに付与されている保護が、移転された個人データにも適用されるよう、また、当該移転が適用法令に従って行われるよう、合理的な措置を講じます。
A. グループ内
当社は、欧州委員会が定めた標準契約条項に基づき締結した「グループ内データ処理・移転に関するグローバル契約」に従い、EEA域外に設立されたSuperior Essex Groupの関連会社へ個人データを移転いたします。場合によっては、EU標準契約条項などの代替的なデータ移転メカニズムを利用したり、法的に認められた例外規定に基づいて移転が行われることがあります。
B. 第三者
EEA域外に拠点を置く第三者へのデータ移転は、当該第三国が適切な保護水準を確保している場合、または、自己認証を受けた米国の組織への移転における「EU-米国プライバシーシールド」、欧州委員会の標準契約条項、拘束力のある企業規則、承認された行動規範および認証といった、許容されるデータ移転メカニズムを利用する場合、あるいは例外的な状況において、許容される法定の例外規定に基づき、のみ行われるものとします。
VIII. 個人データの処理に関する記録
当社は、適用法令に従い、すべての処理活動に関する最新の記録を保持いたします。これらの記録には、少なくとも以下の事項が含まれていなければなりません：
- データ管理者の氏名および連絡先；
- 個人データの処理の目的および法的根拠；
- データ主体の区分および個人データの区分に関する説明；
- 個人データが開示された、または開示される予定の受領者の区分（第三国または国際機関の受領者を含みます）；
- 個人データを国際的に移転するために用いられる移転の仕組み、および当該データが移転された国・国際機関；
- 各カテゴリーの個人データの消去について想定されている期限；および
- 個人データを保護するための技術的および組織的なセキュリティ対策に関する概要。
IX. 研修
当社は、データ保護に関する方針および手順について、従業員への研修を実施いたします。
X. 監査
当社は、自己評価の手順を策定・維持し、本方針および関連する方針の遵守状況を監査することで、不遵守を軽減し、是正してまいります。
XI. ご質問・苦情
本ポリシーに関するご質問は、プライバシー担当責任者までお問い合わせください。
本ポリシーに違反があったと考える方（データ主体を含む）は、プライバシー担当者に苦情を申し立てることができます。
本プライバシーポリシーについてご質問、ご懸念、またはご意見がございましたら、legal@spsx.comまでメールをお送りいただくか、770.657.6485 までご連絡ください。書面によるご意見は、以下の宛先までお送りください：Superior Essex Legal Department, 5770 Powers Ferry Road, Suite 400, Atlanta, GA 30327。
第12章 データ保護ネットワーク
当社は、適用法令の遵守に関する責任を、経営幹部レベル、各事業部門、機能別グループ、および各地域にわたって割り当てています。本ポリシー、関連するデータ保護ポリシー、または適用法令に関するご要望、ご質問、苦情については、必要に応じてグローバル人事担当副社長宛てにご連絡いただくことも可能です。グローバル人事担当副社長は、当該のご要望、ご質問、苦情に関連するスーペリア・エセックス・グループ各社の指定プライバシー担当役員と協議を行う場合があります。
XIII. 関連する方針、基準、指針および参考資料
関連する方針、基準、ガイドライン、および参考資料については、イントラネットを通じて公開いたします。
第14条 本規約の違反
本ポリシーの違反により、個人データの不正使用または開示が生じた場合、解雇を含む懲戒処分が科されることがあります。さらに、当該個人は民事上、契約上、または刑事上の責任を問われる可能性があります。
XV. 本ポリシーの変更
当社は、法令、当社の慣行や手続きの変更、あるいは監督当局による要件の変更を反映させるため、必要に応じて本ポリシーを変更する権利を留保いたします。
第16章 倫理規定
