EU一般データ保護規則におけるプライバシーポリシー

※以下は、英語の原文＜GDPR Privacy Policy＞を参考のために日本語訳したものであり、英語の原文と日本語訳の間に相違がある場合は、英語の原文が優先します。

1. 全般

東レACS株式会社（以下、「当社」、「弊社」、「当社の」または「東レ」という）は、お客様のプライバシーを重視し、データの管理に真剣に取り組んでいます。当社のEU一般データ保護規則におけるプライバシーポリシー（GDPRプライバシーポリシー）をご覧いただき、当社が下記に該当するお客様の「個人データ」を収集する理由およびその「取り扱い」方法についてご理解いただけますようお願いいたします。

• 当社ウェブサイトhttps://www.toray-acs.co.jp/en/を訪問したお客様（特にセクション3.1を参照）
• 潜在的なお客様である場合（特にセクション3.2を参照）
• 当社の製品あるいはサービスを購入したお客様（特にセクション3.3を参照）

2. 定義

特に明示されていない限り、本GDPRプライバシーポリシーで使用されている「　」で囲まれた語は、附属書1に定義されています。ほとんどの定義はここからアクセスできる「EU一般データ保護規則（GDPR）」に準拠しています。

3. お客様の「個人データ」の取り扱い方法

当社は、お客様が当社のウェブサイトを訪問したとき、当社の製品およびサービスに関心を示したとき、当社のビジネスパートナーであるとき、あるいは当社の求人に応募したときに、場合に応じたさまざまな方法でお客様のデータを取り扱います。

3.1. 当社ウェブサイトを訪問したお客様の「個人データ」の「取り扱い」

目的と法的根拠

他の多くのウェブサイトと同様、当社は「クッキー」と呼ばれるものを使用しています。クッキーとは、当社のウェブサイトを訪問した際にお客様のデバイス（ノートパソコン、タブレット、スマートフォンなど）に保存される小さなテキストファイルです。お客様が当社によるクッキーの使用に同意した場合、当社はウェブサイトの利用改善、ウェブサイトの分析、またはウェブサイト上での広告表示のためにクッキーを使用します。同意はいつでも撤回できます。

さらに当社は、ウェブサイトの機能とセキュリティのための必要性に応じてお客様の「個人データ」を取り扱い、これにより詐欺を防止し、潜在的なセキュリティ脅威を検出して軽減することが可能となります。この「取り扱い」は、当社の「正当利益」に基づくものです。

「取り扱い」対象の「個人データ」

当社が主に取り扱うのは、お客様から提供された「個人データ」です。

収集する情報:
インターネット情報

• IP アドレス
• デバイス情報（ID、ブラウザプラグインのタイプ）

取得者

当社が上記の「個人データ」を「取得者」に開示することはありません。

保存期間

当社はお客様の「個人データ」を、最初に収集された目的を達成するために必要な期間保存します。例えば、クッキーのように「取り扱い」への同意がある場合は、その同意が撤回されるまで保存します。

要約

目的	法的根拠
ウェブサイトの提供	「正当利益」
ITおよびネットワークのセキュリティ確保	「正当利益」

3.2. 潜在的なお客様に関する「個人データ」の取り扱い

目的と法的根拠

お客様から製品やサービスについてのお問い合わせを受けたとき、当社はお問い合わせのメッセージやウェブサイトの問い合わせフォーム、電子メール、電話で収集された「個人データ」の処理を行い、購入前にお問い合わせに回答します。この「取り扱い」は当社とお客様が契約を締結する前のお客様の要請に基づく処理のために必要なものであり、その法的根拠は「契約履行」です。

またお客様からの問い合わせの一部としてお客様が提供したデータについて、当社は、同様または類似のサービスを含めた当社サービスに関する情報提供のためのダイレクトマーケティングに使用する「正当利益」を有しています。また、お客様が当社電子メールマガジンに配信登録した場合にもお客様のデータの「取り扱い」を行います。お客様はいつでも、理由を述べることなく、ダイレクトマーケティングの目的での「個人データ」の処理に異議を申し立てることができ、その場合は当社に手紙を送付するか、または[gen-contact.acs.mb@mail.toray]に電子メールを送信できます。ダイレクトマーケティングの目的でのお客様の「個人データ」の「取り扱い」は、契約関係の実施に不可欠ではありません。

「取り扱い」対象の「個人データ」

当社は主として、お客様が問い合わせの一部として提供した「個人データ」および、当社の製品やサービスの購入契約を締結する前の検討時に提供された「個人データ」を取り扱います。

収集する情報:
識別子

• 氏名
• 電子メールアドレス
• 電話番号
• 生年月日
• 問い合わせの内容

職業あるいは雇用に関する情報

• 会社名
• 役職

取得者

上記の目的を達成するため、特定の場合には、下記の「取得者」にお客様の「個人データ」を開示する必要が生じることがあります。これには、上記サービスの提供にあたって当社とお客様の関係の管理を当社が委託している企業への「個人データ」の移転が含まれます。
「個人データ」は、下記に対して、移転、伝達、提供または他の手段によって開示されます。

	取得者	データ位置	第三国への移転根拠
1	マーケティングプロバイダー	日本	十分性認定

保存期間

契約履行に関連する目的で収集された「個人データ」は、当該契約の履行が完了するまで保存されます。

お客様が取り扱いに同意している限り、かつその同意が撤回されない限り、当社が「個人データ」を長期間保存することが認められます。また、法的義務の履行または当局の命令により、「個人データ」を長期間保存することが義務付けられる場合もあります。

要約

目的	法的根拠	取得者
問い合わせへの回答	契約履行	-
ダイレクトマーケティング	「正当利益」	1
ダイレクトマーケティング	同意	1

3.3. 当社の製品またはサービスの購入に関連する「個人データ」の「取り扱い」

目的と法的根拠

お客様が当社の製品あるいはサービスを購入する際に、当社はお客様の「個人データ」を取り扱います。データ「取り扱い」の主な目的は、お客様とACSの間の契約を履行し、お客様が要求した製品やサービスを提供できるようにすることです。さらに、税務報告などの法的義務を遵守するために、「個人データ」を取り扱う場合があります。

さらに、ダイレクトマーケティングの一環として、お客様の連絡先情報を使用して当社の製品やサービスに関する情報を送付することがあります。お客様が製品に関心を示しあるいは購入した場合には、お客様の電子メールアドレスが商業的なまたは宣伝的な性質の情報を含む電子メールの受信者リストに追加されることがあります。

ダイレクトマーケティングに関連する「取り扱い」は、「正当利益」を根拠とします。お客様はいつでも、理由を述べることなく、ダイレクトマーケティングの目的での「個人データ」の処理に異議を申し立てることができ、その場合は当社に手紙を送付するか、または [gen-contact.acs.mb@mail.toray]に電子メールを送信できます。ダイレクトマーケティングの目的でのお客様の「個人データ」の「取り扱い」は、契約関係の実施に不可欠ではありません。

「取り扱い」対象の「個人データ」

当社は主としてお客様が提供した情報を取り扱うことができます。

収集する情報:
識別子

• 氏名
• 電子メールアドレス
• 電話番号
• 住所
• 請求先住所
• 支払データ、アカウント情報
• 問い合わせの内容と履歴
• 契約情報
• 購入した製品およびサービスに関する情報

職業あるいは雇用に関する情報

• 会社名
• 会社住所
• 会社での役職

取得者

上記の目的を達成するため、特定の場合には、下記の「取得者」にお客様の「個人データ」を開示する必要が生じることがあります。「個人データ」は、下記に対して、移転、伝達、提供または他の手段によって開示されます。

	取得者	データ位置	第三国への移転根拠
1	マーケティングプロバイダー	日本	十分性認定
2	管理プラットフォームプロバイダー	日本	十分性認定
3	政府および法執行機関	日本	十分性認定

保存期間

税務上必要なすべてのデータ、特に契約書、請求書、およびその他の会計文書ならびに契約関係に関する連絡文書については、法的義務または当局の命令により義務付けられた期間保存されます。

また、お客様が取り扱い（マーケティング目的など）に同意している限り、かつその同意が撤回されない限り、当社が「個人データ」を保存することが認められます。

要約

目的	法的根拠	取得者
カスタマーサービス	契約履行	2
連絡	契約履行	-
販売	契約履行	2
債権回収	契約履行	-
請求	契約履行	-
会計	法的義務	-
納税	法的義務	3
監査／コンプライアンス	法的義務	-
ダイレクトマーケティング	正当利益	1
ダイレクトマーケティング	同意	1

4. データセキュリティ

当社は、データ保護規則によって許可されている場合にのみ、「個人データ」を取り扱います。適用されるデータ保護関連法令に従い、「個人データ」を無断アクセス、開示、改ざん、紛失または破壊から保護するため様々な技術的および組織的対策を講じています。

データを取り扱う際、当社の従業員はGDPRの規定を遵守する義務を負っています。

5. 個人データの取り扱いに関するお客様の権利

GDPRおよびその他の適用されるデータ保護関連法令は、「データ主体」の特定の権利を保護しています。特に以下のものがあります。

アクセスの権利

－自己の「個人データ」のいずれについて取り扱いが行われているかおよびその情報に関して確認する権利。例えば、取り扱いの目的、保存期間など。

消去の権利（「忘れられる権利」）

－適切な保存根拠がない限り、自己の個人データを消去する権利。たとえば、法的義務を遵守するためあるいは訴訟係属中進行中であるためにデータを保存しなければならない場合など。

データポータビリティの権利

－自己が提供した「個人データ」を、現在使用されているデジタル形式で受け取る権利、または技術的に可能な場合に限り、「個人データ」の新しい責任者となった事業体に直接移転するよう要求する権利。

訂正権

－不正確な個人データの修正を要求する権利あるいは「個人データ」の制限（住所、VAT、電子メール、電話連絡先など）を要求する権利。

異議を申し立てる権利およびADM

－プロファイリングを含む「個人データ」の「取り扱い」が完全に自動化されており（人間の介入なしで）、自己の法的関係に効果を与えるかまたは重大な影響を及ぼすときには、法律に別段の定めがある場合を除き、かかる自動的な「取り扱い」による意思決定を受けない権利を有するほか、自己の権利および自由ならびに正当な利益の保障のための適切な措置を受ける権利を有します。これには、当社による意思決定において人間の介入を受ける権利、自己の意見を表明する権利、および自動化された個人情報の「取り扱い」の根拠となった決定に異議を申し立てる権利が含まれます。

同意を撤回する権利あるいは異議を申し立てる権利

－訴訟での権利防御など、自己の利益、権利および自由より優先される正当利益がない場合には、マーケティング目的の「取り扱い」などの「取り扱い」に対していつでも異議を申し立てあるいは同意を撤回することができる権利。

制限する権利

－以下の形式で「個人データ」の「取り扱い」の制限を要求する権利。 (i) 「取り扱い」の一時停止または (ii) 特定のカテゴリーの「個人データ」の「取り扱い」の範囲の制限あるいは「取り扱い」の目的の制限

苦情を申し立てる権利

－当社に対してだけでなく、監督当局に対して苦情を申し立てる権利

申立については、特に複雑なものでない限り、30日以内に回答します。

保存期間が満了した「個人データ」は削除されます。したがって、保存期間が満了した後は、アクセス権、消去権、訂正権、およびデータポータビリティ権は行使できません。

6. 未成年者に関するデータの取り扱い

当社のサービスは未成年者は対象外であり、未成年者による利用は許可されていません。

7. 当社のデータ保護規則の変更

当社は、このGDPRプライバシーポリシーが現行の法的要件に適合するように改訂し、あるいは新しいサービスを導入する際などにGDPRプライバシーポリシーを変更する権利を留保します。その場合、以後の当社ウェブサイトへの訪問には改訂後のGDPRプライバシーポリシーが適用されます。

自己の「個人データ」の取り扱いに関する質問は [gen-contact.acs.mb@mail.toray] に電子メールで問い合わせるか、〒105-0001 東京都港区虎ノ門1-1-3 磯村ビル4F、東レACS株式会社 に文書で問い合わせしてください。

8. 連絡先情報

8.1. 全般

このGDPRプライバシーポリシーに関する質問、コメント、「個人データ」の収集および使用方法、「個人データ」の使用に関する選択や権利については下記に気軽に問い合わせることができます。

8.2. 代理人

当社はお客様のプライバシーとデータ主体としての権利を重視しており、下記の地域における当社のプライバシー関係代理人および連絡先にPrighterグループとその現地パートナーを任命しています。

• 欧州連合(EU)
• イギリス(UK)

Prighterは、プライバシーに関する権利（例：個人データへのアクセスや削除の要求）を行使するための簡単な方法を提供します。当社代理人であるPrighterを通じての連絡を希望する場合あるいはデータ主体としての権利を行使したい場合は、下記のウェブサイトを利用してください。

最終改訂日: 2024年9月13日

ADM	自動化された意思決定(Automated Decision-Making)
データ主体の同意	具体的な情報を自由に与えられた上でのデータ主体の意思を明確に示すものであり、データ主体が陳述または明確な肯定的行動によって、自己に関する個人データの処理に同意することを意味する。
契約履行	データ主体の要求に基づいて契約関係に入る前に行われる取り扱い活動を含め、管理者とデータ主体との間での契約の締結、維持および完了を意味する。
管理者	単独でまたは他者と共同で個人データの取り扱いの目的および手段を決定する自然人または法人、公的機関、代理人その他の者を意味する。かかる取り扱いの目的および手段が欧州連合または加盟国の法律によって決定される場合、管理者またはその指名に関する具体的基準が欧州連合または加盟国の法律によって定められることがある。
データ主体	その個人データの収集、保存、または取り扱いがされている自然人を指す。データ主体の例としては、個人、顧客、見込み客、従業員、連絡担当者などがある。
ダイレクトマーケティング	マーケティングまたは広告メッセージを伝えるために取り扱われる個人データを意味する。この定義には、商業組織、慈善団体、政治組織からのメッセージが含まれる。
一般データ保護規則(GDPR:(General Data Protection Regulation)	EUのデータ保護およびプライバシーに関する規則であり、欧州連合 (EU) および欧州経済領域 (EEA) に適用される。自然人である個人データの取り扱いおよびデータの自由な移動に関し指令 95/46/ECを廃止する2016年4月27日付の欧州議会および理事会の規則 (EU) 2016/679（一般データ保護規則）で定められている。https://eur-lex.europa.eu/eli/reg/2016/679/oj
正当利益	管理者が個人データを取り扱って管理者のビジネス活動に関連する業務を遂行する利益を意味する。この文脈での個人データの取り扱いは、必ずしも法的義務によって正当化される必要はなく、またデータ主体との契約の条件を履行するために行われる必要もない。
個人データ	識別されたまたは識別可能な自然人（「データ主体」）に関する情報を意味する。識別可能な自然人とは、名前、識別番号、位置データ、オンライン識別子、または当該自然人の物理的、生理学的、遺伝的、精神的、経済的、文化的、社会的なアイデンティティに固有の1つまたは複数の要素を参照することによって直接または間接的に識別される者を指す。
取り扱い	個人データまたは個人データのセットに対して、自動化された手段によるかどうかにかかわらず、実行される操作または操作のセットを意味し、収集、記録、整理、構造化、保存、適用または変更、検索、協議、使用、伝達による開示、普及またはその他の形での利用可能化、整列または組み合わせ、制限、消去または破壊が含まれる。
処理者	管理者のために個人データの取り扱いを行う自然人または法人、公的機関、代理人またはその他の者を意味する。
取得者	個人データが開示される相手先の自然人または法人、公的機関、代理人またはその他の者を意味し、第三者かどうかは問わない。ただし、欧州連合または加盟国の法律による特定の調査の枠組み内で個人データを取得することができる公的機関は取得者とはみなされない。かかる公的機関による個人データの取り扱いは、取り扱いの目的に従って適用されるデータ保護規則に従わなければならない。