GDPRコンプライアンス原則

Eesti Firma（法人名：Eesti Firma OÜ、登録番号：14164797、登録住所：Vesivärava 50-301, 10152 Tallinn, Estonia）では、お客様の個人データの保護を最優先事項としています。エストニアで認可された信託・会社サービスプロバイダーとして、当社は一般データ保護規則（EU）2016/679（GDPR）およびエストニア個人データ保護法（Isikuandmete kaitse seadus）に完全に準拠して個人データを処理します。当社のプライバシー保護への取り組みは、GDPR第5条に定められたデータ処理原則に基づいています。

これらの原則は、お客様のデータ処理に関する当社のあらゆる判断を導き、社内手続きの基盤となるものです。以下では、各原則、その実務上の適用方法、データ主体としてお客様が有する権利、および管轄監督機関への連絡方法について説明します。個別のデータ処理業務および保護措置に関する詳細は、当社のプライバシーポリシーに記載されています。

適法性、公正性、透明性

当社は、GDPR第5条第1項(a)の定めに従い、お客様との関係において個人データを適法、公正かつ透明な方法で処理します。これは、あらゆるデータ処理を適法な根拠に基づき、データ主体であるお客様に対して誠実かつ開かれた方法で実施することを意味します。この原則に基づき、当社は以下の方針を遵守します。

• 適法性：当社は、GDPR第6条に基づく明確かつ適法な根拠がある場合に限り、お客様の個人データを収集・利用します。当社が依拠する法的根拠には、お客様の十分な説明に基づく同意（必要な場合）、契約上の義務の履行、法的要件（マネーロンダリング防止およびKYC義務など）の遵守、またはお客様の権利に優先しない当社の正当な事業上の利益が含まれます。お客様のデータを処理する法的根拠については、常にお知らせします。
• 公正性：当社は、データ処理の公正性を確保します。これは、欺瞞的な方法でデータを収集せず、お客様の不利益となるように利用しないことを意味します。当社は、情報を収集する目的やその利用方法について、お客様を誤解させることはありません。また、お客様の利益と権利を考慮し、たとえば利用規約にかかわらず、データへのアクセス権などの権利を差別なく行使できることを保証します。データ処理は、お客様のプライバシーに不当な損害を与えないよう実施されます。
• 透明性：当社は、お客様のデータを利用する理由と方法について、開かれた明確な方法でお伝えします。処理に関するすべての情報は、過度に難解な法律用語を避け、平易な言葉で提供します。当社のプライバシーポリシーその他の通知は常に容易にアクセスできるため、当社がどのようなデータを、どのような根拠と目的で収集しているかをいつでも確認できます。必要に応じて、重要事項を強調し、追加リンクやツールチップを通じて詳細を提供する多層的な情報提供方法を採用します。当社は情報を定期的に更新して最新の状態に保ち、重要な変更があった場合にはお知らせします。この透明性により、お客様はご自身の個人データがどのように処理されているかを正確に把握できます。

目的の限定

GDPR第5条第1項(b)に従い、当社は、事前にお客様へ通知した特定の、あらかじめ定められた適法な目的のためにのみ、個人データを収集・利用します。これは、お客様のデータが収集時の目的に限って利用されることを意味します。当社は、当初の目的と相容れない新たな方法で個人情報を利用しません。たとえば、当社サービスに関する最新情報を受け取るためにお客様がメールアドレスを提供した場合、お客様への通知および同意なしに、それを広告目的で提携先と共有することはありません。

すべての処理目的は明確に文書化されており、当社の内部記録および公開文書（プライバシーポリシーなど）には、特定のデータを収集する理由が記載されています。当初の目的と一致しない新たな目的でデータを利用する必要が生じた場合、当社は事前にお客様から別途同意を取得するか、その他の適法な処理根拠を確保します。したがって、お客様の個人データが予期せぬ方法で、または当初明示した目的を超えて利用されることはありません。

データの最小化

当社はデータ最小化の原則（GDPR第5条第1項(c)）を遵守し、明示した処理目的に真に必要な個人情報のみを収集します。実務上、この原則は以下のように適用されます。

• 当社は、ご依頼のサービスを提供するため、または契約を履行するために必要な最小限のデータのみを求めます。当社ウェブサイトのフォームやアンケートは、不要な情報を収集しないよう設計されています。たとえば、ウェビナーへの登録に氏名とメールアドレスのみが必要な場合、無関係な追加データを求めることはありません。
• 「余分なものは収集しない」という原則は、お客様のプライバシーに対するリスクの軽減に役立ちます。保存・処理するデータが少ないほど、漏えいや不正アクセスが発生する可能性も低くなります。当社は「念のため」に情報を収集し、将来役立つかもしれないデータを蓄積することはありません。すべての情報提供依頼は、具体的な必要性に基づいて慎重に正当化されます。
• また、当社は収集するデータを定期的に見直し、不可欠でない項目や情報提供依頼を削除します。これにより、あらゆるやり取りにおいて、明示した目的を達成するために真に必要な情報のみを求めることを確保します。

正確性

個人データを正確かつ最新の状態に保つこと（GDPR第5条第1項(d)）も、当社が遵守する重要な原則です。お客様に関して当社が保有する情報が正確、完全かつ最新であることは、当社サービスの品質とお客様からの信頼に影響するため、その確保にあらゆる合理的な努力を払います。正確性を確保するため、当社は以下の措置を講じます。

• 定期的な更新：お客様の個人データが変更された場合（たとえば、電話番号や住所を更新した場合）、当社はその変更を速やかにシステムへ反映します。古い情報や誤った情報に基づいて判断が行われることを防ぐよう努めます。
• 誤りの訂正：お客様の情報に誤りがある、または情報が古くなっていることが判明した場合は、いつでも当社へご連絡ください。当社は速やかに誤りを訂正します。また、お客様はGDPR第16条に基づき、不正確なデータの訂正を求める権利を有します。当社はこの権利を全面的に尊重し、不正確な情報を便利な方法で当社へ通知できるようにしています。
• 重要データの検証：データの正確性が特に重要な場合（金融取引や法的に重要なサービスの提供など）、当社は情報を検証・確認するための追加措置を講じることがあります。これには、裏付けとなる書類の提出依頼や、お客様とのデータの照合が含まれる場合があります。これらの措置により、当社のデータベースには正確な情報のみが保存されるよう確保します。
• 不正確なデータの削除：GDPRの要件により、訂正できない不正確または不完全なデータは、不当な遅滞なく削除しなければなりません。当社はこの規則を遵守します。処理目的との関係で情報が不正確であり、訂正もできないことが判明した場合、起こり得る悪影響を防ぐため、速やかに削除します。

正確性を維持するには、お客様のご協力も不可欠です。個人データに変更があった場合、または訂正が必要な場合は、当社へお知らせください。正確なデータは、効果的なサービス提供とお客様の権利保護に不可欠であるため、積極的なご連絡に感謝いたします。

保存期間の制限

当社は、個人データを収集目的の達成に必要な期間を超えて保存しません。この保存期間制限の原則（GDPR第5条第1項(e)）により、データの各区分には保存期間が定められ、その期間の経過後に情報は安全に削除または匿名化されます。当社は、以下の方法でこれを確保します。

• 明確に定められた保存期間：当社は、処理目的、当社の法的・契約上の義務、および適用される法的要件を考慮して、各種個人データに合理的な保存期間を設定します。たとえば、取引・会計データはエストニアの税法および会計法が定める期間（通常7年間）保存する一方、1回限りのお問い合わせのために収集したデータは、より短い期間のみ保存します。すべての保存期間は当社の内部方針に記載されており、当社はこれを厳守します。
• 定期的な見直し：当社は、データ保存方針が常に最新の状態に保たれるよう、定期的に見直します。業務プロセスの変更や法令の改正があった場合は、それに応じてデータの保存期間を調整します。このような監査は、不要になった個人データの特定に役立ちます。当社は、利用されていないデータや古くなったデータを検出するために見直しを行い、適法な目的のために必要でない場合は削除します。
• 安全な削除：保存期間の満了時（またはデータが不要になった場合はそれ以前）に、当社は復元または個人の特定が不可能な方法で個人データを削除します。技術的制約により即時削除ができない場合は、まずデータを匿名化（お客様の身元情報から分離）し、可能になった時点で削除することがあります。また、定められた保存期間を超えてデータを保持するのは、法律で認められている場合に限ります。たとえば、GDPR第89条第1項に基づき、公共の利益のためのアーカイブ目的、または科学・統計目的でデータを保存する場合です。このような場合にも、当社は適切な機密保持措置を確保します。

個人データの保存期間を最小限に抑えることで、時間の経過に伴うデータの悪用や漏えいのリスクを軽減します。当社は、お客様のデータを必要以上に長く保持せず、定められた期間を厳格に遵守します。

完全性および機密性

当社は、お客様の個人データの完全性および機密性を確保し（GDPR第5条第1項(f)）、不正アクセス、改変、開示または破壊から保護するため、あらゆる措置を講じます。このデータセキュリティの原則は、技術的手段と組織的手段の両方を通じて包括的に実施されます。当社は、以下の方法でお客様のデータを保護します。

• 最新のセキュリティ技術：当社は、データの暗号化、ファイアウォール、ウイルス対策ソリューション、侵入検知システム、その他のサイバーセキュリティツールなど、個人情報を保護するための適切な技術的セキュリティ措置を講じます。これらの措置は、処理するデータの性質と量、および潜在的リスクに応じたものです。たとえば、機微なデータは暗号化して保存される場合があり、個人データを含むシステムへのアクセスは、権限を付与された者に厳しく限定されます。当社は定期的にリスクを評価し、新たな脅威に対抗するためセキュリティ措置を更新します。当社のITインフラストラクチャは脆弱性の有無を監視され、インシデントを防ぐため、更新プログラムやパッチを速やかに適用します。
• 組織的措置およびアクセス制御：当社は、技術的対策に加えて、データの取扱いに関する厳格な組織規則を導入しています。お客様の個人データへのアクセスは、職務の遂行に必要な従業員または権限を付与された者だけに限定されます（「最小権限」の原則）。各従業員は自身の権限の範囲内で行動し、データセキュリティ要件に関する研修を受けます。当社は、情報にアクセスする可能性のあるすべての従業員および外部委託先と秘密保持契約（NDA）を締結し、機密保持を法的に義務付けます。また、従業員が最新の脅威およびその防止策を認識できるよう、データ保護のベストプラクティスに関する定期的な研修や説明会を実施します。
• インシデント対応および監視：当社は、セキュリティインシデントへ対応するための社内手続きを整備しています。万一個人データ漏えいが発生した場合には、脆弱性の即時是正から、72時間以内の監督機関への通知、およびGDPR第33条・第34条により必要とされる場合の影響を受けるデータ主体への通知まで、対応計画に従います。当社はすべての個人データインシデントを記録し、再発防止のためにその原因を分析します。さらに、セキュリティシステムを定期的に監査し、内部・外部監査、侵入テスト、その他の評価を実施することで、当社のセキュリティ基準が堅牢かつ最新に保たれるよう確保します。

この原則を遵守することで、お客様の個人データが高水準のセキュリティの下で保存・処理されるよう確保します。データの完全性は、システム内の情報が変更されず正確に保たれることを保証し、機密性は、権限のない者が情報へアクセスできないことを保証します。これらの措置を組み合わせることで、高い水準の信頼性とセキュリティを維持しています。

説明責任

Eesti Firma OÜは、GDPR原則を遵守する責任を全面的に認識し、その遵守を証明することができます。説明責任の原則（GDPR第5条第2項）とは、単に規則を遵守するだけでなく、遵守していることを実務上かつ文書によって証明できることを意味します。当社では、以下の方法で説明責任を果たしています。

• 組み込まれたコンプライアンス：当社は、GDPRの要件をすべての業務プロセスに組み込んでいます。個人データを取り扱うすべての従業員がデータ保護原則を理解し、遵守しています。当社は、データの収集、利用、移転および保存を規律する明確な方針とガイドラインを整備し、これらの文書を従業員へ周知しています。GDPR原則は当社の企業文化に根付いており、あらゆる階層で一貫して高水準のデータ管理を確保しています。
• データ保護責任者の任命：説明責任への取り組みの一環として、当社はデータ保護責任者（DPO）にIlja Nikiforovを任命しています。連絡先は以下に記載されています。DPOは社内におけるGDPR遵守状況を監視し、プライバシーに関して従業員へ助言するとともに、お客様および監督機関の連絡窓口を務めます。専任のDPOを置くことは、当社がデータ保護に真摯に取り組んでいることの表れです。
• 内部監査およびリスク評価：当社は、当社の業務慣行がGDPRの要件に準拠していることを確保するため、定期的に内部監査を実施し、必要に応じて外部監査人も起用します。セキュリティおよびプライバシーに対する潜在的リスクを分析し、監査結果に基づいて是正措置を講じます。ある種類の処理が個人に高いリスクをもたらす可能性がある場合、当社はGDPR第35条に従ってデータ保護影響評価（DPIA）を実施します。この継続的な監視・改善のアプローチにより、データ保護措置を最新の状態に保ち、変化へ迅速に適応できます。
• 研修および意識向上：当社は、データ保護に関する従業員教育へ投資しています。すべての従業員が業界の最新動向や要件を把握できるよう、研修、ニュースレター、知識評価を定期的に実施します。データセキュリティは個々人の行動に大きく左右されるため、全員が自身の役割と責任を理解する企業文化を育んでいます。
• 報告への備え：当社は、お客様および監督機関に対し、いつでもGDPRへの準拠を証明できるよう備えています。当社の透明性はこの領域にも及びます。お客様はご自身のデータに関する情報を請求でき、当社は必要な詳細をすべて提供します。同様に、監督機関による監査が行われる場合にも、当社の説明責任を証明する文書およびプロセスを整備しています。当社は、お客様の信頼が当社の説明責任に直接左右されることを認識しており、この原則を事業運営の礎としています。

データ主体としてのお客様の権利

GDPRは、お客様の個人データに関するさまざまな権利を認めています。当社はこれらの権利を尊重し、お客様が容易に行使できる方法を提供します。GDPRに定められた条件および例外に従い、お客様は以下の権利を有します。

• 情報提供を受ける権利（第13条～第14条）：お客様の個人データがどのように、またなぜ処理されるかについて、明確な情報を受け取る権利。
• アクセス権（第15条）：当社がお客様のデータを処理しているかどうかの確認を得て、その写しを受け取る権利。
• 訂正権（第16条）：不正確または不完全な個人データの訂正を求める権利。
• 消去権／「忘れられる権利」（第17条）：データを保持すべき優先的な適法根拠がない場合に、その削除を求める権利。
• 処理制限権（第18条）：一定の状況において、当社によるお客様のデータの利用を制限する権利。
• データポータビリティの権利（第20条）：お客様が提供したデータを、構造化され、一般的に使用される機械可読形式で受け取り、技術的に可能な場合には移転させる権利。
• 異議申立権（第21条）：当社の正当な利益に基づく処理へ異議を申し立てる権利、およびダイレクトマーケティングへいつでも異議を申し立てる権利。
• 自動化された意思決定に関する権利（第22条）：法的効果または同様に重大な効果を生じさせる、完全に自動化された処理のみに基づく決定の対象とされない権利。
• 同意を撤回する権利（第7条第3項）：処理が同意に基づく場合、撤回前に行われた処理の適法性に影響を与えることなく、いつでも同意を撤回する権利。
• 苦情を申し立てる権利（第77条）：管轄監督機関（下記のセクションを参照）へ連絡する権利。

これらの権利を行使するには、「連絡先情報」セクションに記載された連絡先までお問い合わせください。当社は、GDPRの定めに従って1か月以内に回答します。複雑な請求または多数の請求については、この期間をさらに最長2か月延長する場合があり、その際は理由をお知らせします。明らかに根拠がない、または過度な請求でない限り、請求への対応は無料です。請求に対応する前に、お客様の本人確認が必要となる場合があります。

監督機関および苦情を申し立てる権利

当社がデータ保護法に違反してお客様の個人データを処理したとお考えの場合は、懸念事項へ直接対応できるよう、まず当社へご連絡いただくことをお勧めします。また、お客様はGDPR第77条に基づき、管轄監督機関へ苦情を申し立てる権利も有します。エストニアでは、データ保護監督局（Andmekaitse Inspektsioon）がこれに該当します。

• 機関名：エストニアデータ保護監督局（Andmekaitse Inspektsioon）
• 住所：Tatari 39, 10134 Tallinn, Estonia
• メール：info@aki.ee
• 電話：+372 627 4135（相談窓口：+372 5620 2341、月～木 13:00～16:00）
• ウェブサイト：www.aki.ee

お客様が他のEU/EEA加盟国に居住または勤務している場合は、その国の監督機関へ苦情を申し立てることもできます。

結論

お客様のプライバシーを保護し、信頼を維持するという当社の基本的な姿勢により、GDPRコンプライアンスは単なる形式ではなく、日々の業務に不可欠な要素となっています。上記のすべての原則、すなわち適法性、公正性、透明性、目的の限定、データの最小化、正確性、保存期間の制限、完全性・機密性、および説明責任を遵守することで、お客様の個人データが可能な限り適正かつ安全な方法で処理されることを確保します。当社はお客様の信頼を大切にしているため、法的要件を超える取り組みを行っています。

GDPRの趣旨に従い、当社はデータ保護の実務を継続的に強化し、規制要件の変更へ迅速に対応しています。お客様の個人情報は安全に管理されており、当社は今後もその状態を維持するため継続的に取り組みます。

更新および法的情報

当社は、データ処理の実務、法令または規制要件の変更を反映するため、本書を定期的に更新または変更する権利を留保します。すべての更新はこのページで公開され、最終改訂日もそれに応じて更新されます。当社のGDPRコンプライアンス原則の現行版を把握するため、このページを定期的に確認することをお勧めします。

連絡先情報

個人データの保護または当社によるお客様の情報の処理方法に関するご質問、ご意見、ご請求がございましたら、当社までお問い合わせください。当社はいつでもお手伝いできるよう努めており、皆様からのご意見を歓迎いたします。

• 会社：Eesti Firma OÜ
• 登録コード：14164797
• VAT番号（KMKR）：EE102081480
• 事業ライセンス（TCSP）：FIU000144
• データ保護責任者（DPO）：Ilja Nikiforov
• メール：info@eestifirma.ee
• 電話：+372 641 7777
• 住所：Vesivärava 50-301, 10152 Tallinn, Estonia

当社は、すべてのお問い合わせに迅速かつ包括的に回答するよう努めます。お客様のデータに関する情報または権利の行使を請求された場合、GDPRに定められた期間内（通常は1か月以内）に回答します。データ保護をEesti Firma OÜへお任せいただき、ありがとうございます。当社も、その信頼に応えるために可能な限りの取り組みを行います。