最終更新日: 16 May 2018.
GroupDocs と GDPR
2018年5月25日、欧州連合は一般データ保護規則（GDPR）の施行を開始しました。これは、欧州の個人から収集・処理されるデータに関して、企業の取り扱い方に影響を与えます。GroupDocs はオーストラリアの企業で欧州に拠点を持ちませんが、ユーザーや顧客の権利、そして所在地に関わらず個人データを尊重しています。そのため、すべてのシステムとプロセスでこの規則に準拠できるよう取り組んでいます。
本ページでは、GDPR が定義する役割、各当事者の責任、そして当社がこれらの推奨事項を支援するために実施している取り組みの概要を示します。
GroupDocs がデータ処理者として
当社のサービスをご利用いただく際、クラウド API プラットフォームを通じてファイルをアップロードしたり、サポートチームにデバッグやサポート用のファイルを送信したりすることがあります。製品・サービスの性質上、これらのファイルにはお客様やお客様のクライアントに関する情報が含まれることがあります。EULA の機密保持条項に加えて、利用規約およびプライバシーポリシーの今後の更新により、これらの権利がさらに明確化されます。
これらはお客様のデータ主体であり、当該個人データに対してお客様はデータ管理者（コントローラ）とみなされます。当社の利用規約およびプライバシーポリシーでは、このデータを「クライアント データ」と呼んでいます。
GroupDocs のサービスを利用してクライアント データを処理することは、GroupDocs をデータ処理者として委託し、代わりに特定のデータ処理活動を実施してもらうことを意味します。GDPR 第28条は、管理者と処理者の関係を文書で（第9項に基づき電子形式でも可）定める必要があると規定しています。当社の利用規約およびプライバシーポリシーは、データ処理契約として機能し、管理者であるお客様が指示する個人データの処理方法と、両者の権利・責任を定めています。GroupDocs は、データ管理者であるお客様の指示に基づいてのみクライアント データを処理します。
データ転送
データ処理者が欧州経済領域（EEA）外へデータを転送する場合、GDPR はデータ保護の範囲外への移転に対して厳格な要件を課します。
GroupDocs は欧州に拠点を持たないオーストラリア企業であるため、データ管理者はオーストラリア（EEA 外）に拠点を置く当社へデータを転送するかどうかを単独で判断します。当社の技術基盤は米国にあります。サブプロセッサーを利用する場合は、各段階で転送の法的側面を慎重に検討します。
利用規約にはサブプロセッサーの最新リストを掲載し、転送先と利用するプロセッサーについて完全に透明性を保ちます。転送するデータと目的を明示し、EU‑US プライバシーシールド認証を受けた、または EU 委員会の標準契約条項に署名したサブプロセッサーのみと取引します。
この点についてご質問がある場合は、privacy@aspose.com までお問い合わせください。
GroupDocs がデータ管理者として
GroupDocs は、ウェブアプリやウェブサイトの利用者、製品・サービスの購入者であるお客様に関する個人データの管理者として機能します。
第二に、法的義務（GDPR 第6条(1)(c)）を履行するためにデータを処理します。主に財務データや、コンプライアンス上必要な情報が対象です。
第三に、GDPR 第6条(1)(f) に基づく正当な利益のために個人データを処理します。
「正当な利益」とは何ですか？
- お客様にとって有益な形で製品・サービスを改善すること。
- お客様のデータと GroupDocs のシステムが信頼でき、安全であることを確保すること。
- 製品・サービスおよび機能の責任あるマーケティングを行うこと。
- お客様（顧客）との契約を履行できるようにすること。
データ管理者として、GroupDocs は GDPR に基づくお客様の権利を尊重することを約束します。ご質問がある場合は、データ保護責任者（DPO）まで dpo@aspose.com にご連絡ください。
GroupDocs が GDPR に取り組む内容
GroupDocs は顧客とそのクライアントのプライバシーを尊重します。そのため、個人データの適切な処理を保証する技術的・組織的対策を実施し、継続的に改善しています。
内部プロセス、セキュリティ、データ転送
内部プロセスと業務を見直し、システムを流れるデータをマッピング・監査できるようにしました。すべての主要な顧客向けシステムに「プライバシー・バイ・デザイン」の原則に対応する機能を実装しています。クライアント データへのアクセスは、必ず顧客の許可を得た上で行われ、契約範囲内に限定されます。
内部手順とログにより、GDPR の説明責任要件を満たすことが確認されています。
新しいサードパーティサービスの導入は稀ですが、導入時にはセキュリティとプライバシーの観点から内部評価プロセスを実施します。可能な限り自社の技術・インフラを使用し、サブプロセッサーの数は最小限に抑えています。
データ主体の権利行使への対応
データ主体が自らの個人データを所有することは GDPR の核心です。当社は、データ削除・修正・転送のリクエストに対応する計画を進めています。これにより、カスタマーサポート担当者とエンジニアが、個人データに関わるあらゆる案件でお客様を支援できる体制を整えています。
文書化
利用規約とプライバシーポリシーは定期的に更新し、これまでの取り組みをさらに強化しています。これらの文書はお客様との関係の基盤を示すものであり、当社はお客様の権利を明確かつオープンに説明することを最重要と考えています。
トレーニングと意識向上
GDPR と個人データの取り扱いに関するトレーニングと意識向上は、GroupDocs 全社で徹底しています。すべてのチームメンバーが GDPR およびその他のプライバシー関連課題に関する方針を理解しており、新入社員の研修要件に組み込み、定期的にリフレッシュチェックを実施しています。
上記の取り組みは、GDPR の目的とその達成すべき目標に完全に合致していると確信しています。