1. 目的
Thought Machine Group Limitedおよび当社のグループ会社（以下「Thought Machine」、「当社」、「私たち」、「私たちの」）は、本プライバシー通知に従い、また英国一般データ保護規則（「UK GDPR」）、2018年データ保護法、EU一般データ保護規則（「EU GDPR」）、およびその他関連する現地のデータ保護法を含む、関連するデータ保護法および規制を遵守して個人情報を収集・処理します。
本通知は、当社が収集する可能性のある個人情報と、その情報の利用方法をまとめたものです。データプライバシーに対するThought Machineの取り組みは、クライアント、パートナー、サプライヤー、その他当社と個人データを共有される皆様からの信頼を獲得し、維持することを重視する当社の姿勢を反映しています。
2. 定義
「クライアント」とは、Thought Machineの顧客であるあらゆる個人または法人を指します。
「処理」とは、手動または自動の手段による個人データのあらゆる取り扱いを指します。これには、データの収集、消去、破棄に加え、記録、使用、開示、共有、保管など、その間に行われるすべての行為が含まれます。
「データ管理者」とは、以下の事項を行う個人または組織を指します。
- 個人データの収集または処理を決定すること
- 処理の目的や結果を決定すること
- 収集すべき個人データを決定すること
- 個人データを収集する対象者を決定すること
Thought Machineは、クライアント、サプライヤー、パートナー、およびその他の個人データを処理する際、データ管理者とみなされます。
「データ主体」とは、個人データまたは保有・取得された追加情報から識別可能な生存する個人を指します。これには、潜在的または既存のクライアント、サプライヤー、パートナーに関連する個人が含まれます。
「その他の当事者」とは、クライアント、サプライヤー、パートナー以外の個人または法人で、その他の目的でThought Machineと取引を行う可能性のある者を指します。
「パートナー」とは、Thought Machineの製品やサービスの提供および導入において協力関係にある、あるいはThought Machineの製品を補完する互換性のあるコンポーネントを提供する、あらゆる個人または法人を指します。
「個人データ」とは、データ主体に関連するあらゆる情報であり、それ単体で、あるいは他の情報と照合することで、特定の個人を直接的または間接的に識別できるものを指します。これには以下が含まれますが、これらに限定されません。
- 氏名
- 役職
- 年齢
- 住所またはメールアドレス
- IPアドレス（オンライン識別子など）
- 車両登録番号
- 銀行口座情報
個人データには「特別なカテゴリー」が存在します。これには以下が含まれますが、これらに限定されません。
- 人種または民族
- 宗教的または哲学的な信条
- 労働組合への加入状況
- 性的指向
- 遺伝情報または生体情報
「サプライヤー」とは、Thought Machineに商品またはサービスを提供する個人または法人を指します。
「第三者」とは、クライアント、サプライヤー、パートナー、およびその他の関係者を総称するものです。
3. データ保護原則
Thought Machineは、英国GDPRおよびその他のデータ保護規制に定められたデータ保護原則を遵守することをお約束します。これに基づき、お客様の個人データは以下の通り取り扱われます。
- 適法、公正かつ透明性のある方法で取り扱われること（適法性、公正性、透明性）
- 特定の適法な目的のためにのみ収集されること（目的の制限）
- 適切かつ関連性があり、必要な範囲に限定されていること（データの最小化）
- 正確であり、必要に応じて最新の状態に保たれること（正確性）
- 通知した目的のために必要な期間のみ保管されること（保存の制限）
- 安全に保管されること（完全性、機密性、セキュリティ）
4. クライアント、サプライヤー、パートナー、およびその他の個人データ
データ管理者として、Thought Machineはクライアント、サプライヤー、パートナーとの連絡および関係維持を目的として個人データを収集します。また、見込み顧客やオフィスへの来訪者、各種コミュニケーションチャネルを通じて当社に連絡された方など、その他の関係者からも個人データを収集する場合があります。
- 収集するクライアント、サプライヤー、その他関係者の個人データ
当社が処理する個人データの種類は以下の通りです。
- 第三者を代表または代理する個人の連絡先情報（氏名、会社名、役職、電話番号、メールアドレス、SNSプロフィール、その他連絡先詳細）
- Thought Machineのオフィスに来訪された方の防犯カメラ映像
- 第三者を代表または代理する個人の本人確認のための識別情報（生年月日や身分証明書など）
- ウェブサイトをご利用いただく際に収集する特定の技術データ（IPアドレス、ブラウザの種類とバージョン、タイムゾーン設定と場所、ブラウザのプラグインの種類とバージョン、オペレーティングシステムとプラットフォーム、デバイスID、その他ウェブサイトへのアクセスに使用するデバイスに関する技術情報など）
- 利用データ（当社のウェブサイト、製品、サービスの利用状況に関する情報など）
- ユーザー名（組織を代表してVaultポータルへのアクセス権が付与されている場合）
- マーケティングおよびコミュニケーションに関するデータ（当社からのマーケティング情報の受け取り設定やコミュニケーション設定など。当社製品・サービスへの関心をお寄せいただいた場合や、ウェブサイトからお問い合わせいただいた場合に収集します）
Thought Machineは、収集した情報を匿名化または集計し、研究や製品開発を含むあらゆる目的で使用することがあります。このような情報は、クライアント、サプライヤー、パートナー、その他の関係者を個別に特定するものではなく、お客様の身元を直接的（または間接的）に明らかにするものではないため、個人データには該当しません。
- クライアント、サプライヤー、およびその他の関係者の個人データの収集方法
Thought Machineは、以下の方法で個人データを収集します：
- お客様から直接取得する場合：ウェブサイトのオンライン問い合わせフォームへの入力、マーケティング情報の配信希望、フィードバックの提供、または当社への連絡を通じて、郵便、電子メール、電話、その他の手段で個人データをご提供いただく場合
- お客様がクライアント、パートナー、またはサプライヤーを代表して行動し、当社がサービスを提供または提案する過程において
- お客様が当社のウェブサイトを操作する際に自動的に取得する場合：クッキーや類似の技術を使用して、お客様の機器、ブラウジング行動、パターンに関する特定の技術データを収集します。
- マーケティング目的で第三者または公開情報源から取得する場合：Thought Machineは第三者から連絡先情報を取得することがありますが、それは見込みクライアント、サプライヤー、パートナーがThought Machineの製品やサービスを知ることが利益につながる場合に限り、適法な根拠に基づいて行われます。
当社は、公開情報源、お客様が訪問するモバイルウェブサイトやアプリケーション、または当社が契約した第三者（分析プロバイダー、インテリジェンス調査機関、検索情報プロバイダー、マーケティングプラットフォーム、人材紹介会社、ビジネスパートナー、下請業者など）から個人データを受け取ることがあります。その場合、当社は当該第三者に対して適切なデューデリジェンスを実施し、共有された個人情報を処理するための法的根拠についてリスクベースの評価を行います。
クライアント、サプライヤー、パートナー、またはその他の関係者を代表する別の個人の個人データを当社に提供する場合、お客様は、その個人に対して本プライバシー通知に記載されている情報を提供済みであることを保証するものとします。
- クライアント、サプライヤー、およびその他の関係者の個人データの利用方法
Thought Machineは、クライアント、サプライヤー、パートナー、およびその他の関係者の個人データを以下の目的で使用することがあります：
- 潜在的および既存のクライアント、サプライヤー、パートナー、その他の関係者との関係を構築・管理するため。これには、クライアント、サプライヤー、パートナー、その他の関係者から依頼されたサービスや業務の提供、または契約上当社が義務付けられている業務の遂行が含まれます。
- 潜在的および既存のクライアント、サプライヤー、パートナー、その他の関係者とコミュニケーションをとるため。これには以下が含まれます：(i) クライアント、パートナー、その他の関係者に対し、関心を持たれる可能性のあるThought Machineの製品やサービスについてお知らせすること。(ii) 価格情報、請求書、配送や製造に関する情報など、関連するThought Machineの製品やサービスに関する情報を提供すること。(iii) クライアント、サプライヤー、パートナー、その他の関係者からの質問や問い合わせに対応すること。
- 当社の事業およびウェブサイトを管理・保護するため（トラブルシューティング、データ分析、テスト、システムメンテナンス、サポート、レポート作成、データホスティングを含みます）
- データ分析を活用して、当社のウェブサイト、製品・サービス、顧客関係、および顧客体験を改善し、コミュニケーションやマーケティングの有効性を測定するため
Thought Machineは、情報が収集された文脈に沿った目的、またはお客様の同意がある場合に、クライアント、サプライヤー、パートナー、およびその他の関係者の個人データをその他の用途で使用することがあります。
- ダイレクトマーケティング
お客様が当社に情報を請求された場合、または当社から商品やサービスを購入され、かつマーケティング通信の受信を拒否されていない場合、当社からマーケティングに関するご連絡を差し上げることがあります。
- マーケティングのオプトアウト
マーケティング通信の配信停止は、各通信内に記載されているオプトアウト用リンクから、または当社（dpo@thoughtmachine.net）までご連絡いただくことで、いつでもお手続きいただけます。
マーケティング通信の受信を拒否（オプトアウト）された場合でも、管理上またはカスタマーサービス上不可欠なサービス関連の通知は引き続き送信されます。
5. クライアント、サプライヤー、パートナー、その他の関係者の個人データ処理に関する法的根拠
当社がお客様の個人データを利用するには、法的根拠が必要です。当社は、以下の1つまたは複数の法的根拠に基づき処理を行います。
- 契約の履行：当社の製品およびサービスに関連して、クライアント、サプライヤー、パートナー、その他の関係者との契約上の義務を確立または遂行し、合意事項を履行するため。
- 正当な利益：当社の事業を遂行または正当な利益を追求するため。例として、お客様とのやり取りの円滑化やパーソナライズ、サービスや製品の変更に関する通知、お客様のニーズの把握、製品やサービスに関するご意見を伺うための分析や比較、クライアントとの関係構築を目的としたターゲットマーケティング活動の実施、個人データの分析、内部管理および管理報告の実施、当社の安全・セキュリティ対策の管理および運用などが含まれます。
- 同意：契約上の義務や正当な利益を補完するため、またはこれら二つの根拠のいずれも存在しない場合に、お客様から得た同意。
- 法的義務：適用法に基づく報告要件、法的請求、コンプライアンスおよび規制上の調査目的（法的手続きや訴訟に関連する情報の開示を含みます）、その他コンプライアンスや倫理に関する報告に関連して、法律を遵守し、当社の法的権利を保護するため。
データ収集の適法な根拠を特定できない場合、当社はそのデータを収集または処理いたしません。
6. 個人データの共有および転送
Thought Machineは、電子的手段またはその他の手段により、個人データを国際的に転送する必要がある場合があります。
- Thought Machineグループ各社（世界各地の支店やオフィスを含みます）の間で共有されます。Thought Machineは、データ転送が最高水準のデータ保護管理下で行われるよう、データ処理契約を締結しています。これには、欧州委員会および英国情報コミッショナーオフィス（ICO）が承認した標準条項や、適切なデータ転送の取り決めが含まれる場合があります。
- 以下のいずれか、または複数の目的のために、第三者の処理業者（英国または欧州経済領域（EEA）外に拠点を置く場合を含みます）に対して、またはその間で共有されます。
- 法律により義務付けられている場合
- プラットフォームホスティングプロバイダー、CRM、その他のテクノロジープロバイダーなど、クライアントとの契約上の合意を遵守する必要がある場合、および
- マーケティングサービスプロバイダー、調査会社、イベント主催者、デジタルエージェンシーなど、当社の事業をサポートする場合
第三者と契約する際は、その第三者がGDPRおよびお客様の管轄区域の適用されるデータ保護法を完全に遵守していることを事前に確認します。また、当社に代わって提供するサービス以外での個人データの使用を制限するなどの措置を講じています。
譲受人および第三者が保持する当社のクライアント、サプライヤー、パートナー、その他の関係者に関する個人データは、処理目的のために必要な期間を超えて保持されることはありません。また、情報が不要になった場合には、削除するためにあらゆる合理的な措置を講じます。
7. データの保持
Thought Machineは、クライアント、サプライヤー、パートナー、およびその他の関係者の個人データを、当該関係者との関係が継続している期間、および本プライバシー通知で説明されている収集目的のために合理的に必要な期間保存します。法律、規制、税務、会計、または技術上の必要性により義務付けられている場合など、特定の状況下では、お客様の個人データをより長期間保存する場合があります。
特定の状況下では、苦情や異議申し立てがあった場合、またはお客様の個人データや取引に関連して訴訟の可能性があると合理的に判断される場合に備え、正確な取引記録を保持するため、お客様の個人データをより長期間保存する場合があります。
8. データセキュリティ
Thought Machineはプライバシーを重視しており、お客様の個人データが紛失、不正使用、不正アクセス、改ざん、または開示されることを防ぐため、適切なセキュリティ対策を講じています。
当社のすべてのサードパーティサービスプロバイダーおよびThought Machineグループ各社は、当社のポリシーに従い、お客様の個人データを保護するために適切なセキュリティ対策を講じることが義務付けられています。これには、暗号化、物理的なアクセスセキュリティ、または当社のデータ処理システムのセキュリティを強化すると判断されるその他のツールが含まれる場合があります。
当社は、LDAPグループメンバーシップを使用して、必要最小限の範囲にのみ個人データへのアクセスを制限しています。当社の従業員、契約業者、および代理人は厳格な守秘義務を負っており、当社の指示に従ってのみ個人データを使用し、その他の目的で使用することは禁じられています。
当社は、個人データの漏洩の疑いがある場合や実際に漏洩が発生した場合に、それを検知、特定、軽減するためのセキュリティ対策と手順を講じています。また、法律で義務付けられている場合には、関連する個人データの漏洩について、お客様および関係監督当局に通知いたします。
9. 自動化された意思決定
当社は自動化された意思決定のみに依存することはありません。お客様に重大な影響を及ぼすような決定が、自動化された意思決定のみに基づいて行われることはありません。
10. データ主体の権利
当社が保有するお客様の個人データに関して、お客様には以下の権利があります。
- アクセス権 （一般的に「データ主体によるアクセス要求」として知られています） – これにより、当社が保有するお客様の個人データのコピーを受け取り、当社が適法に処理を行っているかを確認することができます。
- 訂正権 – これにより、当社が保有するお客様の不完全または不正確な情報を訂正させることができます。
- 消去権 （「忘れられる権利」とも呼ばれます） – これにより、特定の状況下において、当社が個人データを処理し続ける正当な理由がない場合に、データの削除または抹消を求めることができます。
- 処理を制限する権利 – これにより、個人データが違法に使用されている、またはデータが正確でないと判断した場合などに、当社に対して個人データの処理を一時停止するよう求めることができます。
- 処理に異議を唱える権利 – 当社が正当な利益に基づいている場合、個人データが収集された目的とは異なる方法（プロファイリング、自動化、ダイレクトマーケティングなど）で使用されているのであれば、その使用に異議を唱えることができます。
- データポータビリティの権利 – Thought Machineは、お客様がご自身の目的や異なるサービス間で再利用できるよう、お客様の個人データを提供しなければなりません。当社は、一般的に使用されている機械可読形式でデータを提供する必要があります。
- 自動化された個別の意思決定に異議を唱える権利 – Thought Machineは、自動化された意思決定およびプロファイリングに関して、個人の権利を尊重しなければなりません。
- 苦情を申し立てる権利 – 適用されるデータ保護規制当局または監督機関（英国情報コミッショナーオフィスなど）に対して苦情を申し立てる権利があります。
- 同意を撤回する権利 （同意が適法な根拠となる場合） - 採用選考の目的で個人情報の処理に同意された場合、お客様はいつでもその同意を撤回する権利を有します。ただし、撤回前の処理の適法性には影響しません。同意の撤回、または苦情、ご要望、ご質問がある場合は、以下までご連絡ください。 dpo@thoughtmachine.net。
同意の撤回に関する通知を受領次第、当社は応募手続きの処理を停止し、当社の保持ポリシーに従ってお客様の個人情報を安全に破棄いたします。ご依頼への対応にあたり、本人確認をお願いする場合があります。これは、お客様のデータを保護し、安全に管理するための措置です。
11. 連絡先
当社のデータ保護責任者は、収集および処理される個人情報が適切に取り扱われるよう、すべてのデータ保護法の遵守状況を監視し、徹底させる役割を担っています。
本プライバシー通知や、当社による個人情報の取り扱いについてご質問やご不明な点がございましたら、当社のデータ保護責任者まで以下のメールアドレスよりお問い合わせください：dpo@thoughtmachine.net
連絡先住所：データ保護責任者（Data Protection Officer）宛
7 Herbrand St, London WC1N 1EX
12. 苦情について
お客様は、データ保護問題に関する英国の規制当局である情報コミッショナーオフィス（ICO）（www.ico.org.uk）に苦情を申し立てる権利を有しています。ただし、その前に、まずは当社に苦情をお寄せいただくか、不明な点について当社に説明をお求めいただけますようお願いいたします。
13. 本プライバシーポリシーの変更および変更通知の義務
当社はプライバシーポリシーを定期的に見直しています。過去のバージョンをご希望の場合は、当社までお問い合わせください。
当社が保有するお客様の個人情報は、正確かつ最新の状態に保たれることが重要です。ご住所やメールアドレスの変更など、当社との関係において個人情報に変更が生じた場合は、速やかにお知らせください。
