第7章 ・ ProjectVIEW ERP マスターSaaSフレームワーク
第7章は、二法域モデルの下でProjectVIEW ERP内で処理される個人データに関するデータ保護義務を定めます。対象となるのは、EU GDPR（規則2016/679）およびUAE個人データ保護法（連邦政令法第45号/2021）です。本章では、管理者と処理者の役割を割り当て、データ処理契約、サブプロセッサー管理、技術的・組織的措置、データ主体の権利、侵害通知、AI固有の保護措置を定義します。
- GDPREU規則2016/679
- UAE PDPL連邦政令法第45号/2021
- ≤ 24 h重大な侵害: 提供者 → 管理者
7.1 概要と目的
本章は、サブスクリプション期間を通じてProjectVIEW ERPプラットフォーム内および同プラットフォームによって処理される個人データを規律するデータ保護およびプライバシー義務を定めます。規制上の基準を確立し、管理者および処理者の責任を割り当て、個人データに適用される技術的・組織的保護措置を示し、両当事者が従うべき侵害通知およびデータ主体権利の手続きを定めます。
提供者は二法域コンプライアンスモデルの下で運用し、以下の双方に同時に整合させています。
- (a) 欧州連合の一般データ保護規則（EU）2016/679（「GDPR」）。これには、欧州データ保護会議（EDPB）の採択済み意見およびガイドラインのすべてが含まれます。および
- (b) （ii）アラブ首長国連邦の個人データ保護に関する連邦政令法第45号/2021（「UAE PDPL」）およびその施行規則。顧客が追加の法域で事業を行う場合は、§7.14に基づき補足的なデータ処理付属文書を締結することができます。
DANAOS Projects Software Solutions LLCは、データ保護原則の採用と、すべての日常業務への強いデータ保護意識の浸透を主要目標として定めています。提供者は、既存のデータ保護に関する法的枠組みへの適合を一貫して達成しており、指令95/46/ECの廃止、GDPR（EU）2016/679の制定、およびUAE PDPLの施行に伴って生じる措置を実施してきました。
本章は、本フレームワークに添付されたデータ処理契約（「DPA」）（§7.5）とあわせて、データ管理者に代わってデータ処理者が個人データを適法に処理するためにGDPR第28条およびUAE PDPL第29条で求められる拘束力のある契約枠組みを構成します。
7.2 適用範囲
本章は、プラットフォームおよび関連サービスの提供に関連して提供者が処理するすべての個人データに適用され、これには以下が含まれますが、これらに限定されません。
- (a) 顧客従業員データ: PV_07（HRMS－給与計算）およびPV_A（現場運営・労働生産性）モジュール内で処理される人事記録、給与データ、タイムシート、出勤記録、労働生産性記録、本人確認情報。
- (b) 顧客の連絡先および取引先: PV_03、PV_04、PV_09、PV_10モジュールで管理される下請業者、供給業者、顧客、その他の第三者の氏名、メールアドレス、電話番号、および商業上の通信。
- (c) エンドユーザー認証情報およびアクティビティログ: プラットフォームのUsers & Roles Managementモジュール（STY）によって生成されるユーザーアカウント認証情報、認証トークン、セッションログ、IPアドレス、ブラウザフィンガープリント、および監査証跡データ。
- (d) サポートおよびコミュニケーションデータ: サポートチケット、WhatsApp Businessのグループメッセージ、トレーニング録画、AI文字起こし済みセッション内容、および提供者のオムニチャネルサポートモデル（§4.2）を通じてやり取りされるその他一切のコミュニケーションに含まれる個人データ。
- (e) プロジェクトおよび財務データ: プロジェクト記録、調達データ、会計仕訳、または原価管理記録に識別可能な自然人情報（例: 氏名のある作業員、コンサルタント請求書）が含まれる場合、そのデータは適用範囲に含まれます。
- (f) 設定およびマスターデータ: 従業員名簿、組織階層、承認マトリクス、署名権限を含む、識別可能な個人を参照するマスターデータ要素。
7.3 規制枠組み
提供者のデータ保護プログラムは、以下の規制文書、基準、およびガイダンスに基づいています。
| 参照 | 文書 / 基準 | 関連性 |
|---|---|---|
| RF-01 | GDPR（EU）2016/679 | EEA発の個人データに対する主要規則。管理者/処理者の義務、データ主体の権利、侵害通知、越境移転ルールを定めます。 |
| RF-02 | UAE連邦政令法第45号/2021（PDPL） | UAE居住者の個人データに対する主要規則。データローカライゼーション、エミラティのデータ主権、UAEデータオフィスの監督に関するUAE固有の規定を伴い、実質的にはGDPRに準じます。 |
| RF-03 | EDPBガイドラインおよび採択済み意見 | SCC、データ移転、正当な利益、DPIA方法論を含む、GDPR適用に関する解釈ガイダンス。 |
| RF-04 | EU標準契約条項（SCC）― 委員会実施決定（EU）2021/914 | EEA外への管理者から処理者、または管理者間の個人データの越境移転に関する承認済みメカニズム。 |
| RF-05 | ISO/IEC 27701:2019 | プライバシー情報管理システム（PIMS）を確立するISO 27001の拡張規格。処理者のプライバシー管理の組織的基準として使用されます。 |
| RF-06 | ISO/IEC 27001:2022 | 情報セキュリティマネジメントシステムの基準。§7.8に記載する技術的・組織的措置の基盤です。 |
| RF-07 | NISTプライバシーフレームワーク 1.0 | プライバシーリスク評価をエンタープライズリスク管理に整合させるための任意フレームワーク（§7.10）。 |
| RF-08 | EU AI Act ― 規則（EU）2024/1689 | AIシステムを規制します。AI支援文字起こし、AIOps、コンテキスト対応のアプリ内ガイダンスに関する提供者の利用に関連します（§5.3、§6.2）。 |
| RF-09 | NIST AIリスク管理フレームワーク（AI RMF 1.0） | AIシステムにおけるリスクの特定と軽減のための任意フレームワーク。AIコンポーネントのガバナンスにおいてEU AI Actと併用されます。 |
GDPR全文 ― EUR-Lex UAE PDPL ― 連邦政令法第45号/2021 EU標準契約条項（2021/914） ISO/IEC 27701:2019 ― PIMS EU AI Act ― 規則（EU）2024/1689
7.4 役割と責任
7.4.1 管理者・処理者の割り当て
その事業運営の性質上、適用されるデータ保護法の下での提供者の役割は次のとおり定義されます。
- (a) データ処理者: 提供者は、プラットフォーム内で顧客に代わって行う個人データ処理活動に関して、データ処理者として行動します。データ管理者である顧客が処理の目的と手段を決定し、提供者は管理者の文書化された指示にのみ従って個人データを処理します（§7.5）。
- (b) データ管理者（限定範囲）: 提供者は、自社従業員の個人データに関する処理活動（例: 顧客アカウントに割り当てられた提供者スタッフ）、商取引関係管理のための業務連絡先データ、および、いかなる自然人にも再識別できない匿名化／集計済み分析データについて、独立したデータ管理者として行動します。
- (c) サブプロセッサーの関与: 提供者は、管理者の事前の個別または一般的な書面による承認なく、個人データを処理するためにサブプロセッサーを関与させてはなりません。一般的承認が与えられている場合、提供者は、予定されるサブプロセッサーの追加または交代について管理者に通知し、管理者が異議を述べる機会を与えなければなりません（§7.6）。
7.4.2 データ保護責任者
提供者は、GDPR第37条から第39条およびUAE PDPL第10条に従い、データ保護責任者（DPO）を任命しています。DPOの責任は、(i) 適用されるデータ保護法令の遵守を監視すること、(ii) データ保護影響評価について助言すること（§7.10）、(iii) 監督当局の窓口となること、(iv) データ主体からの照会を処理することです。
データ主体および顧客の連絡先は、次のDPOに連絡できます: [email protected]
DANAOSの従業員は、データ保護原則に関する説明が必要な場合や、データ処理を最適に実施し、法令違反の可能性を回避するためのガイドラインを求める場合、DPOに連絡できます。
7.4.3 RACIマトリクス ― データ保護
| 活動 | 提供者DPO | 提供者運用部門 | 顧客DPO / プライバシー責任者 | Customer PM | チャンピオン | 監督当局 |
|---|---|---|---|---|---|---|
| 処理目的および法的根拠を定義する | C | I | A/R | I | I | I |
| 処理活動記録（RoPA）を維持する | A/R | C | R | I | I | I |
| データ保護影響評価を実施する | A/R | C | R | C | I | I |
| 技術的・組織的措置を実装する | C | A/R | I | I | I | I |
| データ主体アクセス要求に対応する | C | R | A/R | I | I | I |
| 個人データ侵害を検知し分類する | C | A/R | I | I | I | I |
| 侵害を管理者に通知する（72時間以内） | A/R | R | I | I | I | I |
| 監督当局に通知する（72時間以内） | C | I | A/R | I | I | R |
| 影響を受けたデータ主体に通知する | C | I | A/R | C | C | I |
| サブプロセッサーの関与を承認する | C | R | A | I | I | I |
| 年次プライバシー監査およびコンプライアンスレビュー | A/R | C | R | I | I | I |
| 越境移転の影響評価 | A/R | C | R | I | I | I |
凡例: R = Responsible（実行責任者） │ A = Accountable（説明責任者） │ C = Consulted（相談先） │ I = Informed（報告先）
7.5 データ処理契約（DPA）
両当事者はデータ処理契約（「DPA」）を締結する場合があり、これはGDPRで要求される第28条契約であり、UAE PDPL第29条で要求される同等の処理者契約に相当します。DPAは少なくとも以下を定めるものとします。
- (a) 対象および期間: DPAは、サブスクリプション期間を通じて、提供者がプラットフォームを提供する際に実施するすべての個人データ処理と、終了後のデータ保持または返却期間（§7.13）を対象とします。
- (b) 処理の性質および目的: 顧客の専用プライベート主権環境内で個人データをホスティング、保存、送信、バックアップ、計算処理し、顧客の建設プロジェクト管理、財務管理、人事管理、調達業務を可能にすること。
- (c) データ主体の区分: 顧客従業員、下請業者要員、供給業者の連絡先、顧客の連絡先、現場労働者、および顧客がプラットフォームに入力するその他すべての自然人。
- (d) 個人データの種類: 識別データ（氏名、国民ID、パスポート番号）、連絡先データ（メール、電話、住所）、雇用データ（役職、給与、出勤、休暇）、財務データ（給与支払用の銀行情報）、プロジェクト割当データ、アクセス認証情報、監査証跡メタデータ。
- (e) 文書化された指示: 提供者は、第三国への移転に関する事項を含め、管理者からの文書化された指示に従ってのみ個人データを処理するものとします。ただし、提供者に適用される連合または加盟国法により求められる場合を除きます（GDPR第28条3項(a)）。
- (f) 秘密保持: 個人データの処理を許可された提供者のすべての要員は、秘密保持に合意しているか、適切な法定の秘密保持義務を負っています（GDPR第28条3項(b)）。
- (g) 削除または返却: 終了時には、提供者は管理者の選択に従い、すべての個人データを削除または返却し、既存の複製も削除します。ただし、連合または加盟国法により保存が求められる場合を除きます（§7.13）。
- (h) 監査権: 提供者は、遵守を証明するために必要なすべての情報を管理者に提供し、管理者または管理者が指名する監査人による監査（検査を含む）を認め、これに協力するものとします（§7.11）。
7.6 サブプロセッサー管理
提供者は、プラットフォームの構成要素および関連サービスを提供するために、限定数のサブプロセッサーを起用します。以下のサブプロセッサーガバナンスが適用されます。
- (a) 承認モデル: 顧客は、提供者が以下を行う義務を条件として、サブプロセッサーの起用に対し一般的な承認を付与します。(i) サブプロセッサーの最新登録簿を維持すること。(ii) 新たなサブプロセッサーが処理を開始する少なくとも30暦日前までに、追加または交代の予定を顧客に通知すること。(iii) 顧客が異議申立権を行使できるよう、十分な情報を提供すること。
- (b) 異議申立権: 顧客が、正当なデータ保護上の理由に基づき、新たなサブプロセッサーに合理的に異議を唱えた場合、提供者は、(i) 当該サブプロセッサーの起用を行わず代替案を提示するか、または (ii) 代替案が実行不可能な場合は、合理的な終了移行期間を条件として、いずれの当事者も影響を受けるサービスを違約金なしで終了できます。
- (c) 下流義務: 提供者は、各サブプロセッサーに対し、契約によりDPA（§7.5）に定めるものと同一のデータ保護義務を課すものとし、とりわけ、処理がGDPRおよびUAE PDPLの要件を満たすよう、適切な技術的・組織的措置を実施するための十分な保証を提供させるものとします。
- (d) 責任: 提供者は、DPAに基づくサブプロセッサーの義務履行について、顧客に対し全面的に責任を負います。サブプロセッサーがデータ保護義務を履行しない場合、提供者は、サブプロセッサーの行為または不作為について、それが提供者自身の行為または不作為であるかのように責任を負います。
7.6.1 サブプロセッサー登録簿
以下の表は、発効日において提供者が起用しているサブプロセッサーを示します。登録簿は§7.6(a)に従って維持・更新されます。
| サブプロセッサー | 処理活動 | 所在地 | 保護措置 |
|---|---|---|---|
| Microsoft Azure | 顧客の専用プライベート主権環境のIaaSホスティング（コンピュート、ストレージ、ネットワーク） | 顧客DPAに従い選択されたリージョン（既定: UAE North / West Europe） | EU SCCs + Microsoft DPA |
| Microsoft 365 | メール通信、提供者運用チームが使用するコラボレーションツール | EEA / UAE（ライセンス設定による） | EU SCCs + Microsoft DPA |
| WhatsApp（Meta Platforms） | 共有WhatsApp Businessグループによる機動的なインフォーマル通信（§4.2） | EEA（Meta Ireland） | EU SCCs + Meta DPA |
| AI文字起こしサービス | AI生成文字起こしのための録音済みトレーニングセッション音声の処理（§6.2） | EEA / UAE（提供者設定による） | EU SCCs + 提供者評価済みDPA |
注: 顧客のプラットフォームデータは専用のプライベート主権環境に保存され、顧客データがテナント間で混在することはありません。ホスティングリージョンは顧客のDPAに従って選択され、UAE PDPLまたはその他の適用法に基づくデータローカライゼーション要件を満たすため、特定のAzureリージョンに制限される場合があります。
7.7 データ保護原則
提供者がデータ管理者またはデータ処理者として行うあらゆる個人データ処理活動は、GDPR第5条およびUAE PDPL第4条に整合する以下の原則を特徴とします。
| 原則 | GDPR第条 | UAE PDPL第条 | 提供者の実装 |
|---|---|---|---|
| 適法性、公正性および透明性 | 5(1)(a) | 4(1) | 処理は少なくとも1つの適法な根拠に基づいて行われます（第6条）。データ主体には、顧客のプライバシー通知を通じて、簡潔で透明性があり、理解しやすい形で情報が提供されます。提供者は、透明性の維持について顧客を支援します。 |
| 目的の限定 | 5(1)(b) | 4(2) | 個人データは、DPA（§7.5）で指定された文書化済みの目的にのみ処理されます。提供者は、書面による明示的な承認がない限り、自社の目的（例: 分析、マーケティング、プロファイリング）で顧客データを処理しません。 |
| データ最小化 | 5(1)(c) | 4(3) | プラットフォームのモジュール設計は、起動された業務機能に必要なデータ要素のみを収集します。マスターデータのチェックリスト（§6.4.3）は、各モジュールごとの最小実用データセットを定義します。 |
| 正確性 | 5(1)(d) | 4(4) | プラットフォームは、データ検証ルール、重複検出、および参照整合性チェックを提供します。顧客は入力データの正確性について責任を負い、提供者はそれを維持するためのツールを提供します。 |
| 保存期間の制限 | 5(1)(e) | 4(5) | データ保持方針（§7.12）により、個人データは不要になった時点で削除または匿名化されます。自動保持期間の強制は、顧客ごとに設定可能です。 |
| 完全性および機密性 | 5(1)(f) | 4(6) | 技術的および組織的措置（§7.8）により、個人データは、不正または違法な処理、偶発的な紛失、破壊または損傷から保護されます。 |
| 説明責任 | 5(2) | 4(7) | 提供者は、処理活動記録（RoPA）を維持し、必要に応じてDPIAを実施し、監査のためにコンプライアンスの証跡を提供します（§7.11）。 |
7.8 技術的および組織的措置（TOMs）
提供者は、GDPR第32条およびUAE PDPL第28条に従い、リスクに応じた適切なセキュリティ水準を確保するため、以下の技術的および組織的措置を実施し、維持します。これらの措置は、ISO/IEC 27001:2022およびISO/IEC 27701:2019の管理目的に整合しています。提供者の情報セキュリティマネジメントシステム（ISMS）は、IT部門によって維持されます。
7.8.1 アクセス制御および認証
- (a) パスワードの複雑性: 最小長、文字種別要件、一般的または漏えい済みパスワードの禁止をアプリケーション層で強制します。
- (b) パスワード有効期限: 設定可能なパスワード更新ポリシー。既定の更新期間は90日で、お客様のポリシーに応じて設定可能です。この定期更新の既定値はお客様のポリシー設定であり、NISTのパスワード更新ガイダンスに整合するものとして示すものではありません。
- (c) 認証失敗時のロックアウト: 設定可能な回数の連続失敗後にアカウントをロックアウトし、違反が繰り返されるとロックアウト時間を延長します。
- (d) パスワード履歴: システムは直近N個のパスワードの再利用を防止します（顧客ポリシーに応じて設定可能）。
- (e) 多要素認証（MFA）: 第二要素認証をサポートしており、すべての管理者アカウントおよび特権アカウントに推奨します。MFA方式には、TOTP（時間ベースのワンタイムパスワード）、プッシュ通知、FIDO2ハードウェアキーが含まれます。
- (f) シングルサインオン（SSO）: プラットフォームは、SAML 2.0およびOpenID Connectを介してエンタープライズIDプロバイダーとの統合をサポートし、認証情報の一元管理を可能にし、パスワードの乱立に伴う攻撃対象領域を縮小します。
- (g) セッション管理: 離席時の自動ロック機構、設定可能なアイドルセッションタイムアウト、パスワード変更またはアカウント停止時のセッション無効化。
- (h) ロールベースアクセス制御（RBAC）: Users & Roles Managementモジュール（STY）は、モジュール、機能、フィールド、レコードの各レベルで、きめ細かなロールベースアクセス制御を強制します。職務分掌は、競合ロールの検出によって強制されます。
- (i) 制限付きリモートアクセス: 提供者のインフラストラクチャへのリモート管理アクセスは、MFA付きの暗号化VPNトンネルを通じて認可された要員のみに制限されます。すべてのリモートセッションは記録され、監査可能です。
7.8.2 暗号化
- (a) 通信中のデータ: すべてのクライアント・サーバー通信はTLS 1.2以上で暗号化されます。エンドツーエンドのデータ伝送暗号化は、プラットフォームのすべてのインターフェース、API、および統合エンドポイントで強制されます。
- (b) 保存中のデータ: すべてのデータベースインスタンスにTransparent Data Encryption（TDE）を適用します。データベースバックアップはAES-256暗号化で保護されます。暗号鍵はクラウドプロバイダーのKey Management Serviceで管理され、顧客管理鍵（CMK）オプションも利用可能です。
- (c) 鍵管理: 暗号鍵は定められたスケジュールに従ってローテーションされます。鍵管理手順はISO 27001附属書A.10の管理策に従います。利用可能な場合、ルート鍵保護にはハードウェアセキュリティモジュール（HSM）を使用します。
7.8.3 データベースセキュリティ
- (a) データベース接続: データベースインスタンスへの接続は制御、監視され、認可されたアプリケーション層サービスおよび指定されたDBA要員のみに制限されます。
- (b) 既定アカウント: 既定のシステムアカウントはDBAによって保護され、すべての既定パスワードはプロビジョニング直後に変更されます。不要な既定アカウントは無効化されます。
- (c) 最小権限: データベースのユーザーアカウントには、その機能に必要な最小限の権限およびロールのみを付与します。明示的な必要性および承認がない限り、システム権限は削除されます。
- (d) 監査ログ: データベース監査ログは、すべてのDDL操作、特権ユーザーの活動、認証失敗試行、およびデータエクスポート操作を記録します。ログは最低12か月間保持され、改ざん検知可能です。
- (e) DBAのリモートアクセス: リモートのデータベース管理は、MFA付きの暗号化チャネルを介して、氏名を特定した個人に制限されます。すべてのDBAセッションは、コマンドレベルの完全な監査証跡とともに記録されます。
7.8.4 ネットワークセキュリティ
- (a) 境界防御: 次世代ファイアウォール、Web Application Firewall（WAF）、DDoS対策サービスがプラットフォームの境界を保護します。ネットワーク分割により、顧客のプライベートな主権環境を他の提供者インフラストラクチャから分離します。
- (b) 侵入検知および監視: クラウドネイティブのSIEMおよびネットワーク監視ツールが、異常なトラフィックパターン、ポートスキャンの試行、ラテラルムーブメントの兆候をリアルタイムで警告します。
- (c) 脆弱性管理: 定期的な脆弱性スキャンと年次の侵入テストを実施します。重大度が高いおよびクリティカルな脆弱性は、§3.5（インシデント優先度分類）に定める期間内に是正します。
7.8.5 組織的措置
- (a) 秘密保持契約: 個人データの処理を許可されたすべての提供者要員は、秘密保持契約または非開示契約に署名しており、適切な法定秘密保持義務を負っています。
- (b) 研修および意識向上: 提供者要員は、GDPR、UAE PDPL、漏えい報告、ソーシャルエンジニアリング、安全なコーディング手法を含む年次のデータ保護研修を受けます。
- (c) 机上整理および画面のクリア: 個人データの意図しない露出を防ぐため、提供者のすべての施設で机上整理および画面のクリアに関する方針を徹底します。
- (d) 資産利用方針: すべてのハードウェアおよびソフトウェア資産は、事業目的および各従業員の職務記述に対応する業務の遂行のみに使用されます。
7.9 データ主体の権利
提供者は、GDPR第III章（第12条から第23条）およびUAE PDPL第12条から第18条で定義されるデータ主体の権利を認識し、GDPR第28条第3項(e)およびUAE PDPL第29条に従い、データ主体からの請求への対応義務を果たすために顧客を支援します。提供者は、以下を行います。
- (a) 顧客データに関連するデータ主体からの請求を受領した場合は、顧客から別途指示がない限り、データ主体に直接応答することなく、速やかに顧客へ通知します。
- (b) プラットフォームの機能、またはUIで利用できない場合は提供者が実行するデータベース操作により、法令で要求される期限内に、個人データの抽出、訂正、制限、移転、削除を行える技術的手段を顧客に提供します。
- (c) すべてのデータ主体からの請求対応に関する監査証跡を最低24か月間保持します。
7.9.1 権利履行マトリクス
| 権利 | GDPR第条 | UAE PDPL第条 | プラットフォーム機能 | 応答SLA |
|---|---|---|---|---|
| 開示を受ける権利 | 15 | 13 | データエクスポート機能により、データ主体の身元に関連付けられたすべての個人データの構造化レポートを生成します | 30暦日以下 |
| 訂正を求める権利 | 16 | 14 | 完全な監査証跡付きのアプリ内レコード編集。大量更新向けの一括修正サポート | 30暦日以下 |
| 消去権（「忘れられる権利」） | 17 | 15 | 消去ワークフローにより、法的保全例外を条件として、モジュール、バックアップ、ログにわたるデータ主体の個人データのすべてのインスタンスを匿名化または削除します | 30暦日以下 |
| 処理の制限を求める権利 | 18 | 16 | レコードレベルの処理制限フラグ。制限対象データは保存されたままとなりますが、アクティブ処理、レポート、およびAPI応答からは除外されます | 72時間以下（フラグ設定） |
| データポータビリティの権利 | 20 | 17 | CSV、JSON、XML形式での機械可読エクスポート。APIベースの抽出も可能 | 30暦日以下 |
| 異議を述べる権利 | 21 | 18 | 処理への異議フラグがレビューを開始し、提供者はやむを得ない正当な根拠の評価が完了するまで処理を停止します | 72時間以下（フラグ設定） |
法的保全による上書き: 消去または制限が法的義務（例: 法定記録保存、係争中の訴訟、規制当局の調査）と抵触する場合、提供者は継続処理の法的根拠を顧客およびデータ主体に通知し、コンプライアンスに必要な最小限に処理を制限します。
7.10 データ保護影響評価（DPIA）
ある処理の種類が自然人の権利および自由に高いリスクをもたらす可能性がある場合、顧客（管理者）はGDPR第35条およびUAE PDPL第23条に従い、データ保護影響評価を実施しなければなりません。提供者は、以下を行います。
- (a) プラットフォームのデータフロー、保持方針、アクセス制御モデル、および越境移転メカニズムの文書化を含め、DPIAの実施に必要なすべての情報を顧客に提供します。
- (b) 要請があれば、プラットフォームが実施する標準的な処理業務を対象とした事前作成済みのDPIAテンプレートを提供することを含め、顧客によるDPIA実施を支援します。
- (c) 提供者の見解において、新機能、モジュールの有効化、統合、または処理業務の変更により、新たなDPIAまたは更新済みDPIAが必要になった場合は、顧客に通知します。
- (d) AI特有のDPIA: プラットフォームのAIコンポーネント（例: AI支援文字起こし、AIOps異常検知、文脈に応じたアプリ内ガイダンス）が個人データを処理する場合、アルゴリズムバイアス、自動意思決定の透明性、学習データセットにおけるデータ最小化、ならびにGDPR第22条（自動化された個別意思決定）に基づくデータ主体の権利を扱う補足的なAI特有のDPIAを実施します。この評価では、EU AI Act（規則（EU）2024/1689）およびNIST AI Risk Management Frameworkに基づく義務も考慮します。
7.11 監査およびコンプライアンス
7.11.1 提供者の義務
提供者は以下を行います。
- (d) GDPR第30条に従い、Customerに代わって実施されるすべての処理業務を対象として、処理活動記録（RoPA）を維持すること。
- (e) GDPR第28条およびUAE PDPL第29条に定める義務への遵守を立証するために必要なすべての情報を顧客に提供します。
- (f) 顧客または顧客が指名した監査人による監査を認め、これに協力します。ただし、(i) 少なくとも30暦日前の合理的な事前通知、(ii) 監査範囲はDPAで対象とされる処理活動に限定、(iii) 監査人が提供者に受け入れ可能な非開示契約を締結すること、(iv) 監査は通常営業時間内に、業務への支障を最小限に抑える方法で実施されることを条件とします。
- (g) 顧客の指示がGDPR、UAE PDPL、またはその他の適用あるデータ保護法に違反すると提供者が考える場合、直ちに顧客へ通知します（GDPR第28条第3項(h)）。
7.11.2 監査頻度および範囲
以下の監査スケジュールを適用します。
| 監査種別 | 頻度 | 範囲 | 成果物 |
|---|---|---|---|
| 提供者自己評価 | 四半期ごと | RoPAの完全性、TOMの有効性、サブプロセッサーの遵守状況、インシデントログレビュー | 顧客DPOと共有する内部コンプライアンス報告書 |
| 顧客主導監査 | 年1回（または重大な違反時） | DPA全体の遵守状況、技術的管理策の点検、要員研修記録、漏えい対応訓練 | 是正計画を含む監査結果報告書 |
| 第三者認証監査 | 年1回 | ISO 27001:2022 / ISO 27701:2019の対象範囲 ー ISMSおよびPIMSの管理策 | 証明書および適用宣言書 |
| 規制当局監査 | 必要に応じて | 監督当局の指示による全面的な規制対象範囲 | GDPR第58条に基づく協力および文書提供 |
7.12 データ保持および破棄
個人データは、収集目的に必要な期間を超えて保持してはなりません。以下の保持枠組みを適用します。
- (a) アクティブ処理: 個人データは、契約期間およびDPAで合意された契約終了後の終了処理期間にわたり、能動的に処理されます。
- (b) 保持期間: 適用法により特定の保持期間が義務付けられる場合（例: 労働法上の記録保持、税務当局の要件、規制上の保全命令）、提供者は、必要最小限のデータを、明確に分離し、アクセス制限を設けたうえで、所定期間保持します。
- (c) 自動適用: プラットフォームは、定義された保持期間を超えたレコードを自動的にフラグ付け、アーカイブ、または消去するよう構成可能なデータ保持方針をサポートします。保持ルールは顧客が定義し、技術的な強制は提供者が実装します。
- (d) 安全な破棄: 個人データが削除される場合、提供者は以下により安全な破棄を確保します。(i) 暗号化データに対する暗号消去（暗号鍵を復旧不能にすること）、(ii) 暗号化されていない媒体に対する多重上書き、(iii) 要請に応じて顧客に提供される削除確認証明書。
- (e) バックアップ保持: 個人データを含むバックアップコピーは、同一の保持および破棄方針の対象となります。提供者は、DPAでより短い期間が指定されていない限り、削除指示から90暦日以内に、削除された個人データをすべてのバックアップサイクルから消去します。
NIST SP 800-88 Rev. 1 ー メディアサニタイズのためのガイドライン
7.13 契約終了時のデータ返還およびポータビリティ
フレームワークの終了または満了時には、以下のデータ返還およびポータビリティ規定が適用されます。
- (a) データ返還期間: 顧客は、終了の効力発生日から60暦日以内に、すべての個人データおよび顧客データの返還を、構造化され、一般的に使用される、機械可読な形式（CSV、JSON、XML、またはSQLダンプ）で請求できます。
- (b) 形式オプション: 提供者は、少なくとも3種類の機械可読形式でデータエクスポートを提供します。エクスポートには、(i) 起動されたモジュール全体のすべてのトランザクションデータ、(ii) マスターデータ台帳、(iii) 文書添付ファイル、(iv) 監査ログ、(v) 後継システムで顧客の運用設定を再構築するのに十分な設定メタデータが含まれます。
- (c) 返還後の削除: 顧客がエクスポートされたデータを受領し検証したことが確認された時点、または60日間のデータ返還期間の満了時点のいずれか早い時点で、提供者は、本番データベース、ステージング環境、バックアップ、および災害復旧レプリカを含むすべてのシステムから、すべての個人データを安全に削除します。
- (d) 削除証明書: 提供者は、安全な破棄プロセス完了後30暦日以内に、すべての個人データが提供者管理下のすべてのシステムおよび媒体から不可逆的に破棄されたことを確認する書面による削除証明書を発行します。
- (e) 残存義務: 本章に基づくデータ保護義務は、法的義務に従い提供者が保持する個人データについては、当該データが安全に破棄されるまで、終了後も存続します。
7.14 越境データ移転
個人データの処理が第三国または国際機関への個人データの移転を伴う、または伴う可能性がある場合、以下の規定が適用されます。
- (a) EEA発データ: GDPR第45条に基づく十分性認定の対象外である国への、欧州経済領域に由来する個人データの移転は、委員会実施決定（EU）2021/914に基づくEU標準契約条項（SCCs）に従い、EDPB勧告01/2020で要求される場合はTransfer Impact Assessment（TIA）を補完として適用します。
- (b) UAE発データ: UAEに由来する個人データをUAE外の国へ移転する場合は、UAE Data Officeまたは業界別規制当局が課すデータローカライゼーション要件を含め、UAE PDPL第22条（越境移転規定）に準拠しなければなりません。
- (c) データローカライゼーションオプション: 提供者の専用プライベート主権環境モデルにより、顧客は、すべての顧客データが保存され処理される地理的リージョン（Azure Region）を選択できます。政府契約向けのUAE、EU規制対象事業体向けのEEAなど、特定の法域内にデータを留めることを顧客が求める場合、提供者はバックアップおよび災害復旧目的を含め、いかなるデータも指定リージョン外へ出ないように確保します。
- (d) Transfer Impact Assessment: 新たな越境移転メカニズムを開始する前に、提供者は以下を評価するTransfer Impact Assessmentを実施し、文書化します。(i) 受領国の法的枠組み、(ii) 実施されている補完的措置、(iii) 受領国におけるデータ主体の権利の実効的な執行可能性。
7.15 個人データ侵害管理
7.15.1 侵害の検知および分類
提供者は、IT部門が管理する手順を確立し、個人データ侵害を検知、分類、対応します。提供者のSIEMおよびAIOpsツールは自動異常検知を提供し、個人データ侵害の可能性があると分類されたすべてのアラートは直ちにDPOへエスカレーションされます。
侵害は重大度別に分類されます。
| 重大度 | 基準 | 通知タイムライン | 例 |
|---|---|---|---|
| 重大 | データ主体の権利および自由に対する高いリスク。大規模侵害。機微なデータカテゴリへの影響 | 提供者→管理者: 24時間以下 管理者→当局: 72時間以下 管理者→データ主体: 不当な遅延なく | データベースの持ち出し、HR/給与データを暗号化するランサムウェア、管理者アカウントの認証情報漏えい |
| 高 | 権利および自由への重大なリスク。限定的規模の侵害。標準的な個人データカテゴリ | 提供者→管理者: 48時間以下 管理者→当局: 72時間以下 | プロジェクト連絡先データへの不正アクセス、個人データを含むメールの誤送信 |
| 中 | 低リスク。封じ込めが迅速に達成済み。露出データは限定的 | 提供者→管理者: 72時間以下 管理者→当局: 管理者の裁量による | ロックアウトにより封じ込められた総当たり攻撃の失敗試行、機微でないメタデータの露出 |
| 低 | 無視できるリスク。個人データの実際の露出なし | 提供者→管理者: 月次要約報告書 | データアクセスを伴わない異常なログインパターン。誤検知によって発生したポリシー違反アラート |
7.15.2 侵害通知手続
提供者は、確認済みまたは疑いのある個人データ侵害について、以下のとおり顧客（管理者）に通知します。
- (a) 初回通知: §7.15.1に定める期限内に、提供者は、主たる連絡チャネル（指定アドレスへのメール送信、重大および高重大度の侵害については電話確認を追って実施）を通じて、顧客指定のDPO/プライバシー責任者に通知します。初回通知には、(i) 侵害の性質、(ii) 影響を受けたデータ主体の種類および概数、(iii) 対象レコードの種類および概数、(iv) 想定される結果、(v) 悪影響を軽減するために実施した、または提案する措置、を含めます。
- (b) 追跡報告: 初回通知時点で詳細が揃っていない場合、提供者は入手可能になり次第、不当な遅延なく段階的に情報を提供します（GDPR第33条第4項）。
- (c) 原因分析: 提供者は、封じ込め完了後15営業日以内に、顧客へ完全な原因分析報告書を提出します。これには、事象の時系列、影響を受けたシステムとデータ、根本原因、封じ込め措置、是正措置、および再発防止提言を含みます。
- (d) 規制当局との協力: 提供者は、(i) 権限ある監督当局への通知（GDPR第33条、UAE PDPL第28条）および、(ii) 必要な場合の影響を受けたデータ主体への侵害通知（GDPR第34条）について、顧客を支援します。法令で義務付けられる場合を除き、提供者は、顧客の事前の書面による同意なく、顧客データに関して監督当局またはデータ主体と直接やり取りしません。
7.15.3 侵害対応訓練
提供者および顧客は、少なくとも年1回、クリティカル重大度の侵害シナリオを想定した共同の個人データ侵害対応訓練を実施します。この訓練では、(i) 検知から通知までの所要時間、(ii) 通信チャネルの有効性、(iii) 封じ込め手順の実行、ならびに
- (iv) 規制通知への対応準備。各訓練での所見は文書化し、プロセス改善に反映しなければならない。
7.16 AI固有のデータ保護
プラットフォーム内でのProviderによる人工知能コンポーネントの使用（AI支援文字起こし、AIOps、予測分析、文脈に応じたアプリ内ガイダンスを含む）は、EU AI Act（Regulation (EU) 2024/1689）およびNIST AI RMFに整合した、以下のデータ保護管理の対象となる。
- (a) テナント間学習の禁止: 顧客データが、他の顧客に提供されるAIモデルの学習や、Providerの汎用AI機能の改善に用いられることはない。各CustomerのAI生成出力（例: 文字起こしモデル、予測分析）は、その専用の主権環境内にある当該Customerのデータのみに限定して学習され、適用範囲もそのデータのみに限定される。
- (b) AIにおけるデータ最小化: AIコンポーネントは、その機能を提供するために必要最小限の個人データのみを処理する。可能な場合、AI処理の前にデータは仮名化または匿名化される。
- (c) 自動意思決定: プラットフォームは、GDPR第22条に基づく法的効果または同等に重大な影響をデータ主体に及ぼす、自動処理のみに基づく意思決定を行わない。ただし、(i) Customerが当該処理を明示的に設定する場合、(ii) Customerが適法な根拠（同意、契約上の必要性、または加盟国法）を確保する場合、(iii) 人によるレビューが利用可能である場合を除く。
- (d) AIの透明性: Providerは、プラットフォームの技術文書において、各AIコンポーネントの目的、データ入力、ロジック、出力範囲を文書化する。この文書は、DPIAの目的（§7.10）および規制当局による検査のためにCustomerが利用できる。
- (e) バイアス監視: AIコンポーネントが特別なカテゴリを含む個人データ（例: HRMSモジュールにおける民族、人種、国籍）を処理する場合、Providerはバイアス監視チェックを実施し、四半期ごとの自己評価（§7.11.2）の一環として結果をCustomerに報告する。
7.17 プロセス登録簿
次の表は、本章で規定する契約上および運用上のプロセスを列挙したものである。各プロセスには、固有識別子、発動条件、担当者、承認者、期待成果、および関連条項への参照を割り当てる。
| Proc-ID | プロセス名 | トリガー | 担当者 | 承認者 | 成果 | 条項 |
|---|---|---|---|---|---|---|
| P-7.01 | DPA締結 | 契約締結または更新 | 提供者DPO | Customer DPO | 第28条の義務を添付した署名済みDPA | §7.5 |
| P-7.02 | サブプロセッサ通知 | 新規または代替のサブプロセッサが特定された場合 | 提供者運用部門 | Customer DPO | 異議申立期間を伴う30日前通知 | §7.6 |
| P-7.03 | サブプロセッサ異議解決 | Customerがサブプロセッサに異議を申し立てた場合 | 提供者DPO | 双方の当事者 | 代替サブプロセッサまたはサービス終了の選択肢 | §7.6(b) |
| P-7.04 | データ主体アクセス要求（DSAR） | データ主体がControllerに要求を提出した場合 | Customer DPO | Customer DPO | 30日以内に構造化された報告書を提出 | §7.9 |
| P-7.05 | データ主体削除要求 | データ主体が削除の権利を行使した場合 | Provider Ops + Customer DPO | Customer DPO | 法的保全確認を伴う匿名化/削除 | §7.9 |
| P-7.06 | DPIA開始 | 新しいモジュール、機能、または処理変更により高リスク閾値に該当する場合 | 提供者DPO | Customer DPO | リスク登録簿を含む完了済みDPIA | §7.10 |
| P-7.07 | AI固有DPIA | AIコンポーネントが個人データを処理する場合 | 提供者DPO | Customer DPO | バイアス、透明性、第22条を含むAI DPIA | §7.10 |
| P-7.08 | 侵害検知 | SIEM/AIOpsアラートまたは疑わしい侵害の手動検知 | 提供者運用部門 | 提供者DPO | 分類済み侵害記録、封じ込め開始 | §7.15.1 |
| P-7.09 | 侵害通知（Controller） | 確認済み/疑いのある侵害で、中程度以上に分類されたもの | 提供者DPO | 提供者DPO | SLAタイムライン内でCustomerへ通知 | §7.15.2 |
| P-7.10 | 侵害通知（当局） | Controllerが当局への通知が必要と判断した場合 | Customer DPO | Customer DPO | 監督当局への72時間以内通知 | §7.15.2 |
| P-7.11 | 根本原因分析 | 侵害の封じ込め完了 | 提供者運用部門 | Provider DPO + Customer DPO | 15営業日以内のRCA報告書 | §7.15.2(c ) |
| P-7.12 | 侵害対応訓練 | 年次スケジュールまたは臨時トリガー | Provider DPO + Customer DPO | 双方の当事者 | 改善措置を含む訓練報告書 | §7.15.3 |
| P-7.13 | 終了時データ返却 | 契約終了/満了 | 提供者運用部門 | Customer PM | 60日以内に機械可読形式でデータをエクスポート | §7.13 |
| P-7.14 | 安全なデータ破棄 | データ返却期間の満了または削除要求 | 提供者運用部門 | 提供者DPO | 30日以内に削除証明書を発行 | §7.12 |
| P-7.15 | 越境移転評価 | 新たな移転メカニズムまたは移転先が特定された場合 | 提供者DPO | Customer DPO | 補完措置を含む文書化されたTIA | §7.14 |
| P-7.16 | プライバシー監査（内部） | 四半期スケジュール | 提供者DPO | 提供者DPO | 遵守報告書をCustomerと共有 | §7.11.2 |
| P-7.17 | プライバシー監査（Customer） | 年次スケジュールまたは重大違反の発生を契機とする場合 | Customer Auditor | Customer DPO | 是正スケジュール付きの所見報告書 | §7.11.2 |
| P-7.18 | 保持ポリシーレビュー | 年次スケジュールまたは規制変更 | Provider DPO + Customer DPO | Customer DPO | 更新済み保持スケジュールおよび自動適用ルール | §7.12 |
7.18 プロセスフロー概略図
次の図は、DPA締結から継続的なコンプライアンス監視、侵害対応、終了時のデータ返却までのデータ保護ライフサイクルを示す。
① DPA締結と適法な根拠 → ② RoPAとプライバシー・バイ・デザイン → ③ TOM実装
▼
④ DPIA（AI DPIAを含む） → ⑤ 継続的処理と監視 → ⑥ データ主体の権利履行
▼
⑦ 侵害検知と対応 → ⑧ 監査とコンプライアンスレビュー → ⑨ データ返却／破棄
フィードバックループ: ステージ⑨（データ返却/破棄）は、破棄活動の記録保存のためにステージ②（RoPA）へフィードバックされ、また終了後のコンプライアンス検証のためにステージ⑧（監査）へもフィードバックされる。ステージ④〜⑦は、四半期ごとの自己評価チェックポイント（§7.11.2）とともに、サブスクリプション期間を通じて継続的に運用される。
