GDPRポリシー（EEA／英国等のデータ主体向け データ保護に関する補足ポリシー）

本GDPRポリシー（以下「本ポリシー」といいます。）は、株式会社NexaScience（以下「当社」といいます。）が提供するサービス「Arlet」（以下「本サービス」といいます。）に関し、EU一般データ保護規則（Regulation (EU) 2016/679。以下「GDPR」といいます。）及び英国GDPRが適用される個人データの取扱いについて定めるものです。GDPRとそれに関連する各国施行法を含む、適用のあるプライバシー法令が適用されるものについては、当社の定めるプライバシーポリシー（以下「プライバシーポリシー」といいます。）に加えて、本ポリシー（以下プライバシーポリシーと本ポリシーを合わせて「本ポリシー等」といいます。）が適用されるものとします。本ポリシーは、当社のプライバシーポリシーを補足するものであり、本ポリシーとプライバシーポリシーに矛盾がある場合、GDPR等が適用される個人データについては本ポリシーが優先します。なお、GDPRで定義された用語はその定義に従うものとします。

1. 適用範囲

本ポリシーは、欧州経済領域（EEA）、英国その他GDPR又は同等の法令が適用される地域の個人（以下「データ主体」といいます。）の個人データを当社が取り扱う場合に適用されます。

2. 管理者・処理者の区別

当社は、取り扱う個人データの種類に応じて、次のとおり「管理者（Controller）」又は「処理者（Processor）」のいずれかの立場で行動します。

3. 当社が管理者として取り扱う個人データと処理の法的根拠

当社が管理者として個人データを処理する場合、次の法的根拠（GDPR第6条）に基づきます。

4. 処理する個人データの種類・保持期間

当社が取り扱う個人データの種類は、プライバシーポリシー第1項に記載のとおりです。

個人データの保持期間は個人データの収集・処理目的、個人データの性質、法律上又は業務上の個人データ保持の必要性を考慮して決定します。

ただし、当社の権利行使若しくは義務の履行を目的する場合、公共の利益に資する業務の履行を目的とする場合、データ主体の同意がある場合その他特定の状況において、当社は、データの収集・処理の目的に必要な期間よりも長い期間、データ主体の個人データを保有・処理することがあります。

5. データ主体の権利

データ主体は、GDPRに基づき、自己の個人データについて次の権利を有します。当社は、法令に従いこれらの行使に対応します。

• アクセス権（処理されている個人データへのアクセス）

  データ主体は、当社が保有するデータ主体の個人データを開示請求することができます。また、当社は、データ主体のご要望に応じて、データ主体の個人データの処理に関する追加の情報を提供します。

• 訂正権（不正確な個人データの訂正）

  データ主体は、当社が保有するデータ主体に関する不完全又は不正確なデータを訂正することを請求することができます。その場合、当社は、データ主体が当社に対して新たに提供するデータについて、その正確性を確認する手続を求める場合があります。

• 消去権（「忘れられる権利」）

  データ主体は、当社が個人データの処理を継続する正当な理由がない場合、個人データが不要になった場合、データ主体が唯一の処理の法的根拠である同意を撤回した場合などは、当社に対して個人データの消去を求めることができます。

• 処理の制限を求める権利

  データ主体は、個人データの正確性の確保を望む場合、当社の個人データの処理が違法である場合、当社が個人データの処理を必要としなくなった場合、及び異議申立ての手続が係属中である場合に、データ主体の個人データの処理を停止するよう求めることができます。

• データポータビリティの権利

  データ主体は、データ主体ご本人又はデータ主体が選択した第三者に対し、データ主体の個人データを、構造化された、一般的に使用される、機械で読み取り可能な形式で提供することを求めることができます。ただし、この権利は、当社が自動化された手段で行う処理に関する場合のみ適用され、当該処理の法的根拠がデータ主体の同意又はデータ主体が当事者となっている契約の履行である場合にのみ適用されます。

• 処理に対する異議申立権

  当社が当社の正当な利益を法的根拠として個人データの処理をしている場合データ主体、データ主体は、当社によるデータ主体の個人データの処理に異議を述べることができます。また、データ主体は、当社がデータ主体の個人データをダイレクトマーケティングの目的で処理している場合にも、異議を述べる権利を有します。

• 自動化された意思決定・プロファイリングに服しない権利

  データ主体は、データ主体ご本人に関する法的効果を生じさせるか、又はそれと同等の著しい影響を与える自動化された処理のみに基づく意思決定の対象とならない権利を有しています。ただし、当社は自動化された処理のみに基づく意思決定を行っておりません。

• 同意に基づく処理について、いつでも同意を撤回する権利（撤回前の処理の適法性に影響しません）

  当社がデータ主体の同意に基づいて個人データを処理している場合、データ主体はいつでも同意を撤回することができます。ただし、同意を撤回する前に行われた処理の適法性に影響を与えることはありません。

• 監督機関に苦情を申し立てる権利

  データ主体は、管轄権を有するデータ保護監督機関に対し、苦情を申し立てることができます。データ主体が当該保護監督機関に相談される前に、当社にてデータ主体の懸念に対応する機会をいただきたく、ぜひ事前にご連絡ください。

権利の行使は、第12項のお問い合わせ窓口までご連絡ください。当社は、原則として要請受領から1か月以内に対応します。

6. 個人データの受領者

(1)サプライヤー

当社では、ホスティング、保守サービス、サポートサービス、電子メールサービス、モニタリング、マーケティング、利用者による本サービスへの対応、カスタマーサービスの提供、並びに顧客調査及び満足度調査の実施など、当社の業務委託先及び当社のために各種サービスを提供するサプライヤーとの間でデータ主体の個人情報を共有することがあります。

(2)法令遵守等

法律、政省令、規則（金融商品取引所又は証券業協会の規則を含む。）、条例、条約、指針、通知、通達、告示、事務ガイドライン、自主規制団体による自主規制その他これらに準じるもの（外国においてこれらに相当するものを含む。）又はデータ主体の居住国内外の公的機関及び政府当局の要請により、当社がデータ主体の個人データを開示する必要が生じる場合があります。
また、当社は、当社の権利を保護し、利用可能な救済措置を求め、当社の権利を行使し、不正を調査し、又は当社の事業若しくは当社の顧客を保護するために、開示が合理的に必要であると判断した場合も、データ主体の個人データを開示することがあります。

7. 越境移転

(1)当社は日本に所在する法人であり、本サービスの提供に伴い、データ主体の個人データはEEA／英国外（日本及び米国等の外部サービス提供者の所在地を含む）に移転されます。

(2)日本は、欧州委員会により、GDPRと同様のデータ保護レベルを提供していることを表明する決定（十分性認定）を受けています。

(3)日本以外のEEA／英国外の第三国に移転する場合、当該移転先の第三国が、欧州委員会によるGDPRと同様のデータ保護レベルを提供していることを表明する決定（十分性認定）を受けていないときは、①GDPRに準拠した標準契約条項（Standard Contractual Clauses）に基づく方法、②その他GDPR第46条(2)に定められた方法、又は③本人の同意に基づく方法のいずれかによることとします。

8. サブプロセッサー（再処理者）

1 当社が処理者として個人データを処理する場合、当社は、認証基盤、ホスティング、決済等のために再処理者（サブプロセッサー）を利用することがあります。

2 本サービスは、その性質上、利用者の設定により外部のMCPサーバー、サードパーティAPI等に接続し、当該外部サービスに対して個人データが送信される場合があります。これらの接続先は、利用者が選択・設定するものであり、当該個人データの送信に関する適法性及び根拠の確保は利用者（管理者）の責任に属します。

3 当社は、サブプロセッサーのリストをデータ主体に周知し、サブプロセッサーの追加・変更がある場合には、当社所定の方法により事前に周知し、データ主体が異議を述べる機会を設けます。

9. 法的義務の不存在

利用者は、当社所定の利用規約及び本ポリシー等の承諾その他当社サービスの利用のために必要な当社所定の手続を完了するまでは、当社に対して個人データを提供する法的又は契約上の義務を負いません。利用者が、当社所定の利用規約及び本ポリシー等の承諾その他当社サービスの利用のために必要な当社所定の手続を完了した場合、利用者が当社に対して個人データの利用を拒絶すると、利用者による当社サービスの全部又は一部の利用が制限されることがあります。

10. 未成年による利用

当社は、16歳未満の者に関する情報を、親権を有する者の許可と同意なしに、故意に収集し、処理することはありません。当社は、16歳未満の、又はEU加盟国法によって異なるGDPRと同趣旨の最低年齢に達しない者の個人情報を、親権を有する者の許可と同意なしに、直接収集し、処理していたことを発見した場合は、できる限り速やかに当該情報を消去する措置を講じます。

11. データ侵害（漏えい等）への対応

当社は、個人データの侵害が発生した場合、GDPRに従い、当社が管理者であるときは原則として認識後72時間以内に所管監督機関へ通知し、必要に応じてデータ主体に通知します。当社が処理者であるときは、不当な遅滞なく管理者（利用者）に通知します。

12. お問い合わせ

本ポリシー及びデータ主体の権利行使に関するお問い合わせは、以下の窓口までご連絡ください。
株式会社NexaScience
お問い合わせ窓口：info@nexascience.com

13. 本ポリシーの変更

当社は、法令の変更や本サービスの内容変更等に応じて、本ポリシーを改定することがあります。改定後の内容は、本サービス上に掲載した時点から効力を生じます。