2026年10月4日改訂
本データ処理補遺(以下「本DPA」)は、AI Psychometrics Inc.(以下「当社」)とお客様との間の利用規約または書面による契約(以下「本契約」)の一部を構成します。本DPAは、当社が、応募者のアセスメント、レポート作成、および関連する契約上のサービスを提供するに当たり、お客様のために処理する個人データ(以下「お客様の個人データ」)に関するものです。当社が管理する事業者のアカウント、請求およびウェブサイトの相談に関するデータは、明示的に合意された場合を除き、対象としません。受諾には、完全な処理および移転の一覧が必要です。公開されているというだけでは、お客様による受諾が成立したことにはならず、強行法規上の移転の要件を満たすこともできません。
1. 定義、優先順位および役割
「データ保護法令」とは、大韓民国、オーストラリア、シンガポール、米国およびカナダという、支援の対象として計画している市場において、この処理に適用されるプライバシー・セキュリティに関する法令をいい、適用される場合は、韓国の個人情報保護法(以下「PIPA」)、オーストラリアの1988年プライバシー法およびオーストラリア・プライバシー原則(以下「APP」)、シンガポールの2012年個人データ保護法(以下「PDPA」)、カナダの連邦または州のプライバシー法、ならびに適用される米国の連邦法・州法を含みます。GDPRおよび英国GDPRは、別途承認されたEU・英国の処理の経路に関係する可能性がありますが、インターフェース言語の対応によって適用が開始されるものではありません。「再委託先処理者(サブプロセッサー)」とは、お客様の個人データを処理するために当社が起用する第三者をいいます。「個人データ侵害」とは、お客様の個人データの偶発的または違法な破壊、紛失、改変、不正な開示または不正なアクセスをもたらすセキュリティ侵害をいいます。「SCC」とは、有効に組み込まれた場合の、欧州委員会の2021/914標準契約条項をいいます。定義される法的な役割は、関連する法令に従ってその意味をとるものとします。GDPR上の管理者・処理者という呼称は、PIPA上の委託者・受託者、またはカナダの責任ある組織の義務に代わるものではありません。お客様は、通常、採用の目的を決定し、管理者または委託者として行動します。当社は、通常、お客様のためにそのデータを処理します。お客様が他の管理者のために行動する場合、お客様は、当社を再委託先処理者として任命する権限を有することを表明します。本DPAは、お客様の個人データに関して、本契約に優先します。これには、利用規約の第12条が、そこで明示的に合意された範囲で含まれます。強行法規上の移転の条件および現地の法定の権利は、本DPAの定めと抵触する場合に優先します。プライバシー・セキュリティに関する特別の責任上限(以前の版では「スーパーキャップ」と呼ばれていました)は、利用規約の第12条および本DPAの第12条に、同一の金額および範囲で定められています。いかなる契約上の配分によっても、法令が各当事者に課す直接の義務は免除されません。
2. 指示および利用の制限
お客様の文書化された指示は、本契約、記入済みの附属書1、権限のある本サービスの設定、および当社が受諾した後の書面による指示から成ります。当社は、法令が別段の定めを置く場合を除き、承認された移転を含め、本サービスの提供、保護およびサポートのために、それらの指示に基づいてのみ処理を行います。禁止されていない限り、当社は事前にお客様に通知します。当社は、指示が適用されるデータ保護法令に違反すると考える場合、速やかにお客様に通知し、当事者が解決を図る間、影響を受ける処理を一時停止することができます。お客様は、法的根拠、正確な応募者への通知および必要な選択、公正かつ適法な雇用上の利用、ならびに上位の管理者からの権限について責任を負います。当社は、お客様の個人データを、クロスコンテキストの行動ターゲティング広告のために販売または共有せず、他の顧客の採用の判断のために利用せず、また、明示的で適法な文書化された取決めによる場合を除き、提供事業者のモデルの学習に利用しません。非特定化は、適用される法令を満たさなければなりません。仮名化のみでは、本DPAの適用は排除されません。当社は、任意の仮名化された項目機能差(DIF)の研究を、文書化された目的、選択またはその他の適法な根拠、運用上の記録からの分離、アクセスの制限、ならびに第9条を満たす保持・削除の手順がある場合にのみ実施します。応募者の公開バッジおよび任意の研究には、別途定められた指示および選択が必要です。アセスメントの招待のみでは、クレデンシャルを公開する指示にはなりません。
3. 処理の詳細および担当者
附属書1は、処理の対象事項、目的、期間、データ主体、データの種類および処理の内容を定めます。当社は、担当者によるアクセスを、正当な必要のある者に限定し、守秘義務を課し、適切なプライバシー・セキュリティに関する指導を行います。お客様は、そのテナントにアクセスできるユーザーおよび許可されたパートナーを管理します。テナントへのアクセスは、データベースのメンバーシップおよび適用されるRLSポリシーによって管理されます。特権的な管理および公開の共有には、別個の管理が必要です。サービス全体での分離についての認証は行いません。
4. セキュリティ
当社は、リスクに応じた適切な技術的および組織的措置(附属書2に記載の措置を含みます)を実施します。措置は、全体的な保護を実質的に低下させない範囲で改善されることがあります。当社は、SOC 2またはISOの認証を約束しません。当社は、守秘義務を条件として、お客様の適法なレビューを支援するため、既存のセキュリティ情報を合理的に利用できるようにし、適用されるセキュリティ措置を附属書2に記録します。
5. 再委託先処理者
お客様は、当社に対し、記入済みの附属書3に記載された確認済みの再委託先処理者を起用すること、および本条の通知・異議の手続に従い、その後の定例的な追加または交代を行うことについて、一般的な書面による許可を与えます。当社は、その関連する処理について責任を負い、お客様の個人データを保護する適用される書面の義務が課されるようにします。定例的な新規または交代の再委託先処理者がお客様の個人データを処理する前に、当社は、指定されたセキュリティまたは法務の窓口へのメール、および維持されるポータルの一覧により、少なくとも30暦日前に、お客様に通知します。お客様は、その通知を受領した後15暦日以内に、文書化されたデータ保護上の根拠に基づいて異議を述べることができます。当社とお客様は、合理的な代替策を見いだすため、誠実に協力します。合理的な代替策がない場合、お客様は、影響を受けるサービスのみを終了することができ、本契約の返金条件に従って計算された、そのサービスの未使用の購入済みクレジットに対して支払った金額の返金を受けます。その他のサービスおよび料金には影響しません。セキュリティまたは事業の継続のために必要な緊急の交代は、緊急である理由および同一の異議の経路を示して、実行可能な限り速やかに通知することができます。強行法規およびより厳格な許可の要件は、引き続き優先します。PIPA上の再委託には、適用される法令に基づく委託者の同意が必要です。一般的な許可は、より厳格な指示または現地の要件に優先しません。附属書3には、受諾の前に、実際の契約当事者、業務、データの区分、処理およびサポートアクセスの国、保持、ならびに移転の保護措置を特定しなければなりません。Stripeその他のアカウント処理者は、お客様の個人データを処理する範囲に限り、本DPAに含まれます。
6. 海外での処理および移転
当社および承認された再委託先処理者は、記入済みの附属書3に正確に開示された国および移転の経路においてのみ、データを処理することができます。お客様と当社は、必要な開示、法的根拠および保護措置について協力します。お客様は、自らの応募者への通知および適法な移転の指示について引き続き責任を負い、当社は、正確な受領者および処理の詳細を提供します。EEAの制限された移転については、当事者は、正しい2021/914 SCCのモジュール(管理者から処理者へ、または処理者から処理者へ)を別途締結し、または有効に組み込み、公式の附属書に記入し、適切な準拠法および裁判管轄を選択し、必要な場合は補完的な評価を行うことができます。英国への移転には、英国補遺またはその他の適法な仕組みが必要です。スイスへの移転には、管轄に固有の調整が必要です。国および附属書が不完全なままSCCに言及しているだけのものは、有効な移転の仕組みとして提示するものではありません。韓国については、移転ごとに、適用される第28条の8の根拠を特定し、その根拠および法令が求める場合は、受領者、国、目的、保持および拒否に関する事項を開示します。同意は、考えられる根拠の一つであり、すべての移転に対する一律の要件ではありません。移転の通知は、海外への提供、委託および保存も区別し、再移転も考慮しなければなりません。ソウルのランタイムがあっても、その他の海外の経路が排除されるわけではありません。オーストラリアおよびシンガポールについては、附属書4の専用のモジュールを用い、そこで処理を行う前に、実際の受領者、国、目的、保護措置および移転の経路を記入します。日本および中国を含むその他の市場には、オンボーディングの前に、別途承認された補足および文書化された適法な根拠が必要です。APPIまたはPIPLに言及するだけでは、市場が対象となることはありません。カナダのデータについては、責任ある組織は、同等の保護のための契約またはその他の手段を用い、適用される法令に基づく外国からのアクセスの透明性にも対応しなければなりません。各当事者は、その役割に適用される国ごとの義務を遵守します。判明している計算・ストレージの所在地は、附属書3に記載します。計算またはストレージのリージョンは、提供事業者のサポートアクセスの国を特定するものではなく、保持がないことを確定するものでもありません。
7. 支援および権利
当社は、処理の内容および利用可能な情報を考慮し、適用される場合、アクセス、訂正、削除、異議、ポータビリティ、セキュリティ、侵害の評価、影響評価、および規制当局からの照会について、お客様を合理的に支援します。個人が、お客様の個人データについて当社に直接問い合わせた場合、当社は、法令が直接の対応を求める場合を除き、本人確認を行ったうえで、お客様に回付し、またはお客様と調整します。当社は、適用される法定の期限に従い、そのような請求に不当に遅滞することなく対応します。標準外の支援には、事前に合意した料金に基づく場合に限り費用を請求でき、当社の違反を是正する場合を除きます。お客様は、採用に関する対応および人によるレビューを決定します。当社は、利用可能なシステム情報を提供しますが、実施していない完了済みの検証またはバイアス監査を実施したとは主張しません。
8. 個人データ侵害
報告およびフォローアップの照会は、help@ai-psychometrics.comに送ることができます。当社は、お客様の個人データに影響する個人データ侵害を認識した後、不当に遅滞することなく、いかなる場合も72時間以内に、お客様に通知します。通知は、合意された通知の手続に従い、アカウントの所有者および指定されたセキュリティの窓口に送付します。最初の通知には、侵害の性質、影響を受けた記録、起こり得る結果、封じ込め、およびフォローアップの連絡先について、利用可能な事実が含まれます。完全な調査を待つ必要はありません。当社は、事実が確認され次第、重要な更新を提供し、合理的な封じ込めおよび調査の措置を講じ、法令上必要な通知についてお客様を支援します。お客様は、正確な連絡先を維持しなければなりません。各当事者は、直接の法定の義務を負い、法令上必要な通知を行うことができます。いかなる契約上の期限も、より短い強行法規上の期間を延長せず、不当に遅滞することなく行うべき通知の遅延を認めるものではありません。
9. データの返却、保持および削除
当社は、お客様の指示および適用される法令に従い、候補者のアセスメントデータを、既定で最長3年(1,095日)保持します。当社は、各区分の起算事由、合意されたお客様のより短い設定、および適法な保持の例外を、附属書1に記載します。お客様の書面による返却・削除の請求、または本サービスの終了の後、当社は、適法に提供できるお客様の個人データについて、30日間のエクスポート期間を提供し、附属書1に記載されたシステムおよび区分ごとの検証済みの期間内に、関連するデータを稼働中のシステムおよびバックアップのコピーから削除します。当社は、関連するシステムまたは再委託先処理者の実際の削除サイクルを検証した後にのみ、附属書1に期間を記載します。当社は、復元されたコピーに対して削除を再度適用し、関連する義務を処理者と調整します。
これらの義務は、生の回答、アセスメント、個人およびコホートのレポート、オブジェクトストレージ、バッジ、監査・送信箱のログ、第三者の成果物、およびバックアップを対象とします。当社は、保持するデータを保護し、アクセスおよび利用を制限し、許される場合は適法な保持または正当な保全措置を特定し、その根拠が終了した時点でデータを削除します。当社は、関連するシステムを確認した後、事実に基づく削除の記録を提供します。別途承認された仮名化DIFデータは、12か月を超えない期間のみ保持し、主たるアセスメントの記録とは分離し、承認された期間が終了した時点で削除します。任意の研究には、適用される適法な根拠が必要であり、必要な場合は同意が必要です。当社は、附属書1の区分ごとの一覧を最新に保ちます。
10. 情報、監査および規制当局による監督
当社は、遵守を示すために合理的に必要な情報を提供し、適用される法令の下で必要とされる監査または検査を認めます。ただし、合理的な事前の通知、セキュリティ、秘密保持、および他の顧客のデータの保護を条件とします。適用される法令または規制当局が別段の定めを置く場合を除き、監査は、書類および書面による回答の遠隔でのレビューから開始されます。監査は、少なくとも30暦日前の書面による通知により請求され、12か月間に1回を超えないものとし(確認された個人データ侵害の後を除きます)、書面による秘密保持の条件の下で実施され、当社が当該支援に要した合理的かつ文書化された費用を含め、お客様の費用負担とします。現地での検査は、遠隔でのレビューでは適用される法令の要件を満たせない場合にのみ行われます。当事者は、法定の監査、侵害後の調査または監督当局の要請を妨げない範囲で、異なる範囲および費用の配分に合意することができます。当社は、確認された重大な違反を是正します。監査の取決めは、強行法規上の法定の監督または監査の権利を妨げてはなりません。当社は、他の顧客を保護しつつ、適法な規制当局の要請に協力します。
11. 政府からの要請およびモデル
当社は、適法な公的機関からの要請を評価し、法令が求める範囲でのみ開示し、法令上許される場合はお客様に通知します。当社は、政府からの要請をそれぞれ、適用される法令および本DPAの条件に照らして評価します。モデルの提供事業者がお客様の個人データを処理する場合、当社は、定められた目的に適した利用条件および設定を求め、すべてのAPI機能で保持がないことを保証するのではなく、提供事業者による実際の利用、学習および保持の条件を開示します。ある組織で有効にされた設定は、すべての経路についての証明にはなりません。お客様は、モデルの業務に必要のない情報の提出を避けてください。
12. 責任、期間および言語
本契約の責任に関する規定は、適法である限りにおいて、かつ強行的なSCCまたは現地の法定の権利に反しない範囲でのみ適用されます。契約当事者間の請求については、一般の責任上限は、請求の原因となる事由の直前12か月間に、お客様が本サービスについて当社に実際に支払った料金に等しく、100米ドルの最低額はありません。秘密保持、セキュリティの義務または本DPAの違反から生じる当事者間の請求には、(a)一般の責任上限の2倍、または(b)15,000米ドルのいずれか大きい額に等しい、単一の合計での特別の責任上限(以前の版では「スーパーキャップ」と呼ばれていました)が適用され、これは一般の責任上限に加算されません。これらの定義および区分は、利用規約の第12条と同じです。詐欺、故意の不正行為、重過失、未払いの料金、および免除できない責任に関する利用規約の除外は、引き続き適用されます。いかなる上限も、有効なSCCの条件、または個人もしくは規制当局の独立した権利を変更しません。本DPAは、当社が、本DPAの対象となるお客様の個人データを処理している間、適用されます。保護の義務は、返却または検証済みの削除、および適法に保持されるコピーが終了するまで存続します。言語。 本DPAは英語で作成されており、英語版が本契約の正本です。翻訳はすべて便宜のために提供されるものにすぎません。お客様が韓国、ケベック州、その他の強行法規上、現地語版または通知を求める法域に所在する場合、当社は、承諾の前に当該言語版を提供します。お客様は、承諾することにより、当該言語版を確認し、助言を得る機会があったこと、および英語版に拘束されることに同意することを確認します。本条のいかなる規定も、条項、通知または同意を特定の言語で提供することを求める強行法規、または現地語の文言を優先させる強行法規を制限するものではありません。プライバシー通知を含む、個人への通知は、その個人に提供された言語で効力を有します。ケベック州に所在するお客様は、当事者が本契約および関連するすべての文書を英語で作成することを明示的に求めたことを確認し、当社は、請求に応じてフランス語訳を提供します。
附属書1 処理の内容
当事者。 お客様: 注文書に記載された身元およびセキュリティ・プライバシーの窓口。当社: AI Psychometrics Inc.、help@ai-psychometrics.com。
対象事項および目的。 招待、Theta AI・Titan AIのアセスメントのホスティング、項目の提供、採点、回答の整合性の記録、個人およびコホートのレポート、お客様が許可した共有、ならびにサポート。応募者のバッジの処理は、別個の選択に従います。雇用主・パートナーのプログラムには、別個のステータスの記録があります。
処理の内容。 収集、保存、提供、項目の調整、統計的・モデルによる評価、採点、レポートの生成、限定的な開示、エクスポートおよび削除。
データ主体。 招待された応募者、およびお客様のユーザー(そのデータがお客様が管理するコンテンツを構成する範囲に限ります)。お客様がクレデンシャルを指示した場合は、任意のバッジの保有者。
データ。 氏名・識別子・メールアドレス、職務および招待の記録、自由記述を含む回答、提示された項目、所要時間、ステータス、スコア、区分、根拠、整合性の記録、レポート、IPアドレス・セッション・アクセスのログ、バッジの同意およびステータス。自由記述には、機微なデータが偶発的に含まれることがあります。
期間およびスケジュール。 当社は、第9条に基づき、附属書1に記載された、既定の3年間(1,095日)の保持期間、30日間のエクスポート期間、ならびに検証済みの稼働中システムでの削除およびバックアップの期間を適用します。当社は、各区分の起算事由、適法な例外、および合意されたお客様のより短い設定を記載し、処理者による削除を調整し、復元後に削除を再度適用します。追加の事項または法的根拠が必要となる処理または移転の経路は、それらの要件が満たされるまで開始されません。
独立した処理。 当社が管理するウェブサイトの相談、アカウントの請求、ならびに独立したセキュリティおよび法的義務は、プライバシーポリシーに別途記載されています。
附属書1A 区分ごとの一覧
招待、生の回答、スコアの状態。 当社は、完了または撤回の起算事由を記載し、適法な保全措置を除き、第9条の保持および削除の期間を適用します。
個人のレポート、コホートのPDF、およびオブジェクトストレージ。 当社は、レポート生成の起算事由を記載し、ファイルのバイトおよび関連する参照を削除し、第9条に基づき、関連する共有リンクを閉じます。
バッジの記録、同意および公開の削除済み表示。 当社は、撤回と有効期限を区別し、保有者の選択に応じて必要な範囲で公開表示を終了し、限定的で、適法に正当化される監査の記録のみを保持します。
アカウント・請求の記録および支払い。 当社は、各記録に適用される法定および会計上の保持期間を適用します。応募者の保持期間は、それらの法的義務を暗黙のうちに上書きするものではありません。
アクセス・セキュリティのログ、メールの送信箱、および一時的な処理者の成果物。 当社は、該当する起算事由および保持期間をそれぞれ記載し、関連する削除の義務を適用し、提供事業者による削除を調整します。
バックアップおよび復元されたコピー。 当社は、適法な例外を除き、附属書1に記載された検証済みのバックアップ期間を適用し、復元されたコピーに削除を再度適用します。当社は、その手順を試験し、記録を保持します。
附属書2 セキュリティ措置
当社は、お客様の個人データについて、ロールに基づくアクセス管理、暗号化された通信、および非公開のストレージを使用します。当社は、バックアップの復元、終了時の削除、およびセキュリティ対応の手順を維持して試験し、その試験を文書化し、特定された不備を是正します。当社は、セキュリティ措置によって提供される全体的な保護を、実質的に低下させません。
インシデントの報告、返金の請求、およびバッジに関する異議申立ては、help@ai-psychometrics.comに提出できます。第5条および第8条の通知の約束は、変更されません。
附属書3 サービス提供事業者および国際的な処理
本サービスは、ホスティングにVercel、認証・データベース・ファイルストレージにSupabase、アセスメントのランタイムにGoogle Cloud、モデルの処理にOpenAI、ソース・ジョブ・一時的な成果物にGitHub、アセスメントのデータベースにNeon、取引関連のメールにResend、および支払いの処理にStripeを使用します。Stripeは、当社が独立して取り扱う請求データではなく、お客様の個人データを処理する範囲に限り、本DPAに含まれます。Groqは、稼働中の処理者には含まれません。
判明しているアセスメントの計算の所在地には、韓国および米国が含まれます。データベースおよびその他のサービスの処理には、米国が含まれます。これらの計算・ストレージの所在地は、提供事業者のサポートアクセスまたは再移転の国のすべてを確定するものではありません。当社は、該当する移転の前に、必要なサポートアクセスおよび再移転の制限を、提供事業者との間で確立します。適用される受領者、データの区分、目的、保持、および適法な移転に関する事項は、それらを必要とする経路が受諾される前に、記入されなければなりません。
第5条の提供事業者の変更および異議に関する方針は、変更されません。
附属書4 現地法の補足(それぞれ、承認された市場についてのみ有効となります)
ここに見出しが含まれているというだけで、いかなる国別の補足も有効とはなりません。承認された市場については、当社とお客様は、その市場の役割、通知、データの区分、必要な移転の手段、連絡先および実際の経路、現地の権利、ならびに言語・同意の仕組みを文書化します。受諾された注文書は、適用される補足を特定しなければなりません。支援の対象として計画している市場のモジュールは、韓国PIPAの委託および国際的な移転、オーストラリアの1988年プライバシー法およびAPP、シンガポールPDPA、適用される州の要件を含むカナダ、ならびに米国の連邦・州・地方の雇用およびプライバシーに関する規則です。EU・EEAのGDPRおよび公式のSCC(正しいモジュールおよび完全な附属書)、英国補遺、日本および中国は、この市場の一覧によって有効となるものではありません。関連する提供またはデータの経路が提案される場合は、別途の承認が必要です。5市場の指定は、いずれかのモジュールが運用上完了していることを意味しません。
韓国PIPAの委託モジュール(承認された市場向け)
PIPAが適用される場合、附属書1の業務について、お客様は委託者、当社は受託者です。委託された目的の範囲外の処理は禁止されます。技術的および管理的な保護は、最終化された附属書2に定めます。お客様は、第10条に従い、適用される範囲で監督および検査を行うことができます。再委託には、必要なお客様の同意および義務の引継ぎが必要です。各当事者の損害賠償責任は、強行法規および、適法な範囲で有効な本契約に従います。お客様は、当社が提供する正確な提供事業者および業務の説明を用いて、法令が求める委託の詳細を公表します。受託者としての当社の直接の義務は、引き続き存続します。 (a) 用語。 本モジュールでは、お客様は委託者、当社は受託者、再委託先処理者は再受託者です。 (b) 侵害の通知。 PIPAの対象となるお客様の個人データについて、当社は、個人データ侵害、またはお客様の個人データを処理するシステムへの不正アクセスであって侵害をもたらした可能性のあるものを認識した後、不当に遅滞することなく、いかなる場合も72時間以内に、その時点で入手可能な情報とともに、お客様に通知します。 (c) 再委託の同意。 お客様は、承諾時に、附属書3に記載された再委託先処理者に同意します。第5条の通知および異議の手続は、PIPA第26条第6項に基づく再委託についてのお客様の同意が求められ、行われる手続です。通知期間の後に追加された再委託先処理者で、期限内の文書化された異議がないものは、同意があったものとして扱われ、お客様が異議を述べた場合は、第5条の解除の救済が適用されます。 (d) 当社自身の目的による利用。 当社は、(i)お客様が、目的およびPIPA上の法的根拠(第28条の2に依拠する場合はそれを含みます)を特定して書面で承認し、(ii)韓国国外の当社への結果的な移転にPIPA第28条の8に基づく有効な根拠がある場合を除き、PIPAの対象となるお客様の個人データを、仮名化DIFの研究を含め、自らの研究または製品改善の目的で利用しません。当社自身の目的のための当社への提供は、委託された処理または保管ではなく、第三者への提供として扱われます。 (e) 仮名化および匿名化されたデータ。 仮名化されたデータは、本DPAの下でお客様の個人データのままです。匿名化されたデータとは、個人をもはや特定できなくなったデータをいい、お客様の書面による指示がある場合にのみ作成することができます。
オーストラリア1988年プライバシー法・APPモジュール(承認された市場向け)
1988年プライバシー法およびAPPが適用されるオーストラリアのお客様または応募者については、各当事者は、自らの法定の役割を果たし、必要な収集の通知およびアクセス・訂正の手続を行い、または支援します。お客様は、適法なアセスメントの目的を特定し、その役割に必要な収集および海外への開示に関する情報を提供しなければなりません。当社は、関連するAPPの事業体がAPP 8およびその他の適用される義務を評価できるよう、承認された海外の受領者、実際の移転先、再委託先の下請事業者、および保護措置について、お客様に正確な情報を提供します。当社は、自らの再委託先処理者に対して適切な保護を契約上求め、セキュリティおよび届出対象のデータ侵害の評価を合理的に支援します。経路ごとに、当事者は、受領者が開示する事業体の実効的な管理の外でアクセスを得るか(通常は開示にあたります)、または厳格に管理されたストレージの取決めが引き続き利用にとどまるか、また、APP 8.2の例外が実際に適用されるかを判断します。海外でのホスティングまたは請負事業者の利用のみでは、その分類は決まりません。届出対象データ侵害制度の下では、届出対象となる侵害の疑いがある場合は速やかな評価が必要であり、届出対象となる侵害は、一般に、重大な害を生じるおそれがあるかどうかによって決まります。当社とお客様が、影響を受ける情報を共同で保有する場合、各当事者に法定の義務が生じることがありますが、調整された評価および有効な届出1回で、共通の制度上の手順を果たすことができます。その事案対応計画には、評価および通知の責任者、情報共有の経路、ならびに責任者が対応できない場合の代替者を明記しなければなりません。事案対応計画は、適用される役割および対応の責任を特定します。各当事者は、プライバシー法上の自らの地位を評価し、適用される場合はAPP 8を遵守します。正確なデータの経路、責任、海外の受領者の一覧、苦情の連絡先および通知の言語は、使用前に記入され、レビューされなければなりません。
シンガポールPDPAモジュール(承認された市場向け)
PDPAが適用されるシンガポールのお客様または応募者については、お客様は、応募者の収集およびアセスメントに関する目的、ならびに適用される通知・同意の根拠を特定します。当社は、文書化された指示に基づいて処理を行い、その役割に応じた適切な保護、保持の制限およびアクセス管理を講じます。当社は、実際の海外の受領者および移転先の情報を提供し、当事者は、PDPAの移転制限義務を考慮して、移転の前に、必要な同等の保護に関する契約上の義務を文書化します。PDPAの下でデータ仲介者としてのみ処理を行う場合、当社は、侵害が発生したと信じる信頼できる根拠を得た後、不当に遅滞することなく、お客様に通知しなければなりません。依頼する組織は、届出の要否を評価し、必要なPDPCおよび個人への通知を行います。当社が自らの独立した目的のために処理を行う場合は、当社自身の直接の法定の義務を別途評価します。当社とお客様は、適用される法定の報告の手順を維持します。当社とお客様は、該当する処理の前に、適用される役割、通知、移転の保護措置、受領者および期限を文書化します。
カナダPIPEDA・州法モジュール(承認された市場向け)
連邦のPIPEDAまたは関連する州の民間部門のプライバシー法が適用される場合、お客様は、応募者の収集およびアセスメントに関する目的ならびに通知または同意の根拠を特定し、自らの管理下にある判断について引き続き責任を負い、権利および苦情の連絡先を利用できるようにします。当社は、確認済みのデータの流れおよび再委託先処理者の一覧を提供し、関連する各サービス提供事業者に、適切な秘密保持、セキュリティおよび利用制限の条件を課し、アクセス・訂正、事案の評価、ならびに返却または削除についてお客様を支援します。当社は、同等の保護を維持し、関連する下請事業者および法域を特定し、該当するカナダでの処理の経路について、保持および終了の取決めを文書化します。 PIPEDAおよび適用される州法の適用上、匿名化または仮名化された情報は、それ単独で、または入手可能な他の情報と組み合わせて、個人が特定される現実的な可能性がない場合を除き、個人情報として扱われます。
第三者の処理者で発生したPIPEDAの対象となる侵害については、通常、本人である組織が管理権を有し、報告、影響を受けた個人への通知および記録保存の責任を負います。当社は、速やかにその組織に事実を提供し、当社が管理するデータまたは別個の処理の役割から生じる直接の義務を評価しなければなりません。侵害の記録には、報告対象であるかどうかを問わず事案が含まれ、報告・個人への通知は、重大な害の現実的なリスクによって決まります。これらの役割の配分は、州法を含め、実際の関係に照らして確認されなければなりません。ブリティッシュコロンビア州、ケベック州またはその他の州の経路は、PIPEDAと同一のものとして扱うのではなく、適用される要件について別途確認されなければなりません。実際の当事者、応募者の所在地、処理者、国、および州の補遺は、引き続き記入される必要があります。
米国の連邦・州・地方モジュール(承認された市場向け)
お客様は、使用の前に、採用の所在地、ならびにスコア、順位または基準値の利用を特定し、法令上必要な応募者への通知、合理的配慮の経路、人によるレビュー、および代替の手続を提供します。当社は、完了したバイアス監査または職務妥当性の研究を主張することなく、利用可能な製品の利用上の制限、バージョン情報、および、ある場合は文書化された監査の証拠を提供します。当事者は、特定の地方の自動化された雇用判断ツールに関する規則、州のプライバシー・生体認証に関する法令、または動画面接に関する規則が、展開されたワークフローに適用されるかどうかを判断し、通知、監査および対応業務を書面の一覧で割り当てます。「意思決定の支援」といった名称によって、ツールの実際の分類が確定するわけではありません。本補足は、ニューヨーク市条例第144号の遵守を宣言するものではなく、音声・動画または生体認証の機能が展開されていることを主張するものでもありません。当社は、そのような機能の使用の前に、正確な通知を行います。