概要

一般データ保護規則（GDPR）は、EU居住者の個人データの保護方法を規定し、個人が自身の個人データをより適切に管理できるようにする、EU全域のプライバシーおよびデータ保護に関する法律です。

GDPRはEUの規則ですが、世界各地で事業を展開する企業にも関係します。Zohoは、お客さまの所在地を問わず、そのデータを重要なものと考え、世界各地の事業でGDPRに基づく管理策を基本基準として導入しています。

個人データとは

GDPRにおける個人データとは、特定された個人、または特定可能な個人に関する情報を指します。

個人データは、氏名やメールアドレスなどの情報に限りません。単独で、または他の情報と組み合わせることで個人を特定できる情報も含まれます。

Zohoが挙げる例は次のとおりです。

• 財務情報
• 政治的見解
• 遺伝子データ
• 生体認証データ
• IPアドレス
• 住所
• 性的指向
• 民族

そのため、Zoho Notebookを使用する際は、保存または管理する情報に個人データが含まれているかどうかを確認し、ご自身または組織に適用されるプライバシーおよびデータ保護要件に従って取り扱う必要があります。

GDPRに対するZohoの取り組み

Zohoは、GDPR要件に対応するため、組織および製品全体で対策を講じています。

製品評価

Zohoは、各製品をGDPR要件に照らして個別に評価し、お客さまが自身のデータをより適切に管理し、GDPR遵守に関する責任を果たせるよう支援する機能を導入しています。

利用できる管理機能や規定は、各Zoho製品の特性や分野によって異なる場合があります。

プライバシー・バイ・デザイン

Zohoのアプリケーションチームは、プライバシー・バイ・デザインの考え方に従い、Zohoのシステムに保存されているデータをお客さまがより適切に管理できるよう取り組んでいます。

Zohoはこれらの対策を継続的に強化しており、具体的な機能は製品によって異なる場合があります。

情報資産台帳

Zohoは、情報資産台帳（IAR）を管理し、データ管理者やデータ処理者など、Zohoが担う役割を記録しています。

この台帳には、Zohoが処理する個人データの種類、そのデータにアクセスできる部門、データへのアクセス目的が記録されています。

復処理者

Zohoは、外部サービス提供者やパートナーを含む復処理者を評価し、セキュリティおよびプライバシー要件に対応するため、各社との契約手続きを合理化しています。

データ保護責任者とプライバシー推進担当者

Zohoは、各チームに社内のプライバシー推進担当者を配置するとともに、プライバシーおよびデータ保護の取り組みの一環として、データ保護責任者（DPO）も任命しています。

データ保護影響評価

Zohoは、データ保護影響評価（DPIA）を実施し、その結果に基づいてデータの処理と管理に適切な対策を導入しています。

またZohoは、製品、プロセス、業務、管理を対象とする内部監査も実施しています。監査結果は関連チームに共有され、特定された問題への対応に活用されます。

データセキュリティ対策

Zohoは、DPIAと内部監査に基づいてデータセキュリティの手法とプロセスを改善したとしています。

これらの対策には、データの機密性や関連リスクの発生可能性に応じた保存データの暗号化が含まれます。またZohoは、データガバナンスとデータ検出を支援する社内ツールも開発しています。

データの正確性とアカウントの整理

Zohoは、最新かつ正確な情報を保持するため、データベースを整理したとしています。

この処理には、Zohoのサービス規約に従った、解約済みアカウントや休眠アカウントの削除が含まれます。

データ処理に関する追加条項

Zohoは、GDPRのデータ処理要件に準拠するため、標準契約条項に基づいてデータ処理に関する追加条項（DPA）を改定しています。

組織の管理者がZohoとのDPA締結を希望する場合は、legal@zohocorp.comに連絡し、Zohoアカウントが作成されたデータセンターをお知らせください。

データ侵害の通知

必要な場合、データ侵害の通知は、Zoho社内のプライバシーインシデント対応ポリシーに従って行われます。

Zohoは、データ侵害を認識してから72時間以内にお客さまへ通知するとしています。

一般的なインシデントについては、Zohoのブログ、フォーラム、ソーシャルメディアを通じて通知される場合があります。特定のユーザーまたは組織に影響するインシデントについては、アカウントに登録されたメインのメールアドレスを通じて対象者に通知するとしています。

Notebook使用時のお客さまの責任

GDPRへの準拠は、Zohoとお客さま双方の責任です。ZohoはGDPR要件に対応するための組織的および技術的な対策を導入していますが、お客さまも、NotebookなどのZoho製品を使用して個人データを保存または処理する際に、自身が負う義務を確認する必要があります。

適用される要件は、処理する個人データの種類、その使用方法、適用されるデータ保護法に基づく組織の責任などの要因によって異なります。

GDPRに準拠するために組織で必要となる対応については、法律の専門家に相談することをZohoは推奨します。

よくある質問

Zohoでは、GDPRの要件に対応するため、組織全体および各製品において対策を実施しています。これには、製品評価、プライバシー・バイ・デザインの実践、データ保護影響評価（DPIA）、内部監査、再委託先の評価、セキュリティの強化、GDPRに準拠したデータ処理補足条項が含まれます。

いいえ。GDPRはEUに拠点を置く企業だけでなく、世界中で事業を展開する企業にも関係します。Zohoでは、世界各地の事業運営における基本基準として、GDPRに基づく管理策を導入しています。

はい、組織の管理者は、データ処理補足条項を要求する場合、legal@zohocorp.comに連絡し、Zohoアカウントが作成されたデータセンターをお知らせください。

通知が必要な場合、Zohoは社内のプライバシーインシデント対応ポリシーに従ってデータ侵害を通知し、侵害を認識してから72時間以内にお客さまへ通知します。インシデントが全般的なものか、特定のユーザーまたは組織に関するものかに応じて、Zohoの公開チャネル、またはアカウントに関連付けられたメインのメールアドレス宛てに直接通知します。

ZohoのGDPRへの取り組みに関する最新情報については、ZohoのGDPR公式ページをご参照ください。GDPRやプライバシーに関する質問や懸念事項は、privacy@zohocorp.comにもお問い合わせいただけます。

免責事項

こちらに記載されている情報は、GDPRに対するZohoの取り組みを説明することを目的としており、法的助言に該当するものではありません。GDPRに準拠するために、お客さままたは組織で必要となる対応を判断する際は、適切な法律の専門家に相談することをZohoは推奨します。