GDPR準拠ポリシー

GDPR（一般データ保護規則）とは

欧州連合（EU）の一般データ保護規則（GDPR - General Data Protection Regulation）は、EUおよび欧州経済領域（EEA）内のすべての個人のデータ保護とプライバシーに関する規則です。この規則は、EU域外の組織にも適用され、EU市民のデータを処理または保持する場合に遵守する必要があります。

SBIバンクは、EU内のお客様からのデータを取り扱う場合、GDPRに完全に準拠して運営することをお約束します。このページでは、GDPRに関連する当社のポリシーと、お客様の権利について説明します。

1. 個人データ処理の法的根拠

当社は、以下の法的根拠に基づいて個人データを処理します：

• 同意：お客様が特定の目的のために個人データを処理することに明示的に同意した場合
• 契約の履行：お客様との契約を履行するため、または契約締結前のお客様のリクエストに応じるために処理が必要な場合
• 法的義務の遵守：法的義務を遵守するために処理が必要な場合
• 正当な利益：当社または第三者の正当な利益のために処理が必要な場合（ただし、これらの利益よりもお客様の基本的権利と自由が優先される場合を除く）

当社は、各処理活動に適用される特定の法的根拠を、データ収集時に透明性をもって通知します。

2. データ主体の権利

GDPRに基づき、EUおよびEEA内の個人は以下の権利を有します：

3. データ主体の権利を行使するための手続き

お客様がGDPRに基づく権利を行使したい場合は、以下の方法でリクエストを提出できます：

4. 国際データ転送

当社は、お客様の個人データをEU/EEA域外の国や地域に転送する場合があります。その場合、当社は、以下の保護措置のいずれかを通じて、お客様のデータが適切に保護されるようにします：

• 欧州委員会による十分性認定を受けた国への転送
• 標準契約条項（SCCs）などの適切な保護措置の導入
• 拘束的企業準則（BCRs）の採用
• GDPR第49条に基づく例外的状況での転送

当社が実施している国際データ転送の詳細については、プライバシーポリシーをご参照いただくか、当社のデータ保護責任者にお問い合わせください。

5. 技術的・組織的保護措置

当社は、お客様の個人データの保護を確保するために、以下を含む適切な技術的・組織的措置を実施しています：

当社は、プライバシー・バイ・デザインと プライバシー・バイ・デフォルトの原則を採用し、システムとプロセスの設計段階からプライバシー保護を組み込んでいます。

6. データ侵害の処理

個人データの侵害が発生した場合、当社は以下の手順に従います：

1. 侵害の検出と評価：侵害の性質、影響を受ける個人データの種類、および影響を受ける可能性のある個人の数を評価します。
2. 監督機関への通知：高リスクの侵害が発生した場合、その発見から72時間以内に関連するデータ保護監督機関に通知します。
3. 影響を受ける個人への通知：個人のプライバシー権に高リスクをもたらす侵害の場合、影響を受ける個人に直接通知します。
4. 再発防止：侵害の原因を特定し、類似の事故の再発を防ぐための措置を実施します。

当社は、すべてのデータ侵害の記録を維持し、発生した侵害、その影響、および講じられた是正措置の詳細を文書化します。

7. データ保護影響評価

当社は、個人の権利と自由に高いリスクをもたらす可能性のある処理操作に対して、データ保護影響評価（DPIA）を実施しています。これには以下が含まれます：

• 新技術を使用した処理
• 大規模な処理操作
• 特別カテゴリのデータまたは犯罪関連データの処理
• 公共の場所の系統的な監視

DPIAプロセスには以下が含まれます：

1. 処理操作の体系的な説明
2. 処理の必要性と比例性の評価
3. 個人の権利と自由に対するリスクの評価
4. リスクを軽減するための措置の特定と実施

当社は、特定されたリスクを効果的に対処するために必要な場合、処理を開始する前にデータ保護監督機関に相談します。