データ保護に関する補足事項​​ 

1 。定義​​  

2 。独立監査役 - 監査役との関係​​  

3 。コントローラとプロセッサの関係​​ 

4 。国際データ転送​​ 

附属書I​​  

附属書II​​ 

技術的および組織的措置​​ 

G-Pは独立した監査人によってSOC 2 およびISO 27001 基準の遵守を確認する認証および認証を受けています。これらの認証は、当社が顧客データの保護に尽力していることを示すものです。G-Pのセキュリティプログラムは以下の目的で設計されています:​​ 

G-Pが保有またはアクセス可能な顧客データの機密性、整合性、可用性を保護G-P。​​ 

顧客データの機密性、完全性、可用性に対するあらゆる想定される脅威や危険から保護する。​​ 

顧客データへの不正アクセス、使用、開示、改ざん、または破壊を防止する。​​ 

顧客データの偶発的な損失、破壊、または損傷から保護する。​​ 

G-P規制される可能性のあるあらゆる規則に定められたとおりに、情報を保護する。​​ 

以下では、 G-P顧客データの処理におけるセキュリティを確保するために講じた機能、プロセス、管理、システム、手順、および措置について説明します。​​ 

1 )データプライバシーと保護を確保するための技術的措置​​ 

設計段階およびデフォルト設定におけるプライバシー保護：​​ 

G-P 、製品開発の構想と開発段階で、 25一般データ保護規則（GDPR）条項の要件を考慮します。 プロセスと機能は、合法性、透明性、目的制限、データ最小化などのデータ保護原則、および処理のセキュリティが早期段階で考慮されるように構築されています。​​ 

b)個人データの暗号化：​​ 

個人データがシステム内に保存される際は、第三者がデータ主体を特定できないような方法で保存することを確実にする。​​ 

データベースとストレージの暗号化：​​ 

G-Pで使用されるすべてのデータベースでは、最新技術に応じた「静止」暗号化が使用されており、データベースからのデータは適切な認証後にのみ読み取れます。​​ 

モバイルデータ媒体の暗号化：​​ 

顧客データの保存にモバイルデータキャリアを使用することは許可されていません。​​ 

ノートパソコン上のデータキャリアの暗号化：​​ 

従業員全員のノートパソコンには、最新鋭の適切なハードディスク暗号化システムがインストールされています。​​ 

暗号化された情報およびファイルの交換：​​ 

原則として、情報やファイルのやり取りは特別な求人応募を通じて直接暗号化されます。 個人データまたは機密情報を、TLS暗号化HTTPSアップロードで送信できないサーバーに転送する必要がある場合は、最新の技術水準に従って、セキュアファイル転送プロトコル（SFTP）、暗号化エンベロープサービス、またはその他の暗号化メカニズムを使用して転送します。​​ 

電子メールの暗号化：​​ 

原則として、 G-Pの従業員が送信するすべての電子メールはTLSで暗号化されています。 受信側のメールサーバーがTLSをサポートしていない場合は例外となる可能性があります。顧客は、注文の範囲内で使用される該当するメールサーバーがTLS暗号化をサポートしていることを確認するものとします。​​ 

c)入退室管理​​ 

アクセス制御は、データ保護法によって保護されているデータが、権限のない者によって使用または処理されることを防止するために意図され、実施されるものです。​​ 

認証方法の使用​​ 

個人データへのアクセスは常に暗号化されたプロトコル（SSH、SSL/TLS、HTTPS、または同等のプロトコル）を介して行われます。ITシステムへの認証手順：ITシステムへのログインには多要素認証を使用します。​​ 

非アクティブ状態の場合、自動的にブロックされます。​​ 

G-Pの従業員が使用するノートパソコンは、使用していないときはパスワードまたはPINでロックされます。 さらに、 15分間操作がないと、パスワード保護付きの自動画面ロックが設定されます。​​ 

ウイルス対策ソフトウェアの使用​​ 

G-Pの従業員が使用するノートパソコンには、最新のウイルス対策ソフトウェアが搭載されており、すべての業務用ITシステムにおいて常に最新の状態に保たれています。 原則として、同等の最先端のセキュリティ対策が講じられているか、リスクが全くない場合を除き、常駐型のウイルス対策ソフトなしでコンピュータを運用してはならない。デフォルトのセキュリティ設定は無効化したり、回避したりしてはなりません。​​ 

「クリーンデスクポリシー」​​ 

G-Pの従業員は、データ主体の個人データを印刷したり現地に保管したりしないよう指示されており、作業資料を第三者が閲覧する可能性のある場所に置かないこと、そしてすべての作業資料を適切に保管するよう指示されています。G-Pが法律で紙のコピーで保管することが義務付けられている書類は、施錠されたキャビネットに保管されています。​​ 

d)プラットフォーム内のアクセス制御​​ 

アクセス制御により、処理システムの使用を許可された者は、自身のアクセス権限で保護された個人データのみにアクセスできることが保証されます。​​ 

役割と権限​​ 

役割と認証プラットフォーム – 顧客アクセス 顧客ユーザーは、顧客アカウント情報を表示および編集できます。​​ 

役割と認証プラットフォーム – プロフェッショナルアクセス プロフェッショナルユーザーは、自身の専門情報を閲覧および編集できます。​​ 

専門家は、要件と承認に基づいて顧客アクセス権限を取得することもできます。​​ 

役割と認可プラットフォーム – 内部アクセス​​ 

内部アクセスユーザーには様々な役割がある。彼らは、以下の項目の作成、閲覧、編集、承認に関して、それぞれ異なるアクセス権限を持っています。​​ 

顧客情報​​ 

請求情報​​ 

パートナー情報​​ 

専門職の人事記録情報​​ 

管理システムへのアクセスは、一般的に、顧客サポートおよび製品開発分野の訓練を受けた従業員に限定されています。​​ 

e)サービスとしてのファイアウォール​​ 

G-Pは外部ファイアウォールをサービスとして利用しており、これによりウェブサイトへのアクセスを許可またはブロックし、システムが悪意のあるコンテンツにアクセスできないようにし、不適切なコンテンツへのアクセスを制限しています。​​ 

f) プラットフォームへのログイン記録​​ 

G-Pすべてのログインアクティビティの記録を保持します。​​ 

g)分離可能性​​ 

異なる目的で収集された個人データは個別に処理され、他のデータやシステムから分離されることで、これらのデータが他の目的で意図せず使用されることが排除されるようにする。​​ 

開発環境、テスト環境、運用環境の分離​​ 

運用環境からのデータは、転送前に完全に匿名化されている場合に限り、テスト環境または開発環境に転送することができます。匿名化されたデータの転送は、暗号化するか、信頼できるネットワークを介して行う必要がある。​​ 

運用環境に移行するソフトウェアは、まず同一のテスト環境（「ステージング」）でテストする必要があります。エラー解析プログラムやソフトウェアの作成・コンパイルプログラムは、やむを得ない場合に限り、オペレーティング環境で使用することができます。これは特に、エラー状況が、テスト環境への移行時に匿名化の要件によって改ざんされる可能性のあるデータに依存している場合に当てはまります。​​ 

ネットワークにおける分離​​ 

G-Pはタスクごとにネットワークを分離しています。以下のネットワークは、運用環境（「本番環境」）、テスト環境（「ステージング」、「サンドボックス」）、開発環境（「Dev」）のオフィスITスタッフによって常時使用されています。これらのネットワークに加えて、必要に応じて、例えば復旧テストや侵入テストのために、さらに別のネットワークが作成されます。技術的な可能性に応じて、ネットワークは物理的に分離されるか、仮想ネットワークによって分離される。​​ 

h)可用性管理​​ 

G-P 、個人データが偶発的な破壊や紛失から保護されるよう、以下の措置を講じています。​​ 

データ保護手順／バックアップ​​ 

十分な可用性を確保するため、 G-Pデータベースのデイリースナップショットを作成し、別のリージョンにレプリケーションを行っています。 また、業務上データを確認する必要のある従業員には、複製データセットのみへのアクセス権限が付与されるように対策が講じられている。​​ 

本番データおよびバックアップのサーバーインフラストラクチャに関する地理的冗長性​​ 

ITインシデント管理（「インシデント対応管理」）​​ 

事故や安全に関わる事象に対処するための概念と文書化された手順が存在する。これには、インシデントへの対応の計画と準備、セキュリティ関連イベントの監視、検出、分析の手順、および法的要件の枠組み内での個人データ保護違反が発生した場合の対応する責任と報告チャネルの定義が含まれます。​​ 

2 )データプライバシーと保護を確保するための組織的措置​​ 

G-P 、組織がデータプライバシーおよび保護要件を満たす方法で運営されることを確実にするために、以下の組織的措置を講じています。​​ 

a)組織に関する指示​​ 

G-Pは、従業員が従うべき方針、手順、ガイドラインを含むデータガバナンスプログラムを開発し、現在も開発中です。ドキュメントには、データプライバシーの問題を特定して管理する方法、プライバシーコンプライアンスを確保するためのベストプラクティス、およびプライバシーインシデントに対処するためのポリシーが含まれています。​​ 

b)機密保持とデータ保護への取り組み​​ 

G-Pは、従業員が従うべき方針、手順、ガイドラインを含むデータガバナンスプログラムを開発し、現在も開発中です。すべての従業員および契約社員は、機密保持義務、データ保護義務、およびその他の関連法規を遵守する義務を文書で負う。全従業員はプライバシーとセキュリティに関する研修を受けます。データ保護および情報セキュリティに関する内部監査は定期的に実施されています。監査は、共通の試験基準／方式に基づいて実施されます。G-Pの従業員および契約者は、顧客および専門家との契約に従い、データ主体からの明示的な同意または拒否を十分に考慮し、組織の合法的義務に則って個人データを処理するよう指示されています。​​ 

c)データ保護に関する研修​​ 

すべての従業員はプライバシーおよびセキュリティ研修を受けており、G-P研修プラットフォーム上でいつでもレビュー可能です。​​ 

d)物理的なアクセス制御​​ 

G-P 、処理に使用されるITシステム機器への不正アクセスを防止するために、以下の物理的な対策を講じています。​​ 

電子ドアセキュリティ​​ 

G-Pオフィスの入口は常に施錠され、電子的に施錠されています。ドアは個人用の電子トランスポンダーで開閉する。​​ 

鍵の管理された配布​​ 

G-Pの従業員には中央で文書化された鍵の割り当てが行われます。これらの電子トランスポンダー/キーは、各オフィス管理者または人事部によって一元的に無効化できます。​​ 

外部関係者の監督および同行​​ 

外部サービスプロバイダーおよびその他の第三者は、事前の承認がある場合、またはG-Pの同伴がある場合にのみ施設への立ち入りが許可されます。 G-P 、来訪者を施設に招く際に、文書化された来訪者ポリシーを適用します。​​ 

保護の必要性が高まっている施設の安全確保​​ 

法律事務所や特定の業務拠点など、より高いセキュリティ要件が求められる施設やキャビネットには、施錠可能なキャビネットや引き出しが設置されています。法的文書、契約書、機密文書を保管する戸棚や引き出しは、使用時を除き、常に施錠しておかなければならない。​​ 

閉められたドアと窓​​ 

従業員は、勤務時間外は窓やドアを閉めるか施錠するように組織から指示されている。​​ 

e)回復可能性​​ 

G-P 、物理的または技術的な障害が発生した場合でも、使用中のシステムを復旧できることを保証します。​​ 

データ復旧の定期テスト（「復元テスト」）​​ 

緊急事態や災害発生時の復旧性を確保するため、定期的に完全復旧テストを実施しています。​​ 

緊急時対応計画（「災害復旧構想」）​​ 

緊急事態や災害への対応に関する概念と、それに対応する緊急時対応計画が存在する。G-P 、データバックアップに基づいて、通常48時間以内にすべてのシステムの復旧を保証します。​​ 

レビューおよび評価措置​​ 

技術的および組織的措置の有効性を定期的に見直し、評価するための手順を提示する。​​ 

f)プライバシーチーム​​ 

当該組織には、データ保護分野における対策の計画、実施、評価、および適応を担当するグローバルデータプライバシーオフィスが設置されている。​​ 

g)リスク管理​​ 

リスクを分析、評価、配分し、これらのリスクに基づいて対策を導き出すためのプロセスが存在する。​​ 

3 )情報セキュリティに関する独立レビュー​​ 

監査の実施​​ 

データ保護および情報セキュリティに関する内部監査は定期的に実施されています。監査は、共通の試験基準／方式に基づいて実施されます。​​ 

b)セキュリティポリシーおよび基準への準拠状況のレビュー​​ 

個人データの処理に関して適用されるセキュリティガイドライン、基準、その他のセキュリティ要件への準拠は定期的に確認されます。可能な限り、これらの検査は無作為かつ予告なしに実施されます。​​ 

c)技術仕様への準拠の検証​​ 

IT部門またはその他の資格を有する担当者は、アプリケーションとインフラストラクチャのセキュリティ、および製品の定期的な開発状況を確認するために、定期的な自動および手動の脆弱性スキャンを実施します。詳細な侵入テストは、外部のサービスプロバイダーによって実施され、アプリケーションとインフラストラクチャの脆弱性を具体的に調査します。​​ 

d)命令の処理​​ 

G-Pの従業員は、顧客および専門家との適用契約に基づき、データ主体が与えた、または拒否した明示的な同意を十分に考慮し、組織の法的義務に従って、合法的な理由のみで個人データを処理するよう指示されています。​​ 

e)サプライヤーの慎重な選定​​ 

G-P 、保護対象データに接する可能性のあるベンダーおよびサプライヤーを選定する際に、サプライヤー事前資格審査プロセスを遵守します。 このプロセスには、財務部門および法務・プライバシー部門からのフィードバックが含まれ、リスク評価、セキュリティ事前資格審査、文書認証の手順が組み込まれています。保護されたデータを処理するサプライヤーは、対象データに関する28一般データ保護規則（GDPR）条項を含む、適用されるデータ プライバシー法の遵守を証明する必要があります。​​ 

附属書III​​