公益通報アラートおよび通報プラットフォームConvercentの利用における個人情報の収集および処理に関するプライバシーの取扱い（「プライバシー通知」）
ミリマン・インクとその関連会社（以下「ミリマン」または「当社」）は、公益通報アラートやその通報プラットフォームConvercentの利用にあたり、あなた自身および公益通報アラートで特定された人物に関する個人情報を収集する場合があります。本プライバシー通知において、「個人情報」とは、自然人の特定につながるあらゆる情報を意味します。自然人は、氏名またはID番号から直接特定することができます。また、位置情報データやオンライン識別子、またはその人物の身体的、生理学的、遺伝的、精神的、経済的、文化的、社会的なアイデンティティーに特有な一つ以上の要素から間接的に特定することも可能です。
本プライバシー通知は、適用されるデータ保護法（以下を含む）に準拠しています。
- 一般データ保護規則（General Data Protection Regulation、GDPR）（規則（EU）2016/679）
- 2018年英国データ保護法（UK Data Protection Act 2018）
- 2018年マン島データ保護法（Manx Data Protection Act 2018）
- スイス連邦データ保護法（Swiss Federal Data Protection Act）
- 個人情報保護法（Protection of Privacy Law）5741-1981および同法に基づく規則（イスラエル）
- 2020年DIFCデータ保護法第5号（DIFC Data Protection Law No. 5 of 2020）（UAE）
- 個人情報保護法（Protection of Personal Information Act、POPIA）（南アフリカ）
- 個人情報保護法第6698号（law on Protection of Personal Information No. 6698）（トルコ）
- 個人データ保護法（Personal Data Protection Law、PDPL）および個人データ保護暫定規則（Personal Data Protection Interim Regulations、PDPIR）（サウジアラビア）
以下、「適用されるデータ保護法」とします。
「あなた」および「あなたの」とは、不正行為を通報する公益通報者（または 「通報者」）を意味します。
本プライバシー通知が規定する条項は、アラートで通報された各個人にも適用されます。
I. 個人情報収集の目的
個人情報の収集は、以下の目的のために行われます。
- あなたの主張の分析
- 調査の実施
- 各種準拠法（欧州公益通報者指令（European Whistleblower Directive）（EU）2019/1937を含む）およびその現地適用法の遵守
II. 個人情報の処理に関する法的根拠
ミリマンは、GDPR第6条c項（法的義務の遵守）、GDPR第6条f項（ミリマンが追求する正当な利益）および適用されるデータ保護法における同等の規定に依拠します。
III. 個人情報収集の責任者
あなたの個人情報の収集、使用、保管、移転に際し、ミリマンおよびその関連会社が、「データ管理者」（または適用される様々なデータ保護法における同等の名称）として当該行為を行います。これは、ミリマンが単独で、あなたの個人情報処理の目的および手段を決定し、あなたの個人情報処理に関する責任を負うことを意味します。
ミリマンは、クラウド型の倫理・コンプライアンス・プラットフォームである 「Convercent Inc. by One Trust」（登記上本社所在地：3858 Walnut Street, Suite #255, Denver CO 80205）(以下「Convercent」）を採用しています。Convercentは、サービス型ソフトウェア・プラットフォーム（SaaSプラットフォーム）で、通報者はウェブポータルから不正行為を書面で通報することができます（匿名も可）。
Convercentは、ミリマンのデータ処理者（または適用される様々なデータ保護法における同等の名称）です。つまり、Convercentがミリマンの指示に従い、ミリマンの代理として行為を行うことを意味します。Convercentとミリマンは、データ処理契約を締結しています。
IV. 個人情報へのアクセス権
あなたには、Convercentのウェブポータルを通じて、不正行為を匿名または顕名（実名）で通報するオプションがあります。個人情報へのアクセス権を付与される者は、あなたが選択した通報の仕方により決まります。
- 顕名（実名）による通報
あなたが顕名で通報した場合、該当する職場 に応じて、指定された「ケース・オーナー」があなたの訴えを扱います。具体的には、(i) 欧州経済地域（EEA）、スイス、マン島、英国のミリマン・オフィスを担当するミリマンの欧州・中東・アフリカ法務部長（Head of Legal EMEA）、または (ii) その職場のある地域を担当するミリマンの HR ビジネス・パートナー（例えば、EEA、スイス、マン島、英国にあるミリマン・オフィスの従業員に対してはミリマンの欧州HR ビジネス・パートナー）のいずれかになります。
あなたのアイデンティティーが第三者に開示されることはありませんが、(i)本通知のセクション第VIIの記載に該当する場合、および (ii) 通報された事案の分析により、犯罪、違法行為または重大な違反の疑いがあると認められる場合に、あなたの同意を得て司法当局に開示する場合を除きます。ミリマンは、あなたから同意を得られない場合には、法律で定められている場合を除き、あなたのアイデンティティーを開示することはありません。ミリマンは事案の本案を分析するため、公益通報者のアイデンティティーの秘匿を厳守した上で、知る必要のある事実のみを他者に知らせることができます。なお、外部弁護士とのやり取りについては、本プライバシー通知の対象とはなりません。
- 匿名による通報
公益通報者には、ミリマンに対しては匿名とする一方でConvercentに対しては顕名とする方法と、ミリマンとConvercentの両方に対して完全に匿名とする方法の2つのオプションが用意されています。いずれの場合においても、Convercentがミリマンの地域毎の「ケース・オーナー」に対して自動メールアラートを送信し、事案の発生を通知します。
V. ミリマンとConvercentが収集する個人情報
ミリマンが収集するあなたや他者についての個人情報は、あなたが選択した通報手段によって異なります。
(i) 顕名による通報
あなたが顕名で通報をした場合、または匿名通報後にあなたのアイデンティティーを明らかにすることに同意した場合、Convercentのウェブポータルは下記データを収集することがあります。
あなたのアイデンティティーの詳細および連絡先の情報
雇用関連識別子（勤務地IDおよびその名称、部署IDおよびその名称）
アラートに使用されたあなたの電子メール
問題が発生した場所と日付
通報で特定された人物のアイデンティティー
調査中の事実
通報内容を調査するために収集された必要資料
調査報告書
通報事案のフォローアップ
証人に関する情報
また、処理されたデータには、個人の人種や民族的出自、政治的意見、宗教や哲学的信念、労働組合への加入状況、健康、性生活、性的指向、前科や犯罪歴に関する情報など、適用されるデータ保護法におけるセンシティブ・データ（または 特殊カテゴリーの個人データ）を含む場合があります。
ケース・オーナーの要請に応じて、通報者は、主張を裏付ける可能性のあるあらゆる文書を提供します。情報提供者の同意の下、あらゆる会話を耐久的かつ検索可能な形式で記録することができます。ただし会話の記録内容については、通報者による確認、修正、承認を前提とします。通報者の同意に基づき面会が行われた場合、面会の完全かつ正確な記録を、耐久的かつ検索可能な形式で保管することができます。ただしこの面会の記録内容は、通報者による確認、修正、承認を前提とします。
(ii) 匿名による通報
あなたは、あなたの個人情報（上記 (i) と同じデータ）をConvercentのみに開示する、またはConvercentとミリマンのいずれにも開示しないとすることができます。
Convercentとミリマンは、Convercentが匿名公益通報者のアイデンティティーを特定できるような情報をミリマンに一切提供してはならないことに合意しています。ミリマンは、インターネット・アクセスの監視や追跡、その他の手段により、特定のメッセージを提供した者を割り出すようなことはしません。
VI. 個人情報の保存形式および保存期間
ミリマンおよび Convercentは、正確なデータを保管し、また必要に応じてデータを最新の状態に保ち、不正確、不適切、あるいは処理目的に照らして厳密に必要であるとは認められない個人情報については、速やかに消去または修正するためにあらゆる適切な措置を講じます。例えば、公益通報者がミリマンに対する同僚の詐欺行為を通報した内容に、その同僚の健康状態に関する情報が含まれていた場合、通報された不正行為と関係ない情報については、可能であれば、記録に残らないようにします。
事案の分析が終了し、いかなる措置も講じられない場合、ミリマンは事案終了後2ヶ月以内に個人情報を破棄します。懲戒手続きまたは訴訟手続きが開始された場合、データは手続きが終了するまで保持されます。なお、手続きの範囲外の個人情報は破棄されます。あなたは、法律で認められる範囲内で、その事案の終了日についての通知を受けます。
VII. 第三者への情報の移転
Convercentは、クラウドプロバイダーであるMicrosoft Azureを利用しています。Convercentウェブポータルを使用する場合、あなたの個人情報は、アイルランドまたはオランダのクラウドに保存されます。米国（デンバー）で勤務するConvercentの事務管理およびITスタッフが提供するサービスの一環として、これらのデンバーの従業員が、厳格なセキュリティ対策（Jump BoxおよびVPNトンネル使用）の下、あなたの個人情報にアクセスする場合があります。このような情報の移転は、適用されるデータ保護法に基づいてあなたの個人情報を保護するための適切な契約上の保証の対象となっています。
VIII. セキュリティ対策
ミリマンは、ConvercentのITセキュリティを審査し、十分な検証を行いました。Convercentは、同社のソフトウェアおよびハードウェア、ITセキュリティプログラム、標準業務手順において、データ保護およびデータセキュリティ対策とプロセスを実施しています（「プライバシー・バイ・デザイン（Privacy by Design）」）。また、Convercentは、 ISO27001、HI TRUST、SOC2、NISTの認証も取得しています。
IX. あなたの権利
ミリマンおよびConvercentそれぞれがあなたの個人情報を保有する間、あなたは以下の権利を有します。
あなたの個人情報にアクセスする権利 - あなたには、当社があなたに関するどのような情報を保有しているかについて、いつでも当社に確認を求める権利があります。
訂正を求める権利 - あなたには、不正確または不完全な個人情報を訂正する権利があります。
あなたの個人情報の処理に異議を唱える権利 – あなたには、ミリマンが正当な目的のためにあなたの個人情報を処理する際に、その処理に異議を唱える権利があります。ただし、1) ミリマンが、あなたの利益や権利に優先して処理を行うために必要不可欠であり正当な理由があることを証明できる場合、または 2) ミリマンがあなたの個人情報を処理する法的根拠を有する場合を除きます。
忘れられる権利 - あなたには、ミリマンが当初の収集・処理目的についてデータがもはや必要でない場合（すなわち事案終了後2ヶ月の保存期間の後）、データが違法に処理された場合、あるいはあなたにミリマンの正当な理由に優先する正当な利益がある場合、などの特定の状況において、あなたの個人情報の消去を求める権利があります。
処理を制限する権利 - あなたには、特定の状況において個人情報の処理を制限する権利があります。1) あなたの個人情報が不正確である場合、 2) あなたの個人情報の処理が違法である場合、 3) ミリマンがもはやその個人情報を必要とせず（すなわち、事案が終了してから2ヶ月の保存期間の後）、あなたが法的請求権の確立、行使または弁護のためにその情報を必要とする場合（あなたがこの権利を行使できるよう、ミリマンはあなたに事案の終了日について正式に通知することを保証します）。
これらの権利は、適用される国内法が認める範囲において、犯罪の防止、調査、捜査または訴追には適用されません。
ミリマンがあなたの要求を拒む場合、ミリマンはその理由をあなたに提示します。なお、係る要求は、ミリマンの指定アドレス（[email protected]）に送付する必要があります。要求を受領した日から遅くとも1ヶ月以内に回答します。
X. データ保護管理者
本プライバシー通知に関する質問は、ミリマンのデータ保護責任者（[email protected]）までお問い合わせください。
XI. 監督官庁への申し立て
あなたには、適用されるデータ保護法に従って、管轄地域の監督官庁に苦情を申し立てる権利があります。
1 以下を 「職場」とみなします。
- ミリマンにおける役職、インターンシップ（社員、元社員、契約社員、有給・無給の研修生）で、または（ミリマンのサプライヤーまたは請負業者の社員として）ミリマンのために業務が遂行された／遂行されている以前または現在の勤務場所
- ミリマンに就職を応募した勤務場所（求職者の場合）
- 事業の管理、経営または監督組織の関係者、役員以外の者、ボランティア、自営業者として、ミリマンと関係を持つ者の当時または現在の勤務場所