GDPRコンプライアンス

1. はじめに

本GDPRコンプライアンスページでは、OneSuiteとして事業を行うMailBluster LLC（以下「OneSuite」「当社」といいます）が、一般データ保護規則（EU）2016/679（以下「GDPR」といいます）に従って個人データをどのように収集、利用、保存、共有、保護しているかについての追加情報を提供します。

本ページは、欧州経済領域に所在する個人、および該当する場合には英国一般データ保護規則（以下「UK GDPR」といいます）によって保護される個人に適用されます。

本ページは、当社のプライバシーポリシー、利用規約、データ処理条項、およびクッキーポリシーを補完するものです。

GDPRまたはUK GDPRによって保護される個人の権利に関して、本ページと当社の一般的なプライバシーポリシーとの間に矛盾がある場合、法律が求める範囲において、本ページの規定が適用されます。

2. 会社情報

OneSuiteに責任を負う組織は次のとおりです。

MailBluster LLC（OneSuiteとして事業を行う）
2810 N Church Street
Wilmington, Delaware 19802
アメリカ合衆国

メール: [email protected]
ウェブサイト: onesuite.io

EU代理人 — 第27条

Farhan Mahbub
Universitätsstr. 1, App. 700-3
03046 Cottbus
ドイツ

メール: [email protected]

英国代理人 — UK GDPR第27条

Sabah Sarwar
25 Langtry Court
Belfast, BT5 4DN
英国

メール: [email protected]

3. GDPRにおける当社の役割

OneSuiteは、個人データが処理される状況に応じて、データ管理者またはデータ処理者のいずれかとして行動する場合があります。

3.1 データ管理者としてのOneSuite

当社が個人データを処理する理由と方法を決定する場合、OneSuiteはデータ管理者として行動します。

これには、次の目的で処理される個人データが含まれます。

• OneSuiteアカウントの作成および管理
• サブスクリプションおよび請求の管理
• カスタマーサポートの提供
• 当社ウェブサイトおよびプラットフォームの運営および保護
• サービスに関する情報の連絡
• 許可された分析の実施
• 許可される場合のマーケティング連絡の送信
• 法令および規制上の義務の遵守

3.2 データ処理者としてのOneSuite

顧客が自社のクライアント、連絡先、リード、チームメンバー、業務委託先その他の個人に関する個人データを処理するためにプラットフォームを利用する場合、OneSuiteはデータ処理者として行動します。

その場合、次のとおりとなります。

• 顧客が原則としてデータ管理者となります
• OneSuiteは顧客の文書化された指示に基づいて個人データを処理します
• 顧客が処理の目的および法的根拠を決定します
• 当社のデータ処理条項が適用されます
• 必要なプライバシー通知の提供および必要な同意の取得は顧客の責任です

当社の顧客によってOneSuiteに個人データが入力された個人は、通常、プライバシーに関する請求をその顧客に対して行う必要があります。

4. 当社が処理する個人データ

OneSuiteの利用方法に応じて、当社は次の種類の個人データを処理する場合があります。

4.1 アカウントおよび本人確認情報

• 氏名
• メールアドレス
• 電話番号
• 住所または事業所所在地
• ユーザーおよび事業者の識別子
• アカウント設定
• ハッシュ化された認証情報

4.2 顧客が提供する情報

当社の顧客は、次の機能を通じてOneSuiteに個人データを入力する場合があります。

• CRMの連絡先および企業
• リードおよび商談
• クライアントポータル
• プロジェクトおよびタスク
• コメントおよびコミュニケーション
• ファイルおよびドキュメント
• 提案書および契約書
• 請求書および支払記録
• 工数記録
• カスタムフィールド
• 連携アプリケーション

顧客は、自身のOneSuiteアカウントに入力する情報を管理します。

4.3 メール連携情報

メールアカウントを接続すると、OneSuiteは次の情報を処理する場合があります。

• 接続されたアカウントの識別子
• 送信者および受信者のアドレス
• CC受信者
• メールの件名
• メール本文の内容
• スレッド識別子
• 送受信のタイムスタンプ
• メッセージの方向およびステータス
• 添付ファイルのメタデータ
• OAuthトークン

OneSuiteはお客様のメールアカウントのパスワードを収集しません。

メールの添付ファイルは、要求時に接続先プロバイダーから取得されます。OneSuiteは、ファイル名、種類、サイズ、プロバイダー識別子などの添付ファイルのメタデータを保存します。

4.4 請求情報

OneSuiteは次の情報を処理する場合があります。

• 請求先の氏名および住所
• 取引履歴
• サブスクリプションの詳細
• Stripeの顧客識別子
• 支払カードの下4桁

支払カードの完全な情報は該当する決済プロバイダーによって処理され、OneSuiteのサーバーには保存されません。

4.5 利用状況および技術情報

当社は次の情報を自動的に処理する場合があります。

• IPアドレス
• ブラウザの種類およびバージョン
• デバイスおよびオペレーティングシステム情報
• 利用したページおよび機能
• ログインおよび操作のタイムスタンプ
• 操作およびパフォーマンスに関する情報
• セキュリティおよび診断ログ

4.6 サポートおよび連絡に関する情報

当社は次に含まれる情報を保持する場合があります。

• サポートチケット
• サポートチャットの会話
• OneSuite宛に送信されたメール
• 製品に関するフィードバック
• デモおよび営業に関する問い合わせ
• 当社チームとのその他のやり取り

4.7 個人データの取得元

個人データの大部分は、お客様から直接提供されるか、当社の顧客によってOneSuiteに入力されます。

当社は、接続されたメールアカウントやカレンダーアカウントを含む他の情報源からも個人データを受領します。利用者がメールボックスまたはカレンダーを接続すると、OneSuiteは、OneSuiteの利用者ではない可能性のある送信者、受信者、会議の主催者および会議の出席者に関する情報を受領します。

これらの情報は、当該アカウントを接続した顧客のために処理されます。当該顧客は、適切な法的根拠を確立し、影響を受ける個人に必要なプライバシー通知を提供する責任を負います。

5. 処理の法的根拠

当社は、GDPR第6条に定める法的根拠のうち1つ以上に基づいて個人データを処理します。

5.1 契約の履行 — 第6条1項(b)

お客様との契約を締結または履行するために必要な場合、当社は個人データを処理します。

これには次が含まれる場合があります。

• アカウントの作成および維持
• OneSuiteへのアクセス提供
• 要求されたプラットフォーム機能の提供
• サブスクリプションの管理
• 支払いの処理
• 技術サポートおよびカスタマーサポートの提供
• 重要なサービス連絡の送信
• 接続されたサービスおよび連携の管理

5.2 正当な利益 — 第6条1項(f)

当社の正当な事業上の利益のために必要な場合、当該利益がお客様の権利および自由に優先されない限り、当社は個人データを処理することがあります。

当社の正当な利益には次が含まれる場合があります。

• OneSuiteの運営および改善
• 機能の利用状況の把握
• サービスの信頼性の維持
• アカウントおよびプラットフォーム基盤の保護
• 不正行為、濫用、不正アクセスの検知
• セキュリティインシデントの調査
• プラットフォームの不正利用の防止
• 顧客からの問い合わせへの対応
• 適切な業務記録の保持
• 既存顧客への関連情報の連絡

必要な場合、当社は当該処理が必要かつ相当であり、本人が合理的に予期しうるものであるかを評価します。

5.3 法的義務 — 第6条1項(c)

次を含む法的義務を遵守するために必要な場合、当社は個人データを処理することがあります。

• 税務および会計上の要件
• 記録保持の要件
• 規制上の義務
• 適法な政府機関の要請
• 裁判所命令および法的手続
• 不正防止の要件
• データ保護上の義務

5.4 同意 — 第6条1項(a)

当社は次のような活動について同意に依拠する場合があります。

• 必須ではないクッキーの設置
• お客様が任意に提供する情報の処理
• 同意が必要な任意機能の有効化

お客様はいつでも同意を撤回できます。

撤回は、撤回前に行われた処理の適法性には影響しません。

5.5 法的権利の保護

法律が認める範囲において、法的請求の立証、行使または防御に必要な場合、当社は個人データを処理することがあります。

6. データ保護の原則

OneSuiteは、個人データの処理にあたり次のGDPRの原則を適用します。

6.1 適法性、公正性および透明性

当社は適切な法的根拠に基づいて個人データを処理し、その利用方法について情報を提供します。

6.2 目的の限定

当社は、特定され、明確かつ正当な目的のために個人データを収集し、当該目的と相容れない方法では利用しません。

6.3 データの最小化

当社は、該当する目的のために合理的に必要な個人データのみを処理するよう努めます。

6.4 正確性

当社は個人データを正確に保つために合理的な措置を講じ、利用者が誤った情報や不完全な情報を更新できるようにしています。

6.5 保存期間の制限

当社は、該当する目的、契約上の要件または適用法に照らして必要な期間に限り個人データを保持します。

6.6 完全性および機密性

当社は、不正アクセス、開示、改ざん、滅失または破壊から個人データを保護するための技術的および組織的措置を維持しています。

6.7 説明責任

当社は、データ保護上の責任の遵守を示すための方針、契約上の管理、セキュリティ対策および処理記録を維持しています。

7. GDPRに基づくお客様の権利

適用される条件および例外に従い、お客様は次の権利を行使できます。

7.1 アクセス権 — 第15条

お客様は次を請求できます。

• 当社がお客様の個人データを処理しているかどうかの確認
• 当社が保有するお客様の個人データの写し
• 処理の目的に関する情報
• 取得者または取得者の類型に関する情報
• 想定される保存期間
• お客様に適用される権利に関する情報

7.2 訂正権 — 第16条

お客様は、不正確な個人データの訂正または不完全な情報の補完を当社に請求できます。

また、一部の情報はOneSuiteアカウントから直接更新できる場合があります。

7.3 消去権 — 第17条

次の場合、お客様は個人データの削除を請求できます。

• 当初の目的のために不要となった場合
• 同意を撤回し、他の法的根拠がない場合
• 処理に対する異議申立てが認められた場合
• 情報が違法に処理された場合
• 法的義務の遵守のために削除が必要な場合

消去権は絶対的なものではありません。法的義務の遵守、法的権利の行使、紛争の解決、不正の防止または契約の履行強制のために必要な場合、当社は情報を保持することがあります。

7.4 制限権 — 第18条

次の期間中、お客様は個人データの処理の制限を請求できます。

• 正確性が検証されている間
• 異議申立てが検討されている間
• 処理が違法であるが、削除ではなく制限を希望する場合
• 当社には情報が不要となったが、お客様が法的請求のために必要とする場合

7.5 データポータビリティ権 — 第20条

処理が自動化されており、同意または契約に基づく場合、お客様は対象となる個人データを構造化され、一般的に利用され、機械可読な形式で請求できます。

技術的に可能であり、法律上要求される場合、お客様は当該情報を他の管理者へ直接移転するよう請求できます。

7.6 異議申立権 — 第21条

お客様は、正当な利益に基づく処理に対して異議を申し立てることができます。

異議申立てがあった場合、次の場合を除き、当社は該当する処理を停止します。

• お客様の権利に優先するやむを得ない正当な根拠を当社が示す場合
• 法的請求の立証、行使または防御のために処理が必要な場合

お客様はいつでもダイレクトマーケティングに対して異議を申し立てることができます。その場合、当社は当該マーケティング目的での個人データの処理を停止します。

7.7 同意を撤回する権利

処理が同意に基づく場合、お客様はいつでもその同意を撤回できます。

同意は、該当するクッキー設定もしくは機能設定から、またはOneSuiteに連絡することにより撤回できます。

7.8 自動化された意思決定に関する権利 — 第22条

お客様は、プロファイリングを含む自動化された処理のみに基づく決定であって、法的効果を生じさせ、または同様に重大な影響を及ぼすものの対象とならない権利を有します。ただし、適用法が認める場合を除きます。

OneSuiteは、適切な人的関与なしに、自動化された処理のみによってアカウントの停止もしくは解約を行い、または法的効果もしくは同様に重大な影響を生じるその他の決定を行うことはありません。

7.9 苦情申立ての権利

お客様は、次に該当するEEA加盟国のデータ保護当局に苦情を申し立てることができます。

• 通常居住している国
• 就労している国
• GDPR違反が発生したと考える国

欧州のデータ保護当局の一覧は、欧州データ保護会議を通じて入手できます。

英国にお住まいの場合は、ico.org.ukより情報コミッショナー事務局（ICO）に苦情を申し立てることができます。

まずは当社にご連絡いただき、対応の機会をいただけますようお願いいたします。

8. 権利の行使方法

GDPRに基づく請求を行うには、次までご連絡ください。

メール: [email protected]
件名: GDPR Request

当社が次を行えるよう、十分な情報をご記載ください。

• お客様の本人確認
• 該当する情報の特定
• 行使を希望される権利の把握
• OneSuiteが管理者と処理者のいずれとして行動しているかの判断

当社は、お客様の本人確認およびアカウントを不正な請求から保護するため、追加情報を求める場合があります。

当社は原則として、不当な遅滞なく、有効な請求の受領から1か月以内に対応します。

請求が複雑である場合または複数の請求が提出された場合、対応期間はさらに最大2か月延長されることがあります。延長する場合は、その旨と理由を通知します。

権利の行使に通常費用はかかりません。ただし、GDPRが認める場合、明らかに根拠を欠くまたは過度な請求については、相当額の手数料を請求し、または対応を拒否することがあります。

OneSuiteが顧客のためにのみ情報を処理している場合、当社は請求を当該顧客に転送し、または顧客の対応を支援することがあります。

9. データの保存と削除

当社は、次の目的に必要な期間に限り個人データを保持します。

• OneSuiteのサービスを提供すること
• アカウントを維持すること
• 取引を完了すること
• 契約上の義務を履行すること
• サポート要請に対応すること
• プラットフォームを保護すること
• 紛争を解決すること
• 法的要件を遵守すること
• 法的請求を行使または防御すること

一般的な保存方針は次のとおりです。

• アカウントデータ: アカウントが有効である間保持され、アカウント削除後に稼働中のシステムから削除されます
• メール連携データ: メールアカウントが接続されている間保持されます
• OAuthトークン: 該当する連携が接続されている間保持されます
• 支払いおよび会計記録: 適用される財務・法令上の要件に従い、通常最長7年間保持されます
• 顧客が管理するコンテンツ: 顧客の指示およびアカウントの状態に応じて保持されます

アカウントが削除された場合、関連データは稼働中のシステムから除去されます。ただし、法律により保持が求められる場合、または法的請求の立証、行使もしくは防御のために合理的に必要な場合を除きます。

データは、稼働中のシステムから削除された後も、限られた期間、暗号化されたバックアップに残る場合があります。その期間の経過後、バックアップはOneSuiteの通常のバックアップローテーションにより上書きされます。

アカウント終了後の顧客管理下の個人データの処理は、当社のデータ処理条項にも従います。

10. 国際的なデータ移転

OneSuiteは主に、アイルランドリージョンを含む欧州連合内のAmazon Web Servicesのインフラストラクチャを利用してアプリケーションデータを保存しています。

一部の承認済みサービスプロバイダーは、米国を含むEEA域外で限定的な個人データを処理する場合があります。

欧州委員会の十分性認定を受けていない国に個人データが移転される場合、OneSuiteは適用されるデータ保護法が求める適切な保護措置を用います。

これらの保護措置には次が含まれる場合があります。

• 欧州委員会が承認した標準契約条項
• 十分性認定
• 米国のサービスプロバイダーが認証を受けている場合のEU・米国データプライバシーフレームワーク
• UK GDPRの適用を受ける移転についての英国国際データ移転付属文書（IDTA）
• 契約上のデータ保護要件
• 転送中および保存時の暗号化
• アクセス制御および守秘義務
• 必要な場合の移転リスク評価

副処理者および国際移転に関する追加情報は、当社のプライバシーポリシーおよびデータ処理条項に記載しています。

11. 副処理者

OneSuiteは、プラットフォームの運用を支えるために選定した第三者サービスプロバイダーを利用しています。

利用するサービスおよび機能に応じて、これらのプロバイダーには次が含まれる場合があります。

• クラウドインフラおよびホスティングのためのAmazon Web Services
• トランザクションメール配信のためのAmazon SES
• トランザクションメール配信のためのMailgun
• ドメイン、ネットワーク、プロキシ、セキュリティおよびコンテンツ配信サービスのためのCloudflare
• サブスクリプション決済処理のためのStripe
• ウェブサイト分析のためのGoogle Analytics
• カスタマーサポート連絡のためのCrisp
• 顧客が選択した接続先のメール、カレンダー、ストレージ、スケジュール、決済プロバイダー

OneSuiteがデータ処理者として行動する場合、顧客の個人データを処理する副処理者は適切なデータ保護上の約束を提供することが求められます。

OneSuiteは、プラットフォームの発展に伴い副処理者を更新する場合があります。当社のデータ処理条項が求める場合、顧客には関連する変更が通知され、正当なデータ保護上の理由に基づいて異議を申し立てる機会が与えられます。

12. データセキュリティ

OneSuiteは、個人データを保護するための技術的および組織的措置を維持しています。

これらの措置には、該当する場合、次が含まれます。

• 保存時の情報の暗号化
• TLS 1.2以上を用いた転送中の暗号化
• ロールベースのアクセス制御
• 業務上の必要性に基づき権限を有する担当者に限定したアクセス
• 監査ログおよびシステム監視
• インシデント対応手順
• 機微情報の不要な露出を減らすためのログのサニタイズ

インターネットを通じた送信方法または電子的保存方法で完全に安全なものはなく、OneSuiteは絶対的な安全性を保証できません。

OneSuiteは、特定されたリスク、運用上の要件およびサービスの変更に基づき、保護措置を見直し更新しています。

13. 個人データ侵害

OneSuiteは、個人データ侵害の疑いを特定、調査、封じ込め、記録および是正するための手順を維持しています。

13.1 OneSuiteが管理者として行動する場合

個人データ侵害が個人の権利および自由に対するリスクをもたらす可能性が高い場合、OneSuiteは不当な遅滞なく、可能な場合には侵害を認識してから72時間以内に、所轄監督機関に通知します。

侵害が影響を受ける個人に高いリスクをもたらす可能性が高い場合、適用される例外に該当しない限り、OneSuiteは当該個人にも不当な遅滞なく通知します。

13.2 OneSuiteが処理者として行動する場合

顧客のために処理している情報に影響する個人データ侵害をOneSuiteが認識した場合、当社のデータ処理条項に従い、不当な遅滞なく該当する顧客に通知します。

管理者である顧客は、監督機関または影響を受ける個人への通知が必要かどうかを判断する責任を引き続き負います。

13.3 侵害の記録

OneSuiteは、次を含む個人データ侵害を記録します。

• インシデントに関する判明した事実
• その影響または想定される影響
• 調査上の措置
• 封じ込め措置
• 是正措置
• 実施した通知

14. データ保護バイデザインおよびバイデフォルト

OneSuiteは、プラットフォームの設計、開発および運用にあたりデータ保護の原則を考慮しています。

当社の取り組みには次が含まれます。

• 収集をプラットフォームの機能に関連する情報に限定すること
• ユーザーの役割および権限に基づいてアクセスを制限すること
• 接続されたサービスを切断できるようにすること
• データの訂正および削除に対応すること
• 顧客のワークスペースを分離すること
• 安全な開発およびアクセス管理の実践を適用すること
• 新機能および連携のプライバシーへの影響を検討すること
• 合理的に適切な場合にプライバシー保護に資する設定を用いること

顧客は、自身のデータ保護上の義務に従って、自社のOneSuiteワークスペース、役割、連携、カスタムフィールド、クライアントポータルおよびワークフローを設定する責任を引き続き負います。

15. 個別の処理活動

15.1 アカウント管理

• 目的: OneSuiteアカウントの作成、保護および管理
• 法的根拠: 契約の履行および正当な利益
• 対象データ: 本人確認、連絡先、認証、アカウントおよび利用状況の情報

15.2 プラットフォームサービスの提供

• 目的: CRM、クライアントポータル、プロジェクト管理、ドキュメント、請求、工数管理、コミュニケーションおよび関連機能の提供
• 法的根拠: 契約の履行
• 対象データ: アカウント情報および顧客が提供したコンテンツ

15.3 メール連携

• 目的: メールの同期、表示、送信、受信およびCRMレコードとの関連付け
• 法的根拠: 契約の履行および利用者の指示
• 対象データ: メールのメタデータ、メッセージ本文、接続アカウントの識別子およびOAuthトークン

利用者は、OneSuite上で連携を解除するか、接続先プロバイダーを通じてアクセスを取り消すことができます。

15.4 決済処理

• 目的: サブスクリプション決済の処理および請求記録の保持
• 法的根拠: 契約の履行および法的義務
• 対象データ: 請求情報、取引記録、サブスクリプション情報および限定的なカード情報

カードの完全な情報は該当する決済プロバイダーによって処理されます。

15.5 カスタマーサポート

• 目的: 問い合わせへの対応、問題の診断およびサポートの改善
• 法的根拠: 契約の履行および正当な利益
• 対象データ: アカウント情報、やり取り、技術情報および問題の内容

15.6 分析およびサービス改善

• 目的: ウェブサイトおよびプラットフォームの利用状況の把握、機能の改善、パフォーマンスの維持
• 法的根拠: EEAおよび英国におけるクッキーベースの分析については同意、集計された製品利用状況の分析については正当な利益
• 対象データ: 利用状況、機能の操作、デバイス情報および匿名化または限定されたIP情報

15.7 セキュリティおよび不正防止

• 目的: アカウント、利用者、インフラおよびサービスの健全性の保護
• 法的根拠: 正当な利益および法的義務
• 対象データ: 認証の記録、IPアドレス、デバイス情報、監査ログおよびアカウントの操作履歴

15.8 マーケティング連絡

• 目的: 製品ニュース、学習用資料、特典およびOneSuiteの製品・サービスに関する情報の送信
• 法的根拠: 既存顧客に当社の製品・サービスについて連絡する正当な利益
• 対象データ: 氏名、メールアドレス、顧客との関係、アカウント情報および連絡に関する設定

OneSuiteアカウントを作成された場合、当社は、お客様が登録されたサービスについて顧客に連絡するという正当な利益に基づき、お客様を製品メーリングリストに追加することがあります。

各メッセージに記載の配信停止リンクからいつでも配信を停止でき、その場合、当社はマーケティング連絡の送信を停止します。

16. クッキーおよびトラッキング技術

OneSuiteは、次を含む目的でクッキーおよび類似の技術を利用します。

• 認証
• セッション管理
• セキュリティ
• 利用者の設定の記憶
• ウェブサイト分析
• マーケティング効果の測定
• 関連する連絡または広告の配信

必須クッキーは、ウェブサイトおよびプラットフォームの動作に必要です。

EEAおよび英国では、クッキーベースの分析技術およびマーケティング技術は、適用法が求める場合、同意を取得した後にのみ使用されます。

利用者はOneSuiteのクッキー同意ツールを通じて必須ではないクッキーを受け入れ、拒否し、または管理できます。

詳細は当社のクッキーポリシーをご覧ください。

17. 子どもの個人データ

OneSuiteはビジネス向けプラットフォームであり、16歳未満の子どもを対象としていません。

当社は、16歳未満の子どもから直接個人データを意図的に収集することはありません。

適切な許可なく子どもが個人データを提供したことが判明した場合、当社は合理的な措置を講じて削除します。

顧客は、適切な法的根拠を有し、適用されるすべての要件を遵守する場合を除き、子どもの個人データの収集または処理のためにOneSuiteを利用してはなりません。

18. データ保護に関する連絡先

GDPRに関するご質問、プライバシーに関する懸念、苦情、または権利行使のご請求は、次までご連絡ください。

Syed Rezwanul Haque
OneSuite 創業者

メール: [email protected]
件名: GDPR Request

MailBluster LLC（OneSuiteとして事業を行う）
2810 N Church Street
Wilmington, Delaware 19802
アメリカ合衆国

EU代理人 — 第27条

Farhan Mahbub
Universitätsstr. 1, App. 700-3
03046 Cottbus
ドイツ

メール: [email protected]

英国代理人 — UK GDPR第27条

Sabah Sarwar
25 Langtry Court
Belfast, BT5 4DN
英国

メール: [email protected]

19. 本ページの変更

当社は、次の変更を反映するために本GDPRコンプライアンスページを更新する場合があります。

• 適用される法令および規制当局のガイダンス
• OneSuiteの製品および機能
• 当社の処理活動
• セキュリティ対策
• サービスプロバイダーおよび副処理者
• 国際移転の取り決め
• 当社のプライバシーポリシーまたはデータ処理条項

本ページを更新した場合、最終更新日を改訂します。

必要な場合、重要な変更はメール、OneSuiteプラットフォームその他の適切な方法でも通知されることがあります。

本ページは一般的な情報提供を目的としたものであり、法的助言を構成するものではありません。