プライバシーポリシー

Kendis Oyは、フィンランドで設立された法人であり、事業者番号は2874062-5、登記上の所在地はLapinlahdenkatu 16、00180 ヘルシンキ、フィンランドです。第2条に別段の定めがある場合を除き、Kendis Oyは本プライバシーポリシーに記載された取扱いについての管理者です。

プライバシーに関するお問い合わせ： privacy@kendis.io。セキュリティに関するご報告： security@kendis.io。

Kendisは、二つの異なる立場で個人データを取り扱います。いずれが適用されるかは、対象となるデータによって決まります。

お客様が勤務先その他の組織が運用するアカウントを通じて本サービスをご利用の場合、当該組織がライセンシーデータの管理者であり、その利用方法を決定します。ライセンシーデータに関するご質問および権利行使のご請求は当該組織にお申し出ください。当社はDPAが求める範囲で当該組織を支援します。

任意のAI機能について。 本サービスには任意のAI機能が含まれます。当該機能は初期設定では無効であり、顧客の管理者のみが有効化できます。その利用にはKendis AI Terms of Useが適用されます。AI機能が有効化された場合、Kendisは顧客の指示に基づき処理者として該当するライセンシーデータを取り扱い、関与するAI副処理者は本別紙に記載されます。

当社は、特別な種類の個人データ（例えば健康に関するデータや政治的意見を明らかにするデータ）を意図的に収集することはありません。そのようなデータをお送りにならないようお願いいたします。

正当な利益に依拠する場合、当社は、当社の利益がお客様の権利および自由に優越しないことを評価しています。お客様は、正当な利益に基づく取扱いに対していつでも異議を申し立てることができます（第11条）。

顧客は本サービスのお申込み時にホスティングリージョンを選択します。ライセンシーデータは、バックアップを含め、選択されたホスティングリージョン内でのみ保管および処理されます。ホスティングリージョンはアカウント作成後に変更できません。

ホスティングリージョンとしてドイツが選択されている場合、ライセンシーデータへのアクセスは、本別紙第6条に定めるとおり、欧州経済領域、英国またはスイスに所在するKendisおよびその副処理者の権限を有する要員に限定されます。

アカウントデータは、ホスティングリージョンにかかわらず、Kendisの業務システム（顧客関係管理、サポート、請求、メールおよび業務ツール）で処理されます。これらのシステムの一部はEEA域外に所在する事業者が運用しており、依拠する移転メカニズムとともに本別紙第5条に記載しています。

当社は、第4条に定める目的のために必要な場合に限り、以下の相手方に個人データを共有します。

• 副処理者およびサービス提供事業者。 各ホスティングリージョンのホスティングおよびデータベース基盤、コンテンツ配信およびエッジセキュリティ、トランザクションメールの配信、顧客関係管理、カスタマーサポートおよびメッセージング、決済処理、業務用ツールおよび文書保管、ウェブサイトおよび製品の分析、マーケティングメール、ニュースレターの配信、ならびに当社の顧客向け研修ポータル。各事業者の法人名、所在地、受領するデータおよび依拠する移転メカニズムを含む最新の一覧は、trust.kendis.io/subprocessors の本別紙に掲載しています。追加または交代についてはDPAに従い顧客に通知します。
• 連携パートナー（お客様の指示による場合）。 顧客が本サービスをJira、Azure DevOpsその他のツールと接続した場合、顧客の設定に従って本サービスと当該ツールとの間でデータが流通します。当該事業者による取扱いには、顧客と連携事業者との間の契約が適用されます。
• 専門アドバイザーおよび認証機関。 監査人、会計士、法律顧問および当社のISO/IEC 27001認証機関。いずれも守秘義務を負います。
• 公的機関。 適用法令により開示が義務付けられる場合の裁判所、規制当局および法執行機関。要請がライセンシーデータに関わる場合、法令上禁止されない限り、当社は要請元をお客様に照会し、DPAに従い顧客に通知します。
• 事業譲渡。 当社の事業の全部または一部の取得者または取得予定者。本プライバシーポリシーおよび適切な秘密保持措置に従うことを条件とします。

当社は個人データを販売せず、第三者が自身のマーケティングに用いるために共有することもありません。

本ウェブサイトおよび本サービスはクッキーおよび類似技術を使用します。必須ではないクッキーを設定する前に、当社はクッキーバナーを通じてお客様の同意を求めます。これは、eプライバシー指令（2002/58/EC）およびフィンランドにおけるその国内法である電子通信サービス法（917/2014）に従うものです。お客様は、バナーまたはブラウザの設定からいつでも選択を変更または撤回できます。厳密に必要なクッキーを拒否すると、本サービスの一部が機能しなくなる場合があります。

現在使用しているクッキーは、本プライバシーポリシー末尾のクッキー別表に記載しています。

Kendisはフィンランドに設立されています。個人データが欧州経済領域外に移転されるか否かは、対象となるデータによって異なります。

• ライセンシーデータ（ホスティングリージョン：ドイツ）：EEA域外への移転はありません。
• ライセンシーデータ（ホスティングリージョン：米国）：EU標準契約条項（欧州委員会実施決定（EU）2021/914）に基づき、Amazon Web Services, Inc. および MongoDB, Inc. により米国で処理されます。Amazon Web Servicesは加えてEU-USデータプライバシーフレームワークの認証を取得しています。
• アカウントデータ（すべてのホスティングリージョン）：本別紙第5条に記載する事業者の一部は、米国その他のEEA域外の国に所在し、または当該国でデータを処理しています。

EEA域外へのすべての移転について、当社はGDPR第5章に基づく次のいずれかの保護措置に依拠します。(i) 欧州委員会の十分性認定（認証を受けた受領者についてはEU-USデータプライバシーフレームワークを含みます）、または (ii) EU標準契約条項（移転影響評価、ならびに通信時および保存時の暗号化やアクセス制限といった補完的措置を伴います）。英国およびスイスへの移転は十分性認定の対象です。各事業者について用いる移転メカニズムは本別紙に記載しており、該当する標準契約条項の写しはご請求に応じて提供します。

データは、本番システムから削除された後も限られた期間、暗号化されたバックアップ内に残存することがあり、その後は通常のバックアップ周期で上書きされます。

Kendisは、ISO/IEC 27001の認証を取得した情報セキュリティマネジメントシステムを運用しています。対策には、通信時（TLS）および保存時のデータの暗号化、シングルサインオンおよび多要素認証、役割ベースのアクセス制御、共有認証情報を用いない記名式の個人アカウント、管理者アクセスのログ記録、脆弱性管理、定期的なバックアップ、ならびに検証済みのインシデント対応プロセスが含まれます。当社の副処理者は、同等の義務を課す書面による契約に拘束されます。

個人データの侵害が発生した場合、当社はDPAが求めるとおり影響を受ける顧客に通知し、GDPRが求める場合には72時間以内に監督機関に通知します。お客様のデータが侵害されたと思われる場合は、 security@kendis.io までご連絡ください。

GDPRに定める要件に従い、お客様は次の権利を有します。

• 当社が保有するお客様の個人データにアクセスし、その写しを受け取る権利
• 不正確または不完全なデータの訂正を求める権利
• データの削除を求める権利
• 当社によるデータの取扱いの制限を求める権利
• お客様が当社に提供したデータを、構造化され機械可読な形式で受け取り、他の管理者に移行させる権利
• ダイレクトマーケティングを含む、正当な利益に基づく取扱いに異議を申し立てる権利
• 同意に基づく取扱いについて、いつでも同意を撤回する権利（撤回前に行われた取扱いには影響しません）

当社は、法的効果を生じさせ、または同様に重大な影響を及ぼす、完全に自動化された処理のみに基づく決定は行いません。

これらの権利を行使される場合は、 privacy@kendis.io までメールでご連絡ください。ご本人確認をお願いする場合があります。当社は1か月以内に回答し、複雑なご請求についてはさらに2か月延長することがあります。ご請求が明らかに根拠を欠く場合または過度である場合を除き、手数料はいただきません。ご請求がライセンシーデータに関わる場合、当社は当該データを管理する顧客に取り次ぎ、DPAが求める範囲で当該顧客を支援します。

当社によるお客様のデータの取扱いにご不満がある場合は、フィンランドのデータ保護オンブズマン事務局（Tietosuojavaltuutetun toimisto、tietosuoja.fi）、またはお客様が居住もしくは就業するEEA加盟国の監督機関に苦情を申し立てることができます。

当社は、同意をいただいた法人のご担当者、または法令上認められる場合には当社と顧客関係もしくは見込み顧客関係にある組織のご担当者に対して、マーケティングメール、ニュースレターおよびイベントのご案内をお送りします。すべてのマーケティングメールには配信停止リンクが含まれており、 privacy@kendis.io へのご連絡によっても配信を停止できます。マーケティングの配信停止は、セキュリティ通知や副処理者の変更通知など、アカウントの運用に必要なサービス関連の通知を停止するものではありません。

本ウェブサイトおよび本サービスは事業者を対象としており、16歳未満のお子さまを対象としていません。当社は、お子さまから意図的に個人データを収集することはありません。お子さまが当社に個人データを提供したと思われる場合は、当社までご連絡ください。速やかに削除いたします。

本ウェブサイトおよび本サービスには、連携パートナーを含む第三者のウェブサイトおよびサービスへのリンクが含まれます。当社はそれらのプライバシー慣行について責任を負わず、本プライバシーポリシーはそれらには適用されません。

当社は本プライバシーポリシーを随時更新することがあります。各版にはバージョン番号と発効日が付されます。重要な変更については、効力発生前に顧客アカウントの管理者へメールまたは本サービス内で通知し、現行版は常に kendis.io/privacy-policy に掲載します。

Kendis Oy、Lapinlahdenkatu 16、00180 ヘルシンキ、フィンランド。事業者番号 2874062-5。

プライバシー： privacy@kendis.io。セキュリティ： security@kendis.io。

本プライバシーポリシーはフィンランド法に準拠します。

本ウェブサイトおよび本サービスが現在設定しているクッキーです。この一覧に不足があるとお考えの場合は、 privacy@kendis.io までお知らせください。