拘束的企業準則
管理者ポリシー目次
1.

序文 ................................................................................................ 4

2.

キーワード .......................................................................................... 83.

データ管理者としてのコミットメント ............................................................... 11

基本原則 .................................................................................... 11

個人データの取扱いに関する法的根拠 ................................................... 11

透明性と情報の開示 ....................................................................... 12

本人の権利.................................................................................. 14

子どもの個人データ .......................................................................... 15

特別な種類の個人データ ................................................................... 15

4.

個人データの移転 ................................................................................ 16

個人データの移転 ........................................................................... 16

5.

実務上の約定 .................................................................................... 17

安全性および秘密保持 .................................................................... 17

説明責任 .................................................................................... 18

研修プログラム ............................................................................... 191

監査プログラム ............................................................................... 19

国内法と BCR との関係 .................................................................... 19

苦情処理体制 .............................................................................. 20

当局との協力 ................................................................................ 20

規則の改定.................................................................................. 20

6.

第三受益者の権利および責任 .................................................................. 21

第三受益者の権利 ......................................................................... 21

責任および立証責任 ....................................................................... 21

7.

最終規定 ......................................................................................... 23

最終規定 .................................................................................... 23

別紙 I

ＫＵＭＯＮグループ会社一覧............................................................. 24

別紙 II

データ主体によるアクセスおよび苦情の手続 ............................................ 25

1

公文に対する苦情 ............................................................................. 25

2

本人の権利：データ主体のアクセス要求 .................................................... 26

3

本人の権利：その他の要求 .................................................................. 27

別紙 III

コンプライアンス体制 ...................................................................... 292

1

グローバル個人情報保護オフィサー ........................................................... 29

2

グローバル個人情報保護チーム ............................................................... 29

3

ローカル個人情報管理者 ..................................................................... 30

4

従業者の社内コミュニケーション手続.......................................................... 31

別紙 IV

1

研修の手順 ............................................................................... 32

従業者研修 .................................................................................... 32

別紙 V

監査の手順 ............................................................................... 33

1

監査の原則 .................................................................................... 33

2

監査体制 ....................................................................................... 33

3

監査手続 ....................................................................................... 33

別紙 VI

改定の手続 ............................................................................... 35

1

BCR の変更.................................................................................... 352

承認を要しない BCR の変更 ................................................................. 35

31. 序 文

公文とは？
公文は、日本を拠点とする株式会社公文教育研究会を中心とした、世界をリードする個人別教育
サービスの提供者です。公文では、独自に開発した「公文式」をもとに、様々な年齢の学習者に学習プログラムを提供しています。これらの学習プログラムは、公文式教室（フランチャイズおよび直営）やパートナーであるライセンシーの世界的なネットワークを通じて提供されています。

BCR とは？
ＫＵＭＯＮグループでは、公文式を通じて「個々の人間に与えられている可能性を発見し、その能力を最大限に伸ばす」というミッションを達成するために、グループ会社間で個人データを共有することがあります。私たちにとって、個人データを適切な保護のもとで取扱うことは重要です。公文は、個人データ保護に関する公文の原則と、EEA 外のＫＵＭＯＮグループ会社と個人データを共有する場
合に従うべきルールを定めるために、基本的な拘束的企業準則を制定しています。
「拘束的企業準則」は、「拘束的企業準則－管理者ポリシー」と「拘束的企業準則－処理者ポリシー」の 2 つのポリシーから構成されています。本文書に定めるのは「拘束的企業準則－管理者ポリシー」であり、本文書においては単に「BCR」と呼びます。
この BCR では、ＫＵＭＯＮグループ各社がデータ管理者として行動する際に、データ保護法をどのように遵守するかについて説明します。
この BCR は、関連する公文のウェブサイトに掲載されます。

4

BCR の対象は？
この BCR は、EEA で生じる個人データに対する、ＫＵＭＯＮグループ会社（別紙Ⅰを参照）による収集、移転、およびその他の全ての処理を対象とします。これには以下を含みます。
フランチャイズ指導者
データの種類EEA 外への移転

氏名、住所、教室名、連絡先、職歴・学歴、指導者としての経歴

株式会社公文教育研究会（日本）への移転



Kumon Europe & Africa Limited（英国）への移転



教室指導者/スタッフに対する、サービスの質を確保するための支援

各国のＫＵＭＯＮグループ会社に対する、その国・地域の公文式
教室の管理、改善および拡大のための支援

目的

社員・指導者研修の実施



各国・地域および全世界における、公文式教材・指導法の開発・
改善ＫＵＭＯＮグループ各社がその管轄地域を管理するために使用する専用サーバおよびシステムの IT サポート・保守

地域別、地域別および全世界の分析のための統計情報の作成



政府の法令・規制の遵守

公文式で学習する（または学習に興味をもつ）学習者
データの種類EEA 外への移転

氏名、学習者番号、教室名、住所、年齢、学年、教材進度、学習期
間

株式会社公文教育研究会（日本）への移転



Kumon Europe & Africa Limited（英国）への移転



公文式によるサービスの提供



教室指導者/スタッフに対する、サービスの質を確保するための支援

各国のＫＵＭＯＮグループ会社に対する、その国・地域の公文式
教室の管理、改善および拡大のための支援

目的

社員・指導者研修の実施



各国・地域および全世界における、公文式教材・指導法の開発・
改善ＫＵＭＯＮグループ各社がその管轄地域を管理するために使用する専用サーバおよびシステムの IT サポート・保守

地域別、地域別および全世界の分析のための統計情報の作成



政府の法令・規制の遵守

5

生徒の保護者
データの種類EEA 外への移転

目的

氏名、学習者の氏名、学習者との続柄、住所、連絡先


株式会社公文教育研究会（日本）への移転



Kumon Europe & Africa Limited（英国）への移転



学習者に対する公文式によるサービスの提供



保護者との連絡（問い合わせへの回答、生徒の進度に関するフィードバック・報告を含む）



ＫＵＭＯＮグループ各社がその管轄地域を管理するために使用する専用サーバおよびシステムの IT サポート・保守

政府の法令・規制の遵守

従業者
氏名、社員番号、生年月日、会社の電子メールアドレス、会社、部署・データの種類チーム、役職、職域、職務内容、写真、勤続年数、雇用形態、評価、報酬（給与、賞与、手当、福利厚生）、退職した場合には退職日お
よび理由

EEA 外への移転



株式会社公文教育研究会（日本）への移転



Kumon Europe & Africa Limited（英国）への移転



グループ会社の人事・労務管理（グループ人事戦略・制度・ルールの分析・整備を含む）

目的



EEA 内のＫＵＭＯＮグループ各社の従業者の特定、当該従業者との連絡および協力

政府の法令・規制の遵守

この BCR は、自動化されているか手動であるかを問わず、あらゆる種類のデータ処理に適用されます。

誰が BCR に従わなければならないのでしょうか？
別紙Ⅰに記載されたＫＵＭＯＮグループ会社およびその従業者は、BCR に従わなければなりません。
これらのＫＵＭＯＮグループ会社はそれぞれ、会社間契約によって BCR に拘束され、自社およびその従業者がこれらの BCR を遵守するために必要な措置をとる義務を負います。別紙 I
別紙ⅠのＫＵＭＯＮグループ会社の表は、別紙Ⅵに定める BCR 改定手続に従って随時更新することがあります。

6

BCR について質問があります。どこに問い合わせればよいでしょうか？
BCR やＫＵＭＯＮグループ各社が収集・処理したデータに関する BCR 上の権利についてのご質問やご不明な点につきましては、グローバル個人情報保護チーム（BCR@kumon.co.jp）にお問い
合わせください。

7

2. キーワード
この BCR では、以下のキーワードは、以下の意味で使われます。
(a) 「子ども」

16 歳（または関連する EEA 法において本人の個人データを処理するためには保護者の同意が必要とされる他の年齢）未満の本人(b) 「データ管理者」

個人データの処理の目的および手段を、単独でもしくは他の者と共同で決定する、または適用ある法に基づきそのような決定をするものと指定された、自然人もしくは法人、公的機関、部局またはその他の組織。

(c) 「データ処理者」

データ管理者に代わり個人データを処理する自然人または法人、公的機関、部局またはその他の組織。

(d) 「EEA」

欧州経済領域。ただし、英国が EU 法に拘束される移行期間中は、「EEA」は英国を含むものと解釈されるものとする。

(e) 「EEA 法」

欧州連合の法令、および個人データが当初入手されたまたは EEA 内
で最初に処理された加盟国の法令。

(f) 「EEA 主法人」

英国で設立され運営されるＫＵＭＯＮグループ会社である Kumon
Europe & Africa, Ltd.。ただし、英国が EU 法に拘束される移行期
間の終了後は、スペインで設立され運営されるＫＵＭＯＮグループ会社である Kumon Instituto de Educación de España SA がEEA 主法人となるものとする。

(g) 「従業者」

ＫＵＭＯＮグループ会社内の組織内の個人であって、その会社の直接・間接の指揮監督を受けてその業務に従事する者。雇用関係にある社員（正社員、契約社員、パートタイム社員等）の他、役員、取締役、監査役および臨時従業員等を含む。なお、「従業者」には、独立事業者、下請け業者および公文式教室の指導者・スタッフは含まない。

(h) 「フランチャイズ指導者」(i) 「GDPR」

公文とフランチャイズ契約を締結したことを理由として、公文式によって学習者を指導することを認められた指導者。
個人データの取扱いと関連する自然人の保護に関する、および、そのデータの自由な移転に関する、ならびに、指令 95/46/EC（一般データ8

保護規則） を廃止する欧州議会および理事会の 2016 年 4 月
27 日の規則(EU) 2016/679、ならびにその改正。
(j) 「保護者」

ある本人の親または親としての責任を負う者。

(k) 「本人」

EEA のＫＵＭＯＮグループ会社から EEA 外のＫＵＭＯＮグループ
会社に移転されたある個人データのデータ主体。

(l) 「KIE」

株式会社公文教育研究会。

(m)「公文」

文脈に応じて、当該ＫＵＭＯＮグループ会社または全てのＫＵＭＯ
Ｎグループ会社。

(n) 「ＫＵＭＯＮグループ
会社」(o) 「主監督機関」

別紙Ⅰに記載された法人。別紙Ⅵに従って随時更新されるものとする。
スペインデータ保護監督機関（Agencia Española deProtección de Datos (AEPD)）または適用ある法令に基づき
BCR の主監督機関として適法に指定された他の監督機関。

(p) 「加盟国」

EEA 内の国。

(q) 「個人データ」

特に氏名、識別番号、位置データ、オンライン識別子のような識別子を参照することによって、または当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的もしくは社会的な同一性を示す一つもし
くは複数の要素を参照することによって、直接的または間接的に識別可能な自然人に関する情報であって、EEA 内から生じたもの。

(r) (個人データの)自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録「処理」

保存、修正もしくは変更、検索、参照、使用、送信による開示、配布
もしくはその他の利用可能化、整列もしくは結合、制限、消去もしくは破壊のような、個人データまたは一連の個人データに実施される作業または一連の作業。

(s) 「処理国」

ある個人データが処理される国。

(t) 「特別な種類の個人

人種的もしくは民族的な出自、政治的な意見、宗教上もしくは思想

データ」

上の信条または労働組合への加入を明らかにする個人データ、または、

9

自然人の遺伝子データ、生体データまたは健康もしくは性生活もしくは性的指向に関するデータ。
(u) 「監督機関」

加盟国によって設立され、GDPR の適用を監視する責任を負う独立した公的機関。

(v) 「第三者」

本人、データ管理者またはデータ管理者としての公文を除く、自然人もしくは法人、公的機関、部局または組織。なお、第三者には、他のＫ
ＵＭＯＮグループ会社を含まないものとする。

(w) 「第三受益者」

第 6.1.1 項に基づき定められる第三受益者としての権利を有する本人。

10

3. データ管 理 者 としてのコミットメント
基本原則
3.1.1 適法性、公平性、透明性： 個人データは、本人に関して適用、公平かつ透明性ある方法で処理されるものとします（第3.2項および第3.3項を参照）。
3.1.2 目的の限定： 個人データは、特定された明確かつ正当な目的のために収集され、その目的を超えて処理されないものとします。
3.1.3 データの最小化： 公文は、個人データがその収集、移転およびさらなる処理の目的に照らして妥当であり、関連性がありかつ必要なものに限定されるようにします。
3.1.4 データ品質： 公文は、個人データが正確であり、必要に応じて最新であるようにします。このため、個人データに変更が生じた場合には、本人が公文に通知することを推奨します。公文は、その取得目的に照らして、不正確な個人データが遅滞なく処理され、消去され、または修正されることを確保するためにあらゆる合理的な措置をとります。
3.1.5 個人データの保管： 公文は、個人データ取得目的に必要な限度を超えて本人を特定できる
形で個人データが保存されないこと、また、個人データが安全に処理され処分されることを確保するための措置を講じます。

個 人 データの取 扱 いに関 する法 的 根 拠
3.2.1 公文は、次の各号のいずれかに該当する場合に限り、個人データの取扱いを行います。
(a)

本人が1つまたは複数の特定の目的のために明確に同意した場合(b)

本人が契約当事者となっている契約の履行のために、または契約締結の前に本人の要求に際して手段を講ずるために、処理が必要となる場合(c)

管理者が服する法的義務を遵守するために処理が必要となる場合(d)

本人の重大な利益を保護するために処理が必要となる場合(e)

公共の利益においてまたは自らに与えられた公的な権限の行使において行われる職務の遂行のために処理が必要となる場合(f)

自己または第三者であるデータ処理者もしくはデータの開示を受けた処理者が追求する正当な利益を目的として処理が必要となる場合。ただし、かかる利益よりも、本人の11利益または基本的権利および自由のほうが優先する場合を除きます。

透 明 性 と情 報 の開 示
3.3.1 情報開示： 本人から個人データを収集する場合、または本人から直接個人データを取得しなかった場合には、以下の情報を本人に提供します。
(a)

公文およびその代理人（ある場合）の身元およびそれぞれの連絡先(b)

該当する場合は、グローバル個人情報保護オフィサー、グローバル個人情報保護チー
ムおよび/またはローカル個人情報管理者の連絡先(c)

予定されている個人データの処理の目的およびその処理の法的根拠(d)処理が正当な利益を根拠とする場合、データ管理者または第三者が追求する正当な利益(e)もしあれば、個人データの受領者または受領者の種類(f)

個人データへのアクセス権および個人データの訂正もしくは消去、または自己に関する個人で他の処理を制限する権利、または処理に対して異議を述べる権利、ならびにデータポータビリティの権利が存在すること(g)

該当する場合は、公文が個人データを第三国または国際機関に移転することを予定しているという事実、このBCRまたは当該移転を行うための適切なまたは適合する他の保護措置への言及、ならびにどこでそれらが利用可能とされているかについての情報(h)

該当する場合、本第3条、第4条および第5.1項に定めるデータ処理の基本原則、ならびにBCRならびに第5.5項、第5.6項、第5.7項、第6.1項、第6.2項および別紙Ⅱに定める第三受益者の権利の違反に対する責任に関する規定、ならびに当該権利を行使する方法(i)

個人データを保存する期間。期間を示すことができない場合には、その期間を決定するために用いられる基準(j)

処理が同意または明示的同意に基づく場合には、その撤回前の同意に基づく取扱いの適法性に影響を与えることなく、いつでも同意を撤回する権利が存在すること(k)

監督機関に異議を申立てる権利(l)

個人データの提供が法令上または契約上の要求事項であるか、契約を締結するために必要な要求事項であるか。また、本人は個人データを提供する義務を負うか、およびそのようなデータの提供を怠った場合に生じる可能性のある結果(m) GDPR第22条(1)および(4)にいうプロファイリングを含め、自動化された意思決定が存在すること、また、少なくともそのような場合には、その決定に含まれている論理ならびに本人に対する当該処理の重要性および想定される結果に関する有意義な情報(n)

個人データが本人から直接取得されなかった場合、本人には、当該個人データの種類

12および出所に関する情報も提供されます。
3.3.2 情報開示の時期： 第3.3.1項に定める情報は、以下の時期に本人に提供されます。
(a)

本人から個人データを取得した時(b)

個人データが本人から直接取得されたものではないために取得時に情報を提供できな
い場合には、その個人データが処理される具体的な状況を考慮して、取得後可及的速やかに、ただし、遅くとも１か月以内(c)

個人データが本人との間の連絡のために用いられる場合であって、本人から直接に取得したものでないときは、遅くとも当該本人に対して最初の連絡がなされる時(d)

個人データを他の受領者に開示することが予定される場合であって、本人から直接に取得したものでないときは、遅くともその個人データが最初に開示される時

3.3.3 開示しなくてもよい場合： 第3.3.1項および第3.3.2項にかかわらず、以下の場合には、公文は第3.3.1項に定める本人に情報を開示する義務を負わないものとします。
(a)

本人が既にその情報をもっている場合(b)

データを本人から直接取得していない場合であって、データ管理者がそれに服し、かつ、本人の正当な利益を保護するための適切な措置を定めるEEA法によってその開示が明示に定められているとき(c)

データを本人から直接取得していない場合であって、GDPR第14条(5)(b)に従って情報を提供することが不可能または過大な負担を要することが明らかなとき(d)

データを本人から直接取得していない場合であって、EEA法よって規律される職務上の守秘義務によって、個人データを機密のものとして維持しなければならないとき(e)

データ管理者またはデータ処理者が対象となる欧州連合または加盟国の法が、GDPR
第23条に基づく透明性に関する本人の権利を制限する場合。ただし、当該法に基づく制限は、基本的権利および自由の本質を尊重し、かつ、データ主体の保護ならびに他者の権利および自由などGDPR第23条に定める利益を保護するために民主主義社会において必要かつ均衡のとれた措置であることを条件とします。

3.3.4 BCRの公表： このBCRは、求めに応じて全ての本人に提供されます。本人には、BCRに容易にアクセスする権利があります。公文は、本人が容易にBCRにアクセスできるよう、次のURLからアクセスできるウェブサイトにBCRを掲載するものとします：
https://www.kumongroup.com/eng/bcr/。
3.3.5 個人データの移転・処理に関する開示： 本人に対しては、別紙Ⅱに定める手続に従って、個人データの移転およびその他の処理について通知します。

13

本 人 の権 利
3.4.1 本人は、別紙Ⅱに定める手続に従って、以下を行う権利を有します。
(a)

制約なく、定期的に、過度の遅延なく、かつ無償でまたは明白に根拠のないもしくは過大な要求の場合（例：本人が複数のコピーを求める場合）には合理的な料金で、本人に関する個人データの取扱いの有無の確認、第3.3.1項に定める情報へのアクセス、およびＫＵＭＯＮグループの一員が収集、処理または移転した自己に関する全ての個人データのコピーを受けること(b)

特に個人データが不完全または不正確であることを理由として、個人データを是正させ
ること

(c)

個人データが収集または処理された目的に必要でなくなった場合、処理の法的根拠がなくなった場合、またはGDPRに定めるその他の理由がある場合に、不当な遅滞なく本人に関する個人データを消去させる権利(d)

本人がその制限につき正当な利益を有することを証明した場合に、一定の限度で処理を制限させる権利(e)

本人の特定の状況に関連するやむを得ない正当な根拠に基づきいつでも、個人データの収集、処理または移転に対して異議を申し立てること。ただし、当該収集、処理または移転が法により要求される場合を除く（異議が正当である場合には、収集、処理または移転を中止しなければならない）(f)

ダイレクト・マーケティングを目的とした自己に関する個人データの処理に対して、要請をもってかつ無償で異議を申し立てること(g)

GDPRに基づき認められる場合を除き、本人に関するまたは重大な影響を及ぼす法的効果を生じさせる自動化された処理（プロファイリングを含む）のみに基づく決定の対象とされない権利

3.4.2 本人確認： 公文は、第3.4.1項に基づく要求に従う前に、要求を行う者の身元に関して合理的な疑いをもつ場合には、その要求を行う者の身元を確認しまた要求に関連する情報を見つけるために必要となる追加の情報を求めることができます。公文は、身元確認の手続を実施する
際には、国内法上の要件を遵守します。
3.4.3 本人の権利の行使のためにとられる手続および具体的な回答の日程は、別紙Ⅱに記載されて
います。

14

子 どもの個 人 データ
3.5.1 保護者の同意： 公文は、GDPRに基づき正当な法的根拠を有する場合を除き、子どもの個
人データをその保護者の同意なく収集、使用または移転しません。
3.5.2 正当な利益に基づく子どものデータの処理： 処理が第3.2.1項(f)に定める根拠に基づいて行われる場合には、子どもの個人データの処理の前に子どもの利益および権利について特に配慮するものとします。

特 別 な種 類 の個 人 データ
3.6.1 別途GDPRに基づく正当な法的根拠を有する場合を除き、公文は、絶対に必要であり、かつ、
真正で自由になされた明示的な同意を取得した場合に限り、特別な種類の個人データを処理します。
3.6.2 特別な種類の個人データへのアクセスは、適切なスタッフに厳格に限定します。
3.6.3 公文は、必要に応じて、特別な種類の個人データが強化された安全管理措置により処理されるようにします。

15

4. 個 人 データの移 転
個 人 データの移 転4.1.1 データ処理のための個人データ移転： 公文は、(第三者であるか他のＫＵＭＯＮグループ
会社であるかを問わず)データ処理者への個人データの移転および再移転を制限します。ただし、以下の場合を除きます。
(a)

移転が行われる前に、第5.1.4項に定める要件およびGDPRに定めるいずれかの要件を満たす書面による契約をデータ処理者との間で締結しており、かつ、(b)

その他、当該移転に係る個人データについてGDPRに基づく適切な保護を確保するために必要な措置を講じている場合

4.1.2 データの移転および再移転： 公文は、 (第三者であるか他のＫＵＭＯＮグループ会社であるかを問わず)EEA外の組織への個人データの移転および再移転を制限します。ただし、個人データの移転に関するGDPRに準拠して移転が行われる場合であって、特に以下のいずれかに該当するときを除きます。
(a)

関係する機関が適切な水準の保護を確保していると判断した第三国または国際機関に対する移転の場合(b)

執行可能な権利および効果的な法的救済を本人に認めるものとしてGDPRに基づき認められた適切な保護措置の対象となる移転の場合(c)

GDPRに基づき認められる例外として定められた条件を満たす移転の場合(d)

EEA外のＫＵＭＯＮグループ会社への移転の場合には、このBCRに従って行われるとき

16

5. 実 務 上 の約 定
安 全 性 および秘 密 保 持
5.1.1 技術的および組織的措置： 公文は、特に処理がネットワークを介したデータの送信を含む場
合における無断のまたは違法な処理および偶発的な喪失、破壊または損壊、ならびにその他一切の違法な形式の処理に対する保護を含め、個人データが適切な安全性を確保する態様で処理されるようにします。公文は、随時更新される適切な技術的および組織的な措置を導入することによってこれを確保します。
5.1.2 安全性のレベル： 導入される技術的および組織的措置は、最新技術（GDPR第32条に定めるものをいう）およびその導入費用、ならびに処理の性質、範囲、過程および目的に加えて、自然人の権利および自由に対する様々な蓋然性および深刻度をもつリスクに鑑みて、リスクに応じて適切なレベルの安全性を確保するものとします。
5.1.3 従業者の遵守： 従業者は、BCRに従ってのみ個人データを処理することができます。BCRに違反した従業者は、（解雇を含む）懲戒処分の対象になる場合があります。
5.1.4 データ処理者との契約書： 公文は、公文に代わり個人データを処理するデータ処理者（第三者であるか他のＫＵＭＯＮグループ会社であるかを問わない）が、公文の指示に基づいてのみ行動すること、十分な安全管理および機密保持の措置をとる責任を負うこと、個人データの漏洩を遅滞なく公文に通知すること等、GDPR第28.3項に準拠し同項が要求する全ての要素を含む書面による契約（第4.1項に定める）に拘束されるようにします。
5.1.5 個人データの侵害： 本人の個人データに影響を及ぼす安全性または機密に対する侵害がある場合には、(a)

公文は、侵害が自然人の権利および自由に対するリスクを発生させるおそれがない場
合を除き、影響を受ける個人データに関するGDPR上の要件に鑑みて不当な遅滞なく、管轄監督機関に対してその個人データ侵害を通知するものとします。監督機関に対する通知は、個人データ侵害を知った時から72時間以内に行われるものとします。監督機関に対する通知が72時間以内に行われない場合には、通知にその遅延の理由を付すものとします。

(b)

当該違反が本人の権利および自由に対する高いリスクを発生させる可能性がある場合には、公文は、本人に対し、不当な遅滞なく、当該侵害を通知するものとします。

17

(c)

さらに、公文は、不当な遅滞なく、個人データ侵害をグローバル個人情報保護チームおよびEEA主法人に通知するものとします。

(d)

個人データの侵害は、文書として記録されます（侵害の事実、影響および講じられた救済措置を含む）。当該文書は、管轄監督機関の求めに応じて提出されます。

説明責任5.2.1 公文は、このBCRの遵守に責任を負い、それを立証することができるようにするものとします。
5.2.2 記録の保管： 公文は、以下を含め、全てのデータ処理活動の明確な記録が保管されるよう
にします。
(a)

データ管理者、ならびに該当する場合には共同データ管理者、データ管理者の代理人
およびデータ保護オフィサーの名称および連絡先(b)

データ管理者によりまたはデータ管理者に代わり処理される個人データおよび本人の種
類(c)

個人データの処理の目的(d)

個人データを開示されたまたは開示される受領者の種類（第三国または国際機関の受領者を含む）(e)

実施されている技術的および組織的安全管理措置の記述(f)

可能な場合には、データの種類ごとの削除のために予定されている期限(g)

該当する場合には、第三国または国際機関に対する個人データの移転、および移転
元の国の監督機関が適切な水準の保護を確保することを決定していない国への移転のために導入された保護措置を示す文書(h)

GDPRに従って記録すべきその他の情報

5.2.3 公文は、電子的方式を含む書面によって処理活動の記録を保管するものとし、求めがあれば監督機関に提供するものとします。
5.2.4 データ保護影響評価： 公文は、自然人の権利および自由に対する高いリスクを発生させるおそれがある処理作業について、データ保護影響評価を実施する必要性を判断するものとします。
評価の結果、公文がリスクを軽減するための措置をとらなければ高いリスクを生じさせることが判明した場合には、処理の前に監督機関に相談するものとします。
5.2.5 データ保護・バイ・デザインおよびバイ・デフォルト： 公文は、このBCRの遵守を促進するために、データ保護の基本原則を効果的に実施するように、また、処理の中で保護措置を統合する

18

ように設計された、適切な技術的および組織的措置を導入するものとします。
5.2.6 公文は、公文におけるBCRの遵守を監督・確保するため、別紙Ⅲに定める手順に従い、経営陣の支援を得たグローバル個人情報保護オフィサーを任命します。

研 修 プログラム
5.3.1 公文は、別表Ⅳに定める手順に従い、従業員に対してBCRに関する適切な研修を行います。
5.3.2 従業者は、適切な研修を受ける前に(i)個人データをEEA外の国に移転することまたは(ii)EEA
外で個人データを取扱うことはできません。

監 査 プログラム
5.4.1 公文は、別紙Ⅴに定める手順に従い、このBCRの遵守に関する監査を行います。

国 内 法 とBCRとの関 係
5.5.1 個人データの処理を行う国の法が、個人データに対するより高度な保護を求める場合には、当該法がBCRに優先します。
5.5.2 公文は、処理国の現行または将来の国内法がBCRに基づく義務の履行を妨げまたはBCRが定める保証に実質的な影響を及ぼすおそれがあると信じるに足る理由がある場合には、グローバ
ル個人情報保護チーム（別紙Ⅲを参照）、EEA主法人および該当する場合には管轄監督機関に対して速やかに通知するものとします。ただし、法執行当局が禁止する場合（刑事法に基づく法執行機関の捜査に関する守秘義務を含む）を除きます。
5.5.3 国内法とBCRにおける約定との間に矛盾がある場合には、グローバル個人情報保護オフィサー（別紙Ⅲを参照)は、どのような措置をとるべきかについて責任ある判断を行い、疑義がある場
合には管轄監督機関と協議するものとします。
5.5.4 公文は、第三国において自社が対象となりうる法的要件がBCRの定める保証に実質的な悪影
響を及ぼすおそれがあると信じるに足る理由がある場合（法執行機関または国家治安機関から個人データの開示について法的拘束力ある要求があった場合を含む）には、(別紙Ⅲ記載の手続に従って)グローバル個人情報保護チームおよび管轄監督機関に以下の事項を速やかに通知するものとします。

19

(a)

要求(要求されたデータの種類を含む)(b)

要求している機関(c)

要求の法的根拠

ただし、法執行機関により禁止されている場合(刑事法に基づく法執行機関の捜査に関する守秘義務を含む)を除くものとしますが、この場合には、公文は、当該義務の免除を受け、可能な限りの情報を管轄監督機関に可及的速やかに伝達できるよう、最善の努力をつくすものとし、かかる努力をつくしていることを示すものとします。公文の最善の努力にもかかわらず、管轄監督機関に通知する立場にない場合には、公文は年に1回、受領した要求に関する一般的な情報（開示請求の件数、要求されたデータの種類および可能な場合には要求者を含む)を提供するものとします。
5.5.5 いかなる場合においても、公文が公権力に対して個人データを提供する義務を負う場合には、大量のまたは不均衡な量の個人データに関するものであってはならず、また、民主主義社会において必要とされる限度を超えるような無差別的なものであってはならないものとします。

苦情処理体制5.6.1 本人は、公文が自己の個人データを処理する場合には、別紙Ⅱに定める苦情処理手続により公文に対して苦情を申し立てる権利を有します。

当 局 との協 力
5.7.1 監督機関との協力： 公文は、監督機関に協力し、監督機関による調査または照会の取扱いについて相互に支援するものとします。
5.7.2 監督機関の決定の遵守： 公文は、管轄監督機関の監査を受けることに同意し、BCRの解釈に関する問題について管轄監督機関の助言に従うものとします。なお、このBCRのいかなる定めも、管轄監督機関による決定に対して公文が上訴する権利を放棄するものと解釈されないものとします。

規 則 の改 定
5.8.1 BCRの改定は、別紙Ⅵに定める手続に従って行われ監督機関に報告されます。

20

6. 第 三 受 益 者 の権 利 および責 任
第 三 受 益 者 の権 利
6.1.1 BCRの執行： ＫＵＭＯＮグループ会社によるBCRの規定の違反の場合、特に本人に権利を付与する規定（第3条、第4条、第5.1項、第5.2項、第5.5項、第5.6項、第5.7項および第6.2項、ならびに別紙Ⅱおよび本第6.1項）の違反の場合には、本人は、第三受益者として、司法上の救済および補償を受ける権利、ならびに、適切な場合には有形または無形の損害に対する賠償を受ける権利を有するものとします。この権利には、司法上の救済および賠償を受ける権利が含まれます。
6.1.2 責任を負うＫＵＭＯＮグループ会社： EEA主法人を、EEAにおいて第三受益者の権利に対応する責任を負うＫＵＭＯＮグループ会社とします。
6.1.3 管轄条項： 第三受益者は、以下の機関に対して特に、事前に苦情を申し立てる権利を有するものとします。
(a)

第三受益者の選択により、データ管理者が拠点を有する地または第三受益者の常居所に基づき裁判管轄を有する加盟国の裁判所が設置された場所に基づいて管轄権が確立された加盟国の権限ある裁判所(b)

第三受益者の選択により、第三受益者が常居所とする地、または就業地とする地、またはBCRの違反があったとされる地のいずれかに基づき管轄を有する管轄監督機関

責 任 および立 証 責 任
6.2.1 個人データに関するEEA主法人の責任： EEA主法人は、以下に同意します。
(a)

EEA主法人は、EEA外に設立された他のＫＵＭＯＮグループ会社の行為について救済することおよびEEA外に設立されたＫＵＭＯＮグループ会社によるBCRの違反に起因する有形または無形の損害に対する賠償金を支払うことについて、責任を負い、必要な措置をとるものとします。EEA主法人は、当該BCR違反に起因する損害賠償金を支払うために十分な資産を有することを確認します。

(b)

EEA主法人は、EU内の裁判所または他の権限ある機関の管轄権を受け入れるものとし、BCRの違反、特に、当該違反に起因する本人の権利および救済について違、当該違反がEEA外に設立されたＫＵＭＯＮグループ会社ではなくEEA主法人に起因するものであると同様に責任を負うものとします。

21

(c)

EEA主法人は、第三者であるデータ処理者による義務違反を理由として自己の責任を回避することはできないものとします。

6.2.2 第三受益者のEEA個人データに関する立証責任：(a)

EEA主法人は、EEA外に設立されたＫＵＭＯＮグループ会社が、本人が損害賠償を請求する原因となったBCRの違反について責任を負わないことを立証する責任を負うものとします。

(b)

EEA主法人は、損害を生じさせた事由についてＫＵＭＯＮグループ会社が責任を負わないことを立証することができる場合には、責任/責任を免れることができるものとします。

22

7. 最 終 規 定
最終規定
7.1.1 BCRは、監督機関が承認した日から効力を生じるものとします。

23

別紙I

ＫＵＭＯＮグループ会 社 一 覧

この BCR に関するお問い合わせは、BCR@kumon.co.jp までメールでお送りいただけます。
地域

会社名

所在地・ウェブサイト
〒532-8511 大阪市淀川区西中島5-6-6 公文協

日本

株式会社公文教育研究会

育会館
https://www.kumon.ne.jp/

Kumon Europe & Africa

ヨーロッパ

LimitedおよびKumon Instituto de

4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH U.K.
http://www.kumon.co.uk/
Paseo de la Castellana, 131, planta baja y primera
28046 Madrid, SPAIN

Educación de España

アフリカ
Kumon Deutschland GmbH

http://www.kumon.es/
Wiesenstrasse 21. 40549 Düsseldorf GERMANY
http://www.kumon.de/24別 紙 II

データ主 体 によるアクセスおよび苦 情 の手 続

1

公 文 に対 する苦 情

1.1

責任を負うチーム： グローバル個人情報保護オフィサー、グローバル個人情報保護チームおよびローカル個人情報管理者は、本人からのアクセス要求の履行および苦情の処理を担当する主な管轄部署です（別紙Ⅲを参照）。

1.2

連絡窓口： 本人は、居住する国のローカル個人情報管理者に連絡することにより、BCRの遵守に関する苦情を申し立てることができます(別紙Ⅲを参照)。関連するローカル個人情報管理者の連絡先は、その国のＫＵＭＯＮグループ会社のウェブサイトに掲載されています。

1.3

受領確認： ローカル個人情報管理者は、本人に対して苦情を受領したことを速やかに確認し、不当な遅滞なく、またいかなる場合にも苦情を受領した日から1か月以内に、実質的な回答を行うものとします。

1.4

異なる管轄国の個人データに関する苦情： 苦情がローカル個人情報管理者の管轄外からの個人データに関連する場合には、ローカル個人情報管理者は速やかに当該本人の苦情をグロー
バル個人情報保護チームに報告するものとし、グローバル個人情報保護チームがこのBCRに基づ
く全ての苦情を処理するものとします。グローバル個人情報保護チームは、必要に応じて、関連するＫＵＭＯＮグループ会社、事業部門およびサポート部門の他の従業者と協力して苦情に対処することができるものとします。グローバル個人情報保護チームは、苦情を受領した日から10営業
日以内に苦情を受領したことを本人に対して確認し、また、受領日から1か月以内に実質的な回答を行うものとします。

1.5

回答の時期： 苦情の複雑さまたは要求の数により、第1.3項または第1.4項に定める期間内に実質的な回答ができない場合には、苦情を申し立てた者に対して、その旨および回答の時期についての合理的な見通し（追加の2か月を超えない）を通知するものとします。

1.6

ローカル個人情報管理者またはグローバル個人情報保護チームは、苦情に理由または根拠があるとの結論に達した場合には、苦情の性質に応じて、BCRの遵守を確保するために適切な措置をとるものとします。

1.7

ローカル個人情報管理者またはグローバル個人情報保護チームは、苦情に理由または根拠がな
いと判断して苦情を拒否した場合には、本人にその旨を通知し、また、ローカル個人情報管理者

またはグローバル個人情報保護チームからの回答においては、本人はいつでもグローバル個人情報オフィサーに対して苦情または請求を申し立てることができることを通知するものとします。
1.8

回答について争う場合： 苦情を申し立てた者がローカル個人情報管理者またはグローバル個
人情報保護チームの回答または判断における何らかの点について争い、その旨を回答者に通知した場合には、当該事案はグローバル個人情報保護オフィサーに付託されるものとします。グローバ
ル個人情報保護オフィサーは、当該事案を審査し、関係するデータ保護チーム／管理者から苦情の付託を受けてから1か月以内（要求の複雑さおよび数に応じてさらに2か月延長することができる）に、回答者の判断を支持するまたは新たな判断を行うとの判断を申立者に通知するものと
します。

1.9

苦情が支持された場合には、グローバル個人情報保護オフィサーは、その結果として必要となる措
置をとるよう手配するものとします。

1.10 本人は、公文がとった措置が本人の苦情に対処するのに不十分であると判断する場合には、最初に公文に対して直接苦情を申し立てたか否かを問わず、BCR第6.1.3項に従って加盟国の管轄監督機関または裁判所に対していつでも苦情または請求を申し立てることができます。この権利については、ローカル個人情報管理者またはグローバル個人情報保護チームまたはグローバル個
人情報保護オフィサーから本人への回答において通知するものとします。

2

本 人 の権 利 ：データ主 体 のアクセス要 求

2.1

公文がデータ管理者の場合には、本人は公文に対して「アクセス権」を行使するための請求を行う
ことができます。

2.2

要求は、EEA内のローカル個人情報管理者またはグローバル個人情報保護チームに対して、書面または口頭（電子メールを含む）で行うことができます。要求を受けたローカル個人情報管理者は、要求の詳細をグローバル個人情報保護チームに報告するものとします。

2.3

グローバル個人情報保護チームは、有効な請求に対しては、直接または要求を受けたローカル個人情報管理者を通じて、不当な遅滞なくかついかなる場合にも当該要求を受領してから1か月（または現地法に定めるより短い期間）以内に、要求に対してとられた措置に関する情報をもって回答するものとします。回答の時期は、BCR別紙Ⅱ第1.5項に定める条件に従い2か月延長することができるものとします。

2.4

公文は、要求を行った者の身元について合理的な疑いがあり、かつ、要求を行った本人の身元を26

確認し当該本人が求める情報を特定するために合理的に必要な情報が提供されていない場合には、データ主体からのアクセス要求に応じる義務を負わないものとします。公文は、身元確認手
続を行う際には、国内法上の要件を遵守するものとします。
2.5

グローバル個人情報保護チームは、要求が有効なものであるかおよび身元の確認またはさらなる情報が必要かを判断するために、初期評価を行うものとします。また、必要または適切な場合には、データ主体アクセスの取扱いについて適切な従業者に支援させるものとします。

2.6

グローバル個人情報保護チームはその後、データ主体アクセスの要求の受領を確認し、身元の確認または追加情報が必要な場合にはこれを求め、またはデータ主体アクセスの免除のいずれかが適用される場合には要求を拒否するため、本人に対して書面により連絡するものとします。

2.7

有効な要求は、明らかに根拠がない場合または過大である場合にのみ拒否することができるものとします。

3

本 人 の権 利 ：その他 の要 求

3.1

本人は、BCR第3.4項に定める他の権利を行使するための要求を行うことができます。当該要求は、個人データが生じた国のローカル個人情報管理者が、必要に応じてグローバル個人情報保護チームとの協議のうえ、検討し適切に対処しなければならないものとします。BCR別紙Ⅱ第2.3項に定める回答の時期は、本項の対象となる要求にも準用します。

3.2

公文は、公文がデータ管理者である個人データの変更を求める要求を受領した場合に、変更について正当な根拠があると認めたときは、当該個人データを訂正または更新しなければならないものとします。

3.3

公文は、データ管理者として個人データを消去、匿名化、更新または訂正する場合には、当該個人データの開示を受けた他のＫＵＭＯＮグループ会社または復処理者もその記録を更新できるように通知するものとします。

3.4

公文がデータ管理者として受けた要求が、公文による処理によって本人の権利および自由が損なわれることを理由としてまたはその他のやむを得ない正当な根拠により本人の個人データの処理を停止することを求めるものである場合には、当該事案はグローバル個人情報保護チームにおける評価のために付託されるものとします。公文による当該処理により本人の権利および自由が損なわれるため、またはその他のやむを得ない正当な理由に基づき、本人の個人データの処理を中止する場合、当該問題は、評価のためにグローバル個人情報保護チームに付託される。公文が行っ

27

た処理が法により義務付けられている場合には、要求は有効とみなされないものとします。

28

別 紙 III

コンプライアンス体制

1

グローバル個 人 情 報 保 護 オフィサー

1.1

公文が任命するグローバル個人情報保護オフィサーは、公文がBCRおよび適用されるデータ保護
法を遵守するようにするために、経営者レベルでの監督および責任を負うものとします。グローバル
個人情報保護オフィサーは、利益相反があってはならず、KIEの取締役会/CEOに直接報告し、その任命、役割および職務遂行は、随時改定されるGDPRおよびデータ保護オフィサーに関する
欧州データ保護委員会ガイドラインに従って行われるものとします。グローバル個人情報保護オフィ
サーは、その職務の遂行に関し、いかなる指示も受けないものとし、また、KIEの経営の支援を受けるものとします。

1.2

グローバル個人情報保護オフィサーの主要な責任には以下を含みます。:(a)

BCRおよびその他のデータ保護に関する規則が定められ伝達されるようにすること(b)

BCRならびにプライバシーの目的および取り組み全般に関して、経営陣への明確かつ目に見える支援およびリソースを提供すること(c)

BCRの要件、戦略的計画、経営目標および法律の要件に合致する是正措置の評価、承認および優先順位の決定を行うこと(d)

継続的な有効性と改善を確保するために、プライバシー保護の取り組み、成果およびリソースを定期的に評価すること(e)

公文の経営目標がBCRおよび関連するデータ保護の戦略、方針および実務と合致するよ
うにすること(f)

監査時にBCRおよびデータ保護上の課題に関する連絡を調整すること(g)

BCRのデータ主体アクセスおよび苦情処理手続に従って報告のあった苦情を処理すること(h)

監督機関との対応窓口となること（または特定の地域のみに関連する事案についてはロー
カル個人情報担当者にかかる役割を委譲すること）

2

グローバル個 人 情 報 保 護 チーム

2.1

グローバル個人情報保護チームは、KIEによって任命された人員で構成され、グローバル個人情報保護オフィサーの指示のもと、以下を含む責任を果たすものとします。
(a)

BCRに則った個人データの処理に関するガイダンスを提供すること;(b)

BCRに関する従業者、顧客および他の第三者からの問い合わせおよび遵守に対応するこ
と

29

(c)

BCRに基づく監査にあたって情報提供、監査結果への対応の調整および監督機関からの問い合わせへの対応を行うこと(d)

各国のデータ保護法の改正について監視し、BCRならびに関連する公文の方針および実務に必要な変更がされるようにすること(e)

BCRおよびデータ保護法に関する従業員向け研修を手配すること(f)

コミュニケーションと取り組みを通じて、各部署および機能分野にわたってデータ保護の周知を促進すること(g)

データ保護のプロセスおよび手続について、持続可能性と有効性を確保するよう評価すること(h)

必要に応じてBCRの状況をグローバル個人情報保護オフィサーおよびその他の機関に定期的に報告すること(i)

BCRの遵守に関する事項がグローバル個人情報保護チームおよびグローバル個人情報保
護オフィサーに必要に応じて報告され、是正措置の決定および実施が合理的な期間内に行われるようにすること(j)

このBCRの変更が改定手続(別紙Ⅵを参照)に従って行われるようにすること

3

ローカル個 人 情 報 管 理 者

3.1

ＫＵＭＯＮグループ各社には、ローカル個人情報管理者をおき、会社における日常的なデータ保護の遵守について責任を負うものとします。

3.2

グローバル個人情報保護オフィサーが適切と判断した場合には、ＫＵＭＯＮグループの地域本
社のローカル個人情報管理者は、当該地域本社の子会社のローカル個人情報管理者の活動を調整することができるものとします。さらに、ローカル個人情報管理者は、グローバル個人情報保護
オフィサーから委譲された場合には、自社の管轄地域のみに関連する事案について監督機関との対応窓口となるものとします。

3.3

ローカル個人情報管理者は、以下のような方法で、グローバル個人情報保護オフィサーおよびグローバル個人情報保護チームに協力するものとします。
(a)

データ保護に関して適用される法令に関する情報を提供すること(b)

社内においてデータ保護に関する研修を提供すること(c)

社内におけるデータ保護の状況に関する情報を提供すること

30

4

従 業 者 の社 内 コミュニケーション手 続

4.1

公文は、BCRに記載された個人データ保護に関する事項について問い合わせることができるよう、全ての従業者に対する相談窓口を提供します。

4.2

従業者はまた、BCRに記載された個人データ保護に関する事項についての問い合わせをローカル
個人情報管理者に対して行うことができます。ローカル個人情報管理者は、問い合わせを受けてから1か月以内に審査し回答するものとします。問い合わせの対象である事項が現地のみに関連するものでない場合には、ローカル個人情報担当者はグローバル個人情報保護チームに相談する
ものとします。

4.3

従業者がローカル個人情報管理者またはグローバル個人情報保護チームの回答または判断における何らかの点について争い、その旨を回答者に通知した場合には、当該事案はグローバル個人
情報保護オフィサーに付託されるものとします。グローバル個人情報保護オフィサーは、当該事案を審査し、関係するデータ保護チーム／管理者から問い合わせの付託を受けてから1か月以内（要求の複雑さおよび数に応じてさらに2か月延長することができる）に、回答者の判断を支持す
るまたは新たな判断を行うとの判断を従業者に通知するものとします。

4.4

従業者は、このBCRに基づくＫＵＭＯＮグループ会社による自己のデータの取扱いについて、BCR別紙Ⅱに定めるところにより苦情を申し立てることができるものとします。

31

別 紙 IV

研 修 の手 順

1

従業者研修

1.1

個人データの移転、取扱いおよび収集に携わる全ての従業者は、BCRおよび適用されるデータ保
護法の概要を含むデータ保護に関する研修を、(i)入社時研修プログラムの一部としておよび(ii)少なくとも毎年1回受けなければならないものとします。当該研修は、状況に応じて、Eトレーニング、
社内セミナーまたはその他適切とみなされる方法で提供されるものとします。

1.2

グローバル個人情報保護チームは、研修資料を作成し、ローカル個人情報管理者に提供するものとします。その後、ローカル個人情報管理者は、社内の従業者のための研修を実施し、研修の結果を記録してグローバル個人情報保護チームに報告するものとします。

1.3

この研修の目的は、従業者が個人データおよびこれを含む全ての情報システムの保護、秘密保持
および安全管理の基本原則について習熟するようにすることにあります。

1.4

公文は、次のような、適切とみなす追加の研修の機会を提供するものとします。
-

管理職を対象とした特別なEトレーニング-

特定の部署（例：人事、情報システム、事務局）向に設計された研修-

グローバルなイントラネットでのEトレーニングおよびグループ間会議等のグローバルな研修
の機会

1.5

研修は、次の内容について実施するものとします。
-

個人データ保護に関する現地法の内容;-

BCRの内容および改定-

個人データ保護法が公文にどのように影響するか(BCRを遵守するためのベストプラクテ
ィスを含む)

32

別紙V
1

監 査 の手 順

監 査 の原 則

1.1 公文は、定期的にまたはグローバル個人情報保護オフィサーの個別の要求に基づき、内部監査
人または資格ある外部監査人により実施される、個人データ保護に関する監査を受ける義務を
負います。

2

監査体制

2.1

グローバル個人情報保護オフィサーは、是正措置が採用され実施されるようにする方法を含め、BCRの全ての側面の遵守に関する独立した監査が実施されるように、適切とみなす公文の内部監査人または資格ある外部監査人(「監査チーム」)を手配するものとします。

2.2

監査チームは、BCRの遵守に関する独立した監査の実施および/または監督に責任を負い、当該監査がBCRの全ての側面を対象とするようにするものとします。また、監査チームは、不遵守の問
題または事案がグローバル個人情報保護チームおよび関連するローカル個人情報管理者に確実に知らされるようにする責任を負うものとします。

3

監査手続

3.1

監査は、BCRの全ての側面を対象とし、監査の結果として必要となりうる是正措置の方法を特定するものとします。

3.2

BCRの遵守に関する監査は、以下のとおり実施されるものとします。
(a)

公文の監査手続に従い、少なくとも年1回(b)グローバル個人情報保護オフィサーおよび/またはKIEの取締役会の要求があったとき(c)グローバル個人情報保護チームが必要と判断したとき(例えば、特定の事故への対応として)

3.3

監査チームは、監査を受ける会社の事業における新たなまたは特定のリスク、セキュリティシステム
または手続の変更、過去の監査または苦情の対象、個人データの性質および所在地、ならびに処理の態様等の関連する問題を考慮して、監査の範囲を決定するためのリスクに基づく分析を実施するものとします。

33

3.4

監査は、監査チームが適当と認めるところにより、立入検査、関係者との面談、質問書、文書審
査その他の方法により行うものとします。

3.5

全ての監査の結果は、グローバル個人情報保護オフィサーおよびKIEの取締役会に通知されるものとします。

3.6

監査結果の写しは、要求に応じて監督機関に提出されるものとします。

3.7

ＫＵＭＯＮグループ会社は、監督機関の監査を受けることに同意し、規則に関連する問題について監督機関の助言に従うものとします。

34

別 紙 VI改 定 の手 続

1

BCRの変 更1.1

公文は、BCRの変更について、管轄監督機関を通じて関係する監督機関に対して、また全てのＫＵＭＯＮグループ会社に対して、不当な遅滞なく通知するものとします。

2

承 認 を要 しないBCRの変 更2.1

BCRまたはＫＵＭＯＮグループ会社の一覧表の変更は、承認を再度申請する必要なく行うことができるものとします。ただし、以下を条件とします。
(a)グローバル個人情報保護オフィサーは、BCRに拘束されるＫＵＭＯＮグループ会社および公文が個人データを処理するために指名する復処理者の最新のリストを維持するものとします。当該リストは、有効な要求に応じて、本人および監督機関がアクセスできるようにする
ものとします。

(b)

グローバル個人情報保護オフィサーは、変更が効力を生じる日および変更の内容を含む
BCRの変更の記録を維持し、本人または監督機関の要求に応じて必要な情報を提供するものとします。

(c)

新たな会社への移転は、当該会社がBCRに実質的に拘束されこれを遵守できるようになるまでは行われないものとします。

(d)

BCRまたはＫＵＭＯＮグループ会社の一覧表の変更については、改定を正当化する理由の簡潔な説明とともに、年１回、BCRを承認した監督機関に対して報告するものとします。

(e)

BCRが提供する保護の水準に影響を及ぼし、またはBCRに実質的な影響を及ぼす可能性のあるBCRの変更は、管轄監督機関を通じて速やかに関係監督機関に通知されるものとします。

35