拘束的会社準則
処理者ポリシー目次
1.

序文 .................................................................................................................................................................... 4

2.

キーワード ........................................................................................................................................................... 7

3.

データ処理者としてのコミットメント ............................................................................................................ 10

データ処理者としてのコミットメント ................................................................................................... 10

クライアントの権利 ............................................................................................................................... 134.

個人データの移転 ........................................................................................................................................ 14

個人データの移転 ............................................................................................................................... 145.

実務上の約定............................................................................................................................................... 15

安全性および秘密保持 .................................................................................................................... 15

説明責任 .............................................................................................................................................. 15

研修プログラム ...................................................................................................................................... 16

監査プログラム ...................................................................................................................................... 16

国内法と BCR との関係 ................................................................................................................... 17

苦情処理体制 ..................................................................................................................................... 18

当局との協力........................................................................................................................................ 181

規則の改定........................................................................................................................................... 18

6.

第三受益者の権利および責任................................................................................................................ 19

第三受益者の権利 ............................................................................................................................ 19

責任および立証責任 ......................................................................................................................... 19

7.

最終規定 ....................................................................................................................................................... 21

最終規定 .............................................................................................................................................. 21

別紙 I

ＫＵＭＯＮグループ会社一覧 .................................................................................................. 22

別紙 II

データ主体によるアクセスおよび苦情の手続 ............................................................................ 231

公文に対する苦情................................................................................................................................... 23

2

本人の権利：データ主体のアクセス請求 ......................................................................................... 24

3

本人の権利：その他の要求 ................................................................................................................ 25

別紙 III

コンプライアンス体制................................................................................................................... 26

1

グローバル個人情報保護オフィサー ..................................................................................................... 26

2

グローバル個人情報保護チーム........................................................................................................... 26

3

ローカル個人情報管理者 ...................................................................................................................... 27

4

従業者の社内コミュニケーション手順 .................................................................................................. 28

2

別紙 IV

1

研修の手順 ................................................................................................................................. 29

従業者研修 .............................................................................................................................................. 29

別紙 V

監査の手順 ...................................................................................................................................... 30

1

監査の原則 ............................................................................................................................................... 30

2

監査体制 ................................................................................................................................................... 30

3

監査手続 ................................................................................................................................................... 30

別紙 VI

更新手順 ..................................................................................................................................... 32

1

BCR の変更 .............................................................................................................................................. 32

2

決裁を要しない BCR の変化 ............................................................................................................... 32

31. 序 文

公文とは？
公文は、日本を拠点とする株式会社公文教育研究会を中心とした、世界をリードする個人別教育
サービスの提供者です。公文では、独自に開発した「公文式」をもとに、様々な年齢の学習者に学習プログラムを提供しています。これらの学習プログラムは、公文式教室（フランチャイズおよび直営）やパートナーであるライセンシーの世界的なネットワークを通じて提供されています。

BCR とは?
ＫＵＭＯＮグループでは、公文式を通じて「個々の人間に与えられている可能性を発見し、その能力を最大限に伸ばす」というミッションを達成するために、グループ会社間で個人データを共有することがあります。私たちにとって、個人データを適切な保護のもとで取扱うことは重要です。公文は、個人データ保護に関する公文の原則と、EEA 外のＫＵＭＯＮグループ会社と個人データを共有する場
合に従うべきルールを定めるために、基本的な拘束的企業準則を制定しています。
「拘束的企業準則」は、「拘束的企業準則－管理者ポリシー」と「拘束的企業準則－処理者ポリシー」の 2 つのポリシーから構成されています。本文書に定めるのは「拘束的企業準則－処理者ポリシー」であり、本文書においては単に「BCR」と呼びます。
この BCR では、ＫＵＭＯＮグループ各社がフランチャイズ指導者を含む第三者のためにデータ処理者として行動する際に、データ保護法をどのように遵守するかについて説明します。
この BCR は、関連する公文のウェブサイトに掲載されます。

4

BCR の対象は?
この BCR は、EEA で生じる個人データに対する、ＫＵＭＯＮグループ会社（別紙Ⅰを参照）による収集、移転、およびその他の全ての処理を対象とします。これには以下を含みます。
フランチャイズ指導者
氏名、住所、教室名、連絡先、職歴・学歴、指導者としての経歴、なら
データの種類

びにフランチャイズ指導者が公文式教室を運営するための専用のサーバ
およびシステム上に保存している他の情報

EEA 外への移転



株式会社公文教育研究会（日本）への移転



Kumon Europe & Africa Limited（英国）への移転



指導者が公文式教室を運営するために使用する専用サーバおよび目的システムの IT サポート・保守

事務・管理の支援

公文式で学習する（または学習に興味をもつ）学習者
氏名、学習者番号、教室名、住所、年齢、学年、教材進度、学習期
データの種類

間、ならびにフランチャイズ指導者が公文式教室を運営するための専用のサーバおよびシステム上に保存している他の情報

EEA 外への移転



株式会社公文教育研究会（日本）への移転



Kumon Europe & Africa Limited（英国）への移転



指導者が公文式教室を運営するために使用する専用サーバおよび目的システムの IT サポート・保守

事務・管理の支援

生徒の保護者
氏名、学習者の氏名、学習者との続柄、住所、連絡先、ならびにフラン
データの種類

チャイズ指導者が公文式教室を運営するための専用のサーバおよびシス
テム上に保存している他の情報

EEA 外への移転



株式会社公文教育研究会（日本）への移転



Kumon Europe & Africa Limited（英国）への移転



指導者が公文式教室を運営するために使用する専用サーバおよび目的システムの IT サポート・保守

事務・管理の支援

この BCR は、自動化されているか手動であるかを問わず、あらゆる種類のデータ処理に適用されます。

5

誰が BCR に従わなければならないのでしょうか？
別紙Ⅰに記載されたＫＵＭＯＮグループ会社およびその従業者は、BCR に従わなければなりません。
これらのＫＵＭＯＮグループ会社はそれぞれ、会社間契約によって BCR に拘束され、自社およびその従業者がこれらの BCR を遵守するために必要な措置をとる義務を負います。別紙 I
別紙ⅠのＫＵＭＯＮグループ会社の表は、別紙Ⅵに定める BCR 改定手続に従って随時更新することがあります。

BCR について質問があります。どこに問い合わせればよいでしょうか？
BCR やＫＵＭＯＮグループ各社が収集・処理したデータに関する BCR 上の権利についてのご質問やご不明な点につきましては、グローバル個人情報保護チーム（BCR@kumon.co.jp）にお問い
合わせください。

6

2. キーワード
この BCR では、以下のキーワードは、以下の意味で使われます。
(a) 「子ども」

16 歳（または関連する EEA 法において本人の個人データを処理するためには保護者の同意が必要とされる他の年齢）未満の本人(b) 「クライアント」

公文がデータ処理者となる場合、公文が代わって個人データを処理するデータ管理者またはデータ処理者。なお、クライアントは他のＫＵＭ
ＯＮグループ会社であることはない。

(c) 「クライアント契約」

公文とクライアントとの間の、個人データの処理に関する条件を定める契約。

(d) 「データ管理者」

個人データの処理の目的および手段を、単独でもしくは他の者と共同で決定する、または適用ある法に基づきそのような決定をするものと指定された、自然人もしくは法人、公的機関、部局またはその他の組織。

(e) 「データ処理者」

データ管理者に代わり個人データを処理する自然人または法人、公的機関、部局またはその他の組織。

(f) 「EEA」

欧州経済領域。ただし、英国が EU 法に拘束される移行期間中は、「EEA」は英国を含むものと解釈されるものとする。

(g) 「EEA 法」

欧州連合の法令、および個人データが当初入手されたまたは EEA 内
で最初に処理された加盟国の法令。

(h) 「EEA 主法人」

英国で設立され運営されるＫＵＭＯＮグループ会社である Kumon
Europe & Africa, Ltd.。ただし、英国が EU 法に拘束される移行期
間の終了後は、スペインで設立され運営されるＫＵＭＯＮグループ会社である Kumon Instituto de Educación de España SA がEEA 主法人となるものとする。

(i) 「従業者」

ＫＵＭＯＮグループ会社内の組織内の個人であって、その会社の直接・間接の指揮監督を受けてその業務に従事する者。雇用関係にある社員（正社員、契約社員、パートタイム社員等）の他、役員、取締役、監査役および臨時従業員等を含む。なお、「従業者」には、独7

立事業者、下請け業者および公文式教室の指導者・スタッフは含まない。
(j) 「フランチャイズ指導者」(k) 「GDPR」

公文とフランチャイズ契約を締結したことを理由として、公文式によって学習者を指導することを認められた指導者。
個人データの取扱いと関連する自然人の保護に関する、および、そのデータの自由な移転に関する、ならびに、指令 95/46/EC（一般データ
保護規則） を廃止する欧州議会および理事会の 2016 年 4 月
27 日の規則(EU) 2016/679、ならびにその改正。

(l) 「保護者」

ある本人の親または親としての責任を負う者。

(m)「本人」

EEA のＫＵＭＯＮグループ会社から EEA 外のＫＵＭＯＮグループ
会社に移転されたある個人データのデータ主体。

(n) 「KIE」

株式会社公文教育研究会。

(o) 「公文」

文脈に応じて、当該ＫＵＭＯＮグループ会社または全てのＫＵＭＯ
Ｎグループ会社。

(p) 「ＫＵＭＯＮグループ会社」(q) 「主監督機関」

別紙Ⅰに記載された法人。別紙Ⅵに従って随時更新されるものとする。
スペインデータ保護監督機関（Agencia Española deProtección de Datos (AEPD)）または適用ある法令に基づき
BCR の主監督機関として適法に指定された他の監督機関。

(r) 「加盟国」

EEA 内の国。

(s) 「個人データ」

特に氏名、識別番号、位置データ、オンライン識別子のような識別子を参照することによって、または当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的もしくは社会的な同一性を示す一つもし
くは複数の要素を参照することによって、直接的または間接的に識別可能な自然人に関する情報であって、EEA 内から生じたもの。

(t) (個人データの)自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録「処理」

保存、修正もしくは変更、検索、参照、使用、送信による開示、配布
もしくはその他の利用可能化、整列もしくは結合、制限、消去もしくは8

破壊のような、個人データまたは一連の個人データに実施される作業または一連の作業。
(u) 「処理国」

ある個人データが処理される国。

(v) 「特別な種類の個人

人種的もしくは民族的な出自、政治的な意見、宗教上もしくは思想

データ」

上の信条または労働組合への加入を明らかにする個人データ、または、自然人の遺伝子データ、生体データまたは健康もしくは性生活もしくは性的指向に関するデータ。

(w) 「監督機関」

加盟国によって設立され、GDPR の適用を監視する責任を負う独立した公的機関。

(x) 「第三者」

本人、データ管理者またはデータ管理者としての公文を除く、自然人もしくは法人、公的機関、部局または組織。なお、第三者には、他のＫ
ＵＭＯＮグループ会社を含まないものとする。

(y) 「第三受益者」

第 6.1.1 項に基づき定められる第三受益者としての権利を有する本人。

9

3. データ処 理 者 としてのコミットメント
データ処 理 者 としてのコミットメント
3.1.1 基本的な約束： 公文がデータ処理者となる場合には、(a)

公文は、第三国へのデータ移転を含め、クライアントからの文書化された指示に基づいてのみ個人データを処理するものとします。ただし、公文が対象となる適用ある法に基づきデータを処理しなければならない場合を除きますが、この場合には、公文は、処理を行う前にかかる法的要件についてクライアントに通知するものとしますが、適用ある法が公共の利益に関する重要な根拠に基づき通知を禁止するときを除きます。別紙Ⅰに記載された各ＫＵＭＯＮグループ会社であってデータ処理者となる者およびその従業者
は、クライアント契約に規定され下記(b)に定めるところにより、データの処理に関するク
ライアントの指示および安全性および穂満保持に関する措置を遵守するものとします。

(b)

公文は、(第5.1項の規定に沿って)処理によりもたらされるリスクに適切な水準の安全性を確保するために全ての適切な技術的および組織的措置を導入し、GDPRに合致するデータの安全性を確保する義務を含め、クライアント契約に定める技術的および組織的措置を導入しなければならないものとします。この場合において、公文は、クライアントがその義務を遵守するように支援するものとします。

(c)

公文は、クライアントの求めに応じて、個人データが最新かつ適切であり、訂正または消去されるようにするために必要な措置をとるものとします。公文は、当該個人データの開示を受けた可能性のある全てのＫＵＭＯＮグループ会社または外部の復処理者がデータの修正または消去について通知を受けるようにするものとします。

(d)

公文は、本人の識別が不要となった時から、クライアントの要求に従って、クライアントに代わり処理する個人データを消去しまたは匿名化する措置をとるものとし、また、当該個人データの開示を受けた可能性のある各法人がデータの消去または匿名化について通知を受けるようにするものとします。

(e)

公文は、透明性および公平性についての義務を負うものとし、したがって、クライアントが本人の権利行使に関する要求に対応し、本人の苦情を取扱うために有用な情報を伝達することを含め、クライアントが合理的な期間内にかつ合理的に可能な限りにおいて、
特にデータ保護法上の要件等の法を遵守するようクライアントを支援し、また、クライアントが監督機関の調査または問い合わせに対応できるように支援するものとします。

(f)

公文は、クライアントの求めがあれば、クライアントが本人の権利を尊重する権利を遵守することを支援するために有用な情報を伝達することを含め、可能な限りにおいて、クライアントが本人の権利行使に関する要求に対応する義務を果たすために必要な措置を10

実施するものとします。公文は、クライアントから回答する権限を受けている場合を除き、本人からの要求に対して回答することなく遅滞なくクライアントに伝達するものとします。
(g)

公文は、BCRにおける義務を遵守していることを示すために必要な情報をクライアントに提供し、また、クライアントが別紙Ⅴに従って自らまたは指定された監査人をして監査を行うことを認めるものとします。公文はまた、指示がこのBCRまたは他の適用ある法に反すると考える場合には、ただちにクライアントに通知するものとします。

(h)

公文は、クライアントが(第5.2項にいう)データ保護影響評価の実施に関する義務を遵守するよう支援するものとします。

(i)

公文は、クライアントが効果的な態様でデータ保護の原則を導入するよう設計された適切な技術的および組織的措置を導入することならびに（第5.2.5項にいう）このBCRの遵守を促進するために必要な保護手段を処理に組み込むよう支援するものとします。

(j)

公文は、クライアントとの間で締結されたGCPRに準拠しその定める要件をみたすクライ
アント契約に基づき、クライアントに代わって個人データを処理するものとします。

3.1.2 完全な遵守が不可能な場合： クライアント契約の期間中のいずれかの時点で、公文が適用を受ける現行または将来の法令がクライアントから受けた指示またはBCRもしくはクライアント契約に基づく他の義務を果たすことを妨げると公文が信じるに足る理由がある場合を含め、公文が第3.1．1項に定める義務のいずれかまたは全部を完全に遵守できない場合には、公文は速やかにこれをクライアントに通知するものとします。この場合には、クライアントは、データの移転の停止および／またはただちに契約を解除することができるものとします。公文はさらに、EEA主法人
ならびにクライアントおよび公文に対して管轄を有する監督機関に通知するものとします。
3.1.3 個人データの返却または破棄： クライアント契約が終了または満了した場合、公文は、クライ
アントの指示に従って、処理した全ての個人データを返却または破棄し、そのコピーを消去すること、また、クライアントにその旨を証明することを約します。ただし、ただし、適用ある法により公文が移転を受けた個人データを保管しなければならない場合を除きますが、この場合には、公文はその旨をクライアントに通知し、移転を受けた個人データの機密性を保障し、これを積極的に処理しないものとします。
3.1.4 本人に提供される情報： 本人には、BCRに容易にアクセスする権利があります。公文は、本人が容易にBCRにアクセスできるよう、次のURLからアクセスできるウェブサイトにBCRを掲載する
ものとします：https://www.kumongroup.com/eng/bcr/。
3.1.5 個人データ処理の法的根拠： 公文は、クライアントに代わって、個人データおよび該当する場
合には特別な種類の個人データの処理の法的根拠について判断する義務を負わないことをここに明確にします。クライアントの指示に基づき公文が行う処理の法的根拠を決定することについ11

ては、クライアントまたは最終のデータ管理者のみが責任を負うものとします。
3.1.6 復処理者の選任： 公文は、公文に代わって処理を実施する復処理者(第三者であるデータ処理者か他のＫＵＭＯＮグループ会社であるかを問わない)を選任する前に、クライアントに通知し、説明を受けたうえでの特定または包括的な事前の書面による承認を求めるものとします。
クライアント契約においては、業務の開始時に包括的な事前の承認を定めることができますが、この場合には、公文は、契約締結時に復処理者についてクライアントに通知し、その後復処理
者の追加または変更についても、新たな復処理者にデータが移転される前にクライアントが変更に異議を申し立てまたはクライアント契約を解除できるように適時に通知するものとします。特に個人データの処理を管理する適切な技術的および組織的措置を設定し提供できる、BCRにおける公文の約定について十分な保証を行う復処理者のみが選任されるものとします。公文はこれを以下の方法で確保します。
(a)

復処理者は、関連する個人データについての公文の指示によってのみ行為をなすように
すること

(b)

BCRおよび第5.1.4項に定めるその他の要件に従って処理される個人データの安全性および機密性に関する復処理者の約定を特に含む、クライアント契約に定めると同一のデータ保護義務を復処理者に課する書面による契約を締結すること(c)

復処理者の約定が、関連する個人データの処理に関するBCRと整合するようにするために必要となりうる他の義務（復処理者が、第3.1.1項、第3.1.3項、第3.1.4項および第3.1.9項に定めるものを含むがこれらに限定されない、クライアントに対する公文の義務を遵守する義務を負うようにすること等）を定めること

3.1.7 復処理者による違反： 公文は、復処理者による義務の違反を理由としてクライアントに対する責任を回避することはできないものとします。
3.1.8 クライアント契約へのBCRの組み込み： クライアント契約がBCRの範囲内にあたる個人デー
タの移転を伴う場合には、公文は、クライアントの求めに従い、BCRを別紙として含めまたは電子的にアクセスできるBCRへの参照文を含めることにより、BCRにおけるデータ処理者としての義務をクライアント契約に組み込むものとします。
3.1.9 クライアントに対する違反の通知／監査報告書の開示： 公文がクライアントに代わり処理した個人データの安全性または機密性の違反があった場合には、公文は、(i)公文がデータ処理者であるときはデータ管理者であるクライアントならびに(ii)公文が復処理者であるときは管理者
およびクライアントに対して、違反を知った後不当な遅滞なく通知し、クライアントがこれに関する義務を遵守するよう支援し、また、クライアントの求めがあれば第5.4項に従って作成された監査報告書をクライアントに開示するものとします。

12

3.1.10 開示請求： 公文は、クライアントに代わり処理した個人データの開示を求める法的拘束力のある要求を法執行機関から受領した場合には、別途禁止されない限り(例えば、法執行機関の捜査に関する機密を保持するための刑事法に基づき)、クライアントにこれを通知するものとします。いかなる場合にも、公文は、第5.5．4項に定める態様にて開示要求を取扱うものとします。

クライアントの権 利
3.2.1 クライアントに対する責任： クライアントは、以下の権利を有するものとします。
(a)

違反を生じさせたＫＵＭＯＮグループ会社に対して、このBCRおよびクライアント契約を執行すること(b)

EEA外で設立された公文グループ会社により違反が生じた場合には、EEA主法人（第6.2項にいうデータ保護責任を委譲されたＫＵＭＯＮグループ会社）に対して、
このBCRおよびクライアント契約を執行すること(c)

EEA外で設立された外部の復処理者により違反が生じた場合には、外部の復処理者との間で締結された書面による契約を執行すること

13

4. 個 人 データの移 転
個 人 データの移 転4.1.1 データ処理のための個人データ移転： 公文は、(第三者であるか他のＫＵＭＯＮグループ
会社であるかを問わず)別のデータ処理者への個人データの移転および再移転を制限します。ただし、以下の場合を除きます。
(a)

移転が行われる前に、第3.1.6項に定めるいずれかの要件およびGDPRに定めるいずれかの要件を満たす書面による契約をデータ処理者との間で締結しており、かつ、(b)

その他、当該移転に係る個人データについてGDPRに基づく適切な保護を確保するために必要な措置を講じている場合

4.1.2 データの移転および再移転： 第3.3.1項(a)によるクライアントの指示を条件として、公文は、(第三者であるか他のＫＵＭＯＮグループ会社であるかを問わず)EEA外の組織への個人デー
タの移転および再移転を制限します。ただし、個人データの移転に関するGDPR上の法および規則に準拠する場合であって、特に以下のいずれかに該当するときを除きます。
(a)

関係する機関が適切な水準の保護を確保していると判断した第三国または国際機関に対する移転の場合(b)

執行可能な権利および効果的な法的救済を本人に認めるものとしてGDPRに基づき認められた適切な保護措置の対象となる移転の場合(c)

GDPRに基づき認められる例外として定められた条件を満たす移転の場合(d)

EEA外のＫＵＭＯＮグループ会社への移転の場合には、このBCRに従って行われるとき

14

5. 実 務 上 の約 定
安 全 性 および秘 密 保 持
5.1.1 技術的および組織的措置： 公文は、特に処理がネットワークを介したデータの送信を含む場
合における無断のまたは違法な処理および偶発的な喪失、破壊または損壊、ならびにその他一切の違法な形式の処理に対する保護を含め、個人データが適切な安全性を確保する態様で処理されるようにします。公文は、随時更新される適切な技術的および組織的な措置を導入することによってこれを確保します。
5.1.2 安全性のレベル： 導入される技術的および組織的措置は、最新技術（GDPR第32条に定めるものをいう）およびその導入費用、ならびに処理の性質、範囲、過程および目的に加えて、自然人の権利および自由に対する様々な蓋然性および深刻度をもつリスクに鑑みて、リスクに応じて適切なレベルの安全性を確保するものとします。
5.1.3 従業者の遵守： 従業者は、BCRに従ってのみ個人データを処理することができます。BCRに違反した従業者は、（解雇を含む）懲戒処分の対象になる場合があります。
5.1.4 データ処理者との契約書： 公文は、公文に代わり個人データを処理するデータ処理者（第三者であるか他のＫＵＭＯＮグループ会社であるかを問わない）が、公文の指示に基づいてのみ行動すること、十分な安全管理および機密保持の措置をとる責任を負うこと、個人データの漏洩を遅滞なく公文に通知すること等、GDPR第28.3項に準拠し同項が要求する全ての要素を含む書面による契約（第4.1項に定める）に拘束されるようにします。
5.1.5 個人データの侵害： 第3.1.9項に従ってクライアントおよび／またはデータ管理者に通知する
ことに加えて、個人データの侵害は、文書として記録されます（侵害の事実、影響および講じられた救済措置を含む）。当該文書は、管轄監督機関の求めに応じて提出されます。

説明責任5.2.1 公文は、このBCRの遵守に責任を負い、それを立証することができるものとする。
5.2.2 記録の保管： 公文は、以下を含め、全てのデータ処理活動の明確な記録が保管されるよう
にします。
(a)

以下の者の名称および連絡先

15

(i) データ処理者および当該データ管理者が代わりに行為をなす各データ管理者(ii) 該当する場合には、データ管理者またはデータ処理者の代理人およびデータ保
護オフィサー(b)

データ管理者によりまたはデータ管理者に代わり処理される個人データおよび本人の種類(c)

実施されている技術的および組織的安全管理措置の記述(d)

該当する場合には、第三国または国際機関に対する個人データの移転、および移転
元の国の監督機関が適切な水準の保護を確保することを決定していない国への移転のために導入された保護措置を示す文書(e)

GDPRに従って記録すべきその他の情報

5.2.3 公文は、電子的方式を含む書面によって処理活動の記録を保管するものとし、求めがあれば監督機関に提供するものとします。
5.2.4 データ保護影響評価： 公文は、自然人の権利および自由に対する高いリスクを発生させるおそれがある処理作業について、データ保護影響評価を実施する必要性を判断するものとします。
評価の結果、公文がリスクを軽減するための措置をとらなければ高いリスクを生じさせることが判明した場合には、処理の前に監督機関に相談するものとします。
5.2.5 データ保護・バイ・デザインおよびバイ・デフォルト： 公文は、このBCRの遵守を促進するために、データ保護の基本原則を効果的に実施するように、また、処理の中で保護措置を統合するように設計された、適切な技術的および組織的措置を導入するものとします。
5.2.6 公文は、公文におけるBCRの遵守を監督・確保するため、別紙Ⅲに定める手順に従い、経営陣の支援を得たグローバル個人情報保護オフィサーを任命します。

研 修 プログラム
5.3.1 公文は、別表Ⅳに定める手順に従い、従業員に対してBCRに関する適切な研修を行います。
5.3.2 従業者は、適切な研修を受ける前に(i)個人データをEEA外の国に移転することまたは(ii)EEA
外で個人データを取扱うことはできません。

監 査 プログラム
5.4.1 公文は、別紙Ⅴに定める手順に従い、このBCRの遵守に関する監査を行います。

16

国 内 法 とBCRとの関 係
5.5.1 個人データの処理を行う国の法が、個人データに対するより高度な保護を求める場合には、当該法がBCRに優先します。
5.5.2 公文は、処理国の現行または将来の国内法がBCRに基づく義務の履行を妨げまたはBCRが定める保証に実質的な影響を及ぼすおそれがあると信じるに足る理由がある場合には、グローバ
ル個人情報保護チーム（別紙Ⅲを参照）、EEA主法人、クライアント、ならびに該当する場合にはデータ管理者について管轄を有する監督機関およびデータ処理者に対して管轄を有する監
督機関に対して速やかに通知するものとします。ただし、法執行当局が禁止する場合（刑事法に基づく法執行機関の捜査に関する守秘義務を含む）を除きます。クライアントは、データ移転の停止および／またはクライアント契約の解除を行うことができるものとします。
5.5.3 国内法とBCRにおける約定との間に矛盾がある場合には、グローバル個人情報保護オフィサー（別紙Ⅲを参照)は、どのような措置をとるべきかについて責任ある判断を行い、疑義がある場
合には管轄監督機関と協議するものとします。
5.5.4 公文は、第三国において自社が対象となりうる法的要件がBCRの定める保証に実質的な悪影
響を及ぼすおそれがあると信じるに足る理由がある場合（法執行機関または国家治安機関から個人データの開示について法的拘束力ある要求があった場合を含む）には、(別紙Ⅲ記載の手続に従って)グローバル個人情報保護チーム、管轄監督機関およびクライアントに以下の事項
を速やかに通知するものとします。
(a)要求(要求されたデータの種類を含む)(b)

要求している機関(c)

要求の法的根拠

ただし、法執行機関により禁止されている場合(刑事法に基づく法執行機関の捜査に関する守秘義務を含む)を除くものとしますが、この場合には、公文は、当該義務の免除を受け、可能な限りの情報を管轄監督機関に可及的速やかに伝達できるよう、最善の努力をつくすものとし、かかる努力をつくしていることを示すものとします。公文の最善の努力にもかかわらず、管轄監督機関に通知する立場にない場合には、公文は年に1回、受領した要求に関する一般的な情報（開示請求の件数、要求されたデータの種類および可能な場合には要求者を含む)を提供するものとします。

5.5.5 いかなる場合においても、公文が公権力に対して個人データを提供する義務を負う場合には、大量のまたは不均衡な量の個人データに関するものであってはならず、また、民主主義社会にお17

いて必要とされる限度を超えるような無差別的なものであってはならないものとします。

苦情処理体制5.6.1 本人は、公文が自己の個人データを処理する場合には、別紙Ⅱに定める苦情処理手続により公文に対して苦情を申し立てる権利を有します。
5.6.2 クライアントが事実上消滅し、法律上存在しなくなり、または支払不能となった場合には、他の者がクライアントの全ての法的義務を承継するときを除き、公文が別紙Ⅱに定める条件に従って本人からの苦情を取扱うものとします。

当 局 との協 力
5.7.1 監督機関との協力： 公文は、監督機関に協力し、監督機関による調査または照会の取扱いについて相互に支援するものとします。
5.7.2 監督機関の決定の遵守： 公文は、管轄監督機関の監査を受けることに同意し、BCRの解釈に関する問題について管轄監督機関の助言に従うものとします。なお、このBCRのいかなる定めも、管轄監督機関による決定に対して公文が上訴する権利を放棄するものと解釈されないものとします。

規 則 の改 定
5.8.1 BCRの改定は、別紙Ⅵに定める手続に従って行われ監督機関およびクライアントに報告されます。

18

6. 第 三 受 益 者 の権 利 および責 任
第 三 受 益 者 の権 利
6.1.1 BCRの執行： 本人は、第三受益者として、データ管理者を特に対象とし本人に権利を付与する規定、特に第3.1.1項、第3.1.9項、第5.1項、第5.5項、第5.6項（およびこの関連において別紙Ⅱ）、第5.7項、第6.1項ならびに第6.2項を、直接ＫＵＭＯＮグループ会社に対して執行する権利を有するものとします。この権利には、このBCRで保障される第三者受益権の侵害に対する司法上の救済を受ける権利、補償を受ける権利、ならびに適切な場合には（有形の被害だけでなく精神的な被害に対する）損害の賠償を受ける権利が含まれます。
6.1.2 責任を負うＫＵＭＯＮグループ会社： EEA主法人を、EEAにおいて第三受益者の権利に対応する責任を負うＫＵＭＯＮグループ会社とします。
6.1.3 管轄条項： 第三受益者は、以下の機関に対して特に、事前に苦情を申し立てる権利を有するものとします。
(a)

第三受益者の選択により、公文またはクライアントが拠点を有する地または第三受益者の常居所に基づき裁判管轄を有する加盟国の裁判所が設置された場所に基づいて管轄権が確立された加盟国の権限ある裁判所(b)

第三受益者の選択により、第三受益者が常居所とする地、または就業地とする地、またはBCRの違反があったとされる地のいずれかに基づき管轄を有する管轄監督機関

6.1.4 クライアント個人データに関する本人の権利： クライアントが事実上消滅し、法律上存在しなくなり、または支払不能となった場合には、他の者がクライアントの全ての法的義務を承継するときを除き、クライアントに代わって公文が処理する個人データの対象となる本人は、データ処理者としての公文に対して第三受益者としてこのBCR、特に第3.1.1項、 第3.1．1項(a)、第5.2項、第5.5項、第5.6項（およびこの関連において別紙Ⅱ）、第5.7項、第6.1項、第6.2
項および別紙Ⅰを執行することできるものとします。この権利は、司法上の救済ならびに上記第6.1.1条および第6.1.3条に基づく補償を受ける権利を含みます。

責 任 および立 証 責 任
6.2.1 個人データに関するEEA主法人の責任： EEA主法人は、以下に同意します。
(a)

EEA主法人は、EEA外に設立された他のＫＵＭＯＮグループ会社の行為またはEEA

19

外に設立された外部の復処理者が生じさせた違反について救済することおよびEEA外に設立されたＫＵＭＯＮグループ会社または外部の復処理者によるBCRの違反に起因する有形または無形の損害に対する賠償金を支払うことについて、責任を負い、必要な措置をとるものとします。EEA主法人は、当該BCR違反に起因する損害賠償金を支払うために十分な資産を有することを確認します。
(b)

EEA主法人は、EU内の裁判所または他の権限ある機関の管轄権を受け入れるものとし、BCRの違反、特に、当該違反に起因する本人の権利および救済について違、当該違反がEEA外に設立されたＫＵＭＯＮグループ会社またはEEA買いに設立された
外部の復処理者もしくは第三者であるデータ処理者ではなくEEA主法人に起因するものであると同様に責任を負うものとします。

(c)

EEA主法人は、第三者であるデータ処理者による義務違反を理由として自己の責任を回避することはできないものとします。

6.2.2 第三受益者のEEA個人データに関する立証責任：(a)

EEA主法人は、EEA外に設立されたKUMONグループ会社または外部の復処理者が、本人が損害賠償を請求する原因となったBCRの違反について責任を負わないことを立証する責任を負うものとします。

(b)

クライアントが損害を受けたことを証明することができ、かつ、EEA外に設立されたＫＵ
ＭＯＮグループ会社または外部の復処理者による違反により損害が生じた蓋然性があることを示すことができる場合には、当該ＫＵＭＯＮグループ会社または外部の復処理者が当該違反について責任を負わないことを証明する責任はEEA主法人が負うものとします。

(c)

EEA主法人は、損害を生じさせた事由についてＫＵＭＯＮグループ会社または外部の復処理者が責任を負わないことを立証することができる場合には、責任/責任を免れることができるものとします。

20

7. 最 終 規 定
最終規定
7.1.1 BCRは、主監督機関が承認した日から効力を生じるものとします。

21

別紙 I

ＫＵＭＯＮグループ会 社 一 覧

この BCR に関するお問い合わせは、BCR@kumon.co.jp までメールでお送りいただけます。
地域

会社名

所在地・ウェブサイト
〒532-8511 大阪市淀川区西中島5-6-6 公文協

日本

株式会社公文教育研究会

育会館
https://www.kumon.ne.jp/

Kumon Europe & Africa

ヨーロッパ

LimitedおよびKumon Instituto de

4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH U.K.
http://www.kumon.co.uk/
Paseo de la Castellana, 131, planta baja y primera
28046 Madrid, SPAIN

Educación de España

アフリカ
Kumon Deutschland GmbH

http://www.kumon.es/
Wiesenstrasse 21. 40549 Düsseldorf GERMANY
http://www.kumon.de/22

別 紙 II

データ主 体 によるアクセスおよび苦 情 の手 続

1

公 文 に対 する苦 情

1.1

責任を負うチーム： グローバル個人情報保護オフィサー、グローバル個人情報保護チームおよびローカル個人情報管理者は、本人からのアクセス要求の履行および苦情の処理を担当する主な管轄部署です（別紙Ⅲを参照）。

1.2

連絡窓口： 本人は、居住する国のローカル個人情報管理者に連絡することにより、BCRの遵守に関する苦情を申し立てることができます(別紙Ⅲを参照)。関連するローカル個人情報管理者の連絡先は、その国のＫＵＭＯＮグループ会社のウェブサイトに掲載されています。

1.3

受領確認： ローカル個人情報管理者は、本人に対して苦情を受領したことを速やかに確認し、不当な遅滞なく、またいかなる場合にも苦情を受領した日から1か月以内に、実質的な回答を行うものとします。

1.4

異なる管轄国の個人データに関する苦情： 苦情がローカル個人情報管理者の管轄外からの個人データに関連する場合には、ローカル個人情報管理者は速やかに当該本人の苦情をグロー
バル個人情報保護チームに報告するものとし、グローバル個人情報保護チームがこのBCRに基づ
く全ての苦情を処理するものとします。グローバル個人情報保護チームは、必要に応じて、関連するＫＵＭＯＮグループ会社、事業部門およびサポート部門の他の従業者と協力して苦情に対処することができるものとします。グローバル個人情報保護チームは、苦情を受領した日から10営業
日以内に苦情を受領したことを本人に対して確認し、また、受領日から1か月以内に実質的な回答を行うものとします。

1.5

回答の時期： 苦情の複雑さまたは要求の数により、第1.3項または第1.4項に定める期間内に実質的な回答ができない場合には、苦情を申し立てた者に対して、その旨および回答の時期についての合理的な見通し（追加の2か月を超えない）を通知するものとします。

1.6

ローカル個人情報管理者またはグローバル個人情報保護チームは、苦情に理由または根拠があるとの結論に達した場合には、苦情の性質に応じて、BCRの遵守を確保するために適切な措置をとるものとします。

1.7

ローカル個人情報管理者またはグローバル個人情報保護チームは、苦情に理由または根拠がな
いと判断して苦情を拒否した場合には、本人にその旨を通知し、また、ローカル個人情報管理者

23

またはグローバル個人情報保護チームからの回答においては、本人はいつでもグローバル個人情報オフィサーに対して苦情または請求を申し立てることができることを通知するものとします。
1.8

回答について争う場合： 苦情を申し立てた者がローカル個人情報管理者またはグローバル個
人情報保護チームの回答または判断における何らかの点について争い、その旨を回答者に通知した場合には、当該事案はグローバル個人情報保護オフィサーに付託されるものとします。グローバ
ル個人情報保護オフィサーは、当該事案を審査し、関係するデータ保護チーム／管理者から苦情の付託を受けてから1か月以内（要求の複雑さおよび数に応じてさらに2か月延長することができる）に、回答者の判断を支持するまたは新たな判断を行うとの判断を申立者に通知するものと
します。

1.9

苦情が支持された場合には、グローバル個人情報保護オフィサーは、その結果として必要となる措
置をとるよう手配するものとします。

1.10 本人は、公文がとった措置が本人の苦情に対処するのに不十分であると判断する場合には、最初に公文に対して直接苦情を申し立てたか否かを問わず、BCR第6.1.3項に従って加盟国の管轄監督機関または裁判所に対していつでも苦情または請求を申し立てることができます。この権利については、ローカル個人情報管理者またはグローバル個人情報保護チームまたはグローバル個
人情報保護オフィサーから本人への回答において通知するものとします。
1.11 クライアント個人データに関する苦情： 公文がデータ処理者である場合に個人データの収集および使用に関する苦情がローカル個人情報管理者に対して申し立てられたときは、公文は、不当な遅滞なく苦情の詳細をクライアントに通知するものとします。クライアントが公文に苦情の調査を要求した場合には、公文はクライアント契約の条件に厳格に従ってさらなる行動をとるものとします。

2

本 人 の権 利 ：データ主 体 のアクセス請 求

2.1

公文がデータ処理者の場合には、本人は、BCR第6.1.4項に従ってデータ管理者に対して請求を行うことができないときは、公文に対して「アクセス権」を行使するための請求を行うことができます。

2.2

要求は、EEA内のローカル個人情報管理者またはグローバル個人情報保護チームに対して、書面または口頭（電子メールを含む）で行うことができます。要求を受けたローカル個人情報管理者は、要求の詳細をグローバル個人情報保護チームに報告するものとします。

2.3

グローバル個人情報保護チームは、有効な請求に対しては、直接または要求を受けたローカル個人情報管理者を通じて、不当な遅滞なくかついかなる場合にも当該要求を受領してから1か月

24

（または現地法に定めるより短い期間）以内に、要求に対してとられた措置に関する情報をもって回答するものとします。回答の時期は、BCR別紙Ⅱ第1.5項に定める条件に従い2か月延長することができるものとします。
2.4

公文は、要求を行った者の身元について合理的な疑いがあり、かつ、要求を行った本人の身元を確認し当該本人が求める情報を特定するために合理的に必要な情報が提供されていない場合には、データ主体からのアクセス要求に応じる義務を負わないものとします。公文は、身元確認手
続を行う際には、国内法上の要件を遵守するものとします。

2.5

グローバル個人情報保護チームは、要求が有効なものであるかおよび身元の確認またはさらなる情報が必要かを判断するために、初期評価を行うものとします。また、必要または適切な場合には、データ主体アクセスの取扱いについて適切な従業者に支援させるものとします。

2.6

グローバル個人情報保護チームはその後、データ主体アクセスの要求の受領を確認し、身元の確認または追加情報が必要な場合にはこれを求め、またはデータ主体アクセスの免除のいずれかが適用される場合には要求を拒否するため、本人に対して書面により連絡するものとします。

2.7

有効な要求は、明らかに根拠がない場合または過大である場合にのみ拒否することができるものとします。

3

本 人 の権 利 ：その他 の要 求

3.1

本人は、GDPRに基づき認められる他の権利を行使するための要求を行うことができます。当該要求は、個人データが生じた国のローカル個人情報管理者が、必要に応じてグローバル個人情報保護チームとの協議のうえ、検討し適切に対処しなければならないものとします。BCR別紙Ⅱ第2.3項に定める回答の時期は、本項の対象となる要求にも準用します。

3.2

公文は、公文がデータ管理者である個人データの変更を求める要求を受領した場合に、変更について正当な根拠があると認めたときは、当該個人データを訂正または更新しなければならないものとします。

3.3

公文は、クライアントの指示により個人データを消去、匿名化、更新または訂正する場合には、当該個人データの開示を受けた他のＫＵＭＯＮグループ会社または復処理者もその記録を更新できるように通知するものとします。

25

別 紙 III

コンプライアンス体制

1

グローバル個 人 情 報 保 護 オフィサー

1.1

公文が任命するグローバル個人情報保護オフィサーは、公文がBCRおよび適用されるデータ保護
法を遵守するようにするために、経営者レベルでの監督および責任を負うものとします。グローバル
個人情報保護オフィサーは、利益相反があってはならず、KIEの取締役会/CEOに直接報告し、その任命、役割および職務遂行は、随時改定されるGDPRおよびデータ保護オフィサーに関する
欧州データ保護委員会ガイドラインに従って行われるものとします。グローバル個人情報保護オフィ
サーは、その職務の遂行に関し、いかなる指示も受けないものとし、また、KIEの経営の支援を受けるものとします。

1.2

グローバル個人情報保護オフィサーの主要な責任には以下を含みます。:(a)

BCRおよびその他のデータ保護に関する規則が定められ伝達されるようにすること(b)

BCRならびにプライバシーの目的および取り組み全般に関して、経営陣への明確かつ目に見える支援およびリソースを提供すること(c)

BCRの要件、戦略的計画、経営目標および法律の要件に合致する是正措置の評価、承認および優先順位の決定を行うこと(d)

継続的な有効性と改善を確保するために、プライバシー保護の取り組み、成果およびリソースを定期的に評価すること(e)

公文の経営目標がBCRおよび関連するデータ保護の戦略、方針および実務と合致するよ
うにすること(f)

監査時にBCRおよびデータ保護上の課題に関する連絡を調整すること(g)

BCRのデータ主体アクセスおよび苦情処理手続に従って報告のあった苦情を処理すること(h)

監督機関との対応窓口となること（または特定の地域のみに関連する事案についてはロー
カル個人情報担当者にかかる役割を委譲すること）

2

グローバル個 人 情 報 保 護 チーム

2.1

グローバル個人情報保護チームは、KIEによって任命された人員で構成され、グローバル個人情報保護オフィサーの指示のもと、以下を含む責任を果たすものとします。
(a)

BCRに則った個人データの処理に関するガイダンスを提供すること;(b)

BCRに関する従業者、顧客および他の第三者からの問い合わせおよび遵守に対応するこ
と

26

(c)

BCRに基づく監査にあたって情報提供、監査結果への対応の調整および監督機関からの問い合わせへの対応を行うこと(d)

各国のデータ保護法の改正について監視し、BCRならびに関連する公文の方針および実務に必要な変更がされるようにすること(e)

BCRおよびデータ保護法に関する従業員向け研修を手配すること(f)

コミュニケーションと取り組みを通じて、各部署および機能分野にわたってデータ保護の周知を促進すること(g)

データ保護のプロセスおよび手続について、持続可能性と有効性を確保するよう評価すること(h)

必要に応じてBCRの状況をグローバル個人情報保護オフィサーおよびその他の機関に定期的に報告すること(i)

BCRの遵守に関する事項がグローバル個人情報保護チームおよびグローバル個人情報保
護オフィサーに必要に応じて報告され、是正措置の決定および実施が合理的な期間内に行われるようにすること(j)

このBCRの変更が改定手続(別紙Ⅵを参照)に従って行われるようにすること

3

ローカル個 人 情 報 管 理 者

3.1

ＫＵＭＯＮグループ各社には、ローカル個人情報管理者をおき、会社における日常的なデータ保護の遵守について責任を負うものとします。

3.2

グローバル個人情報保護オフィサーが適切と判断した場合には、ＫＵＭＯＮグループの地域本
社のローカル個人情報管理者は、当該地域本社の子会社のローカル個人情報管理者の活動を調整することができるものとします。さらに、ローカル個人情報管理者は、グローバル個人情報保護
オフィサーから委譲された場合には、自社の管轄地域のみに関連する事案について監督機関との対応窓口となるものとします。

3.3

ローカル個人情報管理者は、以下のような方法で、グローバル個人情報保護オフィサーおよびグローバル個人情報保護チームに協力するものとします。
(a)

データ保護に関して適用される法令に関する情報を提供すること(b)

社内においてデータ保護に関する研修を提供すること(c)

社内におけるデータ保護の状況に関する情報を提供すること

27

4

従 業 者 の社 内 コミュニケーション手 順

4.1

公文は、BCRに記載された個人データ保護に関する事項について問い合わせることができるよう、全ての従業者に対する相談窓口を提供します。

4.2

従業者はまた、BCRに記載された個人データ保護に関する事項についての問い合わせをローカル
個人情報管理者に対して行うことができます。ローカル個人情報管理者は、問い合わせを受けてから1か月以内に審査し回答するものとします。問い合わせの対象である事項が現地のみに関連するものでない場合には、ローカル個人情報担当者はグローバル個人情報保護チームに相談する
ものとします。

4.3

従業者がローカル個人情報管理者またはグローバル個人情報保護チームの回答または判断における何らかの点について争い、その旨を回答者に通知した場合には、当該事案はグローバル個人
情報保護オフィサーに付託されるものとします。グローバル個人情報保護オフィサーは、当該事案を審査し、関係するデータ保護チーム／管理者から問い合わせの付託を受けてから1か月以内（要求の複雑さおよび数に応じてさらに2か月延長することができる）に、回答者の判断を支持す
るまたは新たな判断を行うとの判断を従業者に通知するものとします。

4.4

従業者は、このBCRに基づくＫＵＭＯＮグループ会社による自己のデータの取扱いについて、BCR別紙Ⅱに定めるところにより苦情を申し立てることができるものとします。

28

別 紙 IV

研 修 の手 順

1

従業者研修

1.1

個人データの移転、取扱いおよび収集に携わる全ての従業者は、BCRおよび適用されるデータ保
護法の概要を含むデータ保護に関する研修を、(i)入社時研修プログラムの一部としておよび(ii)少なくとも毎年1回受けなければならないものとします。当該研修は、状況に応じて、Eトレーニング、
社内セミナーまたはその他適切とみなされる方法で提供されるものとします。

1.2

グローバル個人情報保護チームは、研修資料を作成し、ローカル個人情報管理者に提供するものとします。その後、ローカル個人情報管理者は、社内の従業者のための研修を実施し、研修の結果を記録してグローバル個人情報保護チームに報告するものとします。

1.3

この研修の目的は、従業者が個人データおよびこれを含む全ての情報システムの保護、秘密保持
および安全管理の基本原則について習熟するようにすることにあります。

1.4

公文は、次のような、適切とみなす追加の研修の機会を提供するものとします。
-

管理職を対象とした特別なEトレーニング-

特定の部署（例：人事、情報システム、事務局）向に設計された研修-

グローバルなイントラネットでのEトレーニングおよびグループ間会議等のグローバルな研修
の機会

1.5

研修は、次の内容について実施するものとします。
-

個人データ保護に関する現地法の内容;-

BCRの内容および改定-

個人データ保護法が公文にどのように影響するか(BCRを遵守するためのベストプラクテ
ィスを含む)

29

別紙 V
1

監 査 の手 順

監 査 の原 則

1.1 公文は、定期的にまたはグローバル個人情報保護オフィサーの個別の要求に基づき、内部監査
人または資格ある外部監査人により実施される、個人データ保護に関する監査を受ける義務を
負います。

2

監査体制

2.1

グローバル個人情報保護オフィサーは、是正措置が採用され実施されるようにする方法を含め、BCRの全ての側面の遵守に関する独立した監査が実施されるように、適切とみなす公文の内部監査人または資格ある外部監査人(「監査チーム」)を手配するものとします。

2.2

監査チームは、BCRの遵守に関する独立した監査の実施および/または監督に責任を負い、当該監査がBCRの全ての側面を対象とするようにするものとします。また、監査チームは、不遵守の問
題または事案がグローバル個人情報保護チームおよび関連するローカル個人情報管理者に確実に知らされるようにする責任を負うものとします。

2.3

公文は、クライアントの求めがあれば、当該クライアントに関連する処理行為の監査のためにデータ処理にかかる施設を提供することに同意します。この場合、監査は、クライアント契約に定めるところにより、当該クライアントにより、または当該クライアントが選定し守秘義務に拘束される必要な資格を有する独立監査人により実施されるものとします。該当する場合、公文は、復処理者も上記の監査要求に従うようにするものとします。

3

監査手続

3.1

監査は、BCRの全ての側面を対象とし、監査の結果として必要となりうる是正措置の方法を特定するものとします。

3.2

BCRの遵守に関する監査は、以下のとおり実施されるものとします。
(a)

公文の監査手続に従い、少なくとも年1回(b)グローバル個人情報保護オフィサーおよび/またはKIEの取締役会の要求があったとき(c)グローバル個人情報保護チームが必要と判断したとき(例えば、特定の事故への対応とし

30

て)
(d)
3.3

公文がクライアント契約の条件に基づきデータ処理者となる場合

監査チームは、監査を受ける会社の事業における新たなまたは特定のリスク、セキュリティシステム
または手続の変更、過去の監査または苦情の対象、個人データの性質および所在地、ならびに処理の態様等の関連する問題を考慮して、監査の範囲を決定するためのリスクに基づく分析を実施するものとします。

3.4

監査は、監査チームが適当と認めるところにより、立入検査、関係者との面談、質問書、文書審
査その他の方法により行うものとします。

3.5

全ての監査の結果は、グローバル個人情報保護オフィサーおよびKIEの取締役会に通知されるものとし、また、関連するクライアントにも提供されるものとします。

3.6

監査結果の写しは、要求に応じて監督機関に提出されるものとします。

3.7

ＫＵＭＯＮグループ会社は、監督機関の監査を受けることに同意し、規則に関連する問題について監督機関の助言に従うものとします。

31

別 紙 VI

更新手順

1

BCRの変 更1.1

公文は、BCRの変更について、管轄監督当局を経由して関係監督当局に、また全ての公文社に、不当に遅滞なく通知するものとする。

1.2

公文はまた、このBCRになされた変更をクライアントに報告するものとします。BCRへの変更が公文がデータ処理者として個人データを処理する条件に影響を及ぼす場合には、公文は変更が行われる前に、クライアントが変更に異議を申し立てまたはクライアント契約を解除できるように適時に、予定されている変更について影響を受けるクライアントに事前に通知するものとします。

2

決 裁 を要 しないBCRの変 化

2.1

BCRまたはＫＵＭＯＮグループ会社の一覧表のアップデートは、再承認を申請する必要なしに行うことができます。ただし、次のことを条件とします:(a)グローバル個人情報保護オフィサーは、BCRに拘束されるＫＵＭＯＮグループ会社および公文が個人データを処理するために任命する復処理者の最新のリストを維持する。当該リ
ストは、クライアント、個人および監督当局の有効な要求に応じて、クライアント、個人および監督当局が閲覧できるようにするものとする。

(b)グローバル個人情報保護オフィサーは、変更の発効日および変更内容を含むBCRの変更の記録を維持し、要求に応じて、クライアントに系統的に、また監督当局の要求に応じて、必要な情報を本人に提供する。

(c)

新しい会員がBCRに実質的に拘束され、遵守を提供できるまで、新しい会員に譲渡は行われません。

(d)

BCRまたは公文社名簿の変更は、年1回、権限付与当局に報告し、その理由を簡潔に
説明する。

(e)

BCRが提供する防護の水準に影響を及ぼし、またはBCRに重大な影響を及ぼす可能性のあるBCRの変更は、管轄監督当局を経由して、速やかに関係監督当局に通知される。

32