拘 束 的 企 業 準 則

-

最 終 版

承認日: 2021 年 11 月 3 日

拘束的企業準則
A.

はじめに

B.

適用範囲

C.

対象範囲

D.

ポリシー

発行日: [2021 年 11 月 3 日]
最終レビュー日: [2021 年 11 月 3 日]
最終更新日: [2021 年 11 月 3 日]

1

拘 束 的 企 業 準 則

-

最 終 版

A. はじめに
Otis は、個人情報を処理する取締役、役員、従業員、請負業者、顧客、サプライヤー、
ベンダーなどの正当なプライバシーを尊重します。
Otis は、Otis が処理する個人に関する個人情報に対して拘束的企業規則 (「BCR」) を採用
し て い ま す 。 Otis Elevator Worldwide BVBA 1 は 「 Otis リ ー ダ ー事 業 体 」 と して 、 Otis
Corporate Office (米国本社) と連携して、BCR 違反を是正する責任を負います。
別紙 A には、本 BCR で使用されている用語および頭字語が記載されています。
Otis が処理する個人情報の個人は、以下の 3 つのカテゴリーに分類されます。
(1.) 従業員: このカテゴリーは、Otis が処理する個人情報の大部分を占めます。
これには、このような文脈での一般的な個人情報 (識別/連絡先情報、給与/
報酬、役職、教育、健康/安全、トレーニング、評価など) が含まれます。
(2.) 事業顧客とサプライヤー/ベンダー: Otis は、主に事業顧客に製品およびサービ
スを販売しています。顧客の個人情報には、主に業務上の連絡先情報が含まれています。
(3.) 個人のエンドユーザー顧客: Otis の直接の個人の顧客は数が限られています。
Otis は、人事情報 (従業員と出向契約労働者)、事業顧客、サプライヤー、ベンダー、販売員およびその他のビジネス パートナーの業務上の連絡先情報、Otis 製品の消費者からの情報 (一般的には、事業会社とサービス契約を締結している消費者の名前や住所などの保証
情報/制限事項)、訪問者および社外販売員/販売代理店に関する情報、Otis 製品およびサービスのユーザーによって収集されたその製品およびサービスの利用に関する情報などの個
人情報を移転します。個人情報は、提供される製品やサービスおよび特定のサービスまたはプロジェクトに必要なサポートに応じて、Otis 社内で移転されます。個人情報の大部分は、米国にある Otis Corporate Office に移転されます。
別紙 D は、Otis が処理する個人情報に関する追加情報です。

1 58, Avenue des Arts, 1000 Brussels, Belgium.

2拘 束 的 企 業 準 則

-

最 終 版

B. 適用範囲
1.

本 BCR は、Otis の Corporate Office およびグループ内契約を締結している事業会社に義務付けられています。これらの事業体は、個人の個人情報を処理する際、その事
業体の職員が本 BCR を確実に遵守することを保証するものとします。Otis は、BCRを確実に遵守するために、企業全体で明確かつ一貫性のある管理を確立します。

2.

Otis は、全世界で適用される個人情報の保護に関するすべての法令を遵守します。
Otis に適用される現地法、規制、その他の制限の規定がより高いレベルのデータ保護を課す場合、その規定は BCR に優先するものとします。
適用法が、Otis の Corporate Office または 1 つ以上の事業会社による本 BCR に基づく義務の履行を妨げる可能性がある、または本 BCR に規定されている保証に重大な悪影響を及ぼすという点において、本 BCR と矛盾する場合、当該事業体は、当該情報の提供が法執行機関または法律によって禁止されている場合を除き、Otis リーダー
事業体およびデータ プライバシー担当グローバル責任者 (「プライバシー責任者」)に直接かつ迅速に通知するものとします。Otis プライバシー責任者は、Otis リーダ
ー事業体の Otis プライバシー協議会のメンバー、当該事業体および事業部門と協力して、適切な行動を決定するものとします。欧州経済領域 (「EEA」) から直接または間接的に発信された個人情報について、その矛盾が、本 BCR が提供する保証に重大な悪影響を及ぼす可能性がある場合、Otis は管轄の所管当局に報告するものとします。
これには、第三国の法執行機関また国家安全保障機関による法的拘束力のある個人
情報開示要求の報告が含まれます。この場合、Otis は、要求されたデータに関する情報、要求機関、開示の法的根拠を含め、その要求を管轄の所管当局に通知します(法執行機関による調査の秘密を保持するための刑法に基づく禁止など、別途禁止されている場合を除く)。当該情報の提供が法執行機関または法律によって禁止されている場合、Otis は、それ以外の場合に、本項に記載されているプロセスに従うことができるように、その禁止が免除されるように最善の努力を行うものとします。
Otis が、このプロセスに従うことができるように禁止を免除することができない場
合、Otis は、管轄の所管当局に、要求件数、要求されたデータの種類、要求した政府機関 (可能な場合) などの一般的な情報を毎年提供します。いかなる場合でも、
Otis が EEA から直接または間接的に発信する個人情報の公的機関への移転は、民主主義社会で必要とされる範囲を超えて、大規模かつ不均衡、また無差別なものであってはなりません。

3

拘 束 的 企 業 準 則

-

最 終 版

3.

また、本 BCR は、事業会社および Corporate Office が他の Otis 事業体に代わって (すなわち、処理者として) 個人の個人情報を処理する場合、その事業会社および
Corporate Office にも適用されます。処理事業体は、本 BCR の別紙 B に記載された内部処理条項に拘束されなければなりません。

4.

本 BCR と Otis の企業ポリシー マニュアル、セクション 24 に不一致がある場合、
EEA から直接または間接的に発信された個人情報に関しては本 BCR が優先されます。

C. 対象範囲
本 BCR は、Otis によるあらゆる場所における個人の個人情報の処理に適用されますが、本BCR の以下の規定については、EEA から直接または間接的に発信された個人情報にのみ適用されるものとします。
(1.) セクション B.2。第三国の法執行機関またはその他の政府当局による個人情報の開示要求に関連します。
(2.) セクション B.4。BCR と企業ポリシー マニュアル、セクション 24 の間の不一致に関連します。
(3.) セクション D.1(a)。機密性の高い個人情報に関する明示的な同意を得るための要件に関連します。
(4.) セクション D.1(c) の最後の段落。透明性に関連します。
(5.) D.1(d) のプライバシーの権利に関する要件。
(6.) セクション D.1(e)、第 2 段落の (1)。セキュリティ違反の通知に関連します。
(7.) セクション D.1(f)。EEA 外の第三者またはサービス プロバイダーへの個人情報の移転に関連します。
(8.) セクション D.5 の最後の段落。苦情の申し立てに関連します。
(9.) セクション D.6、第 1 ～ 5 段落。個人および保証の執行権 (第三者受益権) に関連します。本 BCR のセクション D.6 の最後の段落で説明されているように、
本 BCR が個人情報の合法的な移転手段として認められている EEA 外の国の個人も、第三者受益権による利益を得ることができるものとします。
EEA から直接または間接的に発信された個人情報に関しては、セクション D.1 のプライバ
シー原則とその特例は GDPR に照らして解釈されるものとします。本 BCR の中で GDPRに言及している箇所についてはすべて、一般公開されているコピーを欧州連合の全言語で閲覧することができます (https://eur-lex.europa.eu/eli/reg/2016/679/oj)。本 BCR におけるGDPR の特定の条項への言及は、それらの条項の原則が、GDPR に基づいて適用されるの4

拘 束 的 企 業 準 則

-

最 終 版

と同じように適用されるものと解釈する必要があります。ただし、本 BCR に基づいて
EEA 外に移転された個人情報については、必ずしも GDPR が適用されるとは限りません。
本 BCR に拘束される事業会社は別紙 C に記載されています。
D. ポリシー1.

プライバシー原則: Otis は、すべての活動において、以下のことを行うものとします。
a) 個人情報を構成かつ合法的に処理する
個人の個人情報は、(1) 同意に基づく場合、(2) 本国法により要求または許可されている場合、または (3) ほとんどの人事管理、顧客およびサプライヤーとの業務上のやりとり、物理的損害の危険性など、当該個人の利益または基本的な権利と自由を損なうことのない正当な業務目的のため、特定された合法的な目的でのみ処理されるものとします。
個人の機密性の高い個人情報は、(1) データの所在国の法律で義務付けられている場合、(2) 法律で許可され、本人が明示的に同意している場合、(3) 身体的または法的に同意することができない個人の重要な利益を保護するために必要な場合、(4) Corporate Office または事業会社による法的主張の立証、行使、または抗弁のためにのみ処理されるものとします。
相反する目的がある場合は、その目的のために個人の個人情報がさらに処理されることはないものとします。ただし、(1) データの所在国の法律で義務付けられている場合、(2) 本人が明示的に同意している場合 (ただし、同意を得ることができる場合に限る)、または (3) それ以外の場合で GDPR 第 6 条 4 項に準拠する場合はこの限りではありません。容易に参照できるように、本 BCR の別紙 E には、
GDPR 第 6 条 4 項の全文が記載されています。
b) 関連性のある個人情報のみを処理する
Otis は、個人の個人情報を、その処理の目的との関連において適切かつ関連性のある方法で、かつ過度にならないように処理するものとします。また、Otis は、個人の個人情報を、新たな目的に使用するための同意を得ている場合を除き、も
しくは、それ以外の場合は、所在国において適用法、規制、裁判手続き、行政手
続き、仲裁手続き、または監査要件によって必要とされる場合を除き、収集された目的に必要な期間を超えて保有することはありません。Otis は、その管理下にある個人の個人情報を処理する際、当該情報が、正確かつ最新の状態に保たれるよう努めます。

5拘 束 的 企 業 準 則

-

最 終 版

c) 事業会社が処理する個人情報を所有する個人に対して適切に通知する
Corporate Office/関連する事業会社は、個人情報を収集する際に、以下について個人に通知するものとします。ただし、当該個人が当該情報を既に知っている場
合はこの限りではありません。
•

個人情報について責任を負う (つまり、管理者である) Otis 事業体の身元と連絡先の詳細、および該当する場合は、管理者の担当者/データ保護責任者の身元と連絡先の詳細 (連絡先の詳細は E メールであることがあります)。

•処理される個人情報のカテゴリー (当該個人が既に知っている場合を除く)とその情報源 (当該個人が既に知っている場合を除く)。

•

個人情報の処理または収集の目的と、処理の法的根拠。
o 法的根拠が正当な利益である場合、通知にはその利益が明記されている必要があります。
o 法的根拠が法的義務または契約上の要件である場合、通知には、個人が個人情報を提供する義務があるかどうか、および個人がデータを提供しないことを選択した場合、どのような結果になる可能性があるかを提示する必要があります。
o 法的根拠が同意である場合は、同意を撤回する前の同意に基づく処理の合法性に影響を与えずに、いつでも同意を撤回する権利と、撤回の影響に関する情報。

•

個人情報の共有先または共有先のカテゴリー。

•

個人情報が国境を越えて共有されるかどうか。共有される場合、適性な判断が行われていない国に個人情報が送られるかどうか、妥当または適切な保護措置およびそのコピーを入手する手段または利用できる場所についての言及。

•

データが保持される期間。

•

処理の閲覧、修正、消去、制限を要求する権利と異議を申し立てる権利、
データ ポータビリティ、および所管当局に苦情を申し立てる権利 (GDPRの対象となる個人および個人情報の場合)。

•

論理、考えられる結果、および救済を求める手段 (個人情報が自動意思決定の対象となる場合)。
6拘 束 的 企 業 準 則

-

最 終 版

すべての事業会社が、GDPR が適用される範囲で通知を行う際、GDPR 第 12 条
および第 13 条の要件を遵守するものとします。
事業会社は、個人情報を間接的に取得する場合、GDPR 第 14 条 3 項に従って (上述の) 個人に通知します。ただし、当該個人に既に通知されている場合、またはGDPR 14 条 5 項の他の特例規定が適用される場合はこの限りではありません。
容易に参照できるように、本 BCR の別紙 E には、GDPR 第 13 条と第 14 条の全文が記載されています。
d) 個人情報に対する個人のプライバシーの権利行使の正当な権利を尊重する
Otis は、個人が個人情報の閲覧および修正を要求する権利を許可するものとしま
す。Corporate Office/関連する事業会社は、明らかに根拠のない要求または過剰な要求でない限り、不当に遅延することなく、いかなる場合でも要求を受けてから 1 か月以内に当該要求に応じます。この期間は、要請の複雑さと数を考慮した上で、必要に応じてさらに 2 か月延長することができます。Corporate Office/事業
会社は、要求を受けてから 1 か月以内に当該延長とその理由を通知します。また、要求に応じない場合は、その旨を理由と共に通知します。Corporate Office/関連する事業会社は、明らかに根拠のない要求または過剰な要求であることを証明す
る責任を負うものとします。身分証明書の提出が個人に求められることがあり、GDPR で許可されているサービス料の対象となることがあります。
個人は自身の個人情報の処理に異議を申し立てるか、処理の制限または個人情報の消去を要求することができます。Otis は、規制に関する義務または法的義務によって、または法的主張に対して会社を弁護する目的で、または個人の利益や権利に優先する企業監査などのやむを得ない正当な理由によって、個人情報の処理が要求される場合を除き、当該要求に応じます。個人には、個人の選択によってOtis が個人情報を処理しなくなることで、Otis が雇用や要求されたサービスを提供できない、取引が成立しない、といった影響が生じる可能性がある旨が通知されます。さらに、個人には要求の結果についても通知され、本 BCR のセクショ
ン D.5(c) に従って苦情を申し立てる権利が再確認されます。
個人は、マーケティング目的の個人情報の処理に対していつでも異議を申し立てる権利を有します。Otis からマーケティングに関する通信の受領を希望しない個
人には、今後の広告を受領しないようにするための、簡単にアクセスできる手段が提供されます。たとえば、アカウント設定を使用する、E メール内の指示に従う、通信内のリンクからアクセスする、といった手段です。スパム防止規制の適用に疑問がある場合は、privacy@otis.com までお問い合わせください。

7

拘 束 的 企 業 準 則

-

最 終 版

個人は、プロファイリングを含む自動化された処理にのみ基づく決定の対象とならない権利を有します。Otis が個人に関する意思決定を個人情報に基づいて自動的に行う場合は、個人の正当な利益を保護するために、決定の背後にある論理に関する情報と、人間の介入により決定を見直す機会を提供する、個人が自分の見解によって決定に異議を唱えられるようにする、といった適切な手段を提供する
ものとします。
e) 適切な技術的および組織的セキュリティ対策を実施する
Otis は、当該処理の機密性とリスク、当該個人情報の性質、および適用される企
業ポリシーを考慮して、適切なセキュリティ対策を実施するものとします。これらのセキュリティ対策には、必要に応じて、匿名化と暗号化、処理システムの機
密性、完全性、可用性、回復力を確保するためのプロセス、可用性とアクセスを合理的に保証するための十分なバックアップ、および実施中のセキュリティ対策の定期的な監査とテストが含まれる場合があります。
事業会社は、堅牢なデータ漏洩事象対応計画を実施するか、Otis のデータ漏洩事
象対応計画を遵守するものとし、これにより、実際のデータ漏洩に対する適切な対応と是正に取り組むものとします。
データ漏洩事象対応計画は、少なくとも事業会社に以下を義務付けるものします。
(1.) Otis リーダー事業体とその他の関連する社内プライバシー部門と、GDPR 第 33 条または第 34 条に従って 72 時間以内に所管当局や影響を受ける個人に、不当に遅延することなく通知を行うこと。
(2.) 事象、調査、是正措置の文書化を含む、適切な調査プロセスに従うこと。
(3.) 要求に応じて所管当局が事象に関する文書を利用できるようにすること。
事業会社は、データ漏洩事象対応計画に従うものとします。
Otis は書面による契約を締結することで、内部および外部のサービス プロバイダーに対して、本 BCR または同等の要件を尊重し、Otis の指示にのみ従って個
人情報を処理することを義務付けます。書面による契約では、Otis が提供する標準的な条件が使用されていなければなりません。それ以外の場合は、すべての変更が、指定された事業部門のプライバシー プロフェッショナルまたは Otis のプ
ライバシー責任者によって承認されている必要があります。GDPR の対象となる個人情報を含むサービスを対象とする契約については、GDPR 第 28 条の要件を遵守するものとし、標準的な条件には、第 28 条の要件に準拠したテンプレートが含まれているものとします。容易に参照できるように、本 BCR の別紙 E には、
GDPR 第 28 条の全文が記載されています。
8

拘 束 的 企 業 準 則

-

最 終 版

f) 個人の個人情報を、適切な保護措置なしに EEA 外の第三者またはサービス プロ

バイダーに移転しない
Otis は、事業会社に拘束されない第三者またはサービス プロバイダーが、(1) 適切なレベルの保護を提供しているか (GDPR 第 45 条で定義)、(2) GDPR 第 46 条に規定された EU 適性要件を満たす取り決めを他に持っているか、(3) GDPR 第 49条に記載されている特例 (例外) の 1 つを完全に遵守している - すべてが GDPR 第48 条に従っている場合にのみ、当該第三者またはサービス プロバイダーに個人の個人情報を移転するものとします。容易に参照できるように、本 BCR の別紙
E には、GDPR 第 46 条、第 48 条、第 49 条の全文が記載されています。サービ
ス プロバイダーへの移転が行われる場合は必ず、Otis は、上記のセクション
D.1.e に規定されているとおり、適切な契約条件が整っていることを保証するものとします。
g) 適切な説明責任対策を実施する管理者として行動しているすべての事業会社が、BCR への準拠に責任を持ち、それを証明できるものとします。事業会社は、処理作業の記録 (EEA から直接または間接的に発信された個人情報に関しては、GDPR 第 30 条 (1) に記載されたさ
まざまな要素を含む) の保持、GDPR で義務付けられているデータ保護影響評価の実施、プライバシー バイ デザインおよびプライバシー バイ デフォルトの原則を満たすための適切な技術的および組織的対策の実施など、説明責任の要件を遵守するものとします。EEA 個人情報を含む個人情報データ インベントリはすべて、要求に応じて、管轄の所管当局に提供されるものとします。容易に参照できるように、本 BCR の別紙 E には、GDPR 第 30 条の全文が記載されています。処
理の結果、適切に軽減できない高いリスクがもたらされることが、GDPR 第 35条に従って完了したデータ保護影響評価によって示された場合、Otis は、GDPR
第 36 条に従って、管轄の所管当局に相談することを保証するものとします。
2.

ガバナンス: Otis は、BCR を確実に遵守できるようにガバナンス インフラストラク
チャを維持することに努めます。このインフラストラクチャは以下で構成されます。
a) 倫理コンプライアンス責任者: この責任者は BCR 遵守を促進し、BCR に関する
社内コメントおよび苦情の社内連絡先となります。Otis は、倫理コンプライアン
ス責任者が、プライバシーに関する苦情を受け付けて調査し、プライバシーに関する懸念を解消するのを支援し、適切なプライバシー プロフェッショナルやプ
ライバシー オフィスなどの適切なリソースに苦情を転送して、必要に応じて確認および解決できるように、トレーニングを受けることを保証します。

9

拘 束 的 企 業 準 則

-

最 終 版

b) プライバシー プロフェッショナル: 各事業部門は、プライバシーに関連する問題に対応するために、事業部門の倫理コンプライアンス責任者などのリソースとして、少なくとも 1 人のプライバシー プロフェッショナルを任命します。プライ
バシー プロフェッショナルは、部門内での本 BCR の遵守を確保し、事業部門内の不備を特定および是正するための管理を支援します。Otis は、このプライバシ
ー プロフェッショナルが、自身の役割を果たすための十分なリソースと独立した権限を有することを保証します。
c) データ保護責任者 (「DPO」): DPO の役割は、適用法によって定義されています。
DPO は、適用法で義務付けられている場合に任命されます。DPO は、Otis プラ
イバシー責任者と定期的に調整を行います。
d) Otis プライバシー協議会 (「OPC」): OPC は、BCR の実施を含む Otis のプライバ
シー コンプライアンス プログラムの全般的な監督に責任を負います。OPC には、各事業部門を代表するプライバシー プロフェッショナルのほか、人事 (「HR」)、
情報技術 (「 IT」 )、 国際貿易コンプライアンス (「ITC」 )、 環境安全衛生(「EH&S」)、財務、供給管理、Otis リーダー事業体の代表者が参加します。必要に応じて、他のメンバーが一時的または恒久的に追加される場合があります。
OPC は、Otis プライバシー責任者およびプライバシー オフィスと協力して、保証監査チームの調査結果に対処するためのコンプライアンス計画を策定し、グローバルに実施することを保証します。
e) データ プライバシー担当グローバル責任者 (プライバシー責任者): プライバシー
責任者は、プライバシー プロフェッショナルと協力して、BCR を展開し、効果的かつ効率的に実施することを保証します。また、プライバシー責任者は、データ プライバシーに関するトレーニングや啓発活動、プライバシー プロフェッシ
ョナルの支援、トレーニングの保証のほか、専有情報保護の基本要件、さらにはデータ プライバシー要件の存在と目的の推進に責任を負います。プライバシー
責任者は、Otis プライバシー協議会に指示を与え、当該協議会を指揮します。プ
ライバシー責任者は、Corporate Office のプライバシー プロフェッショナルとして、最高経営陣 (つまり、取締役会) にアクセスし、報告を行い、最高経営陣からの支援を受けるものとします。
f) プライバシー オフィス: プライバシー オフィスは、プライバシー責任者、プライ
バシー プロフェッショナル、任命されたデータ保護責任者、および事業会社または Corporate Office によって任命された追加の職員で構成されています。プラ
イバシー オフィスは、OPC に参加し、プライバシー オフィスにへのコメントまたは苦情に対応し、解決するほか、倫理コンプライアンス責任者チームに寄せられたコメントまたは苦情に対応し、解決することで、倫理コンプライアンス責任者を補佐します。
10

拘 束 的 企 業 準 則

-

最 終 版

g) Otis リーダー事業体: Otis リーダー事業体は、プライバシー プロフェッショナル
または DPO を通じて OPC に参加します。BCR 違反の証拠がある場合、OPC ま
たはプライバシー責任者は Otis リーダー事業体に通知し、Otis リーダー事業体と連携して、Corporate Office/関連する事業会社とそのプライバシー プロフェッシ
ョナルと共に適切な是正措置を実施します。
3.

トレーニング: Otis は、以下のカテゴリーの職員が、データ プライバシー (本 BCRの関連部分を含む)、セキュリティ、スパム防止規制に関する年次トレーニングを受けることを保証します。
− 倫理コンプライアンス責任者− プライバシー プロフェッショナル− 個人情報に常時または定期的にアクセスし、職務の一環として個人情報を取り扱う職員− 個人情報の処理に使用するツールの開発に関与する職員。

4.

監視と監査: 内部監査プログラムを監督する Otis の内部監査担当副社長は、少なく
とも四半期ごとに保証監査プログラムを管理して、本 BCR のあらゆる側面への準拠を評価し、是正措置が確実に実施されるよう事業会社をフォローアップします。
Otis の内部監査担当副社長は、内部監査スタッフ、プライバシー責任者、および事業会社の協力のもと、本 BCR を遵守しなければならないシステムおよびプロセスに対応するために、BCR の監査プログラム (必要に応じて、臨時監査を含む) の適切な範囲と規則性を決定します。
BCR コンプライアンス監査の結果はプライバシー責任者に伝えられ、プライバシー
責任者は、その結果を Otis 副社長、ゼネラル カウンセル、Otis リーダー事業体、
Otis プライバシー協議会に報告します。Otis 副社長、ゼネラル カウンセルは、Otis
内部監査担当副社長と共に、BCR に関連する重要な監査結果を、取締役会または監査委員会などの取締役委員会に報告します。EEA の管轄の所管当局は、要求に応じて、BCR に関連する監査結果へのアクセスを受けることができます。

5.

権利の要求と苦情への対応: 個人情報の処理に関する個人からの要求には、以下に示すように対応します。以下の連絡方法は、現地法で義務付けられている場合は補完される場合があります。以下に示す手続きとは関係なく、EEA から直接または間
接的に発信された個人情報を所有する個人は、所管当局/管轄裁判所に直接苦情を申し立てる権利を有します。

11拘 束 的 企 業 準 則

-

最 終 版

a) 内部 - Otis のイントラネットにアクセスできる職員から
Otis の直接の従業員である職員の場合、要望や苦情は現地の人事担当者にお寄せください。従業員を含むすべての職員が、倫理コンプライアンス責任者、苦情窓口、またはプライバシー オフィスに連絡することができます。これらのリソースには、
以下の方法で連絡できます。

現地の人事

通常の社内チャネルを使用してお問い合わせください

倫理コンプライアンス責任者

通常の社内チャネルを使用してお問い合わせください:https://connect.otis.com/business_practices/Pages/default.aspx

苦情窓口

通常の社内チャネルを使用してお問い合わせいただくか、以下にご報告ください: www.otis.com/reportingchannel

プライバシー オ privacy@otis.com
フィス
現地の人事、倫理コンプライアンス責任者、またはプライバシー オフィスに寄せられた苦情: これらの苦情には、その苦情を受け付けたグループ (人事、倫理コンプラ
イアンス責任者、またはプライバシー オフィス) が、必要に応じて適切なプライバ
シー プロフェッショナルまたはプライバシー責任者 (または被指名人) の支援を受けながら対応します。
苦情窓口に寄せられたプライバシーに関する苦情: 苦情の申立人が、苦情に対してさらなる対応を求めている場合、かつ苦情の転送に同意している場合、苦情は対応と解決のためにプライバシー オフィスに転送されます。
b) 外部 - その他のすべての個人から
その他の個人からの要望および苦情はすべて、以下の苦情窓口またはプライバシー
オフィスで承ります。
苦情窓口
プライバシ
ー オフィスDiane Andrews、グローバル プライバシー カウンセル
privacy@otis.com

苦情の申立人が、苦情に対してさらなる対応を求めている場合、かつ苦情の転送に同意している場合、苦情窓口に寄せられたプライバシーに関する苦情は、対応と解決のためにプライバシー オフィスに転送されます。
c) 苦情への対応
12拘 束 的 企 業 準 則

-

最 終 版

苦情を受け付けたグループ (以下、「被申立人」といいます) は、書面にて対応する責任を負います (他に個人からの要求がない限り、E メールでも可)。申立人の身元を確認するため、または苦情の内容を理解するために、さらに詳しい情報が必要な場合、被申立人は必要に応じて申立人に連絡して適切な追加情報を求めます。申立人が応答しない場合、または妥当な身元証明を行うことができない場合、被申立人
は、Otis がこの苦情を終結させたと判断する旨を 1 か月以内に申立人に伝えることができます。
苦情が正当なものであると判断された場合、Otis は問題の改善に努め、その解決策を申立人に伝えます。その解決策に申立人が満足しない場合、Otis は申立人に所管
当局/管轄裁判所に苦情を申し立てる権利を再度伝えます。
苦情が不当なものであると判断された場合、被申立人は書面でその旨を説明し、申立人が所管当局/管轄裁判所に苦情を申し立てることができる旨を通知しなければなりません。
被申立人が (正当な苦情に対する) 解決策を見いだせない場合 、または申立人を満足させる (不当な苦情に対する) 説明を提供できない場合、被申立人はその問題をプラ
イバシー責任者に報告しなければなりません。プライバシー責任者は苦情と対応を検討し、さらなる措置が適切かどうかを判断します。
苦情や監査結果によってグローバルな構造上の不備が明らかになった場合、その苦情および監査結果には、プライバシー責任者が、Otis リーダー事業体および現地のプライバシー プロフェッショナルと協力しながら、グローバルに解決できるように
OPC を通じて対応します。
要求/苦情には 1 か月以内に対応するものとします。ただし、要求/苦情の複雑さと範囲から、さらに時間を必要とする場合は、遅延の理由を個人に通知した上で、対応をさらに 2 か月延期することができます。
EEA に所在する事業会社による適用法違反に関連して、現地の適用法に基づいて管轄の所管当局または裁判所に苦情を申し立てる個人の権利には、BCR のいかなる規定も影響を与えないものとします。
本 BCR の違反の疑いに対して、個人は以下を行うことができます。
− 特に個人の居住地、勤務地、または侵害が疑われる場所の国の管轄の所管当局に苦情を申し立てること。
− 管理者または情報処理者が事業所を有する場所にある裁判所か、個人の居住地にある裁判所のいずれかを個人の選択により選び、EEA 管轄裁判所に訴訟を起こすこと。
13

拘 束 的 企 業 準 則

6.

-

最 終 版

個人および保証の執行権: 個人は、「対象範囲」セクション (セクション C) に記載されている制限に従って、本セクション、セクション B、セクション C、D.1、D.5、D.7、D.8 および D.9 に基づいて当該個人に明示的に付与された権利 (第三者受益権)の利益、ならびに本セクションにおいて Otis リーダー事業体 (Otis Elevator Worldwide
BVBA2) によって提供された保証の利益を得るものとします。
本 BCR に基づいてほかの方法で権利を有する個人はすべて、適用される国内法に基づいて提供される法的救済手続きを利用します。EEA 外に所在する事業会社は、本BCR 違反について、EEA 内の裁判所またはその他の管轄当局が BCR 違反の疑いに対する管轄権を有することに同意するものとします。また、個人は、Otis リーダー
事業体に対して、当該違反が Otis リーダー事業体が設置されている加盟国で生じた場合と同様の権利および救済を受けることができます。
Otis リーダー事業体は、Otis Corporate Office からの支援を受け、(1) EEA 外におけるOtis Corporate Office ま た は 事 業 会 社 に よ る 違 反 の 是 正 、 お よ び (2) EEA 外 の
Corporate Office/事業会社による BCR 違反に起因する物質的または精神的損害に対して本セクションで言及された裁判所が裁定した個人への補償金、または罰金の支払いを確実に行う責任を負うものとします。ただし、関連する事業会社が既に違反の是正している場合、または補償金を支払っている場合はこの限りではありません。
個人が損害を被ったことを証明できる場合、Otis リーダー事業体は、Otis Corporate
Office と協力して、当該 Corporate Office および事業会社が本 BCR に基づく義務に違反していなかったことを証明するものとします。このような証明を提供できる場合、
Otis リーダー事業体は、BCR に基づくいかなる責任も免除される場合があります。
本 BCR が個人情報の合法的な移転手段として認められている EEA 加盟国以外の国の個人は、セクション D.1、D.5、D.7 および D.9 に従って当該個人に明示的に付与された権利の利益を得るものとします。したがって、これらの国の影響を受ける個
人は、これらの規定を行使するために、BCR に違反した事業会社に対して自国においてあらゆる行動をとることができます。

7.

所管当局との協力: 事業会社は、BCR に関連する調査および検証に関して、管轄の所管当局が必要とするすべての支援を提供するものとします。これには、要求に応じて監査結果を提供することも含まれます。

登録住所は 58, Avenue des Arts, 1000 Brussels, Belgium、および [登録番号 –0652.780.207] で
す。
2

14

拘 束 的 企 業 準 則

-

最 終 版

Otis は、BCR に関連する管轄の EEA 所管当局の決定および所管当局からの助言に従うものとします。Otis は、EEA の適用法に従って、管轄の所管当局により BCR の遵
守状況が監査される可能性があることを承諾します。
8.

本 BCR の修正: 本 BCR に記載された保護レベルを実質的に変更するような修正また
は変更が行われた場合、Otis リーダー事業体は速やかにベルギー所管当局に通知するものとします。また、年 1 回、Otis リーダー事業体は、前年度に発生したすべての変更についてベルギー所管当局に通知すると共に、その変更が正当であることを簡単に説明するものとします。また、Otis は、すべての変更について、OPC (すべてのプライバシー プロフェッショナルおよび DPO を含む) に通知することにより、拘束されるすべての事業会社に不当に遅延することなく通知することを約束するものとし、OPC は、その変更を、拘束される事業会社に通知するものとします。
Otis プライバシー責任者は、グループ内契約を締結したすべての事業会社の最新のリスト、および BCR のすべての更新に関する最新のリストを維持するものとします。
当該リストは、要求に応じて、拘束される事業会社、個人、および EEA の所管当局に提供されるものとします。いずれの場合も、Otis プライバシー責任者または Otis
リーダー事業体は、グループ内契約を締結したすべての事業会社の最新のリストのコピーを、年 1 回以上、ベルギー所管当局に提供するものとします。
Otis は、Otis グループの他のメンバーがグループ内契約を締結し、これを遵守できるようになるまで、本 BCR に依存して個人の個人情報を当該グループ メンバーに移転してはならないことに同意します。Otis は、新しい BCR メンバーが事実上 BCRに拘束され、かつ遵守を実現できるようになるまで、新しい BCR メンバーへの移転を行わないものとします。EEA 外の BCR メンバーがグループの一員でなくなった
場合、または BCR に拘束されなくなった場合、BCR に拘束されている間に受け取った EEA から直接または間接的に発信された個人情報に関して、BCR に基づいて発生する義務は、当該個人情報が返却、削除、消去または匿名化されるまで存続するものとします。

9.

本 BCR の伝達: 事業会社は、本 BCR に基づく個人の権利の周知徹底を意図して、外部向けウェブサイト上に本 BCR へのリンクを掲載または保持するものとします。
Otis は、www.otis.com またはそれに代わるウェブサイト上に本 BCR へのリンクを掲載または保持するものとします。

15

拘 束 的 企 業 準 則

-

最 終 版

別紙 A – 定義「事業部門」は Otis の主要な区分であり、随時変更される可能性があります。現在は北米、中南米、EMEA、アジア太平洋、中国、および Otis Corporate Office で構成されています。
「同意」とは、強制を受けずに、特定的かつ十分な情報に基づいて行われた個人の明確な意思表示を意味し、当該個人による宣言または明らかな積極的行動によって、当該個人に関連する個人情報の処理に同意することで表明されます。
「管理者」とは、単独または他と共同して、個人情報の処理の目的および手段を決定する
自然人、法人、公的機関、行政機関、またはその他の団体を意味します。
「Corporate Office」とは、米国本社 (One Carrier Place, Farmington, CT 06032 USA) を指します。
「データ漏洩」とは、送信、保存、その他の方法で処理された個人情報に対する、偶発的または違法な破壊、損失、改ざん、不正な開示、または当該個人情報への不正アクセスにつながるセキュリティ侵害を意味します。
「EMEA」は、ヨーロッパ、中東、アフリカを意味します。
「GDPR」は、一般データ保護規則を意味します。
「個人」とは、Otis が処理する個人情報を所有する自然人を意味します。
「事業会社」とは、Otis の事業区分、事業部門、部署、および Corporate Office 以外のその他すべての事業体 (所在地を問わない) を意味します。これには、Otis が経営権を持つ、
または実質的に経営を管理しているジョイント ベンチャー、パートナーシップ、その他のビジネス形態が含まれます。
「個人情報」とは、特定された、または特定可能な自然人に関するあらゆる情報を意味します。特定可能な自然人とは、直接的または間接的に、特に氏名、識別番号、位置データ、
オンライン識別子などの識別子、またはその自然人の身体的、生理的、遺伝的、精神的、
経済的、文化的、社会的アイデンティティに特有の 1 つ以上の要素を参照して識別できる人のことを指します。
「職員」 とは、Otis の従業員 (Otis の役員および取締役を含む)、および Otis が雇用する臨時従業員、請負業者、出向契約労働者、契約労働者を意味します。

16

拘 束 的 企 業 準 則

-

最 終 版

「処理」 (同義語を含む) とは、収集、記録、整理、保存、翻案または改変、修正、参照、
使用、送信による開示、移転、周知またはその他周知を可能なものにすること、整列または結合、阻止、消去または破壊など、自動的な手段であるかどうかにかかわらず、個人情報に対して行われるあらゆる作業または一連の作業を意味します。
「機密性の高い個人情報」とは、個人情報のうち、人種または民族的出自、政治的意見、
宗教的または哲学的信条、労働組合への加盟のほか、遺伝子データ、自然人を一意に特定するための生体情報、健康・性的指向・性生活に関するデータの処理、または犯罪の遂行
または遂行容疑および刑罰の可能性を示す部分を指します。
「サービス プロバイダ」または「処理者」とは、Otis の代わって個人情報を処理する、
または、それ以外の場合は Otis に直接サービス提供することで、Otis によって処理された個人情報にアクセスすることが許可されている事業体または個人を意味します。
「所管当局」の意味は、GDPR に規定されている意味と同じであるものとします。
「Otis」とは、Otis の Corporate Office およびその事業会社を意味します。

17

拘 束 的 企 業 準 則

-

最 終 版

別紙 B - 内部処理条項
本条項は、BCR に拘束される事業会社 (以下「Otis 当事者」) が、他の拘束される事業会社(以下「Otis 処理者」) に対し、対象となる個人情報の処理を伴うプロジェクトを委託する場合に適用されます。プロジェクトに Otis 当事者と Otis 処理者との間の文書 (以下「業務委託」) が含まれている限りにおいて、当該業務委託は、次の条項の内部処理条項を参照
するものとします: 「本業務委託に定められたサービスは、個人情報の保護のために Otis
BCR に規定された内部処理条項に従って管理されます。」
これらの条項で定義された条件は、Otis BCR で定義された条件を参照します。
1. Otis 当事者と Otis 処理者は、業務委託期間全体にわたって Otis BCR に拘束され続けることに同意します。これらの条項は、業務委託期間にわたって適用されます。本条項のセクション 4.2、4.4、4.5、4.8、4.10、および 4.11 の規定は、業務委託終了後も存続するものとします。
2.

Otis 処理者は業務を遂行する際、Otis 当事者に代わって個人情報を処理します。

3.

Otis 当事者の義務:

4.

3.1.

Otis 当事者は、Otis 処理者に対し、当該個人情報の処理の性質、目的および期間に関して明確な指示を提供するものとします。これらの指示は、Otis 処理者が本条項および Otis BCR に基づく義務を果たすことができるように十分に明確であるものとします。特に、Otis 当事者の指示は、再委託業者の利用、個人情報の開示、および Otis 処理者のその他の義務を規定する場合があります。

3.2.

Otis 当事者は、本条項に基づいて Otis 処理者が行う処理に関連する国内のデー
タ保護法と関連する法定文書、規制、命令および同様の文書に対するすべての改正を Otis 処理者に通知し、Otis 処理者が当該改正にどのように対応すべきかを指示するものとします。

Otis 処理者の義務
4.1.

Otis 処理者は、業務委託に規定され、書面で伝達された Otis 当事者の指示に従って個人情報を処理するものとします。Otis 処理者は、他のいかなる目的または他のいかなる方法においても当該個人情報の処理を行わないものとします。

4.2.

Otis 処理者は、Otis BCR のすべての規定、特にセクション D.1.e を遵守するもの
とします。

18

拘 束 的 企 業 準 則

-

最 終 版

4.3.

Otis 処理者は、Otis 当事者の書面による事前の承認なしに、当該個人情報を、本条項のセクション 4.6 に基づく再処理者以外の第三者に開示または移転しないものとします。

4.4.

Otis 処理者が、Otis BCR (セクション D.1.f.) に従って、有効な法的義務の結果として処理を実行する必要がある場合、本セクション 4 の要件にかかわらずこれを実行するものとします。この場合、Otis 処理者は当該要件に従う前に Otis 当事者に書面で通知するものとします。ただし、適用法、規則、または政府当局が当該通知の提供を禁止している場合はこの限りではありません。また、Otis
処理者は、当該開示に関して Otis 当事者のすべての合理的指示に従うものとし
ます。

4.5.

Otis 処理者は、個人から、当該個人の個人情報に関連する権利を行使する旨の連絡があった場合、3 営業日以内に Otis 当事者に通知し、当該連絡に対応するに
あたり、Otis 当事者のすべての指示に従うものとします。また、Otis 処理者は、当該個人に関連する個人情報の当該個人の権利に関して、あらゆる個人からのあらゆる連絡に対応するために、Otis 当事者が必要とするあらゆる支援を提供するものとします。

4.6.

Otis 処理者は、Otis 当事者から書面による事前の承認を得た場合、業務委託に基づく義務を履行する際、その支援を再処理者に委託できるものとします。Otis
処理者は、再処理者との間で書面による契約を締結し、本条項に基づいて Otis
処理者に課される義務に劣らない義務負担と、すべての重要な点において同等の義務を再処理者に課すものとします。Otis 処理者は、Otis BCR のセクション
D.1.f を遵守する必要があります。

4.7.

Otis 処理者は、適用されるデータ保護法 (またはその他の法律や規制) のいかな
る内容も、本条項に基づく義務の履行を妨げるものではないことを表明し保証します。Otis 処理者による本条項の遵守に実質的に悪影響を及ぼす可能性のある法律の変更があった場合、または Otis 処理者が本条項を遵守できない場合、
Otis 処理者は 15 営業日以内に Otis 当事者に通知するものとします。また、Otis
当事者は、業務委託を直ちに終了させる権利を有するものとします。

4.8.

Otis 処理者は、Otis BCR セクション D.4 に従って Otis 当事者が Otis 処理者による本条項の遵守状況の監査を要求できることに同意します。特に、Otis 処理者
は、これらの義務の遵守を証明する上で必要なすべての情報を Otis 当事者に提供し、Otis 当事者または Otis 当事者が委任した監査人が実施する監査 (検査を含む) に応じるものとします。

19

拘 束 的 企 業 準 則

4.9.

-

最 終 版

Otis 処理者は、Otis 処理者の権限のに基づいて個人情報を処理する全員が、適切な秘密保持義務を負うことを保証します。

4.10. Otis 処理者は、Otis 当事者が、適用されるデータ保護法に基づいて、データ保護
影響評価の実施や所管当局との協議などの義務を遵守するのを支援するものとします (該当する場合)。
4.11. Otis 処理者は、データ漏洩の発生を不当に遅延することなく Otis に通知し、データ漏洩の是正と再発防止の措置を速やかに実施し、必要に応じて Otis が同様の措置を行うのを支援するものとします。Otis または該当する事業会社は、適
切な調査および是正に関して Otis 当事者および Otis 処理者と連携します。また、
Otis 処理者は、Otis 当事者が、データ漏洩について政府当局または影響を受ける
個人に通知する義務を履行するのを、必要に応じて支援するものとします。
4.12. Otis 処理者は、Otis BCR のセクション D.1.e に従って、Otis 当事者に代わって処理する個人情報へのリスクに応じて適切なセキュリティ レベルを確保するために、適切な技術的および組織的対策を実施するものとします。
5.

業務委託が終了した場合、Otis 処理者は、Otis 処理者が保有する関連するすべての個人情報を、当該データのあらゆる媒体のすべてのコピーと共に Otis 当事者に送付するか、
またはこれを破棄するものとします。ただし、Otis 処理者が適用法、規制、または政府当局によって、当該個人情報またはその一部を保持するよう義務付けられている場
合はこの限りではありません。この場合は、当該義務について Otis 当事者に速やかに通知するものとします。

6.

本条項は、Otis 事業体が設置されている国の法律に準拠し、同法に基づいて解釈されるものとします。Otis BCR のセクション D.6 を損なうことなく、本条項の各当事者は、本条項に基づいて、または本条項に関連して発生するいかなる申し立てまたは問題についても、Otis 当事者の国の裁判所の専属管轄権に取消不能の形で従うものとします。

7.

その他
7.1.

本条項の規定は分離可能です。語句、条項、規定のすべてまたは一部が無効または執行不能となった場合、当該無効または執行不能は当該語句、条項、または規定のみに影響し、本条項の他の部分は完全に有効であるものとします。

7.2.

本条項の規定は、Otis 当事者と Otis 処理者およびそれぞれの承継人と譲受人の利益のために効力を生ずるものとし、これらの者を拘束するものとします。

20

拘 束 的 企 業 準 則

-

最 終 版

別紙 C – 拘束される事業体拘束される事業体のリストは要求に応じて提供されます – 要求またはお問い合わせについては privacy@otis.com までメールでご連絡ください。

21

拘 束 的 企 業 準 則

-

最 終 版

別紙 D
Otis が処理する個人情報の種類の説明
この表は、Otis が事業部門にわたって処理する可能性のある主な個人情報の種類をまとめたものです。以下の種類の個
人情報はシナリオに応じて収集され、常に法律および現地の法的要件に従って処理されます。これは本 BCR の他の箇所に記載されている機密性の高い個人情報に関しても同様です。
個人情報の種類
氏名: 姓、名、ミドル ネーム、接尾辞 (Junior、Senior など)、敬称 (Mr.、Ms. など)
識別情報の詳細: 生年月日、性別、政府発行の身分証明書 (パスポート、ビザなど)、出生国、保有市民権と永住資格(すべて適用法に従う)。
仕事の連絡先と雇用者の詳細: 勤務先情報 (電話番号、ファックス番号、勤務先の E メール アドレス、郵送先住所、勤務地など)、雇用者に関する情報 (会社名、会社の所在地、会社の住所、設立国など)。
個人の連絡先の詳細: 自宅住所、個人用 E メール アドレス、自宅電話番号 (個人の携帯電話番号を含む)。
緊急連絡先の詳細: 個人の配偶者または近親者の名前、連絡先の詳細など。
経歴とキャリア データ: 職務経験、学歴、職歴、言語スキルなどのスキル カテゴリー、免許、資格、職務権限、または事業者団体や職能団体への所属および参加、適用要件または適用法で義務付けられた兵役情報、勤務に関する選好情報 (出張や勤務地に関する選好など)。
人事および業務関連データ: 従業員または契約社員などの情報: 役職、部門、職務権限、およびコスト センター (該当する場合)、上司やアシスタントの名前、当該個人の関与が確認される仕事の割り当てや作業成果物、当該個人が参加している作業契約、プログラム、活動、人事に関する用途を支援するために必要となるその他のデータ (給与、出張/経費の管理など)、トレーニング、能力開発、勤務評価に関する情報、勤怠管理および配分、割り当ての一環として収集された情報 (時間および出勤、識別情報、または特定の役割または割り当てに使用される地理的位置情報や安全検査データなど (すべて適用法に従う))、引き継ぎ計画情報、税務関連情報 (配偶者の有無、保険契約者との関係、扶養22

拘 束 的 企 業 準 則

-

最 終 版

個人情報の種類家族など)、健康状態と怪我に関する情報 (障害、病気休職、産休、その他人事管理および関連する福利厚生/サービスの提供に必要と思われる情報など)。
システムへのアクセスと IT セキュリティ データ: 会社の電話、コンピューター、電子通信 (E メール、電子カレンダ
ーなど)、およびその他の情報通信技術の使用を示す Otis コンピューター、ネットワーク、通信に関する情報と記録。
これには、ユーザー名/ログイン ID、パスワード、セキュリティに関する質問への答え、および Otis アプリケーショ
ン、ネットワーク、システム、サービスにアクセスするために必要となる情報、Otis のネットワークおよびシステム
を経由して個人が保存、送信、提出、受信する情報が含まれますが、これらに限定されません。
物理的なセキュリティ データ: Otis の施設への立ち入りに関連し、物理的な安全を確保し、不正なアクセスを防止するための情報 (アクセス制御、災害対策、その他の必要な情報など)。
EHS データ: Otis 施設の安全性を確保し、環境、衛生、安全に関する法律を遵守するために必要な情報 (Otis 施設内で発生した事故や業務中に発生した事故の記録など)。
製品/サービス関連データ: サービスを円滑化するため、または支援を求めるために提供された情報 (製品の使用または問題に関する情報など)。これには、ロケーションベースのサービスを提供する特定のサイトのロケーション情報、特定の製品に関するテレマティックス データ、製品またはサービス提供のための支払、請求、財務データ、保証関連情報が含まれます。
ウェブサイトとアプリのデータ: Otis のウェブサイトまたはアプリを使用して収集された情報 (デバイス識別子、IP ア
ドレス、ログ ファイル、位置データなど)。すべて適用法に従います。
その他のデータ (該当する場合): 希望の言語と連絡方法、個人が電子システムのプロフィールへの掲載を希望する情報、イベント登録情報、訪問者データ (時間、日付、訪問先、承認または拒否された審査結果など (該当する場合))、
適用法に従うために提供または受領された可能性のある贈答品の一覧、任意のアンケート/プロモーションまたは製品の使用を通じて収集された情報、国際貿易に関するコンプライアンスで必要になる可能性のあるその他の情報。

23

拘 束 的 企 業 準 則

-

最 終 版

Otis が個人情報を処理する目的の説明
この表は、Otis が事業部門にわたって個人情報を処理する主な目的をまとめたものです。

目的

従業員と外部委
託労働者 (該当す
る場合)

就職希望者

情報が処理される個人
サプライヤ
特定の Otis 製
Otis システム Otis システム
ー、ベンダ
品の消費者とと施設の訪 の使用を許可
ー、および事
エンドユーザ
問者
された者
業顧客の職員ー

雇用の管理: 給与および福 氏 名 、 識 別 情 報
利厚生 (福利厚生計画の確 の 詳 細 、 仕 事 の立と管理など)、給与の管 連 絡 先 と 雇 用 者
理 (控除、拠出など)、キ の 詳 細 、 個 人 のャリア開発および業績の 連 絡 先 の 詳 細 、フィードバックと進捗、 緊 急 連 絡 先 の 詳
報酬と表彰、勤怠管理お 細 、 経 歴 と キ ャ
よび配分、交通費および リア データ、人経費の立替え (交通費およ 事 お よ び 業 務 関びクレジット カードの管 連 デ ー タ 、 シ ス理など)、トレーニング、 テ ム へ の ア ク セ
配置転換、任命書、海外 スと IT セキュリ
駐 在 員 の サ ポ ー ト 、 ビ ティ データ、物ザ、ライセンス、その他 理 的 な セ キ ュ リの労働権許可、税申告お テ ィ デ ー タ 、
よび源泉徴収、従業員お EHS デ ー タ 、 ウ
よび管理職の略歴と履歴 ェ ブ サ イ ト と ア
書 の 維 持 管 理 、 事 業 計 プリのデータ、
画、E メール システムお その他のデータ
24

拘 束 的 企 業 準 則

目的

従業員と外部委
託労働者 (該当す
る場合)

就職希望者

-

最 終 版

情報が処理される個人
サプライヤ
特定の Otis 製
Otis システム Otis システム
ー、ベンダ
品の消費者とと施設の訪 の使用を許可
ー、および事
エンドユーザ
問者
された者
業顧客の職員ー

よび組織図、健康と安全に関するプログラムと健康診断、監査およびコン
プライアンス レビュー、
内部調査の管理など。
苦情処理を含む労務関係 氏 名 、 識 別 情 報の管理の詳細、仕事の連絡先と雇用者の詳細、人事および業務関連データ、システムへのアクセスとIT セキュリティ
デ ー タ、 EHS データ、物理的な
セキュリティ データ、ウェブサイトとアプリのデータ、その他のデータ
投資家管理活動の促進
仕事の連絡先と雇用者の詳細、25

拘 束 的 企 業 準 則

目的

従業員と外部委
託労働者 (該当する場合)

人事および業務
関連データ
人員配置および引き継ぎ 仕 事 の 連 絡 先 と計画 (予算および財務計画 雇 用 者 の 詳 細 、と報告に影響する可能性 人 事 お よ び 業 務がある場合など)
関連データ
知的財産権 (特許申請な 仕 事 の 連 絡 先 とど) の保護
雇用者の詳細、システムへのアクセスと IT セキュリティ データ
通常の企業活動の実施: 製 氏 名 、 仕 事 の 連品の設計開発、エンター 絡 先 と 雇 用 者 の
プライズ リソース プラン 詳 細 、 人 事 お よニング (ERP) システムの び 業 務 関 連 デ ー
管 理 、 請 求 書 送 付 と 集 タ、製品/サービ
金、支払い、顧客への商 ス 関 連 デ ー タ 、品およびサービスの提供 ウ ェ ブ サ イ ト となど (顧客または他のビジ ア プ リ の デ ー
ネス パートナーとの限ら タ 、 そ の 他 の デ
ータ

就職希望者

-

最 終 版

情報が処理される個人
サプライヤ
特定の Otis 製
Otis システム Otis システム
ー、ベンダ
品の消費者とと施設の訪 の使用を許可
ー、および事
エンドユーザ
問者
された者
業顧客の職員ー

仕事の連絡先と雇用者の詳細、システムへのアクセスと IT セキュリ
ティ データ
氏名、仕事の 氏名、仕事の 氏名、仕事の 氏名、仕事の連絡先と雇用 連絡先と雇用 連絡先と雇用 連絡先と雇用者の詳細、製 者の詳細、製 者の詳細、製 者の詳細、製品/サービス関 品/サービス関 品/サービス関 品/サービス関連データ、ウ 連データ、ウ 連データ、ウ 連データ、ウェブサイトと ェブサイトと ェブサイトと ェブサイトとアプリのデー アプリのデー アプリのデー アプリのデー
タ、その他の タ、その他の タ、その他の タ、その他の
データ
データ
データ
データ
26

拘 束 的 企 業 準 則

目的

従業員と外部委
託労働者 (該当する場合)れた個人情報の共有を含む場合がある)
要求された情報、製品、 製品/サービス関
サービスの提供 (透明性の 連データ
ある既知の方法での特定のアプリケーションに対する地理的位置情報の使用を含む場合がある)
エンゲージメント サーベ その他のデータ
イとチャリティ キャンペーンの実施および管理
レポート作成および統計 仕 事 と 雇 用 者 の分析 (世界の従業員数、人 詳 細 、 業 務 関 連
口統計、適用法で義務付 データ
けられているレポート作
成など)
健康や安全へのリスクを EHS デ ー タ 、 物
伴う状況への対応 (緊急時 理 的 な セ キ ュ リなど)
ティ データ

就職希望者

-

最 終 版

情報が処理される個人
サプライヤ
特定の Otis 製
Otis システム Otis システム
ー、ベンダ
品の消費者とと施設の訪 の使用を許可
ー、および事
エンドユーザ
問者
された者
業顧客の職員ー

製品/サービス
関連データ

製品/サービス
関連データ

その他のデータ
仕事と雇用者の詳細

EHS データ、 EHS データ、 EHS データ、 EHS データ、
物理的なセキ 物理的なセキ 物理的なセキ 物理的なセキュリティ デー ュリティ デー ュリティ デー ュリティ デー
タ
タ
タ
タ

27

拘 束 的 企 業 準 則

目的

従業員と外部委
託労働者 (該当する場合)コミュニケーションと通 氏 名 、 仕 事 の 連
知の管理
絡先と雇用者の詳細
物理的なセキュリティの 氏 名 、 仕 事 の 連
管理 (アクセス制御とセキ 絡 先 と 雇 用 者 のュリティ、施設へのアク 詳 細 、 シ ス テ ム
セスと安全性、災害への へ の ア ク セ ス と備えなど)
IT セキュリティ
デ ー タ、 EHS データ、物理的な
セキュリティ データ、その他の
データ
情報技術 (「IT」) システ 名 前 、 仕 事 の 連
ムの管理、保守、安全保 絡 先 と 雇 用 者 の護
詳細、システムへのアクセスとIT セキュリティ
データ
輸出入やその他の国際貿 氏 名 、 識 別 情 報
易管理に関するコンプラ の 詳 細 、 仕 事 の

就職希望者

-

最 終 版

情報が処理される個人
サプライヤ
特定の Otis 製
Otis システム Otis システム
ー、ベンダ
品の消費者とと施設の訪 の使用を許可
ー、および事
エンドユーザ
問者
された者
業顧客の職員ー
氏名、仕事の 氏名、仕事の 氏名、仕事の 氏名、仕事の連絡先と雇用 連絡先と雇用 連絡先と雇用 連絡先と雇用
者の詳細
者の詳細
者の詳細
者の詳細
氏名、仕事の 氏名、仕事の 氏名、仕事の 氏名、仕事の連絡先と雇用 連絡先と雇用 連絡先と雇用 連絡先と雇用者の詳細、者の詳細、者の詳細、者の詳細、EHS データ、 EHS データ、 EHS データ、 EHS データ、
物理的なセキ 物理的なセキ 物理的なセキ 物理的なセキュリティ デー ュリティ デー ュリティ デー ュリティ デー
タ、その他の タ、その他の タ、その他の タ、その他の
データ
データ
データ
データ

名前、仕事の 名前、仕事の 名前、仕事の 名前、仕事の連絡先と雇用 連絡先と雇用 連絡先と雇用 連絡先と雇用者の詳細、シ 者の詳細、シ 者の詳細、シ 者の詳細、システムへのア ステムへのア ステムへのア ステムへのアクセスと IT セ クセスと IT セ クセスと IT セ クセスと IT セ
キュリティ デ キュリティ デ キュリティ デ キュリティ デ
ータ
ータ
ータ
ータ
氏名、識別情 氏名、識別情 氏名、識別情 氏名、識別情報の詳細、仕 報の詳細、仕 報の詳細、仕 報の詳細、仕28

拘 束 的 企 業 準 則

目的

従業員と外部委
託労働者 (該当す
る場合)

就職希望者

-

最 終 版

情報が処理される個人
サプライヤ
特定の Otis 製
Otis システム Otis システム
ー、ベンダ
品の消費者とと施設の訪 の使用を許可
ー、および事
エンドユーザ
問者
された者
業顧客の職員ー
事の連絡先と 事の連絡先と 事の連絡先と 事の連絡先と雇用者の詳細 雇用者の詳細 雇用者の詳細 雇用者の詳細

イアンスを確保 (登録や許 連 絡 先 と 雇 用 者
可の管理、制限されてい の詳細る技術や物資へのアクセスに対する判断、制裁または制限対象国および団体の審査など)申し立ての訴追と弁護、 法 律 で 義 務 付 け 法律で義務付 法律で義務付 法律で義務付 法律で義務付 法律で義務付
および法執行機関の要求 ら れ て い る 、 ま け ら れ て い け ら れ て い け ら れ て い け ら れ て い け ら れ て いへの対応 (必要な場合、か た は こ の 目 的 の る、またはこ る、またはこ る、またはこ る、またはこ る、またはこつ適用法にのみ従う)
た め に 必 要 な す の目的のため の目的のため の目的のため の目的のため の目的のため
べてのカテゴリ に必要なすべ に必要なすべ に必要なすべ に必要なすべ に必要なすべてのカテゴリ てのカテゴリ てのカテゴリ てのカテゴリ てのカテゴリ
顧客サービスとサポート
氏名、仕事の 氏名、仕事の 氏名、仕事の 氏名、仕事のの提供、顧客、サプライ
連絡先と雇用 連絡先と雇用 連絡先と雇用 連絡先と雇用
ヤー、ベンダー担当者の者の詳細、そ 者の詳細、そ 者の詳細、そ 者の詳細、そトレーニングと認定、おの他のデータ の他のデータ の他のデータ の他のデータ
よびデュー デリジェンスとリスク評価の実施
Otis のウェブサイトおよ 氏 名 、 仕 事 の 連 氏名、仕事の 氏名、仕事の 氏名、仕事の 氏名、仕事の 氏名、仕事のびアプリの利用に関連す 絡 先 と 雇 用 者 の 連絡先と雇用 連絡先と雇用 連絡先と雇用 連絡先と雇用 連絡先と雇用る目的: 要求への対応また 詳 細 、 ウ ェ ブ サ 者の詳細、ウ 者の詳細、ウ 者の詳細、ウ 者の詳細、ウ 者の詳細、ウは提出されたフォームのェブサイトと ェブサイトと ェブサイトと ェブサイトと ェブサイトと29

拘 束 的 企 業 準 則

-

最 終 版

情報が処理される個人
サプライヤ
特定の Otis 製
従業員と外部委
Otis システム Otis システム
目的
ー、ベンダ
品の消費者と託労働者 (該当す 就職希望者と施設の訪 の使用を許可
ー、および事
エンドユーザ
る場合)
問者
された者
業顧客の職員ー
さらなる処理、Otis に関 イ ト と ア プ リ の アプリのデー アプリのデー アプリのデー アプリのデー アプリのデー連する製品、サービス、 データ
タ
タ
タ
タ
タ
プロモーション、およびイベントの宣伝、Otis の製品、サービス、ウェブ
サイト、およびアプリの改善、不正防止または違法性が疑われる行為または実際の違法行為の調査、新しい製品やサービスの開発、Otis 製品の品
質向上、ユーザー エクス
ペリエンスの改善とパー
ソナライズなど。
求人の目的: 求職応募の受氏名、識別情付、応募情報の審査、電報の詳細、仕話選考面接およびその他
事の連絡先との適切な審査の手配と実雇用者の詳施、応募者への応募内容
細、個人の連または他の求人情報に関絡先の詳細、
する連絡、変更の伝達、経歴とキャリ
身元保証人の確認、身元ア データ、ウ30拘 束 的 企 業 準 則

目的調査 (適用法に従って適切に行う)、選考、採用の促
進、法的および規制要件への準拠、セキュリティを確保するための身元確
認、フィードバックの機会の提供、Otis の募集方
法の把握および改善を目的とした応募者の傾向分
析の実施など。

従業員と外部委
託労働者 (該当す
る場合)

-

最 終 版

情報が処理される個人
サプライヤ
特定の Otis 製
Otis システム Otis システム
ー、ベンダ
品の消費者とと施設の訪 の使用を許可
ー、および事
エンドユーザ
問者
された者
業顧客の職員ー

就職希望者ェブサイトとアプリのデータ31