グローバルなデータ保護に関するサプライヤの皆様へのお知らせ

2021年10月発効

本データ保護の通知は、Cook Medical Holdings LLCおよびその世界中の子会社・関連会社（以下、総称して「Cook」といいます）が提供するもので、サプライヤとその社員に、Cookがどのように彼らの個人データを収集し、処理し、保護し、共有し、保存するか、およびその個人データに関連する権利について情報提供することを目的としています。「個人データ」とは、直接的または間接的に個々人の特定を可能とするあらゆるデータを指します。

当社のサプライヤから当社が収集する情報は、当社のサプライヤまたはサービスプロバイダから直接提供されるか、またはそれらの従業員、契約受託者、または業務従事者から直接提供されるかのいずれかです（「サプライヤの個人データ」）。この個人データがサプライヤの従業員、作業員、または請負業者に関連する場合、サプライヤはそれらの人々に本通知を知らせる必要があります。

当社は、サプライヤと当社との関係性に応じて何種類かのサプライヤの個人データを収集します。これには以下を含みますが、これに限定されるものではありません。

• 一般的な連絡先と識別情報（氏名、名、姓、性別、電子メールアドレスまたは住所、携帯電話番号など）
• 職務（職名、職位、および事業者名）
• 当社に製品またはサービスを提供する目的で必要とされる電子識別データ（バッジ番号および写真、ログ、アクセス、および監視カメラ [CCTV]映像など）
• サプライヤまたはサービスプロバイダとして活動する個人については、上記の個人データに加えて、財務情報（銀行口座の詳細など）

個人（同僚など）に関する個人データを当社に提供する場合は、その行為に適切な法的根拠があることを確認する必要があります。Cookは、個人データを収集した目的に従って、そのデータを正確、完全、および最新に維持するために適切な措置を取ります。当社は、当社への正確な情報の提供、情報の不完全や不正確が判明した場合の情報の修正や更新を、サプライヤに依拠しています。

Cookは、サプライヤの個人データを、データを収集した目的、および法律でみとめられた許容目的にのみ使用します。特に、当社はサプライヤの個人データを以下の目的で使用します。

• 当社のサプライヤおよびサービスプロバイダを、サプライチェーン全体を通して管理するため
• 契約の準備または既存の契約の遂行で、入札を整理するため、タスクを実行するため
• インフラストラクチャ管理やビジネス継続性を含む、当社のITリソースを管理するため
• 請求書作成および送り状作成のため
• 法律または規制当局や裁判所からの命令または要求によって課されるあらゆる他の目的のため

関連のある該当するデータ保護法の下で、サプライヤの個人データの処理を行う理由は以下の通りです。

• サプライヤと締結しようとしている、あるいは締結した契約を実行する必要がある場合、または
• 法的または規制上の義務に従う必要がある場合、または
• 当社の正当な利益のために必要で（当社にサプライヤの情報を使用するビジネス上または商業上の理由があるなど）、サプライヤの利益と基本的な権利がそれらの利益に優先しない場合。当社の正当な利益には、当社のベンダーから提供された特定のプラットフォームを使用してデータを処理し費用効率の高いサービスを提供すること、法的および契約上の義務の遂行方法について効率的であること、当社に適用される法律または規制を遵守していること、サプライヤと意思疎通があること、当社の顧客をサポートしていること、当社の製品またはサービスの不正または誤用を防止していること、当社のITシステム、アーキテクチャ、およびネットワークのセキュリティを確保していること、当社のビジネスまたは資産の一部を売却しているか、第三者による当社のビジネスまたは資産の全部または一部の買収を可能にしていること、および当社の企業目標および社会的責任目標を達成していることなどが含まれる、または
• 肯定的な同意がすでにある場合。当社がサプライヤの同意に依拠している場合、サプライヤはいつでも同意を撤回できる

法律またはサプライヤとの契約条件により個人データを収集する必要があり、要求された際にサプライヤが情報を提供しなかった場合、当社は締結済みまたは締結しようとしている契約を実行できません。状況によって、Cookはサプライヤの個人データをサプライヤと関連付けられないように匿名にし、サプライヤに通知することなしにその情報を使用すること、および、開示する場合があります。

収集したときとは関係のない目的で当社がサプライヤの個人データを使用する必要がある場合は、サプライヤに通知して当社がそのデータを使用できる法的根拠を説明します。Cookは、法律により要求または許可されている場合は、サプライヤの個人データをサプライヤの認識や承認なしに処理する場合があります。

Cookは、サプライヤの個人データへのアクセスを、当社の専門的な活動の遂行に関連して、アクセスの必要性を基準に制限しています。当社の組織内では、職員には職責に従ったアクセスのみが与えられており、適切な守秘義務が課せられています。当社では、サプライヤの個人データを以下と共有します。

• Cookグループ内の他の会社についてはこちらをご参照ください
• 当社のためのデータ処理を行うためにベンダーが提供するプラットフォームなどのサービスや、法務、税、およびコンサルタントのアドバイスを当社に提供する第三者のベンダーおよびアドバイザー
• 当社のビジネスの所有権を譲渡する場合など、商取引に関する第三者
• 規制や法的事項に関連している、または安全性およびセキュリティに必要な場合を含む法律によって許可されるか必要とされている第三者（規制当局、政府当局、裁判所、法執行機関など）

当社がこの情報を共有する際は、この状況下で関連しており、転送に関してあらゆる法的要件を満たす情報に転送を制限します。当社は可能な限り、本通知および該当する法律に合致して同水準のサプライヤの個人データの保護を維持することを受領者に要求します。

グローバルな組織としてCookは、安全で一元化されたシステムにデータを保存し、世界に拠点を置くサービスプロバイダを使用しています。その結果、サプライヤの個人データは米国やサプライヤの居住国以外に保存され、そこに所属する、権限を与えられ限られた要員が、アクセス可能です。適用されるデータ保護法に従って、Cookはサプライヤの個人データの適正水準の保護を確保するための適切な対策を整備しており、データの処理場所や保存場所に関係なく、それらの対策を適用します。

当社が欧州経済地域（EEA）または英国からサプライヤの個人データを転送する際は、以下の予防措置のうちの1つを実施により、適正水準の保護を確実にします。

• 欧州委員会または英国監督当局によって適正水準のサプライヤのデータ保護を提供すると見なされた国または地域にのみサプライヤの個人データを転送
• 米国への転送に関しては、欧州と米国の間で共有される個人データに同様の保護を提供することをCookと第三者受信者に求めるプライバシーシールドフレームワークに基づくCookの認証に基づいています。（プライバシーシールドフレームワークは、2020年7月に欧州連合司法裁判所のSchrems II判決により無効となりましたが、Cookは米国商務省の助言に従い、またプライバシーに対する継続的なコミットメントを示す手段として、プライバシーシールド認証を維持し続けています。）
• 欧州委員会および/または英国監督当局によって承認された、個人データに欧州での同等の保護を与える特定のデータ転送契約すなわち標準契約条項を使用
• その他の地域から個人データを転送する場合、Cookは国境を越えた該当する転送の規制要件を遵守

Cookは、当社が収集するサプライヤの個人データへの不正または違法なアクセスや開示、あるいは予想外または違法な紛失、破壊、変更、または損害を防ぐための技術的、物理的、および管理上の適切なセキュリティ対策を整備しています。これらの対策は、保護されるべきデータの処理や性質に伴うリスクに関連して適切な水準のセキュリティを確保することを意図しており、該当する法律および規制に一致する方法で適用されます。Cookはこれらの対策を継続的に評価することで、新たなセキュリティの脅威が発生したときのリスクを最小限に抑えます。

サプライヤには、個人データの修正（訂正）、アクセス、転送（データポータビリティ）、または抹消（削除）を要求、あるいは個人データの処理への異議を申し立てる、または制限する権利があります。

データ主体者（個人情報の所有者）は、個人データに関するあらゆる質問、適用可能な権利の行使、または当社による個人データの使用への異議に関して、下記のデータ主体者の地域のCookオフィスに連絡を取ることができます。プライバシーを保護するため、個人データのコピーを取得するために、当社はデータ主体者の個人が身分証明を提示と、申請書への署名を要求します。データ主体者は、個人データへのアクセス（またはその他のいかなる権利の行使についても）に費用を支払う必要はありません。ただし、アクセスへの要求に明らかに正当の理由がなく、過度な場合は、妥当な費用を請求する場合があります。また、そのような状況での要求に従うことを拒否する場合があります。

個人には、また、関連する監督当局にデータ保護の問題についていつでも苦情を申し立てる権利があります。しかしながら、Cookは、関係当局へ申し出る前に問題に対処する機会を得ることを歓迎しますので、まず当社にご連絡ください。

Cookは、妥当なビジネス要件を満たすため、該当するデータ保護法および規制に従ってサプライヤの個人データを保持します。Cookは、サプライヤの個人データに関連がなくなった場合、および、該当する法律で規定された最大保存期間が満了した後はどんな場合でもそのデータを処分します。ただし、苦情、訴訟、またはその他の規制当局の調査の場合など、サプライヤの個人データに長期間の保存が必要とされる場合を除きます。

当社はデータ保持期間を評価する際は、情報の量、性質、機密性、サプライヤの個人データの不正な使用や公開による害の潜在的なリスク、サプライヤの個人データを処理する目的とこれらの目的を他の手段で達成できるかどうか、および該当する法的要件を考慮します。

当社は、プライバシーに関する本通知をいつでも更新する権利を有し、実質的な更新を行う際は、サプライヤに新しい通知を提供します。また、当社はサプライヤの個人データの処理についてその他の方法で随時に通知することがあります。

Cookのプライバシーおよびセキュリティに関する実践やサプライヤの権利の行使に関するさらなる情報については、Privacy@CookGroup.comへご連絡ください。また、以下の連絡先にメール、電話、または手紙をお送りいただくこともできます 。