Nashua B.V.およびその子会社は、当社が処理の目的および手段を決定する場合において、本ポリシーに記載された個人データの管理者となります。ご連絡は、Lichttoren 32, 5611 BJ Eindhoven, the Netherlands宛て、またはinfo@nashua.nl宛てにご連絡ください。

本ポリシーは、当社が管理者として処理する個人データ、すなわち当社ウェブサイトの訪問者、見込み顧客および実際の顧客ならびにその従業員、応募者、サプライヤーおよび取引先に関するデータを対象とします。当社が顧客に代わって個人データを処理する場合、たとえば顧客が本プラットフォームまたは当社のマネージドサービスを利用する場合には、当該顧客が管理者となり、当社は処理者として行為します。かかる処理は、本ポリシーではなく、当社のデータ処理契約により規律されます。

当社がいずれの役割で行為するかは重要です。管理者として、当社は個人データを処理する理由および方法を決定します。たとえば、当社自身のマーケティング、採用および管理業務のためです。処理者として、当社はNashuaデータ処理契約に基づき、顧客の文書化された指示に従ってのみ個人データを処理します。同契約は、処理の対象事項、セキュリティ対策、副処理者の利用、国際的な移転、侵害の通知および当社が提供する支援について定めています。顧客が本プラットフォーム上で処理するデータの対象である個人の方は、管理者である当該顧客に対して請求を行ってください。

管理者として、当社は以下を処理することがあります。すなわち、識別情報および連絡先情報（氏名、役職、雇用主、メールアドレス、電話番号）、通信および問い合わせの内容、顧客およびサプライヤーに関する契約上および財務上のデータ、応募者に関する採用データ（履歴書や応募に関する通信など）、ならびに当社ウェブサイトからの技術データ（IPアドレス、デバイスおよびブラウザに関する情報、操作データなど）です。当社は、当社ウェブサイトを通じて特別な種類の個人データを収集しようとするものではなく、かかるデータを求めていないのに当社に送信されないようお願いいたします。

当社は、以下の目的で個人データを処理します。すなわち、契約の締結および履行のため（GDPR第6条(1)(b)）、当社の事業の運営、保護およびマーケティングにおける正当な利益の追求のため（常に皆様の利益と比較衡量されます。第6条(1)(f)）、税務および会計上の義務などの法的義務の遵守のため（第6条(1)(c)）、ならびに必要な場合には皆様の同意に基づき（同意はいつでも撤回できます。第6条(1)(a)）処理を行います。当社は、許可される場合にのみ商業的な連絡を送信し、すべてのマーケティングメッセージには容易にオプトアウトできる方法が用意されています。

当社のウェブサイトは、動作に必要な機能的Cookieを使用し、また皆様の同意がある場合には、サイトの利用状況を把握し改善するのに役立つ分析（analytics）を使用します。Cookieは、ブラウザの設定を通じて管理できます。分析または第三者のサービスが必須でないCookieを設定する場合、当社はオランダ電気通信法およびGDPRに従い、事前に皆様の同意を求めます。

当社は、必要な場合にのみ個人データを共有します。すなわち、当社の事業を支援するサービスプロバイダー（ホスティング、通信および管理のプロバイダーなど。書面による契約に基づき当社に代わって処理を行います）、専門的助言者、および法的に義務付けられる場合の当局との間で共有します。当社は個人データを販売しません。プロバイダーが当社に代わって個人データを処理する場合、当社は当該プロバイダーに対しGDPR第28条に定めるものと同等の義務を課します。

当社は、個人データを欧州経済領域（EEA）内に保持することを優先し、オランダおよびEEA内に所在するインフラ上でホスティングします。EEA域外への移転が避けられない場合、当社は欧州委員会の十分性認定、または適切な保護措置、特に欧州委員会の標準契約条項（Standard Contractual Clauses）およびそれに要求される追加の措置に依拠し、かかる移転に関する情報を請求に応じて提供します。

当社は、個人データを、それが収集された目的のために必要な期間、または法律により要求される期間を超えて保存することはありません。契約上および財務上の記録は、法定の保存期間、すなわちオランダにおける税務目的では7年間保存されます。採用データは、手続の期間中、および同意がある場合にはその後の限られた期間保存されます。ウェブサイトおよび分析のデータは、限られた期間保存された後、削除または集約されます。

当社は、リスクに応じた技術的および組織的対策を伴う文書化された情報セキュリティプログラムを維持しており、これはISO/IEC 27001およびSOC 2 Trust Services Criteriaに準拠しています。また、当社は関連するSOC 2報告書の各種類にわたる正式な認証および保証取得の準備を進めています。当社の対策には、アクセス制御および最小権限、転送中および保存時の暗号化、ネットワークのセグメンテーション、ログ記録および監視、セキュアな開発および変更管理、脆弱性管理、バックアップおよびテスト済みの復旧、ならびに従業員の意識向上が含まれます。デジタルサービスの提供者として、当社はDigital Operational Resilience Act（DORA）およびオランダ法において施行されるNIS2指令に基づく義務、すなわち運用上のレジリエンス、サプライヤーのリスク管理およびインシデント報告を考慮します。

Nashua 360 Enterprise Platformは、人間による監督のもと、定められた権限の範囲内で動作するAI機能を含みます。当社は、適法な根拠および適切な保護措置なしに、法的効果またはこれに類する重大な影響を生じさせる、もっぱら自動化された処理のみに基づく決定に個人を服させることはありません。当社自身のプロセスを支援するためにAIを使用する場合、その結果については引き続き人間が責任を負います。

GDPRに基づき、皆様は、自己の個人データにアクセスしその写しを取得する権利、不正確なデータの訂正を求める権利、一定の状況における消去を求める権利、処理の制限を求める権利、データポータビリティの権利、ならびに当社の正当な利益に基づく処理またはダイレクトマーケティングに異議を申し立てる権利を有します。処理が同意に基づく場合、皆様は、それ以前の処理に影響を及ぼすことなく、いつでも同意を撤回できます。権利を行使するには、info@nashua.nlまでご連絡ください。当社は1か月以内に対応し、皆様の本人確認のために情報を求めることがあります。

当社による個人データの取り扱いについてご懸念がある場合は、まず当社にご連絡いただき、対応させていただけますようお願いいたします。皆様はまた、オランダのデータ保護当局であるAutoriteit Persoonsgegevens（autoriteitpersoonsgegevens.nl）、または皆様の居住国もしくは就労国の監督当局に苦情を申し立てる権利を有します。

当社は、当社の処理または法律の変更を反映するために本ポリシーを更新することがあります。日付を付した現行版は、本アドレスにて公開されます。重要な変更については、適切な場合に皆様にお知らせします。

本ポリシーについて、または当社が皆様の個人データをどのように処理するかについてのご質問は、info@nashua.nlまで、または郵便にてLichttoren 32, 5611 BJ Eindhoven, the Netherlands宛てにご連絡ください。