DPDP コンプライアンス声明

1. 概要

インドの Digital Personal Data Protection Act 2023（"DPDP Act"）は 2023 年 8 月 11 日に施行されました。これは、デジタル個人データの処理、データ主体の権利、Data Fiduciary と Data Processor の義務を定める包括的な個人データ保護法です。

FactWise Technologies Private Limited（"FactWise"、"当社"）は、インドの製造業およびエンタープライズ企業向けにソーシングから支払いまでの調達プラットフォームを運営しています。当社は、自ら管理するデータについては Data Fiduciary として、顧客に代わって処理するデータについては Data Processor として DPDP Act を遵守します。

本声明は、プライバシーポリシー、利用規約、Cookie ポリシーと併せてお読みください。

2. DPDP Act における役割

3. 処理の法的根拠

FactWise は DPDP Act が求める法的根拠に基づいて個人データを処理します。

3.1 同意管理と通知

同意が法的根拠となる場合、FactWise は同意が自由で、具体的で、十分に説明され、明確であることを確保し、時刻、目的、通知バージョンを記録します。

収集前または収集時に、FactWise は収集するデータ、処理目的、権利行使方法、苦情申立て方法を明確に通知します。

4. データ主体の権利

データ主体は privacy@factwise.io に連絡して権利を行使できます。FactWise は 30 日以内に回答します。

5. Data Fiduciary の義務

6. 越境データ移転

DPDP Act に基づく越境移転ルールが通知された場合、FactWise は本節を更新します。

• 原則として、インドのデータ主体の個人データは AWS ap-south-1 Mumbai を使用してインド国内で処理および保存されます。
• インド国外のサブ Processor には必要最小限の技術データのみが移転され、同等の保護を契約で義務付けます。

7. 子どものデータ処理

DPDP Act は子どもの個人データ処理に厳格な義務を課しています。FactWise は子どものデータを意図的に収集または処理せず、子どもを対象とせず、企業調達ユーザー向けに設計されており、子どものデータを発見した場合は削除します。

8. Data Processor の義務

• 顧客の文書化された指示に従ってのみ個人データを処理する
• 顧客データにアクセスする FactWise 人員に守秘義務を課す
• 適切な技術的および組織的セキュリティ対策を実施する
• 顧客の同意なしにサブ Processor を利用しない
• データ主体の権利要求について顧客を支援する
• 契約終了後 90 日以内に個人データを削除または返却する
• セキュリティインシデントを 72 時間以内に顧客へ通知する

9. 苦情救済

FactWise は、DPDP Act 第 13 条に基づく苦情窓口として privacy@factwise.io を指定しています。

1. privacy@factwise.io に苦情をメールで提出する
2. 氏名、連絡先、苦情内容、希望する解決方法を含める
3. FactWise は 72 時間以内に受領確認する
4. FactWise は 30 日以内に実質的な回答を提供する
5. 未解決の場合、FactWise は社内でエスカレーションし、さらに 14 日以内に回答する
6. なお未解決の場合、Data Protection Board of India が運用開始後に申立てできます

10. 本声明の更新

DPDP ルールが通知された場合、Data Protection Board of India が指針を出した場合、または FactWise の実務が変更された場合、本声明を更新します。重要な更新はアカウント管理者へメールで通知されます。

11. 関連文書