プライバシーに関するお知らせ – SupplyOnサービス

SupplyOnサービスの利用に関連して、ユーザーであるお客様およびSupplyOnサービスの提供に関与するその他の関係者から個人データが処理されます。GDPRで定義されるこれらの「データ主体」は、簡略化のため以下「ユーザー」と呼称します。

以下のグループはSupplyOnサービスのユーザーと見なされる場合があります：

• ・ バイヤーおよびサプライヤーの調達、販売、技術、管理、財務部門の担当者（関心のある関係者を含む）
• ・ サービスプロバイダー（ビジネスパートナーおよびその他のサプライオンの下請け業者）の担当者
• ・ サプライオンおよび関連会社の従業員

サプライオンは、ユーザーの個人データを以下の2つの異なるシナリオで処理します：

A) サプライオン自身の目的のため、サプライオンサービスの運営、広告、または配布を行うため。

B) 買い手企業に代わって、サプライヤーとのプロセス管理にSupplyOnサービスを利用するケース。

SupplyOnポータルにログイン後、以下の方法で担当買い手企業を確認できます：

• 貴社がサプライヤーとしてSupplyOnに登録済みの場合、ユーザー管理者はメニューオプション管理 –> 契約と請求書 –> 接続概要から貴社が取引する買い手企業を確認できます。貴社担当のユーザー管理者は、メニューオプション「管理」→「マイユーザー管理者」からアクセス可能です。
• SupplyOnサービスのユーザーであり、買い手のために働いている場合、その買い手が責任者です。
• 未登録サプライヤーの場合、SupplyOnからメールで受け取った取引対応リンクから担当買い手を確認できます。

または、担当バイヤーの確認依頼をdatenschutz@supplyon.com宛てにお送りください。ご依頼の正当性を確認するため、本人確認と追加情報の提供をお願いする場合がございます。ただし、ユーザーパスワードをお尋ねすることは一切ございません。

個人データの処理に関する以下の情報は、各ケースの関連する状況と併せてご理解ください。

1. 管理者の名称および連絡先

A) SupplyOn自身の目的の場合

お客様がSupplyOn-ServicesをSupplyOn直接またはサービスプロバイダー向けに利用している場合、SupplyOnがお客様のデータ処理に関する管理責任者となります：

SupplyOn AG

Ludwigstrasse 49

85399 Hallbergmoos

電話: +49 811 99997 0

E-Mail: datenschutz@supplyon.com

B) バイヤーに代わる処理

SupplyOnサービスのユーザーは、バイヤー側またはサプライヤー側のいずれかに属します。サプライヤーは常にSupplyOnにおいて少なくとも1つのバイヤーと関連付けられています。この場合、バイヤーが個人データの処理責任者となり、SupplyOnはバイヤーの指示に基づき委託を受けて処理を行います。

2. 管理者データ保護責任者連絡先

A) SupplyOn自社目的の場合

SupplyOnのデータ保護責任者は

datenschutz süd GmbH

Wörthstraße 15

97082 Würzburg

電話: +49 931 304976 0

E-Mail: datenschutz@supplyon.com

B) バイヤーの代理としての処理

SupplyOnサービスのユーザーは、買い手側または供給者側のいずれかで業務を行うことができます。供給者は常にSupplyOnにおいて少なくとも1つの買い手と関連付けられています。SupplyOnは買い手の指示のもとで業務を行う処理者であるため、datenschutz@supplyon.com宛ての情報開示請求には、当該個人データに責任を有する買い手のデータ保護責任者の連絡先情報を提供して対応いたします。あるいは、いつでも買い手に直接連絡することも可能です。

3. 処理の目的と法的根拠

A) SupplyOn自身の目的のため

お客様の個人データは、SupplyOn自身の目的のために処理されます。

SupplyOnサービスのユーザーとして、当社はSupplyOnプラットフォームの利用に関連し、契約処理を目的としてお客様の個人データを最初に処理します。これは、適用されるSupplyOnサービスの利用規約に関連して、GDPR第6条第1項(b)を法的根拠としています。登録プロセスにおいて、SupplyOnサービスのユーザーであるお客様は、以下の登録データの提供を求められ、これらはSupplyOnによって保存され、以下に記載される目的で使用されます：

• 御社におけるSupplyOnサービスの担当者（会社管理者）の業務連絡先情報
• 契約データ、すなわちSupplyOnサービスの利用に関する契約関係の確立、内容、変更に必要な在庫データ
• 会社プロフィールデータ、すなわちSupplyOnサービスの顧客である御社について、御社、その製品、サービスを紹介するためにユーザーが入力するデータ

SupplyOnサービスの利用中、SupplyOnはユーザーである貴社（顧客）から以下のデータを保存・利用します：

• 貴社のビジネス連絡先情報
• ログインデータ（顧客識別情報、ユーザー名、パスワード、その他の登録情報）
• 取引データ（SupplyOnサービスの利用時に電子ログファイルとして自動的に記録されるデータ）
• ビジネスデータ（サプライオンサービス利用時に顧客が他の顧客へ送信するデータ）

これには特に以下の処理手順が含まれます：

• 契約で合意されたサプライオンサービスの利用権付与
• 新規登録顧客を既存の関連会社へ割り当てるため、ユーザーの識別および既存ユーザーの個人データの開示
• 製品機能やサービス可用性に関する情報の送信、アプリケーション通知、カスタマーサポートとの連絡、
• 潜在的な取引関係に必要なデータ・情報の提供・伝達による買い手と売り手の接触促進（特に、買い手に対し、どのサプライヤーがどのSupplyOnサービスに登録されているか、および（追加の）SupplyOnサービス利用契約の締結可能性に関する担当者の連絡先を通知すること）、
• バイヤーと売り手の間の契約関係（関連する連絡担当者の変更、契約状況、有効化、または未払いに起因する差し迫った無効化など）に関する情報をバイヤーに伝達することにより、バイヤーと売り手の間のビジネス関係を促進すること

クレジットカードによるお支払いを選択された場合、当社はGDPR第6条第1項(b)に基づき、決済処理に必要なデータを処理します。お客様の銀行データはSupplyOnによって収集されることはなく、当社の決済ページに直接統合された決済サービスプロバイダーを通じてのみ収集されます。SupplyOnはお客様の銀行データにアクセスできません。決済目的で処理されるデータの詳細については、以下のリンクをクリックしてください：https://www.evopayments.eu/datenschutz/。

登録ユーザーは、ご自身の関心領域に応じて、SupplyOnが提供する特定のサービス（ニュースレターの購読や調査への招待など）に関する情報を入手する権利を有します。情報の範囲はご自身で任意に決定いただけます。この法的根拠は、GDPR第6条第1項(a)および第7条ならびにUWG第7条第2項に基づく明示的な同意です。これらのサービスはいつでも管理でき、必要に応じて以前に与えた同意を調整または撤回できます。SupplyOnポータルにログイン後、メニューオプション管理–>マイユーザー–>プライバシー設定から個人向けサービスを確認できます。

SupplyOnサービスにご関心をお持ちの場合は、当社ウェブサイトの問い合わせフォームよりご連絡いただくか、ニュースレターをご購読ください。これらのサービスに関する必要な情報は、当社ウェブサイトのプライバシー通知に記載されています。

B) 買い手代理としての処理

ユーザーとしてのあなたの個人データは、SupplyOnサービスをSaaS（Software-as-a-Service）としてご利用いただくために、買い手代理として処理されます。これには特に、SupplyOnサービスの導入、SupplyOnサービスの運用、ならびにSupplyOnサービス利用時のトレーニングおよびサポートが含まれます。SupplyOnは、GDPR第28条に基づく委託データ処理契約に定められた条件に従い、買い手に代わってあなたの個人データを処理します。

購入者の担当者または従業員としての貴方によるSupplyOnサービスの利用は、GDPR第6条第1項(b)を法的根拠とし、雇用主が雇用関係に基づく義務を履行することを必要とします。

人工知能（AI）は、購入企業がこれらの機能を有効にしている場合、SupplyOnサービスの範囲内の一部の機能に使用されます。AIを使用して機能が実行される場合は、事前に通知します。これらの機能の一部では、文書翻訳や要約時の連絡先情報など、個人データの処理を伴う場合があります。処理は厳密に特定目的のために実施されます。非EU諸国への（可能性のある）データ移転が発生する場合、当社は当然ながら契約上、適切なデータ保護水準が確保されていることを保証しています。場合によっては、AIモデルを提供するサービスプロバイダーを利用します。

SupplyOnは、公開ウェブサイトから最新情報を検索・抽出・要約する検索ツールを提供しています。このプロセスではデータ収集にAIが使用されます。目的はセキュリティ証明書などの企業関連データの収集です。公開ウェブサイトを検索する際、検索対象サイトに個人データ（例：サプライヤーの取締役・従業員情報など）が含まれる場合、個人データが処理される可能性があります。抽出・要約されるのは関連する企業データのみです。この処理は、サプライチェーンにおけるリスクを効果的かつ迅速に特定する正当な利益（GDPR第6条第1項f号）に基づいています。この文脈で個人データが処理される場合、将来に向けて異議を申し立てる権利があります。

C) Microsoft Teams

当社は、お客様とのコラボレーションの一環としてMicrosoft Teamsを利用しています。

データ保護責任に関する規定は、セクション3. A)およびB)の規定が準用されます。SupplyOnがお客様との会議においてMicrosoft Teamsを自社目的で使用しない場合、当該委託購買企業が責任主体となります。

Microsoft Teamsはオンライン会議による業務コミュニケーションに使用されます。オンライン会議に参加する際、音声・映像信号は暗号化形式で他の会議参加者に送信されます。オンライン会議中はチャット、質問、アンケート機能の利用が自由です。会議室に参加する前に、お名前を入力し、カメラやマイクをオン/オフして参加するか選択できます。

オンライン会議の録画を希望する場合、事前に通知し、同意を求めます（GDPR第6条第1項(a)）。録画が開始されると、全参加者にシステム通知が届き、録画への同意が可能です。同意は当該会議にのみ有効であり、常に任意です。同意の拒否または撤回は、いかなる不利益も生じません。録画は、従業員や外部関係者向けの情報提供、研修、記録目的などで利用されます。

録画に加え、会議の記録、業務効率化、または欠席した同僚向けとして、会議内容を自動文字起こしする機能があります。会議で文字起こし機能が有効化される場合、事前に通知し同意を求めます（GDPR第6条第1項(a)）。同意は当該会議にのみ適用され、常に任意であり、同意の拒否または撤回による不利益はありません。文字起こしは人工知能を活用して作成されます。

音声認識技術により会議の全発言を記録し、文字起こし文書にまとめます。このため、ご発言は一時的に録音され、会議終了後速やかに削除されます。マイクロソフトは音声記録にアクセスできません。会議終了後、会議主催者は議事録にアクセス可能となり、他の参加者へのアクセス権限を管理できます。

録音または文字起こしに同意されない場合、カメラやマイクを無効化するか、会議を退出することで、いつでも同意を撤回できます。撤回は将来に向けてのみ適用されます。

当然ながら、適切なデータ保護水準を確保しております。マイクロソフトはEU-米国データプライバシー枠組みの認証を取得しており、必要に応じて標準契約条項が適用されます。

4. データ受領者およびEU/EEA域外サービスプロバイダーの関与

A) SupplyOn自社目的の場合

ユーザーとしてのお客様の個人データは、特定のSupplyOnサービス利用に関連してサービスプロバイダーに提供される場合があります。これらのサービスプロバイダーは、GDPR第28条に基づく委託処理契約の枠組み内で当社の指示に厳密に従って行動し、お客様の個人データはGDPR第6条第1項に基づく法的根拠に基づき提供されます。サポートを提供するサービスプロバイダーの本社がEU/EEA域外にある場合、当社は適切な保証手段（例：GDPR第46条第2項c号に基づくEU標準契約条項）によりデータ移転の合法性を確保しています

B) 買い手代理としての処理

バイヤーに代わってSupplyOnサービス（委託SaaSサービスとして）を提供するにあたり、SupplyOnはお客様の個人データの主な受領者となります。

バイヤーからの文書による指示がない限り、関連する法的規定に基づく法的義務がない限り、SupplyOnはお客様の個人データを第三者に提供することはありません。

お客様の個人データは、契約の範囲に応じて、SupplyOnサービスの範囲内で外部サービスプロバイダー（ビジネスパートナーおよびその他の下請業者）に提供されます。これらのサービスプロバイダーは、委託データ処理契約の範囲内でデータ処理を支援し、GDPR第28条に基づく指示に厳格に拘束されます。サービス提供者がEU/EEA域外に所在する場合、SupplyOnは適切な保証手段（例：GDPR第46条2項c号に基づくEU標準契約条項）によりデータ移転の合法性を確保しています。ご要望に応じて、該当するサービス提供者の一覧を提供いたします。

5. データ消去の基準

A) SupplyOn自身の目的の場合

SupplyOnサービスに関する情報受信に関する同意が制限または完全に取り消された時点で、SupplyOnはユーザーの個人データの利用を制限します。

さらに、SupplyOnは契約処理の目的でユーザーの個人データを処理する場合、当該契約関係が存続する期間に限り処理します。

さらに、ユーザー登録が解除された時点（例：SupplyOnと勤務先企業間の契約終了時）には、SupplyOnサービスに関する情報提供目的で使用されていた個人データを削除します。

ただし、SupplyOnに法的保存義務が存在し削除が妨げられる場合はこの限りではありません。この場合、削除に代えて処理の制限が行われます。

B) バイヤーの委託による処理

バイヤーの指示に基づき、またSupplyOnとバイヤーまたは該当サプライヤーとの契約終了時に、SupplyOnはユーザーの個人データを削除します。ただし、SupplyOnに当該データの保存を義務付ける法的義務が存在し、削除を妨げる場合は除きます。この場合、削除に代えて処理の制限が行われます。

6. 既存の権利：アクセス、訂正、消去、制限、異議申立て、データポータビリティ、監督当局への苦情申立て

お客様のデータ処理について具体的にどの会社が責任を負うかに関わらず、データ主体としてお客様には様々な権利が認められており、以下に説明します。

データ主体は、管理者から自身に関する個人データについて通知を受ける権利、およびGDPR第17条に規定される理由（例：目的達成のためにデータが不要となった場合）が適用される場合には、不正確なデータの訂正または削除を求める権利を有します。また、GDPR第18条に規定される条件のいずれかが満たされる場合には処理の制限を求める権利、およびGDPR第20条に規定される場合にはデータ移転を求める権利を有します。データが第6条第1項e号（公的任務の履行または公共の利益の保護のためのデータ処理）またはf号（正当な利益の追求のためのデータ処理）に基づき収集された場合、データ主体は自身の特定の状況に起因する理由により、いつでも処理に異議を申し立てる権利を有します。この場合、データ主体の利益、権利及び自由を上回る、保護に値する処理の正当な理由が確認できる場合、または法的請求権の主張、行使、防御に処理が寄与する場合を除き、当社は個人データの処理を中止します。

さらに、データ主体は、自己に関するデータの処理がデータ保護規定に違反すると考える場合、監督当局に苦情を申し立てる権利を有します。特に、不服申立ての権利は、データ主体が居住する加盟国、または違反が疑われる行為が行われた加盟国の監督当局に対して行使できます。SupplyOnの管轄監督機関は、Bayerisches Landesamt für Datenschutzaufsicht（住所：Promenade 27 (Schloss), 91522 Ansbach, Germany）です。

データ主体としての権利を行使するには、該当する管理者にお問い合わせください。喜んでご支援いたします！連絡先に関する必要な情報は、本文書の「管理者のデータ保護責任者連絡先」セクションに記載されています。

7. 個人データ提供の拒否による影響

お客様の個人データ処理を担当する会社がどこであるかにかかわらず、以下の事項が適用されます：

お客様の個人データの開示は、法律上も契約上も義務付けられておらず、契約締結のために必要でもありません。SupplyOnサービスのユーザーとして、個人データを提供する義務はありません。個人データを提供しない場合の結果として、SupplyOnサービスへの登録および利用ができません。