個人情報保護方針

基本理念

株式会社LIFE PEPPER（以下、当社）は、「0 Borders ∞ Values」をミッションに置き、「全員経営者組織で、世界中の埋もれた価値を発掘し、世の中の可能性を最大化する」ことを理念とし、事業を行っています。

当社の事業の中で取り扱う、お客様の情報をはじめとする情報資産は、当社の経営基盤として極めて重要なものです。

漏洩、き損、滅失等のリスクから、情報資産を保護することの重要性を認識した役員や従業員を含めた、情報資産を扱う者が本方針を遵守し、情報資産の機密性、完全性、可用性といった情報セキュリティを維持するための活動を実践します。

基本方針

1. 情報資産を保護するために、情報セキュリティ方針ならびに、それにまつわる規程類を策定し、これに従って業務を行うとともに、情報セキュリティに関連する法令、規制その他の規範、及び、お客様との契約事項を遵守いたします。

2. 情報資産に対して存在する漏洩、き損、滅失等のリスクを分析、評価するための基準を明確にし、体系的なリスクアセスメント方法を確立するとともに、定期的にリスクアセスメントを実施いたします。また、その結果に基づき、必要かつ適切なセキュリティ対策を実施いたします。

3. 担当役員を中心とした情報セキュリティ体制を確立するとともに、情報セキュリティに関する権限および責任を明確にいたします。また、すべての従業者が、情報セキュリティの重要性を認識し、情報資産の適切な取り扱いを確実にするために、定期的に教育、訓練および啓発を行います。

4. 情報セキュリティポリシーの遵守状況及び情報資産の取扱いについて、定期的に点検及び監査を行い、発見された不備や改善項目については、速やかに是正処置を講じます。

5. 情報セキュリティ上のイベントやインシデントの発生に対する適切な処置を講じるとともに、万一それらが発生した場合に際して、あらかじめ、被害を最小限に留めるための対応手順を確立し、有事の際には、速やかに対応するとともに、適切な是正処置を講じます。また、特に、業務中断に関わるようなインシデントについては、その管理の枠組みを確立し、定期的に見直しを行うことにより、当社の事業継続を確実にいたします。

6. 基本理念を実現するための目標を定めた情報セキュリティマネジメントシステムを確立し、これを実行するとともに、継続的に見直し、改善を行います。

2022年10月7日 制定
株式会社LIFE PEPPER
代表取締役　斉藤 諒

個人情報保護方針

第一条（目的）

本規程は、当社（当社の役員、従業者を含む。以下同じ。）が、「法」（第２条第18号に定義する法をいう。）、「政令」（第２条第19号に定義する政令をいう。）、「規則」（第２条第20号に定義する規則をいう。）、「ガイドライン」（第２条第21号に規定するガイドラインをいう。）及び「補完的ルール」（第２条第22号に定義する補完的ルールをいう。）に基づき、当社の取り扱う個人データ（第２条第６号に定義する個人データをいう。）の適正な取扱いを確保するために定めるものである。

第二条（定義）

この規程において、次に掲げる用語の意義は、それぞれ当該各号に定めるところによる。

1. 「個人情報」とは、生存する個人に関する情報であって、次のいずれかに該当するものをいう。
   1. 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
   2. 個人識別符号が含まれるもの
2. 「個人識別符号」とは、次のいずれかに該当する文字、番号、記号その他の符号のうち、法（法が委任する政令及び規則を含む。）において定めるものをいう。
   1. 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
   2. 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

3. 「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして法（法が委任する政令及び規則を含む。）で定める記述等が含まれる個人情報をいう。なお、当社が、EU域内から十分性認定に基づき提供を受けた個人データに、GDPRにおいて「特別の種類の個人データ」(special categories of Personal Data)と定義されている、性生活、性的指向又は労働組合に関する情報が含まれている場合には、当該清報につぃて要配慮個人情帳として取り扱うものとする。
4. 「個人情報データベース等」とは、（ⅰ）特定の個人情報をコンピュータ等を用いて検索できるように体系的に構成したもの及び（ⅱ）これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいい、利用方法からみて個人の権利利益を害するおそれが少ないものとして次のいずれにも該当するものを除く。
   1. 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
   2. 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
   3. 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
   4. 「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
5. 国の機関
   1. 地方公共団体
   2. 独立行政法人等（独立行政法人通則法第２条第１項に規定する独立行政法人その他の法に定める独立行政法人等をいう。）
   3. 地方独立行政法人（地方独立行政法人法（平成15年法律第118号）第２条第１項に規定する地方独立行政法人をいう。）
6. 「個人データ」とは、個人情報のうち、個人情報データベース等を構成するものをいう。
7. 「保有個人データ」とは、当社が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことができる権限を有する個人データであって、以下のものを除く。
   1. 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
   2. 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
   3. 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
   4. 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
8. 「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報（法に規定する仮名加工情報をいう。）及び匿名加工情報（法に規定する匿名加工情報をいう。）のいずれにも該当しないものをいう。
9. 「個人関連情報データベース等」とは、①「個人関連情報」を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの、または、②これに含まれる「個人関連情報」を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものをいう。
10. 「個人関連情報取扱事業者」とは、「個人関連情報データベース等」を事業の用に供している者で、国、地方公共団体、独立行政法人等、地方独立行政法人を除いたものをいう。
11. 個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。
12. 「従業者」とは、当社の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
13. 「個人情報保護責任者」とは、当社の個人データの管理に関する責任を担う者をいう。
14. 「部門責任者」とは、各部門における個人データの管理に関する責任を負う者をいう。
15. 「事務取扱担当者」とは、当社内において、個人データを取り扱う事務に従事する者をいう。
16. 「管理区域」とは、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域をいう。
17. 「取扱区域」とは、個人データを取り扱う事務を実施する区域をいう。
18. 「法」とは、個人情報の保護に関する法律（平成15年法律第57号）をいう。
19. 「政令」とは、個人情報の保護に関する法律施行令（平成15年政令第507号）をいう。
20. 「規則」とは、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第３号）をいう。
21. 「ガイドライン」とは、「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年個人情報保護委員会告示第６号）、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成28年個人情報保護委員会告示第７号）及び「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成28年個人情報保護委員会告示第８号）を総称したものをいう。
22. 「補完的ルール」とは、「個人情報の保護に関する法律に係るＥＵ及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」（平成３０年個人情報保護委員会告示第４号）を総称したものをいう。
23. 「EU」とは、欧州連合加盟国及び欧州経済領域（EEA: European Economic Area）協定に基づきアイスランド、リヒテンシュタイン及びノルウェーを含む、欧州連合（European Union）をいう。
24. 「GDPR」とは、個人データの取扱いに係る自然人の保護及び当該データの自由な移転並びに指令 95/46/EC の廃止に関する欧州議会及び欧州理事会規則（一般データ保護規則）（REGULATION OF THE EUROPEAN PARLIAMENT AND OFTHE COUNCIL on the protection of natural persons with regard tothe processing of personal data and on the free movement of suchdata, and repealing Directive 95/46/EC（General Data Protection Regulation））をいう。
25. 「英国GDPR」とは、個人データの取扱いに係る自然人の保護及び当該データの自由な移転に関する 2016 年４月 27 日欧州議会及び欧州理事会規則（英国一般データ保護規則）（REGULATION OF THE EUROPEAN PARLIAMENT ANDOF THE COUNCIL on the protection of natural persons with regard to the processing of personal data and on the free movement of such data（United Kingdom General Data Protection Regulation））をいう。
26. 「十分性認定」とは、ＧＤＰＲ第 45 条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定及び英国においてこれに相当する決定をいう。

第2章　安全管理措置

第三条（個人情報保護責任者等）

1. 情報システム部を当社における個人データの取扱いに関する責任部署とする。
2. 当社に、個人情報保護責任者１人を置く。
3. 個人情報保護責任者には、情報システム部部長をもってこれに充てるものとする。
4. 部門責任者には、個人データを取り扱う各部における部長がその任にあたる。

第四条（個人情報保護責任者等の任務）

1. 個人情報保護責任者は、当社における個人情報の取得及び個人データの保護管理に関する業務を統括するとともに、本規程に定められた事項を理解し、遵守するとともに、事務取扱担当者にこれを理解させ、遵守させるための教育訓練、安全対策の実施並びに周知徹底等の措置を実施する責任を負う。
2. 個人情報保護責任者は、次の業務を所掌する。
   1. 本規程及び委託先の選定基準の承認及び周知
   2. 個人データの安全管理に関する教育・研修の企画・実施
   3. 管理区域及び取扱区域の設定
   4. 委託先における個人データの取扱状況等の監督
   5. その他当社における個人データの安全管理に関すること
3. 部門責任者である各部門における部長は、当該門における個人情報の取得及び個人データを適切に管理する任に当たり、個人データの適切な管理のために必要な措置を講じ、個人データの安全確保に努める責任を負う。
4. 個人情報保護責任者は、法令遵守の観点から、各部門の部門責任者に対して指導、助言する。

第五条（事務取扱担当者等の監督）

1. 個人情報保護責任者は、個人データが本規程に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行うものとする。
2. 各部門の部門責任者は、当該各部門の事務取扱担当者に対して必要かつ適切な監督を行い、個人情報保護責任者に対して必要な報告を行う。

第六条（事務取扱担当者の責務）

1. 事務取扱担当者は、当社の個人データの取扱い又は委託処理等、個人データを取扱う業務に従事する際、法、政令及び規則並びにその他の関連法令、ガイドライン、本規程及びその他の社内規程並びに個人情報保護責任者の指示した事項に従い、個人データの保護に十分な注意を払ってその業務を行うものとする。
2. 事務取扱担当者は、個人情報の漏えい等、法、政令及び規則又はその他の関連法令、ガイドライン、本規程又はその他の社内規程に違反している事実又は兆候を把握した場合、速やかに所属部門の部門責任者又は個人情報保護責任者に報告するものとする。所属部門の事務取扱担当者から、当該報告を受けた部門責任者は速やかに個人情報保護責任者に報告するものとする。

第七条（本規程に基づく運用状況）

事務取扱担当者の個人データの取り扱いは、別紙１に従う。

第八条（取扱状況の確認）

事務取扱担当者は、個人情報データベース等の取扱状況を確認するための手段として、「情報資産管理台帳」に以下の事項を記録するものとする。なお、情報資産管理台帳には、個人データ自体は記載しないものとする。

1. 個人情報データベース等の種類、名称
2. 利用目的
3. 記録媒体
4. 保管場所（管理区域）
5. 責任者
6. 取扱部署
7. 事務取扱担当者（アクセス権者）
8. 保存期間
9. 削除・廃棄方法

第九条（情報漏えい事態への対応）

個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の事態が発生した場合の対応は、法に基づき、別途定めるハンドブックに定めるところによる。

第十条（苦情への対応）

事務取扱担当者は、法、ガイドライン又は本規程に関し、本人から苦情の申出を受けた場合には、その旨を部門責任者に報告する。報告を受けた部門責任者は、適切に対応するものとする。

第十一条（取扱状況の確認並びに安全管理措置の見直し）

1. 個人情報保護責任者は、１年に１回以上の頻度で又は臨時に第７条に規定する個人データの運用状況の記録及び第８条に規定する個人情報データベース等の取扱状況の確認を実施しなければならない。
2. 個人情報保護責任者は、前項の確認の結果及び次条の監査の結果に基づき、安全管理措置の評価、見直し及び改善に取り組むものとする。

第十二条（監査）

情報システム部部長は、１年に１回以上、当社の個人データの適正な取扱いその他法令及び本規程の遵守状況について検証し、その改善を個人情報保護責任者及び各部の部門責任者に促す。

第十三条（教育・研修）

1. 個人情報保護責任者は、本規程に定められた事項を理解し、遵守するとともに、従業者に本規程を遵守させるための教育訓練を企画・運営する責任を負う。
2. 従業者は、個人情報保護責任者が主催する本規程を遵守させるための教育を受けなければならない。研修の内容及びスケジュールは、事業年度毎に個人情報保護責任者が定める。
3. 当社は、個人データについての秘密保持に関する事項を就業規則に盛り込むものとする。

第十四条（個人データを取り扱う区域の管理）

当社は管理区域及び取扱区域を明確にし、それぞれの区域に対し、次の各号に従い以下の措置を講じる。

1. 管理区域
   入退室管理及び管理区域へ持ち込む機器及び電子媒体等の制限を行うものとする。

2. 取扱区域
   可能な限り壁又は間仕切り等の設置をしたり、事務取扱担当者以外の者の往来が少ない場所への座席配置や、後ろから覗き見される可能性が低い場所への座席配置等をするなど座席配置を工夫等をすることにより、権限を有しない者による個人データの閲覧等を防止する。

第十五条（機器及び電子媒体等の盗難等の防止）

当社は管理区域及び取扱区域における個人データを取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。

1. 個人データを取扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管する。
2. 個人データを取扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定する。

第十六条（電子媒体等を持ち運ぶ場合の漏えい等の防止）

電子媒体等を持ち運ぶ場合の漏えい等の防止は、別紙２に従う。

第十七条（個人データの削除及び機器、電子媒体等の廃棄）

1. 各部門の事務取扱担当者が個人データを削除し、又は、個人データが記録された機器、電子媒体等を廃棄する場合は、事前に各部門の部門責任者に削除又は廃棄するものの内容、方法等を確認の上、削除又は廃棄を行う。
2. 各部門の部門責任者は、各部門の事務取扱担当者から確認を求められた内容及び方法により削除または廃棄されたことを確認する。

第十八条（アクセス制御等）

個人データへの不要なアクセスの防止、個人情報データベース等を取り扱う情報システムを使用する従業者の識別・認証等の、アクセス制御等に関する対応は、別紙３に従う。

第十九条（外部からの不正アクセス等の防止）

当社は、以下の各方法により、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するものとする。

1. 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する方法。
2. 機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする方法。

第二十条（情報システムの使用に伴う漏えい等の防止）

当社は、情報システムの使用に伴う個人データの漏えい等を防止するため、移送する個人データについて、パスワード等による保護を行う。

第3章　個人情報の取扱い

第二十一条（利用目的の特定）

1. 当社は、個人情報の保有に当たっては、業務を遂行するため必要な場合に限り、かつ、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
2. 当社は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

第二十二条（利用目的による制限）

1. 当社は、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を保有してはならない。
2. 当社は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
3. 前二項の規定は、次に掲げる場合については、適用しない。
   1. 法令に基づく場合
   2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
   3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
   4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（EU又は英国域内から十分性認定に基づき移転を受けた個人データについての利用目的の特定・制限）

第二十三条

当社は、第29条第10項又は第11項に基づき、EU又は英国域内から当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録した当該個人データについては、当初又はその後提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用するものとする。

第二十四条（利用目的の通知等）

1. 当社は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表するものとする。
2. 前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示するものとする。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
3. 当社は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
4. 前三項の規定は、次に掲げる場合については、適用しない。
   1. 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
   2. 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
   3. 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき
   4. 取得の状況からみて利用目的が明らかであると認められる場合

第二十五条（不適正な利用の禁止）

当社は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならないものとする。

第二十六条（適正な取得）

1. 当社は、偽りその他不正な手段により個人情報を取得しないものとする。
2. 当社は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
   1. 法令に基づく場合
   2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
   3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
   4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
   5. 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関、報道機関、著述を業として行う者、宗教団体若しくは政治団体、外国政府、外国の政府機関、外国の地方公共団体又は国際機関、外国における学術研究機関、報道機関、著述を業として行う者、宗教団体若しくは政治団体に相当する者により法において認められる範囲内で公開されている場合
   6. 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
   7. 法第23条第５項各号において、個人データである要配慮個人情報の提供を受けるとき

第二十七条（データ内容の正確性の確保等）

当社は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

第二十八条（第三者提供の制）

1. 当社は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
   1. 法令に基づく場合
   2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
   3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
   4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
2. 当社は、第三者に提供される個人データ（要配慮個人情報、第26条第１項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者から法に基づき本項の方法により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、規則に定める所定の方法により、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
   1. 当社の名称、住所及び代表者の氏名
   2. 第三者への提供を利用目的とすること
   3. 第三者に提供される個人データの項目
   4. 第三者に提供される個人データの取得方法
   5. 第三者への提供の方法
   6. 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
   7. 本人の求めを受け付ける方法
   8. 第三者に提供される個人データの更新の方法
   9. 当該届出に係る個人データの第三者への提供を開始する予定日
3. 当社は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号乃至第９号に掲げる事項を変更しようとするときはあらかじめ、その旨について、規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
4. 個人情報取扱事業者は、第２項の規定による届出があったときは、規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届け出があった場合も、同様とする。
5. 次に掲げる場合において、当該個人データの提供を受ける者は、第１項の規定の適用については、第三者に該当しないものとする。
   1. 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
   2. 合併その他の事由による事業の承継に伴って個人データが提供される場合
   3. 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき
   4. 当社は、前項第３号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する者の利用目的又は当該責任を有する者を変更しようとするときあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

第二十九条（外国にある第三者への提供の制限）

1. 前条にかかわらず、当社が外国（本邦の域外にある国又は地域をいう。以下同じ。）にある第三者に個人データを提供する場合は、前条第１項各号に該当する場合を除き、あらかじめ当該外国の第三者への提供を認める旨の本人同意を得なければならない。この場合、あらかじめ本人に対し、①当該外国の名称、②適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報、及び③当該第三者が講ずる個人情報の保護のための措置に関する情報を提供しなければならない。
2. 前項にかかわらず、当社が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定める外国にある第三者に個人データを提供する場合には、前条を適用するものとする。
3. 第１項及び前項にかかわらず、外国にある事業者が適切かつ合理的な方法により、法第４章第２節の規定の趣旨に沿った措置（以下「相当措置」という。）を講じている場合であって、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供することとされている場合には、前条を適用するものとする。
4. 前項における「適切かつ合理的な方法」、「相当措置」、「第三者による相当措置の継続的な実施を確保するために必要な措置」、及び「本人の求めに応じて当該必要な措置に関する情報」は、別紙４に規定するところに従う。

第二十九条（第三者提供をする際の記録）

1. 当社は、個人データを第三者に提供したときは、第三者提供に係る記録を作成しなければならない。ただし、当該個人データの提供が第28条第１項各号に該当する場合又は同条５項各号のいずれかに該当する場合は、この限りでない。
2. 第三者に個人データの提供をする場合の記録の作成方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法によるものとする。
3. 前項の記録は、次項又は第５項に該当する場合を除き、第三者に個人データの提供をした都度、速やかに作成しなければならない。
4. 第２項の記録は、当該第三者に対し継続的に若しくは反復して個人データの提供（第28条第２項の規定による提供を除く）をしたとき、又は当該第三者に対し継続的に若しくは反復して個人データを提供することが確実であると見込まれるときの記録は、一括して作成することができる。
5. 第２項の記録は、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に記録すべき事項が記載されているときは、当該書面をもって第三者から個人データの提供を受けたときの記録に代えることができる。
6. 第28条第２項から第５項までに基づき個人データを第三者に提供した場合は以下の事項を記録するものとする。
   1. 当該個人データを提供した年月日
   2. 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）
   3. 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
   4. 当該個人データの項目
7. 第28条第１項又は前条に基づく本人の同意を得て個人データを第三者に提供した場合は以下の事項を記録するものとする。
   1. 本人の同意を得ている旨
   2. 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）
   3. 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
   4. 当該個人データの項目
8. 第６条及び前項の記載事項のうち、第２項から第５項までの方法により作成した記録（保存している場合に限る。）に記録されている事項と内容が同一であるものについては、当該事項の記録を省略することができる。
9. 当社は、第６項から前項までの規定により作成した記録を、以下の場合に応じて、当該記録を作成した日から所定の期間保存するものとする。

第三十一条（第三者提供を受ける際の確認及び記録）

1. 当社は、第三者から個人データの提供を受けるに際しては、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第28条第１項各号に該当する場合又は同条５項各号のいずれかに該当する場合は、この限りでない。
   1. 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
   2. 当該第三者による当該個人データの取得の経緯
2. 当社が、第三者から個人データの提供を受ける際の確認を行う方法は、確認を行う事項の区分に応じて、それぞれ次のとおりとする。

1. 前項にかかわらず、第三者から他の個人データの提供を受けるに際して前項の方法による確認（当該確認について記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う場合は、当該事項の内容と当該提供に係る確認事項の内容が同一であることの確認を行う方法によるものとする。
2. 当社は、前３項に基づく確認を行ったときは、以下の区分に応じて以下の事項を記録しなければならない。
   1. 第28条第２項から第５項までの方法により個人データの提供を受けた場合
      1. 個人データの提供を受けた年月日
      2. 当該第三者の氏名又は名称
      3. 当該第三者の住所
      4. 当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
      5. 当該第三者による当該個人データの取得の経緯
      6. 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
      7. 当該個人データの項目
      8. 法に基づき個人情報保護委員会による公表がされている旨
   2. 第28条第１項又は第29条第１項に基づく本人の同意を得て個人データの提供を受けた場合
      1. 本人の同意を得ている旨
      2. 当該第三者の氏名又は名称
      3. 当該第三者の住所
      4. 当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
      5. 当該第三者による当該個人データの取得の経緯
      6. 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
      7. 当該個人データの項目
   3. 個人情報取扱事業者ではない第三者から提供を受けた場合
      1. 当該第三者の氏名又は名称
      2. 当該第三者の住所
      3. 当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
      4. 当該第三者による当該個人データの取得の経緯
      5. 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
      6. 当該個人データの項目
3. 第１項各号の記載事項のうち、既に作成した記録（保存している場合に限る。）に記録されている事項と内容が同一であるものについては、当該事項の記録を省略することができる。
4. 第４項の記録は、次項又は第８項に該当する場合を除き、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。
5. 第４項の記録は、当該第三者から継続的に若しくは反復して個人データの提供（第28条第２項から第５項までの方法により個人データの提供を受けた場合を除く。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
6. 第４項の記録は、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に記録すべき事項が記載されているときは、当該書面をもって第三者から個人データの提供を受けたときの記録に代えることができる。
7. 当社は、第４項又第５項により作成した記録を、以下の場合に応じて、当該記録を作成した日から所定の期間保存するものとする。

1. 当社が、EU又は英国域内から十分性認定に基づき個人データの提供を受ける場合においては、第4項第1号⑤、第2号⑤又は第3号④に規定する「当該第三者による当該個人データの取得の経緯」に関しては、EU又は英国域内から当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
2. 当社が、EU又は英国域内から十分性認定に基づき個人データの提供を受けた他の個人情報取扱事業者から、当該個人データの提供を受ける場合は、第４条第１号⑤、第２号⑤又は第３号④に規定する「当該第三者による当該個人データの取得の経緯」に関しては、当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。

第三十二条（個人関連情報取扱事業者から個人関連情報を個人データとして取得することが想定される場合）

1. 当社は、個人関連情報取扱事業者から提供を受ける個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定される場合は、第28条第１項各号に掲げる場合を除き、当該個人データに関して識別される本人から、当該個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の同意を取得するものとする。
2. 当社は、偽りその他不正の手段により、個人関連情報を個人データとして取得してはならない。
3. 前項の本人の同意の取得は、本人から同意する旨を示した書面や電子メールを受領する方法、確認欄へのチェックを求める方法によるものとする。ウェブサイト上で同意を取得する場合は、単にウェブサイト上に本人に示すべき事項を記載するのみでは足りず、それらの事項を示した上でウェブサイト上のボタンのクリックを求める方法等によるものとする。
4. 当社は、個人関連情報の提供元である個人関連情報取扱事業者から第１項の同意を取得したことの確認が求められた場合は、口頭、書面その他適切な方法で申告するものとする。この場合、当社は、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならないものとする。
5. 当社は、個人関連情報の提供を受けて個人データとして取得する際は、「当該第三者（提供元の個人関連情報取扱事業者）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」を確認しなければならない。確認方法は、提供元の個人関連情報取扱事業者から申告を受ける方法その他の適切な方法によるものとする。既に当該確認方法により確認を行い、次項に規定する方法により作成し、かつ、その時点において記録している記録に記録された事項と同一であるものについては、当該事項の確認を省略することができる。
6. 個人情報取扱事業者である提供先の第三者は、第１項の規定による個人関連情報の提供（第28条第１項各号に該当する場合を除く。）を受けて個人データとして取得する場合は、以下のとおり記録するものとする。
   1. 記録をする媒体
      個人情報取扱事業者である提供先の第三者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
   2. 記録を作成する方法
      1. 原則
         原則として、個人関連情報の提供を受けて個人データとして取得する都度、速やかに、記録を作成しなければならない。
      2. 一括して記録を作成する場合
         一定の期間内に特定の事業者から継続的に又は反復して個人関連情報の提供を受けて個人データとして取得する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。
      3. 契約書等の代替手段による方法
         本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報の提供を受けて個人データとして取得する場合は、当該契約書その他の書面をもって記録とすることができる。
   3. 記録事項
      1. 本人の同意が得られている旨
      2. 当該第三者の氏名又は名称及び住所並びに法人の場合は、その代表者の氏名
      3. 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
      4. 当該個人関連情報の項目
   4. 記録事項の省略
      上記（２）の方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
7. 前項により作成した記録の保存期間は以下のとおりとする。

第4章　保有個人データの開示等の請求等及び苦情処理

第三十三条（個人情報保護窓口の設置等）

1. 保有個人データの開示請求、訂正請求、利用停止請求及びその他相談等に対応する窓口として、個人情報保護相談窓口（以下「相談窓口」という。）を情報セキュリティ部に置き、当社における個人情報の取扱い等に係る相談等の受付及び事務を行うものとする。
2. 相談窓口の住所、電話番号、受付時間は以下のとおりとする。
   1. 住所
      〒104-0045
      東京都中央区築地3-1-10
      Shinto GINZA EAST 6F
      株式会社LIFE PEPPER　個人情報保護相談窓口
   2. 問い合わせ方法
      下記問い合わせフォームからの請求
      https://lifepepper.co.jp/about/contact/contact7/
   3. 受付時間
      月曜～金曜（祝日、年末年始は除く）
      ９時30分～12時、13時～16時30分

第三十四条（保有個人データに関する事項の公表等）

1. 当社は、保有個人データに関し、次に掲げる事項について、「個人情報保護基本方針」と一体としてインターネットのホームページでの常時掲載を行うこと（第３号については、「保有個人データの開示等の請求手続」としてホームページに掲載する。）、又は事務所の窓口等での掲示・備付け等を行うこととする。
   1. 当社の名称、住所及び代表者の氏名
   2. 全ての保有個人データの利用目的（第24条第４項第１号から第３号までに該当する場合を除く。）
   3. 利用通知の求め（次項）又は開示請求（次条第１項、同条第５項において準用する場合を含む。）、訂正等の請求（第36条１項）、利用停止等の請求（第36条第１項、第２項、第４項）に応じる手続（手数料の額を含む。）
   4. 保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
   5. 当社が行う保有個人データの取扱いに関する苦情の申出先
2. 当社は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知するものとする。ただし、次の各号のいずれかに該当する場合は、この限りでない。
   1. 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
   2. 第24条第４項第１号から第３号までに該当する場合
3. 当社は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。

第三十五条（保有個人データの開示）

1. 本人からの当該本人が識別される保有個人データ開示の請求の方法は、①電磁的記録の提供による方法、②書面の交付による方法、③その他当社が定める方法とする。
2. 当社は、本人から、当該本人が識別される保有個人データの開示に係る請求を受けたときは、当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示するものとする。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
   1. 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
   2. 当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合
   3. 他の法令に違反することとなる場合
3. 当社は、前項の規定に基づき求められた保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、又は第１項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知するものとする。この場合、当社は本人に対して、当該通知においてその理由を説明するものとする。
4. 他の法令の規定により、本人に対し第一項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の規定は、適用しない。
5. 第１項から第３項までの規定は、当該本人が識別される個人データに係る第30条第１項及び第30条第３項の記録（次の各号に掲げるものを除く。以下「第三者提供記録」という。）について準用する。
   1. 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
   2. 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
   3. 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
   4. 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

第三十六条（保有個人データの訂正等）

1. 当社は、当該本人が識別される保有個人データの内容が事実でないことを理由に当該本人から訂正、追加又は削除（以下「訂正等」という。）に係る請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行うものとする。
2. 当社は、前項の請求に係る保有個人データの内容の全部又は一部について訂正等を行ったとき、又は訂正等を行わない旨を決定したときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知するものとする。この場合、当社は本人に対して、当該通知においてその理由を説明するものとする。

第三十七条（保有個人データの利用停止等）

1. 当社は、本人から、当該本人が識別される保有個人データが、第23条の規定（利用目的による制限）に違反して取得されているという理由、第25条の規定（不適正な利用の禁止）、第26条（適正な取得）の規定に違反して取り扱われたものであるという理由によって、当該保有個人データの利用の停止、消去（以下、本条において「利用停止等」という。）に係る請求を受けた場合であって、利用停止等に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、保有個人データの利用停止等を行うものとする。ただし、利用停止等を行うことに多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、当該本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。
2. 当社は、本人から、当該本人が識別される保有個人データが第28条第１項又は第29条の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止に係る請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの提供を停止するものとする。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
3. 当社は、第一項の規定に基づき求められた保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。この場合、当社は本人に対して、当該通知においてその理由を説明するものとする。
4. ①当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、②当該が識別される保有個人データに係る第９条（情報漏えい事態への対応）に規定する事態のうち、法の規定に違反する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合であって、本人から当該保有個人データの利用停止等又は第三者への提供の停止に係る請求があった場合、これに応じるものとする。
5. 当社は、本人から前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行うものとする。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

第三十八条（開示等の請求等に応じる手続）

1. 当社は、利用通知の求め又は開示請求（第35条）、訂正等の請求（第36条１項）、利用停止等の請求（第37条第１項、第２項、第４項）（以下「開示等の請求等」という。）に関して、以下の手続のとおり応ずるものとする。
   1. 相談窓口への郵送
      本人に対して、第３３条２項に定める問い合わせフォームへの送信の後、以下のものを相談窓口宛に郵送することを求める。
      1. 「保有個人データ開示等請求書」（別紙５）
      2. 本人確認書類
      3. 手数料等相当分の郵便切手
   2. 本人確認手続・本人確認書類
      本人確認は以下の本人確認書類の写しを確認することによる。
      1. 運転免許証、パスポート、在留カード、特別永住者証明書、個人番号カード（個人番号の記載された面は送付しないことを求める。）等の官公庁が発行した顔写真付き本人確認書類の写し・・・１点の送付を求める
      2. 健康保険被保険者証、年金手帳等の官公庁が発行した顔写真のない本人確認書類の写し・・・２点の送付を求める
   3. 手数料等
      本人から開示等の請求等があった場合、１つの請求につき、次の手数料等を郵便切手により収受する（複数の請求が同時にある場合はその合計金額に相当する郵便切手を収受する。）。なお、開示等の請求等に応じられない場合も手数料等は返金しないものとする。郵便制度が変更された場合、下記の手数料等を変更するものとする。
      1. 開示請求（郵便による回答）
         １０００円
      2. 利用目的の通知、訂正等、利用停止等請求（郵便による回答）
         １０００円
   4. 代理人による開示等の請求等の場合
      開示等の請求等をする者が、未成年、成年被後見人等の本人の法定代理人、本人から委任を受けた本人が指定した任意代理人である場合、第２号に掲げる書類のほか、次の書類を郵送させるものとする。
      1. 代理権を確認するための書類
      2. ア　法定代理人の場合
         1. （ア）未成年の場合
            本人の戸籍抄本又は扶養家族が記入された保険証（写）
         2. （イ）成年被後見人の場合
            後見登記等に関する法律第10条に規定する登記証明事項
      3. イ　任意代理人の場合　　
         委任状（別紙６）及び本人の印鑑登録証明書
      4. 代理人の本人確認をするための本人確認書類
         代理人について第２号に掲げる本人確認書類を求める。

2. 当社は、開示等の請求等を受け付けたときは、当該受け付けをした日から起算して１週間以内に、請求に係る可否について決定する。
3. 当社は、開示等の請求等のあった保有個人データの利用目的の通知をする旨決定したとき又は全部又はその一部を除いた部分について開示、訂正等若しくは利用停止等若しくは第三者提供の停止をする旨決定したときは、請求者である本人又は代理人に対し、「保有個人データ開示等決定通知書」（別紙８）の送付により通知する。
4. 当社は、開示等の請求等のあった保有個人データの利用目的の通知をしない旨決定したとき又は全部について、開示、訂正等若しくは利用停止等若しくは第三者提供の停止をしない旨決定したときは、請求者である本人又は代理人に対し、「保有個人データ不開示等決定通知書」（別紙８）の送付により通知する。
5. 当社は、第３項の「保有個人データ開示等決定通知書」（別紙７）及び前項の「保有個人データ不開示等決定通知書」（別紙８）が請求者である本人又は代理人に対して２週間以内に送付するよう努めるものとする。

第三十九条（苦情処理）

1. 当社は、当社における保有個人データの取扱いに関する苦情の適切かつ迅速な処理に努めるものとする。
2. 苦情処理に関する当社の体制整備は、第10条に定めるところに従う。

第四十条（委託先における安全管理措置）

1. 当社は、個人データの全部又は一部の委託する場合には、当社自らが果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行うものとする。
2. 前項の「必要かつ適切な監督」には次に掲げる事項が含まれる。
   • （１）委託先の適切な選定
   • （２）委託先に安全管理措置を遵守させるために必要な契約の締結
   • （３）委託先における個人データの取扱状況の把握

3. 前項（１）の「委託先の適切な選定」に当たっては、委託先の安全管理措置が、少なくとも法第20条及び「個人情報の保護に関する法律についてのガイドライン（通則編）」で委託元に求められるものと同等であることを確認するため、同ガイドライン「8（（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。
4. 第２項（３）の「委託先における個人データの取扱状況の把握」については、委託契約の内容として、以下の規定等を盛り込むものとする。なお、外国にある第三者に委託をする場合には、別紙３（「適切かつ合理的な方法」及び「法第４章第２節の規定の趣旨に沿った措置」）に定める規定等も盛り込むものとする。
   • 秘密保持義務に関する規定
   • 事業所内からの個人データの持出しの禁止
   • 個人データの目的外利用の禁止
   • 再委託における条件
   • 漏えい事案等が発生した場合の委託先の責任に関する規定
   • 委託契約終了後の個人データの返却又は廃棄に関する規定
   • 従業者に対する監督・教育に関する規定
   • 契約内容の遵守状況について報告を求める規定
   • 個人データを取り扱う従業者の明確化に関する規定
   • 委託者が委託先に対して実地の調査を行うことができる規定

5. 当社は、委託先の管理については、情報システム部を責任部署とする。
6. 当社は、委託先において個人データの安全管理が適切に行われていることについて、１年に１回以上の頻度で及び必要に応じてモニタリングをするものとする。
7. 当社は、委託先において情報漏えい事故等が発生した場合に、適切な対応がなされ、速やかに当社に報告される体制になっていることを確認するものとする。
8. 委託先は、当社の許諾を得た場合に限り、委託を受けた個人データの全部又は一部を再委託することができるものとする。再委託先が更に再委託する場合も同様とする。
9. 当社は、再委託先の適否の判断のみならず、委託先が再委託先に対しても必要かつ適切な監督を行っているかどうかについても監督する。
10. 当社は、委託先が再委託をする場合、当該再委託契約の内容として、第４項と同等の規定等を盛り込ませるものとする。

第6章　雑則

第四十一条（規程の細目及び運用）

この規程の実施に必要な事項は、別に定める。

附　則

この規程は、令和3年4月1日から施行する。
令和3年4月1日制定

Privacy Policy for EU/EEA

LIFE PEPPER, Inc. (hereinafter referred to as the “LIFE PEPPER”) processes the personal data of its users to whom those regulations apply (hereinafter referred to as a “User”) in accordance with the applicable of European Union and European Union Member State’s regulations on data protection, in particular the General Data Protection Regulation 2016/679 (hereinafter referred to as the “GDPR”). This privacy policy (hereinafter referred to as this “Policy”) explains how LIFE PEPPER, as the data controller, processes User’s personal data.

Article 1 (What personal data LIFE PEPPER collect)

1. LIFE PEPPER will collect and process the following User’s personal data :
   • Personal data which you choose to provide to us through Our Services 
     • Profile Information: such as nationality, name, mailing address, company name, phone number, email address, login name, login passwords, identification information (such as ID number, driver’s license number), date of birth, gender, and photo
     • Information of Communication with us: such as information about the communications between you and us including your inquiry, compliments, and other contact to us 
   • Personal data collected as you use Our Services
     • Usage Information: such as access dates and times, pages viewed, apps and other system activity, type of browser. In some cases, LIFE PEPPER collect this information through cookies, beacons, tags, and similar technologies that create and maintain unique identifiers
     • Device Information: such as information about the devices you use to access Our Services, including the hardware models, device IP address, operating systems and versions, software, file names and versions, preferred languages, unique device identifiers, advertising identifiers, serial numbers, device motion information, and mobile network information
     • Communication Information: such as information about the communications between you and other users or third party through Our Services, such as texts, profiles, messages, photographs, graphics, images, icons, voice, video, and other information contents
     • Transaction Information: such as transaction details related to your use of Our Services, including the type of services you requested or provided, your order details, delivery information, date and time the service was provided, amount charged, and payment method
   • Personal data provided from third parties
     • Profile Information: such as nationality, name, mailing address, company name, phone number, email address, login name, login passwords, identification information (such as ID number, driver’s license number), date of birth, gender, and photo
     • LIFE PEPPER may collect information about you to be provided from third parties due to your consent.  For example, LIFE PEPPER may collect your account information of third-party’s service when you log in Our Services through such account, or LIFE PEPPER may collect and use your payment information when you pay fees for our chargeable service by using third-party’s payment service.  LIFE PEPPER may also collect and use information of how your usage activities on third-party’s services from marketing service providers.
     • In the event that LIFE PEPPER collect your Personal Data from a third party, LIFE PEPPER will notify you of the detail of the collected Personal Data and the detail of the third party.  Such notification will be made within 30 days from the date of the collection.
2. When the personal data is processed under the User’s consent, the User has the right to withdraw his/her consent at any time by notifying LIFE PEPPER. However, the User’s withdrawal of consent will not affect the legality of processing conducted based on the User’s consent before its withdrawal.
3. LIFE PEPPER neither obtain nor process any of the User’s personal data which is sensitive in nature, including religious beliefs and health status.
4. LIFE PEPPER does not conduct any solely data-based, automated decision-making that may produce any legal or similar material effect on the User.
5. LIFE PEPPER will notify the User separately if the provision of the User’s personal data is a statutory or contractual requirement, or a requirement necessary to enter into a contract, as well as the possible consequences of the failure to provide such data.

Article 2 (Purposes of use)

1. LIFE PEPPER process your Personal Data for the following purposes, to the extent applicable.
   • To provide Our Services
     • LIFE PEPPER process your Personal Data for providing you with Our Services.  For example, LIFE PEPPER collect your name, email address, and other information to create your account of Our Services, and LIFE PEPPER use your user ID and password to verify you as a user of Our Services.  If you use a chargeable service, LIFE PEPPER collect and use your payment information, such as banking account, credit card information, to charge you fees and other payment relating to Our Services.
   • To maintain and improve Our Services
     • LIFE PEPPER process your Personal Data for maintaining or improving Our Services.  For example, LIFE PEPPER collect and use information of trouble informed by you for tracking system failure and troubleshooting, or LIFE PEPPER collect and use your usage activity on Our Services for improving the functions of Our Services or develop more convenient for users.
   • To provide personalized services
     • LIFE PEPPER process your Personal Data for providing you with personalized services. For example, LIFE PEPPER provide recommendations or personalized content based on your activity on Our Services.
   • To develop new products or services
     • LIFE PEPPER process your Personal Data for developing new products or services.  For example, LIFE PEPPER collect and utilize information of how you use Our Services, inquiry from you, or questionnaire results for developing new products or services.
   • To provide ads
     • LIFE PEPPER process your Personal Data for showing advertisings.  LIFE PEPPER may also show you personalized ads based on your interests.  For example, LIFE PEPPER collect information of your browsing of other website and utilize it for showing advertisings which you might be interested in.  You can control what information LIFE PEPPER use to show you ads by settings.
     • -LIFE PEPPER don’t show you personalized ads based on Sensitive Personal Information.
     • -LIFE PEPPER don’t share information that personally identifies you with advertisers, such as your name or email, unless you ask us to.
   • To measure and analyze performance
     • LIFE PEPPER process your Personal Data for analyzing and measuring how our services are used.  For example, LIFE PEPPER measure and analyze your visits to and activity on Our Services for optimizing Our Services. LIFE PEPPER also use information of which ads you interact with for helping advertisers understand the performance or effectiveness of their ads.
   • To communicate with you
     • LIFE PEPPER process your Personal Data to communicate with you.  For example, LIFE PEPPER respond to inquiries from you or may send you a notification about Our Services by using contact information provided by you such as email address. In addition, if you contact us, LIFE PEPPER will keep a record of your request in order to help solve any issues you might be facing.
   • To protect us, our users, and the public
     • LIFE PEPPER may process your Personal Data to protect us, you or other users, or the public interest.  For example, LIFE PEPPER use your account ID and password for detecting, preventing unauthorized use of your account, fraud, abuse, or security risks. LIFE PEPPER may also use your Personal Data to investigate or address claims or disputes relating to Our Services.  
   • Other Purposes
     • LIFE PEPPER may process User Information for the purposes prescribed in Article 4.
2. If you do not provide us with your Personal Data which is necessary for complying with laws or performing the contract between you and us or entering into such contract (e.g., the information required to be entered by you on the user registration screen or on the order screen for a transaction through Our Service), your application for use of Our Service may not be accepted, or you may not be allowed to use part of Our Service.

Article 3 (Retention Period for Personal Data)

LIFE PEPPER will retain the User’s personal data for as long as necessary to fulfill the aforementioned purposes (prescribed in Article 2 of this Policy) for obtaining and processing the User’s personal data. Specific retention periods are decided based on the following considerations : (i) the purpose for obtaining and processing the personal data; (ii) the nature of the personal data; and (iii) the necessity of retaining the personal data for legal or business reasons.

Article 4 (The legal basis on which LIFE PEPPER process Personal Data)

LIFE PEPPER process your Personal Data based on a different legal basis depending on the nature of Personal Data and the type of processing involved.  LIFE PEPPER rely on the following legal bases (single or multiple) other than or in addition to your consent, insofar as it applies.

1. Performance of a Contract / Entry into a Contract
   • Some of Personal Data is processed on the basis that it is necessary for the performance of our agreement with you or for taking steps at your request prior to entering such an agreement.  For example, LIFE PEPPER need to request you to provide your email address, login name, login passwords to create your account for using Our Services in order to perform our obligation under service agreement with you.
2. Legitimate Interests
   • A second ground relied upon by us is that it is necessary for the purposes of legitimate interests pursued by us or a third party.  These legitimate interests include the operation of Our Services and our business, maintenance and improvement of Our Services, pursuit of the safety of Our Services, such as fraud detection and prevention, charging the payment regarding the chargeable services, providing ads of our services or products or ads of third-party’s services or products, provision of our advertising services to our clients as required by our agreements with them.  Further examples are shown in Article 2. LIFE PEPPER only rely on such a ground where such interests are not overridden by your interests or fundamental rights and freedoms.
3. Research or Statistics / Preparation of Historical Documents or Archives for Public Interest
   • A third ground relied upon by us is that it is necessary for research or statistics, or preparation of historical documents or archives for the public interest.  For example, LIFE PEPPER may create statistics relating to the business area to which our services belong for the purpose of our own or third-party’s marketing. LIFE PEPPER only rely on such a ground where the suitable measures to safeguard your rights and freedoms are taken in place and in accordance with applicable law.
4. Compliance with a Law
   • A fourth ground relied upon by us is that it is necessary for compliance with a legal obligation.  For example, LIFE PEPPER are required to retain records for fixed periods of time in order to comply with applicable laws.
5. Prevention of a Danger / Performance of a Task for Public Interest
   • In some rare cases, there may be necessity to prevent or suppress a danger to your or other persons’ life, body, or health, or LIFE PEPPER may need to perform a task for the public interest.

Article 5 (Sharing and Disclosure of Personal Data)

1. In accordance with the GDPR and for the purposes prescribed in this Policy, LIFE PEPPER shares and discloses the User’s personal data to the following third parties:
   • Our Affiliates
   • third-party service providers performing functions or services on our behalf, such as customer support, technical support, or customer management
   • third-party IT service providers, such as provider of data storage service or business communication platform service
   • third-party advertising service providers
2. Except for the recipients prescribed above, LIFE PEPPER will not disclose User’s personal data to any third party without your prior consent, except where LIFE PEPPER collected User’s personal data a based on any of the legal basis prescribed in Article 4.
3. As a result of the aforementioned sharing and disclosure, in some cases, the User’s personal data will be transferred to Japan, for the avoidance of doubt the European Commission declared that Japan is a country that ensures an adequate level of protection similar to GDPR (Article 45 (1) and (3) of the GDPR).

Article 6 (User’s Right)

1. The User has the following rights regarding personal data obtained and processed by LIFE PEPPER.
   • Obtaining information regarding the processing of data: The User has the right to obtain from LIFE PEPPER all the requisite information regarding LIFE PEPPER’s data processing activities that concern the User (Article 13 and Article 14 of the GDPR).
   • Access to personal data: The User has the right to obtain from LIFE PEPPER confirmation as to whether personal data concerning the User is being processed, and, if so, then accesses to the personal data and certain related information (Article 15 of the GDPR).
   • Rectification or erasure of personal data: The User has the right to have LIFE PEPPER rectify inaccurate personal data concerning the User without undue delay and the right to have LIFE PEPPER complete any incomplete personal data (Article 16 of the GDPR). Also, if certain conditions are satisfied, the User will have the right to have LIFE PEPPER delete personal data concerning the User without undue delay (Article 17 of the GDPR).
   • Restriction on processing of personal data: If certain conditions are satisfied, the User will have the right to have LIFE PEPPER restrict processing of personal data concerning the User (Article 18 of the GDPR).
   • Objection to the processing of personal data: If certain conditions are satisfied, the User will have the right to object to processing of personal data concerning the User (Article 21 of the GDPR). 
   • Data portability of personal data: If certain conditions are satisfied, the User will have the right to receive personal data concerning the User in a structured, commonly used, and machine-readable format and the right to transfer those data to another controller without hindrance from LIFE PEPPER (Article 20 of the GDPR).
   • Not to be subject to automated decision-making: If certain conditions are satisfied, the User will have the right not to be subject to solely data-based, automated decision-making (including profiling) that may produces any legal or similar material effect on the User (Article 22 of the GDPR).
2. If the User intends to exercise any of the aforementioned rights, please inquire using the contact details at the end of the Policy. LIFE PEPPER will provide information on action taken on an aforementioned request within one month of receipt of the request (which may be extended by two further months where necessary) or inform the reasons for not taking action within one month of receipt of the request.
3. The User can lodge a complaint in relation to LIFE PEPPER’s processing of the User’s personal data with the Data Protection Supervisory Authority of the Member State of the User’s habitual residence, place of work or place of the alleged infringement.

Article 7 (Amendment of Policy)

LIFE PEPPER may amend this Policy from time to time, and will contact the User through this website and by e-mail if necessary, when LIFE PEPPER makes any substantive or material amendments.

Article 8 (Inquiry)

1. For any questions, complaints or other inquiries regarding the handling of the User’s personal date, please contact the data controller or representative set out below: 

Data Controller

LIFE PEPPER, Inc.

Address : Shinto GINZA East 6F, 3-1-10 Tsukiji, Chuo-ku, Tokyo

Contact Form : https://lifepepper.co.jp/about/contact/contact7/

Tel: +81 3 6869 7976

Representative

Ryo Todokoro

Address : Shinto GINZA East 6F, 3-1-10 Tsukiji, Chuo-ku, Tokyo

Contact Form : https://lifepepper.co.jp/about/contact/contact7/

Tel: +81 3 6869 7976

2. We value your privacy and your rights as a data subject and have therefore appointed Prighter Group with its local partners as our privacy representative and your point of contact.

Prighter gives you an easy way to exercise your privacy-related rights (e.g. requests to access or erase personal data). 

If you want to contact us via our representative, 

Prighter or make use of your data subject rights, please visit the following website. 

https://www.prighter.com/q/13315663048