データプライバシーフレームワークに関する通知
更新日: 6/24, 2024
はじめに
このデータプライバシーフレームワーク通知（「通知」）では、Panopto, Inc.（「Panopto」）が米国商務省が定めるEU-米国データプライバシーフレームワーク（「EU-米国DPF」）、EU-米国DPFの英国拡張、およびスイス-米国データプライバシーフレームワーク（「スイス-米国DPF」）に準拠する方法について説明します。Panoptoは、EU-US DPFを信頼する欧州連合(「EU」)、EU-US DPFの英国拡張を信頼する英国およびジブラルタル(「UK」)、およびスイス-US DPFを信頼するスイスから受け取った個人データの処理に関して、EU-USデータプライバシーフレームワーク原則およびスイス-USデータプライバシーフレームワーク原則(総称して「DPF原則」)を遵守していることを米国商務省に認定しました。本通知の条項とDPF原則の間に矛盾がある場合は、DPF原則が優先されるものとします。データプライバシーフレームワーク(「DPF」)プログラムの詳細、およびDPF認証については、https://www.dataprivacyframework.gov/ をご覧ください。
DPF への準拠要件は、Panopto が顧客に代わってプロセッサーとして機能しているか、または独自のデータ処理のデータ コントローラーとして機能しているかによって異なるため、Panopto のポリシーと準拠方法については以下で個別に説明します。 これらの違いを念頭に置いて、本通知を確認してください。 以下に概説するとおり、Panopto が EU-US DPF に基づいて採用している慣行は、EU-US DPF の英国拡張に従って英国から米国に転送されるデータ、およびスイス-US DPF に従ってスイスから米国に転送されるデータにも適用されます。
データプロセッサとしてのパノプト
Panoptoが顧客に提供するサービスには、主に、インターネット経由でビデオ、音声、文書、その他のコンテンツを作成、管理、配信するためのツールを備えたビデオ共有プラットフォームが含まれます。 お客様は、独自の裁量で、承認されたユーザーにアカウントをプロビジョニングして Panopto のサービスへのアクセスを許可し、特定のユーザーがそのようなアクセスを許可されなくなった場合にアカウントを削除する責任を負います。 いずれの場合も、顧客はユーザーの個人データの管理者であり、Panopto は顧客の指示に従ってデータ処理活動を実行する処理者にすぎません。 この立場において、Panopto は顧客に代わって処理する個人データを所有または管理しません。 代わりに、そのようなデータはすべて Panopto の顧客が所有し、管理します。
Panoptoの顧客に代わって処理を開始する前に、 Panopto顧客 (データ管理者) と契約を締結し、顧客が適用されるデータ保護法に準拠することを保証します。 Panopto によって処理される個人データは、本契約、DPF、または適用されるデータ保護法によって許可または要求されている場合を除き、第三者に開示されることはありません。この契約では、Panopto が個人データを紛失、誤用、不正アクセス、開示、変更、破壊から保護するために適切なデータセキュリティ対策を講じて処理を実行することも規定されます。 Panopto は、顧客 (データ管理者) に代わって処理を行う者として、顧客から処理のために受け取った個人データに関して、データ管理者に適用されるその他の DPF 原則を適用する立場にはありません。
データコントローラーとしてのパノプト
Panopto は、個人が Panopto の Web サイトのいずれかを通じて直接提供した個人データと、情報プロバイダーを通じて取得した情報から、限定された個人データを収集します。 Panopto は、ヨーロッパ全域に所在する個人および企業に関する個人データを含むデータベースを開発および管理しています。 このデータは、要求された情報やコンテンツを提供するため、Panopto のサービスをマーケティングするため、およびその他の関連目的のために使用されます。 この立場において、Panopto は収集された個人データのデータ管理者として機能します。 データ管理者として、Panopto はすべての DPF 原則に準拠する必要があります。
お知らせ
Panoptoは、顧客に代わって処理者として、EU、英国、またはスイスから米国に個人情報を転送する前に、個人データが適用されるデータ保護法に従ってPanoptoに提供されたことを顧客（データ管理者）に契約で確認することを要求し、これにより、データ主体に個人データの使用方法に関する適切な通知が提供されることを保証します。 さらに、Panoptoは、Panopto認定ユーザープライバシーポリシーにおいて、プロセッサとして顧客から収集する個人データに関するプライバシー慣行についての通知を提供します。
Panoptoが管理者としてデータ主体から直接個人データを収集する場合、Panoptoは、Panoptoウェブサイト訪問者プライバシーポリシーにおいて、そのような個人データに関連するプライバシー慣行について通知します。
選択
Panopto が顧客の処理者としての役割で個人データを取得する場合、Panopto の顧客は、顧客の個人データの使用または開示に関して、関連する個人に特定の選択肢を提供する責任を負います。
Panopto が管理者として個人から個人データを収集する場合、その個人は、メールに記載されている登録解除手順に従って、Panopto からのマーケティング メールの受信をオプトアウトすることを選択できます。 さらに、個人は、 [email protected]に電子メールを送信して、Panopto のデータベースから個人データを削除するよう要求できます。
Panopto は、国家安全保障や法執行の要件を満たすための要求など、公的機関による合法的な要求に応じて個人情報を開示する必要がある場合があります。
転送先
Panopto は、第三者に開示または転送されるすべての個人データについて、上記の通知および選択の原則を遵守します。 Panopto は、第三者が DPF 原則に基づく Panopto の義務に準拠した方法で転送された個人データを効果的に処理することを保証するため、合理的かつ適切な措置を講じます。
Panopto (プロセッサーとして) が顧客に代わって顧客の指示に従ってサブプロセッサーにデータを送信する場合、顧客は転送のコンプライアンスを確保する責任を負います。Panopto (コントローラーとして) がプロセッサーを使用して、Panopto に代わってその指示に従って処理タスクを実行する場合、Panopto は、そのようなプロセッサーに次のいずれかを要求します。
- DPF(米国を拠点とする処理者の場合)、EU、英国、またはスイスで適用されるデータ保護法(EU/英国/スイスを拠点とする処理者の場合)、またはその他の妥当性認定(米国またはEU/英国/スイス以外の国の処理者の場合)に加入します。又は
- Panopto と書面による契約を締結し、限定された特定の目的にのみデータを処理し、Panopto が提供するのと同じレベルの保護を提供することを義務付けます。
第三者への転送の場合、Panopto は通常、DPF 原則に違反する当該当事者の行為に対して責任を負います。
セキュリティ
Panopto は、個人データの処理に伴うリスクと個人データの性質を十分に考慮し、個人データを紛失、誤用、不正アクセス、開示、変更、破壊から保護するために合理的かつ適切な措置を講じます。 実際の、または潜在的なセキュリティ侵害、またはセキュリティに関するその他の問い合わせは 、[email protected]に報告する必要があります。
データの整合性
Panopto は、処理する個人データを特定の処理の目的に関連するものに限定します。 Panopto は、個人データが収集された目的、またはその後関連する個人によって承認された目的と矛盾する方法で個人データを処理することはありません。 さらに、これらの目的に必要な範囲で、処理者または管理者としての役割に従って、Panopto は、処理する個人データが意図された用途に対して信頼性があり、正確、完全、最新であることを保証するために合理的な措置を講じます。 この点に関して、Panopto は、顧客（Panopto と直接関係のない個人の個人データに関して）が、当該データが収集された目的またはその後に承認された目的に必要な範囲で、関連する個人データを更新および修正することに依存しています。
アクセス
Panopto は、個人が自分の個人データにアクセスする権利を認めます。 Panopto が処理者として保有する個人データに関して、個人データにアクセス、修正、編集、または削除したい個人は、個人データの管理者であり、適用されるデータ保護法に基づいてお客様の権利を保護する責任を負っている、関連する Panopto の顧客に連絡する必要があります。 Panopto に直接お問い合わせいただいた場合、当社はお客様のリクエストまたはお問い合わせを関連する Panopto の顧客に転送することがあります。 顧客からの要求があれば、Panopto はデータ主体の要求に応えるサポートを顧客に提供します。
Panopto は管理者として、個人が Panopto のデータベースに保持されている個人データへのアクセスを要求する場合があります。 個人は、自分に関する個人データが Panopto のデータベース内にあるかどうかを知る権利、および不正確なデータがある場合にはそのデータを修正、編集、または削除する権利を有します。 この権利は、要求を行う個人に関する個人データにのみ適用され、法律で定義されているその他の制限の対象となります。 個人は 、[email protected]に電子メールでアクセスをリクエストできます。 Panopto では、リクエストを処理する前に個人の身元を確認する必要がある場合があることに注意することが重要です。 Panopto は、合理的なアクセス要求をすべて合理的な期間内に処理しますが、適用法で定められた条件に従ってアクセスを拒否または制限する権利を留保します。
実施
Panopto が顧客の処理者としての役割で個人データを取得する場合、個人は、その顧客の紛争解決プロセスに従って、個人データの処理に関する苦情を当該顧客に提出できます。 Panopto は、顧客または個人の要請に応じてこのプロセスに参加します。
Panopto は、管理者としての立場で、個人データの収集および使用に関する DPF 原則関連の苦情を解決することに尽力します。Panopto による DPF に基づいて受け取った個人データの取り扱いに関して質問や苦情がある EU、英国、スイス在住の個人は、まず以下の「Panopto への連絡方法」セクションの説明に従って Panopto に連絡してください。 英語で問い合わせや苦情を申し立てると、手続きが迅速化されます。 DPF に従い、Panopto は苦情を受け取ってから 45 日以内に対応します。
また、DPFに準拠して、Panoptoは、DPFに基づいて受け取った個人データの取り扱いに関する未解決の苦情を、米国に拠点を置く代替紛争解決プロバイダーであるJAMSに委託することを約束します。 PanoptoからDPF原則関連の苦情に対する確認が適時に届かない場合、またはPanoptoがDPF原則関連の苦情に満足のいく対応をしていない場合は、 https://www.jamsadr.com/eu-us-data-privacy-frameworkをご覧ください。 詳細または苦情を申し立てる場合。 JAMSのサービスは無料で提供されます。 JAMS調停は、JAMS規則に規定されているとおりに開始することができます。 特定の条件下では、個人は残余請求を解決するために拘束力のある仲裁を申し立てることができます。 そのような仲裁がいつ呼び出されるかについての追加情報は、 https://www.dataprivacyframework.gov/s/article/ANNEX-I-introduction-dpf?tabset-35584=2 をご覧ください。
Panopto の DPF 遵守については、米国連邦取引委員会が管轄権を有します。
Panoptoへのお問い合わせ方法
この通知またはPanoptoの個人データの取り扱いに関する質問や懸念事項がある場合、または苦情を申し立てる場合は、次の宛先にPanopto連絡ください:
Panopto, Inc.
宛先: データ保護
600 River Avenue, Suite 100
ピッツバーグ、PA 15212