データ保護方針

個人情報の取り扱いに関しては、すべての人に権利があります。ISIダブリンの活動において、スタッフ、学生、保護者、ホストファミリー、教育パートナー、クライアント、サービスプロバイダーの個人情報を収集、保存、処理することがあり、これらのデータを適切かつ合法的に取り扱う必要性を認識しています。ISIダブリンは、取り扱う全ての個人データに関する義務を遵守することを約束します。

ISIダブリンが取り扱う必要のある個人データの種類には、現在、過去、将来の従業員、学生、保護者、教育パートナー、ホストファミリー、サプライヤー、顧客、その他ISIダブリンと連絡を取る人々の詳細が含まれます。これらの情報は、紙、コンピュータ、その他の媒体で保管され、一般データ保護規則（GDPR）（EU）2016/679およびその他の規則で規定された特定の法的保護措置の対象となります。GDPRは、ISIダブリンがデータを収集し処理する方法に制限を課しています。

GDPRに従い、ジェン・ディアス・グリーンはISIダブリン内の「データ保護リーダー」（DPL）に任命され、データ保護ポリシーのすべての側面とその実施に責任を負っています。

本方針は従業員の雇用契約の一部を構成するものではなく、いつでも修正される可能性があります。本方針に違反した場合は、解雇を含む懲戒処分の対象となります。

ポリシーの目的と範囲

この方針は、ISIダブリンのデータ保護に関する規則と、個人情報および機密情報の収集、入手、取り扱い、処理、保管、輸送、破棄に関して満たさなければならない法的条件を定めたものです。

個人は、自分自身または他人の個人データに関してこの方針が守られていないと考える場合、その問題をDPLに提起しなければなりません。

データ保護用語の定義

データ - 電子的、コンピュータ上、または特定の紙ベースのファイリングシステムに保存されている情報。ITシステムやCCTVシステムも含まれます。
データ主体 - この文書の目的上、ISIダブリンが個人データを保有するすべての生存する個人を含みます。
個人データ - 生存する個人に関するデータで、そのデータ（またはそのデータおよびデータ管理者が保有する、または保有する可能性のあるその他の情報）から特定できるもの。個人データは、事実（氏名、住所、生年月日など）である場合もあれば、意見（業績評価など）である場合もあります。
データ管理者 - データの保持と利用を管理し、責任を負う個人または組織。
データ利用者 - 個人データを使用する業務に携わる従業員。データ利用者は、常にISIダブリンのデータ保護セキュリティポリシーに従い、取り扱う情報を保護する義務があります。
処理 - データに対して何らかの操作または一連の操作を行うこと：-
データの取得、記録、保管
データの収集、整理、保管、変更または適合
データの検索、参照または使用
情報またはデータを送信、流布またはその他の方法で利用可能にすることによる開示
データの整列、結合、黒塗り、消去または破壊
機微（センシティブ）個人データ - 人種的または民族的出身、政治的意見、宗教的または類似の信条、労働組合への加盟、身体的または精神的健康状態、性生活、前科または犯罪の遂行容疑に関する情報。機微（センシティブ）個人データは、厳格な条件下でのみ処理することができ、通常、関係者の明示的な同意が必要となります。

データ保護原則

個人データを処理する者は、実施可能な8つの原則を遵守しなければなりません。これらの原則は、個人データは以下のものでなければならないと定めています：-

公正な取得と処理

GDPRの目的は、個人データの処理を防止することではなく、データ主体の権利に不利な影響を与えることなく、公正に処理することを保証することです。データ主体は、DPLが誰であるか（この場合はJen Diaz Green）、ISIダブリンがデータを処理する目的、およびデータを開示または転送する相手の身元を知らされなければなりません。

個人データが合法的に処理されるためには、一定の条件が満たされていなければなりません。これには、データ主体がその処理に同意していること、またはその処理がデータ管理者またはデータの開示先の正当な利益のために必要であることなどの要件が含まれます。機微な個人データを処理する場合は、複数の条件を満たす必要があります。ほとんどの場合、そのようなデータの処理にはデータ主体の明示的な同意が必要です。

1つ以上の特定された、明示的かつ合法的な目的のためにのみ保管されます。

個人データは、データ収集時にデータ主体に通知された特定の目的、またはGDPRで特に認められているその他の目的のためにのみ処理することができます。つまり、ある目的のために個人データを収集し、別の目的のために使用してはなりません。データを処理する目的を変更する必要が生じた場合は、処理が行われる前にデータ主体に新しい目的を通知しなければなりません。ISIダブリンが収集した従業員の個人データは、通常の人事目的で使用されます。別の目的で従業員データを収集する必要がある場合、ISIダブリンはその旨を従業員に通知し、適切な場合はそのような処理について従業員の同意を得ます。

これらの目的に適合する方法でのみ使用され、開示されます。

個人データは、データ対象者に通知された特定の目的のために必要な範囲でのみ収集するものとします。その目的に必要でないデータは、そもそも収集されるべきではありません。

安全・安心

ISIダブリンとその従業員は、個人データの違法または不正な処理、個人データの偶発的な紛失または破損に対して、適切なセキュリティ対策が講じられていることを保証しなければなりません。

GDPRにより、ISIダブリンはすべての個人データのセキュリティを維持するための手順と技術を導入することが義務付けられています。個人データを第三者のデータ処理業者に転送できるのは、その第三者がこれらの手順や方針を遵守することに同意しているか、適切なセキュリティ対策が講じられている場合に限られます。

次のことを守ってください。

機密性 - データを使用する権限を与えられた人だけがデータにアクセスできます。ISIダブリンは、従業員の個人ファイル及びISIダブリンが保有するその他の個人データや機密データには、権限を与えられた者のみがアクセスできるようにします。社員はアクセスしたデータの機密性を保持することが求められます。
完全性 - 個人データが正確であり、その処理目的に適していること。
可用性 - 許可された目的のために必要な場合、許可されたユーザーのみがデータにアクセスできること。

セキュリティポリシー/手順には以下が含まれます：-

施錠可能な机と戸棚。- クリアデスクポリシー、すべての机と戸棚は使用しないときは施錠しておきます。(個人情報は常に機密扱いとします)また、同じ情報を含む仕事を誰にも見られないように細心の注意を払って取り扱います。
廃棄方法- 紙文書はシュレッダーにかける必要があります。すべてのリムーバブルメディアは、不要になったら消去し、物理的に破棄してください。
設備 - データ利用者は、個々のモニターが機密情報を通行人に見せないようにし、PCが無人になるとすぐにスクリーンセーバーが起動するようにしてください。
ISO 27001 - ITセキュリティポリシー文書を含む、ISO27001に関するすべてのポリシーに準拠する必要があります。

正確、完全、最新の状態を維持

個人データは正確であり、最新の状態に保たれていなければなりません。不正確な情報や誤解を招くような情報は正確ではありません。不正確なデータや古いデータは破棄しなければなりません。従業員は、個人情報を正確に更新・維持できるよう、個人情報に関連する変更があった場合は必ず DPLおよび人事部に通知しなければなりません。データに関連する変更の例としては、住所の変更などが挙げられます。

適切で、適切で、過剰でないこと

収集された目的に必要な期間を超えて保存されることはありません。

個人データは、その目的に必要な期間を超えて保存すべきではありません。データ保持に関するガイダンスについては、従業員は上司に連絡してください。ISIダブリンには、特定の従業員データを一定期間保管する様々な法的義務があります。さらに、ISIダブリンはその正当な利益を保護するために、個人データを一定期間保持する必要がある場合があります。

要求に応じてデータ対象者に提供

データはデータ主体の権利に沿って処理されなければなりません。データ対象者は以下の権利を有します：-

データ管理者が保有するデータへのアクセス要求
ダイレクトマーケティング目的のデータ処理の防止
不正確なデータの修正依頼
自分自身または他の誰かに苦痛を与える可能性のある処理の防止
対象者アクセス要求への対応

ISIダブリンが保有する情報に関して、データ主体から正式な要請がある場合は、必ず書面で行ってください。ISIダブリンが保有するデータに関して書面による要請を受けた従業員は、データ管理者にそれを転送してください。

電話での情報提供

電話での問い合わせに対応する従業員は、ISIダブリンが保有する個人情報を電話で開示することに注意してください。従業員は-

電話をかけてきた人の身元を確認し、情報を受け取る権利がある人にのみ情報が提供されるようにします。

従業員が発信者の身元について確信が持てない場合、および発信者の身元が確認できない場合、発信者に書面で依頼するよう勧めます。

困難な状況での支援については、上司および／またはデータ管理者に依頼してください。いかなる従業員も、個人情報の開示を強制されたと感じるべきではありません。

ダイレクトマーケティング

ISIダブリンでは、潜在的な個人と許可なく接触しないことをポリシーとしています。この方針を遵守するため、当社のプリセールス従業員は以下のことを徹底するよう求められています：-

他の組織への電話やEメールは、その組織がウェブサイトを開設しているか、住所や電話番号などの連絡先が公開されていることが確認されるまでしないでください。

電話をかける際には、IT購入に関連する意思決定者など、適切な連絡先情報を得るための許可を得る必要があります。当社の従業員が誰と話したか、また通話した日時を記録しておく必要があります。

すべての電子メールによる連絡には、「オプトアウト」オプションが明示されている必要があります。

郵便、テキスト、ファックスでの販売は行っておりません。

すべてのオプトアウトは、連絡先を永久に削除することによって尊重されなければなりません（電話または電子的）。

政策レビュー

ISIダブリンは、本ポリシーがその目的を達成していることを確認するため、少なくとも年1回、また法律の改正や組織またはセキュリティの変更を考慮し、必要に応じてより頻繁に、本ポリシーの有効性を継続的に見直します。