RegulatoryBridge Global Ltd. (77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland; 会社番号 Pending - see CRO filing) ("RegulatoryBridge", "当社", "当社", "当社の") は、本ウェブサイト（regulatorybridge.com）および当社が提供するサービスに関連して処理される個人データの管理者です。

データ保護責任者： 当社のDPOにはdpo@regulatorybridge.comまで、または上記の登記上の所在地への郵送（「データ保護責任者宛」と記載のこと）にてご連絡いただけます。

EU代表者（GDPR第27条）： RegulatoryBridge EU Representative (to be appointed), Pending - to be designated under Article 27 GDPR — eu-rep@regulatorybridge.com.
英国代表者（UK GDPR第27条）： RegulatoryBridge UK Representative (to be appointed), Pending - to be designated under Article 27 UK GDPR — uk-rep@regulatorybridge.com.

完全な主体開示については、Impressum / 法的表示をご覧ください。

本ポリシーは、お客様が (i) 本ウェブサイトを訪問する、(ii) 情報、デモ、または営業に関する相談を依頼する、(iii) 当社のサービスに登録する、(iv) コミュニケーションを購読する、または (v) ビジネスパートナー、サプライヤー、もしくは求職者として当社とやり取りする際に、当社がどのように個人データを処理するかについて説明します。

当社が顧客にプライバシー代理またはデータ保護責任者サービスを提供する場合、当社の顧客がそのエンドユーザーの個人データの管理者であり、RegulatoryBridgeは別途のデータ処理契約に基づき処理者として行動します。その処理は、本ポリシーではなく、顧客との間で締結されているDPAによって規律されます。

• 識別および連絡先データ — 氏名、業務用メールアドレス、業務用電話番号、役職、雇用主、国。
• アカウントデータ — ユーザー名、ハッシュ化されたパスワード、アカウント設定、MFAの登録。
• サービスデータ — DSAR請求、侵害の詳細、コンプライアンス評価、ROPAエントリ、およびお客様がコンプライアンスプログラムを運用するためにアップロードするその他のデータ。
• 請求データ — 請求先担当者、税ID、請求先住所、請求履歴。支払いカードデータはPCI-DSS準拠の決済処理業者によって処理され、当社では保存しません。
• 利用およびデバイスデータ — IPアドレス（可能な場合は切り詰め）、ブラウザ、デバイスの種類、リファラーURL、閲覧したページ、タイムスタンプ、セッションイベント。
• コミュニケーション — メール、サポートチケット、営業またはオンボーディングの通話メモ。
• マーケティング設定 — 購読状況、同意記録、オプトアウトのタイムスタンプ。
• 採用データ（役職に応募された場合のみ） — 履歴書、職歴、推薦状、就労資格の指標。

当社は、見込み客やウェブサイト訪問者について、特別カテゴリのデータ（GDPR第9条）や機微な個人情報（CPRA、DPDPA）を意図的に収集することはありません。コンプライアンスのユースケースのためにそのようなデータを当社のサービスにアップロードされた場合、DPAに基づく当社の処理者義務が適用されます。

• お客様から直接 — フォーム、アカウント登録、サポート依頼、通話、メール。
• 自動的に — 当社のウェブサイト、製品分析、セキュリティログを通じて。
• 第三者から — お客様の雇用主（お客様が連絡先として指名されている場合）、一般公開されているビジネスディレクトリ、カンファレンスのスポンサー、紹介パートナー。

以下の適法根拠はGDPR第6条（および該当する場合はCCPA/CPRAの事業目的）を参照しています：

当社は、個人データを受領する正当な必要性を有する当事者とのみ個人データを共有します：

• クラウドインフラ — AWS、Vercel、Cloudflare（CDN、エッジコンピュート、DDoS、WAF）。
• メールおよびコミュニケーション — トランザクションメールおよびマーケティングメールのプロバイダー。
• 分析および製品テレメトリ — 分析プロバイダー（お客様の同意がある場合のみ）。
• CRMおよびセールスオートメーション — 取引関係を管理するため。
• 決済処理 — PCI-DSS認証を取得した決済処理事業者。
• 専門アドバイザー — 守秘義務を負う監査人、会計士、弁護士、保険会社。
• 規制当局または裁判所 — 法律で義務付けられている場合、またはお客様の同意がある場合に限ります。

最新の再委託先（サブプロセッサー）の一覧は、dpo@regulatorybridge.com までご請求いただけます。再委託先に重要な変更があった場合は、該当するDPAに従ってお客様に通知いたします。

当社は、お客様の居住国外へ個人データを移転する場合があります。移転先がEU/英国/スイスの十分性認定の対象でない場合、当社はGDPR第46条に基づく適切な保護措置に依拠します。

• 欧州委員会が承認した標準契約条項（SCCs）。英国への移転については、UK AddendumまたはIDTAを補完的に使用します。
• 該当する場合、グループ内の受領者との拘束的企業準則（BCR）。
• 懸念のある移転先については、Schrems IIに基づく移転影響評価（TIA）。

DPDPAに基づくインドのデータ主体については、中央政府が制限していない法域に対してのみ越境移転が行われます。ブラジル（LGPD）については、ANPDが承認した仕組み（Resolution 19/2024）に依拠して移転します。日本（APPI）については、同意または同等の保護措置を伴って移転が行われます。お客様のデータに適用される移転の仕組みの写しは、ご請求いただけます。

• アカウントデータ — 契約期間中およびエクスポートのための追加90日間。
• 請求記録 — 法定の最低保持期間（多くの法域における税務・会計上、通常6〜10年）。
• サポートチケット — 解決後3年間。
• マーケティングリストデータ — 同意を撤回されるまで、その後システム反映のため30日間。
• セキュリティおよび監査ログ — デフォルトで12か月（法律で義務付けられている場合はそれ以上）。
• 採用データ — 採用枠が充足されてから12か月間（お客様の同意がある場合はそれ以上）。

当社は、リスクに応じた適切な技術的および組織的措置を講じています。これには以下が含まれます。

• 転送時（TLS 1.2以上）および保存時（AES-256または同等）の暗号化。
• 最小権限の原則に基づくロールベースアクセス、管理アクセスにおけるMFA、本番環境アクセスにおけるハードウェアキーの要求。
• 継続的なログ記録、異常検知、および24×7のインシデント対応。
• 年次のペネトレーションテストおよび四半期ごとの脆弱性スキャン。
• SOC 2 Type IIおよびISO 27001の管理策マッピング（該当する場合、認証は取得進行中）。
• 再委託先を起用する前のベンダーリスク評価。

あらゆる管理策を講じても、完全に安全なシステムは存在しません。お客様の個人データに影響する侵害が発生した場合、当社は適用される法律に従ってお客様および／または管轄の監督当局に通知いたします。

• アクセス — 処理の確認およびお客様のデータの写しの提供。
• 訂正 — 不正確または不完全なデータの修正。
• 消去 — 定められた状況における削除。
• 制限 — 紛争が解決されるまで処理を一時停止すること。
• ポータビリティ — 構造化され、一般的に利用される形式でお客様のデータを受け取ること。
• 異議申立て — 正当な利益またはダイレクトマーケティングに基づく処理に対する異議。
• 同意の撤回 — 同意した時と同じように、いつでも容易に撤回できます。
• 対象とならない権利 — 法的効果またはそれと同様に重大な影響を生じさせる、完全に自動化された決定の対象とならない権利。

これらの権利を行使するには、dpo@regulatorybridge.com までご連絡ください。当社は1か月以内に対応します（複雑な請求の場合は2か月延長可能）。お客様の本人確認ができない場合は、追加情報をお願いすることがあります。

カリフォルニア州（CCPA / CPRA）。 カリフォルニア州の消費者は、知る権利、削除、訂正、個人情報の販売または共有のオプトアウト、機微な個人情報の利用制限、および権利行使を理由とした差別を受けない権利も有します。当社はGlobal Privacy Controlのシグナルを尊重します。当社は過去12か月間に個人情報を販売していません。CCPAに基づく権利を行使するには privacy@regulatorybridge.com までメールでご連絡ください。

インド（DPDPA）。 データ主体は、アクセス、訂正・補完・更新、消去、苦情処理、および指名の権利を有し、いつでも同意を撤回できます。dpo-india@regulatorybridge.com までご連絡ください。

英国（UK GDPR）。 情報コミッショナー事務局（ico.org.uk）に苦情を申し立てることができます。

ブラジル（LGPD）。 LGPD第18条に定める権利を行使するには、当社のEncarregado（encarregado@regulatorybridge.com）宛にご連絡ください。ANPDへのエスカレーションも可能です。

シンガポール（PDPA）。 当社のDPOが、PDPAに基づくアクセス、訂正、および同意の撤回に関する窓口です。

日本（APPI）。 APPI第28条〜第35条に基づき、開示、訂正、利用停止、または削除を請求するには、当社の個人情報管理責任者（appi@regulatorybridge.com）までご連絡ください。

スイス（revFADP）。 同等の権利が適用されます。苦情はFDPICに申し立てることができます。

当社のサービスは16歳未満の児童を対象としておらず、16歳未満であると認識する者から故意に個人データを収集することはありません。児童が当社に個人データを提供したと思われる場合は、dpo@regulatorybridge.com までご連絡ください。速やかに削除いたします。お客様が当社のサービスを利用して児童のデータを処理する場合、必要な保護者の同意を取得する責任はお客様にあります。

当社は、法的効果を生じさせる、またはお客様に同様に重大な影響を及ぼす、完全に自動化された意思決定を行いません。一部の運用システム（スパムフィルタリング、異常検知など）は、人間による監督のもとで自動化されたロジックを適用します。これに変更が生じる場合は、本ポリシーを更新し、必要に応じて同意またはその他の適法な根拠を取得します。

当社は次の目的でCookieを使用します。(i) ルーティング、セキュリティ、セッション継続性などの必要な機能、(ii) 任意の分析 — お客様の同意がある場合のみ、(iii) 任意のマーケティング — お客様の同意がある場合のみ。お客様は、初回訪問時に表示されるCookieバナーから、またフッターの「Cookie設定」（リンクは近日公開予定）からいつでも選択を管理できます。特定のCookie、期間、プロバイダーの詳細については、近日公開予定のCookie通知をご覧ください。

まずは当社にお客様の懸念を解決する機会をいただければ幸いです。dpo@regulatorybridge.com までご連絡ください。お客様には、お住まいの地域の監督当局に苦情を申し立てる権利もあります。当社の主たる拠点のデータ保護当局は Data Protection Commission (Ireland) です。

当社は、本ポリシーを随時更新する場合があります。重要な変更については、本ページで告知し、必要に応じて、効力発生の少なくとも14日前にメールまたは製品内通知でお知らせします。本ページ上部のバージョンと日付が、現在の版を示しています。

メール： privacy@regulatorybridge.com
データ保護責任者： dpo@regulatorybridge.com
郵送： RegulatoryBridge Global Ltd., 宛先：データ保護責任者, 77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland.