当社は、お客様、関係各位（お取引先様、関係団体様）、従業員からご提供いただいた個人情報を、第三者に提供することはありません。また、今後第三者提供を行う事になった場合には、提供する情報と提供目的などを提示し、お客様、関係各位（お取引先様、関係団体様）の皆さま、従業者の皆さまから同意を得た場合のみ第三者提供を行います。また、当社では、利用目的の達成に必要な範囲内において、他の事業者へ個人情報を委託することがあります。

６．オプトアウトに関する公表事項

現状では、オプトアウトは行っていません。オプトアウトを実施する場合には、適正な取扱いを行います。

７．共同利用に関する公表事項

現状では、共同利用は行っていません。共同利用を実施する場合には、適正な取扱いを行います。

８．保有個人データに関する公表事項

当社は、保有個人データに関する公表事項を次のとおりとする。

開示等の求めの受付

所定の用紙（「利用目的通知請求書」、「開示対象個人情報開示請求書」、「開示対象個人情報訂正等請求書」）にご記入のうえ、以下の宛先まで郵送またはご持参ください。開示等請求の用紙は窓口でお渡ししております。

◉開示等の請求等の社内窓口

担当部署：受付窓口

所在地：〒822-0132 福岡県宮若市小伏1733-1

連絡先：092-405-1226

本人確認

本人確認のため、以下の本人確認書類を「所定の用紙」とともに郵送またはご持参ください。

•運転免許証、パスポート、個人番号カード又は住民基本台帳カード（住所記載のあるもの）、在留カード、特別永住者証明書等の写真で本人確認ができるものの写し（開示等の求めをする本人の名前および住所が記載されているもの）

•住民票の写し（開示等の求めをする日前30日以内に作成されたもの）

代理人資格の確認

代理人の方が手続きをされる場合は、「所定の用紙」、「本人確認書類」に加え、以下の書類も郵送またはご持参ください。

•代理人を証明する書類、代理人の運転免許証、パスポート、個人番号カード又は住民基本台帳カード（住所記載のあるもの）、在留カード、特別永住者証明書等の写真で代理人確認ができるものの写し（開示等の求めをする代理人の名前および住所が記載されているもの）

•代理人の住民票の写し（開示等の求めをする日前30日以内に作成されたもの）

•代理人が弁護士の場合は、登録番号のわかる書類

•代理を示す旨の委任状

手数料のお支払い

開示等の請求をする際に、開示等請求手数料が必要です。手数料のお支払は、窓口に各書類と併せてご持参のうえ現金によりお支払いください。

手数料１枚当たり1,000円（税込）

ご請求の取扱い

所定の用紙により受け付け、本人確認、代理人確認ができたときは、対応します。なお、以下の場合は開示等の求めに応じられない場合があります。

•本人または第三者の生命、身体または財産に危害が及ぶおそれのある場合違法または不当な行為を助長し、または誘発するおそれのある場合

•国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれ、または他国もしくは国際機関との交渉上不利益を被るおそれのある場合

•犯罪の予防、鎮圧、または捜査その他の公共の安全と秩序維持に支障が及ぶおそれのある場合

•当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合

•法令に違反することとなる場合

•国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表することによって当該事務の遂行に支障を及ぼすおそれがある場合

開示等

以下の方法により遅滞なく開示等の対応をします。

• 個人情報の利用目的の通知、開示の場合は、当該内容の記載された書面を、手渡し又は本人限定受取郵便により郵送

• 個人情報の内容の訂正、通知または削除、利用の停止、消去および第三者への提供の停止の場合は、「個人情報訂正等決定通知書」を、手渡し又は本人限定受取郵便により郵送

・法令に基づく理由により開示等しないこととなった場合は、「個人情報不開示等決定通知書」を、手渡し又は本人限定受取郵便により郵送

書面の送付先は、所定の用紙にご記入いただいた本人の住所とします。

本人または代理人を証明する書類に、本籍地が明示されている場合は、消去していただいて結構です。本人または代理人を証明する書類は、入手から6か月以内に責任を持って廃棄いたします。保有個人データの取扱いに関する苦情の申出先

保有個人データの取扱いに関する苦情の申出先は次のとおりとします。

◉ 社内窓口

担当部署：受付窓口

所在地：〒822-0132 福岡県宮若市小伏1733-1

連絡先：092-405-1226

◉ 社外窓口（所属する認定個人情報保護団体の窓口）

所属団体：一般社団法人中小企業個人情報セキュリティー推進協会

所在地：東京都新宿区市谷田町1-19-2 ECS第19ビル5F

連絡先：03-4405-5180

９．匿名加工情報に関する公表

法第36条（第3項、第4項、第6項）、法第37条、法第39条

（１）匿名加工情報の適正な取扱いを確保するための措置

当社は、以下のとおり、お客様の個人情報を特定の個人を識別できないように加工した情報（以下、「匿名加工情報」といいます。）として継続的に作成する場合があります。

（２）安全管理措置に関する事項

当社は、匿名加工情報等について、漏えい、滅失又はき損の防止等、その管理のために必要かつ適切な安全管理措置を講じます。また、匿名加工情報等を取り扱う従業員や委託先（再委託先等を含みます。）に対して、必要かつ適切な監督を行います。匿名加工情報等の安全管理措置に関しては、別途社内規程において定めております。

（３）匿名加工情報に含まれる個人に関する情報の項目及び第三者に提供する情報の項目該当なし

（４）匿名加工情報の第三者の提供方法

該当なし

第２部　社内ルール

１．個人情報等の表示等に関するルール

法第18条（第1項、第2項、第3項、第4項）、法第23条（第2項、第6項）、法第27条（第1項）

（１）個人情報を取得する場合

当社は、個人情報の取得に際して、あらかじめその利用目的を「個人情報保護方針」に掲載し、公表する。また、本人から求められた場合には、その利用目的について、本人に通知する。

（２）利用目的変更に関する公表

当社は、利用目的を変更した場合、変更された利用目的について、本人に通知し、又は公表する。

利用目的公表に関する例外

利用目的の公表等に関する前三項の規定は、次に掲げる場合については、適用しない。

(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

(3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(4)取得の状況からみて利用目的が明らかであると認められる場合

（３）オプトアウトに関する公表

当社は、第三者に提供される個人データ(要配慮個人情報を除く。以下この項において同じ。)について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとし、かつ個人情報保護委員会規則であらかじめ、本人に通知し、又は「個人情報保護方針」に掲載し、公表するとともに、個人情報保護委員会に届け出ることにより、当該個人データを第三者に提供することができるものとする。

（４）共同利用に関する公表

当社は、特定の者との間で共同して利用される個人データが当該特定の者に提供される場合は、あらかじめ、本人に通知し、又は「個人情報保護方針」に掲載し、公表する。

（５）共同利用に関する変更内容の公表

当社は、利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、あらかじめ、本人に通知し、又は「個人情報保護方針」に掲載し、公表する。

（６）保有個人データに関する公表

当社は、本人から「利用目的通知請求書」による求めがあった場合、遅滞なく回答する。

２．匿名加工情報の表示等に関するルール

法第36条（第3項）

（１）作成又は取扱う匿名加工情報に含まれる項目

当社は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を記載した別添「匿名加工情報に関する公表」を、インターネットを利用して公表する。

当社が他の事業者の委託を受けて匿名加工情報を作成した場合、上記項目を当該他の事業者が公表することにより、当社が公表したものとみなす。

（２）作成又は取扱う匿名加工情報の安全管理措置

当社は、匿名加工情報を作成したとき、又は取扱うときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を別添「安全管理措置及び取扱規程」に定め、自ら講じ、かつ、当該措置の内容を公表する。

（３）第三者提供する匿名加工情報

当社は、作成した又は取扱う匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について別添「匿名加工情報に関する公表」に記載し、インターネット状に公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メール又は書面交付にて明示する。

３．利用目的に関するルール

法第16条（第1項、第2項、第3項）、法第15条（第2項）

（１）目的外利用の禁止

当社は、あらかじめ本人の同意を得ないで、利用目的（別添「個人情報の利用目的（顧客）」、「個人情報の利用目的（社員）」、「個人情報の利用目的（取引先）」）の達成に必要な範囲を超えて、個人情報を取り扱わない。

個人番号、特定個人情報については、本人の同意があったとしても、利用目的を超えて利用しない。

目的外利用禁止の例外

目的外利用禁止は、次に掲げる場合については、適用しない。

1)法令に基づく場合

2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

4)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（２）事業承継の場合

当社は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱わない。

特定個人情報については、本人の同意があったとしても、承継前に特定されていた利用目的を超えて利用しない。

（３）利用目的の変更制限

当社は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行わない。

４．本人から個人情報を取得するときのルール

法第17条（第1項、第2項）

（１）不正取得の禁止

当社は、偽りその他不正の手段により個人情報を取得しない。

また、個人番号については、次の場合には提供を求めないものとする。

・契約内容等から個人番号関係事務が明らかに発生しないと認められる場合

・番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができない場合

（２）同意のない要配慮個人情報取得の禁止

当社は、あらかじめ本人の同意を得ないで、要配慮個人情報を取得しない。同意のない要配慮個人情報取得の禁止の例外

同意のない要配慮個人情報取得の禁止は、次に掲げる場合については、適用しない。

1)法令に基づく場合

2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

5)当該要配慮個人情報が、本人、国の機関、地方公共団体、第76条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合（外国の組織、報道機関等）

6)その他前各号に掲げる場合に準ずるものとして政令で定める場合（外形上明らかな場合、委託・合併・共同利用による取得の場合）

（３）個人情報を直接書面で取得する場合

当社は、本人との間で契約を締結することに伴って契約書その他の書面に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ公表している利用目的を、本人に対し、明示する。

直接書面で取得する場合の例外

ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

５．第三者から個人データ等を取得するときのルール（1/3）

法第26条（第1項）

（１）第三者から個人データを取得するときの確認義務

当社は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところ（下記A）により、次に掲げる事項の確認を行う。

(1)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

(2)当該第三者による当該個人データの取得の経緯

A：確認方法

①（１）の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

②（２）の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。

③前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認(当該確認について記録の作成及び保存をしている場合におけるものに限る。)を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る確認事項の内容が同一であることの確認を行う方法とする。

第三者から個人データを取得するときの確認義務の例外

第三者から個人データを取得するときの確認義務は、次に掲げる場合については、適用しない。

・当該個人データの提供が第23条第1項各号（例外）に該当する場合

・当該個人データの提供が第5項各号（委託、合併、共同利用）のいずれかに該当する場合

６．第三者から個人データ等を取得するときのルール（2/3）

法第26条（第3項）

（１）第三者から取得時の記録作成義務

当社は、第三者から個人データを取得したときは、個人情報保護委員会規則で定めるところ（下記A）により、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項（下記B）に関する記録を作成する。

A：記録方法及び特例

①記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

②本記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供(オプトアウトを除く。) を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができるものとする。

③本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に下記Bに定める事項が記載されているときは、当該書面をもって記録に代えることができるものとする。

B：記載事項

記録には、次のに掲げる場合の区分に応じ、それぞれ当該各号に定める事項を記載するものとする。

① オプトアウトにより個人データの提供を受けた場合

イ個人データの提供を受けた年月日

ロ法第26条第1項各号に掲げる事項（第三者氏名、経緯）

ハ当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

ニ当該個人データの項目

ホ法第23条第4項の規定により公表されている旨（オプトアウトの届出公表）

②同意により個人データの提供を受けた場合

イ法第23条第1項（同意）又は法第24条（外国への同意）の本人の同意を得ている旨

ロ前号ロからニまでに掲げる事項

③第三者(個人情報取扱事業者に該当する者を除く。)から個人データの提供を受けた場合

第1号ロからニまでに掲げる事項

前項各号に定める事項のうち、既に前条に規定する方法により作成した記録(当該記録を保存している場合におけるものに限る。)に記録されている事項と内容が同一であるものについては、記録を省略することができるものとする。

７．第三者から個人データ等を取得するときのルール（3/3）

法第26条（第4項）

（１）記録の保存

当社は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める下記の期間保存する。

次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

1)前頁A③に規定する方法により記録を作成した場合、最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間

2)前頁A②に規定する方法により記録を作成した場合、最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間

3)前二号以外の場合 3 年

８．個人データ及び特定個人情報の取扱いに関するルール

法第19条、法第20条、法第21条、法第35条（第1項、第2項）

ガイドライン8-2、8-3、8-4、8-5、8-6

（１）適正管理

当社は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努める。

（２）安全管理措置

当社は、その取り扱う個人データの漏えい等の防止その他の個人データの安全管理のために、個人データの具体的な取扱いに係る規律を次のとおり整備する。

1)基本方針

個人データの適正な取扱いの確保について組織として取り組むために、「基本方針」を策定する。

2)取扱規程

取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について定める「安全管理措置及び取扱規程」を策定する。

「安全管理措置及び取扱規程」に具体的に定める事項については、組織的安全管理措置、人的安全管理措置及び物理的安全管理措置の内容並びに情報システム(パソコン等の機器を含む。)を使用して個人データを取り扱う場合(インターネット等を通じて外部と送受信等する場合を含む。)は技術的安全管理措置の内容を織り込む。

（３）委託先の監督

当社は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、「安全管理措置及び取扱規程」に手順を定め、委託を受けた者に対する必要かつ適切な監督を行う。

９．第三者に個人データ等を提供するときのルール（1/3）

法第23条（第1項）、法第26条（第2項）

（１）第三者提供時の報告義務

当社は、個人データを第三者に提供するに際して、次の事項を偽らず伝えるものとする。

(1)当社の名称及び住所並びに代表者の氏名

(2)当社における当該個人データの取得の経緯

（２）個人データ等の提供禁止

当社は、あらかじめ本人の同意を得ないで、個人データを第三者に提供しない。本人の同意がない個人データ提供の禁止

本人の同意がない個人データ提供の禁止は、次に掲げる場合については、適用しない。

1)法令に基づく場合

2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

当社は、特定個人情報ついては、次の場合に提供禁止とする。

・番号法で限定的に明記された場合を除き、特定個人情報を「提供」しない。

・特定個人情報の提供を求められた場合には、その提供を求める根拠が、番号法第19条各号に該当するものかどうかをよく確認し、同条各号に該当しない場合には、特定個人情報を提供しない。

特定個人情報の提供禁止の例外

委員会が、特定個人情報の取扱いに関し、番号法第35条第1項の規定により、特定個人情報の提出を求めた場合には、この求めに応じ、委員会に対し、特定個人情報を提供しなければならないものとする。

１０．第三者に個人データ等を提供するときのルール（2/3）

法第25条（第1項）

（１）第三者提供時の記録作成義務

当社は、個人データを第三者に提供したときは、個人情報保護委員会規則で定めるところ（下記A）により、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項（下記B）に関する記録を作成する。

A：記録方法及び特例

①記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

②本記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供(オプトアウトを除く。)したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができるものとする。

③本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に下記Bに定める事項が記載されているときは、当該書面をもって記録に代えることができるものとする。

B：記載事項

記録には、次のに掲げる場合の区分に応じ、それぞれ当該各号に定める事項を記載するものとする。

① オプトアウトにより個人データを第三者に提供した場合

イ当該個人データを提供した年月日

ロ当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項(不特定かつ多数の者に対して提供したときは、その旨)

ハ当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

ニ当該個人データの項目

② 同意により個人データを第三者に提供した場合

イ法第23条第1項（同意）又は法第24条（外国への同意）の本人の同意を得ている旨

ロ前号ロからニまでに掲げる事項

前項各号に定める事項のうち、既に前条に規定する方法により作成した記録(当該記録を保存している場合におけるものに限る。)に記録されている事項と内容が同一であるものについては、記録を省略することができるものとする。第三者提供時の記録作成義務の例外

第三者提供時の記録作成義務は、次に掲げる場合については、適用しない。

・当該個人データの提供が第23条第1項各号（例外）に該当する場合

・当該個人データの提供が第23条第5項各号（委託、合併、共同利用）のいずれかに該当する場合

１１．第三者に個人データ等を提供するときのルール（3/3）

法第25条（第2項）

（１）記録の保存

当社は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める下記の期間保存する。

次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

1)前頁A③に規定する方法により記録を作成した場合、最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間

2)前頁A②に規定する方法により記録を作成した場合、最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間

3)前二号以外の場合 3 年

１２．本人からの開示等請求への対応ルール（1/4）

法第27条（第2項、第3項）

（１）開示等の対象となる保有個人データ

保有個人データとは、当社が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データである。開示等の対象となる保有個人データの例外

開示等の対象となる保有個人データから、次に該当するものは除く。

1)該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

2)当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

3)当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

4)当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

5)6月以内に消去することとなるもの

（２）利用目的の通知の求めへの対応

当社は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知する。

利用目的の通知の求めへの対応の例外

利用目的の通知の求めへの対応は、次に掲げる場合については、適用しな

い。

1)前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合

2)第18条第4項第1号から第3号までに該当する場合（生命身体財産、権利利益、行政）

例外により、求められた保有個人テータの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。

１３．本人からの開示等請求への対応ルール（2/4）

法第28条（第2項、第3項）

（１）開示

当社は、本人から当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、書面の交付による方法(開示の請求を行った者が同意した方法があるときは、当該方法)により、遅滞なく、当該保有個人データを開示する。

開示の例外

開示は、次に掲げる場合については、対応しない。

1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

2)当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

3)他の法令の規定により、当該本人が識別される保有個人データの全部又は一部を開示することとされている場合

例外により、本人からの請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知する。

（２）訂正等（訂正、追加又は削除）

当社は、本人から、当該本人が識別される保有個人データの内容が事実でないとして、当該保有個人データの内容の訂正、追加又は削除(以下この条において「訂正等」という。)の請求を受けた場合には、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

訂正等の例外

訂正等は、次に掲げる場合については、対応しない。

1)当該本人が識別される保有個人データの内容が事実である場合

2)その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合

本人からの請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は例外により、訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨(訂正等を行ったときは、その内容を含む。) を通知する。

１４．本人からの開示等請求への対応ルール（3/4）

法第30条（第2項、第4項、第5項）、法第31条

（１）利用停止等（利用停止又は消去）

当社は、本人から、当該本人が識別される保有個人データが第16条の規定（利用目的の制限）に違反して取り扱われているとき又は第17条の規定（適正取得）に違反して取得されたものであるとき、当該保有個人データの利用の停止又は消去(以下この条において「利用停止等」という。)の請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行う。

利用停止等（利用停止又は消去）の例外

利用停止等は、次に掲げる場合については、対応しない。

1)保有個人データが第16条の規定（利用目的の制限）に違反して取り扱われている場合

2)第17条の規定（適正取得）に違反して取得されたものである場合

例外により、請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知する。

（２）第三者提供の停止

当社は、当該本人が識別される保有個人データが第23条第1項（同意）又は第24条の規定（外国への同意）に違反して第三者に提供されているとき、当該保有個人データの第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止する。

特定個人情報の場合は、請求を受けた場合であって、当該請求に理由があることが判明したときには、遅滞なく、当該特定個人情報の第三者への提供を停止しなければならない。

第三者提供の停止の例外

第三者提供の停止は、次に掲げる場合については、対応しない。

1)保有個人データが第23条第1項（同意）の例外にもとづいて第三者に提供されている場合

2)保有個人データが第24条の規定（外国への同意）の例外にもどづいて第三者に提供されている場合

3)当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとる場合

例外により、請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知する。

（３）理由の説明

当社は、利用目的通知の求め、開示、訂正等、利用停止等又は第三者提供の停止を、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明する。

１５．本人からの開示等請求への対応ルール（4/4）

法第32条（第1項、第2項、第3項、第4項）、法第33条（第1項、第2項）

（１）開示等の請求の受付方法

当社は、利用目的通知の求め、開示、訂正等、利用停止等又は第三者提供の停止の請求(以下こ「開示等の請求等」という。)に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を次に定める。

開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮する。

1)開示等の請求等の申出先

受付部署：受付窓口

受付先：092-405-1226

2)開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の方式

基本方針「８．保有個人データに関する公表事項」を参照

3)開示等の請求等をする者が本人又は代理人であることの確認の方法

開示等の請求等をすることができる代理人は、次に掲げる代理人とする。

①未成年者又は成年被後見人の法定代理人

②開示等の請求等をすることにつき本人が委任した代理人

4)手数料の徴収方法

開示等の請求等に関する手数料の額は、実費を勘案して合理的であると認められる範囲内のものとして、次の通り定める。

１枚当たり1,000円（税込）

（２）開示等の請求等に係る情報提供の求め

当社は、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めるものとする。この場合、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとるものとする。

１６．匿名加工のルール（1/2）

法第36条（第1項）

（１）匿名加工方法

当社は、匿名加工情報(匿名加工情報データベース等を構成するものに限る。以下同じ。)を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める次の加工基準に従い、当該個人情報を加工する。

加工基準

1)個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること(当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。（記述の削除・置換）

2)個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。（符号の削除・置換）

3)個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号(現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。)を削除すること(当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。)。（連結の削除・置換）

4)特異な記述等を削除すること(当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。（特異点の削除・置換）

5)前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

１７．匿名加工のルール（2/2）

法第36条（第2項、第5項）、法第38条

（１）復元防止

当社は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める次の安全管理基準に従い、これらの情報の安全管理のための措置を講じる。

安全管理基準

1) 加工方法等情報(匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第36条第1項の規定により行った加工の方法に関する情報(その情報を用いて当該個人情報を復元することができるものに限る。)をいう。以下この条において同じ。)を取り扱う者の権限及び責任を明確に定めること。（責任者の設置）

2) 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。（取扱のPDCA）

3) 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。（不正防止）

（２）識別行為の禁止

当社は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合しないものとする。

当社は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならないものとする。

第３部　安全管理措置及び取扱規程

１．個人データ等の安全管理措置

ガイドライン8-3（A1）、8-4（A2）、8-5（A3）、8-6（A4）、法第22条

当社は、個人データ等の安全管理措置の共通手順についてについて次に定める。

（１）組織的安全管理措置

1)組織体制の整備、及び苦情・情報漏えい等事案に対応する体制の整備

従業員は、個人情報等に関する苦情、インシデントや漏えい等発生時には、組織内においては24時間以内に個人情報管理責任者まで報告をあげる。個人情報管理責任者は、速やかに代表取締役に報告をし、協議する。

【協議内容】

①事実関係の調査及び原因の究明、②影響を受ける可能性のある本人への連絡、③個人情報保護委員会等の外部関係者への報告、④再発防止策の検討及び決定、⑤事実関係及び再発防止策等の公表

2)個人データの取扱状況を確認する手段の整備、取扱規程に基づく運用

代表取締役は、「個人データ一覧」を作成し、個人データの取扱状況を把握可能とする。代表取締役は、取扱規程に従った運用を確保するため、個人データの取扱いに係る様式を整備し、個人データの取り扱いの検証を可能にする。

3)取扱状況の把握及び安全管理措置の見直し

個人情報管理責任者は、毎週金曜の終業時、従業員が取扱規程に従った運用を行っていることを点検する。代表取締役は、個人データの取扱状況を把握し、監査を実施する。監査では安全管理措置の評価、見直し及び改善に取り組む。

（４）人的安全管理措置

代表取締役は、従業員に個人情報等を取扱わせるに当たっては、個人情報等の適正な取扱いのため、個人情報等の安全管理措置が適切に講じられるよう、人的な安全管理措置として、次のとおり必要かつ適切な監督及び教育を行なう。

1)監督

代表取締役は、従業員の監督として、個人情報等についての秘密保持に関する事項を就業規則、雇用契約書等に盛り込む。

2)教育

代表取締役は、従業員の教育として、個人情報等の取扱いに関する留意事項等についてeラーニングツールを用いて、従業者に定期的な研修を行なう。研修では、各自の研修結果を測定するテストを実施して、必要な力量が維持出来るようにする。従業員は、年１回、必修科目を受講しテストを実施し、必ず「合格」することとする。個人情報管理責任者は、研修の有効性を確保するために、eラーニングツールの管理画面により確認し、必要な場合には再度研修を指示する。

（５）物理的安全管理

代表取締役は、従業員に個人情報等を取扱わせるに当たっては、個人情報等の適正な取扱いのため、個人情報等の安全管理措置が適切に講じられるよう、物理的な安全管理措置として、次のとおり必要かつ適切な監督を行なう。

1)個人情報等を取り扱う区域の管理

代表取締役は、個人情報等の情報漏えい等を防止するために、個人情報等を取り扱う情報システムを管理する区域(以下「管理区域」という。)及び個人情報等を取り扱う事務を実施する区域(以下「取扱区域」という。)を明確にし、物理的な安全管理措置を講ずる。

①管理区域

・電子媒体：セキュリティが担保されたファイルサーバー

・紙媒体：施錠可能な棚及び倉庫

②取扱区域

全般とし、壁又は間仕切り等の設置、座席配置の工夫、のぞき込みを防

止する措置の実施等により、権限を有しない者による個人データの閲覧等

を防止する。

2)鍵の管理

鍵の管理は、代表取締役が権限付与した鍵の管理者に限る。鍵を預かった管理者は無断で複製をしてはならない。代表取締役より返却を求められた場合は遅延なく返却する。

3)入退室管理の実施

管理区域は、施錠を行う。施錠が行えない場合は、受付を配置し監視する。業務中に使用しない出入口は常に施錠する。出入りが必要な場合は、鍵の管理者が開閉することとする。

4)機器、装置等の固定など物理的な保護

PC及びサーバー等個人データの保管されている機器はチェーンロックを行う。ノートPC及びタブレット、個人データの記載されている書類は業務時間外は鍵付きのキャビネット等に保管する。

5)盗難等に対する予防対策の実施

鍵及び機器、書類等を盗難及び紛失した場合は、代表取締役に報告するとともに警察に届け出る。キャビネットからの書類等の出し入れは、代表取締役が任命した者のみが扱う。他の人が扱っていることを発見した場合は、代表取締役に報告する。

個人情報を持ち出す場合は、公共の場では常に携帯することとする。持ち運び可能な電子機器等の場合は暗号化し、書類の場合は個人情報が見えないような封筒やカバンに入れて持ち出す。また、鍵付きのカバン等で持ち運ぶこととする。

6)個人情報等の削除、機器及び電子媒体、書類等の廃棄

必要がなくなった場合で、かつ、所管法令等において定められている保存期間等を経過したときには、個人番号をできるだけ速やかに復元できない手段で削除（「米陸軍準拠方式 (AR380-19)」に準拠した全箇所を３回上書き）又は廃棄（断片化、粉砕、焼却、融解）する。

（６）技術的安全管理

代表取締役は、従業員に個人情報等を取扱わせるに当たっては、個人情報等の適正な取扱いのため、個人情報等の安全管理措置が適切に講じられるよう、技術的な安全管理措置として、次のとおり必要かつ適切な監督を行なう。

1)アクセス制御

代表取締役は、個人情報管理責任者に、個人データに対するアクセス管理(IDやパスワード等による認証、各従業者の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等)を行わせる。また、個人データに対するアクセス記録の保存を推奨する。

個人情報管理責任者は、従業員や委託先の担当者が個人番号関係事務を行

う際、担当者の範囲及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行うものとする。

2)アクセス者の識別と認証

代表取締役は、個人情報管理責任者に従業員及び委託先の担当者に権限付

与させ、個人情報等を取り扱う情報システムが正当なアクセス権を有する者であること、及び識別した結果に基づき認証できるようにする。

3)外部からの不正アクセス等の防止

代表取締役は、個人情報等を取り扱う情報システムを調達する際には、個人情報管理責任者にあらかじめ外部からの不正アクセス又は不正ソフトウェアから保護する仕組みであることを確認した上で従業員及び委託先の担当者にこれを利用させ、適切に運用できるようにする。

個人情報管理責任者は、個人データに対するファイアウォールの設置し、また当社で使用する無線LANは外部からの不正アクセスが行えないよう、パスワードを必ず設定し、暗号化を行うものとする。

4)情報漏えい等の防止

代表取締役は、個人情報管理責任者に、個人情報等をインターネット等により外部に送信する場合、あらかじめ通信経路における情報漏えい等を防止するための措置を講じていることを確認させた上で従業員及び委託先の担当者にこれを利用させる。

当社で使用するPCはウイルス対策ソフトを実装する。当社から持ち出すPCはディスクの暗号化を推奨する。個人データの保存されたPCは公共のWi-Fiスポット等、セキュリティレベルの低い回線へは接続しないこととする。

（７）委託先の監督

代表取締役は、個人データ取扱の全部又は一部を委託する場合には、「委託を受けた者」において、自らが果たすべき安全管理措置と同等の措置が講じられるよう、以下の手順に従い、「委託を受けた者」に対して必要かつ適切な監督を行なう。この監督義務は、再委託先、再々委託先以降に対しても間接的に監督義務を負うものとする。

1)評価選定

代表取締役は委託する際、委託先が、自らが果たすべき安全管理措置と同等の措置か講じられるか否かについて、あらかじめ確認したうえで契約することとする。個人情報等を適切に取り扱っているかについて、事業者ヒアリングによりリスクを判定した上で、事業者を委託先(受託者)として選定する。

代表取締役は、委託先から、委託先が行なう再委託以降の委託について許諾を求められた場合、委託先と同様に、自らが果たすべき安全管理措置と同等の措置か講じられるか否かについて、あらかじめ確認したうえで許諾することとする。

2)契約

契約内容には、次の事項を盛り込むものとする。また、委託先による再委託以降の委託においては、その委託契約には次の事項を盛り込んでいることを許諾の条件とする。

①秘密保持義務

②事業所内からの個人情報等の持出しの禁止

③個人情報等の目的外利用の禁止

④再委託における条件（再々委託以降も含む）

⑤漏えい事案等が発生した場合の委託先の責任

⑥委託契約終了後の個人情報の返却又は廃棄

⑦従業者に対する監督・教育

⑧契約内容の遵守状況について定期およびインシデント発生時の報告

⑨当社の個人情報を取扱う委託先従業者

⑩当社による是正勧告および実地調査の権利

3)監督

個人情報管理責任者は、お客様の点検時およびインシデント発生時に、利用ログ・操作ログ、eラーニングツールの研修結果の管理画面、及び実地調査等により委託先の契約内容の遵守状況を確認する。個人情報管理責任者は上記確認の結果、是正が必要と判断した場合、代表取締役に報告を行なう。代表取締役は、報告を受けた問題・課題を評価した結果、委託先の是正が必要と判断した場合、委託先に是正勧告を行なう。個人情報管理責任者は、是正終結まで委託先の是正の進捗状況を管理し、終結の確認後、代表取締役に報告する。

２．特定個人情報等の取扱規程

ガイドライン8-2、法第22条

当社は、特定個人情報の取扱いについて次に定める。

（１）特定個人情報取扱事務

①特定個人情報等の範囲

1)源泉徴収票等

給与所得者の扶養控除等（異動）申告書、従たる給与についての扶養控除等（異動）申告書、給与所得者の保険料控除申告書兼給与所得者の配偶者特

別控除申告書、退職所得の受給に関する申告書、給与所得の源泉徴収票、

給与支払報告書、退職所得の源泉徴収票、特別徴収票

2)支払調書等作成事務

報酬、料金、契約金及び賞金の支払調書、不動産の使用料等の支払調書、

非居住者に支払われる給与・報酬・年金及び賞金の支払調書

3)雇用保険等関連事務

雇用保険被保険者資格取得届、雇用保険被保険者資格喪失届・氏名変更

届、健康保険・厚生年金保険被保険者資格取得届、健康保険・厚生年金保

険被保険者資格喪失届、健康保険被保険者（異動）届、上記の各種届の作

成に要する基礎資料

4)年金等関連事務

国民年金第３号被保険者関係届

②特定個人情報等取扱者

1)源泉徴収票等

2)支払調書等作成事務

個人情報管理責任者

3)雇用保険等関連事務

4)年金等関連事務

③取扱事務

１）取得

従業員は、番号法第19条各号に該当し特定個人情報の提供を受けることができる場合を除き、他人の個人番号の提供を求めてはならないものとする。従業員は、番号法第19条各号に該当する場合を除き、他人の個人番号を含む特定個人情報を収集してはならないものとする。

２）利用

従業員は、範囲に掲げる個人番号関係事務を処理するために必要な範囲を超えて、特定個人情報ファイルを作成しないものとする。

従業員は、各個人番号関係事務を行うために提供を受けた特定個人情報等は、本人の同意があったとしても、例外として認められる場合を除き、当該個人番号関係事務以外の事務において利用してはならない。また、利用目的を超えて特定個人情報を利用してはならない。（事業継承の場合には承継前に特定されていた利用目的を超えて特定個人情報を利用してはならない。）

ただし、当初の利用目的と相当の関連性を有すると合理的に認められる範囲内で利用目的を変更して、本人への通知を行うことにより、変更後の利用目的の範囲内で利用することはできる。

①源泉徴収票等作成事務

従業員は、源泉徴収票等への記載、提出、写しの本人交付を行う。写しの

本人交付は、相手先ごとに封緘し、交付するものとする。

②支払調書等作成事務

従業員は、支払調書への記載、提出、写しの本人交付を行う。写しの本人

交付は、相手先ごとに封緘し、交付するものとする。

③雇用保険等関連事務

従業員は、雇用保険に関する資格取得届への記載、提出の取扱事務は委

託先担当者が実施する。雇用保険被保険者証等の本人交付は、被保険者ご

とに封緘し、交付するものとする。

３）提供

代表取締役は、個人情報保護委員会が、特定個人情報の取扱いに関し、番号法第52条第１項の規程により、特定個人情報の提供を求めた場合には、この求めに応じ、個人情報保護委員会に対し、特定個人情報を提供する。

従業員は、番号法で限定的に明記された場合を除き、特定個人情報を「提供」しないものとする。また、従業員は、番号法第19条各号に該当しない場合には、特定個人情報を提供しないものとする。

４）保管・保存

従業員は、番号法第19条各号に該当する場合を除き、他人の個人番号を含む特定個人情報を保管してはならないものとする。

従業員は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅延なく消去するものとする。個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

５）廃棄・削除

従業員は、個人番号関係事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除する。特定個人情報ファイルの廃棄又は削除は、次のとおりとする。

１．特定個人情報ファイルの削除及び廃棄の時期

従業員は、法令等に定められた保存期間を経過した場合は、の確認を受けた上で、速やかに廃棄するものとする。

２．廃棄、削除の方法

従業員は、特定個人情報ファイルについて、溶解、電子媒体等の破壊等の復元できない方法により適切に廃棄するものとする。

廃棄が出来ない場合には、個人番号を復元出来ない方法により適切に削除するものとする。

従業員は、特定個人情報等を取り扱う書類、機器及び電子媒体等を、委託して廃棄又は削除する場合には、セキュリティを確保した廃棄又は削除が可能な委託先に委託して行う。これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。廃棄を委託する場合は、廃棄業者から廃棄証明書を取得する。廃棄証明書を発行できない業者は利用しないこととする。

３．廃棄日時の記録

従業員は、特定個人情報ファイルを廃棄又は削除したときは、当該特定個人情報ファイルの名称、取扱者、廃棄又は削除した件数及び内容の記録を作成し、並びに廃棄又は削除を委託した場合は委託先による廃棄又は削除を証明する記録等を受領する。