ServiceNow のプライバシーおよびセキュリティプログラムに関する一般的な質問

以下には、ServiceNow のクラウドサービスに送信した個人データを保護するために設計された、ServiceNow のプライバシーおよびセキュリティプログラムに関する情報が記載されています。

https://www.servicenow.com/jp/upgrade-schedules.html に記載した ServiceNow の標準的なデータ処理補遺 (DPA) とデータセキュリティ補遺 (DSA) は、関連するデータ保護法のもとでのデータ処理者としての当社の義務と、データ管理者としての御社の義務について言及しています。 この FAQ では、DPA および DSA に関する一般的な質問に対する回答と、フォームの相違点について説明しています。 特に、当社のサービスを提供する通常の過程において、当社が提供するクラウドベースのサービスを利用することで、お客様が入力したデータの内容を当社がレビューまたは分析することはありません。 そのため、個人データがサービスのインスタンスにアップロードされているかどうかは、当社側ではわかりません。 したがって、お客様は、顧客およびデータ管理者として、データのレビューや分析を求める関連データ保護法の義務への準拠に対する主な責任を負います。 これらの理由により、お客様が規制要件を満たしながら、当社が提供するクラウドベースサービスの運用の現状を反映させるために、標準的な DPA と DSA が起草されています。

個人データに関する ServiceNow のセキュリティ義務とはどのようなものですか？

ServiceNow は、堅牢なセキュリティプログラムを実装および維持することで、当社が処理する個人データの保護に取り組んでいます。 DSA では、ServiceNow がお客様のデータを保護するために採用している技術的、物理的、組織的なセキュリティ対策について具体的に詳しく説明しています。

標準化されたクラウドベースサービスの提供者として、ServiceNow はデータに依存しないセキュリティプログラムを維持しています。 つまり、ServiceNow 環境内でお客様が処理するデータのカテゴリーや機密性にかかわらず、当社は同じセキュリティ対策を実装しています。

したがって、データの内容を把握しているのはお客様だけなので、お客様の環境内で処理あるいは処理を計画しているデータに対して当社のセキュリティプログラムが十分かどうかを精査して判断するのは、お客様の責任です。

ServiceNow は、データ保護法によって義務付けられているデータの所有権の遵守に関して、どのようにお客様を支援しますか？

ServiceNow クラウドソフトウェアは、個人データのアクセス、訂正、修正、消去およびブロックを支援する機能を提供し、さらにお客様が個人データを転送、移植することを可能にします。

データ管理者としての顧客の監査権限はどのようなものですか？

ServiceNow は、データのプライバシーとセキュリティプログラムに関する透明性を強く確信しています。 DPA や DSA の監査条項に従って、現在のお客様は、情報および文書の包括的リポジトリである ServiceNow CORE へのアクセスを要求することができます。これには、ポリシー、手順に加え、ISO 27001 や ISO 27018 などの国際的に認められた規格に対する当時最新の第三者による監査レポートの最新版、および SSAE 18/SOC 1 および SOC 2 タイプ 2 などのセキュリティ規格に対する独立した第三者によるアセスメントが含まれます。

ServiceNow はサブプロセッサを使用していますか？ServiceNow が使用を予定している今後のサブプロセッサについて、どのように通知しますか？

ServiceNow は、お客様に世界クラスのサービスを提供することに注力しています。これには 24 時間 365 日のライブテクニカルサポートが含まれます。 当社のサービスを提供し、サポートするために、ServiceNow はさまざまなサービスに関して、DPA に記載した米国、オーストラリア、インドを含む世界中の関連会社とその他のサブプロセッサを率いています。 新しいサブプロセッサを採用する前に、ServiceNow は DPA の条項に従ってお知らせします。そのため、お客様は DPA の条項に従い、ServiceNow が提示する当該サブプロセッサの使用について、異議を唱えることができます。

この背景については ServiceNow の EU を中心としたサービスデリバリへの投資 をお読みください。

ServiceNow はどのようにしてデータ侵害について顧客に通知しますか？

お客様のデータに影響を与えるセキュリティインシデントが発生した場合、ServiceNow は、カスタマーサポートポータルで指定されたお客様の連絡先、または DPA と DSA で提示されているお客様の連絡先に初期報告を提供します。 お客様は、適切な担当者がサポートポータルにリストされていることを確認する責任を負います。

欧州連合から個人データを転送するために ServiceNow が使用する法的機構はどのようなものですか？

ServiceNow は欧州委員会の適切性判断および標準契約条項 (SCC) に依存します。詳しくは https://www.servicenow.com/jp/company/trust.html で入手できる『国際的なデータ移転に関する FAQ』をご覧ください。