コンプライアンス規約
とフレームワーク
私たちは、データ保護、業界規制、国際標準にまたがる厳格なコンプライアンス体制のもとで事業を行っています。ここでは、私たちのお約束と、お客様にお願いしたいことをご説明します。
範囲と目的
本コンプライアンス規約（「コンプライアンス規約」）は、Exponent Solutions Pvt. Ltd.（「Exponent」）とそのクライアントとの間の契約の不可欠な一部を構成します。本規約は、Exponent のサービス提供を規律する規制遵守義務、フレームワーク、責任を定めるものです。
本規約は、データ処理、クラウドインフラ、ソフトウェア開発、AI/ML 導入、マネージドサービスを含むすべてのサービス契約に適用されます。両当事者は、コンプライアンスが一度きりの認証ではなく継続的な義務であることを認めます。
本規約の目的
コンプライアンスフレームワーク
Exponent のコンプライアンスプログラムは国際的に認められたフレームワークに基づき、第三者監査によって独立して検証されています。現在の認証およびコンプライアンス体制は以下のとおりです：
SOC 2 Type II
AICPA トラストサービス基準
セキュリティ、可用性、処理のインテグリティ、機密性、プライバシーのトラストサービス基準を対象とする年次監査。レポートは NDA のもとでクライアントに提供します。
ISO 27001:2022
情報セキュリティマネジメント
情報セキュリティポリシー、リスク管理、資産管理、アクセス制御、インシデント管理のプロセスを対象とする ISMS の完全な認証。
PCI DSS レベル1
ペイメントカード業界標準
金融サービスのクライアントに代わってカード決済データを処理・保存・送信するサービスにおいて、最高レベルの PCI DSS 準拠。
HIPAA への対応
医療保険の携行性と責任に関する法律
ヘルスケアのクライアント向けに HIPAA 対応のインフラとプロセスを用意。保護対象医療情報を扱うすべての契約で BAA（事業提携契約）を締結できます。
GDPR & PDPA
EU とインドのデータ保護
EU のデータ主体に対する GDPR の完全準拠と、インドのデータ主体に対するデジタル個人データ保護法（PDPA）2023 への準拠。DPA はご要望に応じて提供します。
ISO 9001:2015
品質マネジメントシステム
一貫したサービス提供プロセス、顧客満足度の測定、継続的改善の取り組みを保証する品質マネジメント認証。
データプライバシー法
Exponent は、クライアントに代わってデータ処理者として個人データを処理します。適用されるデータ保護法に基づく当社の義務は、サービス契約とあわせて締結可能なデータ処理契約（DPA）によって正式に定められます。
一般データ保護規則（GDPR）
当社は GDPR 第28条に基づくデータ処理者として行動します。すべての国際データ移転について標準契約条項（SCC）を締結しています。データ主体の権利行使の請求には30日以内に対応します。EU のクライアントとのすべての契約で DPA の締結が必須です。
2023年デジタル個人データ保護法（DPDPA）
Exponent は、DPDPA に基づきデータ受託者およびデータ処理者に適用されるすべての義務を遵守します。処理活動の記録を保持し、必要に応じて適切な技術的・組織的措置を講じています。
CCPA / 州のプライバシー法
カリフォルニア州居住者のデータを扱うクライアントについては、サービスプロバイダーとして CCPA/CPRA の要件を遵守します。当社は個人情報を販売せず、個人データの利用を制限する所定の契約条項を提供します。
越境データ移転の保護措置
すべての国際データ移転は、SCC、拘束的企業準則、十分性認定などの適切な移転メカニズムによって管理されます。クライアントにはサービス開始前にデータ保管場所の選択肢をお知らせします。
共同責任
共有サービスモデルにおけるコンプライアンスには、責任の明確な区分が必要です。以下のマトリクスは、各コンプライアンス活動の主たる責任者を定めたものです：
| コンプライアンス活動 | Exponent | クライアント | 共同 |
|---|---|---|---|
| インフラのセキュリティ管理 | 主担当 | — | — |
| 取り込み前のデータ分類 | — | 主担当 | — |
| 規制当局への報告 | — | 主担当 | — |
| エンドユーザーのアクセス管理 | — | 主担当 | — |
| データ主体の権利への対応 | 支援の役割 | 主担当 | — |
| 侵害の通知（規制当局へ） | 支援の役割 | 主担当 | — |
| 侵害の通知（Exponent へ） | — | 主担当 | — |
| ベンダーリスク管理 | — | — | 共同 |
| コンプライアンスに関する従業員研修 | — | — | 共同 |
| 監査への協力と証拠提供 | — | — | 共同 |
| プラットフォームとアプリケーションのセキュリティ | 主担当 | — | — |
| クライアント側のデバイスセキュリティ | — | 主担当 | — |
重要：データ管理者としてのクライアント
業界規制
規制業界のクライアントに対しては、業界固有の要件に沿った追加のコンプライアンス体制を維持しています。これらは契約内容に応じて適用されます：
🏭 業界別のコンプライアンス体制
金融サービス
RBI IT フレームワーク、SEBI ガイドライン、バーゼルIIIの統制支援、AML/KYC 連携基準、決済処理のための PCI DSS。
ヘルスケア
HIPAA/HITECH の BAA 締結可能、HL7 FHIR R4 による相互運用性、臨床データのセキュリティ基準、NABH デジタルヘルスフレームワークへの対応。
政府・公共部門
MEITY のクラウド政策への準拠、NIC セキュリティ基準、GeM 調達への適合、GovStack フレームワーク要件への対応。
小売・Eコマース
2019年消費者保護法への準拠、Eコマース規則の遵守、決済処理のための PCI DSS、データローカライゼーションへの対応。
製造
OT サイバーセキュリティへの準拠、IEC 62443 基準の理解、製品安全データの取り扱い、サプライチェーンのコンプライアンス文書。
通信・テクノロジー
TRAI 規制の理解、2000年 IT 法への準拠、義務に基づく6時間以内のインシデント報告を含む CERT-In への準拠。
コンプライアンス報告
Exponent は、お客様自身のコンプライアンスプログラム、規制当局による監査、デューデリジェンスに必要な文書と証拠を提供します。
- ✓SOC 2 Type II レポートは書面による請求に応じて NDA のもとで提供
- ✓ISO 27001 認証書はコンプライアンスポータルからダウンロード可能
- ✓エンタープライズのクライアントには毎年1月に年次コンプライアンス概要書を提供
- ✓ペネトレーションテストのエグゼクティブサマリーはご要望に応じて提供
- ✓再委託先リストを維持し、変更は30日前に通知して更新
- ✓高リスクな処理活動についてはデータ保護影響評価（DPIA）を支援
- ✓インドの規制に従い、該当するインシデントは6時間以内に CERT-In へ報告
コンプライアンスポータルへのアクセス
侵害・違反時の手順
データ侵害、規制への不適合、ポリシー違反のいずれであっても、コンプライアンス違反が発生した場合、両当事者は以下の通知および是正手順に従う必要があります。
コンプライアンス違反を発見した際の Exponent の義務：
- ✓クライアントデータに影響する個人データ侵害を認識してから72時間以内にクライアントへ通知
- ✓範囲、影響を受けたデータの種類、おおよその人数を含む初期インシデント評価を提供
- ✓クライアント自身の規制当局への通知に対し、合理的な協力と支援を提供
- ✓封じ込め措置を講じ、実施した是正手順を記録
- ✓インシデント終結後15営業日以内に完全な事後報告書を提出
コンプライアンス上の問題を発見した際のクライアントの義務：
- ✓Exponent のシステムに関わる潜在的な侵害やコンプライアンス問題を発見した場合、24時間以内に Exponent へ通知
- ✓Exponent の調査に全面的に協力し、Exponent が管理する環境で一方的な是正措置を取らないこと
- ✓規制当局への通知の判断については独立した法律顧問を確保すること — Exponent は法的助言を提供できません
CERT-In への義務的報告
再委託先のコンプライアンス
クライアントデータの処理のために Exponent が起用するすべての再委託先は、本規約に基づき Exponent と同じコンプライアンス義務を負います。Exponent は以下を含む正式な再委託先管理プログラムを維持しています：
- ✓クライアントデータを扱うすべての新規再委託先に対する契約前のコンプライアンス評価
- ✓すべての稼働中の再委託先に対する年次コンプライアンス再評価
- ✓クライアントの DPA と同等の保護を含む、すべての再委託先とのデータ処理契約
- ✓適用される規制で求められる場合の、再委託先を監査する契約上の権利
- ✓データにアクセスできる新たな再委託先を起用する前に、30日前にクライアントへ通知
規制の変更
規制環境は常に変化しています。Exponent は、当社のサービスに影響する新規および改正された法律、基準、ガイドラインを監視・評価・対応するための規制変更管理プロセスを維持しています。
クライアントの義務や Exponent のサービス提供に影響する重大な規制変更があった場合、Exponent は変更の発効から30日以内（即時に効力を持つ場合は合理的に可能な限り速やかに）影響を受けるクライアントに通知します。Exponent はサービスへの影響について合理的な指針を提供しますが、法的助言は提供できません。事業に影響する規制変更については、ご自身の法律顧問にご相談ください。
コンプライアンス窓口
コンプライアンスに関するお問い合わせ、監査文書のご請求、DPA の締結、または Exponent のサービスに関する規制上のご質問は、以下の窓口までご連絡ください：
コンプライアンスチーム
監査レポート、DPA、認証について
compliance@exponentsolutions.ai 5営業日以内に回答
法務チーム
契約条件、DPA の交渉について
legal@exponentsolutions.ai 5営業日以内に回答
データ保護責任者
データ主体の権利、GDPR に関するお問い合わせ
dpo@exponentsolutions.ai 5営業日以内に回答
インシデントホットライン
進行中の侵害やインシデントについて
security@exponentsolutions.ai +91 01234 4333534 (24/7)
GDPR 上の当社の登録データ保護責任者： compliance@exponentsolutions.ai。登記住所：A-33, Raheja Vedaanta, Sector 108, Gurugram, Haryana 122017, India。
コンプライアンス文書が必要ですか？
SOC 2 レポート、ISO 認証書、DPA テンプレート、コンプライアンス質問票への回答をご請求ください。5営業日以内にご返信します。