苦情処理・是正メカニズム

当社グループ各社は、以下の個人情報を処理します。

当社グループ各社は、以下の目的その他の適用される法令上許容される目的のために個人情報を処理します。また、当社グループ各社は個人情報を非識別化し、又は統計情報とすることがあります。

• 相談・通報に係る事実の確認・必要な調査のため
• データ主体に対する結果報告のため
• データ主体からの問い合わせ等に対応するため
• 相談・通報の背景事情の調査に活用して同種の潜在的なリスク事象を把握したり、一定期間に寄せられた相談・通報の傾向を俯瞰的に分析して同種のリスク事象を把握したりすることで、当社グループ各社並びにサプライチェーンの法令、行動規範、ベンダー行動規範、人権方針の遵守及び経営改善に活用するため
• 当社の取引関係者の問題を把握し、問題がある取引関係者に対し、再発防止を要請するため
• 官公庁への報告・届出・協力・各種手続を行うため
• 関連するステークホルダーへの説明責任を全うするため
• 適用される法律に基づく義務の履行又は権利の行使のため
• 人事評価、人事配置、役職員との雇用契約の履行のために必要な処理を含む労務管理のため
• 当社グループ各社の権利又は財産の保護のため
• 訴えの提起又は防御のため
• 下記｢6.個人情報の共有｣のため

当社グループ各社は、適用される個人情報保護法制上の、個人情報の処理の法的根拠（正当な利益、データ主体の同意及び法令の遵守等）に従って個人情報を処理します。

当社グループ各社は、データ主体から直接に取得するほか、以下の取得源から間接的にデータ主体の個人情報を取得します。

• データ主体の代理人
• 本通報制度に関する事務を担当する処理者（法律事務所その他の当該事務を委託している外部機関を含みます。）
• 当社グループ各社
• JaCER等、当社グループが参加する通報受付プラットフォームの運営主体

個人情報の適切な保存期間を決定するために、当社グループ各社は、個人情報の量、性質、及び機密性、個人情報の不正使用又は開示による潜在的な損害のリスク、当社グループ各社が個人情報を処理する目的、訴訟の提起及び防御に必要な期間及び他の手段でそれらの目的を達成できるかどうか、ならびに適用される法令の規程を考慮します。当社グループ各社が収集したデータ主体の個人情報が不要になった場合、当社グループ各社はその個人情報を削除又は匿名化するか、それが不可能な場合（例えば、個人情報がバックアップアーカイブに保存されている場合等）は、削除が可能になるまで、データ主体の個人情報を安全に保管し、その後、個人情報の新たな処理が行われないようにします。

当社グループ各社は、上記「1.処理の対象となる個人情報の種類」記載の個人情報を、以下の場合に、第三者に共有することがあります。

• 上記「2.処理の目的」記載の目的を果たすための他の当社グループ各社への個人情報の共有（※）
• 上記「2.処理の目的」記載の目的を果たすための処理者（委託先）への個人情報の共有

  処理者にはWhistle Bの代理店及びサービスプロバイダ（クラウドサービス提供者を含みます）が含まれます。

• 弁護士、会計士及び財務アドバイザー等への相談等のための個人情報の共有
• 企業の売却、合併、買収その他の資産の全部又は一部の移転に伴う個人情報の共有
• 法律又は政府機関の命令等によって要求される場合の個人情報の共有
• 当社グループ各社、データ主体、第三者の生命・身体・財産の保護のために必要な個人情報の第三者への共有であって、適用される個人情報保護法制により許容されるもの
• その他適用される個人情報保護法制によって許容される場合の個人情報の共有

当社グループ各社は、上記2.記載の目的達成に必要な範囲で、個人情報を以下の法域 その他の個人情報の移転が必要となる法域に移転する場合があります。

• 米国
• カナダ
• 英国
• アイルランド
• ドイツ
• ベルギー
• イタリア
• フランス
• オランダ
• スペイン
• スウェーデン
• フィンランド
• ノルウェー
• デンマーク
• ポーランド
• チェコ
• トルコ
• インド
• 中国本土
• 台湾
• 日本
• シンガポール
• カンボジア
• フィリピン
• ベトナム
• インドネシア
• オーストラリア
• ニュージーランド
• マレーシア
• メキシコ
• ブラジル
• アルゼンチン
• ウルグアイ

当社グループ各社は、個人情報の紛失、破壊、改ざん及び漏えい等を防止するため、不正アクセス対策、コンピュータウイルス対策等の必要かつ適切な対策を講じます。
また、個人情報の保護が図られるよう、当社グループ各社従業者、委託先等に対する必要かつ適切な監督を行います。
講じられる安全管理措置については、当社グループのプライバシーポリシーをご参照ください。

当社グループ各社は、適用される各法域のデータ保護法制に基づきデータ主体が有する権利を尊重します。例えば、適用される各法域のデータ保護規制で認められる限りにおいて、データ主体には、アクセス権、訂正権、削除権、制限権、異議権、同意撤回権（同意を根拠とする処理について認められる場合がありますが、同意を撤回しても、撤回前に行われた同意を根拠とした処理の適法性には影響を与えません。）、データポータビリティ権、自動化された意思決定の対象とならない権利等が認められている場合があります。日本の個人情報の保護に関する法律においては、保有個人情報（同法16条4項にいう保有個人情報をいいます。）の利用目的の通知、開示、内容の訂正・追加・削除、利用停止・消去・第三者提供の停止、及び、第三者提供記録の開示を求める権利が認められています。各法域の個人情報保護法制に基づき認められる権利については、各法域別紙をご確認ください。
各法域のデータ保護法制に基づき認められる権利を行使される場合は、下記「10.連絡先」記載の連絡先にお問い合わせください。

本ポリシーに関するご質問又はお問い合わせについては、以下にご連絡ください。

株式会社シマノ
〒590－8577
堺市堺区老松町3丁77番地
Tel: 072-223-3210 / Fax: 072-223-3258

なお、株式会社シマノの住所及び代表者の氏名については、会社概要及び役員をご参照ください。

当社グループ各社は、本ポリシーを変更する場合には、当社グループ各社が適当であると判断する方法（適用される法令により必要とされる方法がある場合にはそれに従います。）にて通知することにより、本ポリシーの全部又は一部を変更又は追加することができるものとします。この場合、本通報制度を利用して通報を行う者が当該通知を受領後初めて本通報制度を利用し、又は当該通知において定める日のいずれか早い時点から、変更後の本ポリシーが適用されるものとします。その他適用される個人情報保護法制において必要な手続がある場合には、当該手続を講じます。

発効日：2025年1月1日
最終更新日：2025年1月1日

本別紙は、当社グループ各社によるEEAに所在又は居住するデータ主体の個人情報の処理に適用される、GDPR及びUK GDPR（以下単に｢GDPR｣と総称します。）に関する別紙です。

本別紙には、当社グループ各社が実施する一定の処理に対して異議を唱える権利を含む、データ主体のデータ保護に係る権利に関する情報が含まれます。データ主体の権利及びその行使方法についての詳細は、「３.データ主体の権利」に記載されています。

1. 処理の法的根拠

2. 海外への個人情報の移転

当社グループ各社は、EEA（欧州経済領域）又は英国域外へ個人データを移転する場合、十分性認定(GDPR第45条)が認められている国については、十分性認定（EU・米国間のデータ保護フレームワークを含む。）に依拠し、それ以外の国については、欧州委員会により承認された標準データ保護条項（GDPR第46条第2項(c)及び第5項）又はICOにより承認された標準データ保護条項（UKGDPR第46条第2項(d)）を移転先と締結することにより、適切な保護措置を実施します。データ主体が、これらの保護措置に関連する文書の写しを受領することを希望される場合は、下記「4.共同管理者、EEA代理人及びDPOの連絡先」記載の連絡先宛にお問い合わせください。

当社グループ各社が十分性認定に依拠して個人データを移転する国は、以下のとおりです。

• カナダ（十分性認定の詳細については、こちらをご参照ください。）
• 英国（十分性認定の詳細については、こちらをご参照ください。）
• 日本（十分性認定の詳細については、こちらをご参照ください。）
• ニュージーランド（十分性認定の詳細については、こちらをご参照ください。）
• ウルグアイ（十分性認定の詳細については、こちらをご参照ください。）

3. データ主体の権利

データ主体は、以下の権利を有します。

• データの処理に関する情報の取得：データ主体は、本人に関係する当社グループ各社のデータ処理行為に関する全ての必要な情報を当社グループ各社から取得する権利を有します（GDPR第13条及び14条）。
• 個人情報へのアクセス：データ主体は、本人に関係する個人情報が処理されているか否かについての確認を当社グループ各社から取得する権利を有しており、かかる処理がなされている場合、個人情報及び関連する一定の情報にアクセスする権利を有します（GDPR第15条）。
• 個人情報の訂正又は削除：データ主体は、本人に関係する不正確な個人情報を不当な遅滞なく当社グループ各社に訂正させる権利及び不完全な個人情報を当社グループ各社に完全なものにさせる権利を有します（GDPR第16条）。また、一定の条件が満たされる場合、データ主体は、本人に関係する個人情報を不当な遅滞なく当社グループ各社に消去させる権利を有します（GDPR第17条）。
• 個人情報の処理に関する制限：一定の条件が満たされる場合、データ主体は、本人に関係する個人情報の処理を当社グループ各社に制限させる権利を有します（GDPR第18条）。
• 個人情報の処理に対する異議：一定の条件が満たされる場合、データ主体は、本人に関係する個人情報の処理に対して異議を唱える権利を有します（GDPR第21条）。
• 個人情報のデータポータビリティ：一定の条件が満たされる場合、データ主体は、本人に関係する個人情報を、構造化され、一般的に利用され、かつ、機械可読性のある形式で受領する権利並びに当該データを当社グループ各社から妨害されることなく別の管理者に移転する権利を有します（GDPR第20条）。
• 同意の撤回権：データ主体は、当社グループ各社が本人の同意を得る際に別途指定された手段により、いつでも本人の同意を撤回する権利を有します。ただし、本人の同意の撤回が、撤回前の本人の同意に基づき行われた処理の適法性に影響を与えることはありません。
• データ主体は、当社グループ各社による本人の個人情報の処理に関して、データ主体の居所、職場又は主張された侵害が発生した場所の加盟国のデータ保護監督機関に苦情を申し立てることができます（GDPR第77条）。

4. 共同管理者、EEA代理人及びDPOの連絡先

GDPRが適用される個人情報の処理については、その個人情報の処理の内容に応じて、株式会社シマノ（堺市堺区老松町3丁７７番地）が単独で管理者、又はSHIMANO EUROPE B.V.（ High Tech Campus 92, 5656 AG Eindhoven, the Netherlands ）と共同管理者となります。

株式会社シマノが単独の管理者となる場合、SHIMANO EUROPE B.V.がEEA代理人となります。当社グループによる個人情報の処理に関するお問い合わせについては、以下のメールアドレスまでご連絡ください。
SHIMANO EUROPE B.V.: privacy@shimano-eu.com

当社グループは、Data Protection Officer（"DPO"）を選任しています。
DPOの連絡先は以下のとおりです。
privacy@shimano-eu.com

発効日：2025年1月1日
最終更新日：2025年1月1日

本別紙は、カリフォルニアプライバシー権法（CPRA）により改正されたカリフォルニア州消費者プライバシー法（以下「CCPA」といいます。）の適用を受ける当社グループ会社が、対象となるカリフォルニア州の居住者であるデータ主体のCCPAにより定義される個人情報（以下「カリフォルニア州個人情報」といいます。）を処理する場合に適用されます。本別紙は、法律により要求される開示を含み、あなたが利用可能な権利について説明します。

当社グループ各社は、それぞれの裁量により、本別紙を随時更新する権利を留保しています。当社グループ各社は、本別紙を変更する場合、当社グループ各社のウェブサイトにその旨の通知を掲載し、本別紙の有効期限を更新します。本別紙を定期的に確認することは、あなたの責任になります。上記にかかわらず、当社グループ各社が本別紙に重大な変更を加える場合、当社グループ各社は、適用法令の定めに従い、当社グループ各社のウェブサイトに目立つように通知を掲載するか、あなたが当社グループ各社にメールアドレスを提供した場合には電子メールを送信するなどして、あなたに適切な通知を行うものとします。

なお、障害のあるデータ主体は、標準的なスクリーンリーダーを使用するか、又は下記「6.カリフォルニア州個人情報に関するご本人の権利」に記載されている方法で当社グループ各社に連絡することにより、本別紙にアクセスしていただけます。

1. カリフォルニア州個人情報

2. カリフォルニア州個人情報の受領者

当社グループ各社は、過去12ヶ月間に、シマノグループコンプライアンス相談受付窓口プライバシーポリシー「6. 個人情報の共有」と題するセクション記載の第三者に上記カリフォルニア州別紙1（3）記載の各類型のカリフォルニア州個人情報を開示しました。

3. カリフォルニア州個人情報の使用

当社グループ各社は、カリフォルニア州個人情報の各カテゴリーについて、シマノグループコンプライアンス相談受付窓口プライバシーポリシーの「2.処理の目的」記載の目的のために、カリフォルニア州個人情報を使用します。なお、CCPAで特定される「事業目的」には、以下のものが含まれます。

1. 当社グループ各社に代わりサービスを遂行すること
2. セキュリティとインテグリティの確保
3. その他の短期的・一時的な使用

当社グループ各社は、機微な個人情報をCCPA7027条（m）項に定める目的以外に利用または開示しません。

4. カリフォルニア州個人情報の販売又は共有

当社グループ各社は、カリフォルニア州個人情報を販売又は共有することはありません。また、当社グループ各社は、あなたが16歳未満であると16歳以上であるとを問わず、CCPAにおける意味において、過去12か月間に、あなたのカリフォルニア州個人情報を販売又は共有したことはありません。

5. カリフォルニア州個人情報に関するご本人の権利

カリフォルニア州居住者は、企業により収集されるカリフォルニア州個人情報に関して一定の権利を有します。あなたがカリフォルニア州居住者である場合、一定の例外および制限に従って、あなたのカリフォルニア州個人情報に関して以下の権利を行使することができます。当社グループ各社は、あなたがCCPA上の権利を行使したことを理由として、あなたに対して差別を行うことはありません。当社グループ各社は、あなたの事前のオプトイン同意に対して、特定の金銭的インセンティブ・プログラムを設定しておりません。

権利を行使される場合は、シマノグループコンプライアンス相談受付窓口プライバシーポリシーの「10.連絡先」記載の連絡先まで御連絡下さい。

• 当社グループ各社があなたに関して収集したカリフォルニア州個人情報の類型、当社グループ各社があなたのカリフォルニア州個人情報を収集した情報源の類型、あなたのカリフォルニア州個人情報を収集する当社グループ各社の目的、当社グループ各社が事業上の目的で開示したあなたのカリフォルニア州個人情報の類型、当社グループ各社がその情報を事業目的で開示した第三者の類型ならびに当社グループ各社が個人情報を共有した第三者の類型を知る権利。また、あなたは、あなたのカリフォルニア州個人情報の特定の一部の写しを要請する権利を有します。
• 当社グループ各社があなたから収集したまたはあなたについて保持するカリフォルニア州個人情報を削除する権利。なお、あなたがカリフォルニア州個人情報の使用を必要とするサービスを要求された場合、あなたがカリフォルニア州個人情報の削除を選択されると、当社グループ各社はそのサービスを提供できなくなることがあります。
• あなたのカリフォルニア州個人情報の販売及び共有をオプトアウトする権利。もっとも、当社グループ各社は、あなたのカリフォルニア州個人情報を販売しておりません。
• 当社グループ各社が保有する消費者に関する不正確な個人情報を訂正する権利
• 当社グループ各社がCCPA規則に定める以外の理由で機微な個人情報を利用または開示する場合、当社グループ各社による機微な個人情報の利用または開示を制限する権利

確認プロセスおよび必要情報　当社グループ各社は、適用される法令の下で許可または要求される場合、あなたの本人確認を行い、またはあなたの要請の範囲を把握するために、あなたに追加情報を要請する必要がある場合があることにご留意ください。要請を提出するためにまたはその要請に応じさせるために当社グループ各社のアカウントを開設するように求められることはありませんが、当社グループ各社の確認プロセスの一環として、当社グループ各社が既に保持する一定のカリフォルニア州個人情報（氏名、電子メールアドレスおよびメンバーIDを含みます。）を提供するようにあなたに要請する場合があります。

授権された代理人　あなたは、委任状を提出することまたはあなたに代わって行為することを許可する書面を代理人に交付することで、あなたの代わりにCCPA上の要請を行う権限を与えられた代理人を指名することができます。法律上許容される範囲で、当社グループ各社は、あなたが代理人を使用することを選択した場合でも、要請の対応において、代理人の授権の確認またはあなた自身の本人確認を行うことを求める場合があります。

当社グループ各社があなたの本人確認または要請を行う権限の確認ができず、あなたに関連するカリフォルニア州個人情報を確認できない場合、当社グループ各社は、あなたの要請に対応することまたはあなたに対してあなたのカリフォルニア州個人情報を提供することができない場合があることにご留意ください。

6. カリフォルニア州のトラッキング拒否に関する開示

当社グループ各社のウェブサイトおよびモバイル・アプリケーションは、Do Not Track信号に対応できるように設計されていません。上記のとおり、当社グループ各社は、カリフォルニア州個人情報を販売又は共有していませんので、オプトアウト・プリファレンス信号にも対応しておりません。

発効日：2025年1月1日
最終更新日：2025年1月1日

本別紙は、当社グループ各社による中国本土（以下「中国」といいます。）に所在又は居住するデータ主体の個人情報の処理に適用され、中国の「個人情報保護法」に関しての取扱いや、データ主体が行使可能な権利について説明するものです。

1. 個人情報の取扱いの法的根拠

当社グループ各社は、個人情報を取り扱うにあたっては、データ主体によるシマノグループコンプライアンス相談受付窓口プライバシーポリシー（以下「本ポリシー」といいます。）と本別紙への同意及びその他の手段による同意を取得した上で、合法、正当、必要及び信義誠実の原則に従ってこれを取り扱うものとします。ただし、以下に定める事由に該当する場合、中国の「個人情報保護法」に基づき、データ主体の同意なく、その個人情報を取り扱うことができます。

• データ主体を当事者の一方とする契約の締結、履行のために必要であるとき
• 法に従い制定された労働規則制度及び法に従い締結された集団契約に従い人材資源管理を実施するために必要であるとき
• 法定の職責又は法定の義務の履行のために必要であるとき
• 突発的公衆衛生事象に対応するため、又は緊急の場合において自然人の生命健康及び財産の安全を保護するために必要であるとき
• 公共の利益のためニュース報道や世論による監督等の行為を実施するにあたり、合理的な範囲内でデータ主体の個人情報を取り扱うとき
• データ主体が自ら公開した個人情報又はその他のすでに合法的に公開されている中国の「個人情報保護法」の規定に従い合理的な範囲内で取り扱うとき
• 法律、行政法規に定めるその他の事由

2. 中国国外への個人情報の移転

当社グループ各社は本ポリシーで記載した範囲内で、データ主体の個人情報を中国以外の国/地域に所在する当社グループ各社に対してデータ主体の個人情報を移転することがあり、データ主体が本ポリシー及び本別紙に同意した場合、かかる同意には、当該個人情報の中国国外の移転に対する同意も含まれるものとみなします。
また、当社グループ各社は、国外受領者による個人情報の取扱行為が中国の「個人情報保護法」に定める個人情報保護基準を満たすことを保障するため、必要な措置を講じます。

3. データ主体の権利

当社グループ各社は、データ主体が自らの個人情報に対して以下の権利を行使することを保障します。ただし、法律、行政法規に別段の定めがある場合はこの限りではありません。

• 知る権利と決定権：データ主体は、その個人情報の取扱について知る権利、決定権を有し、その個人情報を他人が取り扱うことを制限し、又は拒絶する権利を有します。
• 閲覧、複製：データ主体は、当社グループ各社からその個人情報を閲覧し、複製する権利を有します。データ主体がその個人情報の閲覧、複製を請求した場合、当社グループ各社は、遅滞なく提供します。
• 移転：データ主体がその指定する個人情報取扱者への個人情報の移転を請求し、国のネットワーク安全情報部門の定める条件を満たしているときは、当社グループ各社は、移転手段を提供します。
• 訂正と補充：データ主体は、その個人情報が不正確又は不完全であることを発見した場合、当社グループ各社に対し訂正、補充を請求する権利を有します。データ主体がその個人情報の訂正、補充を請求した場合、当社グループ各社は、その個人情報について事実確認を行い、かつ遅滞なく訂正し、補充します。
• 削除：データ主体は、(1)取扱目的が実現されたとき、実現不能であるとき、又は取扱目的の実現のために必要ではなくなったとき、(2)保存期間が満了したとき、(3)データ主体が同意を撤回したとき、(4)当社グループ各社が法律、行政法規に違反し、又は約定に違反して個人情報を取り扱ったとき、又は(5)法律、行政法規に定めるその他の事由のいずれかに該当する場合、当社グループ各社に対して個人情報の削除を請求する権利を有します。
• 取扱規則の説明を要求する権利：データ主体は、当社グループ各社に対して、その個人情報取扱規則について解釈及び説明を行うよう要求する権利を有します。
• 同意の撤回：データ主体の同意に基づく個人情報の取扱いにおいては、データ主体は、その同意を撤回する権利を有します。

4. 中国本土代理人の連絡先

当社グループ各社による中国本土に所在するデータ主体の個人情報の処理に関するお問い合わせについては、以下の連絡先までご連絡ください。
SHIMANO (KUNSHAN) BICYCLE COMPONENTS CO., LTD.（No. 6, Dong Ting Hu South Road, Kunshan, Jiangsu, China 215335）
TEL：+86-512-57310666