データをどのように保護しているか
SenangUrus は、請求書、給与計算、顧客リストなど、ビジネスを動かす記録を管理しています。マレーシアの個人情報保護法（PDPA）では、その一部が機微なデータに該当します。本ページでは、誰が何に責任を負うのか、当社が維持する管理体制、書面でお約束する事項、そして難しいご質問に誰が回答するのかを説明します。
最終更新日：2026年9月17日
誰が何を担当するか
当社はデータ処理者です
SenangUrusに登録されたすべてのデータ（従業員、顧客、仕入先とその記録）について、データ管理者はお客様であり、当社はお客様の書面による指示に基づいてのみ処理します。当社がお客様のデータを自社の目的で利用することはなく、販売や貸与も行いません。
当社自身も直接の義務を負います
2025年4月1日以降、個人情報保護法2010（改正法A1727）により、安全管理原則は管理者だけでなく、データ処理者にも直接課されることになりました。個人データの保護を怠った処理者は、それ自体が犯罪となります。当社の管理体制は、契約条項だけでなく、この基準を満たすように構築されています。
データ保護責任者を設置しています
当社のDPOは、PDPAコンプライアンスについて当社に対して説明責任を負い、第12A条の要件に従って個人データ保護コミッショナーへ届け出ています。顧客、監査人、データ主体はこの責任者へ直接連絡できます。
当社が維持する対策
これらは処理者としてのセキュリティ原則を支える統制です。当社のデータ処理契約に添付された技術的・組織的措置を要約したものであり、サブスクリプション期間中に緩和することはありません。
| 測定 | 実務での意味 |
|---|---|
| アクセス制御 | 記名アカウントのみ、役割ベースの権限、最小権限、管理者アクセスへの多要素認証、退職時の即時アクセス停止。 |
| ネットワーク分離 | アプリケーションのデータベースはローカルインターフェースにバインドされており、パブリックインターネットからはアクセスできません。管理用インターフェースはファイアウォールルールで制限されています。 |
| 暗号化 | 通信中のデータはTLS、プラットフォームが対応する範囲で保存時の暗号化、バックアップの暗号化も実施します。 |
| 監査可能性 | 管理操作および設定の変更はログに記録され、そのログは保持され、確認できます。 |
| レジリエンス | テスト済みのリストア手順と文書化されたリカバリ手順書による毎日のバックアップ。 |
| 脆弱性管理 | フレームワークと依存関係のセキュリティ更新は、文書化されたスケジュールに沿って追跡・適用されます。 |
| テナント分離 | プラットフォームはマルチテナント方式です。ある顧客のデータへのアクセスが別の顧客への提供に使われることはなく、社内ツールもこの境界を守ります。 |
| 人材 | 顧客データを扱うスタッフは秘密保持義務を負い、定期的にセキュリティとプライバシーの研修を受けます。 |
| 変更管理 | セキュリティ要件は私たちの提供プロセスの一部です。本番環境の個人データを開発環境やテスト環境で使用することはありません。 |
| インシデント対応 | 検知、トリアージ、封じ込め、通知、事後レビューまでの手順を定義したインシデント対応手順書を文書化。実際に訓練しており、見せるだけの文書ではありません。 |
データが処理される場所
データがどこで処理されるかを推測に任せず、明確にお伝えします。現在の再委託先、各社がアクセスできるデータ、その処理拠点は再委託先一覧ページで公開し、データ処理契約（DPA）の別紙にも記載しています。
マレーシアの越境移転ルールは2025年4月1日に変更されました。個人データをマレーシア国外へ移転できるのは、移転先が実質的に同等の保護水準を有する場合、または適切な保護措置が講じられている場合に限られます。当社は実施する移転についてこれらの保護措置を維持しており、新しい国での処理を開始する際は、事前にお客様に通知します。
社内ポリシーによりデータをマレーシア国内に保管する必要がある場合は、注文書にその旨を記載してください。ご契約前に、サービスのどの範囲が対象となるかを書面で確認いたします。
問題が発生した場合
漏えい後に生じる義務こそ、顧客が最も気にする点であり、多くのベンダーが曖昧にしか説明しない点でもあります。当社は具体的に示します。
24時間以内にご連絡します
当社のデータ処理契約では、お客様のデータに影響する個人データ漏えいを認識してから24時間以内に通知することをお約束しています。ここでの認識とは、漏えいが発生したと信じるに足る合理的な根拠を得た時点を指し、調査の完了時点ではありません。
法令で求められる期間より意図的に短く設定
第12B条では、72時間以内にコミッショナーへ通知する義務があり、重大な損害が生じた場合は、影響を受けるデータ主体にも7日以内に通知する必要があります。当社の通知は法律が定める時期より早く起算されるため、評価と判断の時間を確保できます。
書類手続きを支援します
通知に必要な事実（時系列、区分、件数、封じ込め、根本原因）を提供し、コミッショナー（監督当局）からの照会には当社のデータ保護責任者（DPO）が対応します。
すべてが記録されます
個人データの漏えい等インシデントは、報告義務なしと判明したものも含め、少なくとも2年間台帳に記録します。
データ主体の方の権利と、お客様の権利
- アクセス・訂正・エクスポート・削除はすべてお客様のテナント内で行え、ご自身のデータについて当社に依頼する必要はありません。
- PDPAには現在、データポータビリティの権利（第43A条）が含まれています。当社は構造化された機械可読形式のエクスポートを提供しており、データ主体から求めがあって形式が許す場合には、データをそのまま移管できます。
- データ主体から当社に直接連絡があった場合、当社は内容について回答せず、ご指定の担当窓口に引き継ぎ、本人には転送済みである旨をお伝えします。
お問い合わせ時に提供するもの
実際に締結するデータ処理契約
処理範囲、セキュリティ対策、24時間以内の漏えい通知、再委託先一覧、越境移転の開示、監査権、契約終了時のエクスポートと削除。ぜひご請求ください — テンプレートであり、ゼロからの交渉は不要です。
書面での回答
セキュリティ質問票、調達関連書式、DPIAに関するご質問には、DPOが本書と同じ事実に基づき、書面にて回答します。
合理的な条件での監査
年に1回、またはお客様に影響する漏えいが発生した後、お客様または守秘義務を負う独立した監査人は、30日前の通知により当社の処理を監査できます。ただし、他のお客様のデータは閲覧できません。
誇張した表現はしません
PDPAの認証は主張しません。そもそも存在しないからです。認定バッジが必要な場合は、当社のセキュリティ概要をご請求ください。当社が保有する情報と保有しない情報を正直にお伝えします。
顧客データに対して決して行わないこと
- お客様のデータを販売、貸与、ライセンス供与することはなく、広告目的で共有することもありません。
- お客様のデータを、当社または他社のAIモデルの学習に使用することはありません。
- お客様のデータからベンチマークや業界比較を作成することはありません。書面によるご指示があり、出力が匿名化されている場合を除きます。
- 本番の顧客データをAIアシスタントやサードパーティツールに提供することはありません。これは社内規則として明文化されており、アクセス権限の上でも徹底しています。
- あるテナントのデータを別のテナントのために使用することはありません。
データ保護責任者へのお問い合わせ
当社のDPOは、PDPAコンプライアンスについて当社に対して説明責任を負い、第12A条の要件に従って個人データ保護コミッショナーへ届け出ています。セキュリティ質問票、DPIAに関する質問、監査依頼、漏えい通知はこの窓口へ直接お寄せください。
[email protected] · (+6) 03-7890 3946
C-16-3A Zen Suites @ ZetaPark, Jalan Langkawi, Taman Danau Kota, 53100 Setapak, W.P. Kuala Lumpur, Malaysia
よくあるご質問
01/当社はデータ管理者ですか、それともデータ処理者ですか？
02/本番稼働の前にデータ処理契約の締結が必要ですか？
03/データはどこに保存されますか？
04/解約した場合、データはどうなりますか？
05/御社を監査することはできますか？
06/プライバシーやセキュリティの問い合わせ先はどこですか？
難しい質問は当社のDPOにお寄せください
調達またはセキュリティに関する質問票をお送りいただくか、データ処理契約書と最新の再委託先リストをご請求ください。パンフレットではなく、書面での回答をお約束します。