クラウドサービスにおける顧客データの処理に関するステートメント

Liferayクラウドサービスにおける顧客データの処理に関するステートメント(以下「本ステートメント」)は、Liferay, Inc.、Liferay International Limited、またはそれぞれの関連会社(これらの企業を総称して「Liferay」といい、個別的に「関連会社」といいます)が、ユーザーであるお客様(以下「お客様」)から提供された、Liferayホステッドサービスおよびアプリケーション(以下「本サービス」)のご利用に必要な情報(以下「情報」)をどのように利用するのかについて記載したものです。​​​​

Liferayは、該当サービスの提供に関してお客様と締結した契約に定める秘密保持条件などに従って、また、本サービスのご利用に際して、Liferayのプライバシーポリシー(https://www.liferay.co.jp/privacy-policy)および(該当する場合)データ保護補遺に従って識別された、または識別可能な自然人に関する情報(以下「個人データ」)を処理する必要がある場合において、本書に定める目的に限り、本書に記載する通りに情報を使用します。識別可能な自然人とは、氏名、識別番号、位置データ、オンライン識別子、本人の身体的、生理学的、遺伝子的、精神的、経済的、文化的または社会的アイデンティティに特有の一以上の要素を参照することにより、直接・間接的に特定できる個人をいいます。

第1条(個人データ処理サービス)は、サービスの一部として個人データを含む情報を処理することもあるLiferayクラウドサービスに適用されるものであり、第2条(その他のホステッドサービス)は、Liferayのホステッドサービスおよびアプリケーションで処理される、個人データを含まない情報について記載したものです。

Liferayは、変更の効力発生日の30日前までに改訂版を掲載することにより、本ステートメントをいつでも変更する権利を留保します。変更内容について本ページを定期的にご確認いただき、また、Liferayが今後導入する新たなクラウドサービスをご利用になる際は、事前に本ページをご確認いただきますようお願いいたします。変更の効力発生日以降もクラウドサービスのご利用を継続される場合は、変更後の本ステートメントにご同意いただいたことになります。上記にかかわらず、Liferayは、お客様との書面による契約に基づき必要な場合には、本ステートメントの変更内容をお客様に通知いたします。

1. 個人データ処理サービス

本第1条は、以下のサービスに適用されます。

  • Liferay DXP Cloud 
  • Liferay Analytics Cloud (日本国内未提供)

Liferay Cloud, Inc. & 復処理者

本サービスは、Liferayの関連会社であるLiferay Cloud, Inc.(米国)によって提供され、以下の復処理者を使用します。

  • Amazon.com, Inc.(米国ワシントン州シアトル、リンク先に記載の復処理者を使用)
  • Dynatrace LLC(米国マサチューセッツ州ウォルサム、リンク先に記載の復処理者を使用)
  • Google LLC(米国カリフォルニア州マウンテンビュー、リンク先に記載の復処理者を使用)
  • Zendesk, Inc.(米国カリフォルニア州サンフランシスコ、リンク先に記載の復処理者を使用)

復処理者となるLiferayグループ会社

  • Liferay, Inc.(米国カリフォルニア州ダイヤモンドバーおよびオハイオ州ハミルトン)
  • Liferay Latin America Ltda.(ブラジル、レシフェおよびサンパウロ)
  • Liferay GmbH(ドイツ、エシュボルン)
  • Liferay S.L.U.(スペイン、マドリード)
  • Liferay Dalian Software Co., Ltd.(中国、大連市)
  • 日本ライフレイ株式会社(東京都)
  • Liferay India Pvt. Ltd.(インド、バンガロール市)
  • Liferay Hungary Kft.(ハンガリー、ブダペスト)
上記は個人データの処理に携わる可能性のある復処理者をまとめたリストであり、全員がすべての個人データ処理業務に従事するものではないことにご留意ください。
Liferay Cloud, Inc. 以外の関連会社からサービスを購入している場合、当該関連会社が本サービスをLiferay Cloud, Inc.に再委託すること、したがって、お客様が本サービスに提供する個人データの処理において当該関連会社が関与しないことをご了承ください。明確化のために付言すると、セキュリティ基準の実施状況を確認するセキュリティ対策または認証に関する記載事項は、本サービスを販売するLiferayの関連会社ではなく、Liferay Cloud, Inc.にのみ適用されます。

個人データの区分および種類

本サービスのご利用の範囲内で、お客様は、本サービスに個人データを提供することができます。本サービスに提供する個人データの範囲、区分および種類は、お客様が任意に決定するものであり、本サービスのご利用状況により異なります。

個人データには、以下の種類のデータ主体に関する個人データが含まれます。

  • お客様の従業員、代理人、アドバイザー、請負人
  • お客様の見込み客、顧客、取引先、ベンダー
  • お客様の見込み客、顧客、取引先およびベンダーの従業員、代理人、アドバイザーおよび請負人
個人データには、以下の種類の個人データが含まれます。
  • 氏名
  • 性別
  • 役職
  • 地位
  • 会社名
  • 個人または業務用メールアドレス
  • 電話番号
  • 勤務先または自宅住所
  • その他の連絡情報(例:Skype ID)
  • 地理的位置データ
  • 使用言語
  • IPアドレス

技術的かつ組織的なセキュリティ対策

Liferayは、お客様が本サービスに提供した個人データを処理するために、SOC 2およびISO 27001:2013コンプライアンスレポート(請求に応じて入手可能)による認証を受けた以下のセキュリティ対策を講じ、使用する復処理者が同等以上の保護を提供することを保証します。
  • オフィススペース:Liferayのオフィススペースへのアクセスは、IDカード管理システム、ロックダウン手順、アクセスモニタリングを通じて物理的な安全対策が講じられています。
  • パスワードおよび認証情報:システムは本サービスの履行に携わる従業員(以下「チームメンバー」)による不適切なアクセスから保護されるだけでなく、チームメンバー以外の者による望ましくないアクセスから保護されます。そのため、チームメンバーは全員、強力で安全性の高い認証情報を使用しなければなりません。
  • パスワード保護:チームメンバーは全員、Liferayのセキュリティ・信頼性委員会(以下「セキュリティ委員会」)による検証を受けたパスワード管理システムを使用しなければなりません。サービス関連のアカウント認証情報は、すべてパスワード管理システムに保存する必要があります。
  • 個人のコンピュータおよび社内システムすべてに自動ブロック機能が実装されています。
  • 多要素認証(MFA):可能な限り、すべてのシステムアカウントにおいて、MFAが強制(場合によっては必須化)されています。MFAを使用することができない場合、アカウントは、MFAを提供するサードパーティのアカウント(例:Google、GitHub)経由で認証する必要があります。上記の選択肢がいずれも利用できず、基本認証(例:コンピュータのログイン)のみ利用可能な場合、厳格な基準に従う必要があります。これには、アカウントのパスワードについて、ランダムに生成されるか他のアカウントパスワードとは異なる固有なものであること、15文字以上(理想的には20~30文字)であること、生年月日、居住地、家族構成などの既知の個人情報が含まれていないこと、「password」のようなありがちな文字列をパスワードとして使用しないことなどが含まれます。
  • 暗号化:AES-256を使用してプライベートデータや秘密データが暗号化されます。保存データや送信データはすべて暗号化されます。
  • 知る必要性:個人は、特定のタスクの履行において知る必要が生じる場合を除き、知る必要のない情報にアクセスすることはできません。セキュリティ委員会は、このポリシーに従わない者がいる場合には、不必要なアクセスを取り消します。
  • ユーザーの役割:システムへのアクセス管理権限は、可能かつ現実的である限り、ユーザーの役割に応じて各ユーザーに与えられます。役割は所属部門や職務によって決められ、仕事または部門業務の変更に伴い見直され、更新されます。
  • 管理者アクセス権限の見直し:個人のアクセス権限を変更する必要がある場合は、セキュリティ委員会に連絡しなければなりません。セキュリティ委員会のメンバーの最低一人が、該当する個人の役割を精査し、アクセスを付与または維持するためにシステム変更を行います。セキュリティ委員会は、コンプライアンスモニタリングポリシーに従って、システムおよび管理者アクセス権限の各種設定状況を確認しなければなりません。
  • 管理者アクセス権限の見直し:個人のアクセス権限を変更する必要がある場合は、セキュリティ委員会に連絡しなければなりません。セキュリティ委員会のメンバーの最低一人が、該当する個人の役割を精査し、アクセスを付与または維持するためにシステム変更を行います。セキュリティ委員会は、コンプライアンスモニタリングポリシーに従って、システムおよび管理者アクセス権限の各種設定状況を確認しなければなりません。
  • SSH経由でのサーバーへのダイレクトアクセスはすべて、ブルートフォースアタックを防止する要塞ホストソリューションを介して接続されます。SSHアクティビティはすべて永久に記録・保存されます。アクセスする必要のあるメンバーだけがアクセスすることができます。リモートアクセスに対してもセキュリティポリシーが適用されます。認証情報は、アクセスコントロールポリシーに準拠するものでなければなりません。
  • 顧客のデータベースは個別の仮想マシンに分離され、各プロジェクト環境は個別のプライベートネットワークで分離されています。
  • 本番環境データを開発環境で使用しません。
  • 個人は、特定のタスクの履行において知る必要が生じる場合を除き、知る必要のない情報にアクセスすることはできません。
  • セキュリティ委員会は、このポリシーに従わない者がいる場合には、不必要なアクセスを取り消す責任があります。
  • データ送信の際には、少なくともAES-256レベルの暗号化を使用したSSL接続を用います。
  • すべてのリクエストは、リクエスト対応者のユーザーアクセストークンまたはIDによって署名されます。
  • サーバーおよびデータベース履歴は永久に記録・保存されます。
  • 文書作成、変更および削除の記録はすべてログに保存されます。当該ログは6か月間保存され、安全な冗長性やアクセス制御により不正な改竄から守られます。
  • システムインフラについては、バックアップルーティンが30分単位で実行され、バックアップは異なる地域に複製され、暗号化され、永久的に保存されます。顧客データについては、バックアップルーティンがデフォルトで毎日実行され、30日間保存されます。バックアップは異なる地域に複製され、暗号化されます。
  • ファイアウォール設定では厳格なインバウンド/アウトバウンドルールを設定し、内部/外部ペネトレーションテストによる検証が毎年行われます。
  • Liferayのシステム可用性ポリシーに従って、システム可用性がモニタリングされ、報告されます。
  • 災害復旧計画が整備・文書化され、定期的にテストされます。
  • 本格的な災害復旧を必要とするインシデントが発生した場合でも、2時間以内にインフラ全体がオンライン状態に復帰できます。
  • 離席時には、コンピュータの画面が常にロック状態になります。個人データが業務外で共有されることはありません。また、個人データが個人のコンピュータに保存されることもありません。
  • インシデントが発生した場合、直ちにセキュリティ委員会にエスカレーションされ、インシデントレジストリに記録され、影響度に応じて格付けされます。インシデントは優先度に応じて対処されます。すべてのインシデントに関してセキュリティ委員会による事後の根本原因分析が実施されます。
  • すべてのシステムは、可用性、機密性または完全性が危険にさらさることがないように、適切な仮名化とデータ保護機能が提供できるように構築されています。
 ​​​

認証

2. その他のホステッドサービス

Liferay Connected Services

お客様にLiferay Connected Servicesを十分にご活用いただけるようにするため、Liferayは以下の情報を収集します。
 
  • 各インスタンスにどのパッチがインストールされているか
  • お客様のインスタンスのプロパティ(ユーザー名やパスワードを含むキーと値のペアを除く)
  • JVMメトリクス
  • ポータルおよびポートレットメトリクス
  • キャッシュおよびサーバーメトリクス​​​​
お客様によるLiferay Connected Servicesのご利用およびLiferayによる当該サービスの提供において、お客様に対して個人データの提供や開示を求めたり、Liferayに個人データへのアクセス権を付与するよう要求することはありません。お客様は、Liferayに個人データを不必要に開示することを防ぐための合理的な措置を講じるものとします。