1. お問い合わせ

質問、本人の権利に関する請求およびデータ保護に関する苦情は、AssociationforIEMT@gmail.comへお送りください。件名に「Data protection」と記載してください。個人データを開示する前に、本人確認のために相応の情報を求める場合があります。

2. 協会が収集する可能性のある情報

• 氏名、連絡先、国およびアカウント識別子。
• 会員資格の状況、資格、研修、CPDおよび名簿情報。
• 会員、イベントおよび取引の記録（支払状況を含みますが、カード情報一式は含みません）。
• 問い合わせ、通信、意見、苦情、セーフガーディング報告および有害事象情報。
• マーケティングの希望および通信履歴。
• サービスの運営・保護に必要なウェブサイトのセキュリティ、ログインおよび技術情報。
• 明示された目的のために本人が任意に提供するその他の情報。

3. 情報を利用する理由

協会は、会員資格と認定の管理、名簿の維持、会員サービスの提供、研修・イベントの実施または掲載、問い合わせ・支払の処理、関連情報の連絡、ウェブサイトのセキュリティ保護、法務・会計上の義務の履行、苦情・安全上の懸念の調査、基準の維持、ならびに法的権利の確立・行使・防御のために個人情報を利用します。

適用される適法根拠は、活動に応じて、契約、法的義務、正当な利益、同意または重大な利益となる場合があります。健康、セーフガーディングその他の特別カテゴリー情報には、英国GDPRに基づく第6条の適法根拠と第9条の条件の双方が必要です。これらは、事案の機微性から推定せず、処理前に特定して記録します。

4. 情報の共有

必要かつ適法な場合、ウェブサイトのホスティング、会員管理、メール、フォーム、イベントまたは支払を支援する契約事業者、専門職・保険・法律顧問、権限を付与された協会関係者、ならびに公的機関、セーフガーディング機関、警察、裁判所または規制機関と情報を共有することがあります。事業者は、合意したサービスのためにのみ、適切な契約上・セキュリティ上の管理に従って情報を処理できます。

協会は個人情報を販売しません。クライアントを特定できる情報または秘密情報は、クライアントの明示的な書面による許可なく、医療専門職や同業者と共有しません。ただし、重大な危害、危険にさらされている子ども・成人の保護、法的要件または有効な裁判所命令により、限定的な開示が必要かつ適法な場合を除きます。詳しくは、本人の同意なく守秘義務を解除する場合をご覧ください。

5. 国際的なサービス

一部の技術事業者は、英国外で情報を処理する場合があります。英国のデータ保護法が適用される場合、協会は十分性規則、承認された移転手段またはその他の適法な保護措置を用い、提供される保護を評価します。海外で活動する会員は、クライアントおよび処理場所に適用される法令を遵守しなければなりません。

6. 保存期間

英国GDPRは、すべての情報に共通する5年または7年の保存期間を定めていません。協会は情報カテゴリーごとに保存期間を定め、その目的、法的義務、セーフガーディング、公衆の保護、会計、保険および請求の確立・防御に必要な期間のみ情報を保存します。

• 会員資格、認定および取引の記録： 会員または認定関係の存続期間、および会計、監査、保険または法的請求に必要な追加期間。
• 名簿情報： 公開が承認され、関連性がある期間。その後、必要に応じて削除または保管します。
• 通常の問い合わせ： 事案が完了し、継続的な運営上または法的な必要性がなくなるまで。
• 苦情、懲戒、セーフガーディングおよび有害事象の記録： 重大性、法定要件、時効期間、公衆を継続して保護する必要性または公正な手続を示す必要性に応じた期間。
• マーケティング記録： 同意が撤回され、異議が申し立てられ、または見直しにより記録が削除されるまで。
• セキュリティログ： 運営上相応の期間。ただし、インシデント調査に必要な場合はより長く保存します。

保存期間は定期的に見直します。不要となった情報は安全に削除または匿名化し、継続する適法な目的がある場合は保管します。

7. 本人の権利

状況により、本人は、説明を受ける権利、情報へのアクセス、不正確なデータの訂正、消去または処理制限の請求、データポータビリティ、処理への異議、同意の撤回、および自動処理のみによる決定への異議申立ての権利を有する場合があります。これらの権利は、すべてが絶対的なものではありません。

有効な本人情報開示請求には通常、不当に遅滞することなく1か月以内に回答します。複雑または複数の請求など、法令が認める場合は期間を延長することがあり、その旨を請求者へ通知します。請求には合理的かつ相応の調査を行います。

8. セキュリティとデータ侵害

• アクセスは役割と必要性に応じて制限します。
• アカウントと端末には、適切なパスワード、更新およびアクセス制御を使用しなければなりません。
• 機微な資料には、リスクに応じた安全な保存・送信方法を使用しなければなりません。
• 秘密情報を入力する前に、事業者と新しいシステムを評価しなければなりません。
• 紛失、誤送信、不正アクセスまたは開示の疑いがある場合は、速やかに封じ込め、記録し、評価しなければなりません。

英国で報告義務のある個人データ侵害は、不当に遅滞することなく、可能な場合は認識後72時間以内にICOへ報告しなければなりません。侵害が本人の権利・自由に高いリスクを生じさせる可能性がある場合は、影響を受ける本人にも不当に遅滞することなく通知します。すべてのインシデントが報告基準を満たすわけではありませんが、疑われる侵害はすべて記録し、評価します。

9. Cookieおよび類似技術

協会は、セキュリティ、認証、会員アクセスおよびサービスの基本運営を含め、要求されたウェブサイト機能の提供に厳密に必要な技術のみを使用する方針です。厳密に必要な保存には同意を要しないため、基本機能への同意だけを得る目的で同意バナーを使用することはありません。

必須でない広告または追跡技術は、同意が必要な場合に、利用者へ明確な情報と有効な選択肢を事前に提供しない限り有効にしません。サイトの技術が変わる場合は、導入前に本通知と同意の仕組みを見直します。

10. 独立して活動する実践者の基準

会員は、自らの業務で収集する情報に責任を負います。自らが管理者、共同管理者または処理者のいずれであるかを判断し、正確なプライバシー通知を発行し、適法根拠と特別カテゴリーの条件を特定し、必要な情報のみを収集し、正当な保存期間を設定し、記録を保護し、権利請求に対応し、処理者を管理し、インシデント対応手続を整備しなければなりません。

便利であるという理由だけで、クライアント情報を生成AI、文字起こし、録音、クラウドまたはメッセージングシステムへ入力してはなりません。実践者はまず、システムの利用、保存、学習、移転およびセキュリティの仕組みを理解し、適法かつ倫理的な根拠を確保しなければなりません。匿名化は、単に氏名を削除するだけでなく、合理的な再識別を防ぐものでなければなりません。

11. 苦情およびICO

データ保護に関する苦情は、AssociationforIEMT@gmail.comへお送りください。協会は明確な申立経路を提供し、30日以内に苦情の受領を確認し、適切に調査し、不当に遅滞することなく結果を通知します。また、Information Commissioner’s Office（英国情報コミッショナー事務局）へ苦情を申し立てることもできます。最初に協会の手続を利用することが望ましいものの、外部機関に対する権利が失われることはありません。