拘束的企業準則

1.1

範囲

BCRsは、TDCXが収集・利用する欧州経済領域（EEA）内の従業員、就職希望者、顧客、サプライヤー、請負業者、ビジネスパートナー、その他の自然人のすべての個人情報に適用されます。

本BCRは、TDCXグループ内の事業体間での個人情報の授受に関するTDCXの考え方を具体的に規定しています。この意味で、このBCRは従業員を含むすべてのテレダイレクト事業体を法的に拘束するものです。

TDCXの従業員の個人データに適用されるプライバシー規則については、従業員のプライバシーに関する通知を参照してください。採用候補者の個人データに適用されるプライバシー規定については、[採用候補者の個人情報保護に関する通知]を参照してください。

1.2

発効日

BCRsは[2019年6月8日]（「発効日」）に発効します。TDCX BCRは、発効日に存在するすべての過去のTDCXプライバシーポリシーおよび通知に優先し、それらがBCRと同じ問題をカバーしているか、またはBCRと矛盾している限りにおいて、発効日に存在するすべてのTDCXプライバシーポリシーおよび通知に優先するものとします。

1.3

BCRs の実施

(a)

データ保護担当者

BCRs の運用はデータ保護責任者の責任となります。BCRs の解釈、実施、または適用可能性について疑問がある場合、TDCX のスタッフは、関連する処理を行う前にデータ保護オフィサーの助言を求めるものとする。

(b)

データ保護局

GDPRを遵守するために、TDCXはスペイン政府の機関であるAgencia Española de Protectección de Datos（AEPD"）を監督機関として選定しています。

(c)

BCRが実施している適用法

BCRsは、個人データの処理に関する自然人の保護およびそのようなデータの自由な移動に関する2016年4月27日の欧州議会および理事会の規則(EU)2016/679によって作成された義務を実施し、指令95/46/EC（「一般データ保護規則」または「GDPR」）を廃止するものです。

TDCXは、GDPRおよび欧州データ保護委員会およびAEPDからの関連ガイダンスに従ってBCRの条項を解釈することにコミットしています。

データ対象者の「同意」とは、データ対象者の希望を自由に与えられた、具体的で、情報を提供された、かつ明確な意思表示であり、それによってデータ対象者が声明または明確な肯定的行動によって、自分または自分に関連する個人データの処理に同意したことを示すものである。

「管理者」とは、個人データの処理の目的および手段を単独でまたは他の者と共同で決定する自然人または法人、公的機関、機関、その他の機関を意味します。

「データ保護責任者」とは、スタッフ（処理者を含む）が適用されるデータ法の遵守を監督し、TDCXのデータコンプライアンスポリシーの実施を監督するためにTDCXによって任命された者を意味します。

「データ対象者」とは、特定または識別可能な自然人を意味します。

「欧州経済圏」とは、1994年1月1日の欧州経済圏条約が適用される欧州連合加盟国およびアイスランド、リヒテンシュタイン、ノルウェーの地域を意味します。

「GDPR」とは、個人データの処理に関する自然人の保護および当該データの自由な移動に関する2016年4月27日の欧州議会および理事会の規則（EU）2016/679を意味し、随時改正または修正される指令95/46/EC（「一般データ保護規則」）を廃止するものです。

「正当な目的」とは、本 BCRs の第 5 条に定める個人データの収集および処理のための認可された目的を意味する。

「個人データ」とは、識別可能な自然人（「データ対象者」）に関する情報を意味し、識別可能な自然人とは、特に名前、識別番号、位置情報、オンライン識別子、または自然人の身体的、生理的、遺伝的、精神的、経済的、文化的、社会的アイデンティティに特有の1つ以上の要素を参照することにより、直接または間接的に識別可能な人を意味します。

「処理または処理」とは、収集、記録、整理、構造化、保存、適応または変更、検索、相談、使用、送信による開示、普及またはその他の方法で利用可能にする、整列または組み合わせ、制限、消去または破壊など、自動化された手段の有無にかかわらず、個人データまたは個人データの集合に対して実行される操作または一連の操作を意味し、「処理」とは、これらの操作または一連の操作のいずれかを実行することを意味します。

「処理者」とは、管理者に代わって個人データを処理する自然人または法人、公的機関、機関、その他の機関を意味します。

「TDCX グループ」とは、BCR 序文の第 2 項に記載されている TDCX 事業体のリストと、その後にグループ会社となる事業体のリストを意味します。

「機密性の高い個人データ」とは、データ対象者の人種または民族的出自、政治的意見または政党や組織のメンバー、宗教的または哲学的信条、専門職や労働団体、労働組合のメンバー、身体的または精神的健康状態（障害を含む）、性的指向、犯罪歴、または国または公的機関が発行した社会保障番号を明らかにする個人データを意味します。注：最後の2つのカテゴリーについてはスペインの法律を確認してください。

「スタッフ」とは、発効日の時点で、TDCXのデータシステムを使用して、またはTDCXの敷地内で主に業務を行っているTDCXのすべての従業員（コンサルタント、臨時または正社員を含む）を意味します。本BCRの目的上、TDCXのために雇用されたコンサルタントはスタッフとなります。

「第三者」とは、データ対象者、管理者、処理者、および管理者または処理者の直接の権限の下に、個人データを処理する権限を有する者以外の自然人または法律上の人物、公的機関、機関または組織を意味します。

3.1

スタッフは、個人情報の誤用、偶発的、違法、または不正な破壊、消去、紛失、変更、変更、開示、取得、またはアクセスから個人情報を保護するために、適切かつ商業的に合理的な措置を講じなければなりません。

(a)

スタッフのアクセス

スタッフは、適用される正当な目的を達成し、業務を遂行するために必要な範囲内でのみ、個人データにアクセスすることができます。

個人データにアクセスするスタッフは、契約書、TDCXスタッフのガイドラインおよびポリシーに定められた守秘義務を遵守しなければなりません。

4.1

個人データの処理は、適用される正当な目的に合理的に適切で関連性のあるデータに限定されるものとする。個人データは、適用される正当な目的のために合理的に必要な範囲内で、正確で、完全で、最新の状態に保たれていなければならない。

TDCXは、適用される正当な目的のために必要でない（または必要でなくなった）個人データを安全に削除または破棄するために、合理的な措置を講じなければなりません。

個人データの保有は、個人データのみとします。

(b)

適用される正当な目的を達成するために必要な限りにおいて。

(c)

適用される法的要件を満たすために必要な期間、または

(d)

適用される時効に照らして必要な期間。

当該保有期間が終了した後、速やかに、個人データは以下の代替方法で取り扱われるものとします。

(a)

確実に削除または破棄しなければならない。

(b)

追加情報を使用しなくても個人データが特定のデータ対象者に帰することができないような方法で仮名化されているものとし、そのような追加情報は別個に保管され、個人データが特定または識別可能な自然人に帰することまたは帰することができないようにするための技術的および組織的措置が講じられているものとする。

(c)

アーカイブに転送するものとする（適用される現地法または適用されるTDCXの記録保持スケジュールで禁止されている場合を除く）。

データ対象者は、提供された個人データが不正確、不完全、または古くなっている場合には、TDCXに通知する必要があり、TDCXは第10条に従ってデータを修正するものとします。

個人データは、以下の目的のために収集、利用、譲渡、その他の処理を行います。

(a)

TDCX事業目的、または

(b)

TDCX管理の目的。

5.1

TDCX経営の目的

TDCX事業の目的のために必要な個人データの処理の正当な目的には、以下のようなものがあります。

(a)

顧客、仕入先及び取引先との契約の締結及び締結（顧客サービスの提供、商品及び／又はサービス���購入を含む。

(b)

TDCXとの間のサービス、製品、材料の引渡しを記録し、金銭的に精算すること。

(c)

マーケティング活動やプロモーションの実施

(d)

財務・会計管理を行う。

(e)

研究開発を行う。

(f)

内部管理と統制。

(g)

政府や規制機関との関係を含めた法令上の義務の履行

(h)

合弁事業、合併、買収、売却を含む企業取引。

5.2

TDCX経営の目的

TDCX管理のために必要な個人データの処理の正当な目的には、以下のようなものがあります。

(a)

会社資産の管理、内部監査・調査の実施、業務統制の実施に必要な処理等の内部管理

(b)

TDCXおよびTDCXスタッフの資産保護を含む、TDCXの健康、安全、セキュリティポリシーを実施するために必要な処理、顧客、サプライヤー、ビジネスパートナーのステータスとアクセス権の認証などの内部管理

(c)

法的義務を遵守するために必要な処理などの内部管理

(d)

データ対象者または他の自然人の重大な利益を保護するために必要な処理などの内部管理

(e)

スタッフと関連するTDCX事業体との契約関係を実施し、管理するために必要な社内人事管理

5.3

同意

TDCXは、個人データの処理を行う場合には、次のいずれかに該当することを確認します。

(a)

データ対象者は、1つ以上の特定の目的のために個人データを処理することに同意しています。

(b)

処理は、データ対象者が当事者である契約の履行のため、または契約締結前にデータ対象者の要求に応じた措置を講じるために必要なものである。

(c)

TDCXの対象となる法的義務を遵守するために必要な処理。

(d)

データ対象者または他の自然人の重大な利益を保護するために処理が必要な場合。

(e)

ただし、そのような利益が、個人データの保護を必要とするデータ対象者の利益、基本的な権利および自由によって上書きされる場合を除きます。

5.4

同意の拒否または撤回

データ対象者はいつでも同意を拒否したり撤回したりすることができるため、TDCXによる処理は、TDCXが以前に与えられた同意に依拠した行動をとった場合にのみ行われます。そのような同意が撤回された場合、TDCXは合理的に実用的な範囲で速やかに処理を中止するものとします。

TDCX は、適用される法律で認められている正当な目的を達成するために必要な範囲内でのみ、機微な個人データを処理するものとします。

センシティブデータが、処理に適用される現地法以外の法的要件に基づいて処理される場合、またはデータ対象者の明示的な同意に基づいて処理される場合、処理は以下のいずれかの場合にのみ行われるものとします。(i) データ保護責任者の事前承認を得た場合、または (ii) 処理を管理するプライバシーサブポリシーの下でのみ処理が行われる。

6.1

機密性の高いデータは、以下のいずれかの状況下で処理されることがある。

(a)

データ対象者が「オプトイン」を含む処理に明示的に同意している場合。

(b)

[TDCX]がセンシティブな個人データを提供するデータ対象者にサービスを提供している場合。

(c)

センシティブ個人データを提供するデータ対象者が、研究プロジェクトまたはサービス/製品試験に自発的に参加している場合。

(d)

詐欺の疑い、契約違反、法律違反、その他TDCXサイトや資産へのアクセス条件の違反を防止、検出、起訴（公的機関との協力を含む）するため。

(e)

法律上の請求権を立証し、行使し、または防御すること。

(f)

データ対象者または他の自然人の重大な利益を保護するため。ただし、最初に関連する同意を得ることが不可能または非現実的な場合（緊急の措置を必要とする事故など）に限ります。

(g)

適用される法律を遵守するために必要な場合。

6.2

機微なデータは、以下の第7条に定める条件の下でのみ、二次的な目的のために処理されることがあります。

7.1

TDCXは一般的に、個人データを当初収集された目的（「当初の目的」）のためにのみ処理するものとします。

7.2

本来の目的と二次的な目的が密接に関連している場合には、本来の目的以外の二次的な目的（以下「二次的な目的」といいます）のためにデータを処理することがあります。

7.3

本条の規定は、二次目的のためのセンシティブデータの処理に適用される。

7.4

7.4 二次目的のためにデータを処理する場合、TDCX は、密接にリンクされた二次目的のための処理の結果としてデータ対象者に危害が及ぶ可能性の影響評価を行うものとし、その際には以下の必要性を評価するものとする。

(a)

個人データへのアクセスを制限すること。

(b)

追加の機密性およびセキュリティ対策を実施すること。

(c)

オプトアウトの機会を提供することを含め、第二の目的についてデータ対象者に通知すること。

(d)

データ対象者の同意の取得

7.5

二次目的のために個人データを処理することが許可されている理由は、データ保護責任者の許可を得た上で、以下の通りである。

(a)

内部監査又は調査を行うこと。

(b)

統計的、歴史的または科学的な研究を行うこと。

(c)

紛争解決のための管理及び法律・経営コンサルティングサービスの利用

(d)

保険問題の管理、または

(e)

アーカイブ

TDCXは、個人データの処理を、適用される正当な目的に合理的に適合し、関連性のあるデータに限定します。

8.1

TDCXは、個人データのみを保持するものとします。

(a)

適用される正当な目的に対処するために必要な期間。

(b)

適用される法的義務または要件を遵守するために合理的に必要な範囲で。

(c)

適用される時効に照らして望ましい限りにおいて

(d)

上記を損なうことなく、TDCXは特定のカテゴリーの個人データを保存する期間を指定することができます（TDCXの通知またはTDCXの記録保持プロトコルで）。

TDCXは、適用される正当な目的のために必要とされない、またはもはや必要とされない個人データを削除または破棄するために、安全かつ確実に合理的な技術的および物理的措置を講じるものとします。

既存または見込み客へのダイレクトマーケティングは、対象となる個人の同意を得た場合に限り、TDCXが行うものとします。

9.1

既存顧客または見込み顧客へのダイレクトマーケティングコミュニケーションに対処する目的で、TDCXは以下のことを行うものとします。

(a)

対象となる個人の事前の肯定的な同意を得ること（法律で義務付けられている範囲で）。

(b)

そのような通信を受信しないことを選択する機会を個人に提供すること。

(c)

その後に行われるダイレクトマーケティングのコミュニケーションでは、そのような個人に対して、今後のマーケティングコミュニケーションをオプトアウトする機会を提供します。

TDCXはマーケティングに対する異議を尊重し、対象となる個人がTDCXからのマーケティング・コミュニケーションの受信に異議を唱えたり、同意を撤回したりした場合は、TDCXは個人の要求に応じてマーケティング資料の送付を中止し、マーケティング・データベースから個人の個人情報を削除します（第8条に定める条件の下での保存）

TDCXは、個人情報を収集・処理するデータ対象者に対して、以下のような説明と情報提供を行う「個人情報保護に関する通知書」を発行することにより、その旨を通知します。

10.1

個人データが処理される正当な目的については、以下の情報を含めてデータ対象者に通知するものとする。

(a)

処理された個人データの処理に責任を負うTDCXエンティティおよびDPOの連絡先（該当する場合）。

(b)

処理された個人データの性質および種類、個人データが開示される第三者の種類（ある場合）、および個人データを提供するデータ対象者が適用法に基づく権利をどのように行使することができるかに関する情報。

(c)

合理的に入手可能な場合には、関連する個人データの出所、種類、目的および受信者の区分。

(d)

データ対象者が提供された個人データへのアクセス、修正、削除、またはアクセスを制限する権利、およびそのような権利を行使する方法（例えば、データ保護責任者またはTDCXウェブサイトの適切なページに連絡することによって）。

(e)

データ対象者がTDCXまたは第三者の正当な利益のために個人データの処理に異議を唱える権利、またはTDCXが公共の利益のために業務を遂行する場合、またはTDCXに与えられた公的権限を行使する場合、個人の状況に関連するやむを得ない理由がある場合、およびこの権利の行使方法についての情報（例えば、データ保護責任者またはTDCXのウェブサイトの該当ページに連絡すること）を提供します。

(f)

個人データの提供が法定の要件なのか契約上の要件なのか、契約を締結するために必要な要件なのか、データ対象者が個人データを提供する義務があるのかどうか、およびそのようなデータを提供しなかった場合に起こりうる結果について。

(g)

プロファイリングを含む自動化された意思決定の存在。

10.2

上記の情報要件は、以下のような場合には、データ保護責任者の許可を得て、省略することができる。(i) 個人に通知することが不可能な場合、(ii) 不釣り合いな労力を要する場合、または (iii) 当該情報の提供により不釣り合いなコストが発生する場合。

第10.1条(d)および(e)に基づく権利の行使

(a)

第 10.1 条(d)および(e)で言及された権利を行使するデータ対象者は、本人であることの証明を要求されることがある。修正の要求があった場合、データ対象者は、個人データが不正確および/または不完全である理由を説明し、要求から明らかでない場合は正確な代替情報を提供するよう要求されなければならない。個人データの削除を要請された場合、データ対象者は、要請内容から明らかでない場合には、TDCXが個人データを削除する根拠となる適用される根拠のうち、どの根拠に該当するのかを尋ねる必要があります。TDCXがデータ対象者に関する大量の情報を保有している場合には、データ対象者に対して、問題となっている個人データの種類と、その要求に関連する処理活動を特定するよう求めなければなりません。

(b)

データ保護責任者は、上記第 10.1 条(d)および(e)に基づく要求を行ったデータ対象者に対して、要求を受領してから 1 ヶ月以内に回答しなければならない。データ保護責任者はデータ対象者に以下のいずれかを書面で通知しなければならない。(i) 要求または異議申し立てに関する TDCX の立場、および要求に応じて TDCX が取った、または取る予定の措置、または (ii) データ保護担当者が TDCX の立場をデータ対象者に通知する最終的な日付を、要求を受領してから 2 ヶ月以内に通知するものとします。

10.3

苦情を言う権利

(a)

本条に基づく請求を行ったデータ対象者は、以下の場合には、第19条に従って苦情を申し立てる機会を与えられるものとする。

(i)

要求に対する回答または異議申し立てがデータ対象者にとって不満足なものである場合。

(ii)

データ対象者は、第10条2項(b)に基づき要求される回答を受けていない。

(b)

データ対象者の要求または異議申し立ては、TDCXによるデータ保護責任者の指導の下、以下の場合には拒否されることがあります。

(iii)

10.2 (a)に基づいてTDCXが追加情報を要求したにもかかわらず、要求または異議申し立てが十分に正確または具体的ではなく、証拠によって裏付けられていない。

(iv)

要求または異議申し立てが明らかに根拠のない、または過剰であることが明らかであり、特に以下の理由から

i)

反復性のある

ii)

事前の請求または異議申立てから不合理な時間間隔をおいて行われた場合

TDCXは、データ対象者に関する決定を行うために自動化されたツールを使用することができるが、決定はこのプロセスによって提供された結果のみに基づいて行われるものであってはならない。

11.1

この制限は、以下の場合には適用されません。

(a)

自動化されたツールの使用は、法律で義務付けられているか、または許可されている。

(b)

自動化されたツールは、TDCXへの採用を希望する候補者の数字と言語のスキルを、ショートリストに載る前に客観的に評価するために使用され、候補者は自動化された評価に同意しています。

(c)

TDCXによる決定につながる要求がデータ対象者によってなされたことを条件に、契約の締結または履行のためにTDCXによる決定がなされた場合; または

(d)

データ対象者の正当な利益を保護するために適切な措置が取られている（例えば、データ対象者が意見を述べる機会を提供したり、与えられたりしている）

12.1

TDCXは、個人情報の誤用、偶発的、違法、不正な破壊、紛失、改ざん、開示、取得、アクセスから個人情報を保護するために、適切かつ商業的に合理的な技術的、物理的、組織的な措置を講じなければなりません

12.2

従業員は、正当な目的を達成し、TDCXの従業員としての業務を遂行するために必要な範囲内でのみ、個人データにアクセスする権限を与えられているものとします。関連するTDCXスタッフは、契約書やTDCXポリシーに定められた適切な守秘義務を負うものとします。

13.1

TDCXグループ内の第三者に個人データを譲渡する場合、TDCXは、個人データを処理する正当な目的のために必要な範囲内でのみ個人データを譲渡します（これには、データ対象者の同意を得た目的のための処理や、第5条および第7条に基づく二次的な目的のための処理も含まれます）。

13.2

TDCX は、個人データが BCRs の条件を遵守して TDCX グループ内で処理されること、および BCRs および適用法で要求されるように当該データ対象者のデータプライバシーの利益が保護されることを保証するものとします。

14.1

TDCXグループのメンバー以外の者に個人データを転送する場合は、以下のように区別します。

(a)

第三者データ処理者とは、TDCXに代わってTDCXの指示のもとにのみ個人データを処理する者をいいます。

(b)

第三者データ管理者、すなわち、個人データを処理し、処理の目的と方法を決定する第三者（例えば、お客様に独自の商品やサービスを提供するTDCXビジネスパートナー）。

14.2

TDCXは、個人データが処理された正当な目的（二次目的のための処理や第5条に基づく同意を得た目的のための処理を含む）に必要な範囲内でのみ、個人データを第三者に提供するものとします。

14.3

TDCXは、第14.7条に規定されているように、第三者データ管理者がTDCXと書面による契約を締結している場合に限り、第三者データ管理者（公的機関を除く）がTDCXとの関係に関連して取得した個人データを処理できるようにするものとします。

14.4

TDCXは、当該処理によって関係するデータ対象者のデータプライバシー権が契約上保護されていることを保証するものとする。

14.5

TDCXが、データ対象者の事業や利益に関連する正当な事業目的のために、第三者データ管理者がデータ対象者に連絡を取るために当該情報を使用することを確実にするための合理的な措置を講じた場合、業務連絡先情報の第三者データ管理者への移転は、契約なしに行われることがある。

14.6

TDCXは、適用法に基づき許可または要求された場合、およびそのような譲渡、販売、リース、貸与が事業目的（第5.1条に基づく）に役立つ場合を除き、同意なしに、ビジネス上の連絡先情報を第三者データ管理者に一括して譲渡、販売、リース、または貸与することはできないものとします。

14.7

第三者データ処理者との契約

第三者データ処理者は、以下の事項に対処する条件を含む書面による契約をTDCXと締結している場合に限り、個人データを処理することができる。

(a)

第三者データ処理者は、TDCXの指示に従い、TDCXが承認した目的のためにのみ個人データを処理するものとします。

(b)

第三者データ処理者は、個人データの秘密を保持します。

(c)

第三者データ処理者は、個人データを保護するために、適切な技術的、物理的、管理的、組織的なセキュリティ対策を講じなければならない。

(d)

第三者データ処理者は、TDCXの書面による事前の許可なしに、TDCXに対する義務に関連して、業務委託先に個人データを処理させることを許可してはならない。

(e)

TDCXは、第三者データ処理者が講じたセキュリティ対策を確認する権利を有し、第三者データ処理者は、TDCXまたは関連する政府機関による監査および検査に関連するデータ処理施設を提出することを要求されること。

(f)

第三者データ処理者は、ハッキングやGDPRが定める義務に関するデータ違反を含む個人データに関わる事故が発生した場合、速やかにTDCXに通知しなければなりません。

14.8

EUの適切性に関する決定またはデータ条約のない領域への移転

欧州委員会がGDPR第5章の下で個人データの「適切なレベルの保護」を提供していないとみなしている国（「非適切な領域」）に所在する第三者への個人データの転送は、以下の条件が満たされた場合にのみ行われるものとします。

(a)

TDCX と関連する第三者との間で、BCR と同程度の保護レベルの保障措置を提供する契約が締結されていること。

(b)

契約は、適用される現地法（欧州データ保護委員会またはAEPDのガイダンスの対象となるものを含む）の下で要求されるモデル契約に準拠するものとします。

(c)

EEAから米国への個人データの転送の場合、第三者は、EU-米国データ条約またはGDPRの目的のために「適切な」レベルのデータ保護を提供していると認められるその他の類似のスキームや条約によって修正または継承されたEU-米国プライバシーシールドの下で認定されています。

(d)

第三者は、適用法の下で要求される適切な保護措置を提供する拘束力のある企業規則または同様の移転管理メカニズムを確立しており、これらは管轄当局によってGDPRに準拠しているとみなされています。

(e)

顧客、仕入先若しくは取引先との契約を履行するため、又は契約締結前に顧客、仕入先若しくは取引先の求めに応じて必要な措置を講じるために必要な場合。

(f)

TDCXと第三者との間で個人の利益のために締結された契約の締結または履行のために必要な譲渡。

(g)

データ対象者または他の自然人の重大な利益を保護するために必要な場合。

(h)

譲渡/移転が法的請求権の確立、行使または防御のために必要な場合。

(i)

関連するTD事業体が対象となる法律によって譲渡/移転が必要とされる場合。

(j)

データ対象者は、第14.9条に定める条件に従い、当該譲渡/移転に同意しています。

14.9

譲渡のための不適切な領域同意

第14.8条(j)に基づき同意を求める場合、TDはデータ対象者に以下の情報を提供するものとします:

(a)

譲渡の目的

(b)

譲渡のTD事業体の身元。

(c)

個人情報が譲渡される第三者の身元またはカテゴリー。

(d)

譲渡される個人データの種類

(e)

個人データの譲渡先の国名

(f)

個人データが不適切な領域に譲渡されること

14.10

不十分な領地間の譲渡

EEA内でTDが収集した個人データを、以下の条件を満たす場合に限り、不適切な領域に所在する別の第三者に譲渡することができる：

(a)

当該TDが負う法的義務を履行するために必要なものであること。

(b)

公共の利益のために必要であること。

(c)

TDの正当な目的を満たすために必要な譲渡であること（第5条による）

TDCXは、個人データにアクセスできるスタッフ、または個人データの管理に責任を持つスタッフに対して、BCR、その他のデータプライバシーおよびデータセキュリティの義務とベストプラクティスに関するトレーニングを提供するものとします。

TDCXは、個人データの処理に関わるすべてのTDCX事業体の業務プロセスおよび手順を監査し、BCRの遵守状況を評価する責任を負うものとします。

(a)

このような監査は、社内の TDCX 監査チームまたは認定された外部監査チーム、またはデータ保護責任者の特定の要求に基づき、[年に 1 回] [定期的に] 実施されるものとする。

(b)

このような監査は、独立性、誠実性、機密性の適切な専門的基準に基づいて実施されなければならない。

(c)

データ保護責任者には、監査の結果が通知され、報告書が TDCX 上級管理者に提出されるものとします。

(d)

TDCXは、本条に基づくコンプライアンスの監視または監査中に特定されたBCRの欠点または違反に対処するための適切な措置が取られていることを確認しなければならない。

(e)

監査結果のコピーは、要求に応じて AEPD に提供されるものとし、AEPD は、必要に応じてデータ保護監査を実施することができる。

(f)

TDCX グループの各メンバーは、AEPD の監査を受ける可能性があることを確認し、BCR に関連するいかなる問題についても AEPD の助言に従うことを確認する。

17.1

TDCX は、以下の責任を負うデータ保護責任者を任命するものとする。

(a)

BCR の遵守を監督すること。

(b)

BCRsの実施およびGDPR義務の解釈に関するアドバイスの提供（ジェネラルカウンセルとの調整を含む）、TDCX取締役会および上級管理職へのアドバイス。

(c)

AEPDを含む公的機関による個人データの処理に関する調査や問い合わせに対するTDCXの対応を整理し、AEPDやその他の監督当局の窓口となること。

(d)

GDPR義務の遵守に関する年次報告書を提示すること。TDCX内部コンプライアンスレビューを実施する際には、独立性、誠実性、守秘義務の適切な専門的基準を維持しなければならない。

(e)

TDCXのGDPR義務遵守に関するデータ要求や苦情に対するTDCXの対応を監督すること。

(f)

プライバシーの問題やGDPR義務違反（これらが発生した場合）を含むコンプライアンス上の問題へのTDCXの対応を監督します。

(g)

適切な場合には、コンプライアンスの監視または監査中に特定された BCRs の違反に対処するための適切な措置が取られていることを確認する。

(h)

責任の配分、処理業務に関わるスタッフの認識と訓練、およびそれに対応する監査を監督する。

17.2

コンプライアンス違反に対する制裁措置

BCRs を遵守しない場合、解雇を含む懲戒処分や制裁措置がスタッフに課せられることがあります。

18.1

個人データの転送時の法の抵触について

個人データを転送する法的要件が EEA 加盟国の国内法または国境を越えたデータ転送に関する法的要件を持つ他の国の国内法と矛盾する状況では、関連する個人データの転送は、データ保護責任者によって事前に承認されなければなりません。必要に応じて、AEPD またはその他の権限のある公的機関にガイダンスを求めるものとする。

18.2

BCRs と現地法との矛盾

(a)

適用される現地法と BCRs との間に矛盾がある場合、TDCX のスタッフはデータ保護責任者に相談しなければなりません。現地の弁護士から適切な法的助言を得るものとする。必要に応じて、AEPD またはその他の権限のある公的機関に指導を求めるものとする。

(b)

GDPR やその他の EU 法を含む現地の法律が、より高いレベルの個人データ保護を要求する場合は、BCR よりも優先されます。

(c)

すべての場合において、個人情報はGDPR、その他の適用法または関連する現地の法律に従ってTDCXによって処理されます。

19.1

データ対象者は、BCR の遵守に関する苦情を TDCX 内部で提出する権利を有するものとする。

(a)

個人情報保護方針や契約書に定められた苦情処理の手順に従って、または

(b)

データ保護責任者を通じて、苦情の調査を行い、必要に応じて適切なコンプライアンス措置についてTDCXに助言し、その措置が完了するまで監視するものとします。データ保護責任者は、必要に応じて、取るべき措置について AEPD と協議するものとする。

19.2

データ保護責任者は、TDCX が苦情を受け取ってから 1 ヶ月以内に、次のいずれかの方法で苦情を書面で通知するものとします。

(a)

苦情に対するTDCXの対応、およびそれに対してTDCXがとった行動、またはとることを提案した行動。

(b)

最終的にTDCXの立場が報告される日は、苦情を受け取った日から2ヶ月以内とします。

19.3

苦情の許容性

苦情は、苦情の申立人が BCRs に定められた手続きを踏んだ場合にのみ認められるものとします。BCRs の下で個人が有する権利に関する個人の苦情は、TDCX のみに宛てられ、AEPD（EEA 諸国のデータ保護当局の管轄の場合を除く）またはスペインの管轄裁判所にのみ提訴されるものとする。

19.4

違反に対する救済を受ける権利

BCRs の下では、データ対象者またはその他の自然人は、適用法の下で利用可能な救済を受ける権利のみを有するものとし、その中には損害賠償の権利も含まれるものとします。ただし、TDCXはBCRに違反したことにより個人が被った直接的な損害（逸失利益や収益の損失、売上高の損失を除く）に対してのみ責任を負うものとします。

20.1

TDCX エンティティ及びスタッフは、BCR を遵守しなければならない。

(a)

BCR は拘束力のある義務であり、これに従わない場合は、解雇や法律で規定されているその他の罰則を含む従業員の懲戒処分の対象となる可能性があります。

(b)

TDCXは、TDCXグループのBCRs遵守に対する責任を受け入れ、これを監督することに同意し、第三者がBCRsに関連した不遵守行為を是正するために必要な措置をとることを支援するものとします。EU域外の本BCRsのメンバーが本BCRsに違反した場合、EU域内の裁判所またはその他の管轄当局が管轄権を有し、データ対象者は、責任と責任を認めたTDCX事業体に対する権利と救済手段を有するものとします。

責任を認めた BCR メンバーは、データ対象者が損害賠償を請求する結果となった規則違反について、EU 域外の BCR メンバーが責任を負わないことを証明する立証責任も負う。責任を認めた BCR メンバーが、EU 域外の BCR メンバーが損害の原因となった事象に対して責任を負わないことを証明できた場合、その BCR メンバーは一切の責任を免れることができる。

(c)

データ保護責任者は、BCR の違反が発生したかどうかを判断するために、違反の申し立てを調査するものとします。違反が確認された場合、データ保護責任者と関連する TDCX 事業体は、商業的に合理的な時間内に違反に対処し、解決するために協力するものとする。

20.2

TDCX の顧客、請負業者、従業員、雇用候補者は、以下の点に関して BCRs に規定されている第三者受益者としての BCRs の実施または責任を請求する権利を有するものとします。

(a)

法律の適用。

(b)

個人データを処理するための原則

(c)

アクセス権、修正、消去、制限、処理に対する異議申し立て、プロファイリングを含む自動処理のみに基づく決定を受けない権利。

(d)

透明性があり、BCRへのアクセスが容易であること。

(e)

セキュリティ、守秘義務。

(f)

同意します。

(g)

個人データの譲渡について

(h)

ダイレクトマーケティング

(i)

苦情処理プロセス

(j)

責任と第三者の権利

(k)

データ保護当局に対する義務

TDCXの顧客、請負業者、従業員、雇用候補者は、BCRおよび適用法に従って、AEPDまたは裁判所の前にTDCXに適切な補償を請求する権利を有するものとします。本条に記載されている執行権およびメカニズムは、適用法の下で利用可能な他の救済措置または権利に加えて、

21.1

AEPDに対する義務

(a)

TDCX 事業体は、BCR 及び個人情報保護法規制の遵守に関する AEPD からの要請に、誠実かつ適切に対応しなければならない。

(b)

スタッフのいずれかが AEPD からそのような要求を受けた場合、そのスタッフは直ちにデータ保護責任者に通知しなければならず、そのスタッフは AEPD に回答するものとする。

(c)

TDCX事業体間での個人データの転送に関して、輸出入TDCX事業体は、AEPDからの問い合わせに協力し、監査を受け、適用法とデュー・プロセスの権利に沿った決定を尊重しなければなりません。

21.2

データ保護当局との相互援助と協力

(a)

TDCX事業体は、個人からの要求や苦情、AEPDや他の関連データ当局からの調査や照会に対応する際には、相互に協力し、支援しなければならない。

(b)

TDCX 事業体は、BCR の解釈に関するいかなる問題についても、AEPD の助言に従うものとする。

22.1

BCRs は、データ保護責任者の事前の承認を得た場合にのみ修正されるものとする。該当する場合、データ保護責任者は、BCR への関連する変更について AEPD の承認を得るものとする。

22.2

データの転送は、転送が BCRs によって適切にカバーされ、関連する遵守措置が実施されるまでは、 TDCX 事業体または職員への転送は行われないものとする。

22.3

いかなる修正も、データ保護責任者の承認を受け、TDCX のウェブサイトで公開された後にのみ発効するものとします。

22.4

データ保護責任者は、BCR の重要な変更について AEPD に年次[ 定期]ベースで通知する責任を負うものとする。データ保護責任者は、AEPD の助言、指導、または対応がある場合には、TDCX 理事会に通知するものとする。

22.5

BCRs に関わる要求、苦情、またはクレームは、要求、苦情、またはクレームが行われた時点で有効なバージョンの BCRs を参照して決定されるものとする。