データ所在地: お客様の同意データは インドに保管

DPDPA がインドでのデータ保管に求めるもの

インドのデジタル個人データ保護法は、インド国内の人々に関する電子的な個人データの収集・保管・利用のあり方を定めています。同法は一律のローカライゼーション義務ではなく、通知と同意を軸に構成されています。政府が制限する国を除きインド国外への移転を認めており、特定のデータについては規則で追加措置を定めることができます。もっとも実務上は、データ保管をインド国内にとどめる同意管理プラットフォームを選ぶインド企業が依然として多く見られます。証跡が単一の法域に収まり、規制当局や大企業の購買部門に説明すべき事項が簡潔になるためです。ConsentX はまさにその前提で作られています。既定でインド国内に保管される同意データ、通信時と保存時の暗号化、改ざん検知可能な同意記録、そして DPDPA アデンダム付きの署名済み DPA です。DPDPA 上の具体的な義務は組織や処理活動によって異なるため、法律顧問にご確認ください。

ConsentX の AWS ムンバイ (ap-south-1) 構成の仕組み

ConsentX のアプリケーションと同意データストアは、アジアパシフィック (ムンバイ) リージョン、ap-south-1 — インドのデータセンターリージョン — の Amazon Web Services 上で稼働しています。訪問者のブラウザーは、当社の Cloudflare エッジを経由し TLS でバナーに到達します。エッジは、インドでホストされるアプリケーションの手前に Web アプリケーションファイアウォールと DDoS 緩和を配置します。同意の判断はその後、同一リージョンのデータストアに書き込まれ、AWS のストレージレイヤー暗号化によって保存時に暗号化されます。同意データの主たる処理は既定でインドのリージョン内にとどまり、サブプロセッサーへの移転が生じる場合は英国アデンダム付きの標準契約条項に従います。関与する事業者が分かるよう、サブプロセッサー一覧も公開しています。経路はこれで全部です。ブラウザー、エッジ、インドリージョン、暗号化された記録。

バックアップと災害復旧リージョン

同意データストアのバックアップを定期的に取得しており、これらのバックアップも主データと同じ方法で保存時に暗号化されています。事業継続の考え方は、障害発生後にサービスとデータを復旧できるように設計しており、プラットフォームの進化に合わせて復旧手順を継続的に見直しています。公開している内容の限界についても率直に申し上げます。ConsentX は現時点で、本ページにおいて別個の名前付き災害復旧リージョンや、公開の RPO・RTO 目標を掲げていません。契約上コミットしていない数値を公開するよりも、そう申し上げるほうがよいと考えています。私たちが明言するのは、データ所在地にとって重要な部分です。主たる処理はインドのリージョン内にとどまり、バックアップは暗号化されています。調達や社内のセキュリティレビューで詳細が必要な場合は、お問い合わせいただければ直接お答えします。

データの保持と削除に関する方針

同意記録は証拠として存在するものですから、有効な同意の根拠を示すために必要な期間、当社との契約条件に従って保持されます。契約の終了または満了時、当社のデータ処理契約に基づき、お客様に代わって処理したすべての個人データを削除または返却し — いずれかをお選びいただけます — 既存の複製も削除します。ただし、適用されるデータ保護法により保持が求められる場合を除きます。この削除または返却は、サービス終了後の合理的な期間内に、DPA に定めるウインドダウン期間に従って行われます。通常のバックアップに残る個人データは、文書化されたバックアップ保持スケジュールに従って削除され、残存している間も事業継続以外の目的には使用されません。書面でご請求いただければ、実施済みであることを証明します。