インドのDPDP法とLumaKol

このページは、LumaKolを利用し、インドの人々のデータを保存する、またはそうした人々に電話をかける事業者を対象としています。その場合、インドの2023年デジタル個人データ保護法（以下「DPDP法」）と2025年デジタル個人データ保護規則（以下「DPDP規則」）が、お客様のリード、連絡先、お客様に電話をかけてくる人々の個人データ、およびお客様自身のスタッフのデータに適用されます。

LumaKolは BlackLens Studio, India が提供しています。お客様が保存するリードと連絡先については、その利用の理由と方法をお客様の事業が決めるため、同法の下ではお客様がデータ受託者（Data Fiduciary）であり、LumaKolはお客様のデータ処理者（Data Processor）としてそのデータを処理します。

このページはLumaKolの仕組みと、LumaKolが行うこと・行わないことを説明するものです。法的助言ではありません。お客様の義務は、業種、人々に電話をかける理由、連絡先の入手方法によって異なるため、これに依拠する前にご自身の弁護士にご相談ください。

同法は2023年8月に成立しました。DPDP規則は2025年11月13日に公布され、次のとおり段階的に施行されます。

以下の内容の大半は、2027年5月13日から執行可能になります。LumaKolはすでにこのように動作しており、以下で説明する管理機能は今日から利用できるため、それよりずっと前から準備を進められます。

リードのデータについてのデータ受託者として、お客様の事業は次の事項に責任を負います。これらはお客様と各個人との関係によって決まるため、LumaKolがお客様に代わって行うことはできません。

• 根拠：個人のデータの処理は、本人の同意がある場合、または同法第7条に定める正当な使用のいずれかに該当する場合にのみ行ってください。たとえば、本人が明示された目的のために自発的に番号を提供し、異議を述べていない場合です。
• 通知：同意を求めるときは、それだけで内容が理解できる、明確で平易な言葉の通知を行い、データと具体的な目的を項目ごとに示し、同意の撤回、権利の行使、データ保護委員会への苦情申立ての方法を説明してください。本人は、英語、またはインド憲法第8付則に定めるいずれかの言語での通知を求めることができます。
• 同意：同意は、自由で、特定され、十分な情報に基づき、無条件で、曖昧さがなく、明確な肯定的行為によって与えられ、目的に必要なデータに限定されたものでなければなりません。提示できる記録を残してください。同意を立証する責任はお客様にあります。
• 撤回：撤回は、同意するのと同じくらい簡単にできなければなりません。誰かが撤回したときは、合理的な期間内にその人のデータの処理を停止し、お客様の処理者にも停止させてください。
• 正確性：その人に関する判断にデータを用いる場合や、別のデータ受託者と共有する場合は、データを完全で正確、かつ一貫したものに保ってください。
• セキュリティ：規則6に定める合理的なセキュリティ上の保護措置を講じ、お客様の処理者にも同じことを求めてください。
• 侵害：下記「個人データ侵害」に記載のとおり、影響を受けた各個人とデータ保護委員会に通知してください。
• 保持：目的が達成された時点、または同意が撤回された時点で、法律で保持が求められる場合を除き、データを消去し、お客様の処理者にも消去させてください。
• 連絡先と苦情：処理に関する質問に答えられる担当者の業務上の連絡先を公表し、公表した期間内（最長90日）に苦情へ回答してください。
• 子ども：下記「子ども」をご覧ください。

これとは別に、商用電話に関するTRAIのルールは、電話のかけ方と時期について引き続き適用されます。インドの発信ルールをご覧ください。

データ処理補足契約は、すべての顧客について利用規約の一部をなし、同法がデータ受託者とそのデータ処理者との間に求める契約です。これに基づき、LumaKolは次のことを行います。

• お客様の指示に基づいて本サービスを提供するためにのみリードのデータを処理し、自社の目的、広告、AIモデルの学習には決して使用しません。
• 規則6に定める保護措置でデータを保護します。転送中と保存時の暗号化、機密情報に対する二重目の暗号化、組織単位のアクセス、制限され記録されるスタッフのアクセス、スタッフの多要素認証、暗号化されたバックアップ、そして少なくとも1年間保管されるログです。
• 個人データ侵害を認識してから24時間以内に、お客様自身の通知に必要な詳細とともにお知らせし、その準備を支援します。
• お客様がデータを削除したとき、ワークスペースを閉鎖したとき、またはお客様から依頼があったときに、個人が同意を撤回した後も含め、データを消去します。
• 製品では対応できない請求（本人の指定代理人からの請求を含む）にお客様が回答できるよう支援します。
• DPAに記載の再委託先のみを、データを同様に保護する条件で利用します。

侵害がお客様のワークスペースの個人データに影響する場合、義務と期限は次のとおりです。

データ保護委員会は、請求に応じて72時間の期限を延長することがあります。同委員会から提出を求められることがあるため、各侵害とお客様の対応の記録を残してください。

お客様が情報を保存している人々は、お客様の事業に対し、自分のデータと処理の概要、そのデータを共有したすべてのデータ受託者とデータ処理者の身元と共有した内容、そして訂正、補完、更新、消去を求めることができます。また、自分の死亡または判断能力の喪失後に自分に代わって行動する指定代理人（nominee）を指名でき、苦情を申し立てることもできます。

LumaKolに保管されているデータについては、お客様のデータ処理者はLumaKolと、DPAに記載の再委託先です。これらの請求のいずれかが当社に届いた場合、当社は遅滞なくお客様に転送し、回答を支援します。当社自身がそれを判断することはありません。お客様は、公表した期間内（最長90日）に回答する必要があり、本人は、データ保護委員会に申し立てる前に、まずお客様の苦情対応手続を利用しなければなりません。

同法における子どもとは、18歳未満のすべての人をいいます。子どもの個人データを保存または処理する前に、親または法定後見人から検証可能な同意を取得し、同意を与える人が身元を特定できる成人であることを確認する必要があり、子どもの行動を追跡・監視したり、子どもを対象に広告を行ったりしてはなりません。規則は、教育機関や医療など一部の目的を、一定の限度内で適用除外としています。

LumaKolは、お客様のリードが誰であるかを知りません。たとえば生徒に電話をかける教育関連の事業など、お客様の事業が子どものデータを保有する可能性がある場合は、その情報がLumaKolに届く前に、検証可能な保護者の同意の仕組みを整え、その同意なしに保有している子どもの記録は削除してください。

LumaKolのアプリケーションはシンガポールのサーバーで稼働し、データベースは日本でホストされています。録音、ボイスメモ、訪問写真は、チームメンバー自身のGoogle Driveに保存されます。同法第16条は、インド政府が告示により制限した国を除き、インド国外での個人データの処理を認めており、現在、これらの国はいずれも制限されていません。いずれかの国が制限された場合、LumaKolはその国へのデータの移転を停止し、データを移します。業種別の規則はより厳しいことがあるため、規制当局がお客様のデータをインド国内に置くことを求める場合は、ご登録の前に privacy@lumakol.com までお問い合わせください。当社が対応できるかどうかを正直にお答えします。

政府は、事業者が処理するデータの量と機微性、および関連するリスクに基づいて、その事業者を重要データ受託者として指定できます。重要データ受託者は、さらに、インドに拠点を置くデータ保護責任者（Data Protection Officer）を任命し、独立したデータ監査人を任命し、毎年、データ保護影響評価と監査を実施し、アルゴリズムが人々の権利を危険にさらさないことを確認しなければなりません。

お客様の事業が指定された場合、LumaKolは、お客様の評価と監査に必要な、LumaKolの処理に関する情報を提供します。LumaKol自体は、重要データ受託者として指定されていません。

インドのデータ保護委員会は、同法の違反1件ごとに、次の金額を上限として罰則を科すことができます。

データ保護委員会は、違反の性質、重大性、期間、影響を受けたデータ、違反が繰り返されたかどうか、得られた利益や回避された損失、そして影響を抑えるために講じられた措置に基づいて、金額を定めます。

このページについて、またはLumaKolによるお客様のデータの処理についてのご質問：privacy@lumakol.com。インドにおける当社自身の処理については、同じアドレスが当社の苦情対応責任者（Grievance Officer）に届きます。責任者は、苦情を24時間以内に受領確認し、15日以内に解決します。

拘束力のある条件は、利用規約、データ処理補足契約、プライバシーポリシーです。