プライバシーとトラスト

認証

品質（ISO 9001）

EcoVadisの目的は、「全ての企業を持続可能な世界に導くこと」であり、EcoVadisの4つのコア目的は以下のとおりです：

優れた評価手法を通じて、独立した、信頼できるサステナビリティ評価と洞察を提供する。
最大限の数の企業がビジネス慣行を継続的に改善し、再生可能かつ公正な経済の創造に貢献できるようにする。
従業員のために包括的な学習環境を整備し、有意義な仕事を提供し、サステイナビリティを実践する未来の世代に力を与える。
持続可能な世界への移行を加速するために、当社のエコシステム内で集団行動を促進する。

EcoVadisは、ISO 9001認証を受けた品質管理システム（QMS）を開発しました（の証明書をご覧ください）。安全で活発な職場環境の中で、社員一人ひとりが常に正しい仕事を行えるよう、プロセス管理システムを通じて、常に向上する品質を積極的に追求しています。このシステムは、全プロセスを通じて従業員をガイドする、オーダーメイドで自社開発されたITプラットフォームによって支えられています。

EcoVadisは、評価手法委員会などの専門機関から助言を受けながら、プロセスの継続的な改善に常に力を注いでいます。

従業員トレーニングプログラム

新入社員には情報セキュリティトレーニングを実施し、テストおよび合格点を設定して効果を確認します。また、全社員に対して年1回の再教育とテストが義務付けられています。

是正・予防措置

不適合をなくすため、または再発を防止するための改善点を特定し、継続的に改善します。その一例として、品質ツールを使用して不適合を検出し、評価プロセスを通じてフィードバックを提供します。

お客様からの苦情

顧客やサプライヤーからの苦情や社内の問題は、インシデント管理プラットフォームを通じて報告、記録、管理しています。すべてのインシデントは、関係者によって定期的にレビューされ、所定の期間内に解決されます。

内部監査

内部監査プログラムは3年間にわたって実施し、情報セキュリティ監査は年2回、すべての内部プロセスについては品質監査を少なくとも年1回実施しています。監査結果については、マネジメントレビューにおいて確認と検討を行っています。

情報セキュリティ（ISO 27001）

EcoVadisは、最も信頼できるクラウドホスティングプロバイダーの1つであるMicrosoft AzureにホストされたグローバルクラウドベースのSaaSプラットフォームを介して、企業の包括的なサステナビリティ評価サービスを提供しています。

当社は、情報セキュリティの脅威が進化する中で、すべてのステークホルダーのデータを保護するために、最高レベルの情報セキュリティを提供し、継続的に改善することを約束します。このため、EcoVadisでは、情報セキュリティマネジメントシステム（ISMS）を確立し、 ISO/IEC 27001のコンプライアンスについて、独立した第三者の監査を定期的に受けています（認証および適合証明書を参照してください）。

当社のISMSは、当社の業務プロセスやサービスにおける情報セキュリティを組織的に運用・維持し、リスク評価に基づいて必要なセキュリティ措置を決定・適用することができるようにしています。

情報セキュリティガバナンス

当社の情報セキュリティ方針は、適時性、正確性、および適用されるコンプライアンス要件と業界のベストプラクティスとの継続的な整合性を確保するため、定期的な見直しと更新が行われています。当社では、情報セキュリティの開発、メンテナンス、監視を担当する選任チームを社内に維持しています。当社の組織資産を守るため、組織で世界的に優先順位が設定され、一貫したビジョンが定められています。

資産管理と賃貸管理

当社は、あらゆるサービス関連資産の正確かつ最新のインベントリを維持しています。情報は、法的要件、価値、重要性、および不正な開示または改変に対する機密度に基づいて正式に分類されます。Azureをマルチテナントサービスとして利用し、論理的なデータ分離を行うことで、お客様間のデータを完全に分離しています。

第三者リスク管理

アクセス、処理、保管、通信、またはITインフラコンポーネントを提供する可能性のあるサプライヤーに対して、情報セキュリティ要件を確立しています。当社は、当社のネットワークまたは機密データへのアクセスが可能なサプライヤー向けに、サイバーセキュリティおよびデータセキュリティリスク評価を定期的に実施しており、規定のフォローアップ措置を正式に追跡・実施しています。

セキュリティオペレーションとインシデント対応

システムやデータの継続的な監視と保護を行う年中無休24時間体制のセキュリティオペレーションセンター（SOC）。当社では、情報セキュリティインシデントの管理に一貫した効果的なアプローチを確保するため、強力な措置を実施しています。当社のセキュリティインシデント管理プロセスには、書面による手順の維持、影響を軽減するためのあらゆる合理的な努力、およびクライアントへの通知が含まれます。

事業継続と災害復旧（BCP）

当社は、情報処理施設が可用性要件を満足するに十分な冗長性をもって実装されていることを保証します。サービスのパフォーマンス、可用性、および実際のユーザーエクスペリエンスは継続的に監視されています（サービスのパフォーマンス、可用性、および実際のユーザーエクスペリエンスを常時監視しているプラットフォームの稼働時間レポートをご覧ください）。バックアップは、定義されたバックアップ方針に従って定期的に実行およびテストされています。

意識向上、教育、トレーニング

従業員には、情報セキュリティに関する意識向上、教育、トレーニングが義務付けられており、継続的に実施されています。このプログラムは、EcoVadisのITセキュリティ基準に準拠しており、ITシステムの安全な運用方法についてスタッフを教育し、該当するセキュリティ脅威の確実な理解を目的としています。サイバーセキュリティに対する意識を高め、担当者の対応手順をテストするため、模擬フィッシングキャンペーンが頻繁に実施されています。

雇用前

法令および規制上の要件に基づいて、全応募者について選考プロセス中に体系的な照会確認を実施しています。さらに、米国に拠点を置く職員など、法的に許可されている場合、すべての新入社員に対して犯罪歴の検証を実施しています。

アクセスコントロール

EcoVadisの情報システムおよびネットワーク・ドメインへのアクセス権と権限については、「知っておくべきこと」と「最低限の権限」という原則を厳守し、職務に基づいたアクセス制御（RBAC）モデルによって割り当てを行います。

クライアントのアクセス管理

クライアントはユーザー環境の制御を保持します。クライアントのプラットフォーム管理者は、作成や無効化を含むユーザーアカウントの管理権限を付与されています。プラットフォームへのアクセスは、主にユーザー名とパスワードによる認証によって保護されており、評価依頼企業にはシングルサインオン（SSO）機能が付与されます（詳細については、通常の営業担当者にお問い合わせください）。

暗号化

すべてのデータは業界承認済みの暗号化アルゴリズムと手法を使用して、静止時および転送時の両方で保護されています。機密事項は、確立された業界ベストプラクティスに従って安全に保存および管理されています。

事業活動セキュリティ

変更管理と強化

組織、業務プロセス、情報処理施設、およびシステムに影響を与える変更は正式に管理されます。当社では、OSについてはCIS（Center for Internet Security）ベンチマークを、クラウドサービスについてはMicrosoft Azureの強化ガイドラインなど、厳格なセキュリティ強化ガイドラインを遵守しています。

監視と脅威管理

当社のインフラ全体におけるマルウェア、脆弱性、その他セキュリティに関する事象の特定、防止、管理を行うため、監視および検知技術を導入しています。

コミュニケーションセキュリティ

社内サービスやサーバーへのネットワークアクセスを制限し、安全を確保しています。当社は、Webアプリケーションファイアウォール（WAF）を導入し（詳細はこちらを参照）、高いパフォーマンス、拡張性、安全なユーザー体験を提供するクラウドコンテンツデリバリーネットワーク（CDN）サービスであるAzure Front Doorを使用しています。

システムの取得、開発、メンテナンス。

セキュリティについては、業界標準に準拠することでSDLCに統合されています。新規開発は、導入前に必須のテストと検証プロセスを行う必要があります。開発環境、テスト環境、運用環境が分離されています。

当社のプラットフォームは、EUにあるMicrosoft Azureデータセンターでホストされています。クラウドにおける共有責任モデルによれば、物理的なセキュリティ管理はMicrosoftの義務の対象となります。管理に関する詳細については、こちらでご確認いただけます。

プラットフォームの継続的な整合性と回復力を確保するため、当社は多層的なセキュリティプログラムを維持しています。当社のアプローチは、リアルタイムの自動監視と、複数のセキュリティドメインにわたる詳細な手動分析を組み合わせたものです。この多層防御戦略には以下が含まれます。

セキュリティテスト

アプリケーション・セキュリティテスト：当社の専門家による定期的な手動および自動レビューに加えて、コードの深層分析用静的アプリケーション・セキュリティテスト（SAST）、オープンソースの依存関係監視用のソフトウェア構成分析（SCA）、実行中のアプリケーション評価用の動的アプリケーション・セキュリティテスト（DAST）を組み合わせて導入しています。
インフラの見直し：当社のクラウドセキュリティポスチャ管理ソリューション（CSPM）、およびさまざまな脆弱性スキャンプラットフォームや自動化に依存しています。
安全なアクセス：Webアプリケーション・ファイアウォール（WAF）などの境界制御に加え、当社のSASEフレームワークは、世界各国の従業員に安全かつ暗号化された接続を提供し、セキュリティポリシーがユーザーに最も近い「エッジ」で一貫して適用できるようにします。
独立検証：社内検証と認証に加えて、評判の良い第三者セキュリティ会社に毎年ペネトレーションテストを実施しています。

改善目標

セキュリティ結果の解決は、その重要度に基づいて優先順位を付与しています。当社の体系的な改善目標により、重大なリスクへの対処を緊急かつ確実に行うことができます。

重要：7 日間
高：1 ヶ月
中：3 ヶ月
低：特に期日は定めていない

これらの時間枠を満たすよう努めていますが、最終的な修復スケジュールは、修正の複雑さと特定のリスク状況に基づいて調整される場合があります。

独立検証

加えて、セキュリティに対する当社のコミットメントは、独立監査機関と業界標準の評価計画書によって検証されています。

ISO 27001：当社では、この基準を情報セキュリティ管理の主な基準として使用しています。
標準化された評価：当社は、Cybervadis、CyberGRX、Whisticなどの主要なセキュリティリスクプラットフォームに関する最新のプロファイルを維持しています。結果は必要に応じて共有できます。
CSP認証：Microsoft Azureの認証は、Service Trust Portalで取得できます。

情報セキュリティガバナンス

当社の情報セキュリティ方針は、適時性、正確性、および適用されるコンプライアンス要件と業界のベストプラクティスとの継続的な整合性を確保するため、定期的な見直しと更新が行われています。当社では、情報セキュリティの開発、メンテナンス、監視を担当する選任チームを社内に維持しています。当社の組織資産を守るため、組織で世界的に優先順位が設定され、一貫したビジョンが定められています。

資産管理と賃貸管理

当社は、あらゆるサービス関連資産の正確かつ最新のインベントリを維持しています。情報は、法的要件、価値、重要性、および不正な開示または改変に対する機密度に基づいて正式に分類されます。Azureをマルチテナントサービスとして利用し、論理的なデータ分離を行うことで、お客様間のデータを完全に分離しています。

第三者リスク管理

アクセス、処理、保管、通信、またはITインフラコンポーネントを提供する可能性のあるサプライヤーに対して、情報セキュリティ要件を確立しています。当社は、当社のネットワークまたは機密データへのアクセスが可能なサプライヤー向けに、サイバーセキュリティおよびデータセキュリティリスク評価を定期的に実施しており、規定のフォローアップ措置を正式に追跡・実施しています。

セキュリティオペレーションとインシデント対応

システムやデータの継続的な監視と保護を行う年中無休24時間体制のセキュリティオペレーションセンター（SOC）。当社では、情報セキュリティインシデントの管理に一貫した効果的なアプローチを確保するため、強力な措置を実施しています。当社のセキュリティインシデント管理プロセスには、書面による手順の維持、影響を軽減するためのあらゆる合理的な努力、およびクライアントへの通知が含まれます。

事業継続と災害復旧（BCP）

当社は、情報処理施設が可用性要件を満足するに十分な冗長性をもって実装されていることを保証します。サービスのパフォーマンス、可用性、および実際のユーザーエクスペリエンスは継続的に監視されています（サービスのパフォーマンス、可用性、および実際のユーザーエクスペリエンスを常時監視しているプラットフォームの稼働時間レポートをご覧ください）。バックアップは、定義されたバックアップ方針に従って定期的に実行およびテストされています。

意識向上、教育、トレーニング

従業員には、情報セキュリティに関する意識向上、教育、トレーニングが義務付けられており、継続的に実施されています。このプログラムは、EcoVadisのITセキュリティ基準に準拠しており、ITシステムの安全な運用方法についてスタッフを教育し、該当するセキュリティ脅威の確実な理解を目的としています。サイバーセキュリティに対する意識を高め、担当者の対応手順をテストするため、模擬フィッシングキャンペーンが頻繁に実施されています。

雇用前

法令および規制上の要件に基づいて、全応募者について選考プロセス中に体系的な照会確認を実施しています。さらに、米国に拠点を置く職員など、法的に許可されている場合、すべての新入社員に対して犯罪歴の検証を実施しています。

アクセスコントロール

EcoVadisの情報システムおよびネットワーク・ドメインへのアクセス権と権限については、「知っておくべきこと」と「最低限の権限」という原則を厳守し、職務に基づいたアクセス制御（RBAC）モデルによって割り当てを行います。

クライアントのアクセス管理

クライアントはユーザー環境の制御を保持します。クライアントのプラットフォーム管理者は、作成や無効化を含むユーザーアカウントの管理権限を付与されています。プラットフォームへのアクセスは、主にユーザー名とパスワードによる認証によって保護されており、評価依頼企業にはシングルサインオン（SSO）機能が付与されます（詳細については、通常の営業担当者にお問い合わせください）。

暗号化

すべてのデータは業界承認済みの暗号化アルゴリズムと手法を使用して、静止時および転送時の両方で保護されています。機密事項は、確立された業界ベストプラクティスに従って安全に保存および管理されています。

事業活動セキュリティ

変更管理と強化

組織、業務プロセス、情報処理施設、およびシステムに影響を与える変更は正式に管理されます。当社では、OSについてはCIS（Center for Internet Security）ベンチマークを、クラウドサービスについてはMicrosoft Azureの強化ガイドラインなど、厳格なセキュリティ強化ガイドラインを遵守しています。

監視と脅威管理

当社のインフラ全体におけるマルウェア、脆弱性、その他セキュリティに関する事象の特定、防止、管理を行うため、監視および検知技術を導入しています。

コミュニケーションセキュリティ

社内サービスやサーバーへのネットワークアクセスを制限し、安全を確保しています。当社は、Webアプリケーションファイアウォール（WAF）を導入し（詳細はこちらを参照）、高いパフォーマンス、拡張性、安全なユーザー体験を提供するクラウドコンテンツデリバリーネットワーク（CDN）サービスであるAzure Front Doorを使用しています。

システムの取得、開発、メンテナンス。

セキュリティについては、業界標準に準拠することでSDLCに統合されています。新規開発は、導入前に必須のテストと検証プロセスを行う必要があります。開発環境、テスト環境、運用環境が分離されています。

当社のプラットフォームは、EUにあるMicrosoft Azureデータセンターでホストされています。クラウドにおける共有責任モデルによれば、物理的なセキュリティ管理はMicrosoftの義務の対象となります。管理に関する詳細については、こちらでご確認いただけます。

プラットフォームの継続的な整合性と回復力を確保するため、当社は多層的なセキュリティプログラムを維持しています。当社のアプローチは、リアルタイムの自動監視と、複数のセキュリティドメインにわたる詳細な手動分析を組み合わせたものです。この多層防御戦略には以下が含まれます。

セキュリティテスト

アプリケーション・セキュリティテスト：当社の専門家による定期的な手動および自動レビューに加えて、コードの深層分析用静的アプリケーション・セキュリティテスト（SAST）、オープンソースの依存関係監視用のソフトウェア構成分析（SCA）、実行中のアプリケーション評価用の動的アプリケーション・セキュリティテスト（DAST）を組み合わせて導入しています。
インフラの見直し：当社のクラウドセキュリティポスチャ管理ソリューション（CSPM）、およびさまざまな脆弱性スキャンプラットフォームや自動化に依存しています。
安全なアクセス：Webアプリケーション・ファイアウォール（WAF）などの境界制御に加え、当社のSASEフレームワークは、世界各国の従業員に安全かつ暗号化された接続を提供し、セキュリティポリシーがユーザーに最も近い「エッジ」で一貫して適用できるようにします。
独立検証：社内検証と認証に加えて、評判の良い第三者セキュリティ会社に毎年ペネトレーションテストを実施しています。

改善目標

セキュリティ結果の解決は、その重要度に基づいて優先順位を付与しています。当社の体系的な改善目標により、重大なリスクへの対処を緊急かつ確実に行うことができます。

重要：7 日間
高：1 ヶ月
中：3 ヶ月
低：特に期日は定めていない

これらの時間枠を満たすよう努めていますが、最終的な修復スケジュールは、修正の複雑さと特定のリスク状況に基づいて調整される場合があります。

独立検証

加えて、セキュリティに対する当社のコミットメントは、独立監査機関と業界標準の評価計画書によって検証されています。

ISO 27001：当社では、この基準を情報セキュリティ管理の主な基準として使用しています。
標準化された評価：当社は、Cybervadis、CyberGRX、Whisticなどの主要なセキュリティリスクプラットフォームに関する最新のプロファイルを維持しています。結果は必要に応じて共有できます。
CSP認証：Microsoft Azureの認証は、Service Trust Portalで取得できます。

EU一般データ保護規則

EcoVadisは、GDPRが、EU市民の個人データの保護を強化し、調和させるための重要なステップであると考えています。提供されるサステナビリティサービスのデータ管理者として、EcovadisはGDPRを遵守し、国際的なデータ保護規制に適用される限り、ベストプラクティスを導入することを約束します。

EcoVadisは、当社が認証を受けているISO27001規格をフレームワークとして使用し、個人情報保護の側面をマネジメントシステムに統合しています。GDPRとデータ保護要件を満たすために、補完的なISO 27701フレームワークを使用しています。データ保護の実践とコンプライアンスは、第三者監査によって確認されています。

EEA域外で行われるデータ処理については、当社の子会社との間で標準契約条項（SCC）を定めています。

EcoVadisは常にプロバイダー（処理業者）を慎重に選び、EcoVadisのために業務を行う前に、処理業者とのデータ保護契約の締結、EEA地域外での処理の場合には標準契約条項（SCC）または拘束力のある企業規則（BCR）の締結を求めています。当社は、ヨーロッパに拠点を置くサーバーでデータをホスティングするプロバイダーとの契約を選択することを常に目指しています。以下のプロセッサを使用してサービスを提供しています：

法人	住所	目的	データ処理とデータ転送	セキュリティに関する追加情報
ZenDesk Inc	1019 Market Street, San Francisco, CA 94103 USA	ヘルプセンター	リンク	リンク
SFDC SAS	SFDC France 3 Avenue Octave Gréard 75007 Paris France	CRMとカスタマーサポート	リンク	リンク
Microsoft France SAS	Microsoft France SAS 37 Quai du Président Roosevelt, 92130 Issy-les-Moulineaux, FRANCE	サステナビリティ評価プラットフォームのホスティング	リンク	リンク
Google Cloud France	Google Cloud France 8 Rue de Londres, 75009 Paris, France	お客様とのコミュニケーション	リンク	リンク
Docebo S.p.A.Limited	Limited 6th floor, 48 Gracechurch Street, London – UK	Eラーニングプラットフォーム	リンク	リンク
Pendo.io Inc.	150 Fayetteville St #140027601 Raleigh NC, USA	プラットフォーム分析とクライアント調査	リンク	リンク
Productboard Inc.	612 Howard streetCA 94105 San Francisco CA, USA	製品管理とクライアント調査	リンク	リンク
SurveyMonkey Inc.	910 Park Pl, Suite 300, San Mateo, CA 94403, USA	クライアント調査	リンク	リンク
Aircall SAS	11 Rue Saint Georges, 75009 Paris, FRANCE	通話録音	リンク	リンク
HubSpot France SAS	24 Rue Cambacérès 75008 Paris France	マーケティングおよびお客様とのコミュニケーション	リンク	リンク

Hubspot Inc	2 Canal Park, Cambridge, Massachusetts, 02141, US	マーケティングおよびお客様とのコミュニケーション	リンク	リンク

Amazon Web Services Canada, Inc.	120 Bremner Blvd, 26th Floor, Toronto, Ontario, M5J 0A8, Canada	サステナビリティ評価プラットフォームと統合済ULULAサービス（人権デューデリジェンスプラットフォーム）のホスティング	リンク	リンク

当社は、SCC（またはBCR）に基づいて欧州経済領域（EEA）外の国にデータを転送する可能性について、フランスのデータ保護機関CNILと欧州データ保護委員会が発行した追加措置に関する推奨事項に依存しています。

詳しくは、データプライバシーに関する声明をご覧ください。

輸出管理・制裁措置コンプライアンス

EcoVadisは、サービスの運営場所に関して、フランスおよび米国の法律を含むがこれらに限定されない、汎用オンラインサービスの運営者に適用されるすべての適用法および規制を遵守することを約束します。

製品およびサービス提供先の制限

総合的な事業リスクを考慮し、EcoVadis製品およびサービスは、以下の国/地域（予告なく変更される場合があります）への輸出、再輸出、移転またはそれらの国での使用を禁じています。

クリミア地域、ドネツク地域、ルハンシク地域
キューバ
イラン
北朝鮮
シリア

さらに、輸出管理・制裁措置に関するリスクの高い特定の相手先との取引やそれに関連する取引については、強化されたデューデリジェンスを実施します。

エンドユーザー向け制限事項

適用される制裁対象者リスト（例：欧州連合制裁リスト、米国特別指定国（SDN）リスト、OFAC、国連安全保障理事会制裁、EcoVadisが存在する地域のリスト）に記載されている者を含む、適用される輸出管理法および制裁法で取引が禁止されている団体および個人は、EcoVadis製品およびサービスを利用できません。

最終用途の制限

EcoVadisのサービスは、核兵器、化学兵器または生物兵器の大量破壊兵器の開発、設計、製造または生産を含むがこれらに限定されない、適用輸出法で禁止されるいかなる目的にも使用してはなりません。

文書とリソース

アクセシビリティ適合性レポート WCAG版

*Open source libraries or components related to any of the applicable services. EcoVadis solution sometimes includes, or depends upon, open source libraries. To comply with the license requirements of open source libraries and licensee’s attribution moral right, below there is a list of open-source software used to build our products – please be informed that all information here is provided “as is” and might be subject to a change by the lecensee:
License
AFL-2.1, Apache-2.0, BSD-2-Clause, BSD-3-Clause, CC-BY-4.0, ISC, JSON, LGPL-2.1*, LGPL-3.0*, Microsoft .NET, ASP NET MVC3 EULA, BlueOak-1.0.0, Bouncy Castle License, 0BSD, Aduna BSD License, BSD-4-Clause, CC-BY-3.0, CC-BY-4.0, CC-BY-SA-2.0 CC-BY-SA-3.0, CC-PDD, CCC0-1.0, JQuery, MPL-1.1, MulanPSL-2.0, OpenSSL, Python-2.0
Library License
MIT, MPL-2.0, MS-PL, PostgreSQL, WTFPL, Zlib

* アプリケーションは、LGPLライセンスに動的にリンクされているため、プロプライエタリコードを専有できます。

利益相反に関する方針

サードパーティ向け専門職行動方針

Standard Contractual Clauses for RATED Companies as Importers

ESG Ratings Regulation

Chinese Standard Clauses for CHINESE RATED Companies as Exporters