プライバシーステートメント

本ステートメントで使用する主な用語

本ステートメントにおいて「個人データ」とは、識別された、または識別可能な個人に関する情報を意味します。国によっては「個人情報」または「個人を特定できる情報」と呼ばれることがあります。本ステートメントでは、これらの用語を含む意味で「個人データ」を使用します。

南アフリカでは、適用法令により当該情報が保護対象とされる場合、個人データには会社その他の法人に関する情報も含まれることがあります。

一部の種類の個人データは、プライバシー法により追加の保護を受けます。当社はこれを「機微データ」と呼びます。機微データには、健康、人種または民族的出自、宗教上または哲学上の信条、政治的意見、労働組合への加入、遺伝データ、生体認証データ、性的指向、刑事上の有罪判決、および適用法令により特別な保護を受けるその他の情報が含まれる場合があります。

「適用法令」とは、当社がお客様の個人データを収集および利用する方法に適用されるプライバシーおよびデータ保護に関する法令を意味します。

「プライバシー監督機関」とは、特定の国または地域において、プライバシー法またはデータ保護法の監督もしくは執行を担当する機関を意味します。

当社が収集する個人データ

当社は、お客様との関係を管理し、当社のウェブサイトおよび拠点を運営し、ステークホルダーと連絡を取り、地域社会との対話を支援し、法的義務を履行し、人および拠点の安全を確保し、当社の権利および利益を保護し、事業を運営するために必要な個人データを収集します。

当社が収集する個人データの種類は、お客様が誰であるか、Rio Tintoとどのように関わるか、所在地、関係するRio Tintoの拠点、イベント、サービスまたはプラットフォーム、および適用される法的要件によって異なります。当社は、すべての方について、あらゆる種類の個人データを収集するわけではありません。
当社が収集する可能性のある個人データには、次のものが含まれます。

• 連絡先および本人確認情報（氏名、住所、電子メールアドレス、電話番号、所属組織、役職、署名、政府発行の識別番号、旅券情報、車両登録情報、その他本人を識別しまたは連絡するために使用される情報など）
• 事業、ステークホルダーおよび関係に関する情報（お客様の役割、所属組織、業務上の連絡先、Rio Tintoとのやり取り、会議記録、通信、フィードバック、苦情、関心事項、選好、Rio Tintoとの関わりに関連する公的発言または立場（お客様が公表したRio Tintoに関連する文献を含みます）、ステークホルダー・マッピング情報、関係管理記録、その他お客様との関係を管理するために関連する情報など）
• 地域社会および社会的パフォーマンスに関する情報（地域社会への所属、土地または場所とのつながり、文化遺産に関する事項、地域社会の関心事項および懸念、対話方法の選好、地域社会プログラム、助成、合意、イベントまたは協議への参加、メディア記事やソーシャルメディア投稿を含むRio Tintoの活動に関するメディア上の活動、ならびに地域社会への影響を理解し対応するために必要な情報など）
• 拠点、イベントおよびアクセスに関する情報（アクセスログ、訪問者記録、登録記録、旅行情報、イベントまたは年次株主総会への出席状況、アクセス警告、制限またはセキュリティフラグ、CCTV映像、写真、音声または映像記録、食事上の要件、健康安全情報、緊急連絡先、必要な場合の薬物およびアルコール検査結果、必要な場合の医療または適性情報、個人用保護具の要件、ならびに拠点へのアクセスまたはイベント参加を管理するために必要な情報など）
• 安全、セキュリティ、苦情およびインシデントに関する情報（安全事象、セキュリティインシデント、苦情、申立て、抗議活動およびイベントへの参加、キャンペーン、紛争、不正行為の疑い、不審な活動、詐欺、犯罪行為、脅威、リスク評価、セキュリティ評価、安全、セキュリティまたはリスク管理に関連する公開オンライン情報もしくはソーシャルメディア情報、ならびにRio Tinto、当社の人員、地域社会その他の者の安全、セキュリティ、権利、利益、操業、拠点、資産、情報または評判に影響を及ぼす可能性のあるその他の活動に関する情報など）
• デジタルおよびウェブサイト情報（IPアドレス、端末情報、ブラウザ情報、閲覧ページ、クリックしたリンク、入力したフォーム、訪問日時、Cookie情報、オンライン識別子、ならびにRio Tintoのウェブサイト、マイクロサイト、プラットフォームまたは電子通信とのやり取りに関する情報など）
• 財務、商取引および取引情報（支払情報、銀行情報、株主または投資家情報、サプライヤーまたは顧客情報、取引記録、契約情報およびデューデリジェンス情報など）
• コンプライアンスおよびデューデリジェンス情報（贈収賄および汚職防止に関する確認、制裁スクリーニング、マネーロンダリング防止に関する確認、利益相反情報、重要な公的地位を有する者に関する情報、規制上の確認、実質的所有者情報、ならびに法的、規制上、ガバナンス上または責任ある事業運営上の要件を遵守するために必要な情報など）
• お客様が当社に提供するその他の情報、または適用法令により要求もしくは許可される場合に当社が収集するその他の情報

機微データ

一部の個人データは、プライバシー法により追加の保護を受けます。当社はこれを「機微データ」と呼びます。

お客様が誰であるか、Rio Tintoとどのように関わるか、およびその関わりの目的に応じて、当社は次のような機微データを収集する場合があります。

• 健康または医療に関する情報（拠点へのアクセス、イベント参加、宿泊、緊急対応、職場もしくは拠点の安全、薬物およびアルコール検査、医療、適性評価または合理的配慮のために必要な情報を含みます）
• 人種、民族、先住民としての地位、言語集団、地域社会への所属、文化遺産情報、土地または場所とのつながり、宗教上または哲学上の信条、その他これらに類する情報（お客様が自発的に提供し、地域社会との対話、社会的パフォーマンス、文化遺産、合意、協議、法的、報告または責任ある事業運営の目的に関連する場合、あるいは法令により許可または要求される場合）
• 政治的意見、政治的所属、公的立場、キャンペーン活動その他これらに類する情報（適用法令により関連性があり許可される場合で、ステークホルダーとの対話、公共政策、政府関係、地域社会に関する事項、法的義務、セキュリティ、リスク管理、苦情、紛争または調査に関連する場合を含みます）
• 刑事上の有罪判決、犯罪情報、違法行為の申立て、不正行為の疑い、詐欺、不審な活動、脅威、セキュリティインシデントその他これらに類する情報（適用法令により関連性があり許可される場合）
• 顔認識情報、指紋、音声情報、写真、映像または生体認証テンプレートなどの生体認証情報（拠点へのアクセス、本人確認、安全、セキュリティ、緊急対応、調査または法的目的のために要求または許可される場合）
• 適用法令により特別な保護を受けるその他の情報

当社は、適法な根拠がある場合にのみ機微データを収集および利用します。これには、同意が適切かつ必要な場合のお客様の同意、または法的義務の履行、健康および安全の保護、地域社会との対話の支援、文化遺産もしくは合意上の義務の管理、緊急事態への対応、法的請求の確立もしくは防御、不正行為、詐欺もしくは犯罪の防止もしくは発見、またはRio Tintoの正当な利益の保護など、その他の適法な根拠が含まれる場合があります。

当社は、すべての方について、あらゆる種類の機微データを収集するわけではありません。当社が収集する機微データは、状況、Rio Tintoとの関わりの性質、および適用される法令によって異なります。

子どもおよび若年者

当社は、Rio Tintoが主催するイベント、地域社会プログラム、教育プログラム、就業体験プログラム、拠点見学またはこれらに類する活動に参加する場合など、限定的な状況において、子どもまたは若年者の個人データを収集することがあります。

当社が収集する個人データには、連絡先、親または保護者の情報、学校または組織の情報、出席情報、写真または映像、緊急連絡先、健康または医療情報、食事上の要件、アクセシビリティ上の要件、許可、同意書、ならびに安全、参加または監督を支援するために必要な情報が含まれる場合があります。

適用法令により要求される場合、当社は、子どもまたは若年者に関する個人データを収集または利用する前に、親、保護者またはその他の権限を有する者の同意を求めます。

当社は、関連する活動にとって適切であり、適用法令に従う場合にのみ、子どもおよび若年者に関する個人データを収集および利用します。

当社がお客様のデータを利用する理由

当社は、お客様との関係を管理し、当社のウェブサイト、拠点およびサービスを運営し、ステークホルダーと連絡を取り、地域社会との対話を支援し、法的義務を履行し、人および拠点の安全を確保し、当社の権利および利益を保護し、事業を運営するために、お客様の個人データを利用します。

これには、拠点へのアクセス、登録および出席、安全事象、セキュリティインシデント、苦情、申立て、抗議活動、キャンペーン、紛争、不正行為の疑い、不審な活動、脅威、詐欺、犯罪行為、公開されているオンライン情報またはソーシャルメディア情報、ステークホルダーもしくはセキュリティに関するリスク評価、その他Rio Tinto、当社の人員、地域社会、拠点、資産、操業、情報、権利または利益に影響を及ぼす可能性のある活動に関する情報が含まれる場合があります。

当社がお客様の個人データを利用する目的には、次のものが含まれます。

ウェブサイト、通信および問い合わせ

当社は、Rio Tintoのウェブサイト、マイクロサイト、オンラインプラットフォームおよび電子通信を運営し、問い合わせに対応し、お客様が求める情報を提供し、購読を管理し、更新情報を送付し、フォームを運用し、当社のウェブサイトおよび通信がどのように利用されているかを把握し、オンラインサービスを改善するために個人データを利用します。

イベント、拠点へのアクセスおよび宿泊

当社は、Rio Tintoのオフィス、拠点、操業施設、宿泊施設およびイベントへの訪問を手配し管理するために個人データを利用します。これには、登録、アクセス、本人確認、旅行、宿泊、健康安全上の要件、緊急対応、写真または記録、食事またはアクセシビリティ上の要件、ならびに拠点またはイベントのセキュリティの管理が含まれる場合があります。

地域社会との対話、社会的パフォーマンスおよび文化遺産

当社は、地域社会との対話、社会的パフォーマンス、文化遺産、土地へのアクセス、協議、合意形成、苦情および申立てのプロセス、地域社会プログラム、助成、スポンサーシップ、影響評価、地域社会への影響を回避、軽減または管理するための活動、ならびにステークホルダーの懸念および目的への対応を支援するために個人データを利用します。

これには、地域社会の見解、関心事項および懸念を理解すること、地域社会の構成員および代表者との関係を管理すること、対話活動およびイベントへの出席を記録すること、質問、フィードバック、苦情または申立てに対応すること、ならびに法的、規制上、合意上、許認可上、文化遺産上または責任ある事業運営上の要件を満たすことが含まれる場合があります。

ステークホルダー、投資家、メディアおよび事業関係、ならびに評判管理

当社は、株主、投資家、アナリスト、顧客、サプライヤー、ビジネスパートナー、専門アドバイザー、メディア関係者、市民社会組織の代表者、政府または公務員、規制当局およびその他の外部ステークホルダーとの関係を管理し、対話戦略を策定するために個人データを利用します。これは、集団または個人単位で行う場合があります。

これには、お客様との連絡、会議およびイベントの管理、問い合わせへの対応、更新情報の提供、デューデリジェンスの実施、契約または取引の管理、事業記録の維持、ならびに投資家対応、メディア対応、メディアおよびソーシャルメディアのモニタリング、企業情報の収集、リスクのマッピングおよびプロファイリング、政府関係、公共政策、調達、商務、コーポレート・アフェアーズおよび渉外活動の支援が含まれる場合があります。

安全、セキュリティ、苦情、インシデントおよびリスク管理

当社は、健康、安全、セキュリティ、法務、規制、評判、操業または事業上のリスクを特定、評価、管理し、これに対応するために個人データを利用します。
これには、拠点へのアクセス、安全事象、セキュリティインシデント、苦情、申立て、抗議活動、キャンペーン、紛争、不正行為の疑い、不審な活動、脅威、詐欺、犯罪行為、その他Rio Tinto、当社の人員、地域社会、拠点、資産、操業、情報、権利または利益に影響を及ぼす可能性のある活動に関する情報が含まれる場合があります。

当社は、人、地域社会、拠点、資産、操業および情報を保護し、損害を防止しまたはこれに対応し、インシデントを管理し、調査を行い、助言を求め、報告を行い、Rio Tintoの権利、財産および利益、または他者の権利、財産および利益を保護するための措置を講じる目的で、これらの情報を利用する場合があります。

法務、規制、ガバナンスおよびコンプライアンスの目的

当社は、法令、規制上の義務、裁判所命令、捜索令状、召喚状、政府または規制当局からの要請、制裁、贈収賄および汚職防止、マネーロンダリング防止、税務、コーポレートガバナンス、報告、健康安全、環境、文化遺産、土地へのアクセス、地域社会、調達、契約および記録保持に関する義務を遵守するために個人データを利用します。

当社はまた、専門的助言を得ること、法的請求に対応すること、合意を執行すること、紛争を管理すること、監査を支援すること、調査を実施すること、ならびに不正、非違行為、詐欺、犯罪、職務上の過誤または重大な不適切行為を防止しまたはこれに対応するために個人データを利用する場合があります。

事業計画、報告および改善

当社は、事業運営、経営報告、分析、業務改善、ステークホルダー分析、ステークホルダー・マッピング、地域社会および社会的パフォーマンスの計画、ウェブサイトの改善、システム管理、リスク管理、監査、保証、歴史的およびアーカイブ上の目的、ならびに実際のまたは提案されている事業譲渡、買収、事業売却、投資、組織再編またはRio Tintoグループのその他の変更のために個人データを利用します。可能かつ適切な場合、報告および分析には、集計された情報または匿名化された情報を使用します。

当社は、すべての種類の個人データをすべての目的に利用するわけではありません。当社が利用する個人データは、お客様が誰であるか、Rio Tintoとどのように関わるか、関係する拠点、サービス、イベント、プラットフォームまたは関係、および適用される法令によって異なります。

当社がお客様のデータを利用する法的根拠

プライバシー法により、当社は個人データを収集、利用および共有するための法的根拠を有することが求められます。当社が依拠する法的根拠は、目的、データの種類、お客様の所在地、Rio Tintoとの関わりの性質、および適用される法令によって異なります。

該当する場合、当社は次の法的根拠の一つまたは複数に依拠することがあります。

同意

当社が特定の目的のためにお客様の個人データを利用することについて明確な同意を求める場合、当社はお客様の同意に依拠することがあります。

同意を求める際、当社は何について同意を求めているかを説明します。状況に応じて、同意書への署名、オプトインボタンまたはリンクのクリック、はい・いいえの選択、システムまたは選好ダッシュボードでの設定の選択、要請への回答、許可される場合の口頭の要請に対する肯定回答、または特定の目的のための情報の自発的な提供により、同意を示すことができます。

当社が同意に依拠する場合、お客様は同意を撤回することができます。同意を撤回すると、サービスの提供、イベントまたはプログラムへの参加管理、問い合わせへの対応、お客様への連絡、または同意に依存するその他の活動を当社が行う能力に影響する場合があります。

契約または契約締結前の措置

お客様またはお客様が代表する組織との契約を締結、履行または管理するために必要な場合、当社はお客様の個人データを利用することがあります。

これには、サプライヤー、顧客、商取引、株主、投資家、宿泊、イベント、スポンサーシップ、助成、地域社会、土地へのアクセス、文化遺産、協議、合意またはその他の事業関係の管理が含まれる場合があります。

契約または関係に関連して機微データを利用する場合、適用法令により要求されるときは、追加の法的根拠も特定し、これに依拠します。

法的義務

法令、規則、裁判所命令、規制当局からの要請またはその他の法的手続を遵守するために必要な場合、当社はお客様の個人データを利用することがあります。

これには、コーポレートガバナンス、株主および投資家対応、調達、制裁、贈収賄および汚職防止、マネーロンダリング防止、税務、健康安全、環境、文化遺産、土地へのアクセス、地域社会、人権、現代奴隷、報告、監査および記録保持に関する義務が含まれる場合があります。

当社はまた、法的および規制上の義務を果たし、法的請求に対応し、合意を執行し、調査を実施し、専門的助言を得るため、または当社の権利、財産、人員、地域社会、システム、拠点、操業もしくは資産を保護するために、お客様の個人データを利用することがあります。

重大な利益

人の生命を保護し、または緊急事態に対応するために必要な場合、当社はお客様の個人データを利用することがあります。

これには、お客様または緊急連絡先への連絡、緊急医療の提供または手配、拠点、イベント、宿泊施設、地域社会または職場でのインシデントへの対応、あるいは健康、安全、セキュリティまたは福祉に影響する緊急事態の管理が含まれる場合があります。

正当な利益

Rio Tintoまたはステークホルダーや株主を含む第三者が、事業、操業、地域社会、安全、セキュリティ、法務またはステークホルダーに関連する正当な理由を有し、かつ当社が、お客様の利益、権利または自由がこれに優先しないと評価した場合、当社はお客様の個人データを利用することがあります。

当社の正当な利益には、事業の管理、ウェブサイトおよび拠点の運営、ステークホルダーとの連絡、投資家および株主との関係ならびに年次株主総会の効果的な管理、サプライヤー、顧客およびステークホルダーとの関係の管理、地域社会との対話および社会的パフォーマンスの支援、地域社会との関係および関連する広報活動の発展、当社の人員、地域社会、施設、システム、拠点、操業、会議、情報および資産の保護、不正行為、詐欺または犯罪の防止および発見、ネットワークおよび情報セキュリティの維持、問い合わせおよび調査の実施、苦情、フィードバックまたは申立てへの対応、紛争またはインシデントの管理、当社の事業活動に関するフィードバックまたは苦情への対応、デューデリジェンスの実施、評判管理活動の実施、経営報告の作成、分析の実施、監査および保証の支援、買収、事業売却または組織再編などの事業変更の管理、ならびに法的リスクの管理が含まれる場合があります。当社が正当な利益に依拠する場合、処理の目的、その目的のために処理が必要であるか、およびお客様の利益、権利または自由が当社の利益に優先するかを検討します。

機微データおよび特別に保護されるデータ

当社が機微データ、犯罪歴情報、生体認証情報、健康情報、政治的意見に関する情報、文化遺産情報、先住民としての地位に関する情報、またはその他の特別に保護されるデータを利用する場合、適用法令により許可され、かつ追加の法的要件が満たされる場合に限り利用します。

拠点へのアクセス、モニタリング、生体認証データおよび位置情報

当社は、安全、セキュリティ、拠点へのアクセス、緊急対応、コンプライアンス、調査、ネットワークおよび情報セキュリティのために必要または適切な場合、あるいはRio Tintoの人員、地域社会、訪問者、拠点、システム、情報、資産および操業を保護するために、モニタリング、アクセス制御、本人確認、生体認証、位置情報またはセキュリティの各ツールを利用することがあります。

これには、訪問者管理システム、アクセスログ、身分証明書の確認、入館証、CCTVその他の防犯カメラ映像、写真、音声または映像記録、車両または宿泊施設へのアクセス記録、インシデント記録、システムログ、ならびに位置情報機能が有効である場合、当該関わりのために必要な場合、または安全、セキュリティ、緊急、コンプライアンスもしくは調査の目的に必要な場合の位置情報が含まれる場合があります。

状況によっては、顔認識情報、指紋、音声情報、写真、映像または生体認証テンプレートなどの生体認証情報を利用することがあります。これらは、拠点へのアクセス、本人確認、安全、セキュリティ、緊急対応、調査、法令遵守、またはRio Tintoの人員、地域社会、拠点、システム、情報、資産もしくは操業の保護などの目的で利用される場合があります。

当社はまた、苦情、申立て、不正行為の疑い、不審な活動、詐欺、犯罪行為、セキュリティインシデント、脅威、抗議活動、キャンペーン、紛争、その他損害を生じさせ、またはRio Tinto、当社の人員、地域社会、拠点、資産、操業、評判、情報、権利もしくは利益に影響を及ぼす可能性のある活動を調査する際に、モニタリング情報を利用することがあります。

適用法令により要求される場合、当社は、特定のモニタリング、生体認証または位置情報ツールを利用する前に、追加の通知を行い、同意を求め、必要な評価を完了し、またはその他の措置を講じます。

AI支援ツール、プロファイリングおよび自動意思決定

当社は、本ステートメントに記載する目的の一部を支援するため、AI支援ツール、自動化されたプロセス、データ分析またはプロファイリングを利用することがあります。

これらのツールは、情報をより効率的に確認し、パターンまたはリスクを特定し、デューデリジェンスを支援し、安全およびセキュリティを管理し、ウェブサイトおよびサービスを改善し、ステークホルダーとのやり取りを理解し、業務の優先順位付けおよびワークフロー管理を支援し、意思決定を支援するために役立つ場合があります。これらは、スコア、評価、リスク指標、照合指標、順位、推奨、警告またはこれらに類する出力を生成する場合があります。

これらのツールが利用する個人データは、その目的によって異なります。これには、連絡先および本人確認情報、ウェブサイトおよび端末情報、ステークホルダーおよび関係に関する情報、地域社会との対話に関する情報、拠点アクセス情報、安全およびセキュリティ情報、苦情またはインシデント情報、デューデリジェンス情報、コンプライアンス情報、ならびに本ステートメントに記載するその他の情報が含まれる場合があります。

AI支援ツール、自動化されたプロセス、データ分析またはプロファイリングは、次のような活動を支援するために利用される場合があります。

• ウェブサイト分析、Cookie分析、オーディエンス測定およびサービス改善
• ステークホルダーとの対話、関係管理およびコミュニケーション計画
• 地域社会との対話、社会的パフォーマンス、苦情および申立ての管理
• 安全、セキュリティ、インシデント対応、リスク評価および拠点アクセス管理
• 制裁スクリーニング、贈収賄および汚職防止に関する確認、マネーロンダリング防止に関する確認、サプライヤーのデューデリジェンス、利益相反の確認およびその他のコンプライアンス活動
• 詐欺防止、不正行為の発見、調査支援および法的または規制上のリスク管理
• 事業報告、分析、監査、保証、操業計画および業務改善

自動化ツールは、意思決定または対応に情報を提供するために役立つ場合があります。AI支援ツール、自動化されたプロセス、データ分析プロセスまたはプロファイリングが、お客様に重大な影響を及ぼす可能性のある意思決定または対応に重要な影響を与える場合、Rio Tintoは、人による審査および結果の変更が実務上可能であるかを含め、その実際の効果を踏まえて当該プロセスを評価します。

自動意思決定に関する法令が適用される場合、当社は、自動意思決定に利用される個人データの種類、および自動意思決定により行われる、または実質的に支援される決定の種類に関する情報を提供します。

適用法令により要求される場合、当社は、関連するツールまたはプロセスの仕組み、その出力の利用方法、ならびにお客様が利用できる同意、オプトアウト、撤回、異議申立てまたは審査の選択肢について説明します。

当社は、適用法令により要求される場合、または決定もしくは対応の性質および影響を踏まえて適切な場合、人による審査を行います。

採用または候補者の応募に関連して利用されるAI支援ツールまたは自動化されたプロセスについては、Rio Tinto候補者プライバシー・ステートメントに記載しています。

Cookieおよび類似技術

Rio Tintoのウェブサイト、マイクロサイト、オンラインプラットフォームおよび電子通信は、Cookieおよび類似技術を利用する場合があります。

Cookieおよび類似技術は、当社のウェブサイトおよびプラットフォームの運営、お客様の選好の記憶、セキュリティの支援、人々が当社のウェブサイトおよび通信をどのように利用しているかの把握、コンテンツの有効性の測定、利用者体験の改善、ならびに分析および報告の支援に役立つ場合があります。

これらの技術は、IPアドレス、端末情報、ブラウザ情報、オンライン識別子、閲覧ページ、クリックしたリンク、入力したフォーム、参照元ページ、IPアドレスから推定されるおおよその位置情報、ならびに訪問日時などの情報を収集する場合があります。

適用法令により要求される場合、当社は、必須ではないCookieまたは類似技術を利用する前に、お客様の同意を求めます。

お客様は、ブラウザ設定、または該当するウェブサイトで提供されるCookie選好ツールを通じて、Cookieを管理することができます。詳細は、該当するCookie通知、Cookie選好ツールまたはウェブサイト上のプライバシー情報に記載される場合があります。

当社がお客様のデータを収集する方法

当社は、個人データの大部分をお客様から直接収集します。これは、お客様がRio Tintoのウェブサイト、マイクロサイトまたはオンラインプラットフォームを訪問もしくは利用する場合、当社に連絡または問い合わせをする場合、会議またはイベントに出席する場合、Rio Tintoのオフィス、拠点、操業施設または宿泊施設を訪問する場合、フォームを記入する場合、地域社会プログラムまたは協議に参加する場合、フィードバックを提供する場合、苦情または申立てを行う場合、当社と契約その他の取決めを締結する場合、またはその他の形でRio Tintoと関わる場合に行われることがあります。

当社はまた、お客様がRio Tintoと関わる際に利用するシステム、拠点およびサービスから個人データを収集する場合があります。これには、ウェブサイト、オンラインプラットフォーム、電子通信、アクセスシステム、訪問者管理システム、旅行予約、セキュリティシステム、宿泊システム、イベントシステム、CCTV、拠点アクセスツール、ならびに安全、セキュリティ、コンプライアンス、対話または事業運営を管理するために利用されるその他のツールが含まれる場合があります。

状況によっては、当社が保有する他の情報から、お客様に関する個人データを推測または生成することがあります。例えば、ステークホルダーとの対話記録、関係管理記録、地域社会との対話記録、苦情または申立てのプロセス、デューデリジェンスの確認、インシデント報告、リスク評価、セキュリティ評価、調査、報告、分析、システムログ、ウェブサイト分析、公開されているオンライン情報もしくはソーシャルメディア情報、またはその他の事業記録を通じて情報を生成する場合があります。

当社は、適用法令により許可される場合、他の人または組織からお客様に関する個人情報を収集することもあります。これには、Rio Tintoグループ会社、合弁事業パートナー、サプライヤー、顧客、ビジネスパートナー、地域社会の代表者、イベント主催者、専門アドバイザー、規制当局、公的機関、法執行機関、裁判所、セキュリティ提供者その他の第三者が含まれる場合があります。さらに、メディアモニタリング、評判およびインテリジェンスのモニタリング、リスク管理、広報、コミュニケーションおよび戦略アドバイザリーサービスを提供する第三者から個人情報を受領する場合があります。

当社はまた、公的データベース、メディア情報源、ソーシャルメディアプラットフォーム、一般に公開されているウェブサイト、お客様または第三者が公表した記事、出版物その他の資料など、一般に公開されている情報源から個人情報を収集する場合があります。

Rio Tintoの地域法人、地域別プライバシー通知または補遺がお客様とRio Tintoとの関わりに適用される場合、適用法令により要求される追加情報を提供します。

データを提供しない場合または同意を撤回する場合

当社は、すべての方について、あらゆる種類の個人データまたは機微データを収集または利用するわけではありません。当社が必要とする情報は、お客様が誰であるか、Rio Tintoとどのように関わるか、関係する拠点、サービス、イベント、プラットフォームまたは関係、および適用される法令によって異なります。

場合によっては、当社は、お客様の問い合わせに対応し、イベントまたはプログラムへの参加を管理し、拠点、オフィス、宿泊施設またはプラットフォームへのアクセスを提供し、契約または関係を管理し、法的義務を履行し、地域社会との対話を支援し、健康、安全およびセキュリティを保護し、または事業を運営するために、特定の個人データを必要とします。

お客様が自ら提供することを選択した場合、または法令、契約もしくは取決め、あるいは拠点、イベント、プラットフォーム、プログラムもしくは関係に適用される要件により提供が求められる場合を除き、お客様は個人データを提供する義務を負いません。ただし、当社が必要とする情報を提供しないことを選択した場合、お客様と関わること、サービスを提供すること、問い合わせに対応すること、拠点またはプラットフォームへのアクセスを認めること、関係を管理すること、プログラムまたはイベントに参加いただくこと、法的または規制上の要件を満たすこと、あるいは健康、安全およびセキュリティを保護することができなくなる場合があります。

当社が個人データ（機微データを含みます）の収集、利用または共有についてお客様の同意に依拠する場合、お客様はいつでも同意を撤回することができます。撤回は、AskE&C@riotinto.comへの連絡、提供されている場合のボタンもしくは選好設定の利用、または当社が案内するその他の方法により行うことができます。

同意の撤回は、撤回前に行われた処理の適法性には影響しません。ただし、同意を撤回した後に当社が行えることに影響する場合があります。例えば、お客様への連絡、イベントまたはプログラムへの参加、サービスの提供、依頼の処理、または同意が必要な活動の継続に影響する場合があります。

お客様が他者のデータを当社に提供する場合

お客様は、他者に関する個人データを当社に提供することがあります。例えば、緊急連絡先、家族、代理人、同僚、従業員、請負業者、地域社会の構成員、イベント参加者、訪問者、受益者、照会先、苦情申立人、証人、またはお客様とRio Tintoとの関わりに関連するその他の者の情報を提供する場合があります。

他者の個人データを当社に提供する前に、その方に次の事項を知らせてください。

• お客様がその方の個人データをRio Tintoに提供すること
• Rio Tintoが、本ステートメントおよび適用されるその他のプライバシー通知に記載されたとおり、その方の個人データを収集、利用、保存および共有すること
• 当社による個人データの取扱いについて質問がある場合、その方が当社に連絡できること

適用法令により要求される場合、その方の個人データを当社に提供する前に、その方の同意も得てください。

当社が他者からお客様のデータを収集する場合

当社が収集する個人データの大部分は、お客様から直接取得します。ただし、適用法令により許可される場合、他の人または組織からお客様に関する個人データを収集することがあります。

例えば、Rio Tintoグループ会社、合弁事業パートナー、サービス提供者、イベント主催者、地域社会の代表者、ビジネスパートナー、サプライヤー、顧客、広報、コミュニケーションおよび戦略アドバイザリーサービスを含む専門アドバイザー、規制当局、政府機関、公的機関、法執行機関、裁判所、健康および医療の専門家、学術専門家、技術コンサルタント、セキュリティ提供者、メディア情報源、公的データベース、一般に公開されているウェブサイト、ソーシャルメディアプラットフォームまたはその他の第三者から個人データを収集する場合があります。

当社はまた、メディアモニタリング、評判およびインテリジェンスのモニタリング、リスク管理、広報、コミュニケーションおよび戦略アドバイザリーサービスを提供する第三者から、お客様に関する個人データを収集する場合があります。

当社は、お客様から直接情報を収集することが合理的に実行可能でない場合、対話、確認、安全、セキュリティ、法務、コンプライアンス、調査、評価、研究、助言、地域社会、操業または事業上の目的のために情報が必要な場合、またはお客様の利益、Rio Tintoの利益もしくは他者の利益を保護するために必要であると当社が判断する場合に、これを行うことがあります。

当社がお客様のデータを共有する相手

当社は、本ステートメントに記載された目的のため、かつ法的根拠がある場合に、許可される範囲で機微データを含むお客様の個人データを共有することがあります。

当社は、お客様の個人データを次の相手と共有する場合があります。

• Rio Tintoグループ会社および関連事業体（他のRio Tinto会社、関連会社、ならびに該当する場合は当社が管理するまたは管理しない合弁事業パートナーを含みます）
• 事業、操業、対話、安全、セキュリティ、法務、コンプライアンス、地域社会またはステークホルダーに関連する目的のために情報を必要とする者（Rio Tintoの従業員、管理者、代理人、請負業者、拠点要員、セキュリティ要員、地域社会対応要員、コーポレート・アフェアーズ要員、投資家対応要員、ならびにその役割を果たしまたは当社にサービスを提供するためにアクセスを必要とするその他の者など）
• 当社のウェブサイト、拠点、イベント、宿泊施設、管理業務、ステークホルダーとの対話、地域社会との対話、苦情および申立てのプロセス、株主および投資家対応、株主管理、サプライヤーおよび顧客管理、デューデリジェンス、セキュリティ、調査、通信、分析、監査、保証および事業管理を支援するサービス提供者
• ネットワークサービス、クラウドストレージ、ホスティング、ITサポート、ウェブサイトプラットフォーム、分析ツール、アクセスシステム、訪問者管理システム、CCTV、セキュリティおよびモニタリング機器の提供者などの技術、システムおよびセキュリティ提供者
• 法律顧問、監査人、財務アドバイザー、コンサルタント、学術専門家、ブローカー、保険会社、健康および医療アドバイザー、地域社会アドバイザー、文化遺産アドバイザー、環境アドバイザー、セキュリティアドバイザー、リスク評価アドバイザー、モニタリングサービス、ならびに戦略的コミュニケーション、企業情報モニタリングおよび広報の助言会社を含むその他の事業または専門アドバイザーおよび保険会社
• 施設提供者、保守提供者、輸送提供者、宿泊提供者、イベント提供者、旅行提供者、医療提供者、緊急対応提供者、ならびに当社の拠点、イベント、サービスおよび操業の機能を支援するその他の者などの操業パートナーおよび事業サービス提供者
• 関連性があり適用法令により許可される場合の、地域社会の代表者、合意当事者、伝統的所有者の団体、土地所有者、文化遺産機関その他の地域社会に関連する当事者
• 法令、裁判所命令、規制手続または法的義務により要求または許可される場合の、規制当局、政府機関、裁判所、法執行機関その他の公的機関
• 提案済みまたは実際の買収、事業売却、投資、債権もしくは貸付の売却、事業譲渡、組織再編または所有権の変更など、企業取引、報告、ガバナンスまたは事業変更に関与する株主、投資家、買主、貸主その他の当事者
• お客様の許可を得たその他の受領者、または適用法令により要求もしくは許可されるその他の受領者

一部の法域では、例えば重大な犯罪または違反の疑いに関連して、法的に許可される場合、正式な通知なしに法執行機関または規制機関に情報を開示することがあります。

当社は、関連する目的に適切であり、かつ適用される法的要件に従う場合にのみ、個人データを共有します。

国際移転

Rio Tintoは世界各地で事業を展開しているため、お客様の個人データは、お客様の所在法域以外の国に移転され、保存され、または当該国からアクセスされる場合があります。

例えば、お客様の個人データは、事業管理、ウェブサイト運営、ステークホルダーとの対話、地域社会との対話、拠点へのアクセス、安全、セキュリティ、コンプライアンス、法務、技術サポート、報告、監査、保証その他本ステートメントに記載する目的に関与するRio Tintoグループ会社、関連会社、合弁事業パートナー、サービス提供者、アドバイザーまたはその他の受領者によりアクセスされる場合があります。

当社が個人データを国際的に移転する場合、適用法令に従って行います。状況および適用法令に応じて、これには次の場合の個人データ移転が含まれます。

• 同意が必要な場合に、お客様が同意しているとき
• 標準契約条項その他の契約上、技術上および組織上の保護措置など、適切な保護措置が移転に適用されるとき
• 関係するプライバシー監督機関により、個人データに十分な保護を提供すると認められた国への移転であるとき
• その他、適用法令により移転が許可されるとき

必要な場合、当社は、国際的に移転される個人データを保護するための措置を講じます。これには、受領者に個人データの保護を義務付ける契約上の義務、ならびに個人データを安全に保つための技術上および組織上のセキュリティ措置が含まれる場合があります。

当社がお客様のデータを保護する方法

当社は、個人データを不正なアクセス、利用、開示、変更、紛失または破壊から保護するために設計された技術的、組織的および物理的な措置を講じます。
これらの措置には、アクセス制御、システムセキュリティ制御、モニタリング、適切な場合の暗号化その他の保護技術、守秘義務、従業員研修、社内方針、ベンダーのデューデリジェンス、契約上の保護および物理的セキュリティ措置が含まれる場合があります。

当社は、業務上必要な者または当社にサービスを提供するために必要な者に個人データへのアクセスを限定し、当社に代わって個人データを取り扱うサービス提供者に対し、当該個人データを保護することを求めます。

完全に安全なシステムまたは送信方法は存在しません。ただし、当社は、適用法令およびRio Tintoのセキュリティ要件に従い、個人データを保護するための措置を講じます。

当社がお客様のデータを保持する期間

当社は、本ステートメントに記載された目的に必要な期間、または法令により保持が要求もしくは許可される期間に限り、個人データを保持します。

特定の記録を保持する期間は、情報の種類、収集した理由、お客様が誰であるか、Rio Tintoとどのように関わるか、関係する拠点、サービス、イベント、プラットフォームまたは関係、適用される法的または規制上の要件、ならびに対話、地域社会、安全、セキュリティ、法務、監査、調査、紛争、保険、報告、コンプライアンス、コーポレートガバナンスまたは事業上の目的のために情報が必要かどうかによって異なります。

当社は、記録保持義務の遵守、問い合わせへの対応、法的請求の管理、苦情または申立ての管理、地域社会またはステークホルダーとの対話の支援、健康、安全またはセキュリティの保護、事業記録の維持、Rio Tintoの権利、財産および利益、または他者の権利、財産および利益の保護など、法令により要求または許可される場合、お客様との関わりが終了した後も個人データを保持することがあります。

個人データが不要になった場合、当社は、適用法令およびRio Tintoの保持要件により保持が要求または許可される場合を除き、当該データを削除し、匿名化し、または安全に保管します。

元従業員または元請負業者である場合、雇用関連の記録は、Rio Tinto従業員プライバシー・ステートメント、適用法令およびRio Tintoの保持要件に従って保持されます。

お客様の権利およびその行使方法

お客様の居住地、Rio Tintoと関わる場所、および適用法令に応じて、お客様はご自身の個人データに関する権利を有する場合があります。これらの権利は絶対的なものではなく、例外が適用される場合があります。

お客様の権利には、次の権利が含まれる場合があります。

• 当社がお客様の個人データをどのように収集および利用するかについて説明を受ける権利
• 当社が保有するお客様の個人データへのアクセスまたはその写しを請求する権利
• 不正確、不完全または古くなった個人データの訂正を求める権利
• 一定の場合に個人データの削除を求める権利
• 一定の場合に個人データの利用を制限するよう求める権利
• 該当する場合、特定の自動意思決定またはプロファイリングを含む、お客様の個人データの一定の利用に異議を申し立てる権利
• 該当する場合、お客様が当社に提供した個人データを合理的な形式で受け取る権利
• 当社が同意に依拠する場合に、撤回前の処理の適法性に影響を与えることなく同意を撤回する権利
• 該当する場合、国際移転に利用される保護措置に関する情報を求める権利
• 該当する場合、自動意思決定について人による審査または追加情報を求める権利
• 該当する場合、お客様の死亡または能力喪失時に、お客様の権利を行使する他者を指定する権利

請求を行うには、AskE&C@riotinto.com、または当社が案内するその他の連絡先もしくは手続をご利用ください。

請求が求人応募、候補者プロフィールまたは提出済み採用質問票への回答に関するものである場合は、Rio Tinto候補者プライバシー・ステートメントに記載された連絡先をご利用ください。現在または過去の従業員もしくは請負業者として保有される雇用関連の個人データに関する請求である場合は、AskE&C@riotinto.comまたは別途案内された連絡先までご連絡ください。

当社は、請求に対応する前に、お客様の本人確認を行う必要がある場合があります。これは、個人データを保護し、不正なアクセスまたは不正な請求を防止するためです。

当社は、合理的な期間内に、適用法令に従ってお客様の請求に対応します。可能な場合、アクセスおよび訂正の請求には30暦日以内に対応することを目指します。請求に応じることができない場合、または一部のみ応じることができる場合、法令により説明が禁止されている場合を除き、その理由を説明します。

地域の法令により、アクセス、訂正または自動意思決定の透明性に関する権利を含む、お客様の権利に関する追加情報が要求される場合、当社は、本ステートメント、地域別プライバシー通知、補遺またはお客様に提供するその他の通知において当該情報を提供します。

苦情

当社によるお客様の個人データの取扱いについて質問、懸念または苦情がある場合は、AskE&C@riotinto.com、または該当する場合、お客様の国もしくは地域を担当するデータ保護責任者までご連絡ください。

当社は、お客様の懸念を検討し、適用法令に従って対応します。

当社の対応に満足されない場合、お客様は、お客様の国または地域のプライバシー監督機関もしくはデータ保護当局に苦情を申し立てる権利を有する場合があります。

英国のデータ保護に関する苦情

当社によるお客様の個人データの取扱いに英国のデータ保護法が適用され、当社が適用されるデータ保護法を遵守していないと考える場合、お客様は当社にデータ保護に関する苦情を申し立てることができます。これは、AskE&C@riotinto.comまたは別途案内された連絡先への連絡により行うことができます。

当社は、苦情を受領してから30日以内に受領を確認します。当社は、必要に応じて照会を行い、お客様に状況をお知らせし、不当に遅滞することなく結果を通知することを含め、苦情を検討し対応するための適切な措置を講じます。

お客様は、英国情報コミッショナー事務局に苦情を申し立てる権利も有します。該当する場合、当社が苦情を検討し対応する機会を得られるよう、まず当社に苦情を申し立てるよう求められることがあります。

カリフォルニア州居住者向けの追加情報

カリフォルニア州の居住者である場合、当社がお客様について収集および利用する個人データに、追加のプライバシー権および開示事項が適用される場合があります。

該当する場合、これらの権利および開示事項には、次の事項に関する情報が含まれる場合があります。

• 当社が収集する個人データのカテゴリー
• 当社が個人データを収集する情報源のカテゴリー
• 当社が個人データを収集、利用、開示またはその他の方法で処理する目的
• 当社が個人データを開示する第三者またはその他の受領者のカテゴリー
• 当社が個人データを保持する期間
• カリフォルニア州法で定義される意味において、当社が個人データを販売または共有するかどうか
• 当社が機微な個人データをどのように利用または開示するか
• 知る権利、アクセス権、訂正権、削除権、オプトアウト権、機微な個人データの一定の利用を制限する権利、および権利を行使したことを理由として差別されない権利
• お客様またはお客様の権限を有する代理人がプライバシー請求を提出する方法

当社は、適用法令により要求されるカリフォルニア州固有の情報を、本ステートメント、カリフォルニア州向けプライバシー通知、地域別通知、補遺またはお客様に提供するその他の通知において提供します。

中国本土、モンゴル、韓国およびその他の地域要件に関する追加情報

中国本土、モンゴル、韓国、または地域のプライバシー要件が適用されるその他の国に居住する場合、お客様の個人データには、追加のプライバシー通知、地域別通知または補遺が適用される場合があります。

これらの通知または補遺には、次の事項に関する追加情報が記載される場合があります。

• お客様の個人データの取扱いに責任を負うRio Tintoの事業体
• 収集される個人データまたは機微データのカテゴリー
• 個人データを利用する目的および法的根拠
• 地域の同意要件
• 地域固有の識別情報または登録情報
• サービス提供者、代理人、委託先またはその他の受領者
• 国際移転
• 保持要件
• 地域における権利およびその行使方法
• 地域のプライバシー監督機関または苦情申立て経路

適用法令により要求される場合、当社は、本ステートメント、地域別プライバシー通知、補遺またはお客様に提供するその他の通知において当該情報を提供します。

本ステートメントと、お客様に適用される地域別通知または補遺との間に不一致がある場合、不一致の範囲において、当該地域別通知または補遺が適用されます。