個人データの保護

Withingsは、国際標準化機構ISO 27001規格の要件に準拠したホスティングプロバイダーとしてのサービスを提供しています。
これには、Withingsがホスティングするアプリケーションおよびサービスの設計、開発、運用、検証、サポートに関わるすべてのシステム、人員、プロセス、特に個人の健康データの処理が含まれます。

証明書をダウンロード

ASIP Santéが提供する認証基準に従い、活動1～6を対象とするヘルスデータホスティング — 最終版1.1、2018年5月。

個人の健康データの処理または開示を含む、Withingsがホスティングするアプリケーションおよびサービスの設計、開発、運用、検証、サポートに関わるすべてのシステム、人員、プロセスを対象としています。

HDS基準に従い、下請事業者としての当社の活動に関する保証の表をこちらのリンクからご確認いただけます。

証明書をダウンロード

Withings は、GDPR などの世界的なプライバシー保護における最先端の状況に対応する能力を実証しています。そのために、Withings が実施する活動（内部または外部）の各ステップでプライバシー保護が考慮されるよう、内部プロセスが継続的に監査されています。

証明書をダウンロード

Withings は、OWASP セキュリティリスクトップ10へのリスクを制限するために、最新のセキュリティ制御技術を活用しています。これらの組み込み型の制御により、SQLインジェクション（SQLi）、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）などへのリスクが軽減されます。

すべての開発活動は、スプリントの設定およびプロダクトマネージャーチームによるタスクの優先順位付けを伴うアジャイル手法で組織されています。すべてのスプリントは履歴として記録されます。開発者は、単体テスト、機能統合テスト、セキュリティテストを実施します。機能はデプロイ前にセキュリティチームによるレビューとピアレビューによる評価を受けます。

ソフトウェア品質保証部門は、本番環境への導入前にサービスおよびアプリケーションをテストします（手動テストおよび自動テスト）。

開発環境とテスト環境は、本番環境から論理的に分離されています。開発環境またはテスト環境において、本番の個人データは使用されません。

欧州におけるB2CおよびB2B事業について、Withingsはフランスに所在するデータセンターで、BSOを通じてサーバーをホスティングしています。24時間365日の稼働とサービスの継続的な可用性を確保するため、BSOのデータセンターには冗長化された電力システムが備えられ、環境管理の対象となっています。

米国におけるB2B事業について、WithingsはGCPを通じて米国に所在するデータセンターでサーバーをホスティングしています。24時間365日の稼働とサービスの継続的な可用性を確保するため、GoogleのデータセンターにはGCPの冗長化された電力システムが備えられ、環境管理の対象となっています。

BSOおよびGCPのデータセンターは、専用設計の電子アクセスカード、アラーム、車両アクセス制御バリア、セキュリティフェンス、金属探知機、生体認証技術を含む多層セキュリティモデルで設計されています。各データセンターには、レーザービーム侵入検知システムも装備されています。データセンターは、侵入者を検知・追跡できる高解像度の屋内・屋外カメラにより、24時間365日監視されています。

Withingsは、現地法に従い、すべての新入社員に対して身元調査を実施しています。これらの調査は委託業者にも実施されます。必要に応じて、身元調査には技術的および一般的なスキル、過去の雇用歴、犯罪歴の確認が含まれる場合があります。

すべての従業員は、秘密保持および機密保持契約に署名する必要があります。この機密保持契約は、雇用契約終了後も有効です。

Withings は、すべての役割と責任が、それらを割り当てられた個人によって明確に定義・理解されていることを確保しています。

Withingsは、社内規則で定められた制裁基準に基づき、委託された責任に違反した場合の懲戒手続きを整備しています。

すべてのプロセスは、内部監査チームまたは外部サービスプロバイダーによって監査されます。

マネジメントレビューにより、経営陣がISMSを体系的に見直し、改善の機会を評価し、ISMSの適切性、妥当性、有効性を確保するために必要な措置を決定します。