## Oracle NetSuite Hosting & Support Delivery Policies 発効日： 2024 年 4 月 8 日 ## 目次 概要 4 定義 5 6 6 6 6 7 7 7 7 7 8 8 8 8 8 9 9 10 10 10 10 10 11 11 11 11 11 14 14 14 14 15 15 15 15 15 15 15 | I. | オラクル NetSuite クラウド・サービスのデータ・セキュリティー・ポリシー | 6 | |-------|--------------------------------------------|-----| | A. | オラクル NetSuite セキュリティー・ポリシー | 6 | | B. | オラクル NetSuite セキュリティー組織 | 6 | | C. | データのストレージと処理 | 6 | | D. | データ送信 | 7 | | E. | インシデント対応 | 7 | | F. | 変更管理 | 7 | | G. | サーバー・オペレーティング・システム | 7 | | H. | アクセス・コントロールと特権管理 | 7 | | I. | ユーザー・アカウント：パスワード、アクセスおよび通知 | 8 | | J. | オラクルの責任とポリシー管理 | 8 | | K. | パスワード設定 | 8 | | L. | ネットワーク接続のセキュリティー要件 | 8 | | M. | 監査と認証 | 8 | | N. | データ・センター環境と物理的セキュリティー | 9 | | O. | 災害復旧 | 9 | | P. | リスク・アセスメント | 10 | | Q. | 個人情報の取り扱い | 10 | | | 機密データ | 10 | | R. S. | サービスの使用 | 10 | | T. | 第 I 条の例外および除外 | 10 | | II. | オラクル NetSuite サポート・サービス | 11 | | A. | 一般 | 11 | | B. | サポート・サービスの範囲 | 11 | | C. | 終了 | 11 | | D. | インシデント・レポートおよび応答時間 | 11 | | E. | 第 II 条の例外および除外 | 14 | | III. | オラクル NetSuite サービス・レベル・コミットメント | 14 | | A. | サービス可用性 | 14 | | B. | 予定された保守と予定外の保守 | 14 | | C. | サービス・クレジットのリクエスト | 15 | | D. | 更新 | 15 | | E. | 通知 | 15 | | F. | 第 III 条の例外および除外 : | 15 | | IV. | オラクル NetSuite レスポンス・サービス要件 | 15 | | A. | 一般 | 15 | | B. | レスポンス・サービスの要件および説明 | 15 | 16 16 16 | C. | 終了 | 16 | |------|------------------|------| | D. | その他 | 16 | | E. | 第 IV 条の例外および除外 : | 16 | この Oracle NetSuite Hosting and Support Delivery Policies （以下「本ホスティング・ポリシー」とい います）は、原契約（以下に定義）で定義されるクラウド・サービスについて説明するものです。本 ホスティング・ポリシーは、お客様の原契約または見積 / 注文書に記載されている場合にのみ適用され ます。本ホスティング・ポリシーは、本ホスティング・ポリシーに対するあらゆる例外を詳述する Oracle NetSuite Exceptions to the Hosting & Support Delivery Policies （以下「例外ポリシー」といい ま す ） と 併 せ て 確 認 す る 必 要 が あ り ま す 。 例 外 ポ リ シ ー は 、 https://www.oracle.com/corporate/contracts/cloud-services/netsuite/ でご確認いただけます。 本ホスティング・ポリシーでは、その他のオラクルのクラウド・ポリシー文書を参照する場合があり ます。本ホスティング・ポリシーまたはその他のポリシー文書で参照される「お客様」とは、お客様 の見積 / 注文書（以下「注文」といいます）または原契約で定義される「お客様」をいいます。本ホス ティング・ポリシーの目的において、（ 1 ）「原契約」とは、お客様のクラウド・サービスの使用を規 定し、本ポリシーを参照する、お客様の注文で参照される該当する契約を意味します。さらに、以下 もまた本ホスティング・ポリシーに適用されます。 - 本ホスティング・ポリシーにおける以下の用語の参照は、 NetSuite Connectors の Subscription Services Agreement に規定されているものと同じ意味を持つものとします。すなわち、（ a ） 「お客様」には「サブスクライバー」が含まれるものとし、（ b ）「お客様データ」には「サ ブスクライバー・データ」が含まれるものとし、（ c ）「期間」には「当初期間」および「更新 期間」が含まれるものとします。 - 本ホスティング・ポリシーにおける「サービス期間」とは、お客様の注文で指定された、お客 様が購入したクラウド・サービスの期間（たとえば 12 か月など）を意味するものとします。 用語の定義は、本ホスティング・ポリシーで別途定義されていない限り、原契約（原契約に組み込ま れた文書を含みます）またはお客様の注文（該当する場合）において与えられた意味を有するものと します。 お客様の注文または原契約には、特定のクラウド・サービスに関する追加の詳細または例外が含まれ る場合があります。クラウド・サービスは、適用される原契約およびお客様の注文の条件に基づいて 提供されます。オラクルによるクラウド・サービスの提供は、お客様およびお客様の対象ユーザーが、 これらの文書およびそれに取り込まれたポリシーで規定されている義務と責任を遵守することを条件 としています。本ホスティング・ポリシーおよびここで参照される文書は、オラクルの裁量で変更さ れることがあります。ただし、オラクルによるポリシーの変更は、お客様の注文のサービス期間中に 提供されるクラウド・サービスのパフォーマンス、機能、セキュリティー、および可用性のレベルを 実質的に低下させるものではありません。 本ホスティング・ポリシーは、第三者アプリケーション（原契約で定義）、 NetSuite US Payroll Service を含みますがこれに限定されない（原契約以外の）別条件に従うオラクルが販売するすべての サービス、またはお客様の注文（該当するアイテムの説明または Service Descriptions を含みます）で 別途指定されたものには適用されません。本ホスティング・ポリシーに対するその他の例外について は、例外ポリシーに記載されています。 ## 定義 「 Advanced Customer Support 」とは、サブスクリプション方式でオラクルが提供するマネージド・ サービスをいいます。 Advanced Customer Support は、お客様によるクラウド・サービスの使用また はクラウド・サービスの特定のコンポーネントの使用に際し、お客様を支援するためにオラクルが提 供するものです。 「代替解決策」とは、インシデントに対する解決策または修正であり、クラウド・サービスを実質的 にユーザー・ガイドに従い機能させるためのものをいいます。 「正規担当者」とは、指定されたお客様の従業員または認定代理人で、（ i ）本書に概説されるお客様 の義務を履行するために、クラウド・サービスに関する十分な技術的専門知識、トレーニングおよび / または経験を有し、（ ii ）本ホスティング・ポリシーの第 II 条に記載のオラクル NetSuite サポート・サ ービスに関するオラクルとのすべての通信（ケースの提出およびインシデント報告を含みます）に責 任を有し、（ iii ）お客様に代わってクラウド・サービスのサポート・サービスを要求および受領する権 限をお客様から付与されている者を意味します。 「基本サポート」とは、本書に記載されているオラクルの基本的なサポート・サービスであって、ク ラウド・サービスの最新のサブスクリプションに含まれているものをいいます。さらに、基本サポー トでは、重要度 1 の問題への対応が年中無休に拡大されています。 「営業日」とは、オラクルの休業日を除く月曜日から金曜日までの通常営業時間をいいます。 「電子的コミュニケーション」とは、クラウド・サービスを介して全体的または部分的に電子的に受 信および / または送信されるサイン、信号、テキスト、画像、音声、データ、または情報（性質の如何 を問いません）の一切の移転をいいます。 「機能改善要求」とは、クラウド・サービスの仕様を超える機能追加または性能改善であって、サポ ート・サービスの一部として含まれていないものに関する、お客様からの要求を意味します。 「ファースト・レベル・サポート」とは、お客様の客先、エンドユーザーまたは関連会社からのコー ルに関係するか、またはユーザー・エラー、ネットワーク・エラー、プロビジョニング・エラーまた はインターネットの遅延または不具合の一般的な解決に関係する一切のサポートをいいます。 「インシデント」とは、クラウド・サービスについての単一のサポート上の質問、またはユーザー・ ガイドに記載された機能および / または仕様に実質的に適合しない不具合に関するものであって、かつ 正規担当者により報告されたものをいいます。 「通常営業時間」とは、原契約に掲げられたお客様の本社所在地のタイム・ゾーンにおける営業日の 午前 8 時から午後 6 時までをいいます。 「プレミアム・サポート」とは、オラクルによるサポート・サービスの強化レベル版をいいます。本 書に記載の基本サポート・サービスに加えて、お客様がプレミアム・サポートを受ける権利を有する 場合には、重要度 1 および重要度 2 の問題に対する通常営業時間は年中無休対応に拡大され、引き上げ られた応答時間目標とさらなる正規担当者が提供されます。 「プライマリー DC 」とは、お客様データが保存されるプライマリー・データ・センターを意味します。 「個人情報」とは、データ保護関連適用法令における「パーソナル・データ」、「個人を識別できる 情報（ PII ）」またはこれらに相当する用語と同一の意味を有するものとします。 「セーフガード」とは、物理的および技術的なセーフガードを意味します。 「セキュリティー・インシデント」とは、暗号化されていない情報が存在するお客様データが、オラ クルによって権限のない個人または団体に実際に不正に開示された、または不正な開示があったと合 理的な確信があったことを意味するものとします。 「 SuiteAnswers 」とは、年中無休でアクセス可能なオンライン・サポート・ポータルです。 「サポート・サービス」とは、本書に記載された条件に基づき、かつ原契約にさらなる定めがある場 合にはそれにも基づいて、オラクルが提供するクラウド・サービスについての基本サポートおよびオ プションのプレミアム・サポート・サービスをいいます。ただし、ファースト・レベル・サポートお よび機能改善要求は含まれません。お客様のサポート・サービスのレベルは、当該お客様が調達済み のサポート・サービスのレベルに応じて決定されます。サポート・サービスは、英語で提供されます が、可能である場合は、オラクルの独自の裁量により他言語にて提供されることがあります。 ## I. オラクル NETSUITE クラウド・サービスのデータ・セキュリティー・ポリシー 該当する注文で調達されたクラウド・サービスの場合、オラクルは、お客様データの保護、機密保持 および完全性維持のために設計された商業上合理的な管理面でのセーフガードを維持するものとしま す。かかるすべてのセーフガードは、保護されるお客様データの重要性に見合ったものとしますが、 いかなる場合も、同様の重要性を有するオラクルの情報またはデータを保護するためにオラクルが使 用する保護措置よりも、または適用される法律が義務付ける保護措置よりも、保護の水準が下回らな いものとします。 本書に記載のセーフガードは、お客様の注文のサービス期間中、適用されます。しかし、本ホスティ ング・ポリシーに記載のセーフガードは包括的なものではなく、該当する注文のサービス期間中に、 適用される第三者のセキュリティー監査、コンプライアンス基準および / または認証が時間の経過とと もに発展または変化するにつれ、かかるセーフガードは変更される可能性があります。ただし、セー フガードに対する当該変更が、該当する注文のサービス期間中にクラウド・サービスの全体的なセキ ュリティーを著しく低下させないことを条件とします。 サービス期間中、オラクルはお客様データに関するすべての義務（本書に記載の商業上合理的なセー フガードを維持するオラクルの義務を含みますがこれに限定されません）を遵守するものとします。 ## A. オラクル NetSuite セキュリティー・ポリシー オラクルは、クラウド・サービスをサポートする自己のセキュリティー担当者向けのトレーニング・ パッケージの一部としてセキュリティー・トレーニングおよびプライバシー・トレーニングを義務付 けることを内容とする、オラクルのセキュリティー組織向けのセキュリティー・ポリシーを定めてお り、今後もこれを維持します。 ## B. オラクル NetSuite セキュリティー組織 オラクルは、オラクルのセキュリティー・インフラストラクチャーの継続的なモニタリング、オラク ル製品およびサービスのレビュー、ならびにセキュリティー・インシデントへの対応について責任を 負う専属のセキュリティー組織を有しており、今後もこれを維持します。 ## C. データのストレージと処理 お客様データの保存に使用されるストレージ媒体またはストレージ機能がある機器（モバイル・メデ ィアを含みます）は、以下のような業界標準のプラクティスに従って保護され、堅牢化されます。 - i. オラクルは、当該メディアのライフ・サイクル（使用開始、運用、保守、修理、変更、交換お よび使用停止 / 処分）を管理するために、合理的な資産管理ポリシーを維持します。 - ii. 使用停止されたメディアであってお客様データを含むものは、 NIST 800-88 に従い、中程度の 機密レベル（または類似のデータ破棄基準）に基づき破棄されます。 - iii. お客様データは、オラクルのデータおよびその他のオラクルのお客様データから論理的にセグ メント化されます。 iv. クレジット・カードのデータ情報および社会保障番号のために指定されたクラウド・サービス のデータベース・フィールドは暗号化され、オラクルは、テスト環境、開発環境または非本番 環境において、当該お客様データを処理しません。 ## D. データ送信 お客様によるクラウド・サービスへのアクセスは、オラクルが指定する安全な通信プロトコルを介し て行われます。お客様は、お客様の電子的コミュニケーションの技術的処理および送信が、クラウ ド・サービスの使用にとって本質的に必要である旨を理解しているものとします。お客様は、クラウ ド・サービスを活用するため、 DSL 接続、ケーブル接続、その他の高速なインターネット接続のほか、 最新の「ブラウザー」ソフトウェアを確保する責任を負うものとします。お客様は、対象サービスの 提供において必要な場合、オラクルが電子的コミュニケーションおよび / またはお客様データを傍受お よび保存することに、明示的に同意するものとします。また、お客様は、お客様の電子的コミュニケ ーションに、インターネットおよび多様なネットワーク（オラクルがその一部のみを所有および / また は運用する場合があります）を介した送信が伴う旨を了承し理解しているものとします。さらに、お 客様は、インターネット、ネットワーク通信施設、電話その他の電子的方法を介した通信に際し、許 可を受けていない者が電子的コミュニケーションにアクセスする可能性がある旨を、了承し理解して いるものとします。原契約のセキュリティー条項または機密保持条項におけるオラクルの該当の義務 を制限することなく、オラクルは、オラクルが所有者および / または運用者ではないネットワーク（イ ンターネットおよびお客様のローカル・ネットワークも含みますが、これらに限定されません）を介 したいかなるデータの送信中であれ、遅延、消失、変容、傍受または保存の対象となった電子的コミ ュニケーションおよび / またはお客様データのいずれに対しても、責任を負いません。 オラクルは、クラウド・サービスのユーザー・ガイドに文書化されているとおり、業界標準に適合す る強力な暗号化およびセキュリティー・プロトコルを使用します。 ## E. インシデント対応 オラクルは既知のインシデントについて様々な通信チャネルをモニターし、オラクルのセキュリティ ー・チームがかかる既知のインシデントに迅速に対応します。セキュリティー・インシデントが発生 した場合、オラクルは（ i ）セキュリティー侵害に関する法律が当該セキュリティー・インシデントに 適用される範囲において、適用される法律または規制要件に基づくオラクルの義務に従ってお客様に 通知し、（ ii ）該当するときは、是正措置を実施した後に侵入テストを行い、テスト結果の概要をお客 様に提供し、当該テスト結果はオラクルの機密情報とみなします。 個人情報に関わるインシデントは、オラクルの Data Processing Agreement に定められた規定に従い、 管理されるものとします。 ## F. 変更管理 オラクルは、情報セキュリティーに影響を与える組織、ビジネス・プロセス、情報処理設備およびシ ステムへの変更が確実に管理されるようにするため、変更管理ポリシーを維持しています。 ## G. サーバー・オペレーティング・システム オラクルのサーバーは、クラウド・サービス用にカスタマイズされた堅牢なオペレーティング・シス テム実装を使用します。オラクルは、リスクベースで優先順位をつけたパッチ管理ポリシーを維持し ます。 ## H. アクセス・コントロールと特権管理 オラクルは、権限のあるオラクル担当者のみがクリティカル・データにアクセスできるようにするた め、最小権限と職務分掌に基づいて物理的および論理的アクセスを制限するシステムおよびプロセス を採用しています。 ## I. ユーザー・アカウント：パスワード、アクセスおよび通知 お客様は、該当するクラウド・サービス・ユーザー・ガイドに文書化されているとおり、クラウド・ サービス内でのユーザー・ロールの作成、削除および停止を管理することができます。クラウド・サ ービスでは、お客様は管理機能を実行することができます。 お客様は、自身の対象ユーザーに対してアクセスを許可し、一意のパスワードおよびユーザー名を割 り当てるものとします。お客様は、対象ユーザーのパスワードおよびユーザー名の機密保持および使 用について、責任を負うものとします。また、お客様は、取引情報、アカウント登録、アカウント保 有者情報、財務情報、お客様データ、その他一切の情報（種類の如何を問いません）を含む、電子メ ールに記載の、またはクラウド・サービスを通じて、もしくはお客様のアカウントの下で電子的に入 力される、あらゆる電子的コミュニケーションについて責任を負うものとします。オラクルは、お客 様のパスワード、ユーザー名および / またはアカウント番号の下で受信した電子的コミュニケーション のいずれについても、お客様がその送信元であるものとみなします。お客様は、クラウド・サービス についての不正なアクセスまたは使用を防止するための商業上合理的な努力を払うものとし、クラウ ド・サービスについての不正なアクセスまたは使用、ならびに対象ユーザーのパスワードもしくはユ ーザー名および / またはクラウド・サービス・アカウント番号の紛失、盗難または不正使用のいずれに ついても、速やかにオラクルに通知するものとします。 ## J. オラクルの責任とポリシー管理 オラクルは、お客様データが原契約の条件に従ってのみ処理されるようにするための措置を導入しま す。 ## K. パスワード設定 該当するクラウド・サービス・ユーザー・ガイドに文書化されているとおり、特定のクラウド・サー ビスでは、クラウド・サービスの構成可能なポリシー設定を通じて、およびクラウド・サービスのシ ングル・サインオン機能を使用する際に、お客様が独自のパスワードおよび認証ポリシーを適用する ことができます。 ## L. ネットワーク接続のセキュリティー要件 オラクルは、複数レベルの安全なネットワーク・デバイスで自己のインフラストラクチャーを保護し ます。お客様データにアクセスできるオラクルの担当者によるクラウド・サービス環境へのすべての リモート・アクセスは、仮想プライベート・ネットワーク、多要素認証、相互認証、クライアント信 用スコアリング、またはこれらと同等以上のセキュリティー・レベルを持つ他の認証方法のいずれか、 またはその組み合わせを通じて行われる必要があります。 ## M. 監査と認証 次のセキュリティー監査および認証は、以下に定めるとおり、クラウド・サービスに関連しています。 - i. PCI-DSS Payment Card Industry Data Security Standard （以下「 PCI DSS 」といいます）は、 Visa 、 Master Card 、 American Express などのブランドのクレジット・カードを処理する組織 のための世界的な情報セキュリティー基準です。 PCI 基準は、各カード会社によって義務付け られており、 Payment Card Industry Security Standards Council によって運営されています。 該当する注文のサービス期間中、オラクルは、クラウド・サービスのうち、クレジット・カー ド・データの保存および処理を目的とするものとしてオラクルが指定した部分について、 PCI DSS への準拠を維持するものとします。 お客様は、クレジット・カード・データの保存または処理のためにクラウド・サービスを使用 する場合、適用される PCI DSS 要件への適合性を確保する責任を負うものとします。また、ク レジット・カードおよび社会保障に関するデータをクラウド・サービスに保存してはなりませ iii. ん。ただし、当該データ向けに指定された暗号化フィールドにおける保存については、この限 りではありません。お客様自身によって、またはお客様のために、行われるクラウド・サービ スへの変更は、お客様による PCI DSS 要件の遵守に影響をもたらす可能性があり、お客様は、 かかる変更について PCI DSS 要件への適合性を確保する責任を単独で負うものとします。 - ii. SOC レポート監査証明書 米国公認会計士協会（以下「 AICPA 」といいます）は、特定のユー ザーのニーズに対応するサービス組織の管理策の有効性を評価および報告する、 System and Organization Controls （以下「 SOC 」といいます）フレームワークを確立しています。クラウ ド・サービスに関して、オラクルは、 AICPA および IFAC の保証業務基準に従って完了された、 第三者による各監査報告を年に一度実施するものとします。 - a. オラクルは、年次の SOC 1/ISAE 3402 Type II の報告を実施するものとします。 - b. オラクルは、セキュリティー、可用性および機密性の属性について、年次の SOC 2 Type II 報告を実施するものとします。 - c. SOC レポートの限定付き適正意見につながる重大な指摘事項は、オラクルの経営陣による 是正措置計画の策定と実施により、速やかに対処されます。 ISO 27001 ISO 27001 は、 International Organization for Standardization （以下「 ISO 」といい ます）および International Electrotechnical Commission （以下「 IEC 」といいます）によって発 行された、情報セキュリティー管理システム（以下「 ISMS 」といいます）を評価するための主 要な国際規格です。この規格は、文書化された ISMS を確立、実施、運用、監視、レビュー、 維持および改善するための要求事項を規定しています。 オラクルは、 ISO 27001 規格の要求事項に対するオラクルの ISMS の第三者による認証監査を実 施するものとします。 - iv. お客様は、オラクルの最終版の（ a ） SOC 1/ISAE 3402 Type II レポート、（ b ） SOC 2 Type II レ ポート、ならびに（ c ） ISO 27001 認証書および適用宣言書（以下「 SOA 」といいます）のコピ ーを求めるリクエストをアカウント担当者に提出することができます。この第 I 条第 M 項第 iv 号に関連してオラクルが提供したかかるレポート、認証書および付属書類は、オラクルの機密 情報とみなされます。 - v. 将来において、上記に類する第三者監査、規格および / または認証制度が利用可能になった場合、 オラクルは、この第 I 条第 M 項で定めるものに代わるものとしてオラクルにより選定されたと ころの、かかる監査を実施し、および / またはかかる確立された業界規格に基づく認証を受ける ことを選択できるものとします。 ## N. データ・センター環境と物理的セキュリティー 以下は、オラクルのさまざまなデータ・センター環境と、これらの環境における物理的セキュリティ ーを確保するための取り組みの一般的な説明です。 Oracle Cloud Infrastructure （以下「 OCI 」といいます）でクラウド・サービスを実行するデータ・セン ターは、 www.oracle.com/contracts/cloud-services またはオラクルが指定するその他の URL に掲載さ れている Oracle Cloud Hosting and Delivery Policies の第 1 条第 2 項「物理的セキュリティー・セー フガード」、および第 2 条第 1 項「オラクル・クラウド・サービスの高可用性戦略」に準拠します。 ## O. 災害復旧 オラクルは、災害発生時（オラクル独自の裁量で宣言します）にお客様の本番アカウントのサービス 復旧能力を提供することを目的とした内部災害復旧計画（以下「内部 DR 計画」といいます）を維持し ています。オラクルは、ある事象が内部 DR 計画の実行を必要とする災害であると判断した場合、影響 を受けるクラウド・サービスの本番環境の復旧に取り組みます。 目標復旧時間：目標復旧時間（以下「 RTO 」といいます）は、オラクルが本書に記載したプロセスの 発動を決定してから、お客様が代替サイトにおいて本番運用を再開できるようになるまでの最長期間 に関するオラクルの目標です。アップグレードが行われている期間中に災害復旧プロセスの発動が決 定された場合、まず災害復旧プロセスが開始され、これが完了した後にアップグレードが完了します。 目標復旧時点：目標復旧時点（以下「 RPO 」といいます）は、最初のトランザクションの損失から、 （オラクルが認識する）災害の発生までの時間として測定されるデータ損失の最長期間に関するオラ クルの目標です。 RPO は災害発生時に処理中であったデータのロードには適用されません。 例外ポリシーに別段の明記がない限り、（ 1 ）クラウド・サービスの RTO は 12 時間、（ 2 ）クラウド・ サービスの RPO は 1 時間とします。 クラウド・サービスが RTO を達成できなかった場合、お客様は、唯一の救済措置として、第 III 条（オ ラクル NetSuite サービス・レベル・コミットメント）に定める条件に従いクラウド・サービスで使用 できるサービス・クレジットを付与されるものとします。 お客様においては、災害事象が発生している間、クラウド・サービスの運用に遅延が生じる可能性が あります。 フェイルオーバー・イベントまたは復旧作業が現に発生している間は、オラクルによるノンクリティ カルなバグの修正および改善要望の提供は一時停止されます。 ## P. リスク・アセスメント オラクルは、クラウド・サービスのリスク・アセスメントを毎年実施するものとします。このアセス メントには、クラウド・サービスに存在するお客様データの機密性、完全性および可用性に対するリ スクの評価、ならびにオラクルが独自の裁量で決定する許容可能な残余リスク・レベルまで当該リス クを修正または軽減するためのセキュリティー・ポリシー上の文書化された計画が含まれるものとし ます。 ## Q. 個人情報の取り扱い オラクルは、該当する原契約に従い、対象サービス提供の一環として個人情報を処理し、データ保護 関連の適用法令に基づく各義務を遵守する責任を負います。オラクルは、個人情報の取扱いおよび処 理において、個人情報についての不測のもしくは不法な破壊、消失もしくは改変または無権限の開示 もしくはアクセスを防止するために設計された、適切な技術面および組織面でのセキュリティー措置 を実施し、維持するものとします。 ## R. 機密データ お客様は、機密データ（社会保障番号、クレジット・カード番号など）が当該データ用に指定された 適切なフィールドにのみ保存されることを保証する責任を負います。 ## S. サービスの使用 クラウド・サービスは、ベネズエラの対象ユーザーに対して提供され、またはベネズエラの対象ユー ザーによりアクセスされてはなりません。また、クラウド・サービスであれ、または対象サービスか らのいかなる出力であれ、ベネズエラのいかなる個人または団体（ベネズエラ政府を含みますがこれ に限定されません）の利益のためにも使用されてはなりません。 ## T. 第 I 条の例外および除外 第 I 条の例外および除外に関しては、 Oracle NetSuite Exceptions to the Hosting & Support Delivery Policies のドキュメントを参照してください（ https://www.oracle.com/corporate/contracts/cloudservices/netsuite/ ）。 ## II. オラクル NETSUITE サポート・サービス ## A. 一般 お客様がサポート・サービス（本書で定義）を調達することを条件として、この第 II 条の条件（以下 「サポート条件」といいます）は、お客様が調達したサポート・サービスのレベルに従い、原契約の 条件および本条件に従ってオラクルからお客様へ提供するサポート・サービスについて定めるもので す。 ## B. サポート・サービスの範囲 - i. 本サポート条件に従い、オラクルは、下記第 II 条第 D 項（インシデント・レポートおよび応答 時間）および第 II 条第 E 項（サポート・サービスからの除外および例外）に従って、お客様に よるクラウド・サービスの使用から発生する可能性のあるすべてのインシデントに対処するも のとします。 - ii. オラクルは、次のいずれについても、サポート・サービスの提供義務を負いません。 - a. SuiteScript または JavaScript を使用して行われたものを含め、お客様または第三者によっ て行われたクラウド・サービスの翻案、構成または変更。 - b. お客様が提供するものである、ファースト・レベル・サポート。 - c. 機能改善要求。 - d. 第 II 条第 E 項（サポート・サービスからの除外および例外）に従い除外されるアイテム。 - iii. オラクルは、サポート・サービスの範囲外の問題の解決を支援するために、プロフェッショナ ル・サービスまたは Advanced Customer Support を提供する場合があります。プロフェッショ ナル・サービスまたは Advanced Customer Support の契約は、別個の契約および / または注文 に基づいて提供されるものとし、原契約、ならびにその時点で適用されるオラクルのコンサル ティング料金および条件に従うものとします。 ## C. 終了 本書または該当の原契約における別段の定めにもかかわらず、本サポート条件は、原契約の期間満了 もしくは終了、または該当のクラウド・サービスに対するお客様のアクセス権の満了もしくは終了を もって、終了するものとします。 ## D. インシデント・レポートおよび応答時間 - i. 正規担当者 インシデントのレポートのいずれも、正規担当者がオラクルに対して行う必要が あります。お客様がインシデントを報告する主な手段は、 SuiteAnswers 経由です。上記にかか わらず、基本サポートを調達しているお客様は、 SuiteAnswers にアクセスできない場合、電話 で S1 （第 II 条第 D 項第 iii 号（重要度レベル）に定義）インシデントをオラクルに通知すること ができます。プレミアム・サポートを調達しているお客様は、 SuiteAnswers にアクセスできな い場合、電話で S1 および S2 （第 II 条第 D 項第 iii 号（重要度レベル）に定義）インシデントを オラクルに通知することができます。お客様は、オラクルに対し事前に書面で通知することに iii. - より、正規担当者を適宜変更することができます。かかる通知には、新たな正規担当者につい て関連する連絡先情報を記載するものとします。 ## 許可される正規担当者数 - o 基本サポート： 2 - o プレミアム・サポート： 4 - ii. 必須情報 すべてのインシデント・レポートには、（該当する場合）以下の内容が含まれてい なければなりません。 - a. プロビジョニングの一環として提供される、お客様の識別番号。 - b. 報告されたインシデントの原因となった、特定の使用方法をオラクルが再現するための詳 細な指示。 - c. 関連する一切のエラー・メッセージの正確な文言。 - d. インシデントおよび期待される結果の十分な説明。 - e. インシデントの発見にまつわる一切の特別な状況。 - f. S1 インシデントの場合は、追加の連絡担当者の提供。 オラクルは、本書に記載されたサポート・サービスのオラクルによる提供に資するため、かか る情報およびインシデントに関するその他の情報を、オラクルの委託先業者、ベンダーおよび / または第三者アプリケーション提供者との間で共有できるものとします。 重要度レベル オラクルは、お客様と連携し、以下の定義（以下、それぞれ個別に「重要度レ ベル」といいます）に基づいて、すべてのインシデントに適切な重要度レベルを割り当てます。 重要度レベルの割り当ては、報告されたインシデントの優先順位付けを可能にするためのもの です。オラクルは、以下に説明するように、クラウド・サービスおよび業務に対するその時点 での影響に応じて、インシデントを再分類できるものとします。オラクルは、インシデントが 事実上の機能改善要求に該当すると判断した場合には、本サポート条件に基づく対処を行わな いものとします。重要度レベルの定義は次の通りです。 - a. 「重要度レベル 1 または「 S1 （クリティカル）」とは、インシデントのうち、お客様による クラウド・サービスの本番使用が停止するもの、またはお客様が合理的に事業運営を継続 できないほどの深刻な影響を当該本番使用に及ぼすものをいいます。その結果として、お 客様の事業運営に重大な中断が直ちに生じ、お客様データの消失、かかるデータの可用性 の制限、および / または財務上の重大な影響が生じる可能性があります。 - b. 「重要度レベル 2 または S2 （重大）」とは、インシデントのうち、クラウド・サービスに おける単一または複数の重要な機能が使用不能となり、許容可能な代替解決策が存在しな いものをいいます。お客様によるクラウド・サービスの導入または本番使用は継続してお り、停止していませんが、お客様の事業運営に深刻な影響が生じている状態です。 - c. 「重要度レベル 3 」または「 S3 （軽微）」とは、（ a ）クラウド・サービスの重要な機能は 利用できないが、代替解決策は利用可能である、または（ b ）クラウド・サービスの重要度 の低い機能が利用できず、合理的な代替解決策がないため、お客様が事業運営機能の軽微 な損失および / または実行リソースへの影響を経験する、または（ c ）お客様がクラウド・ サービスの基本的な機能に関して疑問を呈することを意味します。このカテゴリーは、プ レミアム・サポートを購入のお客様のみが利用可能です。 iv. - d. 「重要度レベル 4 」または「 S4 （最小）」とは、クラウド・サービスの業務運営または基 本機能に与える影響が最小限のインシデントを意味します。このカテゴリーは、プレミア ム・サポートを購入のお客様のみが利用可能です。 2. オラクルの義務 オラクルは、お客様がインシデントを報告し、支援を受けることができるよ う、通常営業時間中は、サポート・サービスにアクセスできるようにします。オラクルは、イ ンシデント・レポートを受領したら、本サポート条件に基づきお客様がサポート・サービスを 受けることができるインシデントの存在の有無を判断し、存在する場合は、以下を行うものと します。 - a. インシデント・レポートの受領確認を行ったうえで、当該インシデントに関する一切のや り取りにおいて両当事者が使用する必要があるインシデント・ケース番号をお客様に通知 する。 - b. お客様と協力して、本書に記載の基準に基づき、インシデントの重要度レベルを設定する。 - c. インシデントを分析して問題の存在を検証する。 - d. 本書に記載の条件に基づき、インシデントの解決について、お客様に指示および支援を提 供する。 ## v. 応答時間の目標 | | 重要度レベル 1 | 重要度レベル 2 | 重要度レベル 3 | 重要度レベル 4 | |-------------|------------|------------|------------|------------| | 基本サポート | 2 時間 | 該当なし 1 | 該当なし 2 | 該当なし | | プレミアム・サポ ート | 1 時間 | 2 時間 | 8 時間 | 2 営業日 | 1 注： 2019 年 12 月 1 日以前にサポートを購入されたお客様の S2 対応時間は 4 時間です。 2 注： 2019 年 12 月 1 日以前にサポートを購入されたお客様の S3 対応時間は 2 営業日です。 ## vi. お客様の義務 - a. 本サポート条件に基づくオラクルのサポート・サービスの提供義務は、お客様により以下 の事項が満たされることを条件とするものです。 1. サポート・サービスに適用されるすべての料金を、インシデントの報告日より前に支払 うこと。 2. クラウド・サービスへの有効なアクセス権を有していること。 3. オラクルにあらゆる合理的な支援を提供し、合理的に必要なデータ、情報および資料を オラクルに提供すること。 4. クラウド・サービスへのアクセスに必要なすべての機器、電話回線、通信インターフェ ース、ならびにその他のハードウェアおよびソフトウェアを調達し、設置し、インスト ールし、維持すること。 5. すべてのファースト・レベル・サポートを提供すること。 6. すべての正規担当者についての適切な連絡先情報を提供すること。 7. SuiteAnswers のナレッジベースを活用し、既知の解決策を自力で調べること。 8. SuiteAnswers インシデント・レポート・ポータルを活用し、すべてのインシデント・ケ ースを記録すること。ただし、第 II 条第 D 項第 i 号（正規担当者）に定めるとおり、 S1 インシデントを記録することが許可されている基本サポートのお客様、ならびに電話で S1 および S2 インシデントを記録することが許可されているプレミアム・サポートのお 客様は除きます。 b. お客様がサポート・サービスを購入した最初の期間および更新期間中、お客様は、クラウ ド・サービスのすべてのユーザー（お客様がその後に購入した追加ライセンスを含みます が、これに限定されません）のために、同レベルのサポート・サービスを購入し、維持す るものとします。明確化のために付言すると、お客様は、その対象サービスの一部または その対象サービスにアクセスできるユーザーの一部のみを対象としてサポート・サービス を購入したり、更新を選択したりすることはできず、また、対象ユーザーの一部に対して 異なるレベルのサポートを購入することもできません。 ## E. 第 II 条の例外および除外 第 II 条の例外および除外に関しては、 Oracle NetSuite Exceptions to the Hosting & Support Delivery Policies のドキュメントを参照してください（ https://www.oracle.com/corporate/contracts/cloudservices/netsuite/ ）。 ## III. オラクル NETSUITE サービス・レベル・コミットメント 期間中、クラウド・サービスはここに明記されるサービス・レベルを満たすものとします。クラウ ド・サービスがサービス・レベルを満たさなかった場合、お客様は、唯一の救済措置として、ここに 明記される条件に従いクラウド・サービスのクレジットを付与されるものとします。 ## A. サービス可用性 オラクルは、該当する注文のサービス期間の各暦月において、予定された保守の時間を除き、お客様 が注文したクラウド・サービスに関して 99.7% の可用性（以下「サービス可用性」といいます）を提 供することを約束します。いずれかの暦月において、オラクルによって本サービス可用性が満たされ ず、お客様が悪影響を受けた（以下に定義する、計画外停止時間によりクラウド・サービスへのログ インまたはアクセスを試行するも失敗した）場合、オラクルは、唯一の救済措置として、クラウド・ サービスの月次の使用料金に基づき、以下のとおり、サービス・クレジットを提供するものとします。 | サービス可用性 | 99.5% 以上～ 99.7% 未 満 | 99.0% 以上～ 99.5% 未 満 | 99.0 ％未満 | |------------|-----------------------|-----------------------|------------| | サービス・クレジット | 10% | 15% | 25% | オラクルは、毎月の測定期間の合計分数と計画外停止時間の差を、測定期間の合計分数で除算し、そ の結果に 100 を乗じてパーセント値を算出することにより、各暦月のサービス可用性を測定します。 「計画外停止時間」とは、クラウド・サービスに問題が発生し、お客様がクラウド・サービスにログ インまたはアクセスできなくなる時間を意味します。オラクルは、オラクルのシステム・ログおよび その他の記録を使用して、すべての計画外停止時間を算出するものとします。計画外停止時間には、 該当するクラウド・サービスの中断もしくは終了によりクラウド・サービスが利用できない時間、ま たはお客様および / または第三者の機器、ソフトウェア、サービス、もしくはその他のテクノロジー （オラクルの直接管理下にある第三者の機器またはサービスを除きます）に起因する、その他の利用 不能もしくはパフォーマンスの問題は含まれません。 ## B. 予定された保守と予定外の保守 予定された保守は、上の表に示すサービス・クレジットの計算上、計画外停止時間としてカウントさ れません。保守は、（ i ）以下に定める第 III 条第 E 項（通知）に従い、（ ii ）予定された保守時刻の少 なくとも 2 営業日前までに通知された場合に「予定された保守」とみなされますが、オラクルは可能 な限り、少なくとも 1 週間前までに通知するよう努めます。予定された保守は、通常、各地域の通常営 業時間外に行われ、各四半期に 15 時間未満が一般的です。オラクルが通知する、その他の予定された 保守に加え、毎週土曜日の夜間、午後 10 時～午後 10 時 20 分（太平洋標準時）は、必要に応じた予定 された保守のために予約されています。 オラクルは、その独自の裁量により、予定外の保守のためにクラウド・サービスを停止することがで き、その場合、以下の第 III 条第 E 項（通知）に従って事前にお客様に通知するよう努めます。予定外 の保守は、計画外停止時間に含まれ、上記のサービス可用性に対してカウントされます。 ## C. サービス・クレジットのリクエスト 本書に記載されているサービス・クレジットを受け取るには、お客様は、サービス可用性が満たされ なかった月の末日から 30 暦日以内に、オラクル（ billing@netsuite.com ）に E メールでサービス・ク レジットを請求し、オラクルが合理的に要求する請求の詳細を提供する必要があります。正常に提出 された請求リクエストには、リクエストが受理したことを示すレスポンスが返されます。お客様がこ のレスポンスを受信しなかった場合、請求はオラクルによって受理されなかったものとみなされるた め、お客様は請求を再提出して、オラクルにサービス・クレジットの請求を検討するよう要請する必 要があります。支払期日が過ぎている、または支払いもしくは契約上の重要な義務に関して、オラク ルに対して不履行となっているアカウントを持つお客様は、本サービス・レベル・コミットメントに 基づくあらゆるサービス・クレジットを受け取る資格を有しません。サービス・クレジットの有効期 限は、その発行の対象となった四半期から 2 年間が上限となります。 ## D. 更新 本ホスティング・ポリシーの第 III 条（オラクル NetSuite サービス・レベル・コミットメント）は、オ ラクルの裁量によりいつでも変更できるものとします。更新は、以下の第 III 条第 E 項（通知）に従い、 お客様に通知してから 30 日後に有効となります。 ## E. 通知 通知は以下のいずれかの方法で行われます。（ a ）クラウド・サービスへのログイン直後に表示される お客様の管理者画面上の注記、または（ b ）お客様のアカウントの管理者として登録された E メール・ アドレスへの E メール。 ## F. 第 III 条の例外および除外 : 第 III 条の例外および除外に関しては、 Oracle NetSuite Exceptions to the Hosting & Support Delivery Policies のドキュメントを参照してください（ https://www.oracle.com/corporate/contracts/cloudservices/netsuite/ ）。 ## IV. オラクル NETSUITE レスポンス・サービス要件 ## A. 一般 以下の表に定める追加要件に従い、本ホスティング・ポリシーの第 II 条に記載されるオラクル NetSuite サポート・サービスを補完する、このレスポンス・サービス要件は、以下に記載される特定のレスポ ンス・サービス（以下「レスポンス・サービス」といいます）の提供を規定し、レスポンス・サービ スに関してのみ適用されるものとします。 ## B. レスポンス・サービスの要件および説明 要件 | レスポンス・サービス | サポート・サー ビス・レベル | 重要度レベル | クラウド・サービス | |-----------------|------------------|-------------------------|----------------------------------------------------------------------------| | コマース・レスポンス・サービス | プレミアム・サ ポート | 重要度レベル 1 （ ク リ テ ィ カ ル） | SuiteCommerce （以下「 SC 」とい います）または SuiteCommerce Advanced （以下「 SCA 」といいま す） | | POS レスポンス・サービス | プレミアム・サ ポート | 重要度レベル 1 （ ク リ テ ィ カ ル） | NetSuite POS モジュール（以下 「 NSPOS 」といいます） | 「コマース・レスポンス・サービス」または「 CRS 」とは、 SC または SCA を使用して作成されたウェ ブサイト（以下「ウェブサイト」といいます）に対する補足的な英語のレスポンス・サービスを意味 します。 「 POS レスポンス・サービス」または「 PRS 」とは、 NSPOS に対する補足的な英語のレスポンス・サ ービスを意味します。 コマース・レスポンス・サービス オラクルは、ウェブサイトに関連するエラーを分析し、原因の特 定を支援するために商業上合理的な努力を払います。オラクルは、合理的な修復支援を提供し、回避 策の特定を支援し、またはお客様に別途オラクルからプロフェッショナル・サービスを調達するよう 推奨します。オラクルは、クラウド・サービスのお客様のサンドボックス環境および本番環境（以下 「お客様アカウント」といいます）へのアクセスを要求する場合があります。お客様は、オラクルが かかるアクセスを必要とする限り、合理的に必要なレベルのお客様アカウントへのアクセス権をオラ クルに提供することに同意し、 CRS 活動の完了後は、かかるアクセス権を直ちに削除するものとしま す。 POS レスポンス・サービス オラクルは、 NSPOS に関連するエラーを分析し、原因の特定を支援する ために商業上合理的な努力を払います。オラクルは、合理的な修復支援を提供し、回避策の特定を支 援し、またはお客様に別途オラクルからプロフェッショナル・サービスを調達するよう推奨します。 オラクルは、クラウド・サービスのお客様のサンドボックス環境および本番環境（以下「お客様アカ ウント」といいます）へのアクセスを要求する場合があります。お客様は、オラクルがかかるアクセ スを必要とする限り、合理的に必要なレベルのお客様アカウントへのアクセス権をオラクルに提供す ることに同意し、 PRS 活動の完了後、かかるアクセス権を直ちに削除するものとします。 ## C. 終了 レスポンス・サービスは、オラクルが追加費用なしで提供する補完的サービスです。オラクルは、そ の独自の裁量により、お客様に通知することで、いつでも直ちにレスポンス・サービスの提供を中止 することができるものとします。 ## D. その他 CRS の目的においてのみ、「クラウド・サービス」（原契約で定義）とは「ウェブサイト」を意味し ます。 PRS の目的においてのみ、「対象サービス」（原契約で定義）とは「 NSPOS 」を意味します。 ## E. 第 IV 条の例外および除外 : 第 IV 条の例外および除外に関しては、 Oracle NetSuite Exceptions to the Hosting & Support Delivery Policies のドキュメントを参照してください（ https://www.oracle.com/corporate/contracts/cloudservices/netsuite/ ）。