データ処理契約

第1条（適用範囲と当事者の役割）

本 DPA は、お客様が管理者（Controller）として決定した目的および方法に従い、当社が処理者（Processor）として個人データを処理する場合に適用されます。

当社が管理者となる場面と処理者となる場面は次のとおり分かれます。混同を避けるため明示します。

当社が管理者となるもの

お客様の契約担当者、サインインするユーザー、課金・請求の担当者に関する情報。これらは当社が自らの目的（契約の管理、認証、課金）のために取り扱うため、プライバシーポリシーが適用されます。

当社が処理者となるもの

お客様が本サービスに投入し、または本サービスがお客様の指示に基づいて取得したデータのうち、個人データに当たるもの。本 DPA が適用されます。

本 DPA で用いる「個人データ」「管理者」「処理者」「処理」「個人データ侵害」の語は、GDPR 第4条の定義に従います。

第2条（処理の内容）

処理の対象

お客様が本サービスを利用するにあたり当社に提供し、または本サービスがお客様の指示に基づいて取得する個人データ。

処理の目的

利用規約および本 DPA に基づく本サービスの提供。

処理の性質

保存、構造化、分析、検証、証明の発行、および本サービスの機能として必要な操作。

処理の期間

契約期間中および第7条に定める削除または返却が完了するまで。

個人データの種類

氏名または担当者名、業務用メールアドレス、サインイン識別子、IP アドレス、アクセス日時、監査ログ、および製品ごとに取り扱うデータ（プライバシーポリシー第2条）。

データ主体の類型

お客様の役職員、お客様が権限を付与した利用者、およびお客様のネットワークまたはシステムに関与する担当者。

当社は、証明書およびタイムスタンプに、証明の目的に必要のない個人名や連絡先を含めない設計としています。処理する個人データを最小限にとどめることを設計上の方針としています。

第3条（当社の義務）

• 当社は、お客様の文書による指示（利用規約および本サービスの利用そのものを含みます）に従ってのみ個人データを処理します。法令により指示外の処理を求められる場合は、法令が禁じない限り、事前にお客様へ通知します。
• 当社は、個人データを取り扱う従業者に守秘義務を課し、必要な者に限ってアクセスを認めます。
• 当社は、お客様の指示が GDPR その他の適用法令に違反すると判断した場合、直ちにお客様へ通知します。
• 当社は、お客様の個人データを、本 DPA に定める目的以外に利用せず、第三者に販売しません。

第4条（サブプロセッサー）

お客様は、当社が次のサブプロセッサーを利用することに同意するものとします。

Amazon Web Services Japan

本サービスのホスティングおよびメール送信。東京リージョン（日本国内）。

Stripe

クレジットカード決済の処理。米国。カード番号は Stripe が直接取得し、当社のシステムを経由しません。

当社は、サブプロセッサーに対し、本 DPA と実質的に同等の義務を契約により課します。サブプロセッサーの行為については、当社が自ら行ったものとして責任を負います。

サブプロセッサーを追加または変更する場合は、変更の効力発生日の30日前までに本ページで公表し、お客様へ通知します。お客様は、正当な理由がある場合、通知後14日以内に異議を述べることができます。協議が調わない場合、お客様は当該サブプロセッサーの利用が必要な役務について契約を解約することができます。

サービス提供開始にあわせて、監視、ログ基盤その他のサブプロセッサーを追加する場合があります。最新の一覧は常に本条に掲載します。

第5条（データ主体の権利への協力）

データ主体から当社に対して権利行使の請求があった場合、当社は自ら判断して回答せず、遅滞なくお客様へ転送します。ただし法令により当社が直接回答すべき場合を除きます。

当社は、お客様が開示、訂正、削除、利用停止、処理の制限、異議、データポータビリティの各請求に対応できるよう、本サービスの管理機能および技術的な支援により合理的な範囲で協力します。

第6条（個人データ侵害の通知）

当社は、当社の管理する範囲において個人データ侵害を認識した場合、不当な遅滞なくお客様へ通知します。

通知には、判明している範囲で次の事項を含めます。侵害の性質、影響を受けた個人データの種類とおおよその件数、想定される影響、当社が講じたまたは講じる予定の措置、および当社側の連絡先。

お客様が管理者として監督機関へ通知する義務を負う場合（GDPR が適用される場合は原則として認識から72時間以内）、当社はその対応に必要な情報の提供により合理的な範囲で協力します。

第7条（契約終了時の削除および返却）

契約が終了した場合、当社はお客様の選択に従い、処理した個人データを削除するか、または機械可読な形式で返却します。お客様からの指示がない場合、契約終了後30日を経過した時点で削除します。

ただし、法令により保存が義務づけられている情報、および既に発行済みの証明書・タイムスタンプは削除の対象外です。後者は、受領者による検証可能性を維持するために必要であり、その旨をあらかじめお客様にご了解いただきます。

バックアップに含まれる個人データは、バックアップの保存期間が満了した時点で削除されます。それまでの間、当該データは復元および利用の対象としません。

第8条（国際移転）

当社は個人データを日本国内（AWS 東京リージョン）で処理します。欧州経済領域から日本への移転については、日本が欧州委員会の十分性認定を受けているため、標準契約条項を別途締結することなく行うことができます。

決済処理に関して、個人データの一部が Stripe（米国）へ移転される場合があります。Stripe は EU-US データプライバシーフレームワークに参加し、標準契約条項に基づく移転の仕組みも提供しています。

これら以外の第三国への移転は行いません。必要が生じた場合は、事前にお客様へ通知し、適法な移転手段を確保します。

第9条（技術的および組織的安全管理措置）

当社は、GDPR 第32条が求める水準を満たすため、次の措置を講じます。

• 通信経路の暗号化（TLS）および保存データの暗号化
• 秘密情報を鍵管理サービス（KMS / Secrets Manager）に保管し、ソースコードや設定ファイルに置かないこと
• アクセス権限の最小化と、役割に基づくアクセス制御（RBAC）
• 管理画面の二要素認証
• テナント分離による顧客ごとのデータの分離
• API キーの管理。完全な API キーは発行時にのみ表示し、以後は再表示しません。
• 監査ログの記録と保全
• 定期的なバックアップと、復元手順の確認
• 本番データベースへの直接アクセスの制限
• 設計段階からのデータ保護（取り扱う個人データを最小限にとどめる設計）

第10条（監査、証明およびお問い合わせ）

当社は、本 DPA の義務の履行を証明するために必要な情報を、お客様の合理的な求めに応じて提供します。

お客様は、年1回を限度として、事前に30日前までに書面で通知したうえで監査を求めることができます。監査は当社の業務に過度の支障を与えない方法および時間帯で行うものとし、監査に要する費用はお客様の負担とします。当社が第三者による評価報告書を提供できる場合、その提供をもって監査に代えることができます。

本 DPA に関するお問い合わせ、および書面による締結のご希望は、次の窓口へご連絡ください。

事業者

Packet Pilot合同会社

メールアドレス

product.support@packet-pilot.net