法務情報

データ処理契約

最終更新日：2026年11月1日

本翻訳は利便性のために提供されるものである。法的拘束力を有するのは英語版であり、両者に相違がある場合は英語版が優先する。英語版を読む。

本データ処理契約（以下「本DPA」という。）は、顧客とインドで登記された会社、Astrizon Technology Solutions Private Limited（以下「処理者」という。）との間の利用規約の一部を構成する。本DPAは、処理者がZolensaを通じて顧客に代わって個人データを処理する場合に常に適用される。顧客が自己のクライアントの処理者として行為する場合、処理者は顧客の再処理者となり、本DPAの条件はそれに応じて適用される。

1. 定義

「データ保護法」とは、処理に適用される法令をいい、EU一般データ保護規則（GDPR）、英国GDPRおよび2018年データ保護法、スイス連邦データ保護法、インドの2023年デジタル個人データ保護法、ならびにカリフォルニア州消費者プライバシー法（CCPA）などの米国州法を含む。「個人データ」、「管理者」、「処理者」、「データ主体」、「個人データ侵害」および「処理」は、GDPRにおいて与えられた意味を有する。「顧客個人データ」とは、処理者が本サービスを通じて顧客のために処理する個人データをいう。

2. 役割と指示

顧客は管理者（またはそのクライアントのために行為する処理者）であり、処理者は、顧客の文書化された指示に従ってのみ、顧客個人データを処理する。利用規約、本DPA、ならびに顧客による本サービスの利用および設定が、当該指示に該当する。処理者は、指示がデータ保護法に違反すると考える場合、顧客に通知する。処理の詳細は、別紙Iに記載する。

3. 秘密保持

処理者は、顧客個人データの処理を許可されたすべての者が秘密保持義務を負い、その役割に必要な範囲のアクセスのみを有することを確保する。

4. セキュリティ

処理者は、リスクに応じた、別紙IIに定める技術的および組織的措置を実施し、保護の全体的な水準が低下しない限り、これを更新することができる。

5. 再処理者

顧客は、サブプロセッサーページに掲載された再処理者について、一般的な許可を与える。処理者は、新たな再処理者について、当該ページを更新し、ワークスペースのオーナーにメールを送ることにより、少なくとも30日前までに通知する。顧客は、その期間内に、データ保護に関する合理的な理由に基づき異議を述べることができる。当事者が解決策に合意できない場合、顧客は、影響を受けるサービスを終了し、残存期間分の前払料金の返金を受けることができる。処理者は、各再処理者に対し、本DPAに劣らない保護を与えるデータ保護義務を課し、その履行について責任を負う。

6. 国際的な移転

処理者は、本サービスをインドでホスティングしており、一部の再処理者は他の国に所在する。欧州経済領域からの個人データの移転について、当事者は、欧州委員会実施決定（EU）2021/914により採択された標準契約条項のモジュール2（管理者から処理者へ）、および顧客が処理者である場合はモジュール3（処理者から処理者へ）に合意し、これらは次の選択を伴って参照により組み込まれる。第7条は適用しない。第9条は選択肢2（一般的な許可）を適用し、通知期間は30日とする。第11条の任意の文言は適用しない。第13条は顧客の設立地に従う。第17条および第18条については、アイルランドの法律および裁判所が適用される。本DPAの別紙IおよびIIは、条項の附属書を補完する。英国からの移転については、情報コミッショナーが発行した国際データ移転追補が適用され、スイスについては、条項における参照をスイス法への参照と読み替えて条項が適用される。これらの条項が本DPAと矛盾する場合は、条項が優先する。

7. 顧客への支援

処理者は、処理の性質を考慮し、主に本サービスの機能を通じて、データ主体からの請求への回答、ならびにセキュリティ、侵害の通知、データ保護影響評価および当局との協議について、顧客を支援する。データ主体が処理者に直接連絡した場合、処理者は、法律が別段の定めをしていない限り、請求に回答せず、顧客に転送する。

8. 個人データ侵害

処理者は、顧客個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も48時間以内に、顧客が自らの義務を果たすために必要な情報とともに顧客に通知し、より多くの事実が判明するにつれて、顧客に情報を提供し続ける。処理者は、侵害を封じ込め、その影響を軽減するために合理的な措置を講じる。

9. 削除と返還

顧客は、本サービスを通じていつでも顧客個人データをエクスポートおよび削除でき、各調査の保存期間を設定する。契約の終了時、処理者は、利用規約に定めるエクスポート期間の後30日以内に、ストレージ内のファイルを含むすべての顧客個人データを削除する。ただし、法律により一部の保持が求められる場合はこの限りでなく、その場合、処理者は当該データを秘密として保持し、その目的のためにのみ処理する。

10. 監査

処理者は、本DPAの遵守を示すために合理的に必要な情報を提供する。顧客は、年に1回、30日前までの通知をもって、営業時間内に、本サービスまたは他の顧客のデータを妨げることなく、自己の費用負担で、自ら監査を行い、または秘密保持義務を負う独立した監査人に監査を行わせることができる。個人データ侵害または当局により求められる場合は、これより頻繁に行うことができる。

11. 米国州のプライバシー法

カリフォルニア州消費者プライバシー法または同様の法律が適用される場合、処理者はサービスプロバイダーとなり、顧客個人データを販売または共有せず、直接の取引関係の外で、または本サービス以外の目的のために、これを保持、使用もしくは開示せず、またそれらの法律が認める場合を除き、他の個人情報と組み合わせない。処理者は、これらの義務をもはや履行できない場合、顧客に通知する。

12. 責任と優先順位

本DPAに基づく各当事者の責任は、データ保護法が認めない場合を除き、利用規約に定める制限に服する。データ保護に関して本DPAが利用規約と矛盾する場合は、本DPAが優先する。

13. 別紙I：処理の詳細

14. 別紙II：技術的および組織的措置

• すべての接続についてTLSによる通信の暗号化。録画は非公開で保存し、有効期限付きの署名付きリンクを通じて提供する。
• Argon2idによるパスワードのハッシュ化。ワークスペースのオーナーおよびプラットフォームのスタッフには二要素認証を必須とする。プロバイダーのキーおよび二要素認証のシークレットは保存時に暗号化する。
• 各ワークスペース内での役割に基づくアクセス制御。クライアントには参加者がコードのみで表示され、連絡先情報は調査チームに限定される。
• アプリケーション内でのワークスペースごとの顧客データの分離。すべてのリクエストをユーザーのワークスペースと役割に照らして確認する。
• ログイン、招待およびアップロードのレート制限。クロスサイトリクエストフォージェリに対する保護。セキュリティヘッダー。
• ログイン、招待、同意、エクスポート、ダウンロードおよび削除の監査ログ。
• データの最小化：写真から位置情報を削除する。アップロードは種類とサイズで確認する。ダウンロードは7日後に失効する。
• 顧客が設定する調査ごとの保存期間。ファイルを含む、参加者、調査およびワークスペース全体の削除。
• サーバーの堅牢化、定期的なセキュリティ更新、ファイアウォール、およびホスティングプロバイダーが保持するバックアップ。
• アクセス権を有するスタッフは秘密保持義務を負い、アクセスは業務に必要な範囲に限定される。
• 個人データ侵害を48時間以内に検知、評価および通知するためのプロセス。