データ処理契約

1. 適用範囲と役割

本データ処理契約（以下「DPA」）は、お客様が事業者としてサービスを利用し、Rediaccがお客様に代わって顧客個人データを処理する場合の、Rediacc OÜ（以下「Rediacc」または「処理者」）とお客様との間の利用規約の一部を構成します。利用規約で定義された用語は、本DPAでも同じ意味を持ちます。本DPAは英語で作成されており、翻訳は便宜のためにのみ提供されます。翻訳と英語版に相違がある場合は、英語版が優先します。

顧客個人データについては、お客様が管理者（または自らの管理者のために行動する処理者）であり、Rediaccが処理者（または再処理者）です。アカウント、請求、同意の記録およびテレメトリデータについては、プライバシーポリシーに記載のとおり、Rediaccは独立した管理者であり、その処理には本DPAは適用されません。

お客様のマシン上の顧客データは、Rediaccによって処理されません。暗号化された設定ストレージとホスト型バックアップは、Rediaccが保持しない鍵で暗号化されているため、Rediaccはそれらのデータブロブを保管しますが、内容を読み取ることはできません。

2. 定義

• 「データ保護法令」とは、EU一般データ保護規則（規則（EU）2016/679、「GDPR」）、英国GDPR、および本DPAに基づく処理に適用されるその他のデータ保護法令を意味します。
• 「顧客個人データ」とは、プラットフォームの提供にあたりRediaccがお客様に代わって処理する個人データを意味し、たとえば、お客様が招待した認定ユーザーやチームメンバーの氏名とメールアドレス、およびお客様がプラットフォームに保存する暗号化データが該当します。
• 「個人データ侵害」、「処理」、「管理者」、「処理者」、「データ主体」は、GDPRにおいて与えられた意味を有します。
• 「SCC」とは、欧州委員会実施決定（EU）2021/914により承認された標準契約条項を意味します。
• 「サブプロセッサー」とは、顧客個人データを処理するためにRediaccが起用する第三者を意味します。

3. 指示に基づく処理

Rediaccは、法律で別段の定めがある場合を除き、お客様の文書化された指示（利用規約、本DPA、およびお客様によるサービスの利用と設定）に従ってのみ顧客個人データを処理します。法律で別段の定めがある場合、法律が禁じていない限り、Rediaccは処理の前にお客様に通知します。Rediaccは、指示がデータ保護法令に違反すると考える場合、お客様に通知します。

4. 処理の詳細

• 対象事項と目的：アカウントおよびチームの管理、ライセンスの発行、暗号化された設定ストレージ、ホスト型バックアップストレージ、サポートを含む、プラットフォームの提供
• 期間：利用規約の有効期間に、第11条に定める削除期間を加えた期間
• 処理の性質：収集、保管、送信、取得、および削除
• データ主体の種類：お客様の認定ユーザー、招待されたチームメンバー、およびパートナーの連絡先
• 個人データの種類：氏名、メールアドレス、組織と役職、認証データ（パスワードハッシュ、パスキーの公開鍵）、セッションのネットワークアドレスとユーザーエージェント、およびお客様がプラットフォームに保存する暗号化データ内に含まれる個人データ
• 特別な種類のデータ：意図していません。お客様は、特別な種類のデータを暗号化せずにプラットフォームに保存してはなりません

5. 機密保持

Rediaccは、顧客個人データの処理を許可されたすべての者が、機密保持義務を負うことを確保します。

6. セキュリティ

Rediaccは、GDPR第32条に基づき、次を含む適切な技術的および組織的措置を実施します：

• 通信中（TLS 1.2以降）および保存時の暗号化、ならびにRediaccが保持しない鍵による、設定ストレージとホスト型バックアップのクライアント側暗号化
• 本番システムへのアクセスを、多要素認証を用いて、許可された担当者に限定すること
• 顧客データの論理的分離とリージョン別のデータ保管
• 本番システムのログ記録と監視、およびセキュリティ対策の定期的なテスト

7. サブプロセッサー

お客様は、Rediaccがサブプロセッサーを起用することを承認します。Rediaccは、各サブプロセッサーに対して、本DPAに劣らない保護水準のデータ保護義務を課し、サブプロセッサーの履行について引き続き責任を負います。現在のサブプロセッサーは次のとおりです：

• Cloudflare, Inc.（米国、グローバルネットワーク）：アカウントポータルとAPI（Workers）、アカウントデータベース（D1）、ホスト型バックアップとオブジェクトストレージ（R2）、コンテンツ配信とDNS、およびフォームのボット対策（Turnstile）のホスティング
• Amazon Web Services, Inc.（Amazon Simple Email Service。お客様のアカウントのリージョンに対応するAWSリージョン）：サインインリンク、通知、請求書などのトランザクションメールの配信
• Stripe, Inc.およびその関連会社（米国およびアイルランド）：有料サブスクリプションの決済処理、サブスクリプション請求、請求書発行、および税額計算
• Hostinger（EU域内の仮想サーバー）：テレメトリデータとサービスログを受信するテレメトリおよびオブザーバビリティのエンドポイント（otlp.rediacc.io）のホスティング

Rediaccは、サブプロセッサーを追加または交代する少なくとも30日前に、本ページを更新し、アカウントのメールアドレスへ通知します。お客様は、その期間内に、データ保護上の合理的な理由に基づいて異議を述べることができます。両当事者が異議を解決できない場合、お客様は影響を受けるサービスを終了し、終了後の期間に対応する前払い料金の返金を受けることができます。

ウェブサイトのアナリティクス（Plausible）は顧客個人データを処理せず、プライバシーポリシーの対象となります。

8. 国際移転

顧客個人データが、十分性認定のない欧州経済領域外の国へ移転される場合、SCCが参照により本DPAに組み込まれます。お客様が管理者である場合はモジュール2（管理者から処理者）、お客様が処理者である場合はモジュール3（処理者から処理者）を適用します。SCCについては、任意のドッキング条項（SCC第7条）を適用し、SCC第9条(a)のオプション2（一般的な承認）を本DPA第7条に定める通知期間とともに適用し、SCC第11条の任意の文言は適用せず、SCC第17条および第18条はエストニアの法律および裁判所を選択し、附属書IおよびIIは本DPAの第1条、第4条、第6条により、附属書IIIは第7条により補完されます。

英国GDPRの対象となる移転には、SCCとあわせて、英国情報コミッショナーが発行した国際データ移転補遺が適用されます。Rediaccは、EU・米国データプライバシーフレームワークの認証を受けたサブプロセッサーについては、同フレームワークに依拠します。

9. データ主体の請求と支援

Rediaccは、顧客個人データに関するデータ主体からの請求を速やかにお客様へ転送し、お客様の指示がある場合を除き、自ら回答しません。処理の性質を考慮し、Rediaccは、そのような請求への対応、およびデータ保護影響評価や事前協議を含むGDPR第32条から第36条に基づくお客様の義務の履行について、お客様を支援します。

10. 個人データ侵害

Rediaccは、顧客個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も72時間以内にお客様へ通知します。通知には、判明している範囲で、侵害の性質、対象となるデータ主体とレコードの種類およびおおよその件数、想定される影響、および講じた、または提案する措置を記載します。Rediaccは、侵害を封じ込め是正するために合理的な措置を講じます。

11. 削除または返却

サービスの終了時、お客様は30日以内に顧客個人データをエクスポートできます。その後、Rediaccは、法律によりRediaccが保管しなければならない場合を除き、顧客個人データを稼働中のシステムから削除し、バックアップからは90日以内に削除します。

12. 監査

Rediaccは、GDPR第28条の遵守を示すために必要な情報を、主として、合理的なセキュリティ質問票への書面による回答、ならびにRediaccおよびそのサブプロセッサーの利用可能な監査報告書や認証を通じて、お客様に提供します。その情報が十分でない場合、または監督当局が求める場合、お客様は、自己の費用負担で、30日前の通知をもって、営業時間内に、年1回を上限として、機密保持義務のもとで、サービスや他のお客様に支障を与えない方法で監査を実施できます。

13. 責任と優先順位

本DPAに基づく各当事者の責任は、データ保護法令が認めない場合を除き、利用規約の制限に従います。本DPAが利用規約と矛盾する場合は、顧客個人データの処理については本DPAが優先し、SCCが本DPAと矛盾する場合は、SCCが優先します。

14. 本DPAの出典

本DPAの一部は、Common Paper Data Processing Agreement Standard Terms Version 1.1（commonpaper.com/standards/data-processing-agreement/1.1）を基に改変したものです。これはCommon Paper, Inc.がクリエイティブ・コモンズ 表示 4.0 国際ライセンス（CC BY 4.0）の下で公開しているものです。本文は、再構成、短縮され、サービスに合わせて改変されています。Common Paper, Inc.は本DPAを推奨するものではありません。