データ処理契約

1. 定義

ここで定義されていない大文字で始まる用語は、本規約で与えられた意味を有します。「GDPR」とは、Regulation (EU) 2016/679 をいいます。「UK GDPR」とは、英国に適用される保持された EU 法版の GDPR をいいます。「適用データ保護法」とは、GDPR、UK GDPR、スイス FADP、California Consumer Privacy Act（改正版）、および本 DPA に基づく処理者の処理に適用されるその他のデータ保護またはプライバシーに関する法律をいいます。「個人データ」、「管理者」、「処理者」、「データ主体」、および「処理」は、GDPR で与えられた意味を有します。

2. 範囲、役割、および対象事項

ONTHEBIAS は、管理者が ONTHEBIAS プラットフォームを利用する際に、管理者が提出し、または管理者を代理して生成される個人データの処理者として行動します。処理の対象事項は、本規約に基づく ONTHEBIAS のデザイン、生成、およびマーケットプレイスプラットフォームの提供です。期間は、本規約の期間に、以下に記載する終了処理期間を加えたものです。処理の性質および目的は、本規約および附属書 1 に記載されています。個人データおよびデータ主体のカテゴリーは、附属書 1 に記載されています。

3. 処理者の義務

処理者は、以下を行います。

• 適用法により別段の行為が要求される場合（この場合、処理者は、法律がかかる開示を禁止しない限り、管理者に通知します）を除き、国際的な移転に関する場合を含め、管理者の文書化された指示のみに基づいて個人データを処理すること。
• 個人データを処理する権限を与えられた者が、拘束力のある機密保持義務に服することを確保すること。
• 個人データを保護するために適切な技術的および組織的措置を講じること（附属書 2 をご覧ください）。
• 処理の性質を考慮して、データ主体からの請求に応答する管理者の義務の履行を支援すること。
• データ保護影響評価および監督機関との事前協議について管理者を支援すること。
• 管理者のデータに影響する個人データ侵害を認識した後、不当に遅滞なく（いかなる場合も 72 時間以内に）管理者に通知すること。
• 管理者の選択により、サービス提供の終了時にすべての個人データを削除または返却し、適用法により保持が要求される場合を除き、既存の写しを削除すること。
• 本 DPA の遵守を証明するために合理的に必要なすべての情報を管理者に提供すること。

4. 副処理者

管理者は、以下を条件として、処理者が副処理者を関与させることについて一般的な授権を付与します。処理者は、プライバシーポリシーのページに副処理者の最新のリストを維持し、追加または交代について、少なくとも 30 日前にアプリ内で管理者に事前通知します。管理者は、当該通知期間内に、合理的なデータ保護上の理由により新しい副処理者に異議を申し立てることができます。処理者がその異議に合理的に対応できない場合、管理者は影響を受けるサービスの部分を解約し、未使用の前払い期間について按分した返金を受けることができます。処理者は、本 DPA と少なくとも同等に保護的なデータ保護義務を各副処理者に課します。

5. 国際的な移転

処理者が、EEA、英国、またはスイスのデータ主体の個人データを、これらの法域外の、十分性認定の恩恵を受けない国に移転する場合、当該移転は、欧州委員会の標準契約条項（該当する場合、Module 2、管理者から処理者、または Module 3、処理者から副処理者）、UK International Data Transfer Addendum、および同等のスイスの手段に準拠します。これらはそれぞれ参照により本 DPA に組み込まれ、矛盾がある場合には優先します。管理者および処理者は、それぞれデータ輸出者およびデータ輸入者として行動し、適切な任意条項（Clause 7 のドッキング、選択のない Clause 11、Clause 17 Option 1（合意される加盟国の法律）、および当該加盟国における Clause 18(b) の裁判地を含みます）が適用されます。

6. データ主体からの請求

処理者が、管理者を代理して処理される個人データに関するデータ主体からの請求を受領した場合、処理者は（受領の確認を除き）直接応答せず、当該請求を不当に遅滞なく管理者に転送します。処理者は、処理の性質を考慮して、管理者の応答を支援します。

7. 監査

処理者は、独立監査および認証の概要（処理者が取得している場合）を含め、本 DPA の遵守を証明するために合理的に必要な情報を管理者に提供します。管理者が合理的にさらなる情報またはオンサイト監査を必要とする場合、管理者は、少なくとも 60 日前の書面による通知により、営業時間中に、合理的な機密保持およびセキュリティの制約に従い、管理者の費用で、年 1 回、処理者を監査することができます。監督機関が監査を要求する場合、処理者は法律で要求されるとおり協力します。

8. 期間および終了

本 DPA は、上部に記載された日に効力を生じ、本規約の期間中効力を有し、本規約の終了時に自動的に終了します。終了時、処理者は、管理者の選択により、30 日以内にすべての個人データを返却または削除します。ただし、適用法により保持が要求される場合（この場合、処理者は当該データの機密性を維持し、要求される範囲でのみそれを処理します）は除きます。

9. 責任および優先

本規約における責任の上限および除外は、本 DPA に適用されます。本 DPA と本規約との間に矛盾がある場合、個人データの処理に関する事項については、本 DPA が優先します。本 DPA と標準契約条項との間に矛盾がある場合、標準契約条項が優先します。

10. 副署の方法

本規約に同意することにより、管理者は本 DPA に同意したものとみなされます。管理者の記録（例えば調達ファイル）のために署名済みの副本が必要な場合は、本ページを PDF としてダウンロードし、署名欄を追加し、署名済みの写しを privacy@onthebias.co に電子メールでお送りください。ONTHEBIAS は、10 営業日以内に副署して返却します。

附属書 1 - 処理の説明

対象事項。 ONTHEBIAS のデザイン、AI 生成、およびマーケットプレイスプラットフォームの提供。

期間。 本規約の期間に、返却または削除のための最大 30 日を加えたもの。

性質および目的。 ホスティング、ストレージ、データベース、認証、AI 生成、電子メール配信、支払処理、マーケットプレイスのルーティング、分析、セキュリティ監視。

個人データのカテゴリー。 アカウントデータ（電子メール、氏名、ワークスペース）、デザインコンテンツ、チャットおよび RFQ の内容、利用テレメトリ、IP アドレス、商業データ（サブスクリプション、クレジット、注文、請求書）、および（同意がある場合のみ）マーケティングの設定。

特別カテゴリー。 意図されていません。管理者は、別途の書面による修正で明示的に合意されない限り、特別カテゴリーの個人データ（健康、生体認証、政治的意見等）を本サービスを通じて提出してはなりません。

データ主体のカテゴリー。 管理者の従業員、請負業者、および管理者がプラットフォームに提出するデータに係るその他の個人。

頻度。 管理者が本サービスを利用する限り、継続的に。

受領者。 プライバシーポリシーに掲載された副処理者、および法的に要求される場合の法執行機関または監督機関。

附属書 2 - 技術的および組織的措置

処理者は、以下の措置を講じます。

暗号化。 転送中のデータには TLS 1.2 以上、主要データベースおよびファイルストレージの保管時のデータには AES-256。

アクセス制御。 ロールベースのアクセス制御、スタッフ向けの MFA 付き SSO、最小権限の原則、およびユーザーデータの行レベルセキュリティ。

ログ記録および監視。 管理者アクションの監査ログ、Sentry によるエラーおよびパフォーマンス監視、異常時のアラート。

堅牢化。 定期的な依存関係の更新、脆弱性スキャン、およびコードレビュー。シークレットはソース管理ではなくマネージドシークレットストアに保管。

バックアップおよび復旧。 暗号化されたストレージによる自動日次バックアップおよびテスト済みの復元。

インシデント対応。 検出、封じ込め、通知、およびインシデント後のレビューのための文書化された手順。

人員。 雇用契約における機密保持義務、適法な場合の身元調査、および定期的なセキュリティ研修。

物理的セキュリティ。 主要なホスティングおよび副処理者のインフラは、当社の副処理者が運営する安全なデータセンターに設置されています（最新のリストについてはプライバシーポリシーをご覧ください）。当社は自社のデータセンターを運営していません。