平易な言葉で
- 接続されたソースに個人データが含まれる場合、貴組織が管理者であり、当社は処理者となります。
- 当社は貴組織の指示に基づいてのみ処理を行い、貴組織の承認により開示されるメタデータおよび権限のみを処理し、貴組織が自動修復（Auto-remediate）を有効にした場合にのみ貴組織のソース内のアクセスを変更します。
- サブプロセッサーは5社であり、追加する前に事前通知を行います。侵害の通知は、認識してから48時間以内に行います。
- EU標準契約条項（Standard Contractual Clauses）が国際的な移転を対象とします。
- 終了時には、すべてをエクスポートでき、その後、当社がこれを削除します。
1. 当事者、範囲、および役割
本データ処理契約（以下「DPA」）は、Enterprise.Systems（以下「処理者」）と顧客組織（以下「管理者」）との間の利用規約の一部を構成します。本DPAは、当プラットフォーム上で処理される顧客ソースデータにGDPRまたは類似の法令の意味における個人データが含まれる場合に常に適用されます。個人データの処理に関して矛盾が生じた場合、本DPAが利用規約に優先します。
2. 定義
「GDPR」とは、規則（EU）2016/679をいう。「個人データ」、「処理」、「データ主体」、「管理者」、「処理者」及び「監督機関」は、GDPRに定める意味を有する。「顧客ソースデータ」は、利用規約に定める意味を有する。
3. 処理の詳細
- 対象事項 — 管理者が接続したソースのセキュリティポスチャ分析。
- 期間 — 契約の期間及び削除猶予期間。
- 性質及び目的 — 管理者が承認したOAuthスコープを通じたリソース、権限及びプリンシパルの読み取り専用列挙、セキュリティルールに対する評価、発見事項、説明及びAI支援による要約の生成、並びに管理者がAuto-remediateを有効化し、ポリシーを起動し、かつ必要な書き込みスコープを付与した場合に限り、当該ポリシーの指示に従って接続ソース内のアクセスを取り消し又は削減すること。
- 個人データのカテゴリー — リソースメタデータ（名称、識別子、共有設定）及び管理者のユーザー、コラボレーター並びにサービス／AIエージェントのプリンシパル識別情報（名称、電子メールアドレス、役割）。ファイル内容は含まれず、特別なカテゴリーは求められず、メタデータ中に存在するいかなるものも付随的なものである。
- データ主体 — 接続ソースにおいて権限を保有する管理者の従業員、コラボレーター及び外部当事者。
4. 指示に基づく処理
処理者は、管理者の文書化された指示（本利用規約、本DPA、及びプラットフォームに関する管理者の設定（いずれのソースを接続するか、いずれのスコープを承認するか、Auto-remediateを有効化するか及びいずれのポリシーを起動するか、保持設定）から構成される）に基づいてのみ個人データを処理する。ただし、法律により要求される場合を除き、この場合、処理者は、法的に許容される範囲で、処理前に管理者に通知する。処理者は、その意見において指示がデータ保護法に違反する場合、管理者に通知する。
5. 秘密保持
個人データの処理を認可された者は、契約上又は法定の秘密保持義務を負う。
6. セキュリティ措置（第32条）
処理者は、以下を含む適切な技術的及び組織的措置を実施し、維持する。
- 転送中の暗号化（TLS 1.2以上）及び保存されたソース認証情報の保管時の暗号化（専用の鍵暗号化鍵を用いたAES-256-GCM）。
- 接続ソースへの最小権限アクセスであって、管理者が承認したスコープに限定されるもの。監視のためには読み取り専用、書き込みスコープは管理者がAuto-remediateのために付与した場合に限り、いつでも取り消し可能。
- プラットフォーム内における役割ベースのアクセス制御（オーナー／管理者／閲覧者）及びデータ層におけるテナント分離。
- プラットフォームアクションの追記専用の監査ログ。
- 脆弱性管理及びプラットフォーム依存関係の適時のパッチ適用。
7. サブ処理者
管理者は、プライバシーポリシーに記載されたサブ処理者（Anthropic、Resend、PayPal、RunPod及びCloudflare）について包括的な承認を付与する。処理者は、各サブ処理者に対して本DPAと同等以上に保護的なデータ保護義務を課し、その履行について引き続き全面的に責任を負う。処理者は、サブ処理者を追加又は変更する前に管理者に通知する。管理者は、合理的なデータ保護上の理由に基づき異議を申し立てることができ、その場合、両当事者は解決策を模索し、解決に至らない場合、管理者は影響を受けるサービスを解約し、前払い料金の按分による返金を受けることができる。
8. データ主体の権利に関する支援
処理の性質を考慮し、処理者は、プラットフォームのセルフサービス型エクスポートおよび削除ツールを通じたものを含め、データ主体の請求への対応において管理者を支援し、処理者が直接受領した請求を不当な遅滞なく管理者に転送する。
9. 個人データ侵害
処理者は、Customer Source Dataに影響を及ぼす個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も48時間以内に管理者に通知し、GDPR第33条から第34条に基づく管理者の義務に合理的に必要な情報を提供し、是正に協力する。
10. 国際移転
EEA、英国、またはスイスから十分性認定を受けていない国への個人データの移転は、本DPAに参照により組み込まれるEU標準契約条項（モジュール2：管理者から処理者へ）、ならびに該当する場合には英国附属書およびスイスの調整に準拠する。イスラエルはEUの十分性認定の対象である。
11. 監査
処理者は、セキュリティ評価の概要を含め、本DPAへの遵守を証明するために合理的に必要な情報を提供し、管理者またはその委任した監査人による監査を、年に1回を超えない範囲で、少なくとも30日前の通知をもって、営業時間内に、秘密保持のもとで、かつ監査が重大な不遵守を明らかにした場合を除き管理者の費用負担で認める。
12. 返却および削除
終了時、管理者は30日間にわたりプラットフォームを通じてCustomer Source Dataおよび検出結果をエクスポートすることができる。その後、処理者は、法律により保持が要求される場合を除き、30日以内に個人データを削除し、請求に応じて削除を確認する。保存されたソース認証情報は、切断またはアカウント削除時に直ちに破棄される。
13. 責任および優先順位
本DPAに基づく責任は、データ保護法により認められる範囲において、Terms of Serviceに定める制限に従う。本DPAは、両当事者間の従前のデータ処理条件に代わるものである。
14. 連絡先
データ保護連絡先：[email protected]。