平易な言葉で
- お客様の接続されたソースに個人データが含まれる場合、お客様の組織が管理者であり、当社が処理者となります。
- 当社は、お客様の指示に基づいてのみ、また、お客様のOAuth承認によって開示されるメタデータ及び権限についてのみ処理を行います。
- 5社のサブプロセッサー。追加する場合は事前に通知します。侵害の認識から48時間以内に侵害通知を行います。
- EU標準契約条項が国際移転を対象とします。
- 契約終了時には、お客様はすべてをエクスポートでき、その後当社はこれを削除します。
1. 当事者、範囲及び役割
本データ処理契約（以下「DPA」）は、Enterprise.Systems（以下「処理者」）と顧客組織（以下「管理者」）との間の利用規約の一部を構成します。本DPAは、プラットフォーム上で処理される顧客ソースデータに、GDPR又は類似の法令の意味における個人データが含まれる場合に適用されます。個人データの処理に関して矛盾が生じる場合、本DPAが利用規約に優先します。
2. 定義
「GDPR」とは、規則（EU）2016/679を意味します。「個人データ」、「処理」、「データ主体」、「管理者」、「処理者」及び「監督機関」は、GDPRに定める意味を有します。「顧客ソースデータ」は、利用規約に定める意味を有します。
3. 処理の詳細
- 対象事項 — 管理者の接続されたソースのセキュリティ態勢分析。
- 期間 — 契約期間に削除猶予期間を加えた期間。
- 性質及び目的 — 管理者が承認したOAuthスコープを通じた、リソース、権限及びプリンシパルの読み取り専用の列挙、セキュリティルールに対する評価、並びにAI支援分析を含む所見及び説明の生成。
- 個人データのカテゴリー — 管理者のユーザー、協力者及びサービス／AIエージェントに関する、リソースメタデータ（名称、識別子、共有設定）及びプリンシパルの識別情報（名称、電子メールアドレス、役割）。ファイルの内容は含まれず、特別なカテゴリーは取得されず、メタデータ中に存在する場合はいずれも付随的なものです。
- データ主体 — 管理者の従業員、協力者、及び接続されたソースにおいて権限を保持する外部当事者。
4. 指示に基づく処理
処理者は、管理者の文書化された指示（本規約、本DPA、およびプラットフォームに対する管理者の設定（接続するソース、承認するスコープ、保持設定）を構成する）にのみ基づいて個人データを処理します。ただし、法律により要求される場合はこの限りではなく、その場合、処理者は、法的に許容される範囲で、処理前に管理者に通知します。処理者は、自らの見解において指示がデータ保護法に違反すると判断する場合、管理者に通知します。
5. 秘密保持
個人データの処理を承認された者は、契約上または法律上の秘密保持義務を負います。
6. セキュリティ対策（第32条）
処理者は、以下を含む適切な技術的および組織的対策を実施し、維持します。
- 転送中の暗号化（TLS 1.2以上）および保存されたソース認証情報の保管時の暗号化（専用の鍵暗号化鍵を用いたAES-256-GCM）。
- 接続されたソースに対する読み取り専用かつ最小権限のアクセスであり、管理者が承認したOAuthスコープに限定されます。
- プラットフォーム内でのロールベースのアクセス制御（owner/admin/viewer）およびデータ層でのテナント分離。
- プラットフォームの操作についての追記専用の監査ログ。
- 脆弱性管理およびプラットフォーム依存関係の適時のパッチ適用。
7. 副処理者
管理者は、プライバシーポリシーに記載されたサブプロセッサー（Anthropic、Cloudflare、RunPod、PayPal、およびメール機能が有効化された時点での Resend）について一般的な承認を付与します。処理者は、各サブプロセッサーに対し本 DPA と同等以上に保護的なデータ保護義務を課し、それらの履行について引き続き全面的に責任を負います。処理者は、サブプロセッサーを追加または変更する前に少なくとも14日前に通知します。管理者は合理的なデータ保護上の理由により異議を申し立てることができ、その場合、両当事者は解決策を模索し、解決に至らないときは、管理者は該当するサービスを解約し、前払費用の日割り返金を受けることができます。
8. データ主体の権利に関する支援
処理者は、処理の性質を考慮し、プラットフォームのセルフサービス型のエクスポートおよび削除ツールを含め、データ主体からの要求への対応において管理者を支援し、直接受領した要求を不当な遅延なく管理者に転送します。
9. 個人データ侵害
処理者は、顧客ソースデータに影響する個人データ侵害を認識した後、不当な遅延なく、いかなる場合も48時間以内に管理者に通知し、GDPR第33条から第34条に基づく管理者の義務に合理的に必要な情報を提供し、是正に協力します。
10. 国際移転
EEA、英国、またはスイスから十分性決定のない国への個人データの移転は、EU標準契約条項（モジュール2：管理者から処理者）に準拠し、これは参照により本DPAに組み込まれ、適用される場合には英国附属書およびスイスの適応も併せて適用されます。イスラエルはEUの十分性決定の対象となっています。
11. 監査
処理者は、セキュリティ評価の概要を含め、本DPAの遵守を実証するために合理的に必要な情報を提供し、年1回を超えない頻度で、少なくとも30日前の通知のもと、営業時間中に、秘密保持の下で、管理者またはその委任を受けた監査人による監査を認めます。費用は管理者の負担とし、ただし監査により重大な不遵守が判明した場合はこの限りではありません。
12. 返還および削除
終了時、管理者はプラットフォームを通じて顧客ソースデータおよび検出結果を30日間エクスポートすることができます。その後、処理者は、法律により保持が要求される場合を除き、30日以内に個人データを削除し、要求に応じて削除を確認します。保存されたソース認証情報は、接続解除またはアカウント削除と同時に直ちに破棄されます。
13. 責任および優先順位
本DPAに基づく責任は、データ保護法によって認められる範囲において、利用規約（Terms of Service）に定める制限に従います。本DPAは、両当事者間の従前のデータ処理条件に取って代わります。
14. 連絡先
データ保護に関する連絡先：[email protected]。