データ処理契約

本データ処理契約（「DPA」）において、以下の用語は次の意味を有します。

• 「管理者」とは、個人データの処理の目的および手段を決定する自然人または法人をいいます。
• 「処理者」とは、管理者に代わって個人データを処理する自然人または法人をいいます。
• 「個人データ」とは、識別された、または識別可能な自然人に関するあらゆる情報をいいます。
• 「処理」とは、収集、保存、利用、開示、削除など、個人データに対して行われるあらゆる操作をいいます。
• 「データ主体」とは、個人データの対象となる個人をいいます。
• 「再処理者」とは、個人データを処理するためにChargezenが起用する第三者をいいます。

本DPAは、利用規約に基づき提供されるサービスに関連して、Chargezen（処理者）が、お客様（管理者）に代わって行う個人データの処理に適用されます。

Chargezenは、以下の場合に限り個人データを処理します。

• サービスを提供する目的で行う場合
• 適用法を遵守するために必要な場合
• その他、お客様から書面による指示がある場合

お客様は、以下を表明し保証します。

• Chargezenに個人データを提供するために必要なすべての権利および同意を有すること
• 適用されるすべてのデータ保護法を遵守すること
• 処理に関する指示が適用法に違反しないこと
• 個人データの正確性、品質および適法性について責任を負うこと

Chargezenは、以下に同意します。

• お客様の文書化された指示に従ってのみ個人データを処理すること
• 個人データの処理を許可された担当者が秘密保持義務を負うようにすること
• 適切な技術的および組織的セキュリティ対策を実施すること
• データ主体からの請求への対応についてお客様を支援すること
• データ保護影響評価および規制当局との協議についてお客様を支援すること
• 契約終了時に、お客様の選択に従い個人データを削除または返却すること
• 遵守を証明するために必要な情報を提供すること

Chargezenは、以下を含む包括的なセキュリティ対策を維持します。

• 暗号化：保存時はAES-256暗号化、転送時はTLS 1.3
• アクセス制御：役割に基づくアクセス、MFA、SSO対応
• 監視：24時間365日のセキュリティ監視と脅威検知
• インフラ：SOC 2 Type II認証を受けたホスティング事業者
• 脆弱性管理：定期的な侵入テストとセキュリティ監査
• インシデント対応：文書化されたインシデント対応手順

お客様は、Chargezenが処理業務のために再処理者を起用することを承認します。Chargezenは、以下を行います。

• 再処理者の最新一覧を維持すること（請求に応じて提供）
• 再処理者に関する予定された変更をお客様に通知すること
• 同等のデータ保護義務を課す書面による契約を再処理者と締結すること
• 再処理者の作為および不作為について引き続き責任を負うこと

お客様は、通知から30日以内に新たな再処理者に異議を申し立てることができます。お客様の異議が解決されない場合、お客様は影響を受けるサービスを解約できます。

Chargezenは、GDPRの要件を遵守し、以下を利用して欧州経済領域（EEA）外へ個人データを移転することができます。

• 標準契約条項（SCC）：EUが承認したデータ移転のためのモデル条項
• 十分性認定：十分な保護を備える国への移転
• 追加的保護措置：補完的措置としての暗号化およびアクセス制御

米国への移転については、Chargezenは政府によるアクセスから保護するための追加的な技術的措置を実施します。

Chargezenは、以下を含むデータ主体からの請求に対応する義務の履行について、お客様を支援します。

• 個人データへのアクセス
• 不正確なデータの訂正
• 消去（「忘れられる権利」）
• 処理の制限
• データポータビリティ
• 処理に対する異議申立て

Chargezenは、データ主体から請求を受けた場合、お客様に速やかに通知します。

個人データ侵害が発生した場合、Chargezenは以下を行います。

• 不当に遅滞することなくお客様に通知すること（認識してから72時間以内）
• 侵害の性質、影響を受けるデータの種類、起こり得る結果について情報を提供すること
• 侵害に対処するために実施済みまたは提案された措置を説明すること
• お客様の調査および通知義務の履行に協力すること

お客様は、Chargezenによる本DPAの遵守状況を監査する権利を有します。監査は以下の条件で実施できます。

• お客様または独立した第三者監査人が実施すること（秘密保持を条件とする）
• 合理的な事前通知を行うこと（最低30日前）
• 年1回を超えないこと（規制当局から求められる場合を除く）
• 費用はお客様が負担すること（監査により重大な不遵守が明らかになった場合を除く）

Chargezenは、請求に応じて秘密保持契約の下で監査報告書（SOC 2 Type IIなど）も提供します。

本DPAは、サービス契約の期間中、有効に存続します。終了時には：

• Chargezenは個人データの処理を停止します（法律で義務付けられる場合を除く）
• お客様の選択に従い、Chargezenは30日以内にすべての個人データを削除または返却します
• Chargezenは、請求に応じて削除を書面で証明します

本DPAに基づく責任には、サービス契約の制限が適用されます。各当事者は、以下に違反する処理によって生じた損害についてのみ責任を負います。

• 本DPA
• 適用されるデータ保護法
• お客様の適法な指示