データ処理契約

本契約は利用規約の一部をなし、個人データの 取扱いにおける両当事者の義務を具体化するものです。

管理者（委託者）： 顧客。

処理者（受託者）：

Zakomo FZCO
IFZA, Dubai Silicon Oasis
ドバイ、アラブ首長国連邦（UAE）

1. 対象および期間

1.1 対象は、管理者がプラットフォーム Growmindr の利用の枠内で 持ち込む、またはこれを通じて収集させる個人データの 処理です。

1.2 期間は主契約の契約期間に対応します。本契約は主契約の 終了をもって自動的に終了します。第10項の義務は それを超えて存続します。

2. 処理の性質、目的および範囲

2.1 目的： 連絡先データの管理およびエンリッチメント、コンテンツの作成および 承認、返信および配信停止の処理を含むアウトリーチ・メッセージの計画および送信、 リンクの調査および監視、チームおよびアカウントの管理、ならびに 記載の諸処理の管理者のための分析。

2.2 処理の性質： 収集、記録、編成、保存、 適合、読み出し、照会、利用、送信、制限、削除および 破棄。

2.3 データ主体のカテゴリー： アウトリーチ・メッセージの受信者、 対象企業の担当者、ならびに本プラットフォームを利用する管理者の 従業員および受任者。

2.4 個人データのカテゴリー： 連絡先データ（氏名、業務用 メールアドレス、電話番号、役職、雇用主、公開されている プロフィール）、コミュニケーションの内容、配信および相互作用のデータ（配信、 開封、クリック、返信、配信停止）、評価およびステータス情報、 ならびにユーザーのアカウントおよびロールのデータ。

2.5 GDPR第9条による特別な種類の個人データは本委託の 対象ではありません。管理者は、かかるデータを本プラットフォームに 持ち込みません。

3. 指示権

3.1 受託者は、個人データを管理者の文書化された指示に 基づいてのみ処理します。管理者による プラットフォーム機能の利用は指示とみなされます。それを 超える個別の指示は、[email protected] 宛てにテキスト形式で行われます。

3.2 受託者は、ある指示が違法であると判断する場合、その旨を 遅滞なく通知し、明確になるまでその実行を保留することができます。

3.3 指示の範囲外の処理は、受託者が EU 法または 加盟国の法によってそれを義務づけられる範囲においてのみ行われます。その場合、受託者は 事前に管理者に通知します。ただし、法がこれを禁じていない 場合に限ります。

4. 秘密保持

受託者は、処理に従事する者が既に法定の 守秘義務を負っていない範囲において、これらの者に書面で 秘密保持を義務づけます。この義務は、業務の 終了後も存続します。

5. 技術的および組織的措置

受託者は、GDPR第32条による、付属書1に記載された措置を 講じます。受託者は、保護水準を下回らない限り、これらを 継続的に発展させることができます。

6. 再処理者

6.1 管理者は、次の再処理者の委託について 一般的な承認を与えます：

• Cloudflare — ウェブサイトの配信および保護。所在地は米国。

移転は標準契約条項に基づく。

6.2 Paddle は、Merchant of Record として決済処理のために 活動し、この範囲において独自の管理者であって、再処理者ではありません。

6.3 データベース、オブジェクトストレージ、アクセス解析およびテキスト作成のための AI 機能は、受託者がアラブ首長国連邦（UAE）、ドバイの自社インフラ上で 運用します。この範囲において第三者への委託は行われません。 アラブ首長国連邦（UAE）への移転については、第12項が適用されます。

6.4 管理者が自ら独自のアクセスキーを登録することによって接続する サービス（特に連絡先エンリッチメントのための Hunter.io および Apollo.io、 ならびに送信のための独自のメールサーバー）は、管理者の 計算および責任において活動します。管理者は、これらの提供者との間で 必要な取り決めを自ら締結します。

6.5 受託者が、さらなる再処理者を使用し、または既存の再処理者を 交代させようとする場合、受託者は管理者に対し、少なくとも30日前に テキスト形式で通知します。管理者は、データ保護上の重要な事由に基づき、 14日以内に異議を述べることができます。異議を解消できない場合、各当事者は 予定された交代時点をもって主契約を解約することができます。

7. 支援義務

7.1 受託者は、データ主体の申立ての回答にあたり、相当の 措置をもって管理者を支援します。本プラットフォームは、そのために エクスポートおよび削除の機能、ならびに配信停止されたアドレスの恒久的な ブロックリストを提供します。

7.2 データ主体が受託者に直接問い合わせた場合、受託者は その問い合わせを遅滞なく管理者に転送し、自ら独自に 回答しません。

7.3 受託者は、GDPR第32条から第36条の遵守、特に データ保護影響評価にあたり、必要な情報が受託者のみに 存在する範囲において、管理者を支援します。

8. 個人データ侵害の通知

受託者は、個人データの侵害を、知得から遅滞なく、 遅くとも48時間以内に、テキスト形式で管理者に 通知します。通知には、判明している限り、事案の性質、 影響を受けるデータのカテゴリー、影響を受ける者のおおよその数、起こりうる 結果および講じた対抗措置が含まれます。受託者は 監督機関には通知しません。この義務は管理者が負います。

9. 証明および監査

9.1 受託者は、本契約の遵守を、請求に応じ適切な方法で、 特に情報提供および付属書1の措置に関する文書の 提出によって証明します。

9.2 管理者は、相当の期間を定めた事前の予告をもって、 通常の営業時間中に遵守状況を確認する権利を有します。監査は、 業務運営の回避可能な妨げなく、暦年ごとに最大1回 行われます。ただし、特別な契機が追加の監査を 正当化する場合はこの限りではありません。単なる情報提供を 超える費用については、受託者が相当額を請求することができます。

10. 削除および返還

10.1 主契約の終了後、受託者は管理者に対し30日間 データをエクスポート用に提供し、その後これを削除します。

10.2 バックアップコピーはローリング方式で上書きされ、本番システムでの 削除から遅くとも14日後に最終的に除去されます。

10.3 削除から除外されるのは、法定の 保存義務が存在するデータ、ならびに配信停止されたアドレスのブロックリストです。後者の 保存は GDPR第21条第3項の義務の履行に必要であり、 これらのデータは処理においてそれに応じて制限されます。

11. 責任および最終規定

11.1 責任については、利用規約の第10項が 準用されます。GDPR第82条は、これを妨げられません。

11.2 本契約と主契約との間に齟齬がある場合、データ保護に関する 事項については本契約が優先します。

11.3 ドイツ連邦共和国の法が適用されます。

12. 第三国への移転

12.1 受託者は、アラブ首長国連邦（UAE）に所在し、そのシステムを 同国で運用しています。この国については、GDPR第45条に基づく 欧州委員会の十分性認定は存在しません。

12.2 そのため、欧州経済領域から受託者への個人データの 移転については、2021年6月4日の実施決定（EU）2021/914 による 欧州委員会の標準契約条項、すなわちモジュール2 （管理者から処理者へ）が適用されます。これらはここに全面的に 本契約に組み込まれ、齟齬がある場合には本契約に優先します。

12.3 標準契約条項の附属書の記入については、次のとおりとします：

• 附属書 I.A（当事者）： データ輸出者は管理者、

データ輸入者は受託者です。その記載事項は本契約の前文 および管理者のアカウント基本データから生じます。

• 附属書 I.B（移転の記述）： 本契約第2項。
• 附属書 I.C（所管の監督機関）： 管理者が設立されている

加盟国の監督機関。管理者が EU 内に設立されていない場合は、 データ主体が所在する加盟国の 機関。

• 附属書 II（技術的および組織的措置）： 本契約の付属書1。
• 附属書 III（再処理者のリスト）： 本契約第6項。

12.4 条項の選択肢については、次のとおりとします：条項7（加入条項）が 適用されます。条項9については、第6.5項で合意した期間を伴う オプション2（一般的な書面による承認）が適用されます。任意の 条項11(a)（独立した紛争解決機関）は適用されません。 条項17についてはアイルランドの法が、条項18(b)についてはアイルランドの 裁判所が管轄となります。本契約の第11.3項および 利用規約の法選択は、これに妨げられず、その他すべての 事項に適用されます。

12.5 受託者は、標準契約条項の履行を妨げる法令を 認識していないことを確認します。移転されたデータの開示を求める 当局の命令を受けた場合、受託者は、法的に許容される範囲で管理者に これを通知し、十分な成功の見込みがある範囲で当該命令に 異議を申し立てます。補足的に、付属書1の措置が適用されます。

12.6 請求に応じ、受託者は管理者に対し、標準契約条項の 署名された正本を提供します。

13. アラブ首長国連邦（UAE）の適用法

GDPR とは独立して、受託者はアラブ首長国連邦（UAE）の個人データの 保護に関する2021年連邦法第45号（PDPL）に服します。そこから生じる 義務が本契約の義務と重なる範囲において、受託者はその都度 より広範な義務を履行します。

付属書1 — GDPR第32条による技術的および組織的措置

機密性 — 入退室管理。 システムは、アラブ首長国連邦（UAE）、 ドバイのデータセンターで運用されます。物理的な 入室は権限を有する者に限定され、記録されます。

機密性 — アクセス管理。 技術水準に従って ハッシュ化されたパスワードを用いる個別アカウントによるログイン。セッションは15 分間の非活動後に失効します。セッション Cookie は httpOnly、SameSite=Strict であり、 HTTPS 経由でのみ送信されます。本番システムへの管理用 アクセスは、鍵認証による SSH 経由でのみ行われます。

機密性 — アクセス権管理。 ロールベースの権限 （オーナー、管理者、編集者、審査者、閲覧者）。テナントの 分離は、さらにデータベースレベルで Row-Level Security によって 適用され、エラー時にはアクセスを許可するのではなく拒否します。 サービス間の機械的アクセスは、短命の署名付き サービストークンを介してのみ行われます。

機密性 — 分離管理。 各顧客は自らの テナントで作業します。各サービスは、他からのアクセスのない独自のデータベースを使用します。 有効なテナント参照のないデータレコードは取得できません。

完全性 — 伝達管理。 本プラットフォームとの間のすべての 接続について、TLS による転送暗号化。内部サービスは ローカルインターフェース経由でのみ到達可能であり、公開されていません。

完全性 — 入力管理。 セキュリティ関連の事象は、 時刻および行為を行ったアカウントとともに活動ログに記録されます。

可用性および復元力。 データベースの日次自動バックアップを 14日間の保持期間で実施。障害時に自動再起動を伴う サービスの監視。レート制限による過負荷からの保護。

検証および評価の手続。 依存関係は、既知の脆弱性について 定期的に検査され、更新されます。アクセス情報は バージョン管理の外に置かれます。本番環境への変更は、 追跡可能な配信プロセスを通じて行われます。

委託管理。 再処理者は、本契約の第6項に従ってのみ 使用され、相応の保護水準を契約上義務づけられます。