データ処理契約

本データ処理契約（以下「DPA」）は、顧客（本契約で定義される）と「Slide Craft Technologies Pvt Ltd」との間の利用規約（または同等の主題を扱う同様の名称の書面もしくは電子契約）（以下「本契約」）の一部を構成します。 本契約に基づき、処理者は管理者に対してソフトウェアおよびサービス（以下「本サービス」）を提供します。管理者および処理者は、個別に「当事者」と称され、総称して「両当事者」と称されます。

両当事者は、本契約に基づく義務の一環として処理者が行う個人データ（EU GDPRで定義される）の処理に関し、EU GDPR（以下で定義）の要件を遵守するために本DPAを締結します。

本DPAは、本契約に基づく処理者の義務の一環として管理者が提供する個人データの処理に適用されます。

以下に修正される事項を除き、本契約の条項は引き続き完全に効力を有するものとします。

1. 定義

本契約で別途定義されていない用語は、EU GDPRまたは本契約において与えられた意味を有するものとします。以下の用語は、それぞれ以下に割り当てられた意味を有するものとします。

  1. 1.1. 「データ移転」とは、管理者から処理者への個人データの移転、処理者の2つの拠点間での移転、または処理者による再処理者との移転を意味します。
  2. 1.2. 「EU GDPR」とは、個人データの処理および当該データの自由な移動に関する自然人の保護、ならびに指令95/46/EC（一般データ保護規則）を廃止する、2016年4月27日付の欧州議会および理事会の規則（EU）2016/679を指します。
  3. 1.3. 「標準契約条項」とは、十分なレベルのデータ保護を保証しない第三国に設立された処理者への個人データの移転に関する標準契約条項について、2021年6月4日付の欧州委員会実施決定（EU）2021/914に基づき、本契約の別紙1として添付される契約条項を指します。
  4. 1.4. 「管理者」とは、単独で、または他者と共同で個人データの処理の目的および手段を決定する自然人、法人、公的機関、政府機関、またはその他の団体を指します。当該処理の目的および手段が連合法または加盟国法によって決定される場合、管理者またはその指名のための特定の基準は、連合法または加盟国法によって規定される場合があります。
  5. 1.5. 「処理者」 とは、管理者に代わって個人データを処理する自然人、法人、公的機関、政府機関、またはその他の団体を指します。
  6. 1.6. 「再処理者」とは、本サービスの全部または一部を提供するために処理者によって任命され、管理者が提供する個人データを処理する処理者／再委託先を指します。
  1. 2. 本契約の目的
  2. 本DPAは、個人データの処理に関連する処理者のさまざまな義務を定めるものであり、本契約に基づく処理者の義務に限定されるものとします。本契約の規定と本DPAの規定との間に矛盾がある場合は、本DPAの規定が優先されるものとします。
  3. 3. 個人データのカテゴリおよびデータ主体
    1. 処理者による個人データの処理目的は、本契約に基づき、処理者が管理者および／またはそのクライアントに対してサービスを提供することに限定されるものとします。
  5. 4. 処理目的
    1. 管理者は、管理者が決定および規制する範囲内で、処理者が個人データを処理することを許可します。個人データの現在の性質は、本DPAのスケジュール1の付録Iに規定されています。処理者による個人データの処理目的は、本契約に基づき、処理者が管理者および／またはそのクライアントに対してサービスを提供することに限定されるものとします。
  6. 5. 処理期間
    1. 処理者は、管理者が書面で別途合意しない限り、本契約の期間中、個人データを処理するものとします。
  1. 6. データ管理者の義務
    1. 6.1. データ管理者は、合意されたサービスに関連して実施される処理のために、データ処理者へ個人データを提供する一切の正当な権利を有することを保証するものとします。データプライバシー法で義務付けられている範囲において、データ管理者は、適法な処理活動を可能にする適切な法的根拠に基づいて当該個人データをデータ処理者に提供すること（本処理に対するデータ主体の必要な同意の取得を含む）、および当該同意の記録を保持することに責任を負うものとします。データ主体によって同意が撤回された場合、データ管理者はその撤回の事実をデータ処理者に通知する責任を負うものとします。
    2. 6.2. データ管理者は、個人データを収集するすべての自然人に対し、適切なプライバシー通知を提供するものとします。
    3. 6.3. データ管理者は、適用法により個人データの保持が義務付けられている場合を除き、データ管理者または個人データを収集するデータ主体から要求があった場合、データ処理者に対し個人データの消去を要請するものとします。
    4. 6.4. データ管理者は、以下を受領または知得した場合、直ちにデータ処理者に書面で通知するものとします。
      1. 6.4.1. 個人データに関するデータプライバシー法への違反を示す苦情または申し立て。
      2. 6.4.2. 個人データのアクセス、訂正、または削除を求める1名以上の個人からの要請。
      3. 6.4.3. 個人データの収集、処理、使用、または移転に関する1名以上の個人からの問い合わせまたは苦情。および
      4. 6.4.4. 個人データを求める規制当局からの要請、捜索令状、またはその他の法的、規制的、行政的、もしくは政府による手続き
  1. 7. データ処理者の義務
  1. 7.1. 処理者は、個人データの処理に関して、管理者、その関連会社、代理人、または担当者から受け取った書面および記録された指示（電子メールを含む。以下「指示」という）に従うものとします。
  2. 7.2. 本契約および関連文書に記載された処理は、管理者からの指示とみなされるものとします。
  3. 7.3. データ処理者は、データ管理者の要請に応じ、データ主体が自身の権利を行使する場合、またはデータ処理者による個人データの処理に関して適用される規制当局からの要請や指示に対応・遵守するために、合理的な支援を提供するものとします。
  4. 7.4. データ管理者は、本契約で意図される通りに共有個人データが他方の当事者に提供され、利用されることを可能にするため、データ保護法に従い、データ主体から（必要な場合に）同意を取得し、および／または通知を行うものとします。
  5. 7.5. 共有された個人データがデータ処理者の管轄区域外へ移転される場合、移転元は、当該データの受領者が本DPAおよびデータ保護法の下で課される基準と同等以上の基準で個人データを保護する契約上の義務を負うことを保証するものとします。
  6. 7.6. 処理者は、処理に関する指示が適用される法令または規制に違反していると判断した場合、管理者にその旨を通知するものとします。
  7. 7.5. データ処理者は、処理の性質および利用可能な情報を考慮し、GDPRに基づき義務付けられるデータ保護影響評価（DPIA）の実施にあたり、データ管理者を支援するものとします。
  1. 8. データの機密保持
    1. 8.1. 処理者は、個人データを処理するために、以下の要件を満たす人員を使用するものとします。
      1. 8.1.1. 個人データの機密性について周知されていること、および
      2. 8.1.2. 本契約に従ってサービスを遂行すること。
    2. 8.2. 処理者は、個人データにアクセスする者に対し、業界で認められた慣行に従ってデータセキュリティおよびデータプライバシーに関する定期的なトレーニングを実施し、すべての個人データが厳重に機密保持されることを保証するものとします。
    3. 8.3. 処理者は、両当事者が書面で合意した基準の仕様に従い、個人データのセキュリティ、機密性、および完全性を保護するための適切な技術的・組織的措置を維持するものとします。
  1. 9. 監査権
  1. 9.1. 管理者からの合理的な要請があった場合、処理者は、EU一般データ保護規則（GDPR）またはその他の適用法に基づく個人データの処理に関する義務を処理者が遵守していることを証明するために合理的に必要な情報を、管理者が利用できるようにするものとします。
  2. 9.2. 管理者が（自らまたは代理人を通じて）処理者の施設で監査を実施することを希望する場合、管理者は少なくとも15日前までに処理者へ書面で通知するものとします。処理者は、管理者またはその代理人が実施する監査（検査を含む）に関連して、合理的な協力および支援を提供するものとします。
  3. 9.3. 管理者は、当該監査にかかる費用を負担するものとします。
  1. 10. データ移転の仕組み
  1. 欧州経済領域（以下「EEA）は、本データ処理契約（DPA）のスケジュール1に詳述される規定に従ってのみ行われるものとします。本DPAと同時に当該モデル条項が締結されていない場合、本契約の履行のために個人データをEEA域外へ移転する必要があるときは、処理者は当該テンプレートモデル条項の締結を不当に拒否してはならないものとします。
  1. 11. 再処理者
    1. 11.1. 管理者は、処理者がサービスの履行に関連して第三者の再処理者を利用する場合があることを認め、これに同意するものとします。ただし、当該再処理者が、共有された個人データの機密性を確保するための技術的および組織的な措置を講じていることを条件とします。現在処理者が利用し、管理者が承認している再処理者は、本契約のスケジュール1の付録IIIに記載されています。処理者は、付録IIIに記載された再処理者に変更または追加を行う場合、少なくとも30暦日前までに、変更予定の内容を電子メールで顧客に通知するものとします。GDPR第28条(4)に従い、サービスの履行に関連して再処理者が本DPAに基づくデータ保護義務を履行しなかった場合、処理者は引き続き管理者に対して責任を負うものとします。
    2. 11.2. 再処理者による個人データの処理が、GDPRに基づく管理者のデータ保護義務違反を引き起こす可能性が高いと管理者が懸念する場合、管理者は当該再処理者の利用に異議を唱えることができ、処理者と管理者は当該懸念に対処するために誠実に協議するものとします。
  1. 12. 個人データ侵害の通知
    1. 12.1. 処理者は、個人データ侵害（GDPRで定義されるもの）が発生した場合の規定の手順を維持するものとし、自然人の権利および自由に対するリスクが生じる可能性が低い場合を除き、個人データ侵害を認識した場合は遅滞なく管理者に通知するものとします。
    2. 12.2. 処理者は、監督当局および／またはデータ主体への個人データ侵害の通知、当該データ侵害の原因特定、ならびに当該データ侵害を緩和および是正するために合理的に必要とされる商業的に妥当な措置を講じることについて、管理者にすべての合理的な支援を提供するものとします。
    3. 12.3. 処理者による過失の不承認。本DPAに基づく個人データ侵害に関する処理者の通知または対応は、当該データインシデントに関して処理者が何らかの過失または責任を認めたものとは解釈されないものとします。
  1. 13. 個人データの返却および削除
    1. 13.1. 処理者は、本契約の終了または本契約に基づく処理者のサービス停止のいずれか早い時点から少なくとも30日以内に、すべての個人データを管理者に返却するものとします。または、管理者の指示がある場合、処理者は個人データを削除するものとします。処理者は、管理者の通知を受領後、合理的に実行可能な限り速やかに、一般的に使用されている形式、または管理者の裁量により、データが保存されていた現在の形式で当該個人データを返却するものとします。
    2. 13.2. いかなる場合においても、処理者は本契約終了後、合理的に実行可能な限り速やかに、すべてのコピーを含む個人データを削除するものとします。
  1. 14. 技術的および組織的措置
    1. 技術開発の状況および措置の実施コストを考慮し、処理者は、個人データの不正または違法な処理、ならびに個人データの偶発的な紛失、破壊、または損傷に対して、適切な技術的および組織的措置を講じるものとします。これにより、以下の事項に照らして適切なレベルのセキュリティを確保するものとします。(a) 不正または違法な処理、あるいは偶発的な紛失、破壊、または損傷から生じる可能性のある損害、および (b) 保護対象となるデータの性質 [スケジュール1の付録IIに記載された措置を含む]

スケジュール1

付録I

A. 当事者リスト

データ輸出者：

  1. 名称： 顧客（関連する注文書に記載の通り）。

住所：関連する注文書に記載の通り。

担当者の氏名、役職、連絡先： 関連する注文書に記載の通り。

本条項に基づき移転されるデータに関連する活動：契約に従い、Slide Craft Technologies Pvt Ltdが提供するサービスの受領。

署名および日付： 署名および日付は契約書に記載されています。

役割（管理者／処理者）： 管理者

データ輸入者：

  1. 名称： Slide Craft Technologies Pvt Ltd

住所： Cabin no 05 63/3 4th Floor, Arham Towers Off K R Road, Bangalore South, 560082, Karnataka

担当者の氏名、役職、連絡先： Avinash DPO, avinash@deck.in

EU 代表者の連絡先： Rickert Rechtsanwaltsgesellschaft mbH, art-27-rep-slidecraft@rickert.law

本条項に基づき移転されるデータに関連する活動：契約に従った顧客へのサービス提供。

署名および日付：署名および日付は契約書に記載されています。

役割（管理者／処理者）： 処理者。

B. 移転の概要

  1. 個人データが移転されるデータ主体のカテゴリ
  2. 本サービスの顧客認定ユーザー。

移転される個人データのカテゴリ

  1. 氏名、住所、生年月日、年齢、学歴、メールアドレス、性別、画像、職業、言語、電話番号、関連人物、関連URL、ユーザーID、ユーザー名。

移転される機微データ（該当する場合）、およびデータの性質と関連するリスクを十分に考慮して適用される制限または保護措置（例：厳格な目的の限定、アクセス制限（専門的なトレーニングを受けたスタッフのみへのアクセス制限を含む）、データへのアクセス記録の保持、再移転の制限、または追加のセキュリティ対策など）。

  1. 機微データは収集されません。

移転の頻度（例：データが単発的に移転されるか、継続的に移転されるか）。

  1. 継続的

処理の性質
処理の性質については、契約書および付属の注文書に詳細が記載されています。

データ移転およびその後の処理の目的

移転の目的は、契約書および付属の注文書に詳細が記載されているサービスを円滑に遂行するためです。

個人データが保持される期間、またはそれが不可能な場合はその期間を決定するために使用される基準

顧客個人データが保持される期間については、契約書、付録、および付属の注文書に詳細が記載されています。

（サブ）処理者への移転については、処理の対象事項、性質、および期間も指定してください。

  1. 処理の対象事項、性質、および期間については、契約書、付録、および付属の注文書に詳細が記載されています。

C. 管轄監督当局

データ輸出者はEEA加盟国に拠点を置いています。

管轄監督当局は、EU標準契約条項（SCC）の第13条の適用により決定されます。

附属書II

技術的および組織的対策（データのセキュリティを確保するための技術的および組織的対策を含む）

データ処理者／データ輸入者としての Slide Craft Technologies Pvt Ltd が、処理の性質、範囲、文脈、目的、および自然人の権利と自由に対するリスクを考慮し、適切なレベルのセキュリティを確保するために実施した技術的および組織的なセキュリティ対策の概要。

  • セキュリティ
  • セキュリティ管理システム.
    • 組織. Slide Craft Technologies Pvt Ltd は、情報セキュリティプログラムの策定、導入、および継続的な維持管理を担当する有資格のセキュリティ担当者を任命しています。
    • ポリシー. 経営陣は、顧客の個人データのセキュリティ、可用性、完全性、および機密性を確保するため、すべてのセキュリティ関連ポリシーをレビューし、支援しています。これらのポリシーは少なくとも年1回更新されます。
    • 評価. Slide Craft Technologies Pvt Ltd は、顧客の個人データを含むすべてのシステムについて、少なくとも年1回、信頼できる独立した第三者によるリスク評価を実施しています。
    • リスク対応. Slide Craft Technologies Pvt Ltd は、お客様の個人データのセキュリティ、完全性、または機密性に対する潜在的な脅威を特定し保護するために、ペネトレーションテスト、脆弱性管理、およびパッチ管理を含む、正式かつ効果的なリスク対応プログラムを維持しています。
    • ベンダー管理. Slide Craft Technologies Pvt Ltd は、効果的なベンダー管理プログラムを維持しています
    • インシデント管理. Slide Craft Technologies Pvt Ltd は、根本原因の特定および是正措置の実施を含め、セキュリティインシデントを定期的にレビューしています。
    • 基準. Slide Craft Technologies Pvt Ltd は、ISO/IEC 27001:2022規格の要件に準拠した情報セキュリティマネジメントシステムを運用しています。
  • 人的セキュリティ
    • Slide Craft Technologies Pvt Ltd 従業員は、機密保持、企業倫理、適切な利用、および専門的基準に関する会社のガイドラインに従って行動することが求められます。 Slide Craft Technologies Pvt Ltd は、本契約に基づきクライアントデータにアクセスする従業員に対し、法的に許容される範囲内で、適用される現地の労働法、慣習、および法令に従い、職歴や犯罪歴を含む妥当かつ適切な身元調査を実施します。
    • 従業員は採用時に機密保持契約を締結し、常にお客様の個人データを保護することが義務付けられています。従業員は、以下の内容を受領し、遵守することを確認しなければなりません。 Slide Craft Technologies Pvt Ltdの機密保持、プライバシー、およびセキュリティポリシー。担当者には、情報セキュリティプログラムを実装し、遵守する方法に関するプライバシーおよびセキュリティトレーニングが提供されます。顧客個人データを取り扱う担当者は、自身の役割に応じた追加要件（認定資格など）を完了することが義務付けられています。 Slide Craft Technologies Pvt Ltd の担当者は、許可なく顧客個人データを処理することはありません。
  • アクセス制御
    • アクセス管理. Slide Craft Technologies Pvt Ltd は、顧客個人データへのアクセス権を持つすべての担当者に対するリクエスト、レビュー、承認、およびプロビジョニングのための正式なアクセス管理プロセスを維持しています。これは、顧客個人データ、および顧客個人データを保存、アクセス、または送信するシステムへのアクセスを、必要性のある正当な権限を持つ担当者に限定するためです。アクセス権のレビューは定期的に実施され、顧客個人データへのアクセス権を持つ担当者が引き続きその権限を必要としているかを確認しています。
    • インフラストラクチャセキュリティ担当者. Slide Craft Technologies Pvt Ltd は、その人員に対するセキュリティポリシーを策定・維持しており、人員向けトレーニングパッケージの一環としてセキュリティトレーニングを義務付けています。 Slide Craft Technologies Pvt Ltdのインフラストラクチャセキュリティ担当者は、以下の継続的な監視を担当します。 Slide Craft Technologies Pvt Ltd のセキュリティインフラストラクチャ、本サービスのレビュー、およびセキュリティインシデントへの対応。
    • アクセス制御および権限管理. Slide Craft Technologies Pvt Ltdの管理者およびエンドユーザーは、本サービスを利用するために、多要素認証システムまたはシングルサインオンシステムを通じて認証を行う必要があります。
    • 社内データアクセスプロセスおよびポリシー – アクセスポリシー。 Slide Craft Technologies Pvt Ltdの社内データアクセスプロセスおよびポリシーは、顧客の個人データに対する不正なアクセス、使用、開示、改ざん、または破壊から保護するように設計されています。 Slide Craft Technologies Pvt Ltd は、「最小権限の原則」および「必要最小限の権限（need to know）」に基づき、許可された担当者のみがアクセス権を持つデータにアクセスできるようにシステムを設計しており、権限のない第三者によるアクセスを防止しています。 Slide Craft Technologies Pvt Ltd は、不正なアカウント使用の可能性を最小限に抑えるため、一意のユーザーID、強力なパスワード、二要素認証、および厳重に監視されたアクセスリストの使用を義務付けています。アクセス権の付与または変更は、許可された担当者の職務責任、業務遂行に必要な要件、および必要最小限の権限（need to know）に基づいて行われ、かつ以下の規定に従う必要があります。 Slide Craft Technologies Pvt Ltd の社内データアクセスに関するポリシーとトレーニング。承認は、すべての変更の監査記録を保持するワークフローツールによって管理されています。システムへのアクセスはログに記録され、説明責任を果たすための監査証跡が作成されます。認証にパスワードが使用される場合（ワークステーションへのログインなど）、パスワードポリシーは業界標準の慣行に従います。これらの基準には、パスワードの複雑性、有効期限、ロックアウト、再利用の制限、および一定期間操作がない場合の再認証などが含まれます。
  • データセンターおよびネットワークセキュリティ
    • データセンター。
      • インフラストラクチャ。 Slide Craft Technologies Pvt Ltd は、データセンターとしてAWSを利用しています。
      • 回復力。 AWSではマルチアベイラビリティゾーンが有効になっており、 Slide Craft Technologies Pvt Ltd は、回復力を確保するために定期的なバックアップ復元テストを実施しています。
      • サーバーオペレーティングシステム。Slide Craft Technologies Pvt Ltd のサーバーはアプリケーション環境に合わせてカスタマイズされており、サービスのセキュリティを確保するためにハードニング（堅牢化）が施されています。 Slide Craft Technologies Pvt Ltd は、サービス提供に使用されるコードのセキュリティを向上させ、本番環境における製品のセキュリティを強化するために、コードレビュープロセスを採用しています。
      • 災害復旧。 Slide Craft Technologies Pvt Ltd は、偶発的な破壊や損失から保護するため、複数のシステム間でデータを複製しています。 Slide Craft Technologies Pvt Ltd は、災害復旧プログラムを設計し、定期的な計画策定とテストを実施しています。
      • セキュリティログ。Slide Craft Technologies Pvt Ltd のシステムでは、セキュリティ監査をサポートし、システムへの実際の攻撃や侵入、またはその試みを監視・検知するために、各システムログ機能へのログ記録が有効になっています。 Slide Craft Technologies Pvt Ltd のシステム。
      • 脆弱性管理。Slide Craft Technologies Pvt Ltd は、本番環境および開発環境のすべてのインフラストラクチャコンポーネントに対して定期的な脆弱性スキャンを実施しています。脆弱性はリスクに基づいて修正され、すべてのコンポーネントに対する「緊急」「高」「中」レベルのセキュリティパッチは、商業的に可能な限り迅速に適用されます。
  • ネットワークおよび転送
    • データ転送本番環境における通信は、インターネット標準プロトコルを介して行われます。
    • 外部攻撃対象領域. AWSのプロダクション環境には、仮想ファイアウォールと同等のAWSセキュリティグループが導入されています。
    • インシデント対応. Slide Craft Technologies Pvt Ltd は、詳細なセキュリティインシデントのエスカレーション手順を含む、インシデント管理ポリシーおよび手順を維持しています。 Slide Craft Technologies Pvt Ltd は、セキュリティインシデントを検知するためにさまざまな通信チャネルを監視しており、 Slide Craft Technologies Pvt Ltdのセキュリティ担当者は、疑わしいインシデントや既知のインシデントに対して迅速に対応し、セキュリティインシデントによる悪影響を軽減するとともに、その内容と結果を記録します。
    • 暗号化技術. Slide Craft Technologies Pvt Ltd は、転送中のデータに対してHTTPS暗号化（SSLまたはTLSとも呼ばれます）を提供しています。
  • データの保存、分離、認証、および破棄。Slide Craft Technologies Pvt Ltd は、AWSサーバー上のマルチテナント環境にデータを保存しています。データ、サービスデータベース、およびファイルシステムアーキテクチャは、AWSの複数のアベイラビリティーゾーン間で複製されています。 Slide Craft Technologies Pvt Ltd は、顧客ごとにデータを論理的に分離しています。すべてのサービスにおいて共通の認証システムを使用することで、データセキュリティの均一性を高めています。 Slide Craft Technologies Pvt Ltd は、一連のデータ破棄プロセスを通じて、クライアントデータの安全な廃棄を確実に実施します。

別紙 III

サブプロセッサー一覧

管理者は、以下のサブプロセッサーの使用を承認しています。

‍

再処理者の名称 処理の内容 他の処理者の所在地
Amazon Web Services 本番環境およびすべての顧客データ（文書データ等）のホスティング 米国
Slack メッセージングのため 米国
Webflow ウェブサイトのため 米国
Stripe 決済ゲートウェイ 米国
Adobe デザインのため 米国