データ処理補遺

1. 1. 定義

「データ保護法」とは、本DPAに基づく個人データの処理に適用されるすべての法律をいい、EU一般データ保護規則（2016/679）（「EU GDPR」）、英国GDPRおよび2018年データ保護法、スイス連邦データ保護法、ならびに改正後のCCPAを含む米国州プライバシー法を含みます。

「個人データ」とは、利用規約に基づきVERAが顧客に代わって処理する個人データ、個人情報、またはデータ保護法上これらに相当するものをいいます。「管理者」、「処理者」、「データ主体」、「処理」、「個人データ侵害」および「監督機関」は、EU GDPRにおいて定められた意味を有します。

「サブプロセッサー」とは、個人データを処理するためにVERAが委託する第三者をいいます。「標準契約条項」または「SCC」とは、欧州委員会実施決定（EU）2021/914に附属する条項をいいます。「英国補遺」とは、2018年データ保護法第119A条に基づき英国情報コミッショナーが発行した国際データ移転補遺をいいます。

2. 2. 役割と範囲

お客様が自身の顧客、見込み客、連絡先、従業員、および請負業者について本サービスに提出する個人データに関して、お客様は管理者であり、VERAは処理者です。

VERAは、お客様自身のアカウントデータ、請求データ、サポートに関するやり取り、および製品利用データに関しては、独立した管理者(Controller)となります。当該処理には、本DPAではなくプライバシーポリシーが適用されます。

処理の対象事項は、本サービスの提供です。処理の期間は、利用規約の有効期間に、第10条に基づく削除までの期間を加えた期間です。処理の性質および目的は、お客様が事業を運営できるよう、個人データをホスティング、保存、整理し、それをもとにコンテンツを生成し、送信し、表示することです。

• データ主体の区分。 お客様の顧客、見込み客およびリード、顧客組織の担当者、お客様の従業員、技術者および作業員、ならびにお客様が送信するメッセージの受信者。
• 個人データの区分。 氏名、メールアドレス、電話番号、郵便上の住所およびサービス提供先住所、事業および案件の詳細、予約日時、通信内容(SMSおよびMMSのメッセージ本文とメディアを含む)、メッセージ送信への同意およびオプトアウトの記録、見積もりおよび請求書の内容、経費記録および領収書の画像、走行距離記録およびその証拠画像、施設および作業現場の写真(偶発的に人物が写り込む場合があります)、承諾された見積もりで取得された署名、公開のために提出されたソーシャルコンテンツ、ならびにお客様が入力を選択したその他のデータ。
• 正確な位置情報と、その対象者。 お客様またはその従業員等が走行距離の記録を利用する場合、本サービスは、記録された走行中に取得された正確な位置情報、およびそこから導き出される出発地と目的地を処理します。これは特定の個人（通常はお客様自身の従業員）に関する機微な個人データであり、お客様がその管理者となります。お客様は、適法な根拠を有すること、および従業員等に通知すること（お客様に適用される法律が求める労使協議会または従業員協議を含みます）について責任を負います。本サービスは、本人が自ら開始した走行中にのみ位置情報を収集し、代替手段として走行距離の手動入力を提供し、リアルタイム追跡や監視の画面は一切提供せず、生の位置データの保存期間（保存を無効にすることを含みます）をお客様が設定できるようにしています。
• 特別な種類のデータ。 本サービスは、第9条に定める特別な種類のデータ、および刑事上の有罪判決に関するデータを処理するようには設計されていません。お客様はこれらを提出してはなりません。それにもかかわらずお客様が提出した場合、お客様は自己の責任においてこれを行うものとし、適法な根拠を有することを保証するものとします。

3. 3. 文書化された指示に基づく処理

VERAは、国際移転に関するものを含め、お客様の文書化された指示に基づいてのみ個人データを処理します。ただし、VERAが従うべき法律により別段の定めがある場合はこの限りではなく、その場合、VERAは処理の前にお客様にその旨を通知します。ただし、当該法律が重要な公共の利益を理由としてその通知を禁止している場合を除きます。

利用規約、本DPA、お客様が本サービスで行う設定、およびお客様が本サービスで実行または承認する操作は、総体としてお客様の文書化された指示を構成します。追加の指示には合意が必要であり、本サービスの通常の機能の範囲外の作業を要する場合は、料金が発生することがあります。

VERAは、指示がデータ保護法に違反すると判断した場合、お客様にその旨を通知します。

VERAは、CCPAの要求に従い、個人データを販売せず、クロスコンテキスト行動広告のために共有せず、本サービスの履行以外のいかなる目的でも保持、使用、開示しません。VERAは、これらの制限を理解し、遵守することを証明します。

4. 4. 機密保持

VERAは、個人データの処理を許可された担当者が適切な守秘義務を負うこと、および当該担当者にはその職務の遂行に必要な場合に限りアクセス権が付与されることを確保します。

本番データへのアクセスは、本サービスの運営およびサポートに必要な担当者に限定されています。VERAの運営担当者が行った管理操作は、追記専用の管理監査ログに記録されます。

5. 5. セキュリティ対策

VERAは、技術水準、実施費用、ならびに処理の性質、範囲、状況および目的を考慮し、個人データを保護するための適切な技術的および組織的措置を講じます。実施している措置の詳細はセキュリティポリシーに記載されており、その概要は以下のとおりです：

• 通信時の暗号化。 全通信でHTTPSを使用し、本番環境ではHTTPリクエストをHTTPSにリダイレクトしています。また、HTTP Strict Transport Securityを2年間のmax-ageとincludeSubDomains付きで指定しています。
• 保存時の認証情報の暗号化。 サードパーティのコネクタトークンおよびAPIキーは、AES-256-GCMで暗号化されます。暗号化には、本番環境での設定が必須であり、セッション署名用シークレットとは別に管理される専用キーを使用します。
• 認証。 ワークファクター12のbcryptによるパスワードのハッシュ化、パスワードでのサインイン前の必須メール認証、1回限り有効で有効期限付きのリセットトークン、発行済みのすべてのセッションを一括で無効化するセッション失効カウンター。
• アクセス制御。 すべてのクエリは、認証済みアカウントの範囲に限定されます。管理者アクセスは、環境内で明示的に設定されたオペレーター許可リストに限定されています。
• アプリケーションの堅牢化。 Content Security Policy、フレーム埋め込みの拒否、MIMEスニッフィングの無効化、制限的なリファラーポリシー、camera=(), microphone=(self), geolocation=(self)のPermissions-Policy（カメラを完全にブロックし、マイクと位置情報をVERA自身のページに限定することで、埋め込まれた第三者がそれらを要求できないようにします）、認証エンドポイントに対する永続的なレート制限、そしてサーバー側のフェッチに対するプライベートおよび内部ネットワーク範囲の検証。
• 外部イベントの完全性。 受信Webhookは各プロバイダーの署名方式で検証され、イベントIDで重複排除されるため、再送された配信が二重に適用されることはありません。
• 監査可能性。 アカウント内のすべての提案、承認、実行、セキュリティイベントを記録する、追記専用の監査証跡。
• 設定の安全性。 本番環境でデフォルトのセッションシークレットが使われている場合や暗号化キーがない場合に、起動を拒否する起動時検証。

6. 6. 再委託先

お客様は、VERAがサブプロセッサーを起用することについて、VERAに一般的な承認を与えます。最新の一覧は、各サブプロセッサーの役割と所在地とともにサブプロセッサー一覧のページに掲載されており、同ページは本DPAの一部を構成します。

VERAは、サブプロセッサーを追加または変更する前に、当該ページを更新し、アカウント保有者に通知することにより、少なくとも30日前までにお客様に通知します。お客様は、当該期間内に、合理的なデータ保護上の理由に基づき異議を申し立てることができます。当社が当該異議を解決できない場合、お客様は本サービスのうち影響を受ける部分を解約し、契約期間の未使用残存分に相当する前払い料金について日割りでの返金を受けることができます。

VERAは、各サブプロセッサーに対し、本DPAに定めるものと同等以上の保護水準を有するデータ保護義務を課し、サブプロセッサーの履行について顧客に対して全面的な責任を負います。

7. 7. 国際移転

VERAは米国において個人データを処理します。お客様が、EU GDPR、英国GDPR、またはスイス法の適用を受ける個人データをVERAに移転する場合、両当事者は、標準契約条項が参照により本DPAに組み込まれ、以下のとおり適用されることに合意します。

モジュール2（管理者から処理者へ）は、お客様が管理者である場合に適用されます。モジュール3（処理者から処理者へ）は、お客様自身が処理者である場合に適用されます。第7条については、ドッキング条項が適用されます。第9条については、オプション2（一般的な書面による承認）が、セクション6に定める30日間の通知期間とともに適用されます。第11条については、任意の独立紛争解決機関は選択されません。第17条については、本条項はアイルランド法に準拠します。第18条(b)については、紛争はアイルランドの裁判所において解決されます。付属書Iは本DPAのセクション2およびサブプロセッサーリストにより記入され、付属書IIはセクション5により記入されます。

英国GDPRの対象となる移転については、英国補遺がSCCに適用され、表1から表3は上記のとおり記入されるものとし、表4については、いずれの当事者も第19条に定めるとおりに英国補遺を終了することはできません。スイス法の対象となる移転については、GDPRへの言及はスイス連邦データ保護法（FADP）への言及と読み替えるものとし、管轄当局はスイス連邦データ保護・情報コミッショナーとし、本条項は法人のデータも保護します。

8. 8. お客様への支援

VERAは、処理の性質を考慮し、可能な限り、適切な技術的および組織的措置により、GDPR第III章および同等の法令に基づくデータ主体からの請求に対応する顧客の義務の履行について、顧客を支援します。

実際には、その機能の大部分は本サービス自体が提供しています。お客様はデータ主体に関する記録を直接検索、修正、エクスポート、削除できます。リクエストがお客様ではなくVERAに届いた場合、VERAはその内容に実質的な回答は行わず、データ主体にお客様へ連絡するよう伝え、不当な遅滞なくお客様に通知します。

VERAは、VERAが入手可能な情報を考慮した上で、データ保護影響評価および監督機関との事前協議を含め、お客様が第32条から第36条を遵守できるよう支援します。

9. 9. 個人データ侵害

VERAは、本DPAに基づき処理される個人データに影響を及ぼす個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も72時間以内に顧客に通知します。

通知には、侵害の性質、判明している範囲での関係するデータ主体および記録の種類とおおよその数、想定される影響、講じた措置または講じる予定の措置、および詳細情報の問い合わせ窓口を記載します。全体像がすぐに把握できない場合、VERAはさらなる不当な遅延なく、段階的に情報を提供します。

VERAによる通知は、過失または責任を認めるものではありません。監督機関およびデータ主体への通知は、管理者としてのお客様の責任です。VERAは合理的な支援を提供します。

10. 10. 返還および削除

お客様は、本サービス内からいつでもデータをエクスポートし、アカウントを削除することができます。これにより、アカウント削除ポリシーに記載のとおり、個人データは稼働中のデータベースから完全に削除されます。

利用規約の終了または期間満了時には、VERAは、顧客の選択に従い、個人データを削除または返還し、既存の複製を削除します。ただし、VERAに適用される法令により継続的な保存が求められる場合はこの限りではありません。顧客が選択を行わない場合、VERAはアカウントが存在する間はデータを保持し、アカウントが削除された時点でデータを削除します。

アカウント削除後も残る限定的な記録は、アカウント削除ポリシーに明記されています。具体的には、当社の決済処理業者が保持する請求記録、オペレーターの責任追跡ログ、不正利用防止用のカウンター、Webhookのリプレイ識別子、アカウントではなくハッシュをキーとするジオコーディングキャッシュ、他のお客様のビジネス内における雇用記録（消去ではなく終了扱い）、および独自のサイクルで期限切れとなるインフラログとバックアップ（VERAの日次データベースバックアップは30日、プロバイダーが保持するスナップショットはプロバイダーのスケジュールに従います）です。

11. 11. 監査権

VERAは、第28条の遵守を証明するために必要な情報を顧客に提供し、顧客または顧客が委任した監査人が実施する監査（検査を含む）を受け入れ、これに協力します。

VERAは、監査の要求に対して、まず本DPA、セキュリティポリシー、サブプロセッサーリスト、および合理的なセキュリティ質問票への書面による回答を提供することで対応します。VERAは現在、監査の代わりに提供できるSOC 2またはISO 27001のレポートを保有していません。

それがコンプライアンスを証明するうえで真に不十分である場合、顧客は、12か月ごとに1回を上限として、少なくとも30日前までの書面による通知をもって、営業時間内に、守秘義務に従い、VERAの業務を不当に妨げることなく、かつ監査に必要な範囲を超えて他の顧客のデータまたはVERAのマルチテナント基盤の内部にアクセスすることなく、オンサイトまたはリモートでの監査を実施することができます。顧客は自らの費用およびVERAの合理的な費用を負担するものとします。監督機関は、法律の定めに従い、いつでも監査を行うことができます。

12. 12. 責任および期間

本DPAに基づく各当事者の責任は、データ保護法で認められる範囲において、利用規約に定める責任の制限および除外に従います。本DPAのいかなる規定も、標準契約条項に基づくデータ主体の権利を制限するものではありません。

本DPAは、顧客が利用規約に同意した時点で発効し、VERAが顧客に代わって個人データを処理しなくなるまで存続します。機密保持、削除、および責任に関する条項は、その後も存続します。

当社の副署入りの写しをご希望の場合、または本DPAに関するご質問がある場合は、legal@meetmyvera.com までご連絡ください。