この翻訳は便宜上提供するものです。内容に相違がある場合は、英語版が優先します。

データ処理契約

本データ処理契約（以下「DPA」）は、お客様（以下「管理者」）と、Caliradi.ai の運営者である Caliradi LLC（以下「処理者」）との間の契約の一部を構成し、当社が Caliradi のサービスを提供するにあたりお客様に代わって個人データを処理する場合に適用されます。

1. 定義

本書で定義されていない定義語は、一般データ保護規則（GDPR）（Regulation (EU) 2016/679）において与えられた意味を有します。

• 管理者 — 処理の目的および手段を決定する Caliradi の顧客であるお客様。
• 処理者 — お客様に代わって個人データを処理する Caliradi LLC。
• データ主体 — 個人データが処理される、お客様のエンドカスタマー、従業員または連絡先。
• 再処理者 — 個人データを処理するために当社が起用する第三者（第7条をご覧ください）。

2. 範囲および対象事項

当社は、お客様に Caliradi のサービスを提供するためにのみ、かつお客様の指示に従ってのみ、個人データを処理します。処理の期間は、お客様のプランの期間に、法律により求められる保存期間を加えた期間です。

3. 個人データおよびデータ主体のカテゴリー

4. 処理者の義務

当社は、次のことを行います。

• 国際移転に関するものを含め、お客様の文書化された指示に基づいてのみ個人データを処理すること。
• 個人データへのアクセスを許可された人員が守秘義務を負うようにすること。
• 適切な技術的および組織的セキュリティ措置を実施すること（第6条）。
• データ主体からの請求（アクセス、削除、データポータビリティ等）への対応についてお客様を支援すること。
• データ保護影響評価および監督機関との事前協議についてお客様を支援すること。
• 個人データ侵害について、不当な遅滞なく、かつ実行可能な場合は72時間以内にお客様に通知すること。
• 法律により保存が求められる場合を除き、サービスの終了時に個人データを返却または削除すること。
• 遵守を証明するために必要なすべての情報を提供し、監査を受け入れること（第8条）。

5. 管理者の義務

お客様は、次のことを行います。

• 適用される法律を遵守して個人データを処理すること。
• 指示した処理について有効な法的根拠（同意、契約、正当な利益等）を有すること。
• 処理について正確かつ適法な指示を行うこと。
• データ主体に対し、その者のデータがどのように処理されるかを、関連する場合には本 DPA を含めて通知すること。

6. セキュリティ措置

当社は、次の技術的および組織的措置を実施し、維持します。

• 暗号化。転送時は TLS 1.2+、保存時は AES-256。
• アクセス制御。ロールベースのアクセス、本番システムに対する MFA、最小権限の原則。
• ネットワークセキュリティ。Cloudflare WAF、DDoS 防御、管理者アクセスの IP 許可リスト。
• 監視。監査ログ、侵入検知、自動異常アラート。
• バックアップ。暗号化された日次バックアップ、30日間の保持、四半期ごとの復元テスト。
• 人員。経歴確認、署名済みの秘密保持契約、必須のセキュリティ研修。
• ベンダー管理。各再処理者についてセキュリティ審査を実施し、DPA を締結。
• インシデント対応。文書化された対応手順書、24/7 のオンコール体制、事後検証レビュー。
• コンプライアンス。SOC-2 Type II 認証の取得に向けて取り組み中。

7. 再処理者

お客様は、当社が次の再処理者を、記載の目的のために起用することを承認します。

当社は、再処理者を追加または変更する少なくとも14日前までにお客様に通知します。お客様は、データ保護上の合理的な理由に基づき異議を述べることができます。解決に至らない場合、お客様は本サービスのうち影響を受ける部分を終了することができます。

8. 監査

お客様は、少なくとも30日前までの書面による通知をもって、年に1回、当社の本 DPA の遵守状況を監査することができます。当社は、最近の第三者監査報告書（例：SOC-2）を提供することにより、監査に関する義務を果たすことができます。監査は守秘義務を尊重し、業務を妨げないものでなければなりません。

9. 国際移転

個人データが欧州経済領域、英国またはスイスの域外に移転される場合、当社は、該当する場合に応じて、EU 標準契約条項（SCC、モジュール2 — 管理者から処理者へ）および英国の国際データ移転補遺に依拠します。これらは参照により本 DPA に組み込まれます。

10. データ主体からの請求

データ主体が自らの権利を行使するための請求をもって当社に直接連絡してきた場合、当社は当該データ主体をお客様に案内し、お客様に通知します。当社は、法定の期限内にお客様が対応できるよう、合理的な範囲で支援します。

11. 責任

当社の利用規約の責任上限および補償に関する規定は、強行法規であるデータ保護法が別段の定めをする場合を除き、本 DPA に基づいて生じる請求に適用されます。

12. 期間および終了

本 DPA は、当社がお客様に代わって個人データを処理する限り存続します。存続することが意図された規定（守秘義務、監査、責任、データの返却／削除）は、終了後も存続します。

13. 連絡先