データ処理契約

1. 適用範囲および目的

本データ処理契約（以下「本 DPA」といいます）は、サービスの提供に関して UnifAPI, Inc.（以下「処理者」といいます）と顧客（以下「管理者」といいます）との間の契約の一部を構成します。本 DPA は、処理者が管理者に代わって個人データを処理する際の条件を定めるものです。

2. 定義

• 個人データ： 識別された、または識別され得る自然人に関するあらゆる情報
• 処理： 収集、保存、使用、削除を含む、個人データに対して行われるあらゆる操作
• データ主体： 当該個人データが関連する個人
• 副処理者： 個人データを処理するために処理者が起用する第三者

3. 処理者の義務

処理者は、以下を行うものとします。

• 管理者からの文書化された指示にのみ基づいて個人データを処理すること
• 個人データを処理することを許可された者が守秘義務を負うことを確保すること
• 適切な技術的および組織的なセキュリティ対策を実施すること
• データ主体からの請求への対応において管理者を支援すること
• サービスの終了時にすべての個人データを削除または返却すること
• 遵守を証明するために必要なすべての情報を利用可能にすること

4. セキュリティ対策

処理者は、以下のセキュリティ対策を実施します。

• 転送中および保存中の個人データの暗号化
• セキュリティ対策の定期的なテストおよび評価
• アクセス制御および認証の仕組み
• インシデントの検知および対応手順
• 定期的なバックアップおよび災害復旧能力
• 従業員に対するセキュリティ意識向上トレーニング

5. 副処理の委託

処理者は、管理者からの事前の書面による承認なしに副処理者を起用してはなりません。副処理者を起用する場合は、以下のとおりとします。

• 処理者は、同等のデータ保護義務を課すものとします
• 処理者は、副処理者の履行について引き続き全面的に責任を負います
• 副処理者の変更を予定している場合は、管理者に通知するものとします

6. データの移転

欧州経済領域（EEA）外の国への個人データの移転は、以下を含む適切な保護措置の対象となるものとします。

• 標準契約条項
• 拘束的企業準則
• 関連当局による十分性認定

7. データ侵害の通知

処理者は、個人データの侵害を認識した場合、不当な遅延なく（かつ遅くとも 48 時間以内に）管理者に通知するものとします。通知には以下を含めるものとします。

• 侵害の性質
• 影響を受けるデータ主体のカテゴリおよびおおよその数
• 侵害により想定される結果
• 侵害に対処するために講じた、または提案する措置

8. 監査権

管理者は、処理者による本 DPA の遵守を検証するために、監査および検査を実施する権利を有します。処理者は全面的に協力し、関連するすべての施設、設備、および記録へのアクセスを提供するものとします。

9. 期間および終了

本 DPA は、サービス契約の期間中、有効に存続するものとします。終了時には、処理者は管理者の選択に従い、すべての個人データを削除または返却し、その実施を証明するものとします。

10. 責任

本 DPA における各当事者の責任は、主たるサービス契約に定める制限の対象となります。本 DPA のいかなる規定も、データ保護法の違反に対するいずれかの当事者の責任を制限するものではありません。