データ処理補足契約（DPA）
お客様の個人データの処理、保管、保護に関する詳細情報
発効日
2025年1月1日
DPAとは？
データ処理補足契約（DPA）は、GDPRおよびその他のプライバシー規制を遵守して、当社がお客様の個人データをどのように取り扱うかを定めた法的な契約です。
データ処理アクティビティ
個人データの処理方法
復処理者（サブプロセッサー）
データ処理に使用するサードパーティ製サービス
コンプライアンスと認証
準拠している業界標準
GDPR
EUデータ保護規則への準拠
CCPA
カリフォルニア州プライバシー法への準拠
ISO 27001
情報セキュリティ管理
SOC 2 Type II
サービス・オーガニゼーション・コントロール
本DPAにおけるお客様の権利
個人データへの常時アクセス権
データの訂正または削除を要求する権利
データポータビリティおよびエクスポートの権利
監督機関への異議申し立てを行う権利
データ処理補足契約（DPA）
GDPR準拠、セキュリティ対策、国外へのデータ転送を網羅した、法人のお客様向けの包括的なデータ処理契約です。
データ処理契約の概要
本データ処理補足契約（DPA）はマスターサービス契約の一部を構成し、適用されるプライバシー法に準拠した個人データの処理を規定します。
目的と適用範囲
- データ処理における役割と責任の明確化
- GDPRおよびその他のプライバシー法への確実な準拠
- セキュリティおよび技術的保護措置の確立
- 国外へのデータ転送に関する規定
主な規定
- データ管理者（コントローラー）および処理者（プロセッサー）の定義
- 技術的・組織的安全管理措置
- 復処理者（サブプロセッサー）の管理と承認手順
- 越境データ移転のメカニズム
エンタープライズ基準のコンプライアンス
当社のDPAは最高水準のエンタープライズ要件を満たしており、大手プライバシー専門法律事務所によるレビューを受け、GDPR、CCPA、PIPEDAなど世界各国の法規制への包括的な適合を確保しています。
データ処理アクティビティ
法人のお客様に代わって実施されるすべての個人データ処理アクティビティに関する詳細情報です。
顧客管理
目的: アカウント作成、本人認証、顧客関係管理（CRM）
データ項目:
- 氏名
- メールアドレス
- 電話番号
- 会社情報
- アカウント設定
安全管理措置:
- 保存データの暗号化
- アクセス制御
- 定期的なセキュリティ監査
- 多要素認証（MFA）の義務付け
処理の詳細
サービス提供
目的: デジタルプロダクトの提供、テクニカルサポート、サービスの履行
データ項目:
- 利用状況データ
- 技術ログ
- サポートのやり取り
- パフォーマンス指標
安全管理措置:
- エンドツーエンドの暗号化
- 安全なデータ転送
- 自動バックアップ
- インシデント対応手順
処理の詳細
分析・改善
目的: サービスの最適化、パフォーマンス監視、ユーザー体験の向上
データ項目:
- 匿名化された利用パターン
- パフォーマンス指標
- 機能の利用統計
安全管理措置:
- データの匿名化
- 集計レポートのみ
- 限定的なアクセス制御
処理の詳細
マーケティング・コミュニケーション
目的: マーケティング連絡、ニュースレター、プロモーション活動
データ項目:
- メールアドレス
- 連絡に関する希望設定
- エンゲージメント指標
安全管理措置:
- 同意管理システム
- 安全なメール配信プラットフォーム
- 定期的な同意の確認・見直し
処理の詳細
副処理者および第三者
すべての副処理者の役割、所在地、セキュリティ対策の包括的な一覧です。
Amazon Web Services
クラウドホスティングおよびインフラストラクチャ
処理されるデータの種類:
セキュリティ対策:
- AWS BAA契約
- SOC 2 Type II認証
- データレジデンシー制御
Stripe Inc.
決済処理
処理されるデータの種類:
セキュリティ対策:
- PCI DSS レベル1
- 標準契約条項（SCC）
- トークン化
Twilio SendGrid
メール配信サービス
処理されるデータの種類:
セキュリティ対策:
- 標準契約条項（SCC）
- ISO 27001認証
- データ暗号化
Google LLC
ウェブサイト分析
処理されるデータの種類:
セキュリティ対策:
- Google Analytics 4 プライバシー管理機能
- データ保持期間の管理
- IPアドレスの匿名化
副処理者の更新について
副処理者のリストに変更がある場合は、30日前までに事前通知いたします。エンタープライズプランのお客様には新しい副処理者に対して異議を申し立てる権利があり、異議が解決されない場合は契約を終了することができます。
コンプライアンスフレームワーク
世界のプライバシーおよびセキュリティ規制に対応するための包括的な取り組みです。
GDPR（一般データ保護規則）
個人データの処理と保護を規定するEUの規則
遵守措置:
- プライバシー・バイ・デザインの実装
- データ主体の権利行使への対応
- データ侵害通知手順の策定
- 定期的なコンプライアンス監査
CCPA（カリフォルニア州消費者プライバシー法）
消費者にプライバシー権を付与するカリフォルニア州法
遵守措置:
- 消費者権利の実装
- プライバシー通知要件の遵守
- オプトアウト機能の提供
- データインベントリの管理・維持
PIPEDA（個人情報保護および電子文書法）
民間部門を対象とするカナダの連邦プライバシー法
遵守措置:
- 同意管理
- 利用目的の制限
- アカウンタビリティ（説明責任）措置
- 個人による情報アクセス権の保障
ISO 27001
情報セキュリティマネジメントに関する国際規格
遵守措置:
- 情報セキュリティマネジメントシステム（ISMS）
- リスクアセスメント手順
- セキュリティ管理策の実装
- 継続的な改善プロセス
エンタープライズ法務・コンプライアンスチーム
弊社のエンタープライズ法務チームが、貴社の法務担当者様と連携してDPA条項を策定し、コンプライアンス要件への確実な準拠をサポートいたします。