このデータ処理契約 (「DPA」) は、ELXAO SASU (「プロセッサー」) とクライアント (「コントローラー」) の間の契約の不可欠な部分を形成し、規制 (EU) の第 28 条を実施します。 2016/679 (「GDPR」) およびフランスのデータ保護法 (1978 年 1 月 6 日の法第 78-17 号、修正)。これは、ELXAO がサービスを提供する過程で管理者に代わって個人データを処理する場合には常に適用されます。
定義
「個人データ」、「処理」、「管理者」、「処理者」、「副処理者」、「データ主体」、「特別カテゴリのデータ」、および「個人データ侵害」という用語は、GDPR 第 4 条に記載されている意味を持ちます。本契約の条項は、本 DPA が明示的に無効にする場合を除き、本 DPA に適用されます。
処理の主題、期間、性質
| 項目 | 説明 |
|---|---|
| 主題 | 管理者に代わってマーケティング運用サービス (ウェブサイト、SEO、有料メディア、分析、CRM/電子メール、ブランディング、ソーシャル メディア、ローカリゼーション、PM/イベント) を提供します。 |
| 間隔 | エンゲージメントの期間に、以下に定める保持期間を加えたもの。 |
| 性質と目的 | サービスの提供に必要な個人データの保管、整理、分析、転送、ホスティング、および削除。 |
| データ主体のカテゴリ | コントローラーのエンドユーザー、見込み客、顧客、加入者、従業員、サプライヤー、イベント参加者。 |
| 個人データのカテゴリー | 識別データ (名前、役職)、連絡先データ (電子メール、電話番号、住所)、職業データ (会社、役割)、オンライン識別子 (IP、Cookie、デバイス ID)、行動データ (クリック、セッション、コンバージョン)、商業データ (注文、請求)、イベント データ (登録、出席、バッジ、記録)。 |
| 特別なカテゴリのデータ | デフォルトでは処理されません。例外がある場合は、書面による指示と追加の安全措置が必要です。 |
役割と指示
管理者は処理の目的と手段を決定します。 ELXAO は、管理者の文書化された指示にのみ基づいて個人データを処理します。この指示は、契約、命令、SLA、管理者のプライバシーポリシー、およびその後送信される特定の書面による指示によって正式に定められています。 ELXAO は、データ保護法に違反する指示を考慮した場合、不当な遅滞なく管理者に通知します。
職員の機密保持
ELXAO は、個人データの処理を許可されたすべての個人が、強制力のある機密保持義務 (雇用契約、フリーランス契約、または NDA) に拘束され、その役割に適した個人データ保護に関するトレーニングを受けていることを保証します。
セキュリティ対策
ELXAO は、以下を含む適切な技術的および組織的措置を実施します (GDPR 第 32 条)。
- 運用データ ストアでは、転送中に TLS 1.2+ 暗号化、保存中に AES-256 暗号化が行われます。
- 最小特権の原則による役割ベースのアクセス制御。すべての管理者に多要素認証を必須にします。
- 定期的な脆弱性スキャンとパッチ適用を備えた、EU がホストする強化されたインフラストラクチャ。
- コード レビュー、シークレット管理、安全な SDLC、運用/ステージング環境の分離。
- 一元化され、整合性が保護されたロギング。不審な認証およびデータ エクスポート イベントを警告します。
- 文書化された復元テストを備えた、地理的に離れた暗号化されたバックアップ。
- 従業員のオンボーディング/オフボーディング手順、パスワード マネージャー、フルディスク暗号化を備えた安全なラップトップ。
- 事業継続計画とインシデント対応計画は少なくとも年に一度見直されます。
サブ処理
管理者は、特定の処理活動 (ホスティング、電子メール配信、分析、広告プラットフォーム、カスタマー サポート ツール、イベント管理プラットフォーム) の実行のために副処理者を関与させる一般的な権限を ELXAO に付与します。 ELXAO は、副処理者の最新のリストを維持しており、[email protected] でリクエストに応じて入手できます。また、予定されている追加または置換については少なくとも 30 日前に通知します。その間、管理者は合理的なデータ保護の理由に基づいて異議を唱えることができます。 ELXAO は、各副処理者に、この DPA に規定されているものと同等のデータ保護義務を課します。
国際送金
個人データは主に欧州経済領域 (EEA) 内で処理されます。処理に十分性決定のない国への EEA 外への移転が含まれる場合、ELXAO は GDPR 第 46 条に基づく適切な保護措置、主に 2021 年 6 月 4 日の欧州委員会の標準契約条項 (SCC) に依存し、移転の影響評価で必要とされる追加措置によって補完されます。
コントローラーの補助
ELXAO は、適切な技術的および組織的手段により、管理者がデータ主体の要求 (GDPR 第 12 条から第 22 条) に対応する義務を果たし、GDPR 第 32 条から第 36 条 (セキュリティ、違反通知、DPIA、事前協議) を確実に遵守することを支援します。標準的なサポートはサービスに含まれています。リクエストごとに 1 稼働日を超える実質的な作業については、書面による通知の後、ELXAO のその時点での専門料金が請求される場合があります。
個人データ侵害
ELXAO は、管理者のデータに影響を与える個人データ侵害を認識してから、不当な遅滞なく、いかなる場合も 72 時間以内に管理者に通知します。通知には、侵害の性質、影響を受けるカテゴリとおおよその量、予想される結果、それに対処するために講じられたまたは提案された措置が含まれます。
監査
ELXAO は、合理的な要求に応じて、1 年に 1 回を限度として、この DPA への準拠を証明するために必要な情報を管理者に提供します。これには、利用可能な場合には副処理者からの ISO 27001 / SOC 2 タイプのレポートも含まれます。オンサイト監査は、管理者または機密保持を義務付けられた相互に承認された第三者監査人によって、管理者の費用負担で、合理的な事前通知を行った上で、ELXAOの業務を不当に妨害しない方法で営業時間内に実施される場合があります。
データの返却または削除
契約終了後、ELXAO は、30 日以内に表明された管理者の選択により、すべての個人データを構造化され、一般的に使用され、機械読み取り可能な形式で返却するか、すべての本番システムおよび運用システムから削除します。バックアップ コピーは、標準のローテーション サイクル (最長 90 日) で削除され、適用される法律で義務付けられている場合に限り、その期間を超えて保持することができます。その場合、バックアップ コピーは、引き続き本 DPA のセキュリティおよび機密保持義務の対象となります。
責任
MSA の責任規定は、この DPA に基づいて生じる請求に適用されます。各当事者は、GDPR 第 82 条に従って、引き続きデータ主体および監督当局に対して責任を負います。
お問い合わせ
この DPA に基づくデータ保護に関する質問、要求、または通知については、[email protected] のELXAO までご連絡ください。