データ処理に関する追加条項 (DPA)

本「データ処理に関する追加条項」 (以下「本覚書」または「DPA」) は、合同会社ALTEA (以下「当社」) が提供する CRM/SFA サービス「MeMe」 (以下「本サービス」) に関し、当社と利用者 (以下「お客様」) との間の利用規約の一部を構成し、お客様が本サービスに入力・登録するデータに含まれる個人データ (以下「委託個人データ」) の取扱いについて定めるものです。

本覚書は、個人情報の保護に関する法律 (以下「個人情報保護法」) に定める「個人データの取扱いの委託」 (第27条第5項第1号) に関する当事者の義務を明確にすることを目的とします。本覚書とプライバシーポリシーまたは利用規約の本文との間に齟齬がある場合、委託個人データの取扱いに関しては本覚書が優先します。

本覚書において、各当事者の役割は次のとおりです。委託個人データの利用目的の特定および本人への対応の第一次的責任はお客様にあります。

• 「委託個人データ」とは、お客様が本サービスに入力・登録する取引先・案件・活動・担当者・名刺画像・見積等のデータに含まれる、お客様の取引先担当者等の個人情報 (氏名、連絡先、所属、役職等) をいいます。
• 「本人」 (データ主体) とは、委託個人データによって識別される個人をいいます。

当社が委託を受けて行う委託個人データの処理の内容は、次のとおりです。

当社は、委託個人データの取扱いに関し、次の義務を負います。

1. 指示に従った取扱い: 委託個人データを、本サービスの提供という委託の目的の範囲内で、お客様の指示および本覚書に従ってのみ取り扱い、委託の範囲を超えて取り扱いません。
2. 守秘義務: 委託個人データを秘密として保持し、本覚書および利用規約に基づく場合または法令に基づく場合を除き、第三者に開示・提供しません。
3. 従業者の監督: 委託個人データを取り扱う従業者を必要最小限に限定し、守秘義務を課したうえで、適切に監督します。
4. 安全管理措置: 委託個人データの漏洩、滅失または毀損の防止その他の安全管理のために、次の技術的・組織的措置を講じます。

当社は、本サービスの提供に必要な範囲で、委託個人データの取扱いの一部をサブプロセッサ (再委託先) に再委託することがあります。お客様は、本覚書への同意をもって、当社が サブプロセッサ一覧に掲載するサブプロセッサを利用することにあらかじめ同意するものとします。

• 一覧の開示: 現に利用するサブプロセッサは サブプロセッサ一覧に開示します。現時点で委託個人データ (CRM データ) の保存・AI 処理を担う主要なサブプロセッサは Google LLC (Google Cloud Platform / Vertex AI) です。
• 再委託先への同等義務: 当社は、各サブプロセッサとの間で、本覚書において当社が負う義務と同等の義務 (データ処理契約 / DPA) を課し、適切に監督します。
• 変更の事前通知: サブプロセッサの追加・変更を行う場合、原則として変更の30日前まで (委託個人データの処理ロケーション変更等の重大な変更の場合は60日前まで) に、サブプロセッサ一覧の更新または当社所定の方法によりお客様に通知します。
• 異議: お客様が当該変更に合理的な理由により同意できない場合、お客様は当社所定の方法により異議を述べることができ、当社はお客様と誠実に協議します。協議が調わない場合、お客様は当該変更の効力発生日までに本サービスを解約できます。

当社は、サブプロセッサの行為について、自己の行為と同様にお客様に対し責任を負います。

委託個人データに関する本人 (データ主体) からの請求への一次的な対応責任は、管理者であるお客様にあります。当社は、本人からの権利行使 (利用目的の通知、開示、訂正・追加・削除、利用の停止・消去、第三者提供の停止等) にお客様が応じるにあたり、次のとおり合理的な範囲で協力します。

• 当社が本人から直接請求を受領した場合は、原則として当社単独で応答せず、速やかにお客様に取り次ぎます。
• お客様の求めに応じ、対象データの特定、開示資料の作成、訂正・削除の実施等に協力します。
• 本サービスの管理画面において、お客様自身が委託個人データを検索・開示・訂正・削除・エクスポートできる機能を提供します。

当社は、委託個人データの漏洩、滅失、毀損その他の安全管理に係る重大な事象 (以下「漏えい等」) を認識した場合、次のとおり対応します。

1. 漏えい等を認識した後、不当に遅延することなく、速やかにお客様 (委託元) に通知します。
2. 通知には、判明している範囲で、事象の概要、影響を受けた可能性のあるデータの種類・範囲、当社が講じた措置および今後の対応方針を含めます。
3. 個人情報保護委員会への報告および本人への通知が必要となる場合、当社は、取扱事業者であるお客様がこれらの法令上の義務 (速報・確報、本人通知) を履行できるよう、必要な情報の提供および対応に協力します。

本サービスの契約終了時における委託個人データの取扱いは、次のとおりです。詳細は当社のデータ削除の取扱いに従います。

法令上の保存義務がある書類 (契約・請求関連) は、当該法令の定める期間、本サービスとは分離して保管する場合があります。これらにお客様の取引先・案件等の業務データ本文は含まれません。

お客様は、当社が本覚書に基づく義務を遵守していることを確認するため、合理的な範囲で監査を行うことができます。

• 監査の方法は、当社のセキュリティ資料・第三者認証報告書 (当社およびサブプロセッサが取得・提供するもの) の提供、当社への書面質問 (セキュリティ質問票) への回答を基本とします。
• これらによって確認が十分でない場合、お客様の費用負担で、当社が事前に合意した範囲・方法により、追加の確認 (画面共有による確認、お客様指定の監査機関による確認等) を行うことができます。
• 監査は、本サービスの提供および他のお客様のデータの機密性・安全性を害さない範囲で、合理的な事前通知のうえ、通常の営業時間内に実施します。

当社は、委託個人データ (保存データ) を Google Cloud Platform の asia-northeast1 (東京) リージョンに保存し、国外へ移転しません。これにより、保存データについては国内完結を実現しています。

本覚書に定める当社の義務、サブプロセッサに対する同等義務の設定および監督、ならびに当社による安全管理措置の実施は、お客様 (委託元) が個人情報保護法上負う「委託先の監督」 (個人情報保護法 第25条) の要件を満たすことを意図したものです。お客様は、本覚書および当社のセキュリティ資料をもって、委託先の監督に関する確認を行うことができます。

• 本覚書に定めのない事項は、利用規約およびプライバシーポリシーの定めによります。
• 当社は、法令の変更またはサービス内容の変更に応じて本覚書を改定することがあります。重要な変更を行う場合は、本サービス上または当社所定の方法により周知します。
• 本覚書は、委託個人データの取扱いが継続する限り効力を有し、第8項の返還・削除の完了をもって終了します。

本覚書を書面により個別に締結する場合、当事者は以下に記名押印または署名します。