データ処理補足契約

データ処理補足契約

このデータ処理補足契約（「DPA」）は、Black Eagle Group LLC（「Whispie」、「当社」、「私たち」）とお客様（「カスタマー」、「お客様」）との間で、サービスの購入に関する書面または電子的な合意（「本契約」）の一部を構成し、これに従うものです。

このDPAは、データ保護法および規制の要件に従って個人データの処理に関する当事者の合意を反映しています。

2. 役割と責任

2.1 データ処理者としてのWhispie

Whispieはカスタマーを代理して個人データを処理する場合にデータ処理者として機能します。Whispieは以下を行います：

• カスタマーの文書化された指示に従ってのみ個人データを処理すること
• 適切な技術的・組織的措置を実施すること
• 個人データを処理する権限を与えられた人物が守秘義務を約束していることを確保すること
• データ主体のリクエストへの応答においてカスタマーを支援すること

2.2 データ管理者としてのカスタマー

カスタマーはデータ管理者として機能し、以下に責任を負います：

• 処理のための合法的な根拠の確保
• データ主体への必要なプライバシー通知の提供
• 必要な同意の取得
• データ主体の権利リクエストへの対応

3. 処理の詳細

3.1 主題と期間

処理の主題は赤ちゃんと家族のデータ管理サービスを含みます。処理の期間は本契約の期間に対応します。

3.2 性質と目的

処理操作には、Whispieサービスを提供する目的のための赤ちゃんの発達データ、健康情報、および家族管理データの収集、保存、分析、および共有が含まれます。

3.3 データ主体のカテゴリ

• 赤ちゃんと子ども
• 保護者と法定後見人
• 家族とケアギバー
• 医療提供者

3.4 個人データの種類

• 基本的な識別情報（氏名、生年月日）
• 連絡先情報（メール、電話番号）
• 健康・医療データ（予防接種、成長指標）
• 発達情報（節目、活動）
• 家族関係データ
• 技術データ（IPアドレス、デバイス情報）

3.5 特別カテゴリのデータ

サービスには以下を含む特別カテゴリのデータの処理が含まれます：

• 健康データ（GDPR第9条）
• 子どもに関するデータ
• 生体データ（成長測定値）

5. サブプロセッシング

5.1 承認されたサブプロセッサー

カスタマーは以下のサブプロセッサーを関与させることにWhispieへの一般的な承認を提供します：

サブプロセッサー	サービス	所在地	DPA
Supabase	データベースおよび認証	米国	あり
Stripe	決済処理	米国	あり
Twilio	SMS認証	米国	あり
Resend	メール配信	米国	リクエストに応じて利用可能
Sentry	エラー監視	米国	あり
Cloudflare	DNSおよびセキュリティ	グローバル	あり

5.2 サブプロセッサーの義務

Whispieは以下を行います：

• サブプロセッサーが適切な措置を実施するための十分な保証を提供することを確保すること
• データ保護義務を含む書面による契約をサブプロセッサーと締結すること
• サブプロセッサーのパフォーマンスについて責任を負い続けること
• サブプロセッサーに関する予定されている変更についてカスタマーに通知すること

5.3 異議申し立て権

カスタマーはデータ保護に関する合理的な理由で新しいサブプロセッサーの指定に異議を申し立てることができます。Whispieはカスタマーと協力して懸念に対処します。

6. 国際的なデータ移転

6.1 移転メカニズム

個人データがEEA、英国、スイス、または十分性要件を持つその他の法域の外に移転される場合、Whispieは適切な保護措置が整っていることを確保します：

• EU標準契約条項（2021年版）
• 英国国際データ移転補足契約
• スイス連邦データ保護法準拠
• 適用される場合の十分性決定

6.2 補足措置

Whispieは以下を含む補足措置を実施します：

• 転送中および保存中のデータの暗号化
• 実行可能な場合の仮名化
• 厳格なアクセス制御
• 定期的なセキュリティ評価

7. データ主体の権利

7.1 支援義務

Whispieは、処理の性質を考慮して、データ保護法に基づくデータ主体のリクエストへの応答に関するカスタマーの義務を果たすために、適切な技術的・組織的措置によりカスタマーを支援します。

7.2 リクエスト処理

Whispieは以下を行います：

• データ主体のリクエストをカスタマーに速やかに通知すること
• カスタマーの指示なしにそのようなリクエストに応答しないこと
• カスタマーが応答できるように必要な情報を提供すること
• 権利行使を促進するための技術的措置を実施すること

8. セキュリティインシデント管理

8.1 インシデント通知

Whispieは個人データ侵害を認識した後、不合理な遅延なくカスタマーに通知します。通知には以下を含める必要があります：

• 侵害の性質の説明
• 影響を受けるデータ主体のカテゴリと概算数
• 関係する個人データレコードのカテゴリと概算数
• 侵害の起こりうる結果
• 侵害に対処するために取られた、または提案された措置

8.2 協力

Whispieはカスタマーと協力し、各個人データ侵害の調査、軽減、および修復を支援するためにカスタマーが指示する合理的な商業的ステップを踏みます。

9. 監査権

9.1 監査手続き

カスタマーは年に1回を上限としてWhispieのこのDPAへの準拠を監査することができます。監査は以下に従います：

• 通常の営業時間中に実施されること
• Whispieの事業活動を不合理に妨害しないこと
• 合理的な守秘義務に従うこと
• カスタマーの費用で実施されること

9.2 代替的証拠

監査の代わりに、Whispieは以下を提供することができます：

• サードパーティ監査レポート（SOC 2、ISO 27001）
• 認証
• 合理的に要求されるその他の文書

10. データの返却と削除

10.1 返却または削除

本契約の終了時に、Whispieはカスタマーの選択に応じて、すべての個人データをカスタマーに削除または返却し、適用法がその個人データの保存を要求しない限り既存のコピーを削除します。

10.2 保持期間

個人データは、サービスを提供するために必要な期間のみ、および付属書1に規定された保持期間に従って保持されます。

11. 地域別特定規定

11.1 欧州経済領域

GDPRの対象となる個人データについては、EU標準契約条項が適用され、参照により組み込まれます。

11.2 英国

UK-GDPRの対象となる個人データについては、英国国際データ移転補足契約が適用されます。

11.3 トルコ

KVKKの対象となる個人データについては、Whispieは法律第6698号および関連規制に基づくデータ管理者の義務に準拠します。

11.4 米国 - カリフォルニア州

CCPA/CPRAの対象となる個人データについては、Whispieはサービスプロバイダーの義務に準拠し、個人データを販売または共有しません。

11.5 その他の地域

Whispieは以下を含む（ただしこれらに限らない）すべての事業地域のデータ保護法に準拠します：

• サウジアラビア（PDPL）
• アラブ首長国連邦（データ保護法）
• シンガポール（PDPA）
• 日本（APPI）
• ロシア（連邦法152-FZ）

12. 一般規定

12.1 優先順位

このDPAと本契約の間に矛盾または不一致がある場合、矛盾する範囲においてこのDPAが優先します。

12.2 責任

このDPAから生じるまたは関連する各当事者の責任は、本契約の責任制限に従います。

12.3 準拠法

このDPAは法律の抵触規定を考慮せず、デラウェア州の法律に準拠します。