データ処理契約

本 DPA で使用される用語は、GDPR（規則 (EU) 2016/679）に定める意味を有します。具体的には以下のとおりです。

• 個人データ。識別された、または識別可能な自然人に関するあらゆる情報。
• 管理者。処理の目的および手段を決定するお客様。
• 処理者。管理者に代わって個人データを処理する HummingDeck。
• 副処理者。HummingDeck が個人データの処理のために起用するすべての第三者であり、hummingdeck.com/sub-processors に記載されています。
• データ主体。個人データが関係する自然人。管理者の従業員、コンタクト、および HummingDeck を介して共有された資料を閲覧する受信者（以下「資料閲覧者」）を含みます。

HummingDeck は、サービスに関連して処理されるすべての個人データについて、管理者に代わって処理者として行為します。これには以下が含まれます。

• 管理者がワークスペースに追加するアカウント保有者およびチームメンバー。
• 管理者がインポートまたは作成するコンタクトおよびリード。
• 管理者が共有したリンクを開く資料閲覧者。
• 資料閲覧者によって生成されるエンゲージメントイベント（ページビュー、ページ滞在時間、再訪問、国レベルの所在地、IP から導出されるシグナル）。

処理の適法性、GDPR 第6条に基づく法的根拠の選定、およびデータ主体の権利については、引き続き管理者が責任を負います。

管理者は、以下を表明し保証します。

• HummingDeck に指示する処理について、GDPR 第6条に基づく有効な法的根拠を有していること。
• GDPR 第13条および第14条に基づきデータ主体に対して必要なすべての通知を行っていること。これには HummingDeck のリンクを介して行われるエンゲージメント追跡について資料閲覧者に通知することを含みます。当該開示については、自社のプライバシーポリシー、共有リンクに付随するメールやメッセージ、その他の適切なチャネルのいずれを用いるかを問わず、もっぱら管理者が責任を負います。
• 適用されるデータ保護法に違反する形で個人データを処理するよう HummingDeck に指示しないこと。

管理者が開示義務を履行することを支援するため、HummingDeck は以下を提供します。

• hummingdeck.com/privacy に掲載する公開プライバシーポリシー。資料閲覧者から収集する情報およびその根拠を記載しています。
• 管理者が自社のプライバシーポリシーに採用または改変して使用できるテンプレート文言（ご請求に応じて提供）。
• hummingdeck.com/sub-processors に掲載する公開副処理者リスト。

処理者として、HummingDeck は以下を行います。

• サービスの利用を通じて与えられるものを含め、管理者から文書化された指示に基づいてのみ個人データを処理する。
• 個人データの処理を許可された者が秘密保持義務を負うことを確保する。
• 適切な技術的および組織的セキュリティ対策を実施する（第5条）。
• 同等のデータ保護義務を課す書面契約のもとでのみ副処理者を起用し、第6条に従って予定されている変更を管理者に通知する。
• 処理の性質を考慮し、GDPR 第3章に基づくデータ主体の請求への対応に関する管理者の義務の履行を支援する。
• GDPR 第32条から第36条に基づくセキュリティ、侵害通知、データ保護影響評価、および事前協議の義務について管理者を支援する。
• 管理者のデータに影響を及ぼす個人データ侵害を認識した後、不当に遅滞することなく（実行可能な場合は72時間以内に）管理者に通知する。
• サービス終了後、管理者の選択により、すべての個人データを削除または返却し、法律により保持が要求される場合を除いて既存のコピーを削除する。
• 本 DPA の遵守を証明するために必要なすべての情報を管理者に提供し、管理者または管理者が指名した監査人による監査または検査を許可する（第7条に従う）。

HummingDeck は、以下を含む適切な技術的および組織的対策を実施および維持します。

• 転送中（TLS 1.2 以上）および保存時（Google Cloud Storage のデフォルト暗号化）における個人データの暗号化。
• 最小権限の原則に基づくアクセス制御、および管理者アクセスのログ記録。
• 安全なセッション管理を伴う Google Firebase による認証。
• エンゲージメント分析から自動化されたトラフィックを除外するためのボットおよび不正検出システム。
• バックアップおよび災害復旧の手順。
• セキュリティプラクティスの定期的な見直し。

HummingDeck は現時点では SOC 2 認証を取得していません。正式な認証を必要とされるお客様は、現行のセキュリティ質問票およびスケジュールについて hello@hummingdeck.com までお問い合わせください。

管理者は、hummingdeck.com/sub-processors に記載された副処理者の起用を HummingDeck に許可します。HummingDeck は、管理者の個人データを処理する副処理者を追加または変更する前に、以下の方法により少なくとも30日前に管理者へ通知します。

• 公開副処理者リストの更新、および
• 変更が処理に重大な影響を及ぼす場合のワークスペースオーナーへのメール通知。

管理者が、新たな副処理者についてデータ保護上の理由から、通知から30日以内に誠意をもって異議を申し立てた場合、両当事者は当該懸念に対処するため誠実に協議します。解決に至らない場合、管理者は影響を受ける部分のサービスを都合により解約することができます。

HummingDeck は、合理的な事前通知のもと、12か月に1回を超えない範囲で（または規制当局から要請がある場合はそれ以上の頻度で）、以下を提供します。

• 現在の処理活動記録（第30条に基づく文書）。
• セキュリティ対策および第三者による評価に関する情報。
• 管理者の費用負担によるリモート監査（質問票形式またはビデオ会議）の機会。

オンサイトでの検査は、適用法または拘束力のある規制当局の命令により要求される場合に限り、合理的な事前通知のもと、管理者の費用負担で許可されます。

管理者は、一部の副処理者が欧州経済領域外、主に米国に所在することを認識します。当該転送について、HummingDeck は、関係する副処理者との契約に組み込まれた欧州委員会の標準契約条項（モジュール 2、管理者から処理者）に依拠し、第5条に記載する技術的および組織的対策で補完します。

サービス終了時、管理者は30日以内に、アプリケーションまたはサポートを通じて、自身のデータの構造化されたエクスポートを請求することができます。30日経過後、HummingDeck は、法律により保持が要求される場合（例：請求記録）を除き、本番システムから管理者のすべての個人データをさらに30日以内に削除します。バックアップコピーは標準的なバックアップローテーションのスケジュールに従って保持され、その過程で順次上書きされます。

本 DPA に基づく各当事者の責任は、両当事者間の基本契約に定められた責任の制限に従います。

本 DPA と基本契約（HummingDeck の利用規約を含む）との間に矛盾がある場合、本 DPA は当該矛盾の限度で、かつ個人データの処理に関してのみ優先します。

HummingDeck は、適用法または当社の処理慣行の変更を反映するため、本 DPA を随時更新することがあります。重要な変更については、効力発生の少なくとも30日前にワークスペースオーナーに対しメールで通知します。効力発生日以降サービスを継続して利用することは、変更への同意を構成します。

本 DPA に関するご質問、署名済み副本のご請求、または正式なデータ主体請求は、hello@hummingdeck.com までお送りください。