データ処理契約（DPA）

第1条（定義）

「管理者」、「処理者」、「データ主体」、「個人データ」及び「取扱い」は、一般データ保護規則（EU）2016/679（以下「GDPR」といいます。）における意味を有します。「顧客」とは、当社と利用規約を締結した法人又は個人をいいます。「顧客個人データ」とは、当社が本契約に基づき顧客のために取り扱う個人データをいいます。個人情報保護法の適用にあたっては、顧客は個人データの取扱いを委託する者に、当社はその委託を受ける者にあたります。

第2条（当事者の役割）

アカウント情報及びライセンス情報については、顧客が管理者、当社が処理者となります。アプリ内で処理される文書の内容については、当社による取扱いは行われません。検出と黒塗りはすべて顧客のデバイス上で実行され、顧客がその内容の唯一の管理者かつ処理者となります。当社は、文書の内容を受け取らず、保存せず、これにアクセスする技術的な手段も有しません。

第3条（取扱いの範囲及び対象）

当社が顧客のために取り扱う個人データは、次のものに限られます。

• 本人確認及び連絡先に関する情報：アカウントに使用するメールアドレス
• 請求に関する情報：Stripeを通じて処理される請求情報（当社はカード番号を保存しません）
• ライセンスに関する情報：デバイスの台数の上限及び利用資格の管理に使用する、SHA-256によるデバイスIDとサブスクリプションの状態

文書の内容、検出された情報及び黒塗りした出力は、本契約の対象から明示的に除外されます。これらは顧客のデバイス上でのみ処理され、当社に送信されることはありません。

第4条（期間）

取扱いは、サブスクリプションの期間中継続します。終了後、アカウント情報は請求に応じて削除し、期限切れのライセンスに関連するデバイスIDは、プライバシーポリシーに定めるとおり、90日後に自動的に削除します。

第5条（再委託先）

顧客は、当社がプライバシーポリシーに記載する再委託先（現在はFirebase Authentication、Stripe、Google Cloud、Sentry、Resend及びAnthropic）を利用することを承認します。各再委託先が受け取るのは、その業務に必要な情報だけです。当社は、再委託先の追加又は変更をプライバシーポリシーの最終更新日に反映し、顧客に異議を述べる合理的な機会を提供します。

第6条（安全管理措置）

当社は、通信のTLSによる保護、bcryptによる認証情報のハッシュ化、Ed25519による署名付きのライセンス検証、署名付きの実行ファイル、クラッシュレポートからの個人情報の除去など、適切な技術的及び組織的措置を講じます。文書の内容は送信されないため、最も機密性の高いデータについては、送信やサーバーでの保存に伴うリスクが設計上存在しません。詳しくは、当社のセキュリティのページをご覧ください。

第7条（国際移転）

アカウント情報及びライセンス情報は、米国に所在するクラウド基盤で取り扱われます。必要な場合、移転にはEUの標準契約条項（SCC）などの適切な保護措置が適用され、標準契約条項は請求に応じて提供します。個人情報保護法に基づく外国にある第三者への提供に関する情報は、プライバシーポリシーに記載しています。

第8条（データ主体からの請求）

当社は、取扱いの性質を考慮したうえで、データ主体によるアクセス、訂正、消去、制限、データポータビリティ及び異議の申立ての各権利の行使に関する請求（個人情報保護法に基づく開示等の請求を含みます。）への顧客の対応を支援します。当社は文書の内容を受け取らないため、これらの請求の対象は、アカウント情報及びライセンス情報に限られます。

第9条（個人データの侵害）

当社は、顧客個人データに影響する個人データの侵害（個人情報保護法上の漏えい等を含みます。）を認識した場合、不当に遅滞することなく顧客に通知し、顧客が自らの通知義務を果たすために合理的に必要な情報を提供します。

第10条（監査）

当社は、合理的な請求があった場合、秘密保持を条件として、本契約の遵守を示すために必要な情報を提供します。処理がデバイス上でのみ行われる仕組みのため、匿名化の対象となる文書は当社のシステム内に存在せず、監査の対象にもなりません。

第11条（返還及び削除）

当社は、契約の終了時に顧客から請求があった場合、法令により保存が求められる場合を除き、顧客のアカウント情報及びライセンス情報を削除します。文書の内容は当社が保有したことがないため、返還又は削除の必要はありません。

第12条（お問い合わせ）

当社が署名した本契約書又は標準契約条項のご請求、及びデータ保護に関するお問い合わせは、次のメールアドレスまでご連絡ください：support@promptshield.ca。