個人データ処理委託契約書（DPA）

本個人データ処理委託契約書（「DPA」）は、以下の者の間で締結されます：

VHN Sp. z o.o. ul. Gliwicka 35 42-600 Tarnowskie Góry ポーランド

NIP: 6452561131

以下「処理者」

および

Rezuloのサービスを利用するユーザー、

以下「管理者」

Rezuloの利用規約への同意または本サービスの利用開始は、本契約の締結を意味します。

§1. 契約の対象

  1. 管理者は、Rezuloサービス提供に必要な範囲で、個人データの処理を処理者に委託します。

  2. 処理者は、以下に従って個人データを処理することを約束します：

a) 欧州議会および理事会規則（EU）2016/679（「GDPR」）

b) 本契約

c) 管理者の文書化された指示

  1. 本契約はRezuloの法的文書化の不可欠な部分を構成します。

§2. 処理の性質および目的

  1. 処理は、Rezuloシステムで利用可能なサービス提供の目的のみで行われます。

  2. 処理者は、管理者から委託されたデータを自己のマーケティング目的に利用しません。

  3. データは、処理者によってデータ販売、マーケティングプロファイリング、または広告目的での第三者への提供に利用されません。

  4. 処理者は、サービス提供に必要な期間のみ、かつ利用規約で指定されたデータ保持原則に従ってデータを処理します。

§3. 処理期間

  1. データは、管理者がRezuloサービスを利用する期間、処理されます。

  2. サービス利用終了後は、利用規約および本契約で指定されたデータ保持原則が適用されます。

  3. 契約はRezuloの利用全期間にわたり有効です。

§4. データのカテゴリー

管理者は、特に以下のデータを委託することができます：

顧客データ

  • 名前
  • 姓氏
  • メールアドレス
  • 電話番号
  • 来訪履歴
  • 予約履歴
  • サービスに関する情報
  • 支払いに関する情報
  • 顧客に関する注記

従業員データ

  • 名前
  • 姓氏
  • メールアドレス
  • 電話番号
  • 勤務スケジュール
  • 従業員アカウント使用に関連するデータ

その他のデータ

管理者によってRezuloシステムに入力されたすべてのデータ

§5. 対象者のカテゴリー

データは、以下に関するものであり得ます：

  • 顧客
  • 見込み客
  • オンライン予約を行う者
  • 従業員
  • 協力者
  • 契約業者
  • 管理者によってデータが入力された他の者

§6. 特別なカテゴリーのデータ

  1. 管理者は、GDPR第9条の意味における特別なカテゴリーのデータを委託することができます。

  2. これらは、特に以下を含むことができます：

  • アレルギー
  • 施術の禁忌
  • 健康情報
  • 管理者が提供するサービス実施に必要なその他の情報

  1. 管理者は、かかるデータ処理の適切な法的根拠を有することについて責任を負います。

  2. 処理者は、管理者の法的根拠の合法性を検証しません。

§7. 処理者の義務

処理者は、以下を約束します：

a) 管理者の指示に基づいてのみデータを処理する

b) データへのアクセス権を持つ者の機密性を保証する

c) 適切な技術的および組織的措置を適用する

d) GDPRから生じる義務の実行を管理者が支援する

e) データ保護侵害について管理者に通知する

f) 適用法令から生じる必要な文書を保持する

§8. セキュリティ対策

処理者は、リスクに見合ったセキュリティ対策を適用します。

これらは、特に以下を含むことができます：

  • データ送信の暗号化
  • アクセス制御
  • 権限システム
  • イベントログ記録
  • セキュリティ監視
  • 定期的なバックアップ
  • サーバーインフラストラクチャの保護

処理者は、技術の発展に伴ってセキュリティ対策を更新することができます。

§9. 副処理者

  1. 管理者は、処理者による副処理者サービスの利用に対する一般的な同意を与えます。

  2. 副処理者は、特に以下のサービスプロバイダーを含むことができます：

  • ホスティング
  • クラウドインフラストラクチャ
  • 支払い
  • SMSサービス
  • 分析サービス
  • セキュリティサービス
  • IT サービス
  1. 副処理者の現在のリストは、特に以下を含むことができます：
  • OVHcloud
  • Stripe
  • Twilio
  • Google
  • Meta

  1. 処理者は、サービス提供に必要な場合、新しい副処理者を追加することができます。

  2. 副処理者に関する重要な変更について、管理者はRezuloウェブサイト、Rezuloシステム、またはメールを通じて通知されることができます。

§10. 国際転送

  1. 一部の副処理者は、欧州経済領域外でデータを処理することができます。

  2. かかる場合、処理者はGDPRで要求される適切な保護措置を保証します。

  3. これらは、以下を含むことができます：

  • 欧州委員会標準契約条項（SCC）
  • 適切な保護水準を確認する決定
  • 適用法令で規定されたその他のメカニズム

§11. データ保護侵害

  1. 個人データ保護侵害が確認された場合、処理者は事件に関する確認された情報を取得した後、遅滞なく管理者に通知します。

  2. 通知は、以下を含むことができます：

  • 侵害の性質
  • 考えられる影響
  • 侵害に関連するデータの範囲
  • 処理者により講じられた是正措置

§12. 管理者へのサポート

処理者は、技術的および組織的に可能な範囲で、特に以下に関連するGDPRから生じる義務の実行において、管理者を支援します：

  • データ主体の権利の実行
  • 侵害の報告
  • データ保護影響評価
  • 監督当局との相談

§13. 監査およびセキュリティ情報

  1. 管理者は、処理者にデータ保護対策に関する情報について問い合わせることができます。

  2. 処理者は、以下を通じて情報提供義務を実行することができます：

  • セキュリティ文書
  • 照会への回答
  • セキュリティレポート
  • その他の合理的な手段

  1. 監査は、他の顧客のセキュリティを侵害したり、処理者の営業秘密を危険にさらしたりしない方法で実施されるべきです。

  2. 処理者は、監査の範囲が不相応であった場合、営業秘密の開示につながった場合、または他の顧客のセキュリティを脅かす可能性がある場合、監査の実施を拒否することができます。

§14. データの削除または返却

  1. 管理者は、サービス利用終了前にRezuloで利用可能なデータを取得することができます。

  2. データは、アカウント削除から90日以内、特にバックアップコピーで保存されることができます。

  3. データ保持期間の終了後、法律がその継続的な保存を要求しない限り、データは削除またはアノニマイズされます。

§15. 当事者の責任

  1. 各当事者は、適用法令で規定された範囲で、GDPRから生じる義務の侵害について責任を負います。

  2. 処理者は、以下について責任を負いません：

  • 管理者により入力されたデータの合法性
  • 管理者によるデータ処理の法的根拠の欠如
  • 管理者の行為または不作為

§16. 言語バージョン

本契約は、様々な言語バージョンで公開されることができます。

翻訳は補助的性質を有します。

言語バージョン間に矛盾がある場合、処理者が特定の市場またはユーザーに指定したバージョンが拘束力を持ちます。

§17. 最終条項

  1. 規制されていない事項については、GDPR およびポーランド法が適用されます。

  2. 本契約はRezuloの法的文書化の不可欠な部分を構成します。

  3. DPAの現在のバージョンはRezuloのウェブサイトで公開されています。

  4. Rezulo利用規約への同意は、同時に本個人データ処理委託契約書の受け入れを意味します。

  5. 契約は、サービス利用開始日または利用規約受け入れ日から有効です。