データ処理契約

1. 対象事項および期間

処理の対象事項は、管理者への WaiverKit デジタル免責同意書プラットフォームの提供です。処理は、管理者が有効なアカウントを維持する限り、および第 11 条に定める解約後の保存期間の間、継続されます。

2. 処理の性質および目的

処理者は、WaiverKit サービスのホスティング、提供、セキュリティ、サポートのためにのみ個人データを処理します。これには、署名済み免責同意書の取得および保管、PDF 記録の生成、トランザクションメールの送信、ユーザー認証、決済処理、および管理者に代わるアナリティクスの作成が含まれます。

3. 個人データの種類およびデータ主体のカテゴリ

処理される個人データには、以下が含まれる場合があります。

• 署名者の識別データ(氏名、生年月日、住所、メールアドレス、電話番号)
• 署名画像および入力された署名
• 未成年の署名者の保護者データ
• 事業者ユーザーのアカウントデータ(氏名、メールアドレス、認証識別子、IP アドレス)

データ主体のカテゴリには、免責同意書に署名する参加者、未成年参加者の保護者、および管理者の従業員または権限を付与されたユーザーが含まれます。

4. 管理者の義務および権利

管理者は、個人データの収集および処理の適法性、データ主体からの必要な同意の取得、処理者に与える指示の正確性、ならびに管理者が構成する免責同意書テンプレートおよびワークフローが適用される法令に準拠していることを確認する責任を負います。管理者は、個人データに関するすべての権利を保持し、いつでも処理者に対して文書化された指示を発することができます。

5. 再処理者

管理者は、サービス提供のため、処理者が以下の再処理者を利用することを承認します。

• Clerk (認証、セッション管理、ユーザーディレクトリ)。
• Stripe (決済処理およびサブスクリプション課金)。
• Resend (トランザクションメール配信)。
• Cloudflare R2 (署名画像および PDF アーティファクトのオブジェクトストレージ)。
• Vercel (アプリケーションホスティング、エッジネットワーク、リクエストルーティング)。
• Neon (Postgres) (構造化データ用のマネージド Postgres データベースホスティング)。

処理者は、再処理者の追加または変更の予定を管理者に通知し、正当な理由に基づき異議を申し立てる合理的な機会を提供します。

6. セキュリティ対策

処理者は、個人データを保護するために、以下を含む適切な技術的および組織的な対策を実施します。

• データベースおよびオブジェクトストレージに対する転送時(TLS 1.2+)および保存時の暗号化
• インフラ全体におけるロールベースのアクセス制御および最小権限の IAM
• アプリケーション層およびクエリ層におけるテナント分離の強制
• 管理操作および個人情報へのアクセスに関する監査ログ
• 定期的なバックアップ、依存関係の自動スキャン、インシデント対応手順

7. データ主体の権利

処理者は、処理の性質を考慮し、GDPR 第 15 条から第 22 条に基づくアクセス、訂正、消去、制限、ポータビリティ、異議の権利を行使するデータ主体からの請求に対応する管理者の義務を、適切な技術的および組織的な対策により支援します。

8. データ侵害の通知

処理者は、管理者のデータに影響を及ぼす個人データ侵害を認識した後、不当な遅滞なく、かついかなる場合も 72 時間以内に管理者に通知します。通知には、侵害の性質、想定される影響、講じたまたは提案する対策、および追加情報の連絡先が記載されます。

9. 国際データ移転

個人データが、十分性認定のない国であって欧州経済領域、英国、またはスイスの外部へ移転される場合、当該移転は、欧州委員会の標準契約条項(SCC)、および該当する場合には英国国際データ移転アデンダムならびにスイスのアデンダム、さらに移転影響評価で必要とされる補完的な措置によって規律されます。

10. 監査権

処理者は、本 DPA の遵守を証明するために合理的に必要なすべての情報を管理者に提供し、合理的な秘密保持義務のもとで、また、文書化されたセキュリティインシデントまたは規制当局による請求の場合を除き、暦年あたり 1 回に限り、管理者または管理者が指名した監査人による検査を含む監査を許容し、協力します。

11. 解約、返却および削除

契約終了時、処理者は、管理者の選択に従い、管理者を代行して処理したすべての個人データを削除または返却し、既存のコピーを削除します。ただし、適用される法令により継続的な保管が要求される場合を除きます。個人データを含むバックアップは、通常のバックアップ保存サイクルに従って削除されます。