データ処理契約

1. 定義

本データ処理契約（「DPA」）は、ProcureLabs Pte. Ltd.（「処理者」）とProcureLabsサービスを契約する事業体（「管理者」）との間の基本サブスクリプション契約（「契約」）の一部を構成します。本契約で定義されていない用語は、契約またはRegulation (EU) 2016/679（「GDPR」）に定める意味を有します。

• 個人データとは、本DPAに基づいて処理される、識別された、または識別可能な自然人に関するあらゆる情報を意味します。
• 処理とは、収集、保存、変更、検索、使用、開示、消去を含む、個人データに対して行われるあらゆる操作を意味します。
• サブプロセッサとは、コントローラーに代わって個人データを処理するために処理者が起用する第三者を意味します。

2. 処理の範囲および目的

処理者は、契約に記載されたProcureLabs調達インテリジェンス・プラットフォームサービスを提供する目的に限り、個人データを処理するものとします。データ主体のカテゴリーには、管理者の従業員、コンサルタント、および承認済みユーザーが含まれます。個人データのカテゴリーには、氏名、メールアドレス、役職、組織上の役割、IPアドレス、および利用分析データが含まれます。

3. 処理者の義務（GDPR第28条）

• 適用法により要求される場合を除き、管理者から文書化された指示を受けた場合に限り個人データを処理します。
• 個人データの処理を許可された者が守秘義務を負うことに同意している、または適切な法定の守秘義務を負っていることを確保します。
• 保存時の暗号化（AES-256）および転送時の暗号化（TLS 1.2+）、ならびにテナント管理者が必須化できる多要素認証付きアクセス制御を含め、リスクに応じた適切なレベルのセキュリティを確保するため、適切な技術的および組織的措置を講じます。
• 管理者の事前の個別または一般的な書面による承認なしに、別の処理者を起用しません。一般的な承認が与えられた場合、処理者は予定される変更を30日前までに管理者へ通知するものとします。
• データ主体からの請求（アクセス、訂正、消去、データポータビリティ、処理制限、および異議申立て）への対応において、管理者を支援します。
• セキュリティ、侵害通知、およびデータ保護影響評価に関する義務の遵守において、管理者を支援します。
• 管理者の選択に従い、サービス終了時にすべての個人データを削除または返却し、適用法により保存が必要な場合を除き、既存のコピーを削除します。
• 遵守状況を証明するために必要なすべての情報を管理者に提供し、監査を受け入れ、これに協力します。

4. 再委託先

管理者は、処理者が以下に記載された再委託先に委託するための一般的な承認を与えます。処理者は、再委託先を追加または変更する少なくとも30日前に管理者へ通知するものとします。

The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.

DocuSign本番環境統合の承認および適用されるデータ保護契約は、まだ確認されていません。この署名オプションを有効にする前に、送信アカウントのリージョンを確認してください。

上記日付時点の情報です。最新のリストは/subprocessorsをご確認ください。

OpenAIはチャット、分析、およびツールの選択と調達の証拠に関するDecisionsの限定的な判定に使用されます。お客様の有効な許可と合意された地域設定を条件として、Decisionsは、許可された目的のために最小化し機密情報を除去したコンテキストと質問を受け取ります。OpenAI APIのデータは、明示的に参加を選択した場合にのみモデルの学習に使用されます。Decisionsは暗号化されたプロンプトキャッシュの状態を最大24時間、標準の不正利用監視ログを最大30日間保持する場合があります。適用されるセキュリティ、安全性または法律上の例外が適用されます。

Decisionsの処理には、お客様の有効な指示と、特定の目的、アカウント、処理者および米国への移転に対する許可が必要です。AIを無効にするか、該当する権限を撤回すると、Decisionsへの新しいリクエストは停止されます。重大な影響を伴う操作には、引き続き必要な保護措置と独立した審査が適用されます。

5. 国際データ移転

個人データが欧州経済領域外へ移転される場合、処理者は、以下を含む適切な保護措置が講じられていることを確保するものとします。(a)欧州委員会の実施決定(EU) 2021/914で承認されたEU標準契約条項（モジュール2：管理者から処理者）、(b)該当する場合の拘束的企業準則、または(c)欧州委員会による十分性認定のある国への移転。

6. データ侵害の通知

処理者は、個人データ侵害を認識した後、不当な遅滞なく、いかなる場合でも72時間以内に管理者へ通知するものとします。通知には、(a)影響を受けたデータ主体のおおよその数を含む侵害の性質、(b)侵害によって生じる可能性のある結果、(c)侵害に対処するために講じた、または提案された措置、(d)処理者のデータ保護窓口の連絡先情報を含めるものとします。

7. セキュリティ対策

• 保存時の暗号化（AES-256）および転送時の暗号化（TLS 1.2+）
• すべてのユーザーが多要素認証を利用可能。テナント管理者は全員または管理者に対して必須化できます
• 顧客データを保持するデータベーステーブルにおける、テナント分離を備えた行レベルセキュリティ
• コミットされた秘密情報（Gitleaks）および修正可能な重大な依存関係の脆弱性（Trivy）について、すべてのコード変更を自動スキャン
• 管理策は、要請に応じて提供可能な管理策マトリクスにおいてSOC 2 Trust Services Criteriaに対応付けられています。SOC 2 Type IIの準備プログラムは進行中です。当社の監査はまだ開始されておらず、完成したType IIレポートはありません。
• セッションタイムアウトの適用（30分間操作がない場合）
• 状態を変更するリクエストに対するCSRF保護。ダブルサブミットトークンを使用し、毎時再発行します
• リクエストごとのノンスを用いたContent Security Policy
• APIリクエストに対するレート制限。リソース負荷の高いエンドポイントでは、IPアドレスごとおよびユーザーごとに適用し、Redisが設定されている場合はRedisを通じてサーバー間でカウンターを共有し、それ以外の場合はサーバーごとに保持します
• 保持は、対象のデータ分類、お客様の指示、法的な保全義務およびプロバイダーの条件に従います。チャット履歴、派生コンテンツ、監査記録およびプロバイダーのログには、それぞれの保持条件があります。削除の依頼は、データ処理契約と適用法に基づいて取り扱われます。

8. データ主体の権利

処理者は、30暦日以内にデータ主体からの請求に対応する義務を管理者が履行できるよう支援するものとします。プラットフォームでは、セルフサービスによるデータエクスポートおよびアカウント削除（Settings > Account）、ならびにアクセスレビュー機能を提供しています。

9. 監査権

管理者は、暦年ごとに一度を上限として、30日前までに書面で通知することにより、処理者による本DPAの遵守状況を監査できます。処理者は、関連するコンプライアンス報告書、認証、および第三者監査の概要を提供可能な状態にしなければなりません。リモート監査が望ましく、オンサイト監査は管理者の費用負担で実施されるものとします。

10. 期間および終了

本DPAは契約期間中有効です。終了時、処理者は管理者の選択に従い、30日以内にすべての個人データを返却または削除するものとします。終了時の削除は、プラットフォームの自動処理ではなく、管理者の書面による指示に基づき処理者のスタッフが実施します。要請に応じて削除証明書を提供します。