データ処理契約（DPA）

• 対象：お客様が本サービスに登録した業務データに含まれる個人データ
• 期間：本サービスの利用契約が有効な期間、および契約終了後の削除完了までの期間
• 性質・目的：本サービスの提供、保守、障害対応、不正利用防止、バックアップ、問い合わせ対応
• データの種類：氏名、所属、役職、連絡先、案件・見積・報告書に含まれる業務情報、添付ファイル、操作ログ
• 本人の区分：お客様の従業員・関係者、お客様の取引先の担当者

• お客様は、登録するデータについて適法な取得と必要な同意・通知の取得に責任を負います。
• お客様は、ユーザーの追加・削除、権限設定および退職者の権限剥奪を適切に行う責任を負います。
• 当社は、お客様の指示および本DPAの範囲内でのみ個人データを処理します。

当社は、本サービスの提供に必要な範囲およびお客様の文書による指示（管理画面上の操作を含みます）に従ってのみ個人データを処理します。法令により処理が義務付けられる場合は、法令上禁止されない限り、事前にお客様へ通知します。

当社は、個人データを取り扱う従業者に対し、秘密保持義務を課し、必要な教育および監督を行います。

当社は、通信の暗号化、認証、行レベルセキュリティによるワークスペース分離、最小権限の適用、操作履歴の記録その他、セキュリティ方針に記載する措置を実施します。

当社は、サブプロセッサー一覧に掲げる事業者に処理を再委託します。再委託先には本DPAと同等以上の義務を課し、必要かつ適切な監督を行います。追加・変更時は事前に通知し、お客様は異議を申し立てることができます。

本人から開示、訂正、利用停止、削除等の請求を受けた場合、当社は、お客様が対応するために合理的に必要な範囲で協力します。当社が直接請求を受けた場合は、お客様へ取り次ぎます。

当社は、個人データの漏えい、滅失、毀損またはそのおそれを認識した場合、不当な遅滞なくお客様の管理者へ通知し、判明している範囲の事実、想定される影響および対応状況を共有します。連絡先：未設定

契約終了後、お客様はデータ保存・削除方針に定める期間内にデータをエクスポートできます。当該期間の経過後、当社は個人データを削除します。バックアップからの消去時期も同方針に従います。

当社は、本DPAの遵守状況を確認するために必要かつ合理的な情報（構成概要、安全管理措置の説明、再委託先一覧等）を、お客様の求めに応じて提供します。現地監査は、両当事者が別途合意した条件による場合に限ります。

再委託先が外国で個人データを取り扱う場合、当社は当該国・地域および保護措置をサブプロセッサー一覧に表示します。確認が完了していない項目は「確認中」と表示します。

両当事者は、個人情報の保護に関する法律その他適用ある法令を遵守します。本DPAに基づく当社の責任の範囲および上限は、利用規約第9条（損害賠償の範囲と上限）に従います。