#個人データの処理を委託する契約
バージョン: 1.0
有効期限: 2026 年 7 月 30 日
本契約（以下「DPA」といいます）は、以下の間で締結されます。
- Sentivaro アカウントに示されている組織（以下「管理者」といいます）、および
- Dawid Balcer 氏、事業を経営していない自然人として Sentivaro プロジェクトを運営、通信アドレス: ul. Jana Brzechwy 8, 60-195 Poznań、電子メール: contact@sentivaro.com、以下「処理者」と呼びます。
DPA は Sentivaro の使用に関する契約の一部です。
1. 件名と時間
- 管理者は、承認されたサイバーセキュリティ意識向上キャンペーンの設定、実施、測定、解決、および関連する教育資料の提供に必要な範囲で、処理者に個人データを委託します。
- 処理は、バックアップコピーの上書き期間を考慮して、最初のデータ転送から本サービス利用後の削除または返却までとなります。
- 詳細なキャンペーンは、その構成、受信者、イベント、保存に関する管理者の文書化された指示を構成します。
2. 操作の性質と目的
操作には次のものが含まれる場合があります。
- 受け入れまたは輸入。
- キャンペーンの注文と割り当て。
- ストレージ;
- 制御されたメッセージを生成および送信する。
- 設定されたイベントの登録;
- 仮名化と集約。
- 許可されたユーザーへの結果の提示。
- 管理者の要求に応じてエクスポートする。
- 教育資料の提供。
- 校正;
- 制限;
- 削除。
唯一の目的は、管理者が承認したサイバーセキュリティ意識向上プログラムを実施することです。
3. 人とデータ
- 人々のカテゴリー:
- 管理者の従業員および同僚;
- 事前の取り決めを経た、管理者の法的および認可されたプログラムの対象となるその他の人々。
- データカテゴリ:
- 名前と姓;
- 仕事用電子メールアドレス;
- 部門、チーム、組織単位、またはトレーニング カテゴリ。
- 内部参加者 ID;
- 構成に応じて、学習アクティビティを配信、開く、クリック、レポート、および完了するという事実。
- 結果修正データ;
- 必要に応じて、限定的な技術データ。
- 管理者は、事前の書面による同意なしに譲渡することはできません。
- 第 3 条に基づく特別なカテゴリのデータ9 GDPR;
- アートからのデータ。 10 GDPR;
- 実際のパスワード、MFA コード、または資格情報。
- 財務データ、文書番号、または国家識別子。
- プライベート電子メールアドレス;
- 私信の内容。
4. 管理者コマンド
- 処理主体は、処理義務が EU 法またはポーランド法に基づくものでない限り、管理者の文書化された指示に基づいてのみデータを処理します。
- DPA、規制、および利用規約に準拠している場合、キャンペーンの設定とパネル内の許可されたユーザーのアクションはコマンドを構成します。
- 処理者は、その命令が GDPR またはその他のデータ保護規定に違反していると判断した場合、直ちに管理者に通知するものとします。彼は、それが明確になるまでコマンドの実行を一時停止することができる。
- 処理主体は、広告、自社の従業員評価、データ取引、または人工知能モデルのトレーニングのためにキャンペーン データを使用しません。
5. 管理者の義務
管理者:
- データ転送と処理の合法性を保証します。
- 法的根拠を確立する。
- 情報提供義務を果たします。
- 必要に応じてバランステストとDPIAを実施します。
- 労働法および社内規定の遵守を確保します。
- データを最小限に制限します。
- ユーザーに適切な権限を与えます。
- 結果を特定の人物に対して使用する前に検証します。
- 結果を自動的な人事決定の唯一の基礎として使用しない。
- 処理者に合法的な指示のみを提供します。
6. 機密保持
- 処理者の許可の下で行動し、アクセスが必要な人物のみがデータにアクセスできます。
- これらの者は、契約または法律に基づいて機密保持を義務付けられています。
- 秘密保持義務は提携終了後も適用されます。
7. セキュリティ
- 加工業者は、条項に従ってリスクに応じた措置を講じるものとします。 32 GDPR。
- 現在のアーキテクチャに応じて、対策には以下が含まれます。
- 送信の暗号化。
- 安全なパスワードのハッシュ化。
- 役割制御。
- 組織データの分離。
- 適切なランダム性と有効期間を持つトークン。
- 管理活動を記録する。
- バックアップ コピーと再構築テスト。
- 脆弱性を更新および削除するプロセス。
- 保持の制限。
- インシデント対応手順;
- 管理アクセス保護。
- 対策を定期的に見直します。
- 対策の現在の説明は、セキュリティ リスクを増大させる情報なしで管理者に提供される場合があります。
8. サブプロセッサー
- 管理者は、「/subprocessors」ページにリストされているその他のエンティティの使用に対する一般的な書面による同意を与えます。
- 処理者は、脅威を除去するために緊急の変更が必要でない限り、予定されている変更について少なくとも 14 日前に管理者に通知します。
- 管理者は、この期間内にデータ保護に関して正当な異議を申し立てることができます。
- 異議の理由が合理的に除去できない場合、管理者は、特定のプロバイダーを必要とするサービスの部分の使用を終了することができます。
- 処理者は、本 DPA に基づく義務に対応するデータ保護義務を副処理者に課し、第 2 条に従って義務を履行する責任を負います。 28 GDPR。
9. 転送
- キャンペーンデータは、副処理者のリストに明示的に明記されていない限り、EEA 内で処理されます。
- EEA 域外への転送は、管理者の文書による命令がある場合、または GDPR で許可されたメカニズムを使用した場合にのみ行われます。
- 標準的な契約条項、移転評価、または補足措置が必要な場合、処理者はそれらを評価するために必要な利用可能な情報を管理者に提供するものとします。
10. 個人の権利
- 処理者は、処理の性質を考慮して、利用可能な技術的および組織的手段を使用して管理者が個人の権利を行使できるように支援します。
- 参加者が処理者に直接リクエストを提出した場合、参加者は不当な遅滞なくリクエストを管理者に転送し、法律で要求される場合を除き、管理者の指示がない限り実質的に応答しません。
- 管理者は本人確認と適時の対応に責任を負います。
11. コンプライアンスの支援
処理者は、処理の性質と利用可能な情報を考慮して、次の領域で管理者を支援します。
- 安全;
- リスクアセスメント;
- 違反を報告する。
- 人々に通知する。
- DPIA;
- 監督当局との協議。
- データの削除のデモンストレーション。
この支援には、法的意見の発行や管理者の責任の引き受けは含まれません。
12. データ侵害
- 処理者は、キャンペーン データの侵害を発見後、不当な遅滞なく管理者に通知するものとします。
- 利用可能な場合、通知には次の内容が含まれるものとします。
- 侵害の性質。
- カテゴリとおおよその人数。
- カテゴリとレコードのおおよその数。
- 起こり得る結果;
- 講じられた、または提案された措置。
- 連絡先;
- 検出時刻とイベントの既知の時間枠。
- 情報は段階的に転送される場合があります。
- 通知は責任を認めるものではありません。
- 管理者は当局への報告と関係者への通知を決定します。
13. 削除と返却
- 管理者は、パネル内のキャンペーンデータを削除したり、削除命令を発行したりできます。
- サービスの完了後、法律で保管が義務付けられている場合を除き、処理者は管理者の裁量により、有効なキャンペーン データを削除または返却します。
- 循環バックアップに一時的に残っているデータは通常の使用から隔離され、技術的なバックアップ サイクルで関連するバックアップが上書きされるときに削除されます。
- 集計データは、個人を合理的に識別できなくなった場合にのみ保持できます。
14. 監査
- 処理者は、第 2 条の遵守を証明するために必要な情報を提供するものとします。 28 GDPR。
- 管理者は、違反が発生した場合、または当局が追加の管理を必要とする場合を除き、監査を年に 1 回まで実施することができます。
- 監査は次のことを行う必要があります。
- 少なくとも 14 日前までに発表される。
- 合意された時間に開催される。
- 他の組織のセキュリティを侵害しないこと。
- リモートのドキュメントと応答を最初に使用します。
- 守秘義務を負う者によって実行されること。
- 監査費用は管理者が負担します。処理者は、無料サービスモデルに基づく合理的な支援に対して料金を請求しませんが、過剰な行為を拒否したり、遵守を証明するための合意された代替手段を提案したりする場合があります。
15. 責任と優先順位
- 当事者の責任は、GDPR、適用法および規制に基づいて生じます。
- キャンペーン データの保護に関して DPA と規則との間で矛盾が生じた場合には、DPA が優先するものとします。
- 標準契約条項が適用され、DPA と矛盾する場合には、その条項が優先するものとします。
16. エンディング
DPA は、プロセッサーがコントローラーに代わってキャンペーン データを処理する限り適用されます。