データ処理契約（DPA）

1. 対象、性質、目的

サイバーセキュリティプラットフォームの提供。管理者のデバイスの保護、インベントリ、アップデート、監視、インシデントの検知と対応、コンプライアンスレポート、そしてオプションに応じたメールセキュリティ。

2. データと対象者の種類

• 対象者：管理者のデバイスの従業員、経営者、ユーザー。K-Mailの場合は、メールのやり取りの相手方。
• データ：識別子とユーザー名、デバイスの名称と特性、ソフトウェアのインベントリ、DNSログ、セキュリティイベント、ハッシュ。また、明示的な同意がある場合は、ファイルのサンプル、解析したメールのメタデータと内容（K-Mail）。
• 特別な種類のデータは、意図的には探索しません。解析対象のコンテンツにたまたま含まれていた場合も、同じ保護措置で取り扱います。

3. 期間

この契約は、定期契約の全期間にわたり、その終了時にデータが削除されるまで適用されます。

4. 処理者の義務

• 管理者の文書化された指示がある場合にのみデータを処理すること（移転に関する指示を含む）。ただしEU法または加盟国法で義務づけられている場合は除き、その場合は事前に管理者へ通知すること。
• データの処理を許可された者の守秘義務を確保すること。
• 第5条に定めるセキュリティ対策を実施すること。
• 管理者がデータ主体の権利行使の要請に応え、GDPR第32条から第36条の義務（影響評価や監督機関への事前協議を含む）を果たせるよう支援すること。
• 再委託先による義務の履行について、管理者に対して全責任を負うこと。
• 指示が法令に反すると考えられる場合は、直ちに管理者に通知すること。

5. 安全管理措置

• お客さまのデータを、欧州連合域内でホスティングすること [À VALIDER：ホスティング事業者の名称]。
• 通信時（TLS 1.3）と保存時の暗号化。鍵はお客さまごとに固有であること。
• データベースの行レベルのセキュリティルールと、体系的な絞り込みによる、お客さま間の分離。
• エージェントの相互認証、署名付きのコマンドとアップデート、リプレイ攻撃からの保護。
• 強力な認証、最小権限、社内アクセスの監査ログ。
• 自動的に適用される保存期間。暗号化されたバックアップ。

6. 再処理者

管理者は、「再委託先」のページに掲載された再処理者の利用を、包括的に許可します。処理者は、再処理者の追加または交換を、少なくとも30日前までに管理者に通知します。管理者は、正当な理由があれば異議を述べることができ、合意に至らない場合は、違約金なしで解約できます。各再処理者は、同等の義務を負います。

7. データ侵害

処理者は、個人データの侵害を知ってから、可能な限り速やかに、遅くとも48時間以内に、管理者に通知します。その際、管理者が監督機関へ通知するために必要な情報を提供します。[À VALIDER：期限]

8. 監査

処理者は、この契約の遵守を示すために必要な情報を提供し、監査を受け入れます。監査は、インシデントがない限り年1回までとし、合理的な事前通知のもと、他のお客さまの機密を守って行います。

9. 契約の終了

契約終了時、処理者は30日間データのエクスポートを可能にし、その後は管理者の選択に従い、データとそのコピーを返還または削除します。ただし、法令により保存が義務づけられている場合は除きます。

10. 移転

お客さまのデータは、欧州連合域内でのホスティングを予定しています。「再委託先」のページでEU域外に所在すると示された再委託先（トランザクションメールの送信、および有効化した場合のKayzen Copilotなどのオプションサービス）のみがデータを受け取ることができ、その場合はGDPR第45条または第46条の保護措置（十分性認定または標準契約条項）が適用されます。