個人データの取扱いに関する契約（DPA）

第1条（目的・定義）

1. 本契約は、契約者が SAKIRAKU を利用するにあたり、当社が契約者の「個人データ」を契約者から取扱いの委託を受けて処理する場合の、取扱条件を定める。
2. 本契約における用語は、個人情報保護法（以下「法」）の定義に従う。「個人データ」とは、契約者が SAKIRAKU に入力・保存する、特定の個人を識別できる情報（従業員・常用・外注・取引先担当者の氏名・連絡先・住所・生年月日・保険番号・建退共番号・資格情報等）をいう。

第2条（委託の範囲・目的）

1. 契約者は、SAKIRAKU の機能（作業予定・原価管理・出力センター・各種帳票生成等）の提供に必要な範囲で、当社に個人データの取扱いを委託する。
2. 当社は、委託された個人データを、本サービスの提供および契約者からの指示の履行の目的の範囲内でのみ取り扱い、当該目的を超えて取り扱わない。
3. 当社は、委託された個人データを、当社自身の目的のために利用しない。ただし、特定の個人・企業を識別できないよう統計的に加工した情報をサービス改善等に利用することを妨げない。

第3条（安全管理措置）

1. 当社は、委託された個人データの漏えい・滅失・毀損の防止その他の安全管理のため、法第25条に基づき、組織的・人的・物理的・技術的安全管理措置を講じる。具体的措置の詳細は、契約者のご要請に応じて提示する（マルチテナント分離・通信およびデータの暗号化・バックアップの暗号化と別サーバー保管・アクセス制御・監査ログ・脆弱性対策等）。

1. 当社は、本サービスの提供に従事する従業者に対し、個人データの適正な取扱いについて必要かつ適切な監督を行う。

第4条（再委託）

1. 当社は、本サービスの提供に必要な範囲で、個人データの取扱いの全部または一部を第三者（以下「再委託先」）に再委託することができる。
2. 当社は、再委託先に対し、本契約と同等以上の個人データ保護義務を課し、適切に監督する。
3. 主な再委託先（決済・メール送信・クラウド基盤等）は以下のとおり。最新の一覧はプライバシーポリシーに掲載し、変更時は本サービス上または通知により周知する。

   再委託先	役割	主な所在
   Stripe, Inc.	クレジットカード決済（※当社はカード番号を保持しない）	国外（適切性認定・標準契約条項等による保護）
   SendGrid（Twilio） 等	通知メール送信	国外
   クラウド基盤事業者	サーバー・データ保管	国内

第5条（漏えい等が発生した場合の対応）

1. 当社は、委託された個人データの漏えい・滅失・毀損その他の事故（以下「漏えい等」）を認知した場合、速やかに契約者へ通知する。
2. 当社は、法第26条に基づき個人情報保護委員会への報告および本人への通知が必要となる場合、契約者がこれらの義務を履行できるよう、原因・対象範囲・対応状況等の必要な情報を提供し、協力する。
3. 当社は、漏えい等を認知した場合、契約者が登録した電子メールアドレスへ速やかに第一報を行い、原因・影響範囲・対応状況が判明した段階で順次報告する。対応に要する時間を事前に確約するものではない。

第6条（契約者の指示・本人からの請求への対応）

1. 当社は、契約者が本人（個人データの主体）からの開示・訂正・利用停止・削除等の請求に対応できるよう、本サービスの機能（画面上での閲覧・修正・削除、および Excel 帳票としての出力）を提供する。本サービスの機能で対応できない請求については、契約者からの依頼にもとづき、当社所定の形式および合理的な範囲で協力する。
2. 当社が本人から直接これらの請求を受けた場合、原則として契約者に取り次ぐ。

第7条（個人データの返却・削除）

1. 本契約または利用契約が終了した場合、当社は、契約者の個人データを利用規約第9条に定める保持期間（契約終了後60日）経過後に削除する。
2. 契約者は、契約期間中および上記保持期間中、本サービスが提供する出力機能により個人データを取得できる。当該機能で取得できないものは、契約者からの依頼にもとづき、当社所定の形式および合理的な範囲で協力する（実費を申し受けることがある）。
3. 法令により保存が義務付けられる情報は、当該義務の範囲・期間に限り保存する。

第8条（監査・報告）

1. 当社は、契約者の合理的な要請に応じ、本契約の遵守状況について必要な情報を提供し、または当社が取得している第三者認証・点検結果の概要を提示する。
2. 当社は、書面による質問票への回答および前項の点検結果の概要の提示をもって、契約者の監査に代えることができる。契約者による立入監査は、当社が必要と認めた場合に限り、年1回を上限として、30日前までの書面による通知のうえ、契約者の費用負担により実施するものとする。

第9条（責任）

本契約に関する当社の責任は、利用規約第12条（免責事項・損害賠償の上限）の定めに従う。当社の故意または重過失による場合を除き、当該責任制限が適用される。

第10条（有効期間）

本契約は、契約者が SAKIRAKU の利用を開始した時に効力を生じ、利用契約の終了および前条に定める個人データの削除の完了をもって終了する（生存条項を除く）。