個人データの取扱いに関する契約（DPA）

第1条（目的・定義）

1. 本 DPA は、契約者が SAKIRAKU を利用するにあたり、当社が契約者の「個人データ」を契約者から取扱いの委託を受けて処理する場合の、取扱条件を定めます。
2. 本 DPA における用語は、個人情報の保護に関する法律（以下「法」といいます）の定義に従います。「個人データ」とは、契約者が SAKIRAKU に入力・保存する、特定の個人を識別できる情報（従業員・常用・外注・取引先担当者の氏名・連絡先・住所・生年月日・保険番号・建退共番号・資格情報等）をいいます。

第2条（委託の範囲・目的）

1. 契約者は、SAKIRAKU の機能（作業予定・原価管理・出力センター・各種帳票生成等）の提供に必要な範囲で、当社に個人データの取扱いを委託します。
2. 当社は、委託された個人データを、本サービスの提供および契約者からの指示の履行の目的の範囲内でのみ取り扱い、当該目的を超えて取り扱いません。
3. 当社は、委託された個人データを、当社自身の目的のために利用しません。ただし、特定の個人・企業を識別できないよう統計的に加工した情報をサービス改善等に利用することを妨げません。

第3条（安全管理措置）

1. 当社は、委託された個人データの漏えい・滅失・毀損の防止その他の安全管理のため、法第25条に基づき、組織的・人的・物理的・技術的安全管理措置を講じます（マルチテナント分離・通信およびデータの暗号化・アクセス制御・監査ログ・脆弱性対策等）。具体的措置の詳細は、契約者のご要請に応じて提示します。
2. 当社は、本サービスの提供に従事する従業者に対し、個人データの適正な取扱いについて必要かつ適切な監督を行います。

第4条（再委託）

1. 当社は、本サービスの提供に必要な範囲で、個人データの取扱いの全部または一部を第三者（以下「再委託先」といいます）に再委託することができます。
2. 当社は、再委託先に対し、本 DPA と同等以上の個人データ保護義務を課し、適切に監督します。
3. 主な再委託先は以下のとおりです。最新の一覧はプライバシーポリシーに掲載し、変更時は本サービス上または通知により周知します。

   再委託先	役割	主な所在
   Stripe, Inc.	クレジットカード決済（※当社はカード番号を保持しません）	国外（適切性認定・標準契約条項等による保護）
   SendGrid（Twilio）等	通知メール送信	国外
   クラウド基盤事業者	サーバー・データ保管	国内

第5条（漏えい等が発生した場合の対応）

1. 当社は、委託された個人データの漏えい・滅失・毀損その他の事故（以下「漏えい等」といいます）を認知した場合、速やかに契約者へ通知します。
2. 当社は、法第26条に基づき個人情報保護委員会への報告および本人への通知が必要となる場合、契約者がこれらの義務を履行できるよう、原因・対象範囲・対応状況等の必要な情報を提供し、協力します。
3. 事故対応の詳細手順・連絡体制は、当社の定めるインシデント対応手順に従います。

第6条（契約者の指示・本人からの請求への対応）

1. 当社は、契約者が本人（個人データの主体）からの開示・訂正・利用停止・削除等の請求に対応できるよう、本サービスの機能（画面上での閲覧・修正・削除、および Excel 帳票としての出力）を提供します。本サービスの機能で対応できない請求については、契約者からのご依頼にもとづき、当社が個別に対応します。
2. 当社が本人から直接これらの請求を受けた場合、原則として契約者に取り次ぎます。

第7条（個人データの返却・削除）

1. 本 DPA または利用契約が終了した場合、当社は、契約者の個人データを利用規約第9条に定める保持期間（契約終了後60日）経過後に削除します。
2. 契約者は、契約期間中および上記保持期間中、本サービスが提供する出力機能により個人データを取得できます。当該機能で取得できないものは、契約者からのご依頼にもとづき当社が個別に提供します。
3. 法令により保存が義務付けられる情報は、当該義務の範囲・期間に限り保存します。

第8条（監査・報告）

1. 当社は、契約者の合理的な要請に応じ、本 DPA の遵守状況について必要な情報を提供し、または当社が取得している第三者認証・点検結果の概要を提示します。
2. 契約者による立入監査は、当社の事業運営に過度の負担とならない範囲・方法・頻度で、両者協議のうえ実施できるものとします。

第9条（責任）

本 DPA に関する当社の責任は、利用規約第12条（免責事項・損害賠償の上限）の定めに従います。当社の故意または重過失による場合を除き、当該責任制限が適用されます。

第10条（有効期間）

本 DPA は、契約者が SAKIRAKU の利用を開始した時に効力を生じ、利用契約の終了および前条に定める個人データの削除の完了をもって終了します（生存条項を除きます）。