Reconstruct データ処理補遺

版：2026 年 10 月 11 日。

本書は、顧客の指示に従って当社が個人データを処理する場合の、標準的なデータ処理補遺（DPA）の条件です。両当事者の署名により発効し、署名済みの写しに記載されたサービス契約を補足します。このページの閲覧だけでは DPA は成立しません。お客様のサービス用の DPA を手配するには [email protected] へ連絡してください。

当事者は、署名済みサービス契約に記載された顧客（顧客）と、Cryptify Corporation, 8 The Green, STE R, Dover, DE 19901, USA（提供者）です。

1. 範囲と役割

本 DPA は、合意されたサービスを提供するために、提供者が顧客の文書による指示に従って処理する個人データ（顧客個人データ）だけに適用されます。顧客は管理者、または管理者から権限を与えられた処理者として、提供者はそれぞれ処理者または再処理者として行動します。各当事者は、自身の役割に適用されるデータ保護法を遵守します。

提供者による独立したアカウント、請求、セキュリティ、公開カタログの活動には、適用法とプライバシーポリシーが適用されます。提供者は、本 DPA に基づく顧客個人データを、自身のカタログ公開、広告、汎用モデルの訓練、無関係の製品改善に使用してはいけません。

2. 指示と秘密保持

提供者は、法令で別途要求されない限り、国際移転を含め、文書による指示に従ってのみ顧客個人データを処理します。法律で禁止されない限り、処理前にその法的要求を顧客へ通知します。指示が適用されるデータ保護法に違反すると判断した場合は速やかに通知し、当事者間で解決する間、その指示を停止します。

顧客は、適法な収集、透明性、処理を指示する権限に責任を負います。提供者は、権限を持つ担当者に秘密保持義務を課し、業務に必要な範囲だけのアクセスを認めます。顧客は、附属書 A で明示的に評価・合意しない限り、特別カテゴリーのデータ、犯罪関連データ、児童のデータを提出できません。

3. セキュリティ

提供者は、適用法に基づくリスクに適した附属書 B の技術的・組織的措置を実施し、契約期間中、合意した保護水準を実質的に低下させません。入力、規模、処理方法を大きく変更する前に、当事者は追加措置を評価します。

4. 再処理者

顧客は、記入済みの附属書 C に特定する再処理者に対し、一般的な書面による承認を与えます。提供者は再処理者の追加・交代の少なくとも 30 日前に書面で通知し、顧客が合理的なデータ保護上の理由により異議を申し立てられるようにします。当事者は解決を図り、変更前に解決できない場合、顧客は対象の処理／サービスを終了し、基本契約と強行法に従い、そのサービスの未使用の前払い料金の日割り返金を受けられます。適時の異議が未解決である間、提供者は対象データを提案した再処理者に移転しません。

提供者は再処理者に実質的に同等のデータ保護義務を課し、適用法が要求するとおり、その履行について顧客に対して責任を負います。顧客個人データを処理できるのは、顧客の承認対象の再処理者だけです。

5. 支援とインシデント

提供者は処理の性質と利用可能な情報を考慮し、データ主体の請求や、セキュリティ、侵害通知、影響評価、規制当局との協議に関する義務について顧客を支援します。顧客個人データに関する請求を転送し、指示された場合または法令で要求される場合を除き、実質的な回答は行いません。

提供者は、顧客個人データに影響する個人データ侵害を認識した後、不当な遅滞なく顧客に通知します。通知は、判明している事実、対象データ／主体、想定される影響、軽減措置、連絡先を説明します。情報は不当な遅滞なく段階的に提供できます。提供者は封じ込め、調査、是正に協力します。通知は責任の承認ではありません。

6. 国際移転

当事者は、制限される各移転、役割、移転先を附属書 D に特定し、移転前に有効な仕組みを導入します。国際移転には、該当する場合、他国からのアクセスと再処理者への再移転を含みます。

必要な場合、当事者は、適用される欧州委員会 2021/914 標準契約条項、および該当する英国補遺、国際データ移転契約、スイス向け修正を、署名済み DPA に組み込みます。関連するモジュール、選択肢、附属書は顧客と合意します。これらの移転文書は別途締結し、このページの閲覧だけでは組み込まれません。当事者は移転評価と追加措置に協力します。強制的な移転条項は、本 DPA または基本契約の矛盾する条件に優先します。

7. 返却と削除

提供者は顧客の選択に従い、対象サービス終了後に顧客個人データを返却または削除し、法令で保持を要する場合を除いて既存の写しを削除し、求められれば確認を提供します。附属書 A はエクスポート形式、稼働システムの期限、バックアップの失効時期を定めます。法令に基づき保持するデータは隔離し、必要な目的だけに処理します。バックアップを復元した場合は削除を再適用します。顧客固有の附属書 A～D は署名済み DPA の一部を構成し、合意した処理、セキュリティ措置、再処理者、移転を定義します。

8. 情報と監査

提供者は遵守を証明するために必要な情報を提供し、顧客または権限を持つ独立監査人による検査を含む監査を認め、協力します。当事者は、強制的な監査権、緊急のインシデント調査、監督当局のアクセスを妨げずに、相応の範囲、秘密保持、合理的な事前通知を調整します。十分な場合は既存の証拠を利用できます。サービスに関して依拠する認証は、署名済み契約に特定します。

9. 優先順位と署名

本 DPA は基本契約の矛盾する処理条項に優先し、強制的な移転文書は両方に優先します。データ主体の法定の権利や当局の権限を制限しません。商業上の責任条項は、適用法と移転文書に整合する範囲だけで適用します。

DPA は、顧客と提供者の権限を持つ代表者が締結します。署名済みの写しに代表者と署名日を特定します。

附属書 A — 処理の説明とライフサイクル

附属書 B — 合意した技術的・組織的措置

顧客固有の附属書は、アクセスと特権アクセス、テナント分離、通信・保存の保護、キーとシークレットの管理、最小化、ログとマスキング、脆弱性とパッチ管理、バックアップと復元、インシデント対応、職員の秘密保持、削除、再処理者の審査、これらの措置の検証を含む、合意したセキュリティ措置を記述します。合意した認証は別途特定します。

附属書 C — 承認された再処理者

署名済みの写しは、各再処理者の法人、活動、データカテゴリー、国、移転の仕組みを一覧化します。この一覧は、その顧客のデータ処理を承認された提供者を対象とし、公開の提供者一覧より狭い場合があります。

附属書 D — 移転

署名済みの写しは、各移転、輸出者と輸入者、国、移転文書、追加措置を特定します。移転は、合意した附属書と適用される移転保護措置の対象に限定します。