INVIE
データ処理契約（DPA）
本書は法的審査を受けていない参考訳です。ベトナム語版または英語版と相違がある場合は、ベトナム語版が優先します。
本データ処理契約（以下「本DPA」）は、顧客とLê Bùi Hoàng Viên（以下「INVIE」）との間の利用規約の一部を構成します。本DPAは、INVIEが本サービスの提供にあたり顧客に代わって個人データを処理する場合に適用され、顧客が利用規約に同意した時点で効力を生じます。署名済みの写しを必要とする法人顧客は、legal@invie.netまでご連絡ください。
1. 定義
「顧客個人データ」とは、顧客コンテンツに含まれる個人データのうち、INVIEが顧客に代わって処理するものをいいます。「データ保護法」とは、適用される個人データ保護に関する法令をいい、EU一般データ保護規則（GDPR）（適用される場合）およびベトナム政令13/2023/ND-CPを含みます。「再委託先」とは、INVIEが起用する第三者であって、顧客個人データを処理する可能性のあるものをいいます。その他の用語は、データ保護法における意味を有します。
2. 役割
顧客個人データについて、顧客は管理者（または自らの管理者のために行動する処理者）であり、INVIEは処理者です。アカウントデータ、請求データおよび技術データについては、INVIEはプライバシーポリシーに基づく独立した管理者です。INVIEが自ら収集する公開市場データは、本DPAの対象外です。
3. 指示
INVIEは、顧客の文書化された指示に基づいてのみ顧客個人データを処理します。利用規約、本DPA、ならびに顧客による本サービスの利用および設定が、完全な指示を構成します。INVIEは、ある指示がデータ保護法に違反すると判断した場合、法律により禁止されている場合を除き、その旨を顧客に通知します。顧客は、本サービスに入力するデータについて適法な根拠を有すること、ならびにデータ主体に対して必要な通知を行い、必要な同意を取得することについて責任を負います。
4. 守秘義務
INVIEは、顧客個人データの処理を許可された者が守秘義務を負い、本サービスの運営およびサポートに必要な場合または顧客の要請がある場合にのみアクセスできるようにします。
5. セキュリティ
INVIEは、別紙2に定める技術的および組織的措置を講じます。INVIEは、全体的な保護水準を低下させない限り、これらの措置を更新することができます。
6. 再委託先
- 顧客は、INVIEが以下の区分の再委託先を利用することについて一般的な承認を与えます：クラウドインフラおよびネットワークセキュリティ、トランザクションメール、決済処理、ならびに顧客がAI機能を利用する場合に限りAIモデル事業者。
- 現在の再委託先の一覧（名称、機能、所在地）は、秘密保持契約に基づき、legal@invie.net宛ての請求に応じて顧客に提供されます。
- INVIEは、各再委託先に対し、本DPAと同等以上の保護を与えるデータ保護義務を課し、再委託先の履行について引き続き顧客に対して責任を負います。
- INVIEは、再委託先を追加または変更する少なくとも30日前までに、legal@invie.netで通知の受領を登録した顧客に通知します。顧客は、データ保護上の合理的な理由に基づき異議を述べることができます。解決策が見つからない場合、顧客は本サービスの影響を受ける部分を解約し、未使用の前払料金の返金を受けることができます。
7. 支援
INVIEは、合理的な範囲内で、データ主体からの請求（アクセス、訂正、消去、制限、ポータビリティ）、データ保護影響評価および当局への対応について顧客を支援します。INVIEが顧客のデータ主体から直接請求を受けた場合、INVIEはこれを顧客に転送し、顧客が許可した場合または法律が要求する場合を除き、自ら回答しません。
8. 個人データ侵害
INVIEは、顧客個人データに影響する侵害を確認した場合、不当な遅滞なく、かつ確認から48時間以内に、侵害の性質、関係するデータの区分およびおおよその量、想定される結果、ならびに講じたまたは講じる予定の措置について、入手可能な情報を顧客に通知します。INVIEは、顧客が自らの通知義務（例：GDPRおよび政令13/2023/ND-CPに基づく72時間）を履行できるよう協力します。
9. 削除または返還
契約終了時、顧客は本サービスのエクスポート機能を用いてプロジェクトのデータをエクスポートするか、30日以内にエクスポートを請求することができます。その後、INVIEは稼働中のシステムから30日以内に顧客個人データを削除します。バックアップはローテーションされ、法律がより長期の保存を要求する場合を除き、さらに30日以内に削除されます。
10. 監査
合理的な請求があった場合（インシデントが発生した場合または当局が要求する場合を除き、年1回を上限とします）、INVIEは、セキュリティ措置の説明やセキュリティ質問票への回答など、本DPAの遵守を証明するために必要な情報を提供します。現地監査を行う場合は、その範囲、時期、秘密保持および費用について事前に合意しなければなりません。
11. 国際移転
データは、プライバシーポリシーに記載のとおり、顧客の国の外で処理されることがあります。データ保護法が要求する場合、両当事者は欧州委員会の標準契約条項などの有効な移転メカニズムに依拠し、INVIEはベトナム法が求める越境移転の手続を履行します。
12. 責任および優先関係
本DPAに基づく各当事者の責任は、法律上そのような制限が認められない場合を除き、利用規約に定める制限に従います。個人データの保護に関して本DPAと利用規約が矛盾する場合は、本DPAが優先します。
別紙1 – 処理の詳細
| 対象事項 | 市場調査サービスを提供するための顧客コンテンツの保存および処理 |
|---|---|
| 期間 | 本サービスの提供期間および第9条に定める削除期間 |
| 性質および目的 | 保存、表示、検索、集計およびエクスポート、顧客の要請に基づくAI処理、バックアップ |
| データ主体 | 顧客のワークスペースのメンバー、顧客が追加するコンテンツに含まれる個人（例：レビューの投稿者、アップロードされたファイルに含まれる人物） |
| データの区分 | 氏名、メールアドレス、ロール、レビュー本文およびメモ、顧客がアップロードした画像、動画およびPDF、その他顧客が追加を選択したデータ |
| 特別な種類のデータ | 想定していません。顧客は、機微な個人データを本サービスに追加すべきではありません。 |
別紙2 – 技術的および組織的措置
- すべての接続にHTTPS/TLSを使用し、セッションCookieはHTTPS経由でのみ送信され、JavaScriptから読み取ることはできません。
- システムのキーおよびシークレットは暗号化して保存し、ソースコードには一切含めません。
- 有効期限付きのワンタイムリンクによりサインインし、リンクおよびセッションはハッシュ値のみを保存します。
- 管理者はアプリケーションのアカウントとは別のIDを使用し、二要素認証の必須化および短時間のセッションを適用します。管理者の操作は記録されます。
- ロールに基づくアクセス制御（Owner、Editor、Viewer）、ワークスペースごとのデータの分離、サーバー側でのアクセス制御を実施します。
- レート制限、ボット判定および利用上限、ならびにサービス妨害攻撃に対するネットワークレベルの保護を実施します。
- ポイントインタイムリカバリを備えた自動バックアップを行い、以前のバージョンを直ちに復元できる方式でリリースを展開します。
- すべてのリリースの前に自動テストを実施し、インフラへのアクセスは担当スタッフに限定します。