データ処理契約
最終更新: 2026年3月
1. はじめにと適用範囲
このデータ処理契約（以下「DPA」）は、TR7 Ltd（以下「TR7」、「処理者」）と顧客（以下「お客様」、「管理者」）間のサービス契約の一部を構成します。本DPAは、英国一般データ保護規則（UK GDPR）、欧州連合一般データ保護規則（EU GDPR 2016/679）、およびData Protection Act 2018に準拠して、TR7がお客様に代わって個人データを処理する条件を定めます。
2. 定義
本DPAにおいて、「個人データ」、「データ主体」、「処理」、「管理者」、「処理者」、「副処理者」、および「監督当局」の用語は、UK GDPRおよびEU GDPRにおいて付与された意味を有するものとします。「データ保護法」とは、UK GDPR、EU GDPR、Data Protection Act 2018、および随時改正される適用される国内施行法を意味します。
3. 役割と責任
お客様はデータ管理者として行動し、個人データの処理の目的と手段を決定します。TR7はデータ処理者として行動し、お客様に代わって、かつお客様の文書化された指示に従ってのみ個人データを処理します。TR7は、適用法により求められる場合を除き、お客様が指示した以外の目的で個人データを処理しないものとします。法律により求められる場合、TR7は処理前にお客様に通知します（法律により禁止されている場合を除く）。
4. データカテゴリ
本DPAに基づき、以下のカテゴリの個人データが処理される場合があります。
データ主体：お客様の従業員、契約者、エンドユーザー、および承認された連絡先。
個人データのカテゴリ：
• 連絡先情報（氏名、メールアドレス、電話番号、役職）
• アカウント認証情報（ユーザー名、暗号化されたパスワード）
• システムアクセスログおよびIPアドレス
• テクニカルサポートの通信内容およびチケットの内容
• 指名されたユーザーに関連する構成メタデータ
特別カテゴリ：TR7は、特別カテゴリの個人データ（例：健康データ、生体認証データ）を意図的に処理しません。お客様は、事前の書面による合意なしに特別カテゴリのデータをTR7に提出してはなりません。
5. 処理の目的と期間
TR7は、以下の目的のためにのみ個人データを処理します。
• TR7ソフトウェアおよび関連サービスの提供と運用
• テクニカルサポートおよびプロフェッショナルサービスの提供
• ユーザーアカウントとアクセス制御の管理
• 利用分析およびパフォーマンスレポートの生成（可能な限り匿名化）
• 法的および規制上の義務の遵守
処理は、サービス契約の期間中継続し、終了時に停止されるものとします（ただし、第10条（データの保持と削除）に従います）。
6. セキュリティ対策
TR7は、個人データを保護するために適切な技術的および組織的措置を実施し、維持します。これには以下が含まれますが、これに限定されません。
- 暗号化：転送中のデータはTLS 1.2以上で暗号化されます。保存中のデータはAES-256または同等の方式で暗号化されます。
- アクセス制御：最小権限の原則に基づくロールベースアクセス制御（RBAC）。お客様のデータにアクセスするすべてのTR7担当者に対する多要素認証（MFA）。
- ネットワークセキュリティ：ファイアウォール保護、侵入検知システム、およびお客様の環境を分離するためのネットワークセグメンテーション。
- 監視：継続的なセキュリティ監視、ログ分析、および疑わしい活動に対する自動アラート。
- 人員：個人データにアクセスするすべてのTR7担当者は機密保持義務を負い、定期的なデータ保護研修を受けます。
- 物理的セキュリティ：TR7が使用するデータセンターは、24時間監視、生体認証アクセス、環境制御を含む業界標準の物理的セキュリティ管理を維持しています。
- インシデント対応：定義された役割、通信プロトコル、およびインシデント後のレビュープロセスを含む文書化されたインシデント対応手順。
- 事業継続：データの可用性を確保するための定期的なバックアップ、災害復旧手順、および冗長性対策。
7. 副処理者
お客様は、以下の条件に基づき、TR7が個人データの処理のために副処理者を利用することについて、包括的な書面による承認を与えます。
• TR7は、現在の副処理者のリストを維持し、リクエストに応じて提供します。
• TR7は、新しい副処理者の利用または既存の副処理者の変更の少なくとも30日前にお客様に通知します。
• お客様は、通知から14日以内に新しい副処理者に対して異議を申し立てることができます。お客様が合理的な根拠に基づいて異議を申し立て、TR7がその異議に対応できない場合、いずれかの当事者は影響を受けるサービスを終了することができます。
• TR7は、各副処理者に本DPAに定められたものと同等以上のデータ保護義務を課します。
• TR7は、副処理者の作為および不作為について全面的に責任を負います。
8. データ主体の権利
TR7は、アクセス権、訂正権、消去権、処理の制限権、データポータビリティ権、および異議申立権を含む、データ保護法に基づく権利を行使するデータ主体からの要求への対応においてお客様を支援します。TR7は、データ主体から直接要求を受けた場合、速やかにお客様に通知し、法律で要求される場合を除き、お客様の事前の書面による指示なしに当該要求に回答しません。
9. データ侵害の通知
TR7は、個人データの侵害を認識した時点で、不当な遅延なく、いかなる場合も72時間以内にお客様に通知します。通知には以下が含まれます。
• 影響を受けたデータ主体およびレコードのカテゴリと概数を含む侵害の性質
• 侵害の予想される影響
• 侵害に対処し、その影響を軽減するために講じたまたは提案された措置
• TR7のデータ保護担当者の連絡先
TR7は、お客様と協力し、侵害の調査、軽減、および修復を支援するためにすべての合理的な措置を講じます。
10. データの保持と削除
サービス契約の終了時、TR7は、お客様の選択により、すべての個人データをお客様に返還するか、90日以内にすべての個人データを安全に削除します（ただし、適用法により保持が求められる場合を除く）。TR7は、お客様の要求に応じて、削除の書面による確認を提供します。法的遵守の目的で保持される個人データは、引き続き本DPAに従って保護されます。
11. 国際データ移転
TR7は、お客様の事前の書面による同意なく、また以下のような適切な保護措置が講じられていることを確認せずに、英国または欧州経済領域（EEA）外に個人データを移転しません。
• 英国情報コミッショナーオフィス（ICO）または欧州委員会が承認した標準契約条項（SCCs）
• 英国国務大臣または欧州委員会による十分性認定
• 関連する監督当局が承認した拘束的企業準則
TR7は、必要に応じて移転影響評価を実施し、本質的に同等のデータ保護レベルを確保するために必要な補完的措置を講じます。
12. 監査と検査
TR7は、本DPAへの準拠を証明するために必要なすべての情報をお客様に提供し、お客様またはお客様が指名した独立した監査人による監査（検査を含む）を許可し、これに協力します。当該監査は、合理的な事前通知（少なくとも30日前）をもって、通常の営業時間中に実施され、TR7の業務を不合理に妨害してはなりません。TR7による重大な不遵守が監査により判明した場合を除き、監査の費用はお客様の負担とします。
13. データ保護影響評価
TR7は、データ保護法により求められる場合、データ保護影響評価（DPIA）の実施およびその監督当局との事前協議においてお客様に合理的な支援を提供します。
14. 責任
本DPAに基づく各当事者の責任は、サービス契約およびエンドユーザーライセンス契約（EULA）に定められた制限に従います。各当事者は、UK GDPRおよびEU GDPRの責任規定に従い、データ保護法に違反する処理によって生じた損害について責任を負います。
15. お問い合わせ
データ保護に関するお問い合わせ：
TR7 Ltd
データ保護担当
EAGLE TOWER, Montpellier Drive, Office Suite 120
Cheltenham GL50 1TA, United Kingdom
Email: privacy@tr7.com
UK Information Commissioner's Office (ICO): ico.org.uk