本データ処理契約(「DPA」)は、お客様(「管理者」)とJuan José Camacho(「処理者」)との間の利用規約の一部を構成し、処理者がQR Brandingサービスの提供に伴ってお客様に代わって個人データを処理する場合に常に適用されます。
1. 当事者
管理者:利用規約に同意した自然人または法人。処理者:Juan José Camacho(所在地:04005, Almería, スペイン、連絡先:support@qr-branding.com)。
2. 対象および期間
処理者はQR Brandingサービスの運用(アカウント管理、QR生成、APIアクセス、課金照合、カスタマーサポート)のためにのみ個人データを処理します。処理は管理者のアカウント期間に加え、第11条に記載の保存期間にわたり継続します。
3. 処理の性質および目的
QRコードのレンダリング、有料ダウンロードの提供、APIコールの認証、トランザクションメールの送信、アフィリエイト報酬の支払いに必要な個人データの保管、取得、送信および削除。
4. データ主体およびデータの種類
- データ主体:管理者のエンドユーザー、管理者の従業員、および管理者自身。
- 種類:メールアドレス、IPアドレス、ブラウザロケール、国(IPから推定)、購入メタデータ、アフィリエイト識別子。
5. 管理者の指示
処理者は、第三国への移転を含め、管理者の文書化された指示に基づいてのみ個人データを処理します。本規約、プライバシーポリシー、およびsupport@qr-branding.com宛に送付された書面の指示は文書化された指示を構成します。
6. 守秘義務
個人データの処理を許可された担当者は、GDPR第28条(3)(b)と同等の守秘義務を負います。
7. セキュリティ対策
処理者はGDPR第32条に従い、転送時の暗号化(TLS 1.2以上)、保存時の暗号化(AES-256)、最小権限アクセス制御、監査ログ、シークレットローテーション、供給者の認証(該当する場合はSOC 2 / ISO 27001)の定期的な見直しなど、適切な技術的・組織的対策を講じます。
8. 副処理者
管理者は、以下のカテゴリーの副処理者を承認します。完全な一覧(法人名と地域を含む)は /subprocessors で公開しており、副処理者が変更されるたびに更新されます:
- 当社のMerchant of Record(EU登録の決済プロバイダー) — 課金、返金、税金の納付。
- 当社のトランザクションメールプロバイダー — 領収書とアカウント関連メールの配信。
- 当社のCDN+エッジランタイムプロバイダー — フロントエンドのホスティング、アセットCDN、オブジェクトストレージ。
- 当社のマネージドPostgresデータベースプロバイダー(米国リージョン) — 注文とクレジット台帳。
- 当社のマネージドキャッシュ+レート制限カウンタープロバイダー — キャッシュ、レート制限、Webhookの冪等性。
- 当社のサーバーレス関数ホスト(Microsoft Azure 西ヨーロッパ) — エンジンの計算処理とアプリケーションのテレメトリー。
- サードパーティのLLMプロバイダー(エンドユーザーが明示的にAI生成をオプトインした場合にのみ呼び出し) — リクエストごとに使用したプロバイダーはコスト照合のために記録されます。
各副処理者は、本DPAと同等のデータ保護義務を課す書面契約により拘束されます。処理者は、副処理者の変更予定について少なくとも30日前に /subprocessors ページを通じて管理者へ通知し、合理的な理由による異議申立てを認めます。
9. 国際移転
個人データがEEA域外へ移転される場合、処理者は欧州委員会の標準契約条項(決定2021/914)および適用される補完措置に依拠します。
10. データ主体の請求
処理者は、管理者がデータ主体からの請求(アクセス、訂正、削除、ポータビリティ、異議)に不当な遅延なく対応できるよう、必要なツールと情報を提供して支援します。
11. 侵害通知
処理者は個人データ侵害を認識した後、不当な遅延なく、いかなる場合も72時間以内に管理者へ通知し、GDPR第33条(3)で求められる情報を提供します。
12. 監査、期間および終了
管理者は暦年に最大1回、自己の費用負担で、供給者の認証を確認するか、相互に合意した第三者監査人による守秘下の監査により、本DPAの遵守状況を確認できます。本DPAは基礎となる利用規約の終了とともに自動的に終了し、終了時、処理者は法律で保存が要求される場合を除き、すべての個人データを90日以内に削除または返却します。