データ処理補足合意書

本データ処理補足合意書（「DPA」）において、別途定義されていない大文字の用語は以下の意味を有し、「個人データ」、「処理」、「管理者」、「処理者」、「データ主体」および「個人データ侵害」などの用語は、GDPRを含む適用されるデータ保護法において与えられた意味を有します。

• 「本契約」とは、Georithmの使用を規定する、お客様とGeorithm間の基礎となるサービス利用規約またはサブスクリプション契約を意味します。
• 「お客様データ」とは、お客様に代わってGeorithmに提出された、またはGeorithmによって処理された個人データを意味します。
• 「データ保護法」とは、個人データの処理に関連する適用法を意味し、必要に応じてGDPR、英国GDPR、PIPEDA、およびCCPA/CPRAを含みます。
• 「再処理者」とは、お客様データを処理するためにGeorithmによって雇用された第三者を意味します。

両当事者は、お客様データに関して、データ保護法に基づき、お客様が管理者（または適宜、事業者）として行動し、Georithmが処理者（または適宜、サービスプロバイダー）として行動することを認めるものとします。

Georithmは、適用法により別途義務付けられている場合を除き、お客様の文書化された指示、本DPA、および本契約に従ってのみお客様データを処理します。

対象事項： ホスティング、認証、マッピング、AIが生成するインサイト、および関連するサポートサービスを含む、Georithmロケーションインテリジェンスプラットフォームの提供。

期間： 処理は本契約の期間中、およびその後Georithmが本DPAに従ってお客様データを保持する期間継続します。

性質および目的： 地図、検索結果、およびお客様の権限を与えられたユーザーによって要求されたAI駆動のロケーションインテリジェンスの生成を含む、Georithmサービスの提供に必要な、お客様データの収集、保存、整理、検索、使用、および削除。

データ主体の類型：

• お客様の権限を与えられたユーザー（従業員、受託者、代理人）。
• お客様のユーザーによってプラットフォームに入力された場所、住所、またはビジネスデータに情報が含まれる個人。

個人データの項目：

• 連絡先および識別データ（氏名、メールアドレス、業務上の役割）。
• 認証データ（サインイン方法、アカウント識別子）。
• プラットフォームに入力された使用状況およびクエリデータ。
• 請求およびアカウント管理データ。

特別なカテゴリーのデータ： 両当事者は、特別なカテゴリーのデータまたは機微な個人データがGeorithmに提出されることを意図していません。お客様は、書面による別途の合意がない限り、かかるデータを提出しないことを確実にする責任を負います。

Georithmは以下を行います：

1. 法令により義務付けられている場合を除き、国際移転に関する事項を含め、お客様からの文書化された指示に基づいてのみお客様データを処理すること。
2. お客様データの処理を許可された人員が機密保持義務を負っていることを確実にすること。
3. 付録 IIに記載されている適切な技術的および組織的措置を実施すること。
4. 指示が適用されるデータ保護法に違反していると判断した場合、お客様に通知すること。
5. 処理の性質を考慮し、処理のセキュリティ、データ保護影響評価、および監督当局との協議に関連する義務の遵守においてお客様を支援すること。

Georithmは、お客様データを処理することを許可された者が、契約上または法令上の機密保持義務を負っていることを確実にし、お客様データへのアクセスを、本契約に関連する職務を遂行するためにそれを必要とする人員に限定するものとします。

Georithmは、以下を含む、お客様データを保護するために設計された技術的および組織的措置を維持します：

• クライアントとGeorithmのインフラストラクチャ間の転送中データの暗号化。
• Supabaseを利用したデータベース内での保存データの暗号化。
• メール/パスワードおよびGoogleサインインを含む安全な認証メカニズム。
• 悪用および不正アクセスの試みを緩和するためのレート制限。
• セキュリティに関連するアクションおよび管理アクションの監査ログ。
• お客様データへの内部アクセスを制限するロールベースのアクセス権限。
• 処理されるデータの機微レベルに応じた環境の分離およびアクセス制御。

これらの措置は定期的に見直され、更新されますが、中断のない、または絶対的なセキュリティを保証するものではありません。

お客様は、Georithmの提供を支援するために、Georithmが以下のカテゴリーの再処理者を採用することに一般的な承諾を与えるものとします：

• ホスティングおよびデータベース — Supabase（データベースホスティングおよび認証）。
• 決済 — Stripe（決済処理および請求）。
• マッピング — Mapbox（地図の描画およびジオコーディング）。
• AIモデルプロバイダー — 場所ベースのインサイトを生成するために使用されるAIモデルゲートウェイ。
• メール — アカウントおよび請求通知のためのトランザクションメール配信プロバイダー。

Georithmは、本DPAにおける義務と実質的に同様のデータ保護義務を再処理者に課すものとします。Georithmが再処理者の追加または変更を意図する場合、お客様に通知を行い、お客様は合理的なデータ保護上の理由に基づき異議を申し立てることができます。両当事者が異議を解決できない場合、お客様は本契約に従って影響を受けるサービスを終了することができます。

処理の性質を考慮し、Georithmは、適切な技術的・組織的措置およびアプリ内のツールを通じて、お客様が適用されるデータ保護法に基づく権利（アクセス、修正、削除、またはポータビリティなど）を行使しようとするデータ主体からの請求に対応できるよう、合理的な支援をお客様に提供します。データ主体の請求への対応責任は、管理者であるお客様が引き続き負うものとします。

Georithmは、お客様データに影響を及ぼす個人データ侵害を知り得た場合、不当な遅延なく、いかなる場合も72時間以内にお客様に通知し、お客様が適用されるデータ保護法に基づき自らの通知義務を果たせるよう、Georithmが合理的に入手可能な情報を提供するものとします。Georithmはお客様に協力し、かかる侵害の影響を緩和するために合理的な措置を講じます。

Georithmは、本DPAへの準拠を証明するために合理的に必要な情報をお客様が利用できるようにし、お客様またはお客様が任命した監査人が実施する監査（検査を含む）を認め、それに協力します。これには、合理的な事前通知、機密保持義務が適用され、監督当局が要求する場合またはセキュリティインシデントにより誘発される場合を除き、実施は年に1回を上限とします。

お客様データの処理に、欧州経済領域、英国、またはスイスから、十分な保護レベルを提供しているとみなされない国への移転が含まれる場合、両当事者は、かかる移転が欧州委員会の標準契約条項（SCC）、および該当する場合は英国の国際データ移転追補（UK International Data Transfer Addendum）によって規定されることに同意します。これらは参照により本DPAに組み込まれ、適法な移転メカニズムが維持されることを確実にするために必要な範囲において、矛盾する条項に優先するものとします。

本契約の終了または満了時、Georithmはお客様の選択に従い、すべてのお客様データを削除または返還し、既存のコピーを合理的な期間内に削除するものとします。ただし、適用法によりお客様データの一部または全部の継続的な保存が義務付けられている場合を除き、その場合、Georithmはそのデータを隔離し、さらなる処理から保護するものとします。

本DPAに起因または関連する各当事者の責任は、適用されるデータ保護法がかかる制限を禁止していない限り、本契約に定められた責任の制限および除外に従うものとします。

個人データの処理に関して本DPAと本契約の間に矛盾がある場合、その矛盾の範囲において本DPAが優先するものとします。本DPAと、セクション12に基づき組み込まれた標準契約条項または英国追補との間に矛盾がある場合、標準契約条項または英国追補が優先するものとします。

本DPAは、両当事者による承諾をもって、お客様とGeorithm間の本契約の一部を構成することを意図しています。本DPAを締結する場合、または副署済みのコピーを要求する場合は、jerogz@georithm.infoまでご連絡ください。必要に応じて、両当事者は、本DPAならびにそのバージョンおよび発効日を参照する署名欄への記入、またはクリックによる承諾を行うことができます。