データ処理契約（DPA）

1. 適用範囲および適用性

本データ処理契約（以下「DPA」）は、Cemile Ceylan（以下「処理者」）とお客様（以下「管理者」）との間の利用規約の一部を構成し、処理者がMobVexサービスの提供において管理者に代わって個人データを処理する場合に適用されます。本DPAは、一般データ保護規則（GDPR）第28条に準拠しています。

本DPAは、法人およびエンタープライズ顧客に適用されます。本DPAの正式な締結については、info@mobvex.ioまでお問い合わせください。

2. 定義

• 個人データ：識別された、または識別可能な自然人に関するあらゆる情報。
• 処理：個人データに対して行われるあらゆる操作（収集、記録、保管、利用など）。
• 管理者：個人データの処理の目的および手段を決定する顧客。
• 処理者：管理者に代わってデータを処理するCemile Ceylan。
• データ主体：個人データによって識別される自然人。
• 復処理者：個人データを処理するために処理者によって委託された第三者。

3. 処理の性質および目的

処理者は、管理者にMobVexサービスを提供する目的で個人データを処理します。処理活動には以下が含まれます。

• アカウントデータ：アカウント管理のためのメールアドレス、氏名、および認証トークン。
• 請求データ：Paddle（復処理者）を通じて処理される支払い情報。
• 利用状況データ：ツール利用ログ、クレジット消費量、および機能のインタラクション指標。
• アプリインベントリ：管理者によって提供されたパッケージ名およびアプリ識別子。
• 分析結果：管理者のために生成されたレポート、キーワードランキング、およびレビュー分析。

4. 処理の期間

処理は、管理者のアカウントが有効である期間中、および法律によりそれ以上の保持が義務付けられている場合を除き、アカウント終了後最大30日間継続します。

5. 処理者の義務

処理者は以下を誓約します：

• 移転に関するものも含め、管理者からの書面による指示に従ってのみ個人データを処理すること。
• 個人データの処理を許可された人員が機密保持義務を負っていることを保証すること。
• 適切な技術的および組織的安全管理措置を実施すること（第7条参照）。
• データ主体の権利行使の要求に対応する管理者を支援すること。
• セキュリティ、データ侵害の通知、およびデータ保護影響評価（DPIA）に関するGDPR上の義務を遵守する管理者を支援すること。
• 個人データの侵害を認識した場合、不当な遅滞なく、いかなる場合も72時間以内に管理者に通知すること。
• サービス提供の終了時に、すべての個人データを削除または管理者に返還すること。
• 義務の遵守を証明するために必要なすべての情報を管理者が利用できるようにすること。
• 管理者または管理者が委任した監査人による監査を許可し、それに協力すること。

6. 復処理者

管理者は、処理者が以下の復処理者を利用することを承認します：

処理者は、復処理者の追加または変更に関する予定された変更について管理者に通知し、管理者に異議を申し立てる機会を提供します。

7. 安全管理措置

処理者は、以下の技術的および組織的措置を実施および維持します：

• 送信中（TLS 1.2+）および保管時（AES-256）のデータ暗号化
• アクセス制御のためのFirebase Authenticationおよび安全なセッション管理
• コンテンツセキュリティポリシー（CSP）およびセキュリティヘッダー（X-Frame-Options、XSS保護）
• 定期的なセキュリティアップデートおよび依存関係の脆弱性スキャン
• Google CloudインフラストラクチャによるファイアウォールおよびDDoS保護
• アクセスログの記録および管理操作の監視
• 本番システムへの内部アクセスに関する最小権限の原則
• 特段の記載がない限り、us-central1リージョンに限定されたデータ保管

8. データ主体の権利

処理者は、処理の性質を考慮し、適切な技術的および組織的措置を通じて、GDPR（第12条から第23条）に基づくデータ主体の権利要求に対応する管理者の義務の履行を支援します。

データ主体からの要求は、info@mobvex.ioまでお送りください。

9. 国際データ移転

個人データは米国で処理および保管されます。EEAから米国への移転について、処理者は標準契約条項（SCC）および必要に応じた補足措置に依拠します。Google Cloud PlatformのGDPR準拠データ処理規約がFirebaseサービスに適用されます。

10. 責任

本DPAに基づく各当事者の責任は、利用規約に定められた責任制限に従うものとします。本DPAのいかなる規定も、一方の当事者の過失または故意の不正行為に起因するデータ侵害に対する責任、または法律により責任を制限することが認められていない場合の責任を制限するものではありません。

11. 正式締結

本DPAは、該当する顧客について参照により利用規約に組み込まれます。個別に署名された契約をご希望の場合、法人顧客はinfo@mobvex.ioまでお問い合わせいただけます。

12. お問い合わせ