データ処理契約（DPA）

これは便宜上の翻訳です。英語版が正本として効力を持ちます。

本契約は、Aphroaがお客様に代わって個人データをどのように取り扱うかを定めるものです。本契約は、Fair Lead Hub、および当社がお客様のウェブサイトまたはシステム上の個人データを閲覧できるすべてのサービスに適用されます。一般データ保護規則（GDPR）第28条に基づき、お客様が管理者、Aphroaがお客様の処理者となります。本契約は当社の利用規約の一部であり、お客様が注文または無料トライアルを開始した時点で効力を生じます。

1. 当事者および適用範囲

• 管理者：注文または無料トライアルを開始した事業者（以下「お客様」）。
• 処理者：個人事業であるSedeus（屋号：Aphroa、以下「当社」）。事業主：Sercan Uslu。住所および連絡先は事業者情報に記載しています。
• 対象サービス：Fair Lead Hub、ならびに、お客様が個人データを保有するシステムへのアクセスを当社に付与する場合のWebsite Fix & Speed、New Website、SEO & AI Visibility、Integrations & AutomationおよびFor Agencies。
• お客様がお問い合わせフォームまたは注文フォームで当社に送信する個人データは、当社が管理者として処理します。これについては本契約ではなく、当社のプライバシーポリシーに記載しています。

2. 対象および期間

本契約の対象は、第3条に記載する処理です。本契約は、当社が本契約の対象となるサービスを提供する期間に加え、第10条に基づきデータを返却または削除するために必要な期間、存続します。

3. 処理の性質および目的

• Fair Lead Hub：当社は、お客様が名刺をスキャンし、記載されたデータを読み取り、連絡先を保存・エクスポートし、お客様自身のアドレスとSMTPからウェルカムメールおよびフォローアップメールを作成・送信するためのウェブアプリを提供します。フォローアップメールは自動ツールによって個別化されます。
• お客様のウェブサイトまたはシステムでの作業：当社は、お客様から付与されたアクセス権を、合意した作業を行うために使用します。その際、フォームの入力内容、注文、ユーザーアカウントなど、そこに保存されている個人データを閲覧する場合があります。当社はそれを作業の実施のためにのみ使用します。
• 当社は、これらの目的のためにのみデータを処理し、当社自身の目的のためには処理しません。データを販売することはありません。

4. データの種類および対象者

• Fair Lead Hub：お客様が名刺をスキャンした人、または詳細情報を入力した人、およびアプリを使用するお客様自身の従業員。データ：氏名、役職、会社名、メールアドレス、電話番号、ウェブサイト、それらの人のために作成されたフォローアップメールの内容、ならびにお客様のユーザーのアカウントデータ。
• お客様のシステムでの作業：お客様の顧客、ウェブサイト訪問者、ユーザーおよび従業員（当社がアクセスできるシステム上にそのデータがある範囲に限ります）。データ：連絡先データ、アカウントデータ、注文データおよびフォームデータ、技術データ。
• 特別な種類の個人データ（GDPR第9条）や犯罪歴に関するデータは当社に提供しないでください。お客様のシステムにそのようなデータが含まれる場合は、アクセス権を付与する前に当社にお知らせください。

5. お客様の義務

• お客様は、法的根拠、対象者への情報提供、および必要な場合にはメール送信に関する対象者の同意を含め、処理の適法性について責任を負います。
• お客様は、当社への指示を書面（メールを含みます）で行います。開始時点では、当社の規約、お見積もり、およびお客様によるサービスの利用が、お客様の指示のすべてとなります。
• お客様は、指示を適法に実行できない場合、またはデータに誤りがある場合、遅滞なく当社に通知します。

6. 当社の義務

• 当社は、法律で別段の定めがある場合を除き、他国への移転を含め、お客様の文書による指示に基づいてのみ個人データを処理します。指示がデータ保護法に違反すると考える場合は、お客様にお知らせします。
• 当社のためにデータにアクセスするすべての者は、守秘義務を負います。
• 当社は、第7条に定める措置を講じます。
• 当社は、第8条に定めるとおりにのみ再委託先を利用します。
• 当社は、対象者からの請求（アクセス、訂正、消去、制限、データポータビリティ、異議）への対応について、可能な限りお客様を支援します。対象者から当社に直接連絡があった場合は、その請求をお客様に転送します。
• 当社は、当社が把握している情報を考慮したうえで、GDPR第32条から第36条に基づくお客様の義務（セキュリティ、侵害の通知、影響評価、事前協議）の履行を支援します。
• 当社は、お客様のデータに影響する個人データ侵害を知った後、不当な遅滞なく、遅くとも24時間以内にお客様に通知し、お客様が通知を行えるよう、当社が保有する情報を提供します。
• 当社は、本契約を遵守していることを示すために必要な情報をお客様に提供します（第11条）。

7. 技術的および組織的措置

これらの措置は、当社のウェブサイト、フォームおよびメールシステムに適用されます。

• 暗号化された接続：当社のウェブサイトとフォームはHTTPSでのみ動作します。メールは、当社自身のメールサーバーから暗号化された接続で送信されます。
• アクセスの制限：お客様のデータへのアクセスは、お客様の作業に必要な者に限定されます。アクセス権は、その作業のために作成した一時的なアカウントで付与していただくようお願いしています。当社はアクセス権をその作業にのみ使用し、作業終了時にはアカウントを閉じていただくようお願いしています。
• データの最小化：当社は、リードおよび同意の記録にIPアドレスを保存せず、毎日変わるハッシュ値を保存します。作業に必要なデータのみをお願いしています。
• 短い保存期間：記録は保存期間の経過後に自動的に削除されます。リードは24か月後、送信待ちのメールは30日後、当社の送信用プラグインのログは14日後、サーバーログは7日後に削除されます。
• ウェブサイトの堅牢化：管理画面でのファイル編集は無効、XML-RPCインターフェースは無効、ユーザー名の一覧は公開されず、データベースへのアクセスにはプリペアドステートメントを使用しています。
• 不正利用の防止：フォームには、隠しフィールド、署名付きの時間トークン、Cloudflare Turnstile、および試行回数の制限を設けています。
• 自社メールサーバー：当社は、第三者のメール配信サービスを通じてメールを送信していません。

8. 再委託先

お客様は、表に記載された再委託先を当社が利用することについて、一般的な承認を与えます。当社は、再委託先を追加または変更する前に、メールまたは本ページでお客様にお知らせします。お客様は、データ保護上の正当な理由がある場合、30日以内に異議を申し立てることができます。合意に至らない場合は、いずれの当事者も該当するサービスを終了することができます。

9. 他国への移転

Cloudflare, Inc.は米国を拠点としています。この移転については、事業者が認証を受けている場合はEU-米国データプライバシーフレームワークに、加えて標準契約条項に依拠しています。

Anthropicは米国を拠点としています。名刺の読み取りとメールの個別化のためにAnthropicに送られるFair Lead Hubのデータは、適切な保護措置を講じた場合にのみ移転されます。

当社はトルコを拠点としており、トルコについてはEUの十分性認定がありません。当社はトルコからデータを閲覧します。移転に関する規則によりお客様のデータについて保護措置が必要な場合は、欧州委員会の標準契約条項など、適切な措置をお客様と合意します。legal@aphroa.comまでご連絡いただければ、その措置を講じます。

10. 削除および返却

サービスの終了時、当社は、お客様の選択に応じて、30日以内にお客様の個人データを削除するか、お客様に返却します。Fair Lead Hubの連絡先はCSVファイルで返却します。お客様から付与されたアクセス権は以後使用しません。法律で保存が義務付けられている場合に限りデータを保持し、その場合もその目的にのみ使用します。

11. 情報提供および監査

当社は、ご要望に応じて、本契約を遵守していることを示すために必要な情報をお客様に提供します。それで十分でない場合、お客様は、合理的な事前通知のうえ、営業時間内に、当社の他の顧客の妨げとならない方法で、当社の処理を検査することができます。各当事者は自らの費用を負担します。検査はお客様のデータの処理のみを対象とします。

12. 責任およびその他の条件

当社の利用規約の責任に関する条項は、本契約にも適用されます。個人データに関して本契約と利用規約の内容が異なる場合は、本契約が優先します。

13. 準拠法および管轄

本契約はトルコ共和国の法律に準拠します。強行法規に別段の定めがある場合を除き、エスキシェヒルの裁判所および執行機関が管轄権を有します。

14. お問い合わせ

本契約に関するご質問：legal@aphroa.com。