データ保護契約
データ処理契約 — CrowdHandler Ltd
バージョン 2 — 2026年9月14日
本データ処理契約（以下「DPA」という）は、CROWDHANDLER LTD（会社番号 12677268、登録住所：Windsor House, Bayshill Road, Cheltenham, Gloucestershire, GL50 3AT, 英国 — 「当社」）と顧客との間で、当社の利用規約（https://www.crowdhandler.com/terms）およびあらゆるエンタープライズ注文（以下、総称して「本契約」という）に基づき締結される契約の一部を構成する。 本契約は、当社がアプリケーションの提供にあたり、お客様に代わって個人データを処理するあらゆる場合に適用され、当該処理に関しては利用規約に優先して適用されます。ただし、責任については利用規約の第12条が適用されます。本契約において定義されていない大文字で表記された用語は、利用規約に定められた意味を有します。
1. 定義
1.1. 「データ保護法」とは、本契約に基づく個人データの処理に適用されるすべての法令を意味し、これには（該当する場合）EU一般データ保護規則（GDPR）および他の法域における同等の、またはこれに対応する法令が含まれる。「個人データ」、「管理者」、「処理者」、「データ主体」および「処理」は、適用されるデータ保護法において定義される意味を有する。
1.2. 「顧客の個人データ」とは、別紙に記載のとおり、本アプリケーションの提供に際し、当社が顧客に代わって処理する個人データを指します。「データセキュリティインシデント」とは、顧客の個人データの偶発的または違法な破壊、紛失、改ざん、不正開示、または不正アクセスを招くセキュリティ侵害を指します。「サブプロセッサー」とは、顧客の個人データを処理するために当社が委託した第三者を指します。
2. 役割
2.1. 顧客の個人データに関しては、顧客がデータ管理者（または当社に指示を行う権限を有するデータ処理者）となり、当社はデータ処理者となります。米国の一州またはその他の法域のプライバシー関連法が適用される場合、当社は顧客の「サービスプロバイダー」またはそれに相当する立場として行動し、アプリケーションの提供、または当該法令で認められている場合を除き、顧客の個人データを販売または共有せず、また保持、利用、開示することもありません。
2.2. 当社は独立したデータ管理者であり、お客様自身の従業員およびユーザー（アカウント管理、請求、サポート）に関する個人データ、ならびにキュー位置通知の受信をオプトインしたエンドユーザーのメールアドレス（当社に直接提供されたもの）については、本DPAは適用されません。当該処理については、当社のプライバシーポリシー（https://www.crowdhandler.com/privacy）が適用されます。
3. 手順
3.1. 当社は、法律により別段の定めがある場合を除き（その場合は、禁止されていない限り、お客様に通知します）、国際的なデータ移転を含め、お客様からの文書による指示に基づいてのみ、お客様の個人データを処理します。本契約、本DPA、およびお客様によるアプリケーションの設定は、文書化された指示のすべてを構成します。当社は、指示がデータ保護法に違反すると判断した場合、お客様にその旨を通知し、指示が確認または修正されるまで、当該処理を一時停止することがあります。
3.2. 当社は、本アプリケーションの提供を記録するため、または法的請求を確立、行使、または防御するために必要な場合、お客様の個人データの写しを保持することがあります。当該データは、これらの目的のためにのみ処理され、本DPAに従って保護されます。
4. 機密保持とセキュリティ
4.1. 当社は、お客様の個人データを処理する権限を有する者が、拘束力のある守秘義務を負い、業務上必要な場合に限り当該データにアクセスするよう確保します。
4.2. 当社は、処理の性質およびリスクにふさわしい、業界標準の技術的および組織的措置を講じ、維持することにより、顧客の個人データが、偶発的または違法な破壊、紛失、改ざん、不正な開示またはアクセスから保護されるよう努めます。
5. 二次委託先
5.1. お客様は、当社がサブ処理業者を起用することについて、包括的な権限を当社に付与するものとします。現在のリストはhttps://www.crowdhandler.com/privacy で公開されています。当社は、サブ処理業者の追加または交代を行う場合、少なくとも14日前に通知を行い、各サブ処理業者に対し、本DPAに規定されるものと実質的に同等のデータ保護義務を課すとともに、各サブ処理業者の履行についてお客様に対して責任を負い続けます。
5.2. お客様は、通知期間内に、データ保護に関する合理的な理由に基づき、新たなサブ処理業者に対して異議を申し立てることができます。その場合、当事者は誠意をもって当該異議について協議します。解決に至らず、かつ商業的に合理的な代替手段がない場合、当社は当該機能またはサービスの提供を中止することができ、あるいはお客様は書面による通知をもって当該サブスクリプションを解約することができます。
6. 国際送金
6.1. 適用されるデータ保護法により、顧客の個人データの他国への移転が制限される場合、当社（および当社の再委託先）は、十分性認定またはこれに相当する認定の対象となる場合、あるいは標準契約条項または当該法令に基づき承認されたその他の移転メカニズムに従う場合に限り、当該移転を行います。 当事者間で標準契約条項が必要とされる場合、当該条項は、付録に記載された情報を反映させた上で、顧客を「輸出者」、当社を「輸入者」とするものとして、参照により本DPAに組み込まれるものとします。
7. 支援
7.1. 処理の性質および当社が入手可能な情報を踏まえ、当社は、データ主体が権利を行使する場合への対応、ならびにセキュリティ、漏洩通知、データ保護影響評価、および監督当局との協議に関するお客様の義務の履行について、適切な措置を講じてお客様を支援します。 当社が顧客の個人データに関するデータ主体からの請求を受けた場合、当社はそれを顧客に転送し、顧客の指示がある場合、または法律で義務付けられている場合を除き、これに応答しません。法律で禁止されている場合を除き、公的機関による顧客の個人データの開示を求める法的拘束力のある請求があった場合は、顧客に通知します。
8. データセキュリティインシデント
8.1. 当社は、データセキュリティインシデントを認識した後、不当な遅延なく、いかなる場合でも72時間以内に、当社が合理的に入手可能な情報を提供して（必要に応じて段階的に、かつ進行中の調査を理由に初期通知を遅らせることなく）顧客に通知し、その影響を軽減するための合理的な措置を講じます。 当社は、法律または規制当局により開示または通知が義務付けられている場合、あるいはデータ主体またはその他の影響を受けた顧客に対する通知（顧客を特定しないものに限る）を除き、顧客の事前の書面による同意なしに、データセキュリティインシデントに関連して顧客を特定する内容の公表を行いません。
9. 検証および監査
9.1. 当社は、データ保護法で定められている通り、顧客の個人データの処理に関する記録を保持します。
9.2. 顧客の検証権は、まず、当社のセキュリティ対策に関する書面による情報の提供、および合理的なセキュリティに関する質問票への回答を、要請に応じて機密保持の下で行うことにより、満たされるものとする。
9.3. 当該情報が、具体的かつ正当な目的（顧客に影響を及ぼす重大なデータセキュリティインシデント、または管轄監督当局の要求）にとって不十分な場合、当社は、顧客または顧客が委任した独立監査人（当社の競合他社ではなく、かつ当社が合理的に判断して許容できる者）による監査を許可し、これに協力するものとします。 ただし、12ヶ月間に1回に限り、少なくとも30日前の書面による通知を条件とし、本DPAに基づく顧客個人データの処理に限定され、適切な機密保持の誓約の下で、当社の業務に不当な支障をきたさず、かつ他の顧客のデータにリスクをもたらさない範囲で行われ、かつ、監査にかかる費用は顧客が自己負担し、監査を支援するための当社の合理的な費用を顧客が負担することを条件とします。
9.4. 当社は、顧客の個人データを処理するための物理的な施設を保有していません。処理は、当社のサブプロセッサーが運営するクラウドインフラストラクチャ上で行われますが、当社は当該施設を管理しておらず、またアクセス権を付与することもできません。したがって、監査は、記録、書面による回答、および面談を通じて遠隔で実施されます。ホスティング施設の物理的およびプラットフォーム上の管理措置については、関連するプロバイダーが作成した保証文書によって検証されており、当社は必要に応じて当該文書を提供または参照します。
10. 返却および削除
10.1. 本契約の終了時、または特定の顧客個人データに関してそれ以前に書面による要請があった場合、当社は、顧客の選択に従い、当該顧客個人データを返還するか、または安全に削除します（要請に応じて削除の証明を行います）。ただし、法令により保存が義務付けられている場合はこの限りではなく、その場合は、当社は本DPAに基づき当該データを保護し、当該法令が要求する範囲内でのみ処理を行い、その要件が終了した時点で削除します。 契約終了後30日以内に選択がない場合、当社は当該データを削除します。
11. 総則
11.1. 本DPAに起因または関連して生じる各当事者の責任は、利用規約の第12条に定める免責事項および責任制限の対象となります。ただし、本DPAのいかなる規定も、法的に免除または制限することができない責任を免除または制限するものではありません。 本DPAは、本契約の成立時に効力を生じ、当社が顧客個人データの処理を停止するまで継続し、利用規約と同様の法律に準拠し、同様の管轄権に服する。
付録 — 処理の詳細
対象事項、性質および目的：契約期間中、アプリケーション（仮想待合室サービス）の提供に伴うエンドユーザーのリクエストデータの処理——エンドユーザーのキューへの登録、受付、レート制限、および顧客のウェブサイトへのリダイレクト；悪意のある活動（ボット、スクレイパーなど）を検知・防止するための匿名化されたトラフィックプロファイリング；および、機能が有効になっている場合、エンドユーザーのセッションがキューの先頭に達した際に電子メールで通知すること。
データ主体：顧客のウェブサイト上の「待合室」を利用するエンドユーザー。
個人データの種類：IPアドレス、ブラウザの種類／ユーザーエージェント、オペレーティングシステム、言語設定、および（任意で）エンドユーザーのメールアドレス（エンドユーザーがキューの順位通知の受信に同意し、かつ顧客がその機能を有効にしている場合に限る。当該メールアドレスは、当社のプライバシーポリシーに基づきエンドユーザーから当社に直接提供され、通知の送信にのみ使用され、送信後は削除され、顧客とは共有されない）。
特別なカテゴリーまたは機微なカテゴリーに該当する個人データ（適用されるデータ保護法で定義されるもの）：本アプリケーションの提供において、これらはいずれも保存されていません。
データ転送： https://www.crowdhandler.com/privacy に掲載されているサブ処理業者リストに規定されている通り、第6条の規定に従うものとする。
署名（署名済みの写しが必要なお客様向け）
CrowdHandler Ltd を代表して
氏名：ジェイコブ・グリムリー 役職：CEO 日付：
顧客に代わり、および顧客を代表して
氏名： 役職： 日付：