データ処理補遺

この翻訳は便宜のために提供されています。英語版と内容が異なる場合は、英語版が優先されます。

当事者と適用範囲

本データ処理補遺（以下「DPA」）は、ScanMosaic（United Kingdom、以下「当社」、処理者）とScanMosaicを利用する事業者のお客様（以下「お客様」、管理者）との間の契約の一部であり、利用規約と本DPAで構成されます。英国GDPR、EU GDPR、または類似の法律に基づき、当社がお客様の処理者として個人データを処理する場合に適用されます。プライバシーポリシーに記載の、アカウントや請求の詳細など、当社が管理者として自社の目的で処理するデータには適用されません。

事業目的で有料プランを利用するか、[email protected]に署名済みコピーを依頼することで、本DPAに同意したものとみなされます。

処理の対象、期間、性質、目的

当社は、QRコード、短縮リンク、ホストページ、ファイルのホスティング、スキャンまたはクリックした人のリダイレクト、訪問数のカウント、ダッシュボード、レポート、APIの提供を行います。個人データは、お客様がサービスを利用している間と、以下の削除期間に限って処理します。

個人データとデータ主体

• コードをスキャンした人、リンクをクリックした人：日時、国と市区町村（GPSではなくネットワークから判定）、デバイスの種類、OS、ブラウザ、言語、参照元サイト、毎日変わる訪問者キー。IPアドレスは保存せず、Cookieも設定しません。
• ホストされたフォームやフィードバックページに入力した人：フォームで尋ねた内容すべて。
• コンテンツに名前が含まれる人：たとえば、デジタル名刺の連絡先や、アップロードしたファイルなど。
• チーム：ワークスペースのメンバーのメールアドレスとロール、およびその変更のアクティビティログ。

適法な根拠があり、当社に書面で通知している場合を除き、ホストされたフォームを通じた特別カテゴリーのデータ（健康データなど）の収集に、本サービスを使用してはいけません。

当社の義務

• 当社は、本規約、お客様の設定、サービスの利用という文書化されたお客様の指示に基づいてのみ個人データを処理します。指示がデータ保護法に違反すると判断した場合はお知らせします。
• お客様の個人データにアクセスできる全員に守秘義務があります。
• 権利を行使する個人からの請求への対応をお手伝いします。ほとんどはダッシュボードで対応できます。コード、リンク、フォームの回答、スキャン記録のエクスポート、編集、削除が可能です。
• 当社サービスに関わる範囲で、データ保護影響評価や監督機関との協議をお手伝いします。

セキュリティ対策

• すべての通信にHTTPS（TLS）を使用しています。データはホスティングプロバイダーに保存され、保存時に暗号化されます。
• スキャン記録にIPアドレスは保存しません。レート制限やユニーク訪問者数には、元に戻せないキー付きの一方向ハッシュを使用しています。
• ワンタイムコードによるパスワードレスのサインイン。セッションは一方向ハッシュとして保存され、すべての端末で終了できます。
• すべてのワークスペースでロールに基づくアクセス制御（オーナー、管理者、編集者、閲覧者）を行い、リクエストごとにサーバー側で確認します。APIキーはワークスペース単位で、ハッシュ化して保存されます。
• 連携用のAPIシークレットなど、お預かりしたサードパーティのシークレットは暗号化され、再表示されることはありません。
• 宛先はGoogle Web Riskで確認します。ユーザーのコンテンツを表示するページには、厳格なコンテンツセキュリティポリシーを適用しています。
• 本番システムへのアクセスは、サービスを運営する担当者のみに限定されています。

サブプロセッサー

お客様は、再処理者のページに記載された再処理者の利用を当社に許可します。当社は、各再処理者に対し、本DPAと同等以上の保護水準のデータ保護義務を契約で課し、その責任を負い続けます。新しい再処理者については、ワークスペースオーナーへのメールで30日以上前にお知らせします。データ保護上の合理的な理由で異議を申し立て、解決できない場合は、影響を受けるサービスを終了でき、前払い済みの残りの期間分の料金を返金します。

国際送金

一部の再処理者は、英国およびEEAの外でデータを処理します。その場合は、十分性認定（受領者が認証を受けている場合のEU-USデータプライバシーフレームワークおよび英国拡張を含む）、またはEU標準契約条項と英国国際データ移転補遺に基づき、必要に応じて補完的措置を講じています。

個人データの漏えい

お客様のデータに影響する個人データ侵害を認識した場合、不当な遅延なく、遅くとも48時間以内にお知らせします。何が起きたか、影響を受ける可能性のあるデータと人、想定される影響、当社の対応をお伝えし、新たにわかったことがあれば随時更新します。通知はワークスペースオーナーのメールアドレスに送ります。

削除と復元

ダッシュボードの「プライバシーとデータ」から、いつでもデータをダウンロードでき、コード、リンク、ファイル、回答もいつでも削除できます。スキャン記録は13か月後に自動的に削除されます。アカウントまたはワークスペースを削除した場合、または契約終了から30日後に、法律で保管が求められる場合を除き、稼働中のサービスから個人データを削除します。ホスティングプロバイダーが保持するバックアップは、その後30日以内に上書きされます。

監査と情報

当社は、本DPAを遵守していることを示すために必要な情報を提供します。これには、年1回までの合理的なセキュリティ質問票への回答が含まれます。それでも不十分な場合、お客様は、年1回、30日以上前の通知のもと、営業時間内に、お客様の費用負担と秘密保持のもとで、他のお客様のデータにアクセスしない形で、当社の遵守状況を監査できます。再処理者の監査は、各社の認証およびレポートでカバーされます。

責任と優先順位

本DPAに基づく各当事者の責任は、法律で認められない場合を除き、利用規約の制限に従います。個人データに関して本DPAと利用規約が矛盾する場合は、本DPAが優先されます。標準契約条項が適用される場合は、それが最優先となります。

連絡先

本DPAに関するご質問や署名済みコピーのご依頼：[email protected]