データ処理契約 — DPA

顧客組織は、研修の目的を決定するデータ管理者です。提供元は、注文された機能を提供するデータ処理者として業務を行います。契約を締結する際には、顧客の名称、参照する契約、発効日、契約期間を本契約に記載する必要があります。

対象となる処理には、データの受領、保存、文書の抽出、音声シミュレーション、文字起こし、シナリオの生成、学習内容の分析、結果の提供が含まれます。これらの処理はサービスの提供期間中に行われ、その後は合意した返却および削除のルールに従います。

データ主体は、顧客組織のユーザー、管理者、チームメンバーです。データのカテゴリには、業務用識別情報、役割、研修コンテンツ、文字起こしデータ、結果、使用を許可された文書、セキュリティログが含まれます。

顧客は、必要なデータのみを提供することに同意します。架空の例で目的を達成できる場合は、健康に関するデータ、機微な情報、実在する見込み客の情報を除外してください。アプリケーションは音声ファイルを保存しません。

処理は、顧客が文書化した指示と、合意したサービスに必要な業務に限定する必要があります。データへのアクセスを許可された者には、適切な機密保持義務を課す必要があります。

適用される規則に違反するおそれのある指示は、顧客に報告する必要があります。ホスティングやAIの利用のみを理由として、別個の独自目的のためにデータを再利用することが許可されているとみなすことはできません。

本サービスでは、組織ごとのデータ分離、役割に応じた権限設定、認証、利用可能な2要素認証、およびセキュリティ上の操作記録を実施しています。本番環境の通信には暗号化されたチャネルを使用します。

セキュリティ付属書には、ホスティングの設定、サービスプロバイダーによる保存データの暗号化、管理者アクセス、バックアップ、テスト、実際に導入済みのインシデント対応プロセスを明記する必要があります。認証、可用性の保証、または将来の措置を、確認済みの事実として提示してはなりません。

オンラインの一覧には、利用中または利用予定の技術サービスプロバイダーを記載しています。実際の利用状況、データのカテゴリ、対象国、保護措置は、承認済みの付属書に記録する必要があります。

変更の通知手順、異議申し立ての期限、正当な異議があった場合の対応は、今後合意する必要があります。欧州経済領域外へのデータ移転には、適用される移転手段を用い、必要に応じて評価と追加の保護措置を講じる必要があります。EU域内でのホスティングだけでは、データ移転がないことの根拠にはなりません。

提供元は、保有する情報と機能の範囲内で、権利請求への対応、セキュリティ関連文書の作成、および顧客の処理に必要な分析について顧客を支援します。

顧客に関するデータ侵害が発生した場合、提供元はその事実を認識した後、不当な遅滞なく顧客に通知します。通知には入手可能な情報を含め、分析の進展に応じて追加情報を提供します。連絡先、通知方法、業務分担を記載する必要があります。この契約案では、具体的な数値による通知期限は定めていません。

データの返却または削除の選択、エクスポート形式、スケジュール、バックアップの取り扱いについて合意する必要があります。法的な保存義務は別途特定します。

顧客は、データ処理者の義務を評価するために必要な情報を取得できる必要があります。監査方法、機密保持、対象範囲、発生する費用については、最終決定が必要です。このオンライン版は協議のためのたたき台であり、監査や法的確認がすでに行われたことを証明するものではありません。