法的情報.
データ処理契約
本データ処理契約(付録を含む、以下「本DPA」)は、顧客とTestlify, Inc.(以下「Testlify」)との間の契約に組み込まれ、その一部を構成します。
1. 適用範囲
顧客(該当する場合は顧客の関連会社を含む)とTestlifyとの間の本DPAには、個人データを含む可能性のあるエンドユーザーデータの処理に適用される法的条項が含まれています。
2. 定義
以下の定義は本DPA全体に適用されます:
「契約」とは、両当事者間でサービスの利用を規定する別個の契約が存在しない限り、Testlifyのエンドユーザー契約を意味します。
「データ保護法」とは、本DPAに基づく個人データの処理においてTestlifyに適用されるデータ保護法(該当する場合、GDPRおよびCCPAを含む)を意味します。
「DPA」とは、この顧客データ処理契約を意味します。
「エンドユーザーデータ」とは、契約によって規定される関係の期間中に、サービスがアクセスまたは収集する可能性のあるデータであり、ログ、セッションデータ、テレメトリー、ユーザーデータ、利用データ、脅威インテリジェンスの形式のものを意味します。
「GDPR」とは、2016年4月27日付の欧州議会および理事会の一般データ保護規則2016/679(自然人の個人データ処理に関する保護についての規則)を意味します。
「情報セキュリティ対策」とは、処理の安全性を確保するための技術的および組織的対策を意味します。
「セキュリティインシデント」とは、Testlifyの機器または施設に保存されたエンドユーザーデータへの不正アクセス、またはそのような機器や施設への不正アクセスであって、当該データの喪失、開示、または改ざんをもたらすものを意味します。
本DPAで使用され、GDPRで具体的に定義されている用語は、GDPRで定められたものと同じ意味を持つものとします。本DPAで使用され、GDPRで具体的に定義されていない用語は、データ保護業界で通常付与される意味を持つものとします。
3. 処理者としての個人データ処理における責任
Testlifyが(適用されるデータ保護法で定義される)処理者として顧客に代わって個人データを処理する範囲において、Testlifyは顧客の文書化された指示に基づいてのみ、以下に従ってこれを行います:
法律により要求される処理。Testlifyが適用法によって顧客の個人データを処理することを義務付けられている場合、Testlifyは法律で認められる範囲でこの処理を行い、当該法的要件について顧客に通知します。
適用されるデータ保護法の遵守。Testlifyは適用されるデータ保護法に従って顧客の個人データを処理し、要請に応じて必要な情報を顧客に提供します。
データ主体からの要求への対応。Testlifyは、適用されるデータ保護法に基づくデータ主体の権利に関する義務を顧客が遵守できるよう、合理的な支援を提供します。
データ保護影響評価。顧客の書面による要請に基づき、Testlifyは顧客の義務履行に必要な合理的な協力と支援を提供します。
権限を有する職員。Testlifyは、顧客の個人データを処理する権限を有する職員が守秘義務を負っている、または適切な法的守秘義務に従っていることを保証します。
再委託先。顧客は、Testlifyが(本契約の付録1で特定される)再委託先に個人データの処理を委託することを許可します。Testlifyが新たな再委託先を採用する場合、Testlifyは以下を行います:
変更後15日以内にサポートポータルを通じて顧客に通知し、顧客がこの再委託に異議を申し立てる機会を与えます。顧客が新たな再委託先に異議を申し立てた場合、Testlifyは合理的な努力をもって問題を是正します。
本DPAと同等以上の保護を提供する適切な契約上の義務を再委託先に課します。また、
再委託先による本DPAの遵守、および再委託先の作為または不作為によりTestlifyが本DPAに基づく義務に違反した場合について、引き続き責任を負います。
国境を越えた移転。顧客の個人データが欧州経済領域(EEA)、英国(UK)、またはスイス国外に移転される場合、Testlifyは当該移転が適用されるデータ保護法に準拠することを保証します。
個人データの機密性とセキュリティの保護。Testlifyは、個人データの機密性とセキュリティを保護するために適切な組織的、物理的、技術的対策を維持する慣行とポリシーを実施しており、これには以下が含まれます:
データの仮名化、識別解除、または暗号化;
物理的または技術的インシデントが発生した場合に、顧客の個人データの可用性とアクセスを適時に復旧する能力; および
Testlifyの情報セキュリティ対策の有効性を定期的にテスト、評価、検証するプロセス。
インシデント対応計画。Testlifyは、セキュリティインシデントが発生した場合に取るべき、封じ込め、調査、報告、および是正を含む行動を規定するインシデント対応計画を実施・維持します。
セキュリティインシデント。顧客の個人データに影響を及ぼすセキュリティインシデントが発生した場合、Testlifyは不当な遅延なく以下を行います: (a) 顧客にセキュリティインシデントを通知する; (b) 調査を行い、合理的な情報を提供する; (c) セキュリティインシデントの影響を軽減するための合理的な措置を講じる。
監査。Testlifyは、適切な守秘義務に従うことを条件に、書面による要請に基づき、該当する第三者監査報告書または認証の要約版を顧客に提供します。
保持および削除。Testlifyは、顧客データ、候補者データ、エンドユーザーデータ、および本契約に基づき影響を受けるその他のデータ主体を含む、顧客に代わって処理されるすべての個人データを、適用される保持期間に従って処理・保持します。
4. 処理される個人データの詳細
対象:本DPAに基づく処理の対象は、顧客の個人情報です。
期間:Testlifyは、契約の終了または満了まで、本DPAに基づき顧客の個人情報を処理することができます。
目的:本DPAに基づく顧客の個人情報の処理の目的は、Testlifyが契約に定められたサービスを提供し、その義務を履行できるようにすることです。
処理の性質:契約に記載されたサービスを提供するため、Testlifyは顧客の指示に従い、契約の条件に従って顧客の個人情報を処理します。
データ主体のカテゴリー:顧客は、Testlifyに開示する顧客の個人情報のカテゴリーおよび範囲を決定し、これには以下が含まれる場合がありますが、これに限定されません:
顧客に所属する従業員、請負業者、コンサルタント、および個人、または顧客の顧客およびパートナーの従業員; または
顧客の公開求人に応募する候補者
サービス提供の一環として個人情報が処理されるその他の個人。
個人情報のカテゴリー:顧客は、Testlifyに開示する個人情報のカテゴリーを決定し、これには以下に関する顧客の個人情報が含まれる場合がありますが、これに限定されません:
識別および連絡先データ(例:氏名、住所、電話番号、役職、メール、その他の連絡先詳細);
雇用の詳細(例:職種、役割、マネージャー);
テスト問題への回答およびテスト結果
処理される追加のデータポイント。これには、ユーザーアクティビティのスナップショット、評価中の画面録画、位置情報データ、その他関連するユーザーまたはセッションデータが含まれますが、これらに限定されません。
IT情報(例:権限、IPアドレス、利用データ、Cookieデータ、オンライン識別子);
ドメインおよびデバイス情報(例:ホスト名および認定ホスト名);
サービスによって識別・記録されたセキュリティイベントに関連するログに含まれる情報; および/または
サポートサービス提供の目的でTestlifyに提供される非構造化データ(例:ファイルテスト用のパケットキャプチャ(PCAP))。
移転される機微データ(該当する場合):個人情報を処理する際、主にフォレンジック調査において、Testlifyは機微データを処理する場合があります。
頻度:顧客に代わるTestlifyの処理を円滑にするための当事者間の情報交換は、契約の終了まで必要に応じて行われます。
5. エンドユーザーデータの処理
Testlifyは、顧客データ、候補者データ、エンドユーザーデータ、および本契約に基づき影響を受けるその他のデータ主体を含む、顧客に代わって処理されるすべての個人データを処理・保持します。
6. 法令の遵守
両当事者は、適用されるデータ保護法に従って個人データを処理します。顧客は、そのサービスの利用およびTestlifyによる個人データへのアクセスと処理の許可が、適用法に準拠していることを表明し保証します。
7. PCI準拠
Testlifyは決済処理業者ではないため、PCI基準への準拠は求められません。ただし、Testlifyは、業務遂行の過程でクレジットカード情報が顧客から提供される可能性があることを認識しています。
8. 責任の制限
本DPAは、顧客とTestlifyの間で有効なその他の条件に基づく、契約、不法行為、またはその他の責任理論に関わらず、顧客に対するTestlifyの責任を変更するものではありません。
9. 条項の抵触
本DPAの条項と、顧客とTestlifyの間で有効なその他の条件との間に矛盾がある場合、データ処理活動に関しては本DPAの条項が優先します。
10. 付録2 — 情報セキュリティ対策
DPA付録1:再委託先リスト
DPA付録2:情報セキュリティ対策
10.1. 適用範囲
処理の性質、範囲、状況、目的、最新技術、実装コスト、ならびに権利および自由に対する様々な発生可能性と深刻度のリスクを考慮し、当社はリスクに見合ったセキュリティレベルを確保するために適切な技術的・組織的対策を実施します。
10.2. 定義
「契約」とは、当社の基礎となるエンドユーザー契約、注文書、契約書、作業明細書、または当事者間で法的に締結され拘束力を持つその他の書面もしくは電子的な合意を意味します。
「エンドユーザーデータ」とは、契約によって規定される関係の期間中に、顧客によりまたは顧客に代わって当社に提供されるデータを意味します。疑義を避けるため、エンドユーザーデータにはシステムデータは含まれません。
「個人データ」とは、製品の提供中に顧客に代わって処理される情報であって、(i)識別された、または識別可能な自然人に関連するもの、または(ii)適用法において「個人情報」として定義されるものを意味します。
「製品」とは、企業プログラムの下で調達されたかどうかにかかわらず、ハードウェア、ソフトウェア、サブスクリプション、またはこれらの任意の組み合わせを総称して意味します。
「システムデータ」とは、顧客による製品の使用に関連して生成および/または収集されるデータであり、ログ、セッションデータ、テレメトリー、サポートデータ、利用データ、脅威インテリジェンス、またはアカウントデータなどを意味します。
10.3. セキュリティ管理
10.3.1. セキュリティプログラム
当社は、以下の要件を満たす書面による情報セキュリティプログラムを維持します:
プログラムの監督と実施を担当する上級従業員によって管理されている;
データの機密性、完全性、可用性を保護するために合理的に設計された管理的、技術的、物理的な保護措置を含む; および
当社の事業運営の性質、規模、複雑さに適している。
10.3.2. 人員セキュリティ
従業員および請負業者のスキルと能力は、採用プロセスの一環として評価されます。必要なスキルと能力は、職務記述書および人員要求に記載されます。
10.4. 下請業者に対するデューデリジェンス
10.4.1. 当社は以下を行います:
本書に記載された対策を遵守する下請業者の能力を確保するため、そのような下請業者のセキュリティ能力を定期的に評価する;
下請業者に対し、これらの対策と一致し、それらと同等以上に保護的な、当社の主要な情報セキュリティポリシーおよび基準を遵守することを義務付ける書面による情報セキュリティ要件を適用する。
10.5. 論理的セキュリティ
10.5.1. システムアクセス制御およびネットワークアクセス制御
当社は、(a) データへの不正アクセスを防止する、(b) 知る必要のあるユーザーへのアクセスを制限する、(c) 最小権限の原則に従う、ことを目的としたアクセス制御メカニズムを採用しています。
当社のユーザーは、その人物のデータへのアクセスを認証する個別のアカウントを持っています。当社はアカウントの共有を許可していません。
当社は、データを送信、処理、または保存するすべての当社システムについて、少なくとも年に1回、コントロール(アクセス制御を含む)をレビュー/監査するプロセスを維持しています。
当社は、データを保存または送信するすべてのネットワークへのリモートアクセスについて、多要素認証を必要とするよう構成しています。
当社は、システムまたはアプリケーションへのアクセスの必要性がなくなった後、速やかにデータを含むまたは処理するシステムおよびアプリケーションへのアクセスを取り消します。
10.5.2. 通信およびネットワークセキュリティ
当社は、サイトの運用にファイアウォール技術を導入しています。顧客と当社間のトラフィックは、業界標準の暗号化技術によって保護・認証されます。
当社は、ネットワークおよび/またはホストの侵害の可能性を示すアラートを生成、監視、対応するための侵入検知システムを導入しています。
当社は、企業ネットワークとデータのホスティング施設との間でネットワークセグメンテーションを実施しています。
10.5.3. 悪意のあるコードからの保護
侵害されたエンドユーザーデータの分析に特化した特定のサーバーを除き、当社のワークステーションおよびサーバーは、業界標準のウイルス対策/マルウェア対策ソフトウェアの最新バージョンを実行しています。
当社は、電子メールおよびプロキシサーバーを含む(ただしこれらに限定されない)、公共ネットワークへのすべてのゲートウェイで、受信および送信コンテンツの悪意のあるコードをスキャンします。
10.5.4. データ損失防止
当社は、データの偶発的または意図的な侵害を防止するための包括的なシステムを採用しています。
10.6. ソフトウェアの開発と保守
10.6.1. オープンソース
当社は、製品に組み込まれたオープンソースソフトウェア(OSS)およびその他のサードパーティライブラリの脆弱性を評価・追跡しています。当社は、静的コード分析と手動コードレビューを実施しています。
10.6.2. 変更管理
当社は、セキュリティプロファイルの不可欠な一部として、製品に関する文書化された変更管理プログラムを採用しており、これには本番環境と論理的または物理的に分離された環境を含みます。
10.6.3. 脆弱性管理およびアプリケーションセキュリティ評価
当社は、資格のある第三者を利用してアプリケーションセキュリティ評価を実施します。当社はまた、業界のベストプラクティスに従い、セキュリティ評価レビューを直接実施することもあります。
10.7. 保管、取り扱い、廃棄
10.7.1. データの分離
当社は、個人データおよびエンドユーザーデータを、他の顧客のデータから物理的または論理的に分離・区分しています。
10.7.2. 電子形式データの暗号化
当社は、業界標準の強力な暗号化アルゴリズムおよび鍵強度(すなわち、保存時にはAES 256ビット、転送時にはTLS v1.2)を使用して、電子形式のすべての個人データおよびエンドユーザーデータを暗号化します。
10.8. 事業継続性と災害復旧
10.8.1. 当社は、事業および顧客に提供される製品のニーズに対応するため、事業継続管理プログラムを開発、実施、維持しています。
当社の事業影響度分析計画には、依存関係を特定し潜在的な影響を評価する、事業機能とその関連プロセスの体系的なレビューが含まれますが、これに限定されません。
当社の危機管理計画には、少なくとも年に1回訓練される、イベント管理、計画およびチームの活性化、イベントおよびコミュニケーションプロセスの文書化などの要素が含まれますが、これに限定されません。
当社の事業継続計画には、少なくとも年に1回訓練される、拠点、アプリケーション、ベンダー、人員の代替策などの要素が含まれますが、これに限定されません。
当社の災害復旧計画には、インフラ、技術、システムの詳細、復旧活動が含まれ、そのような復旧に必要な人員/チームを特定しますが、これに限定されません。
10.8.2. 計画の内容
当社の計画文書は、サービスの長期にわたる中断が発生した場合に当社が取る措置に対応しています。当社は、その計画が適時の復旧に必要な措置とリソースに対応していることを確認します。
11. データ保護責任者
本データ処理契約、データプライバシー、またはお客様の個人情報保護に関するご質問やご懸念については、当社のデータ保護責任者までお問い合わせください:氏名:Chiranjeevi Tirunagari、メール:dpo@testlify.com、連絡先:+1 (844) 755 8378