データ処理契約
本データ処理契約（「DPA」）は、ThriveDesk LLC（「ThriveDesk」、「当社」）とお客様（「お客様」）との間で、以下の利用規約に基づくThriveDeskの利用について締結される契約の一部を構成します： 利用規約。本契約は、当社がお客様に代わって個人データを処理する場合に適用され、GDPR第28条およびUK GDPRを含む同等の法律で求められる条件を定めます。
ThriveDeskが署名した写しをご希望の場合は、次の宛先にメールをお送りください： parvez@thrivedesk.com 件名を「DPA」とし、会社の正式名称と住所をご記載ください。署名の有無にかかわらず、本DPAはThriveDeskのご利用に適用されます。
1. 定義
「個人データ」、「処理」、「管理者」、「処理者」、「データ主体」および「個人データ侵害」は、GDPRで定める意味を有します。「顧客データ」とは、お客様またはお客様のエンドユーザーがThriveDeskに送信する個人データを指します。「再処理者」とは、当社が顧客データの処理を委託する第三者を指します。
2. 役割
お客様は顧客データの管理者であり、当社はお客様の処理者です。お客様が他者の処理者として行動する場合、当社はお客様の再処理者となり、お客様は管理者が当社の選任を承認していることを確認するものとします。
3. 処理の詳細
| 対象 | ThriveDeskのヘルプデスク、ライブチャット、ヘルプセンター、AIおよび関連サービスの提供。 |
|---|---|
| 期間 | サブスクリプション期間に、第11条の削除期間を加えた期間。 |
| 性質および目的 | サービスの利用を通じたお客様の指示に従い、お客様のチームが顧客に回答できるよう、顧客データのホスティング、保存、整理、検索、表示、送信および分析を行います。 |
| データ主体 | お客様に連絡する顧客およびウェブサイト訪問者と、ThriveDeskを利用するチームメンバー。 |
| データの種類 | 氏名、メールアドレス、電話番号、メッセージの内容、添付ファイル、連携サービスから取得する注文・請求情報、IPアドレス、おおよその位置情報、ブラウザーおよびデバイスの詳細。 |
| 特別な種類のデータ | 処理は想定していません。適法な根拠と適切な保護措置がない限り、ThriveDeskを通じて特別な種類のデータを送信しないでください。 |
4. お客様の指示
当社は、本DPA、利用規約、およびお客様によるサービスの利用・設定という、文書化されたお客様の指示にのみ従って顧客データを処理します。指示がデータ保護法に違反すると判断した場合は、お客様にお知らせします。法律により別の方法での処理が義務づけられる場合は、法律で禁止されない限り、事前にお知らせします。
5. お客様の責任
お客様は、ThriveDeskに入力する顧客データについて適法な根拠を確保し、法律で求められる情報を本人に提供し、そのデータの正確性を確保する責任を負います。
6. 守秘義務
顧客データにアクセスできるThriveDeskの全担当者には守秘義務が課されており、サービスの運営、お客様のサポート、または法的義務の履行に必要な場合に限りアクセスします。
7. セキュリティ
当社は、顧客データを保護するための適切な技術的・組織的措置を維持しています。詳細はこちらに記載しています： セキュリティの概要。これには、転送中および保存時の暗号化、役割に応じたアクセス制御、従業員研修、監視、バックアップが含まれます。保護の全体的な水準が低下しない限り、これらの措置を更新することがあります。
8. 再処理者
お客様は、当社が次のページに記載された再処理者を利用することを承認するものとします： 再委託先 。各再処理者には、本DPAと同等以上の保護を提供するデータ保護条件が課され、当社は引き続きその業務に責任を負います。
新たな再処理者が顧客データの処理を開始する少なくとも30日前に、メールでお知らせします。お客様は、その期間内にデータ保護に関する合理的な理由に基づいて異議を申し立てることができます。異議を解決できない場合、お客様は対象サービスを終了し、残存期間の前払い料金の返金を受けることができます。
9. 支援
- データ主体からのリクエスト。 本サービスでは、顧客データへのアクセス、訂正、エクスポート、削除が可能です。お客様ご自身で対応できない場合は、当社が支援します。データ主体から当社に直接連絡があった場合は、そのリクエストをお客様に転送します。
- 影響評価。 データ保護影響評価または規制当局との協議に合理的に必要な情報を提供します。
10. 個人データ侵害
顧客データに影響する個人データ侵害を確認した場合、不当な遅延なく、確認から48時間以内にお知らせします。お客様ご自身の義務を果たすために必要な情報を提供し、進捗を随時お知らせします。参照先： データ侵害.
11. 削除と返却
サブスクリプションの有効期間中および終了後30日間は、いつでも顧客データをエクスポートできます。その後、法律により保持が必要な場合を除き顧客データを削除し、バックアップも60日以内に消去します。
12. 監査
ご要望に応じて、セキュリティ質問票への回答や当社方針の概要など、本DPAの遵守を示すために合理的に必要な情報を提供します。規制当局が求める場合、またはその情報では不十分な場合、お客様は合理的な事前通知を行ったうえで、年1回、営業時間内に、守秘義務の下で、お客様の費用負担により当社の遵守状況を監査できます。
13. 国際移転
ThriveDeskのすべてのサーバーは米国にあり、顧客データも米国に保存されます。十分性認定のない国に顧客データを移転する場合、その移転には、参照により本DPAに組み込まれる欧州委員会の標準契約条項（UK GDPRが適用される場合は英国の追加条項を含む）、またはGDPRで認められるその他の保護措置が適用されます。
14. 責任および優先順位
本DPAに基づく各当事者の責任には、利用規約の制限が適用されます。データ保護に関して本DPAと利用規約が矛盾する場合、本DPAが優先されます。標準契約条項が適用され、本DPAと矛盾する場合は、標準契約条項が優先されます。
15. 有効期間
本DPAは、当社がお客様の顧客データを処理する間有効であり、第11条に基づき当該データが削除された時点で終了します。
16. お問い合わせ
当社のデータ保護窓口は、Managing DirectorのParvez Aktherです。メールの宛先： parvez@thrivedesk.com または電話： +1 929 633 7144。データに関するリクエストの送信先： help@thrivedesk.com.
