データ処理契約

1.当事者および適用範囲

本データ処理契約（以下「データ処理契約」）は、Hournook のアカウントを有する事業者（以下「管理者」または「お客様」）と Theocharis Panagiotis Siozos（ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ）、DevTaskHub.com の屋号で事業を営む個人事業主、Markou Mpotsari 83, 546 44 Thessaloniki, Greece。ギリシャ納税者番号（ΑΦΜ）169481343、ギリシャ一般商業登記簿（Γ.Ε.ΜΗ.）登録番号 186989906000（以下「処理者」または「当社」）との間で締結されます。本契約は利用規約の一部を構成し、当社が Hournook の提供にあたりお客様に代わって個人データを処理する場合に、別途の署名なく自動的に適用されます。

「個人データ」「処理」「管理者」「処理者」「データ主体」「個人データ侵害」などの用語は、規則（EU）2016/679（以下「GDPR」）における意味を有するものとします。データ保護に関して本データ処理契約と本規約とが矛盾する場合は、本データ処理契約が優先します。

2.処理の詳細

• 対象事項および目的：お客様への Hournook の提供（予約ページのホスティング、予約の受付と管理、顧客記録の保存、お客様に代わっての予約メールの送信、統計、エクスポートおよびサポート）。
• 期間：お客様が Hournook を利用している間、および下記のとおりデータが削除されるまで。
• 処理の性質：予約ページまたはお客様の入力による収集、保存、整理、検索、お客様とそのチームへの表示、メールによる送信、エクスポートおよび消去。
• データ主体：予約する、またはお客様が登録する顧客および見込み顧客、ならびにお客様のスタッフおよびチームメンバー。
• 個人データの種類：氏名、メールアドレス、電話番号、予約の詳細（サービス、担当スタッフ、日付、時刻、料金、ステータス、履歴）、顧客からのメッセージ、お客様が記載するメモ、ならびにスタッフの氏名とシフト。
• 特別な種類のデータ：Hournook は特別な種類のデータ（健康データなど）を想定して設計されていません。お客様は、法律上認められ、かつ必要な保護措置を確保している場合を除き、これらを入力しないものとします。入力した場合は、本データ処理契約のセキュリティ措置がそれらにも適用されます。

3.お客様の指示に基づく処理

当社は、お客様の文書化された指示、すなわち本規約および本データ処理契約、ならびにお客様が Hournook で利用する設定および操作に基づいてのみ個人データを処理します。EU 法またはギリシャ法により処理が義務付けられる場合を除き、当社は個人データを自らの目的に利用せず、販売せず、他のデータと組み合わせません。そのような場合、法律で禁止されていない限り、事前にお客様にお知らせします。

当社は、ある指示が GDPR その他のデータ保護法に違反すると判断した場合、直ちにお客様にお知らせします。

4.秘密保持

当社が個人データへのアクセスを許可した者はすべて秘密保持義務を負い、本サービスの提供、保護またはサポートに必要な範囲でのみアクセスします。

5.セキュリティ措置（第 32 条）

当社は、最新の技術水準、費用およびリスクを考慮して、適切な技術的・組織的措置を講じます。現在の措置は以下のとおりです。

• 通信時の暗号化（HSTS を伴う HTTPS、暗号化されたデータベース接続）。
• ホスティング事業者およびデータベース事業者による保存時の暗号化。
• すべてのリクエストで適用される事業者ごとのデータの論理的分離、およびチームメンバーのロールベースの権限。
• 強力な一方向パスワードハッシュ、安全なセッション Cookie、ログイン試行の制限とアカウントロック、ならびに機密性の高い操作のレート制限。
• すべてのページにおけるコンテンツセキュリティポリシーおよびその他のセキュリティヘッダー。
• アカウントおよびデータに関する重要な操作の監査ログ。
• インシデント発生後の復元を可能にする、データベース事業者によるバックアップ。
• 本番システムへのアクセスを提供者の事業主に限定し、各事業者のアカウントで多要素認証を使用。
• プライバシーポリシーに定めるデータの最小化と自動削除。

当社は、全体的なセキュリティ水準が低下しない限り、これらの措置を更新することができます。

6.再処理者

お客様は、当社が再処理者を利用することについて一般的な許可を与えるものとします。現在お客様の顧客のデータを処理している再処理者は次のとおりです。

当社は、各再処理者に本データ処理契約と同等のデータ保護義務を課し、その履行についてお客様に対して引き続き責任を負います。当社は、再処理者を追加または変更する少なくとも 30 日前までに、アカウント所有者にメールでお知らせします。お客様は、その期間内にデータ保護上の合理的な理由に基づき異議を申し立てることができます。当社が異議に合理的に対応できない場合、お客様は対象のサービスを解約し、前払料金の日割り返金を受けることができます。

7.国際移転

再処理者が欧州経済領域の域外で個人データを処理する場合、当社は、十分性認定（認証を受けた事業者に対する EU・米国データプライバシーフレームワークなど）または欧州委員会の標準契約条項（必要に応じて補完的措置を伴う）により、その移転が GDPR 第 5 章に適合するようにします。

8.データ主体からの請求およびコンプライアンスへの支援

Hournook では、顧客データの閲覧・訂正・エクスポート、顧客の消去、事業者の削除など、ほとんどの請求にお客様ご自身で対応できます。お客様の顧客から当社に直接請求があった場合、当社は自ら回答せず（お客様への案内を除く）、不当な遅滞なくお客様に転送します。

当社は、処理の性質および当社が入手可能な情報を考慮し、セキュリティ、侵害の通知、データ保護影響評価および事前協議に関するお客様の義務について、合理的な範囲で支援します（GDPR 第 32 条から第 36 条）。

9.個人データ侵害

当社は、お客様のデータに影響する個人データ侵害を認識した後、不当な遅滞なく、かつ遅くとも 48 時間以内に、アカウント所有者宛てのメールでお客様に通知します。通知には、その時点で判明している範囲で、侵害の性質、関係するデータ主体および記録の種類とおおよその数、想定される結果、ならびに講じたまたは講じる予定の措置を記載します。当社は、侵害を封じ込めるための合理的な措置を講じ、お客様が監督機関およびデータ主体への通知義務を果たせるよう、判明次第追加の情報を提供します。

10.データの削除および返還

お客様はいつでもデータをエクスポートできます。顧客を消去すると、その個人データは直ちに削除され、お客様の統計用に匿名化された予約記録のみが残ります。事業者を削除すると、そのすべてのデータは当社の本番システムから直ちに削除されます。いずれの場合も、EU 法またはギリシャ法により保存が義務付けられる場合を除き、データは 30 日以内に当社のデータベース事業者のバックアップ上で上書きされます。事業者を削除しないままサブスクリプションが終了した場合、データはお客様が削除するまで引き続きご利用いただけます。

11.情報提供および監査

当社は、GDPR 第 28 条の遵守を証明するために合理的に必要な情報を提供し、当社の処理に関するお客様の書面による質問に回答します。それでも十分でない場合、お客様は、少なくとも 30 日前の書面による通知をもって、年 1 回を上限として（監督機関の要請がある場合または侵害の発生後を除く）、営業時間内に、他の顧客のデータや当社のセキュリティを損なわない方法で、秘密保持義務を負う独立した監査人を通じる場合を含め、当社の遵守状況を監査できます。各当事者は自らの費用を負担するものとします。

12.責任および契約期間

本データ処理契約に基づく責任は、法律で認められない場合を除き、本規約に定める制限に服します。本データ処理契約は、当社がお客様に代わって個人データを処理しなくなった時点で自動的に終了し、削除および秘密保持に関する義務はそれまで存続します。本契約には、本規約と同じ準拠法および管轄裁判所が適用されます。

13.お問い合わせ

本データ処理契約に関するご質問、または当社が署名した写しのご請求は、devtaskhub@devtaskhub.com までご連絡ください。