データ処理契約（DPA）

1. 当事者と役割

お客様（法人）とNovatiseとの契約です。お客様のサイトやスマートフォンがダッシュボードに送る個人データについては、お客様が利用目的を決め、当社がお客様のために取り扱います。個人情報保護法上は委託先、PDPA 上はデータ仲介者となります。

2. 対象・期間・目的

当社は、Cyber Securitise の提供のためだけに、アカウントが存続する間とその後の削除まで（第9項）お客様のデータを取り扱います。広告、プロファイリング、販売・共有、AI モデルの学習には使いません。

3. データと本人

要配慮個人情報の取扱いは想定していません。お客様はこれを意図して送信しないものとします。

• サイトの訪問者・ユーザー：IP アドレス（初期設定で短縮）、ログインイベントのユーザー名、セキュリティイベントのユーザーエージェント
• お客様の従業員・メンバー：氏名、メールアドレス、権限、ログインと監査の記録
• スマートフォン保護をご購入の場合の利用者：端末名と機種、アプリのバージョン、ブロック・非表示にした件数
• ファイルの抜粋（最大300文字、鍵とパスワードは伏せ字）に偶然含まれる個人データ

4. 当社の義務

• 文書化された指示（本契約、利用規約、ダッシュボードの設定）にのみ従います。
• アクセスする全員に守秘義務を課します。当社スタッフがお客様のデータを見るのは許可がある場合だけで、すべて記録されます。
• 「セキュリティ」ページに記載の安全管理措置を講じます。
• 本人からの請求への対応（ダッシュボードのデータのダウンロードとアカウント削除を含む）を支援します。
• 漏えい等、影響評価、当局からの照会への対応を合理的な範囲で支援します。

5. 再委託先

「データの取り扱い」ページに記載の委託先をご承認いただきます。個人データを取り扱う委託先を追加・変更する場合は少なくとも30日前にお知らせし、お客様は異議を述べることができます。解決できない場合は該当サービスを解約し、未経過分の返金を受けられます。各委託先には当社と同等以上の保護義務を課し、当社が責任を負います。

6. 外国への移転

ダッシュボードは日本（東京）のサーバーで稼働しています。日本・シンガポール国外でデータを扱う委託先には、個人情報保護法と PDPA に相当する保護を契約で義務付けています。

7. 漏えい等

お客様が当局や本人への義務を果たせるよう、不当な遅滞なく、可能な限り72時間以内に判明している事実をお知らせし、その後も状況をお伝えします。

8. 監査

遵守を示すために合理的に必要な情報（年1回のセキュリティ質問票への回答を含む）を提供します。当局の要請がある場合や漏えい等の発生後は、実地監査も可能です。

9. 削除と返却

データはいつでもダウンロードできます。アカウントの削除・終了後30日以内にデータを削除し、それまでにご請求があれば JSON 形式で返却します。請求書は税法上必要な期間 Stripe が保存します。