本契約（以下「本 DPA」）は、Proofline 利用規約（以下「本規約」）に基づき 株式会社siracusa（以下「当社」）がお客様に提供する「Proofline」（以下「本サービス」）において、当社がお客様から委託を受けて取り扱う個人データの取扱いを定めます。本 DPA は本規約に同意したときに成立し、本規約と一体となって適用されます。用語は本規約の定義によります。
第 1 条 当事者の立場
- お客様は、お客様データに含まれる個人データについて、個人情報取扱事業者（委託元）です。
- 当社は、お客様から個人データの取扱いの委託を受け、本サービスの提供のためにのみ取り扱います（受託者）。当社は、お客様の指示（本規約・本 DPA・本サービスの設定および操作を含みます）に従ってのみ個人データを取り扱います。
第 2 条 取り扱う個人データ
| 区分 | 内容 |
|---|---|
| 本人の類型 | お客様の役員・従業員・委託先の者・派遣労働者等（以下「従業員等」）、お客様の利用者 |
| アカウント・名簿の情報 | 氏名、メールアドレス、所属・部署、役割、在籍の状態、雇用の区分、入社日・退職日 |
| ログの情報 | 連携先サービスの管理ログ・監査ログ（ログイン・管理操作・トークンの発行・ファイル共有・メール設定の変更等の日時、操作した者、IP アドレス、端末・ブラウザの情報） |
| 端末・アカウントの状態 | 多要素認証の設定、端末の名称・管理の状態・所有者、連携アプリの許可、EDR・端末管理・ゼロトラストの製品の検知・拒否の記録、ソースコード管理サービスのアカウント |
| お客様が登録する記録 | 証跡のファイル、規程・文書、教育の記録、承認申請・運用タスク、インシデントの記録（個人情報保護委員会への報告の内容を含みえます）、取引先の情報 |
お客様は、要配慮個人情報を本サービスに登録しないよう努めるものとします。
第 3 条 取扱いの目的・範囲
当社は、個人データを、点検・判定・記録・報告書の作成・公開ページの提供その他の本サービスの機能の提供、本サービスの保守・障害の対応・セキュリティの確保のためにのみ取り扱い、これ以外の目的に利用しません。当社は、個人データを人工知能・機械学習のモデルの学習に利用しません（Proofline AI ポリシー）。
第 4 条 安全管理措置
当社は、プライバシーポリシー 第 7 条および Proofline Security Overview に定める安全管理措置を講じます。
第 5 条 サブプロセッサー
- お客様は、当社が Proofline サブプロセッサー一覧 に記載するサブプロセッサーに個人データの取扱いを再委託することを承諾します。
- 当社は、サブプロセッサーを追加・変更する場合、効力発生日の 30 日前までにお客様に通知します。お客様は、合理的な理由がある場合、当該期間内に異議を述べ、本契約を解約できます。
- 当社は、サブプロセッサーに対し、本 DPA と同等の保護を確保するよう努め、必要かつ適切な監督を行います。
第 6 条 当社の担当者によるアクセス
- 当社は、お客様の会社（テナント）のデータに当社の担当者がアクセスする仕組みを設けていません。当社の担当者がお客様データを閲覧するのは、お客様が当社の担当者を本サービスの利用者として招待した場合に限ります。この場合、当該担当者は、お客様が付与した役割の範囲でのみ閲覧・操作します。
- 前項にかかわらず、当社は、障害の対応・セキュリティの確保・法令への対応のため必要な最小限の範囲で、当社のシステムの管理者によりデータを取り扱うことがあります。この場合、取扱いの記録を残します。
第 7 条 漏えい等の通知
当社は、お客様の個人データの漏えい、滅失、毀損その他の事故（そのおそれを含みます）を知ったときは、遅滞なく（目標として 72 時間以内に）お客様に通知し、事実関係・影響範囲・対応の状況を報告し、お客様による個人情報保護委員会への報告・本人への通知に協力します。
第 8 条 本人からの請求への協力
当社は、お客様が従業員等からの開示・訂正・削除等の請求に対応するために必要な協力を行います。
第 9 条 返還・削除
- 本契約の終了時、お客様は本規約第 6 条第 2 項の猶予期間（30 日）内にお客様データを書き出すことができます。
- 当社は、猶予期間の経過後、個人データを復元できない方法で削除します。個人データはお客様ごとの暗号の鍵で暗号化して保存しており、猶予期間の経過後に当該鍵を破棄することで復元できない状態にします。本規約第 6 条第 4 項に定める改ざん防止のために一定期間（最長 1 年）削除できない形で保存している記録は、鍵の破棄により復元できない状態としたうえで、当該期間の満了後に物理的に削除します。
- 当社は、お客様の求めに応じ、削除が完了した旨を通知します。
第 10 条 監査への協力
当社は、お客様の合理的な求めに応じ、本 DPA の遵守状況に関する情報（Security Overview、サブプロセッサー一覧、当社の規程の概要等）を提供します。
第 11 条 優先関係
本 DPA と本規約が個人データの取扱いについて矛盾する場合、本 DPA が優先します。