データ処理契約

本データ処理契約（以下「DPA」）は、NoxVerify Ltd.（以下「処理者」または「NoxVerify」）とテナント（以下「管理者」）との間のサービス利用規約の一部を構成し、本人確認サービスの提供に関連して管理者に代わってNoxVerifyが行う個人データの処理を規律します。

1. 定義

本DPAでは、以下の定義が適用されます。

• 「管理者」とは、個人データの処理の目的および手段を決定し、その代理としてNoxVerifyが個人データを処理するテナントを意味します。
• 「処理者」とは、管理者に代わって個人データを処理するNoxVerify Ltd.を意味します。
• 「再委託先」とは、管理者に代わって個人データを処理するためNoxVerifyが起用する第三者を意味します。
• 「個人データ」とは、本DPAに基づき管理者に代わってNoxVerifyが処理する、識別された、または識別可能な自然人に関するあらゆる情報を意味します。
• 「データ主体」とは、個人データが関係する個人を意味し、本人確認の対象となる申請者を含みます。
• 「データ漏えい」とは、送信、保存、その他処理された個人データの偶発的または不法な破壊、損失、改ざん、不正開示、またはアクセスを引き起こすセキュリティの侵害を意味します。
• 「適用データ保護法」とは、GDPR、KVKK、CCPAおよびその他関連法令を含む、本DPAに基づく個人データの処理に適用されるすべての法令を意味します。

2. 範囲および目的

NoxVerifyは、管理者に代わって、サービス利用規約に記載される本人確認サービスを提供する目的でのみ個人データを処理します。処理の範囲には以下が含まれます。

• 書類処理、OCR抽出、生体照合、生存性検出を含むKYC個人本人確認。
• 登記検索、企業書類分析、実質的支配者特定を含むKYB企業検証。
• ウェブサイトスキャン、リスクシグナル検出、コンプライアンスチェックを含むKYM加盟店モニタリング。
• 制裁リスト、PEPデータベース、否定的メディア情報源に対するAMLスクリーニング。
• 事前に検証された対象者の継続的モニタリングおよび定期的な再スクリーニング。

データ主体のカテゴリには以下が含まれます：KYC検証を受ける個人、KYB検証を受ける企業の取締役および実質的支配者、KYMオンボーディングを受ける加盟店、プラットフォームにアクセスする管理者の代理人。

3. 処理者の義務

NoxVerifyは、処理者として以下を行うものとします。

• 適用法により求められる場合を除き、管理者から文書化された指示に従ってのみ個人データを処理します。処理が法律により要求される場合、NoxVerifyは（法律で禁止されない限り）処理に先立ち管理者に法的要件について通知します。
• 個人データを処理する権限を有する者が秘密保持に同意していること、または適切な法定守秘義務の下にあることを確保します。
• 第5条に定める適切な技術的・組織的セキュリティ対策を実施し維持します。
• 第4条に定める再委託先の起用条件を尊重します。
• 処理の性質を考慮し、第7条に定めるデータ主体からの請求に対応する管理者の義務の履行を支援します。
• セキュリティ、漏えい通知、データ保護影響評価、監督機関との事前協議に関する義務の遵守について管理者を支援します。
• 管理者の選択により、サービス提供終了後にすべての個人データを削除または返却し、適用法による保存が必要な場合を除き、既存の写しを削除します。
• 本DPAの遵守を示すために必要なすべての情報を管理者が利用できるようにし、第9条に定める監査を許可し、それに貢献します。

4. 再委託先

管理者は、サービス提供を支援するためNoxVerifyが再委託先を起用することについて一般的な書面による認可を提供します。NoxVerifyは現在の再委託先のリストを維持し、リストへの変更を予定している場合は少なくとも30日前に管理者に通知するものとします。

現在の再委託先

管理者がデータ保護に関連する合理的な根拠に基づき新しい再委託先に異議を唱える場合、NoxVerifyは商業的に合理的な努力により代替手段を提供するか、管理者が違約金なく該当サービスを終了することを認めます。

NoxVerifyは、本DPAに定める保護水準を下回らないデータ保護義務を各再委託先に課すものとします。NoxVerifyは、再委託先の義務の履行について管理者に対し引き続き完全に責任を負います。

5. セキュリティ対策

NoxVerifyは、以下の技術的・組織的セキュリティ対策を実施します。

• 保存時の暗号化：証拠ファイル、データベースレコード、バックアップを含む保存されたすべての個人データに対するAES-256暗号化。
• 転送時の暗号化：クライアント、サービス、再委託先間で転送されるすべてのデータに対するTLS 1.3。
• アクセス制御：最小権限の原則に基づくロールベースアクセス制御（RBAC）。すべての管理アクセスに対する多要素認証。
• 監査ログ：個人データへのすべてのアクセスおよび処理の包括的なログ、改ざん耐性のあるストレージおよび10年間の保存。
• インシデント対応：定義された重大度レベル、エスカレーション手順、コミュニケーションテンプレートを備えた文書化されたインシデント対応計画。
• 脆弱性管理：定期的な自動脆弱性スキャンおよび資格を有する独立した評価者による年次ペネトレーションテスト。
• 事業継続性：定義された目標復旧時間および目標復旧時点を備えた、複数のアベイラビリティーゾーンにわたる冗長インフラ。
• 人的セキュリティ：個人データにアクセスする従業員の身元調査。義務的なセキュリティ意識向上トレーニング。

6. 漏えい通知

NoxVerifyは、データ漏えいを認識してから不当な遅滞なく、いかなる場合も72時間以内に管理者に通知するものとします。通知には以下を含めます。

• 影響を受けるデータ主体および個人データレコードのカテゴリおよび概算数を含む、データ漏えいの性質の説明。
• NoxVerifyのデータ保護責任者またはその他の追加情報の連絡先の氏名および連絡先。
• データ漏えいの予想される結果の説明。
• 可能な悪影響を軽減する措置を含む、データ漏えいに対処するために講じられた、または講じることが提案された措置の説明。

NoxVerifyは管理者と協力し、漏えいの調査、軽減、是正を支援するため商業的に合理的な措置を講じます。NoxVerifyは、事実、影響、是正措置を含むすべてのデータ漏えいを文書化します。

7. データ主体の権利

NoxVerifyは、適用データ保護法に基づく権利（アクセス、訂正、削除、制限、ポータビリティ、異議の権利を含む）を行使するデータ主体からの請求に対応する管理者の義務の履行を支援するものとします。

NoxVerifyがデータ主体から直接請求を受けた場合、NoxVerifyは速やかにその請求を管理者に転送し、管理者により認可された場合または法律により求められる場合を除き、データ主体に直接対応してはなりません。

NoxVerifyは、データ主体の請求に対応して個人データをエクスポート、訂正、または削除する技術的能力を管理者に提供します。合理的な支援は追加料金なしで提供されます。重要なカスタム作業を要する請求は、事前に合意された料金の対象となる場合があります。

8. データ削除

サービス契約の終了時、NoxVerifyは管理者の選択により以下を行います。

• 構造化され一般的に使用される機械可読形式で、すべての個人データを管理者に返却する、または
• すべての個人データを削除し、書面でその削除を証明する。

データのエクスポートまたは削除は、終了後30日以内に完了します。NoxVerifyは、適用データ保護法（例：AML/CTF記録保存義務）により求められる場合にのみ、この期間を超えて個人データを保持できます。保持されたデータは引き続き本DPAに従って保護されます。

9. 監査権

管理者は、本DPAに対するNoxVerifyの遵守を監査することができます。監査は、以下の条件を条件として実施されます。

• 管理者は、少なくとも30日前の事前書面通知をもって、年に1回の監査を実施または委託することができます。
• 監査は通常の営業時間中に、NoxVerifyの業務への支障を最小化する方法で実施されるものとします。
• 監査によりNoxVerifyの重大な不遵守が明らかになった場合を除き、管理者が監査費用を負担します。
• 監査者は、NoxVerifyのシステムまたは施設にアクセスする前に適切な秘密保持契約を締結する必要があります。
• NoxVerifyは、関連する第三者の監査報告書（例：SOC 2 Type II）または認証文書を提供することにより、監査要求を満たすことができます。

10. 国際的データ移転

個人データが管理者の管轄区域外に移転される場合、NoxVerifyは適用データ保護法に従い適切な保護措置が講じられていることを確保するものとします。

• 欧州委員会の採択する標準契約条項（SCCs）（実施決定（EU）2021/914）が、EEAからの移転について本DPAに参照により組み込まれます。
• 十分性認定：欧州委員会またはその他の関連当局が移転先国について十分性認定を発行している場合、その認定が移転メカニズムとして機能します。
• 補完的措置：移転影響評価の結果により必要とされる場合、NoxVerifyは移転メカニズムの有効性を確保するため追加の技術的・組織的措置を実施します。
• データレジデンシー：エンタープライズテナントは、特定カテゴリの個人データを指定された地理的地域に制限するため管轄区域ロック型ストレージを構成できます。

11. 期間

本DPAは、管理者が初めてNoxVerifyプラットフォームにアクセスする日に発効し、両当事者間のサービス契約期間中効力を有します。その性質上、終了後も存続すべき本DPAの規定（第6、8、9、10、12条を含む）は、終了後も引き続き適用されます。

12. 責任

本DPAの下での責任は、サービス利用規約に定める制限の対象となります。本DPAの下での各当事者の総責任は、サービス利用規約で確立された責任上限を超えないものとします。

本DPAに関するご質問は、以下までご連絡ください。