個人データの取扱いに関する覚書Data Processing Agreement

本覚書は、利用規約に基づき、お客様が個人情報取扱事業者として当社に取扱いを委託する個人データ（以下「委託データ」）の取扱いについて定めるものです。本覚書は利用規約の一部を構成し、お客様が利用規約に同意した時点で効力を生じます。委託データの取扱いについて、本覚書と利用規約の内容が異なる場合は本覚書が優先します。

(1) 本人の区分：お客様が本サービスに登録する外国人労働者およびその家族、所属機関・支援機関の役員・担当者等。 (2) データの項目：氏名、生年月日、性別、国籍、旅券・在留カードの記載事項、住所、連絡先、学歴・職歴・資格、雇用条件、申請書等の様式が求める事項。様式が求める範囲で、犯罪歴の有無など要配慮個人情報を含むことがあります。 (3) 取扱いの目的：本サービスの提供（書類の作成、保存、書類の読み取り・翻訳、お客様の指示によるエクスポート・削除）に限ります。 (4) 期間：利用契約の期間および第11条に定める削除までの期間。

要配慮個人情報の取得に本人の同意が必要な場合、その同意の取得はお客様が行うものとします。

当社は、利用規約、本覚書およびお客様による本サービスの操作・設定（以下あわせて「指示」）に従ってのみ委託データを取り扱い、当社自身の目的（広告、分析による第三者への提供、AIの学習を含みます）には利用しません。指示が法令に違反すると考える場合は、お客様にその旨を通知します。

当社は、委託データを秘密として扱い、法令に基づく場合を除き第三者に開示しません。委託データにアクセスできる従業者を業務上必要な最小限の者に限定し、秘密保持義務を課し、個人情報の取扱いに関する教育を行います。当社の従業者が個別の委託データを閲覧するのは、お客様の依頼による調査・サポートその他やむを得ない場合に限り、その記録を残します。

当社は、個人情報保護委員会のガイドラインを踏まえ、少なくとも次の措置を講じます。 ・組織的措置：個人データの取扱いの責任者を定め、取扱いの状況を記録し、漏えい等に対応する体制を整備します。 ・人的措置：従業者との秘密保持の取決め、定期的な教育。 ・物理的措置：委託データは、物理的な安全管理（入退室管理、監視等）が講じられた再委託先のデータセンターにのみ保存し、当社の端末に保存しません（お客様のご依頼による調査に必要な場合を除きます）。 ・技術的措置：保存時の暗号化（組織ごとに異なるデータ鍵によるAES-256-GCM。データ鍵は、データベースとは別に管理するマスター鍵で暗号化）。通信の暗号化（TLS、HSTS）。旅券番号は鍵付きハッシュとしてのみ保存。パスワードを用いないワンタイムリンクによるログイン、セッションの有効期限、権限（オーナー・管理者・メンバー）によるアクセス制御、組織ごとのデータの分離。誰がいつどの記録を閲覧・変更したかのアクセスログ。コンテンツセキュリティポリシー等によるウェブアプリケーションの保護。 ・外的環境の把握：外国における取扱いについては第7条のとおりです。

お客様は、当社が個人情報の取扱いに記載する事業者（以下「再委託先」）に委託データの取扱いの一部を再委託することに同意します。当社は、再委託先と本覚書と同等以上の義務を定める契約を締結し、必要かつ適切な監督を行い、再委託先の行為について自らの行為と同様に責任を負います。

再委託先を追加または変更する場合は、その30日前までに本サービス上またはメールでお客様に通知します。お客様が合理的な理由により異議を述べ、当社が対応できない場合、お客様は変更の効力発生前に利用契約を解約でき、当社は未経過期間（月単位）の料金を返金します。

委託データは、米国に所在する再委託先によって取り扱われることがあります。所在国、その国の個人情報保護制度、再委託先が講じる措置は個人情報の取扱いに記載します。当社は、再委託先が個人情報保護委員会規則で定める基準に適合する体制を整備していることを確認し、お客様の求めに応じてその措置に関する情報を提供します。

当社は、委託データの漏えい、滅失、毀損、不正アクセスその他の事態（そのおそれを含みます。以下「漏えい等」）を知ったときは、遅滞なく、原則として知った時から72時間以内に、判明している範囲でお客様に第一報を通知します。通知には、発生日時、概要、対象となる本人とデータの項目・件数、原因、二次被害のおそれ、講じた措置を含め、判明次第追加で報告します。当社は、被害の拡大防止、原因の調査、再発防止策を講じ、お客様による個人情報保護委員会への報告および本人への通知に協力します。

本人からの開示、訂正、利用停止、削除等の請求には、個人情報取扱事業者であるお客様が対応します。お客様は本サービス上で委託データを閲覧、訂正、エクスポートおよび削除できます。当社が本人から直接請求を受けた場合はお客様に連絡し、お客様の対応に必要な範囲で協力します。

お客様は、委託先の監督に必要な範囲で、年1回を目安に、委託データの取扱いおよび安全管理措置の状況について書面による報告を求めることができ、当社は合理的な期間内に回答します。立入りによる監査は、事前に協議して日時・範囲を定め、他のお客様のデータおよび当社の安全を損なわない範囲で、お客様の費用により行うことができます。

お客様は、利用契約の期間中いつでも、本サービスのエクスポート機能により委託データを取得できます。当社は、利用契約の終了後30日以内に委託データを削除し、障害に備えたバックアップからはさらに30日以内に消去します。お客様の求めがあれば、削除を完了した旨を書面（電子メールを含みます）で通知します。ただし、法令により保存が必要なものを除きます。

本覚書に関する当社の責任は、利用規約の責任の制限に関する定めに従います。

個人データの取扱いに関する窓口：合同会社ネオ　neollcjp@gmail.com