データ処理契約

1. 当事者および適用範囲

本データ処理契約（以下「DPA」）は、GDPR第28条に従い、Chativの顧客（以下「管理者」）とFOP Herasymiuk Nataliia Borysivna（78/2 Myru Ave., apt. 1a, Khmelnytskyi 29015, Ukraine、RNOKPP 2871021324）（以下「処理者」）との間で締結されます。本DPAは利用規約の一部を構成し、アカウント作成時に承諾されたものとみなされます。別途の署名は不要です。

本DPAは、処理者が本サービスの提供にあたり処理する管理者の顧客の個人データに適用されます。

2. 処理の対象、性質および期間

対象：接続チャネルを通じたメッセージの送受信、AI応答の生成、会話履歴およびリードの保存。期間：利用規約の有効期間中、および第9条に基づきデータが削除されるまで。

3. データの種類およびデータ主体

データ主体：接続チャネルを通じて管理者に連絡する管理者の顧客およびウェブサイト訪問者、ならびにワークスペースを使用する管理者の従業員。

連絡先データ：氏名、ユーザー名、電話番号、メールアドレス — データ主体またはチャネルから提供された場合
メッセージおよび添付ファイルの内容
チャネル識別子（例：InstagramまたはFacebookのユーザーID）およびウィジェットの技術データ
管理者がAIエージェントを通じて収集するリードデータ

4. 処理者の義務

管理者の文書化された指示（本規約、本DPAおよびワークスペースで行われた設定）に基づいてのみデータを処理すること
データにアクセスできる者に守秘義務を課すこと
第6条に定めるセキュリティ対策を講じること
データ主体からの請求への対応、およびGDPR第32条から第36条に基づく義務の履行において管理者を支援すること
指示がデータ保護法に違反すると判断した場合、管理者に通知すること

5. サブプロセッサー

管理者は、「サブプロセッサー」ページに掲載されたサブプロセッサーの起用について一般的な承認を与えます。処理者は、新たなサブプロセッサーを少なくとも30日前までに同ページおよびメールで告知します。管理者は合理的な理由に基づき異議を申し立てることができ、解決策が見つからない場合は本サービスを解約することができます。処理者は、サブプロセッサーに対して本DPAと同等のデータ保護義務を課し、引き続きその責任を負います。

6. セキュリティ対策

すべての通信の暗号化（TLS）
パスワードのハッシュ化、データベース内のAPIキーおよびチャネルのアクセストークンの追加暗号化
ワークスペース間のデータの厳格な分離、権限を付与されたロールを持つユーザーのみのアクセス
EU（オランダ）でのホスティング
処理者の従業員による本番データへのアクセスは、サポートまたは保守に必要な場合に限定

7. 個人データ侵害

処理者は、個人データ侵害を認識した場合、不当な遅滞なく、いかなる場合も認識から48時間以内に管理者に通知し、管理者が監督機関へ届け出るために利用可能な情報を提供します。

8. 国際移転

データはEU内に保管されます。サブプロセッサーがEEA外でデータを処理する場合（例：米国のAIプロバイダー）、その移転はEU・米国データプライバシーフレームワークまたは欧州委員会の標準契約条項に基づいて行われます。

9. データの削除および返還

契約期間中、管理者はワークスペースでリードを削除でき、その他のデータのエクスポートまたは削除を [email protected] に請求できます。処理者はこれらの請求に30日以内に対応します。本サービスの終了後、処理者は法令により保存が義務付けられている場合を除き、30日以内に管理者のデータを削除し、請求があれば削除前にエクスポートを提供します。

10. 監査

処理者は、請求に応じて本DPAの遵守を証明するために必要な情報を提供します。現地監査は、30日前の通知により、年1回を上限として、管理者の費用負担で実施できます。ただし、侵害が発生した場合はこの限りではありません。

11. お問い合わせ

データ保護に関するお問い合わせ：[email protected]。