データ処理契約（DPA）雛形

委託者（以下「甲」）: ＿＿＿＿＿＿＿＿＿＿＿＿＿＿

受託者（以下「乙」）: 合同会社TOONIQ
東京都渋谷区広尾1丁目2番地1号 ヒカリビル4階

甲および乙は、乙が提供するクラウドサービス「AnimaTime」（以下「本サービス」）の 利用契約（以下「基本契約」）に関連して甲が乙に取り扱いを委託する個人データの処理について、 以下のとおりデータ処理契約（以下「本契約」）を締結する。

第1条（定義）

1. 「個人データ」とは、個人情報の保護に関する法律（以下「個人情報保護法」）に定める個人データをいう。
2. 「対象データ」とは、甲が本サービスの利用にあたり乙に取り扱いを委託する個人データをいい、その範囲は別紙1に定める。
3. 「サブプロセッサ」とは、乙が対象データの処理の全部または一部を再委託する第三者をいう。
4. 「データ主体」とは、対象データにより識別される本人をいう。
5. 「セキュリティインシデント」とは、対象データの漏えい、滅失、毀損その他の安全管理上の事故をいう。

第2条（委託の目的・処理の範囲）

1. 乙は、本サービス（制作スケジュール・カット進捗の管理、発注・納品・請求・支払に関する事務の支援等）の提供・運用・保守に必要な範囲に限り、対象データを処理する。
2. 乙は、甲の指示および基本契約・本契約に定める目的の範囲を超えて、対象データを処理しない。
3. 処理の内容・期間・対象データの種類・データ主体の範囲は、別紙1に定める。

第3条（安全管理措置）

1. 乙は、対象データの取り扱いにあたり、個人情報保護法および関連ガイドラインに従い、組織的・人的・物理的・技術的安全管理措置を講じる。
2. 乙が講じる主な安全管理措置は別紙2のとおりとする。
3. 乙は、安全管理措置の内容を合理的な範囲で変更できる。ただし、保護水準を実質的に低下させる変更を行う場合は、事前に甲へ通知する。

第4条（従業者の監督・秘密保持）

1. 乙は、対象データを取り扱う従業者を必要最小限に限定し、当該従業者に対し在職中および退職後の秘密保持義務を課す。
2. 乙は、従業者に対し個人データの取り扱いに関する教育を実施する。

第5条（再委託・サブプロセッサ）

1. 乙は、本サービスの提供に必要な範囲で、対象データの処理をサブプロセッサに再委託できる。
2. 締結時点のサブプロセッサの一覧は別紙3および乙が公開するサブプロセッサ一覧ページ（https://animatime.com/legal/subprocessors）のとおりとし、甲はこれを承認する。
3. 別紙3のうち一部のサブプロセッサ（外部通知連携・プッシュ通知等）は、甲が当該連携を有効にした場合にのみ利用される。甲が有効にしない限り、乙は当該サブプロセッサへ対象データを送信しない。
4. 乙は、サブプロセッサを追加・変更する場合、前項のページを更新する方法により甲に通知する。甲は、合理的な理由がある場合、通知から30日以内に書面により異議を述べることができる。
5. 乙は、サブプロセッサに対し、本契約と同等の義務を課し、その処理について甲に対して責任を負う。

第6条（外国にある第三者への提供・越境移転）

1. 前条のサブプロセッサには外国（主に米国）に所在する事業者が含まれる。乙は、個人情報保護法に従い、当該事業者が日本の法令と同等の水準の保護措置を継続的に講じるために必要な体制を整備していることを確認したうえで委託する。
2. 甲のサービスデータおよびそのバックアップの保管地は日本国内（東京リージョン）とする。保管地を変更する場合、乙は事前に甲へ通知する。
3. 甲は、各サブプロセッサの所在国の名称および当該国の個人情報保護制度に関する情報の提供を乙に求めることができる。移転の性質（どのデータが、どの条件で国外へ移転するか）は別紙3に事業者ごとに記載する。

第7条（データ主体の権利への対応）

1. データ主体から乙に対し、対象データの開示・訂正・利用停止・削除等の請求が直接なされた場合、乙は遅滞なく甲に通知し、甲の指示に従い対応する。
2. 乙は、甲がデータ主体の権利行使に対応するために必要な合理的協力を行う。本サービスは、データのエクスポート（JSON／CSV）およびアカウント・データの削除機能を提供する。

第8条（セキュリティインシデントの通知）

1. 乙は、セキュリティインシデントを認知した場合、不当な遅滞なく（原則として認知から72時間以内に）甲に通知する。
2. 前項の通知には、判明している範囲で、事案の概要、対象データの種類・件数、原因、二次被害のおそれの有無、講じた措置および再発防止策を含める。
3. 乙は、インシデントの調査・封じ込め・復旧について合理的な措置を講じ、甲の求めに応じて協力する。

第9条（監査）

1. 甲は、乙の対象データの取り扱い状況について、年1回を上限として、書面による質問または報告の徴求により確認できる。
2. 乙は、前項に対し、乙が公開するセキュリティ情報および乙のサブプロセッサが取得する第三者認証・監査報告書の要旨をもって回答することができる。なお、本契約の雛形作成時点において、乙自身はSOC 2およびISO/IEC 27001を取得していない（取得済みでない認証を取得済みとは表示しない方針による）。
3. 甲が乙の事業所への立入監査を求める場合は、30日前までの書面通知・営業時間内・乙の秘密情報および他の顧客の情報に影響しない範囲で、両者協議のうえ実施する。監査に要する費用は甲の負担とする。

第10条（対象データの返却・削除）

1. 基本契約が終了した場合、甲は終了日までに本サービスのエクスポート機能により対象データを取得できる。
2. 乙は、基本契約終了後30日以内に対象データを削除する。バックアップに含まれる対象データは、バックアップの保持期間の経過に伴い順次削除される。
3. 法令により保存が義務付けられるデータについては、当該法令の定める期間、安全管理措置を維持したうえで保存できる。

第11条（契約期間）

本契約の有効期間は基本契約の有効期間と同一とする。ただし、第8条および第10条は基本契約終了後も対象データの削除が完了するまで効力を有する。

第12条（準拠法・裁判管轄）

本契約は日本法に準拠し、本契約に関する紛争については、基本契約（利用規約第12条）と同じく東京地方裁判所を第一審の専属的合意管轄裁判所とする。

別紙2: 安全管理措置の概要

乙が実装している対策は以下のとおり。最新の内容はセキュリティページで公開している。

• 通信の暗号化（TLS・HSTS）およびCSP等のセキュリティヘッダの全ページ適用
• 保存データの暗号化（Supabase／AWS東京リージョンのインフラレベル暗号化）
• 役割ベースのアクセス制御（OWNER／ADMIN／MEMBER）および二段階認証（TOTP・組織単位の必須化に対応）
• 組織（テナント）間のデータ分離をアプリケーション層のorganizationIdにより実施（Postgres RLSではなく、設計とテストで横断アクセスを防止）
• 主要操作の監査ログ、および素材ファイルの閲覧・ダウンロード履歴の記録
• データベースの自動バックアップおよび保管場所を分けたオフサイトバックアップ（いずれも暗号化のうえ日本国内・東京リージョンに保管）
• カード情報を当社データベースに保存しない決済構成（Stripeのホスト画面で完結し、参照IDのみを保持）
• 従業者に対する監督および秘密保持義務の徹底

別紙3: サブプロセッサ一覧

最新の一覧および各社の用途の詳細はサブプロセッサ一覧のとおり。

お問い合わせ

本雛形の内容、およびDPAの締結に関するお問い合わせは、以下までご連絡ください。

合同会社TOONIQ
メール: contact@tooniq.co.jp