GDPRの遵守とお客様のデータに関する権利

1. 当事者

• データ管理者：Crisphiveサービスを利用する顧客。
• データ処理者：WicWac Inc.（Crisphiveとして運営）、Suite 1420, 99 Bank Street, Ottawa, Ontario, K1P 1H4, Canada

2. 定義

本DPAで定義されていない大文字で始まる用語は、GDPRまたは契約で定められた意味を有します。

• 「個人データ」とは、識別された、または識別可能な自然人に関するあらゆる情報を意味します。
• 「処理」は、GDPR第4条2項に定める意味を有します。
• 「副処理者」とは、顧客に代わって個人データを処理するためにCrisphiveが起用する第三者を意味します。
• 「EEA」とは、欧州経済領域を意味します。
• 「機能的通信」とは、アカウントの運営および本サービスの提供に不可欠な電子メールおよびSMSメッセージを意味し、アカウント、セキュリティ（ワンタイムパスコードを含む）、請求、スケジューリング、サービス、および法的通知を含みます。
• 「マーケティング通信」とは、ニュースレター、製品発表、およびオファーなどの販促目的の電子メールを意味します。

3. 処理の範囲および目的

Crisphiveは、以下を含む、Crisphiveのスケジューリングおよびワークフォース管理プラットフォームの提供のみを目的として個人データを処理します：

• アカウント管理
• スケジューリングおよびジョブの調整
• 通知およびコミュニケーション（電子メールおよびSMSにより配信される機能的通信を含む）
• プラットフォームのサポートおよびメンテナンス
• セキュリティおよびパフォーマンスの監視

処理は、本サービスの提供に必要な範囲に限定されます。

4. データおよびデータ主体のカテゴリー

5. コミュニケーション：役割および法的根拠

6. 管理者および処理者の責任

7. 機密保持

Crisphiveは、個人データの処理を許可されたすべての要員が、契約上または法令上の適切な機密保持義務を負うことを確保します。

8. セキュリティ対策（GDPR第32条）

Crisphiveは、以下を含む、合理的かつ適切なセーフガードを実施します：

• ロールベースのアクセス制御
• 転送時の暗号化（該当する場合）
• 安全なインフラストラクチャおよびホスティング環境
• ロギングおよび監視
• インシデント対応手順
• SMSベースのログイン用の時間制限付き・使い捨てのワンタイムパスコード

セキュリティ対策は定期的に見直され、必要に応じて調整されます。

9. 副処理者

10. 国際データ移転

個人データは、カナダおよび米国を含むEEA域外で処理される場合があります。必要な場合、Crisphiveは、標準契約条項（SCC）およびGDPRに基づくその他の適法な移転メカニズムに依拠します。カナダは、PIPEDAの対象となるデータについて、欧州委員会の十分性認定を受けています。

11. データ主体の権利行使への支援

Crisphiveは、合理的に可能な範囲で、以下に関するリクエストへの対応について顧客を支援します：

• アクセス
• 訂正
• 消去
• 処理の制限
• 異議申し立て（ダイレクトマーケティングへの異議申し立てを含む）
• データポータビリティ

Crisphiveは、法律により要求される場合を除き、データ主体のリクエストに直接対応しません。Crisphiveが、マーケティング通信およびアカウント関係に関する機能的通信について独立した管理者として行動する場合、当該処理に関するデータ主体のリクエストには、マーケティングのオプトアウトを遅滞なく履行することを含め、Crisphiveが直接対応します。

12. データ侵害の通知

Crisphiveは、以下を行うものとします：

• 個人データ侵害を認識した後、不当な遅滞なく顧客に通知すること
• GDPR第33条および第34条の遵守を支援するために入手可能な情報を提供すること

通知には、侵害の性質、想定される結果、および可能な場合は軽減措置が含まれるものとします。

13. データの保持および削除

契約の終了時：

• Crisphiveは、合理的な期間内に個人データを削除または返却します
• 法律により義務付けられる場合、データは保持されることがあります
• バックアップは、上書きされるまで限られた期間存続する場合があります
• 同意、オプトアウト、および通信ログの記録は、適用法の遵守を証明するために必要な範囲で保持される場合があります

14. 監査およびコンプライアンス

合理的な書面による通知をもって、顧客は以下を行うことができます：

• コンプライアンスを証明する文書の請求
• 年1回を限度とする監査の実施（法律により要求される場合を除く）

監査は、Crisphiveの業務を不当に妨げるものであってはなりません。

15. 責任

本DPAに基づく責任は、適用法により認められる最大限の範囲で、契約に定める制限および除外（その責任制限条項を含む）に従います。前述を制限することなく、Crisphiveは、第三者のプロバイダーまたはネットワークによる通信の不達、遅延、フィルタリング、もしくは傍受について、またはデータ主体が正確な連絡先情報を維持しなかったことから生じる結果について責任を負わず、各当事者は、規制上の制裁金または損害賠償のうち、GDPR第82条に基づく自らの責任に対応する部分についてのみ責任を負います。

16. 準拠法

本DPAは、カナダ・オンタリオ州法に準拠し、必要な場合は適用されるEU／英国のデータ保護法にも準拠します。

17. 優先順位

抵触が生じた場合の優先順位は以下のとおりです：

• 本DPA
• 契約
• その他の適用される文書

18. データ保護に関するお問い合わせ先

別表1 — 処理の概要