データ処理契約

本データ処理契約（「本DPA」）は、お客様（「顧客」/「管理者」）とoiva.dev（「処理者」）との間の契約の一部を構成し、oiva.devプラットフォームを通じてお客様に代わって行われる個人データの処理を規律します。本サービスを利用することにより、お客様は本DPAに同意したものとみなされます。

顧客はデータ管理者です — お客様のアンケートを通じて収集される個人データの処理の目的と手段を決定します。

oiva.devの屋号で事業を行うOiva Software Oy（ビジネスID：3642400-8、所在地：Viipurinkatu 12 L 9, 00510 Helsinki, Finland）はデータ処理者です — 当社は、お客様の文書化された指示にのみ基づいてデータを処理します。

oiva.devは以下の目的で個人データを処理します。

• 顧客が作成したアンケート設定の保存および取得。
• エンドユーザーから送信されたアンケート回答の受信、保存、表示。
• 顧客への分析およびレポート機能の提供。

データ主体 — 埋め込まれたアンケートを通じて回答を送信するエンドユーザー、およびダッシュボードにアクセスする顧客の従業員。

データのカテゴリー — アンケートの回答（評価、自由記述形式のフィードバック、および顧客が定義するその他のフィールドを含む場合があります）、顧客の従業員のメールアドレスおよび氏名。

顧客は、アンケートを通じて収集される個人データが必要最小限に限定されていること、および回答者に対して適切な通知が行われていることを確保する責任を負います。

oiva.devは、顧客からの文書化された指示にのみ基づいて個人データを処理します。プラットフォームの機能（アンケートの作成、回答の閲覧、データのエクスポート）を利用することは、文書化された指示を構成します。oiva.devがEUまたはフィンランド法により指示に反するデータ処理を求められる場合、法律で禁止されない限り、当社は顧客にその旨を通知します。

顧客データを処理するoiva.devの担当者は、秘密保持義務を負います。顧客データへのアクセスは、本サービスの提供に必要な担当者に限定されます。

oiva.devは以下の技術的・組織的措置を講じています。

• すべての通信データに対するTLS 1.2以上の暗号化。
• 機密性の高いフィールドの暗号化保存。
• ロールベースのアクセス制御と最小権限の原則。
• 定期的な依存関係およびセキュリティパッチの適用。
• 欧州経済領域（EEA）内に設置されたサーバー。

oiva.devは現在、顧客データについて第三者のサブプロセッサーを利用していません。インフラストラクチャはEEA内で自社ホスティングされています。

当社は、新たなサブプロセッサーを利用する場合、少なくとも14日前に顧客に通知します。顧客はその期間内に書面で異議を申し立てることができ、当該異議に対応できない場合、いずれの当事者もペナルティなしに本契約を解約することができます。

oiva.devは、技術的に可能な範囲で、プラットフォーム内においてデータ主体の請求（アクセス、訂正、消去、データポータビリティ、制限）への対応を顧客が行えるよう支援します。手動対応が必要な請求については、[email protected]までご連絡ください。

顧客データに影響を及ぼす個人データ侵害が発生した場合、oiva.devは不当な遅延なく、遅くとも侵害を認識してから48時間以内に顧客に通知します。通知には、侵害の性質、影響を受けるデータ主体のカテゴリーおよび概算人数、想定される結果、ならびに講じられたまたは提案される対策が含まれます。

顧客データはEEA内で保存および処理されます。oiva.devは、顧客の事前の書面による同意およびGDPR第5章に基づく適切な保護措置なしに、顧客の個人データをEEA域外へ移転することはありません。

サービス契約の終了時、oiva.devは顧客の選択に応じて、顧客の個人データを30日以内に削除または返還し、EUまたはフィンランド法により保持が義務付けられている場合を除き、既存のコピーを削除します。

oiva.devは、本DPAへの準拠を証明するために必要なすべての情報を顧客に提供し、顧客またはその委任を受けた監査人が合理的な事前通知を行い、顧客の費用負担のもとで実施する監査に応じるものとします。