要点
- ショップの顧客に関するデータは、ショップのものです。当社はそのデータを、ご指示に従い、Humrykを提供する目的にのみ使用します。
- データは安全に管理し、アクセス権を持つHumrykの全員が守秘義務を負います。
- 再委託先はプライバシーポリシーに記載しており、新たに追加する際は30日前までにお知らせします。
- データに問題が起きた場合は遅くとも48時間以内にお知らせし、顧客への回答をお手伝いします。
- 契約終了後30日間はすべてのデータをエクスポートでき、当社は90日以内にデータを削除します。
目次
1. 当事者
- 管理者：Humrykの利用契約を結んでいる事業者または個人（以下「お客様」）。
- 処理者：Key-Tech AS（組織番号932 472 112、Hans Tanks gate 19, 5008 Bergen, Norway）（以下「当社」）。
本契約は、当社がお客様のために個人データを処理する期間中、適用されます。利用規約の内容が本契約と矛盾する場合、個人データについては本契約が優先します。
2. 目的と指示
当社は、お客様にHumrykを提供する目的でのみ、かつお客様の指示に基づいてのみ個人データを処理します。お客様の指示とは、利用規約、本契約、お客様がHumrykで選択する設定と連携、およびお客様が当社に書面で行う指示をいいます。たとえば配送業者との連携を有効にした場合、それは受取人と住所をその配送業者に送信する指示となります。
当社は、ある指示がデータ保護法に違反すると判断した場合、直ちにお客様に通知します。法律により当社が別の方法でデータを処理することを求められる場合は、法律で禁止されている場合を除き、事前にお客様に通知します。
3. 当社が処理するデータ
| 項目 | 内容 |
|---|---|
| データ主体 | お客様の顧客（消費者）、法人顧客の担当者、定期便の契約者、ニュースレターの受信者、オンラインショップの訪問者、およびお客様のユーザー。 |
| データ | 氏名と連絡先、配送先および請求先住所、注文と決済状況（カード番号は含みません）、定期便、同意と配信停止、メッセージとメモ、オンラインショップへのログイン、オンラインショップとニュースレターの利用状況、その他お客様が入力するすべての情報。 |
| 特別な種類のデータ | Humrykは、健康に関するデータその他の特別な種類のデータ（GDPR第9条）を扱うようには設計されていません。お客様はこのようなデータを求めたり入力したりしてはなりません。 |
| 処理内容 | 保存、表示、検索、整理、メール送信、統計の算出、お客様が有効にした連携先への転送、エクスポート、削除。 |
| 期間 | 契約期間中、およびその後第11条に基づきデータが削除されるまで。 |
4. 守秘義務
データにアクセスできるのは、運用、開発、サポートのために必要とする当社の担当者のみであり、その担当者は守秘義務を負います。守秘義務は契約終了後も継続します。
5. セキュリティ
当社は、リスクに応じた適切な技術的・組織的措置（GDPR第32条）を講じています。主な措置は次のとおりです：
- すべての通信（HTTPS）と、プロバイダーにおけるデータベースおよびバックアップの暗号化
- ショップ間の分離（各ショップは自身のデータのみ閲覧可能）
- お客様のユーザーに対する役割に基づくアクセス権限と、ショップ内で誰が何を行ったかの記録
- 連携用アクセストークンの暗号化
- 本番データへのアクセスを必要な当社担当者のみに限定すること、およびシステム管理における当社の操作の記録
- 定期的なバックアップと復旧計画
- 変更を本番環境に反映する前のコードレビューと自動テスト
6. 再委託先
当社が再委託先（サブプロセッサー）を利用することについて、包括的な許可をいただくものとします。現在利用している再委託先はプライバシーポリシーに記載しています。再委託先には本契約に基づき当社が負うものと同じ義務を課し、再委託先によるその遵守について当社が責任を負います。
再委託先を追加または変更する前に、少なくとも30日前までにメールでお知らせします。異議を述べる合理的な理由がある場合は、post@humryk.comまでご連絡ください。解決策が見つからない場合は、変更が適用される前に本契約を解約でき、当社は解約後の期間についてお支払い済みの料金を返金します。
ご自身で連携するサービス提供者（例：Stripe、会計ソフト、配送業者、Google、Meta、AIアシスタント）は、当社の再委託先ではありません。これらの提供者とはご自身で個別に契約を結んでいただくものとし、当社はご指示に基づいてデータを送信します。
7. EEA外へのデータ移転
当社がEEA（欧州経済領域）外の国へデータを移転するのは、十分性認定、EU–US Data Privacy Framework、欧州委員会の標準契約条項など、GDPR第5章に基づく有効な根拠がある場合に限ります。再委託先がデータを処理する場所は、プライバシーポリシーに記載しています。
8. データ主体の権利行使への支援
Humrykでは、顧客や連絡先の検索、訂正、エクスポート、削除をご自身で行えます。ショップの顧客から当社に請求があった場合は、不当な遅滞なくその請求をご連絡先へ転送し、ご依頼がない限り当社から回答することはありません。回答にあたってさらに支援が必要な場合は、当社がお手伝いします。
9. 侵害時の対応とその他の支援
お預かりしているデータに影響する個人データ侵害を発見した場合は、不当な遅滞なく、遅くとも48時間以内にお知らせします。何が起きたか、どのデータが何人に影響しているか、想定される影響、当社が講じている対応をお伝えします。すべての情報がすぐにそろわない場合は、判明しだい順次お伝えします。法律で求められる場合のDatatilsynet（ノルウェー個人データ保護機関）およびデータ主体への通知はご自身で行っていただき、当社は必要な支援を行います。
また、処理について当社が把握している内容に基づき、データ保護影響評価およびDatatilsynetとの事前協議（GDPR第35条・第36条）についても支援します。
10. 文書化と監査
当社が本契約を遵守していることを確認するために必要な情報を提供します。30日前までの通知により、ご自身で、または守秘義務を負う独立した監査人を通じて、当社を監査できます。監査は通常年1回とし、それ以外では侵害の発生後または当局からの命令があった場合に行えます。当社はまず文書で回答し、多くの場合はそれで十分です。費用は各当事者がそれぞれ負担します。
11. 契約終了時
Humrykの契約が終了した後、お客様は30日間データをエクスポートできます。契約終了後90日以内に、当社は法律で保管が義務付けられているものを除き、当社のシステムおよび副処理者からデータを削除します。削除されたデータは、定められたスケジュールで上書きされるまでバックアップに残る場合があります。お客様からご依頼があれば、削除したことを書面で確認します。
12. 責任と準拠法
データ主体に対する責任は、GDPR第82条に従います。当事者間では、法律で認められる範囲で利用規約の責任に関する規定が適用されます。準拠法および管轄裁判所は利用規約に従います。
本契約に関するご質問はpost@humryk.comまでお送りください。