データ処理契約

本契約（以下「DPA」という）は、すべての法人のお客様に適用される当社の利用規約の一部を構成する。本DPAは、お客様がワークスペースを作成または利用した時点で自動的に適用されるため、署名は不要である。記録用に署名済みの写しを希望する場合は、privacy@companyflowhq.comまでメールで連絡すること。

1. 当事者

お客様とは、CompanyFlowHQのワークスペースを保有する事業者または組織（以下「顧客」という）をいう。お客様は、どの個人データをワークスペースに入れ、それを何のために使うかを決定するため、管理者（controller）である。

当社：CompanyFlowHQは、イングランドおよびウェールズで登記された会社であるAny Media Boost Ltd（会社番号17492797、登記上の事務所：117 St Paul’s Avenue, Harrow, HA3 9PT, United Kingdom）の商号です。当社は、お客様に本サービスを提供するためにのみ当該データを処理するため、お客様の処理者（processor）である。お客様自身が他者の処理者である場合（たとえば、お客様が自らのクライアントのためにデータを取り扱う場合）、当社はお客様の再委託先処理者として行動し、本DPAが同様に適用される。

お客様およびお客様のチームに関する当社自身のアカウント、請求、サポートおよびウェブサイトのデータについては、当社は処理者ではなく管理者である。これらは本DPAではなく、当社のプライバシーに関するお知らせの対象となる。

2. 本DPAで使用する用語

「UK GDPR」「個人データ」「処理」「管理者」「処理者」「データ主体」および「個人データ侵害」は、英国一般データ保護規則（UK GDPR）で定める意味を有する。「データ保護法令」とは、UK GDPR、2018年データ保護法（Data Protection Act 2018）、2003年プライバシー及び電子通信規則（Privacy and Electronic Communications Regulations 2003）、およびこれらに代わる法令をいう。「顧客個人データ」とは、当社がお客様のワークスペースを通じてお客様のために処理する個人データをいう。

3. 処理の詳細

対象および目的

お客様が選択したCompanyFlowHQのサービスを提供すること：CRMおよびリード管理、予約、メール、SMS、WhatsAppおよびSNSのメッセージ、マーケティングキャンペーン、見積書、請求書および電子署名、クライアントポータル、チームチャットおよびボード、人事およびスタッフ管理、レポート、AIアシスタント、連携、バックアップ、セキュリティならびにサポート。

お客様がSNSのアカウントを接続し、コンテンツインサイトを有効にした場合、当社は、お客様がそれらを確認して返信できるよう、お客様の投稿へのコメントおよびお客様に言及した投稿も収集する。これらのコメントおよびメンションは、90日後に自動的に削除される。

処理の性質

お客様がアプリを通じて指示するところに従い、データを収集、保存、整理、表示、検索、送信、受信、分析（たとえばリードのスコアやレポート）、バックアップ、復元、エクスポートおよび削除すること。

期間

お客様が本サービスを利用する期間、およびその後は第11条に定める期間に限る。

データ主体の種類

• お客様のリード、問い合わせ者、クライアント、顧客、学生、患者およびその連絡先。
• お客様のスタッフ、請負業者、求職者および元スタッフ。
• お客様にメッセージを送る者、お客様に予約をする者、お客様のフォームに記入する者、またはお客様のページを訪問する者。
• お客様の仕入先、パートナーその他の取引上の連絡先。

個人データの種類

• 連絡先および本人確認に関する情報：氏名、メールアドレス、電話番号、郵便の住所、会社名、役職、SNSのアカウント名。
• CRMの記録：問い合わせ、メモ、タスク、パイプラインのステージ、商談、予約、見積書、請求書、支払い、署名済み書類、同意およびマーケティングに関する希望。
• メッセージ：メール、SMS、WhatsAppおよびSNSのメッセージ、ライブチャットおよびチームチャット、通話の詳細、ならびにお客様が行うことを選択した録音・録画。
• スタッフおよび人事のデータ：雇用に関する情報、契約、給与および銀行口座の情報、休暇および病欠の記録、就労資格および本人確認の書類、身分証番号（パスポート、国民保険番号（National Insurance number）、NHS番号、UTRなど）、緊急連絡先、業績に関するメモ、ならびにスタッフが共有を選択した場合のおおよその位置情報。
• お客様がアップロードしたファイル：書類、画像、添付ファイルおよび署名。
• 技術的データ：IPアドレス、デバイスおよびブラウザーの情報、ログイン記録およびアクティビティログ。

特別な種類のデータおよび犯罪に関するデータ

お客様は、特別な種類のデータ（たとえば人事記録における健康や病欠に関する情報）または犯罪に関するデータ（たとえばDBSチェック（犯罪経歴照会）の結果）を保存することを選択できる。お客様は、2018年データ保護法（Data Protection Act 2018）に基づき、そのための適法な根拠と適切な方針文書を有することについて責任を負う。これらのデータには、第6条のセキュリティ対策が適用される。

セキュリティアクティビティの記録

お客様が「アクティビティと脅威」を利用する場合、当社は、通常と異なるアクティビティを検知し、お客様が許可した場合にはお客様が確認するまでアカウントを一時停止するために、お客様のユーザーがアプリ内で行った操作の記録（ログイン、ページおよびレコードの閲覧、エクスポート、変更および削除。日時、IPアドレス、おおよその位置およびデバイスを含む）も処理する。この記録を閲覧できるのはお客様のワークスペースのオーナーのみであり、お客様が選択した期間（30日～365日。初期設定は180日）の経過後に削除される。お客様は、スタッフにこの記録について伝えること、および適法な根拠を有することについて責任を負う。

4. お客様の指示

当社は、お客様の文書化された指示に基づいてのみ顧客個人データを処理する。お客様の指示とは、本規約および本DPA、ならびにお客様がアプリ内で行う選択（キャンペーンの送信、アカウントの接続、レコードの削除など）をいう。当社は、顧客個人データを当社自身の目的のために使用し、販売し、またはAIモデルの学習に使用することはない。

法令により当社が顧客個人データを他の方法で処理することを求められる場合、当社は、法令で禁じられていない限り、事前にお客様に通知する。当社は、ある指示がデータ保護法令に違反すると考える場合、直ちにお客様に通知し、問題が解決するまで当該処理を一時停止することができる。

お客様は、自らの指示およびCompanyFlowHQに入力するデータの適法性について責任を負う。これには、適法な根拠を有すること、個人に対し当該個人が受け取る権利を有する情報を提供すること、ならびに必要な場合にマーケティングへの同意を取得し記録することが含まれる。

5. 秘密保持

当社が顧客個人データの処理を許可するすべての者は、守秘義務を負う。アクセスは、それを必要とする者に限定される。当社のプラットフォーム運営チームが閲覧できるのはワークスペースの件数および請求情報であり、お客様のリード、クライアント、スタッフまたはメッセージではない。当社がワークスペースの内容を確認するのは、お客様からその対応について支援を求められた場合、セキュリティインシデントを調査する場合、または法令により求められる場合に限られる。

6. セキュリティ

当社は、英国一般データ保護規則（UK GDPR）第32条に基づき、適切な技術的および組織的措置を講じる。特に、次の措置を講じる。

• 通信時および保存時の暗号化。すべての通信にHTTPS（TLS）を使用する。データベースおよびファイルストレージは、Cloudflareにより保存時に暗号化される。
• 機密情報の追加暗号化。連携サービスのキー、アクセストークン、メールボックスのパスワードおよび身分証番号は、当社がさらにAES-256-GCMで暗号化する。項目ごとに新たなランダム値を使用し、鍵のローテーションにも対応している。これらがブラウザーに送り返されることはない。
• 暗号化されたバックアップ。データベース全体を毎晩バックアップし、アップロードされたファイルは数時間以内に別のバックアップにコピーする。いずれもAES-256-GCMで暗号化し、SHA-256チェックサムで検証する。
• 全員に2段階認証。すべてのスタッフユーザーは、2段階認証（認証アプリ、メールで届くコード、またはパスキー）を使用しなければならない。リカバリーコード、新しいデバイスの通知、およびワンクリックでの他のデバイスからのログアウトにも対応している。パスワードは、ソルト付きの一方向ハッシュとしてのみ保存する。
• ワークスペースの分離。すべてのリクエストにおいて、データを読み取りまたは変更する前に、どのワークスペースに属するかを確認しており、これは自動的にテストされている。
• ロールによる権限。お客様は、各ロールが閲覧および実行できる範囲を決定でき、スタッフの記録をチーム間で非公開にすることができる。
• 監査ログ。重要な操作、ログイン、および保護された身分証番号が表示されるたびに、日時、操作者およびIPアドレスとともに記録され、1年間保管される。
• 不正利用の防止。ログインおよび公開エンドポイントのレート制限、Cloudflare Turnstileによるボット対策のチェック、隠しトラップ項目、アップロード時のファイル形式のチェック、および受信メールの安全な表示。

当社は、本サービスおよびリスクの変化に応じてこれらの措置を見直し、全体的な保護水準を低下させることはない。

7. 再委託先処理者

お客様は当社に対し、以下の再委託先処理者一覧に記載された再委託先処理者を利用することについて、書面による一般的な承認を与える。当社は、再委託先処理者を追加または変更する前に、少なくとも30日前までに本ページを更新し、ワークスペースのオーナーにメールで通知する。

お客様は、当該30日の期間内にprivacy@companyflowhq.comまでメールを送ることにより、データ保護上の合理的な理由に基づいて異議を述べることができる。当社は、新たな再委託先処理者をお客様のデータに使用しないなどの解決策を見出すよう努める。それができない場合、お客様は変更が効力を生じる前に、影響を受けるサービスを終了することができ、当社は、終了後の期間についてお客様が前払いした料金を返金する。

当社は、各再委託先処理者との間で、顧客個人データに本DPAと同等の保護水準を与える書面の契約を締結し、その業務についてお客様に対し引き続き責任を負う。

お客様自身が接続するサービス（お客様自身のGoogle、Microsoft、Meta、TwilioもしくはStripeのアカウント、メールボックス、SNS、自動化ツールなど）は、お客様が選択したものであり、お客様とその提供事業者との間の契約に基づいて機能する。当社は、お客様の指示がある場合にのみ、それらにデータを送信する。データの送信先がわかるよう、以下に記載している。

8. 個人の権利行使への対応支援

当社は、データ保護法令に基づく個人の権利（アクセス、訂正、消去、処理の制限、データポータビリティおよび異議申立て）の行使にお客様が対応できるよう支援する。CompanyFlowHQには、そのほとんどをお客様自身で行えるツールが備わっている。

• 特定の個人のデータを、そのレコード（「プライバシー（GDPR）」セクション）からファイルとしてエクスポートする。
• 特定の個人をワークスペース全体から消去する（そのレコード上で、または「設定 → 個人のデータを消去」から）。
• レコードを直接訂正し、同意および配信停止の設定によりマーケティングを停止する。
• ワークスペースのすべてのデータをいつでもダウンロードする（「設定 → データ」）。

当社がお客様のデータ主体から直接請求を受けた場合、当社は不当に遅滞することなくお客様に転送し、お客様から依頼がない限り、当社自身がこれに回答することはない。

9. その他の支援

当社は、当社が入手可能な情報を考慮したうえで、セキュリティ、侵害通知、データ保護影響評価、および英国個人情報保護監督機関（Information Commissioner）への事前協議に関するお客様の義務について、合理的な支援を提供する（UK GDPR第32条から第36条）。

10. 個人データ侵害

当社は、顧客個人データに影響する個人データ侵害を認識した場合、不当に遅滞することなく、いかなる場合も認識から48時間以内に、ワークスペースのオーナーに通知する。当社は、その時点で把握している範囲で、発生した事象、関係する個人およびレコードの種類とおおよその数、生じうる結果、ならびに当社が講じた措置または講じる予定の措置をお客様に伝える。当社は、詳細が判明し次第追加で伝え、侵害を封じ込めるための合理的な措置を講じ、必要な場合に72時間以内に英国個人情報保護監督機関（Information Commissioner）へ報告するお客様自身の義務の履行を支援する。お客様に侵害を通知することは、過失を認めることを意味しない。

11. データの削除または返還

• お客様が顧客である間は、「設定 → データ」からいつでもすべてのデータをダウンロードでき、個々のレコードもいつでも削除できる。
• お客様のサブスクリプションが終了した場合（たとえば、トライアルが有料プランに移行しなかった場合、支払いが失敗した場合、またはお客様が解約した場合）、ワークスペースは90日間閲覧のみの状態となり、お客様は引き続きログインしてすべてのデータをダウンロードできる。当社は、当該期間が終了する7日前にオーナーにメールで通知する。期間の終了後、当社のチームがワークスペースを確認し、30日以内に削除する。
• お客様が当社にワークスペースの削除を依頼する場合（「設定 → データ → ワークスペースを削除」）、依頼できるのはオーナーのみであり、ワークスペースの名前を入力して行う。14日間は何も削除されず、それまではキャンセルすることができる。その後、当社のチームが依頼を確認し、お客様の依頼から30日以内にワークスペースを削除する。
• 当社自身の請求記録。ワークスペースが削除された場合、当社は、英国の税法の定めに従い、お客様が当社に支払った内容（サブスクリプション、クレジットおよびアドオンの支払い）に関する当社自身の記録のみを6年間保管する。これらは顧客個人データではなく、その後削除される。
• バックアップ。削除されたデータは、既存のバックアップから直ちに消去されるわけではない。バックアップは日次30件、月次12件、年次5件のコピーによるローテーション方式で保管されるため、削除されたデータは、最後のバックアップのコピーの保管期限が切れた時点で（最長で5年後に）消去される。年次のコピーをこれほど長く保管するのは、データの破損や、誰にも気づかれないまましばらくデータが削除されていた場合など、重大なインシデントから復旧できるようにするためである。バックアップは暗号化されたまま保管され、アクセスできるのは少数の権限を有する者のみであり、インシデントからの復旧にのみ使用される。当社がバックアップを復元する場合は、お客様からすでに削除を依頼されていたデータを再度削除する。アップロードされたファイルは別途バックアップされ、最新のコピーのみが保管される。削除されたファイル（削除されたワークスペースのファイルを含む）は、35日以内にそのファイルバックアップから削除される。
• 監査ログの記録は1年間保管され、お客様の連絡先の氏名が記載されないように記録される。
• コンテンツインサイトのために収集したSNSのコメントおよびメンションは、90日後に削除される。

当社がデータをより長く保管するのは、法令により求められる場合に限り、かつその目的のためにのみとする。

12. 情報提供および監査

当社は、本DPAおよびUK GDPR第28条を遵守していることを示すために合理的に必要な情報を提供し、合理的なセキュリティに関する質問票に回答する。お客様（またはお客様が選任した、守秘義務を負う独立の監査人）は、少なくとも30日前の書面による通知のうえ、営業時間内に、お客様の費用負担で、任意の12か月間に1回、当社の遵守状況を監査することができる。当社は、既存の報告書または認証（Cloudflareのものなど、当社の再委託先処理者のものを含む）がお客様の質問に答えるものである場合、それらに依拠するようお客様に求めることができる。これらの制限は、英国個人情報保護監督機関（Information Commissioner）が監査を求める場合、またはお客様のデータに影響する個人データ侵害が発生した後には適用されない。

13. 国際移転

CompanyFlowHQはCloudflareのグローバルネットワーク上で運営されており、一部の再委託先処理者は米国に拠点を置いているため、顧客個人データが英国外で処理される場合がある。当社は、英国が移転先について十分性を認めている場合（認証を受けた米国企業についての、EU・米国データプライバシーフレームワークの英国拡張（UK Extension to the EU–US Data Privacy Framework）を含む）、または英国国際データ移転契約（UK International Data Transfer Agreement）もしくはEU標準契約条項に対する英国補遺（UK Addendum to the EU Standard Contractual Clauses）に基づく場合に限り、必要に応じて移転リスク評価および補完的措置を講じたうえで、顧客個人データを移転する。お客様は、これらの移転を承認する。

14. 責任

本DPAに基づく各当事者の責任は、利用規約に定める制限および除外に従う。本DPAのいかなる規定も、法律上制限することができない各当事者の責任、またはデータ保護法令に基づくデータ主体の権利を制限するものではない。

15. 期間、優先順位および準拠法

本DPAは、当社がお客様のために顧客個人データを処理する限り存続する。その性質上存続すべき条項（秘密保持、削除および責任など）は、本DPAの終了後も存続する。データ保護に関して本DPAと本規約が矛盾する場合は、本DPAが優先する。本DPAはイングランドおよびウェールズの法律に準拠し、イングランドおよびウェールズの裁判所が専属的管轄権を有する。

当社は、法令、当社の再委託先処理者（第7条に従う）または本サービスの変更を反映するため、本DPAを更新することがある。お客様のデータの保護を著しく低下させる変更については、少なくとも30日前までにお客様に通知する。

16. 再委託先処理者一覧

常に利用するもの

お客様が機能を有効にし、またはアカウントを接続した場合にのみ利用するもの

次の処理は、個人データがCompanyFlowHQの外に出ることなく行われる：天気予報は丸められた座標のみを使用し（MET Norway）、祝日の日付は国コードのみを使用する（Nager.Date）。ウェブブラウザーでの通知は、そのブラウザーのプッシュサービス（Google、Mozilla、AppleまたはMicrosoft）を経由するが、エンドツーエンドで暗号化されているため、当該サービスがその内容を読むことはできない。スマートフォンアプリの通知は、上記のとおりExpo、AppleまたはGoogleを経由する。

17. お問い合わせ

本DPAまたは当社によるお客様のデータの取り扱いに関するご質問は、privacy@companyflowhq.comまでメールで、または郵送の場合はAny Media Boost Ltd, 117 St Paul’s Avenue, Harrow, HA3 9PT, United Kingdom宛てにお問い合わせいただきたい。セキュリティ上の問題を報告する場合は、security@companyflowhq.comまでメールで連絡すること。