データ処理契約（DPA / AVV）

本データ処理契約（「DPA」）は、ホスト型 SaQura 暗号 / REST API（crypto.saqura.de、別名 crypto.kyototech.co.jp）の利用に関し、GDPR 第28条に基づく両当事者のデータ保護上の義務を定めます。本 DPA は両当事者間で締結される利用／ライセンス契約（「主契約」）の一部を構成します。矛盾がある場合、データ保護に関する事項については本 DPA が優先します。

当事者

管理者は主契約上の顧客です（会社名・住所・代表者は締結時に記入します）。

処理者：

処理者の EU 代理人（GDPR 第27条）：DataRep（Data Protection Representative Limited）、Altmarkt 10 B/D, 01067 Dresden, Germany — datarequest@datarep.com（件名：「KyotoTech; SaQura」）。郵送によるお問い合わせは「DataRep」宛にご送付ください。

第1条 対象・期間

処理者は、ホスト型 SaQura 暗号サービス（暗号化／復号、署名／検証および REST API を介した関連する暗号処理）の提供のためにのみ、管理者を代理して個人データを処理します（付属書1参照）。期間は主契約の期間に従います。削除／返却（第10条）および守秘義務は終了後も存続します。

第2条 処理の性質・範囲・目的／データの種類／データ主体

処理の性質・目的、個人データの種類、データ主体の区分は付属書1に定めます。処理者は自己の目的のためにデータを処理しません。

第3条 処理者の義務（第28条(3)）

処理者は管理者の文書化された指示の範囲内でのみ個人データを処理し、特に次を保証します。

• (a) 指示拘束 — 法令で別途義務づけられる場合を除き、文書化された指示によってのみ処理します。その場合、法的に許される範囲で事前に通知します。
• (b) 守秘 — 処理を行う権限者は守秘義務を負います。
• (c) 安全性 — 付属書2に従い第32条の技術的・組織的措置を実施します。
• (d) 下請処理者 — 第6条の条件下でのみ利用します。
• (e) データ主体の権利 — 可能な範囲で、データ主体からの請求（第12〜23条）に対する管理者の対応を適切な措置により支援します。
• (f) 第32〜36条 — 可能な範囲で、安全性、侵害通知、データ保護影響評価、事前協議を支援します。
• (g) 削除／返却 — 提供終了後、管理者の選択により第10条に従います。
• (h) 証跡／監査 — 遵守を示すために必要な情報を提供し、第9条に従い検証を可能にします。

処理者は、指示がデータ保護法に違反すると考える場合、遅滞なく管理者に通知します。

第4条 指示権

指示は原則として書面形式で行い、口頭の指示は遅滞なく書面で確認します。指示権者および受領者は締結時に指定します。

第5条 技術的・組織的措置（第32条）

処理者は付属書2記載の措置を講じます。保護水準を下回らない限りこれらは発展させることができ、重要な変更は文書化します。

第6条 下請処理

管理者は付属書3記載の下請処理者の利用を承認します（第28条(2)の一般的承認）。処理者は変更／追加を少なくとも30日前に通知し、管理者はデータ保護上の重要な理由により異議を述べることができます。処理者は各下請処理者に契約により同等のデータ保護義務を課し（第28条(4)）、引き続き責任を負います。

第7条 管理者への支援

処理者は、特に no-log アーキテクチャ（付属書2）により、また要請に応じて処理に関連する状況についての情報提供により、管理者を適切に支援します。契約上の基本役務を超える追加作業は実費で請求できます。

第8条 侵害通知

処理者は、自己の責任領域内で個人データ侵害を認識した場合、遅滞なく、遅くとも48時間以内に、利用可能な範囲で第33条(3)に必要な情報とともに管理者へ通知します。監督機関／データ主体への通知義務は管理者に残ります。

第9条 監査権

管理者は、情報の請求、提出された証跡／監査報告、または必要な場合は業務を妨げない予告された時点での現地検査により、本 DPA の遵守を検証できます。処理者は、適切な文書（暗号コンセプト、TOM 記述）および認証／証明により主に証跡を提供できます。

第10条 終了後の削除・返却

終了後、処理者は、法定の保存義務がない限り、管理者を代理して処理したすべての個人データを削除し、または管理者の選択により返却します。no-log アーキテクチャにより、暗号化ペイロード（平文・鍵・暗号文）は永続保存されず、各リクエストの間メモリ上で一時的にのみ処理されるため、これを超える削除は技術的に意味がありません。付属書1記載の運用メタデータは、そこに定める保存期間の経過後に削除します。

第11条 処理地／第三国移転

API を介して送信されるデータ（一時的なペイロードおよび関連運用メタデータ）の処理は、ドイツ（ニュルンベルク）、EU／EEA 域内でのみ行われます。したがって中核サービスの一環としての第三国移転は発生しません。

処理者は日本に拠点を有し、管理アクセス（運用・サポート・請求／ライセンス管理）は日本から行われる場合があります。請求に関連する運用メタデータ（特に関連する顧客メール、サブスクリプション識別子および集計利用カウンター）は、契約および請求処理のために、処理者が日本から運用する請求システムへ送信されます。暗号化ペイロード（平文・鍵・暗号文）は当該システムへ送信されません。EU／EEA から日本への移転については EU 委員会の十分性認定（2019年）が適用され、その適用範囲に処理が含まれる限り追加の保護措置は不要です。十分性認定のない第三国の下請処理者を利用する場合は、標準契約条項（第46条）を締結します。

第12条 責任・最終条項

責任は GDPR 第82条および主契約に従います。変更は書面形式を要します。いずれかの条項が無効であっても、契約のその余の部分は有効に存続します。許容される範囲で主契約に定める準拠法および裁判管轄が適用されます。本 DPA はドイツ語版が優先します。

付属書1 — 処理の記述

処理者はペイロードを閲覧（no-log）もその内容を制御もできないため、データの種類およびデータ主体の範囲は管理者が決定します。

付属書2 — 技術的・組織的措置（第32条）

• 暗号化：中核サービス自体が最新技術水準の暗号化（BSI TR-02102-1 / NIST FIPS-203/204/205 アルゴリズム）。通信は TLS で暗号化。
• no-log アーキテクチャ：平文・鍵・暗号文を永続保存せず、リクエストの間メモリ上で一時的にのみ処理。
• 機密性／アクセス制御：API キー認証、サーバー側のティア／クォータ強制、ロールベースのアクセス制御、鍵のみの SSH アクセス。
• 完全性：すべての有効方式で認証付き暗号（AEAD）。堅牢化サーバー、パッチ管理。
• 可用性／耐障害性：オフサイト複製を伴う暗号化バックアップ、監視。
• 検証：リリースゲート、テスト、リークスキャン、定期レビュー。

付属書3 — 下請処理者・所在地

締結

本 DPA は主契約の締結により有効となります。当事者の場所・日付・署名は締結時に補足します。