データ処理契約

目次

1. 1. 適用範囲、役割及び定義
2. 2. 処理の詳細
3. 3. お客様の指示
4. 4. 権限を有する者の秘密保持
5. 5. セキュリティ対策
6. 6. サブプロセッサー
7. 7. データの所在地及び国際移転
8. 8. データ主体からの要求への支援
9. 9. 個人データ侵害の通知
10. 10. 影響評価及び規制当局との協議
11. 11. 情報提供及び監査
12. 12. データの返還及び削除
13. 13. 政府からの要請
14. 14. 責任
15. 15. 期間及び優先関係
16. 16. データ保護連絡窓口及び処理活動の記録
17. 附属書1：処理の詳細
18. 附属書2：技術的及び組織的措置
19. 附属書3：サブプロセッサー

バージョン： 1.2 · 公開日： 2026年10月16日 · 効力発生： 新規ワークスペースについては承諾時、以前のバージョンを承諾したワークスペースについては、STAKがお客様向けサービス利用規約第20条に基づく通知で示す日 · 正文： 英語（お客様向けサービス利用規約第23.9条）

発行者： アメリカ合衆国デラウェア州で設立された有限責任会社（ファイル番号10798493）であり、STAK（ستاك）及び本サービスを所有するSTAK Global, LLC。連絡先：[email protected]。

1. 適用範囲、役割及び定義

1.1 本データ処理契約は、STAKお客様向けサービス利用規約（以下「本規約」といいます。）第3.1条に基づき、本契約の不可分の一部をなします。本データ処理契約は、STAKによるお客様の個人データの処理を規律します。本規約で定義された用語は、本データ処理契約においても同じ意味を有します。

1.2 お客様はお客様の個人データのコントローラーであり、STAKは、お客様に代わって、またお客様の指示に基づいてこれを処理するプロセッサーです。

• コントローラー及びプロセッサーは、適用データ保護法令におけるそれらに相当するもの（たとえば、サウジアラビア王国における管理主体及び処理主体）を意味します。
• お客様が、他のコントローラーに代わってプロセッサーとしてデータを処理する場合、STAKは、お客様のために行動するプロセッサーとしてそのデータを処理し、第1.3条にいうサブプロセッサーには該当しません。お客様は、その指示が当該コントローラーの指示と整合していることを確保します。
• STAKは、プライバシーポリシーに記載のとおり、アカウントデータをコントローラーとして処理し、本データ処理契約はこれに適用されません。この言及も附属書3における言及も、本規約第3.2条に基づく契約上の義務を生じさせません。

1.3 以下の用語は、それぞれの横に示す意味を有します：

• お客様の個人データ： お客様データに含まれる個人データ（お客様のエンドカスタマー、従業員、仕入先及びユーザーに関するデータを含み、アカウントデータを除きます。）。
• 機微個人データ： 健康及び臨床データ、並びに適用データ保護法令が機微なものと分類するあらゆるデータ。
• 処理： 個人データに対して行われるあらゆる操作（たとえば、収集、記録、保存、取得、使用、開示、移転及び削除）。
• サブプロセッサー： 本サービスを提供する目的でお客様の個人データを処理させるためにSTAKが起用するあらゆる者。
• データ主体： 個人データが関係する自然人。
• セキュリティインシデント： 本サービスの機密性、完全性又は可用性を脅かす、又は脅かすことが疑われるあらゆる事象。
• 個人データ侵害： お客様の個人データの偶発的又は違法な破壊、紛失若しくは改ざん、又は無許可の開示若しくはアクセスをもたらすセキュリティ上のあらゆる違反。
• バックアップ： 第12.3条及び附属書2に基づき、復旧の目的でお客様データから作成されたあらゆるコピー。
• 本番環境： 本サービスが稼働し、お客様が使用するシステム及びデータベース（バックアップを除きます。）。
• 適用データ保護法令： 処理に適用される個人データ保護に関する法令であり、それぞれ適用される範囲で、次のものを含みます：
  • クウェート国：電子取引に関する2014年法律第20号、並びにCommunication and Information Technology Regulatory Authorityが発行したData Privacy Protection Regulation、Cloud Computing Regulatory Framework及びData Classification Policy（それぞれの範囲において）；
  • サウジアラビア王国の個人データ保護法（改正を含む、ヒジュラ暦1443年2月9日付王令第(M/19)号により公布）、その施行規則、及び個人データの王国外への移転に関する規則；
  • アラブ首長国連邦：個人データ保護に関する2021年連邦政令法第(45)号、保健分野における情報通信技術の使用に関する2019年連邦法第(2)号、並びにそれらの適用を受ける者についてのDubai International Financial Centre及びAbu Dhabi Global Marketのデータ保護法；
  • バーレーン王国の個人データ保護法を公布する2018年法律第(30)号；
  • カタール国の個人データプライバシー保護に関する2016年法律第(13)号；
  • オマーン国の王令第(6/2022)号により公布された個人データ保護法；
  • 欧州連合一般データ保護規則（規則(EU) 2016/679）（お客様に適用される場合）；
  • 英国一般データ保護規則及びData Protection Act 2018；スイス連邦データ保護法；改正後のCalifornia Consumer Privacy Act並びにアメリカ合衆国のその他の包括的な州プライバシー法；カナダのPersonal Information Protection and Electronic Documents Act及び州法；ブラジルのLei Geral de Proteção de Dados（法律第13.709/2018号）；インドのDigital Personal Data Protection Act, 2023；トルコの個人データ保護に関する法律第6698号；エジプトの2020年法律第151号；南アフリカのProtection of Personal Information Act, 2013；シンガポールのPersonal Data Protection Act 2012；オーストラリアのPrivacy Act 1988；並びに処理に適用されるその他の個人データ保護法。

2. 処理の詳細

附属書1は、処理の対象事項、期間、性質及び目的、データ主体の類型並びに個人データの類型を定めています。

3. お客様の指示

3.1 STAKは、お客様の文書化された指示に基づいてのみ、お客様の個人データを処理します。その指示とは次のものです：

• 本契約；
• ワークスペースの設定；
• ユーザーが本サービス内で行う操作；
• 両当事者が合意するその他の書面による指示。

3.2 適用法令が求める場合、STAKは、これらの指示以外の方法でデータを処理することがあります。STAKは、法律が通知を禁止する場合を除き、事前にお客様に通知します。

3.3 STAKは、指示が適用データ保護法令に違反すると考える場合、お客様に通知します。STAKは、お客様が違反を解消するよう指示を変更するか、STAKが合理的に受け入れる法的根拠を付して書面で確認するまで、その指示の実行を拒否することができます。

3.4 お客様は、その指示の適法性、及びお客様の個人データを収集し処理する適法な根拠を有することについて責任を負います。これには、データ主体への通知及び、必要な場合にはその同意（第7条に基づくそのデータの移転に対する同意を含みます。）の取得が含まれます。

4. 権限を有する者の秘密保持

STAKは、お客様の個人データへのアクセスを、業務上これを必要とする従業員及び請負業者に限定し、これらの者に秘密保持義務を課します。STAKの従業員及び請負業者は、次の場合にのみお客様データにアクセスし、本番環境へのそのようなアクセスの開始は、すべて記録されます：

• (a) お客様が求めるサポートを提供するため；
• (b) 本サービスを運用及び保守し、バックアップから復元するため；
• (c) セキュリティインシデント又は許容利用ポリシー違反の疑いを調査するため；
• (d) 法律が求める場合。

5. セキュリティ対策

5.1 STAKは、処理の性質及びリスクを考慮して、お客様の個人データを保護するための適切な技術的及び組織的措置を講じます。これには、少なくとも附属書2の措置が含まれます。

5.2 STAKは、保護の全体的な水準が低下しない限り、これらの措置を更新することができます。

5.3 お客様は、ユーザー及び権限の管理、2段階サインインの有効化、デバイス及び機器の保護、並びにエクスポートしたデータの安全な保管など、お客様自身の管理下にあるセキュリティ対策について責任を負います。

6. サブプロセッサー

6.1 お客様は、STAKが附属書3に記載されたサブプロセッサーを起用することを承認します。

6.2 STAKは、各サブプロセッサーと書面による契約を締結しなければなりません。当該契約は、処理に適した水準の保護を提供し、本データ処理契約と実質的に同等のデータ保護義務を課すものでなければなりません。STAKは、サブプロセッサーの義務の履行について、お客様に対して引き続き責任を負います。

6.3 STAKは、新たなサブプロセッサーがお客様の個人データの処理を開始する少なくとも30日前に、本サービス内又は電子メールでお客様に通知します。

6.4 通知期間中、お客様は、データ保護上の合理的な理由に基づき、新たなサブプロセッサーに対し書面で異議を述べることができます。両当事者が解決策に合意できない場合、お客様は、処理が開始される前に、影響を受けるサブスクリプション又は本契約を解約し、残りの期間について前払いした料金の返金を受けることができます。

6.5 お客様が自らのアカウントを通じて接続する連携プロバイダーは、STAKのサブプロセッサーではありません。これには、決済サービスプロバイダー、お客様自身のWhatsApp Businessアカウントに関するMeta、及び配達プラットフォームが含まれます。お客様の指示に基づきこれらにデータを送信することは、お客様の指図に基づき、お客様に代わって行われる移転です。

6.6 AI機能のプロバイダーには、ユーザーがそれらの機能のいずれかを要求した場合、ユーザーがレシートなど、読み取らせる文書をアップロードした場合、又はユーザーが設定した自動化がAIを使用するステップを実行する場合にのみデータが送信され、その要求又はステップの実行に必要なデータのみが送信されます。プロバイダーは、それをモデルの学習に使用してはなりません。機微個人データは、要求又はステップ自体にそれが含まれている場合にのみ送信されます。

7. データの所在地及び国際移転

7.1 本サービスは、ドイツ連邦共和国のフランクフルトリージョンにあるAmazon Web Servicesの本番環境でホストされ、お客様の個人データは、主としてそこに保存されます。バックアップは同じリージョンに保管され、そのコピーは、アイルランド共和国にある別個のAmazon Web Servicesリージョンに作成されます。

7.2 お客様は、次の事項を了解し、その結果として生じる移転を明示的に承認します：

• (a) ホスティングは欧州連合内で行われ、これはお客様が設立され又は事業を行う国の外にある可能性があります；
• (b) Cloudflareは、常にそのグローバルネットワークを通じてネットワークトラフィックを処理します；
• (c) 附属書3に記載されたその他のサブプロセッサーは、アメリカ合衆国を含むその他の国で、当該サービスが使用される場合にのみデータを処理します；
• (d) STAKの従業員は、第4条に定める場合にのみ、クウェート国からデータにアクセスすることがあります。

7.3 お客様の個人データを収集された国の外に移転する場合、STAKは次の保護措置を適用します：

• (a) 第6.2条に記載された契約（STAKが欧州連合外のサブプロセッサーとの間で締結している標準契約条項を含みます。）；
• (b) 転送中及び保存中の暗号化；
• (c) 適用データ保護法令が要求する場合には、同法令が認める移転メカニズム（第7.6条に定めるものを含みます。）。

7.4 お客様は、お客様の国の法律が、お客様の個人データを当該国の外へ移転するために要求する同意又は承認を、規制当局又はデータ主体から取得しなければなりません。STAKは、請求に応じて、このために必要な情報を提供します。

7.5 STAKは、少なくとも30日前にお客様に通知した上で、主たるホスティング又はバックアップを別のリージョンに移すことがあり、お客様は第6.4条に基づき異議を述べることができます。同条に基づく解約は、移行日より前に効力を生じるものとします。主たるホスティングリージョンの喪失後に、アイルランド共和国のバックアップから本サービスを一時的に稼働させることは、本条にいう移行ではなく、STAKは遅滞なくお客様に通知します。

7.6 法律が要求する移転メカニズム： 第7.4条に影響を及ぼすことなく：

• (a) 欧州連合一般データ保護規則がお客様に適用される場合、欧州委員会実施決定(EU) 2021/914により採択された標準契約条項（以下「EU標準契約条項」といいます。）が、参照により本データ処理契約に組み込まれます：お客様がコントローラーである場合はモジュール2（コントローラーからプロセッサー）、お客様が他のコントローラーのためにデータを処理する場合はモジュール3（プロセッサーからプロセッサー）。お客様はデータ輸出者であり、STAKはデータ輸入者です。第7条（ドッキング条項）が適用されます。第9条(a)に基づき、オプション2（一般的な書面による許可）が適用され、通知期間は第6.3条のとおりです。第11条(a)の任意の文言は適用されません。第17条及び第18条に基づき、アイルランド共和国の法律及び裁判所が適用されます。管轄の監督機関は、第13条に基づき決定されます。その附属書は、附属書1、2及び3によって補完されます。両者が矛盾する場合は、EU標準契約条項が本契約に優先します。
• (b) サウジアラビア王国の個人データ保護法がお客様に適用される場合、Saudi Data and Artificial Intelligence Authorityが発行した個人データ移転のための標準契約条項の第2テンプレート（コントローラーからプロセッサー）が、参照により本データ処理契約に組み込まれます。お客様はデータ輸出者であり、STAKはデータ輸入者であり、その付録は附属書1、2及び3によって補完されます。STAKは、個人データの王国外への移転に関する規則に基づきお客様が実施しなければならない移転リスク評価に必要な情報を、お客様に提供します。両者が矛盾する場合は、当該標準契約条項が本契約に優先します。
• (c) アラブ首長国連邦の2021年連邦政令法第(45)号がお客様に適用される場合、STAKは、移転されたデータに対し、プロセッサーに適用される範囲で、同法の規定、措置及び管理を適用します。
• (d) 英国一般データ保護規則がお客様に適用される場合、UK Information Commissionerが発行したEU標準契約条項に対する国際データ移転補遺（バージョンB1.0、2022年3月21日発効、その後の改正を含みます。）が参照により組み込まれます。表1から表3は、本契約並びに附属書1から3に記載された両当事者の詳細で補完されます。表4については、いずれの当事者も、そのセクション19が認めるとおり、補遺を終了させることができます。
• (e) スイス連邦データ保護法がお客様に適用される場合、EU標準契約条項は、次の変更を加えて適用されます：同法が規律する移転については、Swiss Federal Data Protection and Information Commissionerが管轄の監督機関となること；GDPRへの言及には同法が含まれること；及び、スイスのデータ主体がスイスで請求を提起できるよう、「加盟国」を読み替えること。
• (f) その他の適用データ保護法令が特定の移転手段を求める場合（ブラジルの国家データ保護機関の標準契約条項、又はトルコの法律第6698号に基づく標準契約など）、STAKは、お客様の請求に応じて、附属書1から3に基づきその詳細を記入した上で、当該手段に署名し、又はこれを組み込みます。
• (g) California Consumer Privacy Act又は類似のアメリカ合衆国の州プライバシー法が適用される場合、STAKは、お客様のサービスプロバイダー、請負業者又はプロセッサーとして行動します。STAKは、お客様の個人データを販売せず、共有しません。STAKは、本契約に基づく本サービスの提供以外の目的で、又はお客様との直接的な取引関係の外で、これを保持、使用又は開示しません。STAKは、これらの法律が認める場合を除き、他の情報源からの個人情報と組み合わせません。STAKは、これらの法律を遵守し、それらが求める水準と同等のプライバシー保護を提供します。STAKは、これらの義務をもはや果たせなくなった場合、お客様に通知します。お客様は、無許可の使用を停止し是正するための合理的な措置を講じることができます。STAKは、これらの制限を理解していることを証明します。

7.7 特定の国内に留まらなければならないデータ： お客様は、適用法令が特定の国内での保存又は処理を求めるデータを、本規約第9.5条に基づき、当該国でのホスティングが該当するアプリについて利用可能であることを本サービスが示している場合を除き、本サービスに保存してはなりません。これは、本規約第13.4条及び許容利用ポリシー第5.4条に沿うものです。

8. データ主体からの要求への支援

8.1 本サービスは、お客様に対し、エンドカスタマーの個人データを閲覧、エクスポート及び訂正するためのツール、法律が保存を求める記録を保持しつつ、その身元を別名に置き換えることによりそれを消去するツール、並びに従業員のデータを閲覧し訂正するためのツールを提供します。お客様はこれらのツールを使用してデータ主体の要求に対応し、STAKは、これらのツールがカバーしないもの（従業員データのエクスポート及び削除を含みます。）について、第8.3条に基づき支援します。

8.2 STAKは、データ主体から直接、お客様の個人データに関する要求を受け取った場合、遅滞なくこれをお客様に転送し、お客様の指示に基づいてのみ回答します。

8.3 STAKは、利用可能なツールがカバーしないものについて、お客様に合理的な支援を提供します。

9. 個人データ侵害の通知

9.1 STAKは、お客様の個人データに影響する個人データ侵害を認識した後、不当な遅滞なくお客様に通知します。可能な場合は認識から24時間以内に、いかなる場合も48時間以内に通知します。

9.2 通知には、情報が利用可能な範囲で、次の事項を含めます：

• (a) 侵害の性質；
• (b) データ及びデータ主体の類型並びにそのおおよその数；
• (c) 想定される結果；
• (d) 侵害に対処するために講じた措置及び提案する措置；
• (e) STAKにおける連絡窓口。

STAKは、追加情報が利用可能になり次第、これを提供します。

9.3 STAKは、侵害を封じ込め、その影響を限定するため、直ちに合理的な措置を講じます。STAKは、お客様が規制当局及びデータ主体に通知しなければならない場合、法律がお客様に定める期限を考慮して、その通知についてお客様に協力します。適用法令がSTAK自身に侵害を規制当局へ通知することを求める場合、STAKは、必要とされる期間内にこれを行い、お客様に通知します。

9.4 STAKによる侵害の通知又はその対処への協力は、過失又は責任の承認ではありません。

10. 影響評価及び規制当局との協議

STAKは、お客様の請求に応じて、本サービスに関する範囲で、データ保護影響評価の実施又は規制当局との協議に必要な合理的な情報を提供します。

11. 情報提供及び監査

11.1 STAKは、お客様の請求に応じて、本データ処理契約の遵守を示すために合理的に必要な情報を提供します。これには、セキュリティ文書及び年1回のセキュリティ質問票への回答が含まれます。

11.2 お客様は、次の場合に、自己の費用で監査を実施し、又は秘密保持義務を負う独立監査人に実施させることができます：

• (a) 規制当局が求める場合；
• (b) お客様のデータに影響する個人データ侵害の後；
• (c) 第11.1条に基づき提供された情報が十分でない場合。

監査には次の条件が適用されます：

• お客様は、少なくとも30日前に、監査についてSTAKに通知します。
• 監査は、営業日の営業時間内に行われます。
• (c)に基づく監査は、年1回を超えて実施されません。
• いかなる監査も、サブプロセッサーの施設には及びません。代わりに、その認証及び独立した報告書で足りるものとします。
• いかなる監査も、他の顧客のデータ、又はそのセキュリティに影響を及ぼすものへのアクセスを含みません。

12. データの返還及び削除

12.1 お客様は、本規約第19.5条に基づき、いつでも、また本契約の終了後30日間、お客様の個人データをエクスポートできます。

12.2 エクスポート期間の後、STAKは、適用法令がその保管を求める場合を除き、また、裁判上の紛争、調査又は所管当局の要請について通知を受けている間の本規約第19.5条の保留を条件として、30日以内に本番環境からお客様の個人データを削除します。

12.3 バックアップは、次の保存期間にわたり保管されます：

• (a) ポイントインタイムリカバリ及び日次バックアップ：各バックアップの作成日から35日間；
• (b) データベースの夜間の論理バックアップ（データベースダンプ）：35日間；
• (c) 月次バックアップ：各バックアップの作成日から12か月間；
• (d) アップロードされたファイルの以前のバージョン：置き換えられ又は削除された日から90日間。

これらのバックアップに適用される規則：

• 日次及び月次バックアップとそのコピーは、そのポリシーにより、STAK自身のスタッフを含め誰も、保存期間の終了前にバックアップを削除し又はその期間を変更できないバックアップボールトに保管され、また、ホスティングプロバイダーのコンプライアンスモードのロックにより、少なくとも最初の35日間はいかなるバックアップも削除できません。
• 夜間の論理バックアップは、その保存期間が終了するまで、変更及び削除から保護されます。
• STAKは、お客様の請求があっても、保存期間が終了する前にいかなるバックアップも削除しません。
• すべてのバックアップは使用不能な状態に置かれ、第12.4条を条件として、技術的な復旧のため、又は法律が求める場合にのみ使用されます。
• 削除されたデータを含むすべてのバックアップは、これらの期間が終了した時点（すなわち、最長12か月以内）で失効し、その時点で削除されたデータは恒久的に破棄されます。
• STAKは、請求に応じて、お客様がデータ主体に伝えられるよう、削除されたデータを含む最後のバックアップが失効する日付をお客様に通知します。

12.4 STAKは、これらの期間中にバックアップを復元する場合、データを利用可能にする前に、そのバックアップの日付より後に第8.1条に基づき実施された消去及び第12.2条に基づき行われた削除を、それらの操作について保持している記録を用いて、再度適用します。

13. 政府からの要請

STAKは、政府又は司法当局から、お客様の個人データの開示を求める拘束力のある要請を受けた場合、法律が通知を禁止する場合を除き、お客様に通知します。STAKは、開示を、要請が求める最小限に限定します。STAKは、違法であると合理的に考える要請については、利用可能な法的手段により異議を申し立てます。

14. 責任

本データ処理契約に基づく各当事者の責任（第7.6条の標準契約条項に基づく他方当事者に対する責任を含みます。）は、これらの条項が認める範囲で、かつそれらに基づくデータ主体の権利に影響を及ぼすことなく、本規約第16条の責任制限規定の適用を受けます。

15. 期間及び優先関係

15.1 本データ処理契約は、STAKがお客様の個人データを処理する限り適用されます。

15.2 本データ処理契約が本規約と矛盾する場合、お客様の個人データに関する事項については、本データ処理契約が優先します。

15.3 適用データ保護法令が本データ処理契約より厳格な強行的義務を課す場合、その義務がその範囲内で適用されます。

16. データ保護連絡窓口及び処理活動の記録

STAKは、データ保護連絡窓口を任命しており、[email protected]宛の電子メールで連絡できます。STAKは、お客様のために実施する処理活動の記録を保持し、法律が求める場合は、所管の規制当局に提供します。

附属書1：処理の詳細

• 対象事項： 本規約に基づくお客様への本サービスの提供。
• 期間： 本契約の期間、第12条に基づくその後のエクスポート及び削除の期間、第12.3条のバックアップの保存期間、並びに附属書3に定めるサブプロセッサーの保存期間。
• 性質及び目的：
  • お客様データの保存及びホスティング；
  • 売上、注文、予約及び請求書の処理；
  • 在庫、会計、人事及び給与の管理；
  • お客様が連携プロバイダーとの自らのアカウントを通じて、又は附属書3に記載された後にSTAKが利用するメッセージングプロバイダーを通じて依頼するメッセージの送信；
  • 使用される場合のAI機能の提供；
  • バックアップ、セキュリティ及びサポート。
• データ主体の類型：
  • お客様のエンドカスタマー、来店客及び患者；
  • その従業員及び求職者；
  • ユーザー；
  • その仕入先及びその担当者；
  • ドライバー及び配送担当者。
• 個人データの類型：
  • 氏名、電話番号、電子メール、住所、配達先などの身元及び連絡先データ；
  • 取引、注文、予約及び請求書の記録；
  • 支払いに関連する参照情報（カード番号の全体を含みません。）；
  • ロイヤルティデータ、設定及び同意；
  • お客様の従業員に関するデータ（Civil ID番号、在留資格の詳細、給与、国際銀行口座番号（IBAN）、勤怠及び休暇など）；
  • お客様がアップロードする写真及び文書；
  • メッセージログ及び監査証跡。
• 機微個人データ： クリニック向けアプリが使用される場合の健康及び臨床データ（第7.7条及び本規約第13.4条を条件とし、同条により、クウェート国又はアラブ首長国連邦で医療サービスを受ける患者について患者記録機能を使用してはなりません。）；並びに診断書など、人事ファイル内の健康データ。臨床記録及び人事ファイルは別個の鍵で暗号化され、このデータは、それを閲覧する権限のある役割を持つユーザーにのみ表示されます。保険請求及び事前承認における診断コード及び処置コード、並びに保険証のイメージは、附属書2のデータベース及びストレージの暗号化により保護されます。

附属書2：技術的及び組織的措置

1. 暗号化：
   • 転送中のデータはTLSバージョン1.2以降で暗号化され、データベースサーバーの身元は接続のたびに検証されます。
   • データベース、ディスク、ファイル、バックアップ及びシークレットストアに保存されたデータは、AWS Key Management Service（AWS KMS）を通じて、又はホスティングプロバイダーによって管理される鍵を使用して、AES-256で暗号化されます。
   • 人事ファイル及び臨床記録は、アプリケーション内で別個の鍵によりさらに暗号化され、連携プロバイダーの接続情報は、別個の鍵で暗号化された別個のシークレットストアに保管されます。
2. 各お客様のデータの分離： お客様データのすべてのレコードには、それが属する事業の識別子が付されます。データベースの行レベルのセキュリティポリシーはアプリケーションのロールに適用され、アプリケーションのロールにはこれを回避する権限がありません。複合キー制約により、ある事業のレコードが別の事業のレコードに関連付けられることが防止されます。
3. アクセス制御：
   • アクセスは、最小権限の原則に基づいて付与されます。
   • 本番環境へのアクセスは、氏名が特定されたSTAKの従業員に限定され、多要素認証が必要であり、すべてのアクセスの開始が記録されます。
   • サーバーへの管理アクセスは、AWS Systems Managerを通じてのみ行われ、直接の（SSH）ログインはありません。
4. ユーザーのサインインセキュリティ：
   • ユーザーに対し、本サービスは、パスキー、認証アプリ及び確認済みの電話に送信される認証コードを提供します。
   • お客様に対し、本サービスは、カスタマイズ可能な役割及び権限、拠点による制限付きアクセスを提供し、これらを含むプランでは、セッションのアイドルタイムアウトのルール、及び新しいデバイスからのサインインについてのオーナーへのアラートも提供します。
5. 監査証跡： ユーザーが変更も削除もできない変更の監査証跡が保持されます。これには、実行者、時刻、発生元及びIPアドレスが記録されます。お客様が第8.1条に基づきエンドカスタマーの個人データを消去する場合、その記録からは当該個人を識別する詳細が失われますが、何が行われたか、誰によって、いつ行われたかは保持されます。監査証跡は、第12条に基づきお客様データとともに削除されます。会計仕訳は、改ざんがあれば判明するよう、チェーン状に連結されています。
6. バックアップと復旧：
   • 自動化された継続的なバックアップにより、35日以内の任意の時点への復元が可能です；
   • 日次バックアップは35日間、月次バックアップは12か月間保管され、アイルランド共和国の別の地理的リージョンにコピーされます。バックアップボールトのポリシーにより、保存期間の終了前の削除又はその期間の変更は防止され、コンプライアンスモードのロックにより、少なくとも最初の35日間はいかなるバックアップも削除できません；
   • データベースの論理バックアップが毎晩作成され、変更及び削除から保護されたストレージに35日間保管されます；
   • バックアップからのデータベースの復元は、毎月テストされます。
7. 決済データ： 本サービスは、STAKがカード番号の全体を保存しないように設計されています。支払いは、決済サービスプロバイダーがホストするページ、又はその認証済みのカード受付端末及びアプリで行われます。本サービスの画面にはカードデータを入力する欄がなく、お客様は、誤って入力されたカード番号を削除できるよう、自由記述欄をスキャンすることができます。
8. ネットワーク及びインフラストラクチャ： データベースは、一般にアクセスできないプライベートネットワーク内で、ファイアウォールの背後で稼働します。ウェブアプリケーションファイアウォール及びサービス拒否攻撃に対する保護は、Cloudflareを通じて提供されます。
9. 脆弱性管理及び安全な開発： コードはレビューされ、リリースのたびに自動テストが実行されます。ソフトウェアライブラリは検査され、セキュリティ更新は遅滞なく適用されます。
10. 監視及びインシデント対応：
    • クラウドインフラストラクチャは、常時自動的に監視され、即時にアラートが発せられます；
    • クラウドインフラストラクチャに対するすべての管理操作は記録され、脅威及び過剰な権限は、専用のAmazonサービス（AWS CloudTrail、GuardDuty及びIAM Access Analyzer）を通じて自動的に検出されます；
    • セキュリティインシデントへの対応及び第9条に基づく通知のために、文書化された手順が適用されます。
11. 事業継続： サービスレベル契約の復旧目標に沿って、継続及び復旧計画が適用されます。
12. 要員： STAKの従業員及び請負業者は秘密保持義務を負い、セキュリティ意識向上のための研修を受けます。
13. 安全な削除： データは第12条に基づき削除され、ホスティングプロバイダーは、その基準に従って媒体を破棄します。

附属書3：サブプロセッサー

有効にされた場合にのみ使用されるプロバイダー。 STAKは、次のプロバイダーを設定済みですが、現在、お客様の個人データの処理にはこれらを使用していません。STAKは、第6.3条に基づき少なくとも30日前に通知を行った後にのみ、いずれかの使用を開始し、その通知には、プロバイダーがデータを処理する場所及びデータを保持する期間が記載されます。

STAKが独自のWhatsApp番号を有効にすると、Metaは、その番号から、ユーザーにサインインコードを、また公開ページで電話番号を確認するエンドカスタマーに認証コードを送信します。その際にMetaが処理するのは、プライバシーポリシーに基づきSTAKがコントローラーとして処理するデータであり、お客様の個人データではありません。

上記のプロバイダー以外に、STAKは、テキストメッセージ、プッシュ通知、デジタルウォレット、又は住所検索、確認及び地図のプロバイダーを、お客様の個人データの処理には使用していません。