法的情報
データ処理契約
当社がお客様のためにサイトをホスティングする場合、その内部の個人データはお客様のものとして保持されます。お客様が管理者であり、当社はお客様の処理者となります。本契約は、UK および EU GDPR に基づき、当社がお客様に代わってそのデータをどのように取り扱うかを規定するものです。
本規約について
最終更新日: 2026年7月22日。
本データ処理契約 (以下「DPA」) は、お客様 (以下「顧客」) と、英国所在の Zinn Digital® Ltd (会社番号: 16385785、付加価値税番号: GB 526 5236 92、所在地: 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ、以下「Zinn Digital®」または「当社」) との間の利用規約の一部を構成します。本契約は、ホスティングおよび関連サービスの提供において、当社がお客様に代わって個人データ (主にお客様が当社でホストするウェブサイトおよびアプリケーション内に含まれる個人データ) を処理する場合に適用されます。
これは、UK GDPR および EU GDPR の第28条を反映したものです。当社が管理者となる個人データ (お客様のアカウント情報、請求情報、および当社自身のウェブサイト訪問者データ) については、本 DPA ではなく当社のプライバシーポリシーが適用されます。貴組織において本 DPA を独立した文書として署名する必要がある場合は、当社までお問い合わせいただければ対応いたします。
1. 定義および役割
個人データ、処理、管理者、処理者、復処理者、データ主体、個人データ侵害、監督機関などの用語は、適用されるデータ保護法 (英国 GDPR、EU GDPR、および英国2018年データ保護法) において定義された意味を有するものとします。
- ホストされているお客様のサイトおよびアプリケーション内の個人データ (「顧客個人データ」) について、お客様が管理者であり、Zinn Digital®が処理者となります。
- お客様のエンドユーザーのデータが、お客様が代理を務める第三者によって管理されている場合、お客様はその第三者に代わって当社に指示を出す権限を有していることを確認するものとします。
- Zinn Digital®は、当社プライバシーポリシーに準拠するアカウント、請求、および独自のウェブサイト解析データの管理責任者であり続けます。
2. 適用範囲、期間、および当社の指示
当社は、お客様が購入されたホスティングおよび関連サービスの提供、保護、サポート、維持を目的としてのみ、かつお客様の文書による指示 (お客様による本サービスの設定およびその機能の利用を含みます) に基づいてのみ、お客様の個人データを処理します。本サービスを利用すること自体が、これらの目的のためにそこに含まれるデータを処理することへの指示となります。
対象事項はお客様のホスティングの運用です。期間はお客様の契約期間に加え、第9条に定める終了期間となります。処理の性質および目的は、ホスティング、保管、送信、バックアップ、セキュリティ、およびサポートです。データの種類およびデータ主体のカテゴリは、お客様が管理し、本サービス上に配置することを選択したあらゆるものとなります。指示がデータ保護法に違反していると当社が判断した場合、当社はお客様に通知するものとし、当社自身の目的またはモデルのトレーニングのためにお客様の個人データを使用することはありません。
3. 秘密保持
当社は、お客様の個人データを処理することを承認された担当者が適切な守秘義務を負うことを保証し、本サービスの提供またはサポートのために必要な担当者のみにアクセスを制限します。本番環境のシステムへのアクセスは最小権限の原則に従い、ログに記録されます。
4. セキュリティ対策
当社は、リスクに見合った適切な技術的および組織的措置を講じ、不測または違法な破棄、喪失、改ざん、ならびに不正な開示やアクセスからお客様の個人データを保護します。これらには以下が含まれます。
- 当社サービス全体における TLS を用いた転送中データの暗号化。
- ある顧客の環境が別の顧客の環境にアクセスできないようにするためのテナントごとの分離。これは行レベルのセキュリティによってデータベースに至るまで適用されます。
- 最小特権アクセス制御。シークレットはコードや設定ファイルではなく、専用のシークレットマネージャーで管理されます。
- 特権的および管理的な操作の監査可能な証跡。
- 継続的な監視、マルウェアスキャン、ならびにセキュリティインシデントの検知、対応、報告のための定義されたプロセス。
- お客様のプランの保持期間に応じた、復元テストを含む定期的なバックアップ。
5. 復処理者
お客様は、本サービスの提供を支援するために当社が再処理者を従事させることに対し、一般的な承認を与えるものとします。当社は、本 DPA と同等以上の保護義務を各再処理者に課し、その履行についてお客様に対し引き続き責任を負います。当社は現在、以下のカテゴリの再処理者を利用しています。
- プラットフォームおよびそのデータをホストするインフラストラクチャおよびクラウドプロバイダー。
- 決済代行業者 (支払いの受付および不正防止のため。請求データを受領するものであり、お客様のサイトのコンテンツは受領しません)。
- アカウントおよびサービスに関する通知を送信するためのトランザクションメールプロバイダー。
- プロダクト分析プロバイダー (PostHog)。当社の自社ウェブサイト上でのみ、かつ訪問者の同意を得た場合に限り使用されます。
- ドメインレジストリ、ならびにお客様のプランで利用されている場合は DNS、CDN、セキュリティの各プロバイダー。
6. 復処理者の変更
当社は上記のカテゴリを最新の状態に維持し、要請に応じて特定の再処理者のリストを提供します。当社が顧客の個人データを処理する再処理者を追加または変更する場合、通知を受け取る手段、および正当なデータ保護の根拠に基づいて異議を申し立てる合理的な機会を提供します。合理的な異議を解決できない場合、お客様は影響を受ける本サービスの一部を終了することができます。
7. データ主体の権利行使に関する支援
処理の性質を考慮し、当社は、適切な技術的および組織的措置ならびに本サービス内のツールを提供することにより、データ主体がその権利 (アクセス、訂正、消去、制限、ポータビリティ、および異議申し立て) を行使するための要求にお客様が対応できるよう、可能な限り支援します。
貴社のデータ主体から直接リクエストを受信した場合、貴社からの指示がある場合または法律で義務付けられている場合を除き、当社が自らこれに応答することはなく、当該リクエストが貴社のデータに関連していると特定できる場合は、これを貴社に転送いたします。
8. 個人データの侵害
当社は、明確に定義されたインシデント対応プロセスを維持しています。お客様の個人データに影響を及ぼす個人データ侵害を認識した場合、当社は不当な遅滞なくお客様に通知し、監督機関およびデータ主体に対するお客様ご自身の通知義務を果たすために合理的に必要となる情報 (侵害の性質、予想される結果、講じられたまたは提案された措置を含みます) を提供いたします。また、当社が利用可能な情報を考慮した上で、処理の安全性を維持し、データ保護影響評価を実施し、必要に応じて監督機関に相談するというお客様の義務に関してもご支援いたします。
9. 国際移転
当社は英国に拠点を置き、データを英国および欧州経済領域 (EEA) 内に保持することを優先しています。お客様の個人データが英国または EEA 域外へ転送される場合 (当社による転送か、復処理者による転送かを問いません)、データが本質的に同等の保護水準を維持できるよう、十分性の認定、英国の国際データ転送契約 (IDTA) もしくは補遺、または EU の標準契約条項 (SCC) などの合法的な転送メカニズムに加え、必要に応じて追加の保護措置に依拠します。
10. 契約終了時の返還および削除
本サービスの終了時において、お客様の選択に基づき、当社は合理的な期間、お客様がエクスポートできるように顧客個人データを利用可能な状態にし、その後、法律により保持が義務付けられている場合を除き、当該データを削除または返却するとともに既存のコピーを削除いたします。バックアップに保持されているデータは、通常のバックアップ有効期限サイクルに従って削除されます。法的に保持が義務付けられている場合、当社は法律で義務付けられているもののみを保持し、本 DPA に基づいて引き続きこれを保護いたします。
11. 監査およびコンプライアンスの実証
当社は、本 DPA の遵守を証明するために合理的に必要な情報を提供し、お客様またはお客様が委任した監査人によって実施される監査 (検査を含みます) を許可し、これに協力します。共有プラットフォームおよび他のお客様のセキュリティと機密性を保護するため、監査は事前の合理的な通知に基づき、合理的な頻度で、機密保持義務を条件として実施されるものとし、当社は、当社の文書、セキュリティに関する説明、および当社が保有する第三者の報告書を提供することにより、監査要請に対応する場合があります。
12. 責任および優先順位
本 DPA に基づく各当事者の責任には、利用規約に定める責任の制限および除外が適用されます。顧客の個人データの処理に関して本 DPA と利用規約との間に矛盾がある場合は、本 DPA が優先されます。本 DPA と標準契約条項との間に矛盾がある場合は (標準契約条項が適用される場合)、当該条項が優先されます。
13. お問い合わせ方法
本 DPA における処理者は、Zinn Digital® Ltd (会社番号 16385785、VAT 番号 GB 526 5236 92)、所在地 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom です。
データ保護に関するご質問、お客様の権利の行使、または署名済みの独立した文書としての本 DPA のご請求については、zinndigital.com/contact のお問い合わせページからご連絡いただくか、office@zinndigital.com までメールでお問い合わせください。データ保護に関するリクエストは、その担当者に転送されます。
よくある質問
本 DPA はいつ適用され、プライバシーポリシーはいつ適用されますか ?
本データ処理補足契約 (DPA) は、お客様が当社でホスティングするサイトおよびアプリケーション内の個人データに適用され、その場合、お客様が管理者 (コントローラー) であり、当社が処理者 (プロセッサー) となります。当社のプライバシーポリシーは、当社が独自の権利において管理するデータ (お客様のアカウント、請求情報、および当社自身のウェブサイト訪問者分析) に適用されます。
何かに署名する必要がありますか ?
本 DPA はすでにお客様の利用規約の一部を構成しているため、別途の署名なしで有効です。貴組織の調達プロセスにおいて独立した文書としての締結が必要な場合は、お問い合わせいただければ手配いたします。
お客様の復処理者は誰ですか ?
当社は、インフラストラクチャおよびクラウド、決済、トランザクションメール、プロダクト分析 (当社の自社サイト上のみ)、ならびにお客様のプランで利用されている場合はドメイン／DNS／CDN／セキュリティプロバイダーといった、定義されたカテゴリーの復処理者を利用します。具体的なリストはご要望に応じて提供し、変更に関する通知を受け取り、異議を申し立てる手段をお客様に提供します。
ホストされている私のデータを AI モデルのトレーニングに使用しますか ?
いいえ。お客様のサイト内の個人データは、文書化された指示に基づきホスティングを運用する目的でのみ処理します。当社が独自の目的で利用することはなく、モデルのトレーニングに利用することもありません。
解約した場合、私のデータはどうなりますか ?
当社は合理的な期間これをエクスポート可能にし、その後、法律により保持が義務付けられているものを除き、これを削除または返却し、当社のコピーを削除します。バックアップは通常の有効期限サイクルに従って削除されます。