データ処理付属文書

本データ処理付属文書（以下「本 DPA」）は、XNOR Group Pte. Ltd. （以下「データ処理者 (Processor)」「当社」）と顧客である組織（以下「データ管理者 (Controller)」「お客様」）との間の 利用規約の一部を構成します。本 DPA は、当社がお客様に代わって個人データを処理する場合に適用されます。本 DPA はアプリケーション内で利用規約とともに承諾され、効力を生じるために署名は不要です。

1. 役割および適用範囲

1. お客様は、そのメンバーに関する個人データのデータ管理者です。当社はお客様のデータ処理者です。ある法域の法律が CCPA における「事業者 (business)」および「サービスプロバイダ (service provider)」のように異なる用語を用いる場合は、それに相当する役割が適用されます。
2. 当社は、文書化されたお客様の指示にのみ従って個人データを処理します。お客様による本サービスの利用および利用規約が、その指示を構成します。それらの範囲外の追加の指示には書面による合意が必要であり、有償となる場合があります。
3. ある指示が適用されるデータ保護法に違反すると当社が判断した場合、当社は、そのように通知することが禁じられていない限り、お客様に通知します。
4. 当社は、当社自身の請求記録、お客様とのやり取り、およびサービスを防御するために当社が保持するセキュリティログについては、引き続き独立したデータ管理者です。当該処理は当社の プライバシーポリシーに従います。

2. 秘密保持および要員

当社は、個人データの処理を認められた要員が秘密保持義務を負い、適切な訓練を受け、最小権限の原則に基づいてアクセス権を付与されることを確保します。当社の要員のいずれも保管庫の内容を読むことはできず、これは変更しうるアクセス制御ではなく、システムの設計上の性質です。

3. セキュリティ

当社は、附属書 II に定める技術的および組織的措置を実施します。当社は、保護の水準を低下させないことを条件として、サービスの発展に応じてこれらを更新することがあります。

4. 再委託先

1. お客様は、附属書 III に列挙する再委託先 (sub-processor) について、一般的な承認を与えます。
2. 当社は、再委託先を追加または変更する前に、お客様の管理者宛のメールにより、少なくとも 30日前に通知 します。お客様は、その期間内に、データ保護上の合理的な理由により異議を述べることができます。当社が異議を解消できない場合、お客様は影響を受ける部分のサービスを終了し、期間の未使用部分について前払いされた料金の返金を受けることができます。これは利用規約における返金不可の原則の例外です。
3. 当社は、各再委託先に対し、本 DPA に定めるものと同等以上に保護的なデータ保護義務を課し、その履行についてお客様に対して引き続き責任を負います。

5. データ管理者への支援

1. データ主体からの請求。処理の性質を考慮し、当社は、データ主体の権利を行使する請求への対応にあたり、適切な技術的および組織的措置によってお客様を支援します。運用データについては、アプリケーション自体が閲覧、訂正および削除の手段を提供します。それ以上のものが必要な場合、当社は 10 営業日以内に支援します。
2. 当社が受領した請求。当社がお客様のために処理しているデータについて、データ主体が当社に直接連絡してきた場合、当社は、法律により求められる場合を除き、当該請求をお客様に取り次いだことを確認する以外に実質的な回答は行いません。
3. 影響評価。当社は、データ保護影響評価および事前協議について、そうした評価にそのまま利用できるように書かれた附属書の情報を含め、合理的な支援を提供します。ベトナムの個人データについては、政令 13/2023/ND-CP が求める文書のために必要なものを提供します。
4. 限界。本 DPA の冒頭に記載した理由により、当社は保管庫の項目の内容に関する請求について支援できません。お客様はその内容を自ら復号して対応する能力を保持しており、そうするのに最も適した立場にあります。

6. 個人データ侵害

当社がお客様のために処理するデータに影響する個人データ侵害を認識した場合、当社は不当に遅滞することなく、いかなる場合も48時間以内にお客様に通知します。通知には、侵害の性質、関係するデータ主体および記録の区分とおおよその件数、想定される結果、講じたまたは講じる予定の措置、および連絡先を記載します。全体像がまだ把握できていない場合、当社は最初の通知を遅らせるのではなく、段階的に情報を提供します。

当社は、法律により求められる場合を除き、お客様の事前の書面による同意なく、侵害に関連してお客様を特定する公表を行いません。

7. 削除および返還

終了時、お客様は30日間データをエクスポートできます。その後、当社は稼働システムからデータを削除し、ポイントインタイムリカバリのウィンドウが進むのに応じて、さらに35日以内にバックアップからも消えていきます。当社は、書面によるご請求に応じて削除を証明します。法律により求められる場合、当社はデータを保持することがあり、その場合も引き続きこれを保護し、当該目的のためにのみ処理します。

8. 監査

1. 当社は、附属書、当社の最新のセキュリティ文書、および当社が保有する独立した評価の結果を含め、本 DPA の遵守を証明するために必要な情報を提供します。
2. お客様が監査を行えるのは、いかなる12か月の期間においても1回までとし、30日前の書面による通知のうえ、お客様の費用負担で、営業時間内に、当社の業務を不合理に妨げることなく、かつ秘密保持を条件として行うものとします。法定の権限を行使する規制当局は、これらの制限に服しません。お客様のデータに影響する個人データ侵害があった場合には、追加の監査を行うことができます。

9. 国際的な移転

当社が EU 法または英国法によって保護される個人データを十分性のある法域の外へ移転する場合、標準契約条項 (Standard Contractual Clauses)（委員会実施決定 (EU) 2021/914）のモジュール 2（管理者から処理者へ）が参照により本 DPA に組み込まれ、次のとおり補完されます。データ輸出者はお客様、データ輸入者は当社です。第 7 条（ドッキング条項）が適用されます。第 9 条については、第4条に定める30日間の通知期間を伴うオプション 2 の一般的な書面による承認が適用されます。第 11 条については、任意の独立紛争解決機関は利用しません。第 17 条については、準拠法はアイルランド法とします。第 18 条 (b) については、裁判管轄は アイルランドの裁判所とします。以下の附属書 I、II および III が、同条項の附属書として機能します。英国への移転については、同一の条項に対して英国国際データ移転付属文書 (UK International Data Transfer Addendum) が適用されます。

シンガポール国外への移転については、当社は、受領者を契約により同等の保護水準に拘束することで、PDPA 第 26 条に基づく移転制限義務を満たします。

10. 責任

本 DPA に基づく各当事者の責任は、利用規約における制限および除外に服します。本 DPA のいかなる規定も、適用法に基づくデータ主体の権利を制限するものではありません。

11. 優先順位および期間

個人データに関する事項について矛盾がある場合、本 DPA が利用規約に優先します。本 DPA は、当社がお客様のために個人データを処理する間、効力を有し続けます。

---

附属書 I：処理の内容

A. 当事者

データ輸出者／データ管理者：テナントを作成した顧客である組織であり、その Microsoft Entra ディレクトリおよびアプリケーションに保持された管理者の連絡先情報により特定されます。
データ輸入者／データ処理者：XNOR Group Pte. Ltd.、シンガポール。連絡先: keyvaci@xnorgroup.com。

B. データ主体の区分

• テナントのメンバーである、データ管理者の従業員、業務委託先およびその他の要員。
• メンバーとなるよう招待されたが、まだ参加していない個人。
• データ管理者が暗号化された保管庫の項目の中に置くことを選んだ個人データに係る個人。当社は、これらの個人が誰であるかを一切把握していません。

C. 個人データの区分

当社に見えるもの	当社に見えないもの
ディレクトリのオブジェクト識別子、勤務先メールアドレス、表示名、テナント内のロールおよび状態、どの保管庫にどの水準でアクセスできるか、保管庫へのアクセス、項目の表示および復旧の利用を含む、本サービスにおけるその人の操作の監査記録、請求連絡先のメールアドレス、エッジのログにおける IP アドレスおよびユーザーエージェント、規約への同意の記録。メールサインインを利用する場合は、これに加えて、アドレス確認の状態と時刻、セッション無効化のカウンター、未処理のワンタイムリンクのダイジェスト、および第 2 要素が登録されている場合は、暗号化された認証アプリのシークレットと未使用の復旧コードのダイジェスト。サインインパスワードは、いかなる形でも受け取らず、保存しません。	すべての保管庫の項目の内容。その中に置かれた認証情報、メモまたは個人データを含みます。すべての保管庫の名前。メンバーの秘密鍵。当社はこれを、本人のパスフレーズおよび組織の復旧鍵のもとで暗号化された形でのみ保持しています。

特別な種類のデータ。本サービスは、GDPR 第 9 条に定義される特別な種類のデータのために設計されたものではありません。当社は保管庫の内容を読めないため、そうしたデータがそこに置かれることを検知することも防ぐこともできません。データ管理者が保管庫の項目にそのようなデータを保存することを選んだ場合、それはデータ管理者として、自らの法的根拠に基づいて行うものであり、附属書 II に記載した暗号化が該当する保護措置となります。

D. 処理の性質および目的

データ管理者に代わって行う、暗号化された認証情報の保存、送信およびアクセス制御。テナント内における ID およびメンバーシップの管理。セキュリティに関わるイベントの記録。メンバーが申請し、データ管理者自身の管理者が完了させる復旧ワークフローの提供。請求。

E. 頻度および期間

購読の期間中は継続的に行われ、その後は第7条およびプライバシーポリシーの保持期間の表に定めるとおりとします。

附属書 II：技術的および組織的措置

領域	措置
利用者のコンテンツの暗号化	エンドツーエンド暗号化。保管庫の項目は、保管庫ごとの鍵のもとで XChaCha20-Poly1305 によりブラウザ内で暗号化されます。保管庫の鍵は、各メンバーの個人の公開鍵に対して封じた形で届けられます。鍵はメンバーのパスフレーズから Argon2id により導出されます。コンテンツを復号しうる鍵が当社に送信されること、当社が保存することは一切ありません
真正性	各項目には作成者の署名が付され、各アクセス権の付与には、受領者、ロール、鍵のバージョンおよびラップされた鍵を結び付ける署名が付されます。受領者は利用前にこれらを検証し、検証できない場合は処理を中止します
転送中および保存時の暗号化	エッジで TLS 1.2 以上を HSTS とともに強制します。保存データは、環境ごとに別個の、AWS KMS に保持された顧客管理鍵で暗号化され、自動ローテーションを有効にしています
テナントの分離	テナントの識別は、検証済みの認証トークンからのみ取得され、リクエストのパラメータから取得することはありません。単一のモジュールがすべてのデータベースのパーティションキーを構成し、これは自動の lint ルールによって強制され、テナント間のテストマトリクスが失敗時にデプロイを阻止します
アクセス制御	認証は、データ管理者の Microsoft Entra ディレクトリに委任されるか、確認済みのメールアドレス宛てに一度だけ使えるリンクを送ることによって当社が実施します。そのリンクは SHA-256 ダイジェストとしてのみ保存され、有効期間は5分です。サインインパスワードは受け取らず、保存しません。セッショントークンは Ed25519 で署名され、その秘密側はサインインのコンポーネントのみが読み取ることができ、最初の認証から 12時間後に絶対的に失効します。第 2 要素の登録または解除は既存のすべてのセッションを終了させます。第 2 要素として時間ベースのワンタイムコードを利用でき、そのシークレットは平文で保存されるのではなく環境の鍵のもとで暗号化され、各コード期間は多くとも一度しか受け入れられません。組織は、認証情報が表示される前にこれを必須とすることができます。すべての管理用ルートでロールの検証を行います。メンバーが保管庫へのアクセス権を得られるのは、管理者がその ID 鍵に副署した後だけです
監査可能性	アプリケーションコードではなくインフラストラクチャの権限によって強制される追記のみの監査証跡。これにより、いかなるアプリケーションの欠陥も履歴を変更できません。セキュリティに関わるイベントは、応答が返される前に同期的に書き込まれます
アプリケーションの堅牢化	インラインスクリプトを禁止し、第三者のスクリプトは名前を挙げたただ一つのオリジン、お問い合わせフォームの Cloudflare Turnstile のみを許可するコンテンツセキュリティポリシー。第三者のアナリティクスまたは広告のコードを使用しないこと。すべてのリクエストボディに対する厳格なスキーマ検証。内部の詳細を開示しない汎用的なエラー応答
不正利用への耐性	マネージドルールセットとエッジでの IP ごとのレート制限を備えたウェブアプリケーションファイアウォール。ファイアウォールを迂回して API に到達できないようにするオリジンの隠蔽。項目の表示および暗号化された保管庫の内容の取得に対する利用者ごとのレート制限
クライアント側の鍵の衛生	復号鍵はメモリ上にのみ保持され、サインアウト時、15分間操作がなかったとき、およびブラウザのタブが隠れてから5分後に消去されます
回復力	35日間のウィンドウでのポイントインタイムリカバリを備えた、マネージドのマルチアベイラビリティゾーンデータベース。コードとして定義され再現可能なインフラストラクチャ
ガバナンス	ワイルドカードの権限を含まない最小権限のロール。シークレットはマネージドのシークレットストアに保持し、設定に埋め込むのではなく実行時に読み取ること。設計および実装に対する独立したセキュリティレビューを実施し、指摘事項は解消まで追跡すること

附属書 III：承認された再委託先

再委託先	目的	処理の所在地
Amazon Web Services, Inc.	ホスティング、データベース、鍵管理、コンテンツ配信、ログ記録、およびデータ管理者の組織がメールサインインまたは招待を利用する場合の Amazon SES による送信メール	シンガポール（主たる所在地）。エッジ配信、証明書およびファイアウォールのサービスは、米国内の AWS 施設および世界各地に分散したエッジロケーションから稼働します
Stripe, Inc. および Stripe Payments Europe, Ltd.	決済処理、請求書発行、購読管理	米国、アイルランド
Cloudflare, Inc.	マーケティングサイトのお問い合わせフォームに限ったボット対策として、Cloudflare Turnstile を使用します。訪問者の IP アドレスとチャレンジトークンを受け取りますが、保管庫の内容を受け取ることは決してなく、アプリケーション内には一切存在しません	米国、および全世界に分散したエッジロケーション

Microsoft を再委託先として列挙していないのは、認証がデータ管理者自身の Microsoft Entra ディレクトリにおいて、データ管理者自身の Microsoft との契約のもとで行われるためです。当社はその結果として発行されるトークンを受け取るのであって、当社に代わってデータを処理するよう Microsoft に委託しているわけではありません。