データ処理契約 (DPA)
Effective date:
このデータ処理契約 (DPA) は、規則 (EU) 2016/679 (GDPR) 第28条に基づいて締結され、PDFLeanとの契約におけるデータ保護附帯契約となります。お客様はデータ管理者として処理の目的と手段を決定し、PDFLeanはデータ処理者として、文書化されたお客様の指示に基づいてのみクラウド処理を実行し、顧客データを自社のマーケティング、プロファイリング、またはモデルトレーニングに使用することはありません。ブラウザローカルのWASMツールを使用する場合、ファイルがデバイスの外に出ることはなく、このDPAに基づく処理の委託は発生しません。
1. 契約の適用範囲と優先順位
このDPAは、PDFLeanのクラウドコンピューティングサービスを通じて顧客から提出された、または顧客の代理として生成された個人データの処理に適用されます。ファイルをPDFLeanのインフラストラクチャに送信せずに、WebAssemblyのクライアント側で動作するブラウザローカルのツールは、処理委託の範囲外となります。このDPAと一般的な利用規約の間に矛盾が生じた場合、プライバシーおよびデータ保護に関しては、このDPAが優先されます。
2. 管理者と処理者の役割
適用されるデータ保護法の目的において、顧客はデータ管理者として機能し、PDFLeanはデータ処理者として機能します。PDFLeanは、文書化された管理者の指示（結合、分割、OCR、変換などの対話型のウェブコマンドを介して開始される）にのみ基づいて顧客のドキュメントを処理し、自社のマーケティング、プロファイリング、または機械学習トレーニングの目的で個人データを処理することは決してありません。
3. 法定の処理者の義務
PDFLeanは、GDPR第28条に基づき、以下の法的義務を遵守することを約束します：
- 文書化された指示とデータ最小化: 顧客の指示に従ってのみデータを処理し、処理の完了に必要な技術的なライフサイクルの間だけ一時ドキュメントを保持し（完了後または期限切れ時に自動消去）、指示が適用されるデータ保護規則に違反していると思われる場合は顧客に通知します。
- 人員の機密保持: インフラストラクチャまたはカスタマーサポートチケットの処理を許可されたすべての人員が、厳格な契約上の機密保持義務を負うことを保証します。
- インシデントの通知: 個人データのセキュリティインシデントが確認された場合、72時間以内に影響を受ける管理者に通知し、包括的な技術的リスク評価を提供します。
- 支援とデータ主体の権利: データ主体が法定の権利（アクセス、消去、訂正）を行使することに対応するための、管理者の義務の履行を支援します。
4. 認可されたインフラストラクチャ副処理者
副処理者の認証は、各プロバイダー（例：Cloudflare、Stripe）によって公開されているものです。PDFLean自体は、SOC 2 / ISO 27001 認証を主張していません：
| 副処理者 | サービス機能 | 場所 | コンプライアンス基準 |
|---|---|---|---|
| Cloudflare, Inc. | エッジコンピューティング、DDoS防御、R2暗号化ストレージ | EUおよび米国のエッジノード | SOC 2 Type II、ISO 27001 |
| Stripe, Inc. | 決済ゲートウェイおよびコンプライアントなVAT請求書発行 | グローバルTier 1ハブ | PCI-DSS Level 1 |
| Resend, Inc. | トランザクションシステムメール配信 | 米国 / EUチャネル | SOC 2 Type II |
| DeepSeek | オプションのAI要約 / 翻訳（サーバーサイドのプロキシのみ） | 中国 (本土) — 越境データ移転 | モデルの重みはMIT。AI機能が要求された場合にのみ呼び出されます。SCC / お客様の指示に基づく移転 |
5. 技術的および組織的対策 (TOMs)
当社は多層防御対策を導入しています：転送時のTLS 1.3暗号化。保存時のAES-256暗号化。顧客ドキュメントの永続的な保存なし（期限切れ時に自動消去）。最小権限アクセス制御。
6. DPAの締結と法務連絡先
標準契約条項 (SCCs) を含む正式な署名入りDPAを必要とする企業および法務チームは、当社の法務コンプライアンスデスク（support@pdflean.com）を通じて締結パッケージをリクエストできます。当社の法務チームは、1営業日以内に締結パッケージをご提供します。