データ処理契約（GDPR 第28条）

本データ処理契約（以下「本データ処理契約」）は、KobiChat の利用に関して KobiTech B.V. とお客様との間で締結される契約の不可分の一部を構成します。本データ処理契約は、GDPR 第28条に従い、お客様が KobiChat を通じて自己のために処理させる個人データの処理について定めるものです。一般利用規約との間に矛盾がある場合、データ保護に関する事項については本データ処理契約が優先します。

1. 役割および対象

1.1 お客様は、KobiChat を通じて処理する個人データ（特に、お客様自身の顧客との WhatsApp の会話、連絡先情報およびメッセージ）の管理者です。KobiTech は当該データの処理者であり、専らお客様のためにこれを処理します。

1.2 お客様自身のアカウントデータ、請求データおよび利用データについては、KobiTech 自身が管理者となり、当該データには当社の プライバシーポリシー が適用されます。

2. 指示

2.1 当社は、契約およびドキュメントに記載されたサービスの通常の利用を含め、お客様の文書化された指示に基づいてのみ個人データを処理します。ただし、法的義務により別段の対応が求められる場合はこの限りではありません（その場合、法律で禁止されていない限り、当社はお客様に事前に通知します）。

2.2 当社は、ある指示が GDPR またはその他のデータ保護規則に違反すると判断した場合、お客様にその旨を通知します。

3. 性質、目的および期間

3.1 性質および目的： ビジネス向け WhatsApp コミュニケーションのためのチーム受信箱の提供（メッセージの送受信、連絡先および会話の管理、ならびに - お客様が有効化した場合には - AI による見込み客の事前絞り込み、ブロードキャスト、カレンダー連携および CRM 連携）。処理の詳細は次に定めます： 付属書 A.

3.2 期間： 本データ処理契約は、当社がお客様のために個人データを処理する間、すなわち契約の存続期間中、適用されます。

4. 秘密保持

当社に代わって個人データにアクセスする者は、秘密保持義務を負います。KobiTech のプラットフォーム管理者は、通常の管理業務において、お客様の会話の内容にアクセスすることはありません。

5. セキュリティ

当社は、個人データを保護するため、GDPR 第32条に従い、適切な技術的および組織的措置を講じます。これらの措置は 付属書 Bに定めます。当社はこれらを定期的に評価し、更新します。

6. 再委託先

6.1 お客様は、再委託先の起用について一般的な承認を与えます。現在の一覧は次に記載しています： 付属書 C 、および当社の プライバシーポリシー.

6.2 当社は、各再委託先に対し、少なくとも本データ処理契約と同等の義務を課します。変更を予定している場合（新たな再委託先の追加または再委託先の交代）、当社はお客様に事前に通知します。お客様は14日以内に理由を示して異議を申し立てることができ、その後、両当事者は合理的な協議を通じて解決策を模索します。

7. お客様への支援

7.1 データ主体の権利： 当社は、データ主体からの請求（アクセス、訂正、消去、制限、ポータビリティ、異議）について、お客様に合理的な支援を提供します。当社がこのような請求を直接受けた場合は、データ主体をお客様に案内します。

7.2 DPIA および事前協議： 当社は、当社の処理に関係する範囲で、データ保護影響評価（DPIA）および監督機関との事前協議について合理的な支援を提供します。

8. データ侵害

当社は、お客様のデータに影響する個人データ侵害を認識した後、不当な遅滞なく - かつ可能な場合は48時間以内に - お客様に通知し、GDPR 第33条に定める情報を当社が把握している範囲で提供します。監督機関および/またはデータ主体への通知については、引き続きお客様が責任を負います。

9. 返還および削除

契約の終了後、当社は、お客様の選択に従い、個人データを削除または返還（エクスポート）し、既存の複製を合理的な期間内に消去します。ただし、法定の保存義務（例：請求データに関する税法上の保存義務）により、より長期の保存が求められる場合はこの限りではありません。また、お客様はいつでも、会話および連絡先をご自身でエクスポートし、または削除させることができます。

10. 監査

当社は、GDPR 第28条の遵守を証明するために必要な情報をお客様に提供し、監査の実施を認めます。監査は、年に一度を上限とし、合理的な事前通知のうえ、営業時間内に、業務運営を不必要に妨げることなく実施します。お客様は、当該監査に係る自己の費用を負担します。

11. EEA 域外への移転

処理は欧州経済領域（EEA）内で行われます。ただし、再委託先（付属書 C を参照）が EEA 域外でデータを処理する場合を除きます。その場合、当社は、EU 標準契約条項（SCC）や EU-米国データプライバシーフレームワークなどの適切な仕組みに基づいて移転を行います。

付属書 A - 処理の詳細

付属書 B - セキュリティ対策

• すべてのデータ通信における暗号化接続（TLS/HTTPS）。
• 強力なハッシュ（bcrypt）によるパスワードの保存。任意の二要素認証（TOTP）。
• お客様環境間の論理的な分離（すべてのデータ経路におけるマルチテナント分離）。
• 受信する WhatsApp 通信に対する署名付き/検証済みの Webhook（HMAC）。
• 環境内でのロールベースのアクセス制御（オーナー/管理者/チームメンバー/閲覧のみ）。
• EU 域内でのホスティング（Microsoft Azure、西ヨーロッパ）。毎日のバックアップ。
• 限定的かつ追跡可能なアクセス。通常の管理業務において会話の内容にアクセスしないプラットフォーム管理。
• データ侵害の検知、対応および報告の手順。

付属書 C - 再委託先