この「TeamSpiritデータ処理規約」（以下「本規約」といいます。）は、お客様及び当社の間で締結された原契約による本サービスの利用に適用されます。本規約上で用いられる用語のうち本規約に定めの無いものはTeamSpiritライセンスサービス規約又はTeamSpiritサポートサービス規約（いずれの規約も https://corp.teamspirit.com/ja-jp/terms_of-use に掲載されています。）の記載に従います。本規約はサードパーティーアプリケーション（TeamSpiritライセンスサービス規約の「1. 定義」をご確認下さい。）の利用には適用されません。
1. 定義
「原契約」
TeamSpiritライセンスサービス規約の「1. 定義」又はTeamSpiritサポートサービス規約の「第1条（定義）」に定める「本契約」のいずれか一方又は双方を意味します。
「本サービス」
TeamSpiritライセンスサービス規約の「1. 定義」又はTeamSpiritサポートサービス規約の「第1条（定義）」に定める「本サービス」のいずれか一方又は双方を意味します。
「本契約」
原契約の定めによりお客様と当社の間で締結される本規約に基づく契約を意味します。
「SPArc文書」
SFDCプラットフォームにおけるセキュリティ、プライバシー及びアーキテクチャ文書であってSFDCがウェブ上で公開する文書を意味します。本規約制定又は最後の改定の時点におけるURLは次の通りですが、変更される可能性があります。
「処理」
収集、記録、組織化、構造化、保存、適用又は変更、検索、参照、使用、送信による開示、配布又はその他の方法で利用可能にすること、整列又は組み合わせ、制限、消去又は破壊など、自動手段によるか否かにかかわらず、個人データに対して実行される操作又は一連の操作を意味します。
「管理者」
個人データの処理の目的と手段を決定する主体を意味します。
「処理者」
管理者に代わって個人データを処理する主体を意味します。
「復処理者」
処理者に代わって個人データを処理する主体を意味します。
「個人データ」
特定又は識別可能な自然人に関連する情報を意味します。
「データ主体」
個人データが関係する特定又は識別可能な個人を意味します。
「データ保護法」
本サービスに基づく個人データの処理に適用のありうる法令を意味します。
2. 個人データの処理
2.1. 両者の役割
本サービスにおける個人データの処理における管理者はお客様であり、当社はお客様から個人データの取扱の委託を受けた処理者です。
2.2. お客様による個人データの処理
お客様は、本サービスを利用するにあたり、当社を処理者として利用することをデータ主体に通知する必要がある場合を含め、データ保護法に従って個人データを処理します。お客様から当社への個人データの処理に関する指示はデータ保護法にしたがって行われる必要があり、当社がその違反又は違反のおそれに気づいた場合、その旨をお客様に通知します。お客様は、個人データの管理者として個人データの正確性、品質、合法性、及び個人データの取得について単独で責任を負います。
2.3. 当社による個人データの処理
当社は個人データを機密情報として扱い、本契約、適用される注文書、お客様の文書化された指示に従ってのみ、お客様の委託に基づき個人データを処理します。お客様からの委託に基づく処理に必要な範囲を超えた個人データの複製は行いません。お客様からの委託に基づく処理として当社が必要と考える、本契約に基づく個人データの処理の期間、処理の性質と目的、個人データの種類及び本契約の下で処理されるデータ対象のカテゴリーについては、別紙記載のとおりであり、当該記載の範囲で処理をいたします。
3. データ主体の権利
3.1. データ主体の要求
当社は、データ主体から、データ主体のアクセス権、修正権、処理の制限、消去（「忘れられる権利」）、データポータビリティ、処理への異議申立て、又は自動化された意思決定を受けない個人の権利（これらに相当する定めが適用されるデータ保護法に存するものに限ります。）を行使するための要請を受けた場合、法的に認められる範囲内で、速やかに顧客に通知します。処理の性質を考慮して、当社は、データ保護法に基づくデータ主体の要求に対応するお客様の義務を果たすために、可能な限り、適切な技術的及び組織的手段を用いてお客様を支援します。
3.2. データ主体の要求への対応
当社は、データ主体の要求等に関し、原則としてお客様の指示に従いますが、そのような要求への対応がデータ保護法その他の法令により要求される場合には、当該要求の範囲内で当社がこれに対応することにつき、お客様は予め同意するものとします。当社がそのような対応を行うことに起因する費用は、お客様での負担が法的に認められている範囲内に限り、お客様にご負担いただきます。
4. 当社の人員
4.1. 秘密保持
当社は、本サービスにおける個人データの処理に従事する者に対し、個人データの機密性を周知し、その責任について適切な教育を行い、書面による守秘義務契約を締結しています。当社は、当該従事者が、個人データの処理を終了した後も、その守秘義務が存続するようにします。
4.2. 信頼性
当社は、個人データの処理に従事する当社の人員の信頼性を確保するために、商業的に合理的な措置を講じます。
4.3. アクセス制限
当社は、3.2.の場合を除き、本サービスの提供にあたり個人データにアクセスすることはありません。お客様からの指示に基づき個人データにアクセスする場合は必要最小限の人員に限定します。
5. 復処理者
お客様は、当社が本サービスの提供に関して再業務委託先である復処理者を用いる場合があることを認め、同意します。当社は、復処理者との間で、データ保護法の遵守を含め顧客データの保護に関し本データ処理規約の保護義務に劣らない保護義務を含む書面による契約を締結しています。本規約の最終改定時における主要な復処理者は当社のサービス区分に応じ、次の通りです。
・SFDC（TeamSpiritライセンスサービス規約の「1. 定義」をご参照下さい。）
・TeamSpirit Singapore Pte. Ltd.
・パイオネット・ソフト株式会社
6. セキュリティ
6.1. 顧客データの保護のための管理
顧客データに対するSFDCプラットフォーム上のセキュリティ保護、機密性、及び完全性を保護するための適切な技術的及び組織的なセキュリティ対策は、SFDCプラットフォームの管理主体であるSFDCが公表する「SPArc文書」に準拠します。
6.2. 第三者の認証及び監査
当社は、PIMS認証（登録番号ISP004）、ISMS認証（登録番号IS216）、及びプライバシーマーク（登録番号10823600）を取得しています。TeamSpiritアプリケーションのプラットフォームであるSFDCプラットフォームは、SPArc文書に記載の第三者認証及び監査証明を取得していますが、次のURLからウェブ上で確認することもできます（URLは変更されることがあります。）。https://compliance.salesforce.com/jp
6.3. プライバシー影響評価
当社は、お客様の要求に応じて、お客様の本サービスの利用に関連するプライバシー影響評価を実施するためのデータ保護法に基づくお客様の義務を果たすために必要な合理的な協力と支援を、当該影響評価に必要な関連情報にお客様がアクセスできず、かつ 当社がSFDCを通じた協力を得ることのできる範囲で行います。
7. 顧客データのインシデントの管理と通知
7.1. 当社は、個人データを含む顧客データの偶発的又は違法な破壊、紛失、改ざん、不正開示、又はアクセス（以下「インシデント」といいます。）につき、(1) 当社の処理によるものについては当社の把握した情報を元に、(2) 復処理者の処理によるものについては復処理者から通知された情報を元に、インシデントの原因を特定し、当社が合理的に管理できる範囲で、インシデントの原因を是正するために必要かつ合理的であると当社が判断した措置を講じます。本項の義務は、お客様又は本ユーザが原因で発生したインシデントには適用されません。
7.2. データ主体や監督機関に対して行うインシデント報告の義務と責任は管理者であるお客様に存します。
8. 顧客データの削除
原契約の終了後におけるお客様のデータの削除は、SPArc文書に規定されている手順と期間に従って実施されます。
9. 監査
お客様からのご依頼があった場合、お客様の指定する形式のセキュリティに関する報告書を年1回を上限として提出します。当社に対する現地監査には当社との事前の合意が必要です。復処理者に対する現地監査の要求には応じることができませんが、お客様からの書面によるご依頼（合理的な期間と頻度で行われたものに限ります。）があった場合、原契約に定める守秘義務を条件に、当社は、次の復処理者の発行する認証又は監査に関する報告書をお客様に提供します。
・SFDC
10. 責任の制限
本規約に起因又は関連して発生する各当事者及びその関連会社の責任につき、契約、不法行為、又はその他の責任理論の下にあるかどうかを問わず、お客様又は本ユーザに起因する範囲のものについては、当社はこれを負担しません。
11. 期間
本契約の有効期間は原契約の有効期間に従います。
12. シンガポールの特定条項
12.1. PDPA
当社は、お客様が利用する本サービスにシンガポール国個人情報保護法（Personal Data Protection Act. 以下「PDPA」といいます。）が直接適用される場合、その要件に従って個人データを処理します。
12.2. データ保護の影響評価
当社は、本規約の6.3.に関連する業務の遂行において、PDPAの下で要求される範囲内で、監督当局との協力又は事前協議において、お客様に合理的な支援を提供します。
13. ヨーロッパの特定条項
13.1. GDPR
当社は、お客様が利用する本サービスにEU一般データ保護規則（General Data Protection Regulation. 以下「GDPR」といいます。）が直接適用される場合、その要件に従って個人データを処理します。
13.2. データ保護の影響評価
当社は、本規約の6.3.に関連する業務の遂行において、GDPRの下で要求される範囲内で、監督当局との協力又は事前協議において、お客様に合理的な支援を提供します。
別紙（処理の詳細）
1. 処理の性質と目的
当社は、お客様との原契約の内容に従い、本サービスの提供に必要な範囲で、また、お客様がサービスを利用する際に指示された通りに、お客様からの委託に基づき個人データを処理します。
2. 処理期間
当社は、書面による別段の合意がない限り、原契約の期間中、個人データを処理します。
3. データ主体のカテゴリー
お客様が本サービスを通じてSFDCプラットフォームに提出することがある個人データのデータ主体の範囲はお客様が独自の裁量で決定及び管理しますが、通常以下の範囲のデータ主体を含みます。
お客様の見込み顧客、既存顧客、ビジネスパートナー、ベンダー
お客様の見込み顧客、既存顧客、ビジネスパートナー、ベンダーの従業員又は連絡先
お客様の従業員、代理人、顧問
本ユーザ
4. 個人データの種類
4.1. お客様が本サービスを通じてSFDCプラットフォームに提出することがある個人データの範囲はお客様が独自の裁量で決定及び管理しますが、通常以下のような個人データを含みます。
氏名
役職職位
連絡先（電子メールアドレス、電話番号、事業所の住所）
アカウントデータ
勤怠データ
工数データ
経費精算データ
4.2. お客様のご利用になる本サービスが「TeamSpirit HR」又はその別バージョンの場合は4.1.に記載の個人データに加え、次の個人データを含みます。
経歴・職歴・保有資格に関する情報
勤務評価に関する情報
労働条件に関する情報（給与報、銀行口座、通勤等）
健康状況に関する情報
家族に関する情報
税務に関する情報
公的機関から付与された識別情報（住民票、社会保険、労働資格等）
5. 特別なカテゴリーのデータ
4.に記載のものを除き、お客様が本サービスを通じてSFDCプラットフォームに提出することがある特別なカテゴリーの個人データの範囲はお客様が独自の裁量で決定及び管理します。