この「TeamSpiritデータ処理規約」（以下「本規約」といいます。）は、お客様及び当社の間で締結された原契約による本サービスの利用に適用されます。本規約上で用いられる用語のうち本規約に定めの無いものはTeamSpiritライセンスサービス規約又はTeamSpiritサポートサービス規約（いずれの規約も https://www.teamspirit.com/terms_of-use に掲載されています。）の記載に従います。本規約はサードパーティアプリケーション（TeamSpiritライセンスサービス規約の「1. 定義」をご確認下さい。）の利用には適用されません。なお、本規約の適用に関し、TeamSpiritライセンスサービス規約とTeamSpiritサポートサービス規約で異なる箇所がありますので、適用される部分をご覧ください。

1. 定義

「原契約」

TeamSpiritライセンスサービス規約の「1. 定義」又はTeamSpiritサポートサービス規約の「第1条（定義）」に定める「本契約」のいずれか一方又は双方を意味します。

「本サービス」

TeamSpiritライセンスサービス規約の「1. 定義」又はTeamSpiritサポートサービス規約の「第1条（定義）」に定める「本サービス」のいずれか一方又は双方を意味します。

「本契約」

原契約の定めによりお客様と当社の間で締結される本規約に基づく契約を意味します。

「SPArc文書」

SFDCプラットフォームにおけるセキュリティ、プライバシー及びアーキテクチャ文書であってSFDCがウェブ上で公開する文書のうち、お客様のSFDCプラットフォームの組織が属するインスタンスに適用される文書を意味します。本規約制定又は最後の改定の時点におけるURLは次の通りですが、変更される可能性があります。

https://www.salesforce.com/company/legal/trust-and-compliance-documentation/

「処理」

収集、記録、組織化、構造化、保存、適用又は変更、検索、参照、使用、送信による開示、配布又はその他の方法で利用可能にすること、整列又は組み合わせ、制限、消去又は破壊など、自動手段によるか否かにかかわらず、個人データに対して実行される操作又は一連の操作を意味します。

「管理者」

個人データの処理の目的と手段を決定する主体を意味します。

「処理者」

管理者に代わって個人データを処理する主体を意味します。

「復処理者」

処理者に代わって個人データを処理する主体を意味します。

「個人データ」

特定又は識別可能な自然人に関連する情報を意味します。なお、本規約で言及される個人データは、当社がお客様から処理を委託された個人データを意味し、当社が独自に取得し、利用する個人データは、本規約の適用対象外です。

「データ主体」

個人データが関係する特定又は識別可能な個人を意味します。

「データ保護法」

本サービスに基づく個人データの処理に適用のありうる法令を意味します。

2. 個人データの処理 

2.1. 個人データの管理権限

本サービスにおける個人データの処理における管理者はお客様であり、当社はお客様から個人データの取扱の委託を受けた処理者です。したがって、個人データに関する訂正、消去、変更、問い合わせに対する対応の権限・責任はお客様にあります。

2.2. お客様による個人データの処理

お客様は、本サービスを利用するにあたり、データ保護法に従って個人データを処理します。これには、データ主体への利用目的の通知又は公表や本サービスの処理者に関する情報をデータ主体に通知することが必要な場合にその通知を行うことを含みますがこれらに限られません。お客様から当社への個人データの処理に関する指示はデータ保護法にしたがって行われる必要があり、当社は、お客様によるデータ保護法の違反に関し、一切の責任を負いません。お客様は、個人データの管理者として個人データの正確性、品質、合法性、及び個人データの取得について単独で責任を負います。

2.3. 当社による個人データの処理

当社は個人データを機密情報として扱い、本契約、適用される注文書、お客様の文書化された指示に従ってのみ、お客様の委託に基づき個人データを処理します。お客様からの委託に基づく処理に必要な範囲を超えた個人データの複製は行いません。お客様からの委託に基づく処理として当社が必要と考える、本契約に基づく個人データの処理の期間、処理の性質と目的、個人データの種類及び本契約の下で処理されるデータ対象のカテゴリーについては、別紙記載のとおりであり、当該記載の範囲で処理をいたします。

3. データ主体の権利

3.1. データ主体の要求

当社は、データ主体から、データ主体のアクセス権、修正権、処理の制限、消去（「忘れられる権利」）、データポータビリティ、処理への異議申立て、又は自動化された意思決定を受けない個人の権利（適用されるデータ保護法では認められていない権利もあり得ます。）に基づく要請を受けた場合、法的に認められる範囲内で、速やかにお客様に通知します。データ主体の要求に関しては、処理の性質を考慮して、当社は、データ保護法に基づくデータ主体の要求に対応するお客様の義務を果たすために、可能な限り、適切な技術的及び組織的手段を用いてお客様を支援します。

3.2. データ主体の要求への対応

当社は、データ主体の要求に関し、お客様の書面による指示に従います。ただし、お客様による対応ができない場合において、当社が直接対応することが法令で許されている場合には直接対応することがありますが、当社によるかかる対応に要する費用は、法令で認められる範囲で、お客様にご負担いただきます。

4. 当社の人員             

4.1. 秘密保持

当社は、本サービスにおける個人データの処理に従事する者に対し、個人データの機密性を周知し、その責任について適切な教育を行い、書面による守秘義務契約を締結しています。当社は、当該従事者が、個人データの処理を終了した後も、その守秘義務が存続するようにしています。

4.2. 信頼性

当社は、個人データの処理に従事する当社の人員の信頼性を確保するために、商業的に合理的な措置を講じます。

4.3. 個人データへのアクセス及び開示

当社は、法令及び本規約に明示的に定める場合を除き、本サービスの提供にあたり個人データにアクセスすることはありません。お客様からの指示に基づき個人データにアクセスする場合は必要最小限の人員に限定します。また、当社は法令により求められるときは、個人データを法令に従って開示する場合があります。

5. 復処理者

お客様は、当社が本サービスの提供に関して再委託先として復処理者を用いる場合があることを認め、同意します。当社は、復処理者との間で、データ保護法の遵守を含め個人データの保護に関し本データ処理規約の保護義務と同等以上の保護義務を課す内容の契約を締結しています。

個人データを取り扱う現時点の復処理者は、「復処理者一覧」でご確認いただけます。お客様は、ポータルサイトからサブスクライブいただくことで当社が復処理者の追加を行う場合には少なくとも復処理者の利用開始30日前までに通知を受信できます。お客様は、当社がお客様に復処理者の追加を通知してから14日以内に、新しい復処理者への委託について、個人データの保護に関する合理的な根拠に基づき異議申し立てを行うことができます。お客様が当社に対し異議申し立てを行った場合、両当事者は、商業的に合理的な解決を目指し、お客様の懸念事項の解消又は両当事者に過度な負担とならない方法で当該復処理者を利用しない方法を協議するものとします。異議申し立てが解決に至らない場合、いずれの当事者も責任を負うことなく、お客様は原契約を解約することができ、TeamSpiritライセンスサービス規約に基づく契約及びベーシックサポートに関する契約の解約の場合は、当社はお客様に、解約発効日後の本注文書の契約期間の残存期間分に相当する前払された料金を返金し、TeamSpiritサポートサービス規約に基づく契約（ベーシックサポートに関する契約を除きます。）の解約の場合は、未消化のサポート時間分に相当する料金を返金するものとします。

6. セキュリティ 

6.1.データ保護のための技術・組織的対策

当社は、国際的に認められた情報セキュリティの認証であるISMS（情報セキュリティマネジメントシステム）（ISO /IEC 27001）及び日本国のプライバシーマーク認証（JIS Q15001）を取得しており、個人データを保護するために、適切な技術的及び組織的対策を実施及び維持するものとします。当社はセキュリティ対策の修正又は変更を自己の裁量で実施できるものとしますが、かかる修正又は変更によって、当該セキュリティ対策により提供される保護水準に大幅な低下が生じないことを条件とします。当社のセキュリティ対策の詳細については次のURLからウェブ上で確認できます（URLは変更されることがあります。）　https://www.teamspirit.com/ja-jp/security.html

TeamSpiritライセンスサービス規約が適用される場合、顧客データに対するSFDCプラットフォーム上のセキュリティ保護、機密性、及び完全性を保護するための適切な技術的及び組織的なセキュリティ対策は、SFDCプラットフォームの管理主体であるSFDCが公表する「SPArc文書」に準拠します。

6.2. 第三者の認証及び監査

当社は、ISMS認証（登録番号IS216）及びプライバシーマーク（登録番号10823600）を取得しています。TeamSpiritライセンスサービス規約が適用される場合、TeamSpiritアプリケーションのプラットフォームであるSFDCプラットフォームは、SPArc文書に記載の第三者認証及び監査証明を取得していますが、次のURLからウェブ上で確認することもできます（URLは変更されることがあります。）。https://compliance.salesforce.com/jp

6.3. プライバシー影響評価

当社は、お客様の要求に応じて、お客様の本サービスの利用に関連するプライバシー影響評価を実施するためのデータ保護法に基づくお客様の義務を果たすために必要な合理的な協力と支援を行います。ただし、その範囲は、当該影響評価に必要な関連情報にお客様がアクセスできず、かつ当社において必要な関連情報を合理的に入手できる範囲に限ります。

7.インシデントの管理と通知

7.1. インシデントの通知

当社は、個人データを含む顧客データの偶発的又は違法な破壊、紛失、改ざん、不正開示、又はアクセス（以下「インシデント」といいます。）を認識した場合、不当な遅延なくお客様に通知し、(1) 当社の処理によるものについては当社の把握した情報を元に、(2) 復処理者の処理によるものについては復処理者から通知された情報を元に、インシデントの原因を特定し、当社が合理的に管理できる範囲で、インシデントの原因を是正するために必要かつ合理的であると当社が判断した措置を講じます。なお、TeamSpiritライセンスサービス規約に基づく場合、SFDCプラットフォーム上のインシデントは次のURLからウェブ上で確認又は通知を受け取る設定にすることができます。（URLは変更されることがあります。）https://trust.salesforce.com/ja

7.2. お客様起因によるインシデント及び当局への報告義務

前項の義務は、お客様又は本ユーザが原因で発生したインシデントには適用されません。また、データ主体や監督機関に対して行うインシデント報告の義務と責任は管理者であるお客様に存します。

8.削除

8.1.　TeamSpiritライセンスサービス規約が適用される場合

原契約の終了後におけるSFDCプラットフォーム上の顧客データの削除は、SFDCが定めるSPArc文書に規定されている手順と期間に従って実施されます。ただし、原契約終了後も、お客様がSFDCとの間でSFDCプラットフォームを利用できる契約を締結している場合には、別途お客様とSFDC間の契約条件に従います。

8.2.　TeamSpiritサポートサービス規約が適用される場合

お客様が当社に個人データを移送し、又は当社に個人データの取扱いを指示した場合、当社がお客様の個人データを保有する場合があります。かかる場合において、適用される法令によって当社が個人データの一部又はすべてを保持することが求められている範囲を除き、お客様からの書面による削除依頼の受領をもって又は原契約の終了後、速やかに当該データを復元不可能な形で削除します。

8.3.　原契約終了後の保存義務

原契約又は本規約に別途規定されている場合を除き、当社は、原契約終了後、顧客データその他お客様に関する一切の情報について保存する義務を負いません。

9. 監査

お客様からのご依頼があった場合、お客様の指定する形式のセキュリティに関する報告書を年1回を上限として提出します。当社に対する現地監査には当社との事前の合意が必要です。復処理者に対する現地監査の要求には応じることができませんが、お客様からの書面によるご依頼（合理的な期間と頻度で行われたものに限ります。）があった場合、原契約に定める守秘義務を条件に、当社は、次の復処理者の発行する認証又は監査に関する報告書をお客様に提供します。

・SFDC

10. 責任の制限

本規約に起因又は関連して発生する各当事者及びその関連会社の責任につき、契約、不法行為、又はその他の責任理論の下にあるかどうかを問わず、お客様又は本ユーザに起因する範囲のものについては、当社はこれを負担しません。

11. 期間　

本契約の有効期間は原契約の有効期間に従います。ただし、4.1. 秘密保持及び8.削除 は原契約終了後も有効とします。

12. シンガポールの特定条項

12.1. PDPA

当社は、お客様が利用する本サービスにシンガポール国個人情報保護法（Personal Data Protection Act. 以下「PDPA」といいます。）が直接適用される場合、その要件に従って個人データを処理します。

12.2. データ保護の影響評価

当社は、本規約の6.3.に関連する業務の遂行において、PDPAの下で要求される範囲内で、監督当局との協力又は事前協議において、お客様に合理的な支援を提供します。

13. ヨーロッパの特定条項

13.1. GDPR

当社は、お客様が利用する本サービスにEU一般データ保護規則（General Data Protection Regulation. 以下「GDPR」といいます。）が直接適用される場合、その要件に従って個人データを処理します。

13.2. データ保護の影響評価

当社は、本規約の6.3.に関連する業務の遂行において、GDPRの下で要求される範囲内で、監督当局との協力又は事前協議において、お客様に合理的な支援を提供します。

別紙（処理の詳細） 

1. 処理の性質と目的

当社は、お客様との原契約の内容に従い、本サービスの提供に必要な範囲で、また、お客様がサービスを利用する際に指示された通りに、お客様からの委託に基づき個人データを処理します。なお、TeamSpiritライセンスサービス規約が適用される場合、これらのデータはSFDCプラットフォームに移転・蓄積されますが、これらは、お客様が独自の裁量で決定し、管理することになります。

2. 処理期間

当社は、書面による別段の合意がない限り、原契約の期間中、個人データを処理します。

3. データ主体のカテゴリー

当社がお客様からの委託に基づき処理する個人データのデータ主体は、通常以下の範囲のデータ主体を含みます。

• 以下の各自然人

  お客様の、見込み顧客、既存顧客、ビジネスパートナー及びベンダー

• 以下の各法人の従業員又は連絡先

  お客様の、見込み顧客、既存顧客、ビジネスパートナー及びベンダー

• 以下の各自然人

  お客様の、従業員、代理人及び顧問

• 以下の自然人

  本ユーザ

4. 個人データの種類

4.1. 当社がお客様からの委託に基づき処理する個人データは、通常以下のような個人データを含みます。また、お客様は、その独自の裁量により、他の種類の個人データを蓄積・管理することがあります。

• 氏名

• 役職職位

• 連絡先（電子メールアドレス、電話番号、事業所の住所）

• アカウントデータ

• 勤怠データ

• 工数データ

• 経費精算データ

4.2. お客様のご利用になる本サービスが「TeamSpirit HR」又はその別バージョンの場合は4.1.に記載の個人データに加え、次の個人データを含みます。

• 経歴・職歴・保有資格に関する情報

• 勤務評価に関する情報

• 労働条件に関する情報（給与報、銀行口座、通勤等）

• 健康状況に関する情報

• 家族に関する情報

• 税務に関する情報

• 公的機関から付与された識別情報（住民票、社会保険、労働資格等）

4.3. TeamSpiritサポートサービス規約に基づき、当社がお客様から委託を受ける個人データに関しては、上記のほか、具体的なサポートサービスの内容により定まります。