データ処理補足契約

本データ処理補足契約（以下「DPA」）は、BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India（以下「LumaKol」または「当社」）と、LumaKol利用規約を承諾した顧客（以下「お客様」）との間で締結されます。

本DPAはすべてのお客様について利用規約の一部をなし、インドの2023年デジタル個人データ保護法、GDPR、英国GDPRその他のデータ保護法のいずれに基づくかを問わず、LumaKolがお客様に代わって個人データを処理する場合に常に適用されます。自動的に適用されるため、署名の必要はありません。

お客様が記録用に当社の署名済みの写しを希望する場合は、[email protected] で請求できます。個人データの保護に関して本DPAと利用規約が矛盾する場合は、本DPAが優先します。

• 「データ保護法」とは、処理に適用されるすべてのデータ保護法をいい、インドの2023年デジタル個人データ保護法およびその下で定められた規則（以下「DPDP法」）、EU一般データ保護規則2016/679（GDPR）、英国GDPRおよび英国2018年データ保護法、ならびに改正後のカリフォルニア州消費者プライバシー法（以下「CCPA」）を含みます。
• 「お客様個人データ」とは、本サービスを提供するためにLumaKolがお客様に代わって処理する個人データをいいます。
• 「管理者」「処理者」「データ主体」「個人データ侵害」「処理」は、データ保護法に定める意味を有します。DPDP法が適用される場合、「管理者」はデータ受託者（Data Fiduciary）、「処理者」はデータ処理者（Data Processor）、「データ主体」はデータ主体（Data Principal）を意味します。
• 「再委託先」とは、お客様個人データを処理するためにLumaKolが起用する第三者をいいます。
• 「SCC」とは、欧州委員会の実施決定（EU）2021/914により承認された標準契約条項をいい、「英国補遺」とは、英国情報コミッショナーが発行した国際データ移転補遺をいいます。

その他の用語は、利用規約に定める意味を有します。

お客様はお客様個人データの管理者であり、LumaKolはその処理者です。お客様自身が別の管理者のために行動する処理者である場合、LumaKolはお客様の再処理者となり、お客様は関連する指示を伝える責任を負います。

LumaKolは、ユーザー名、サインイン情報、請求記録など、お客様のアカウントを運営するために必要な個人データについては、独立した管理者です。それらのデータは本DPAではなく、プライバシーポリシーの対象となります。

CCPAが適用される場合、お客様は「事業者」、LumaKolはその「サービスプロバイダー」です。LumaKolは、お客様個人データを販売または共有せず、本サービスの提供以外の目的で、またはお客様との直接の取引関係の外で、保持、使用または開示せず、CCPAが認める場合を除き他の情報源からの個人データと組み合わせません。LumaKolは、これらの義務を果たせなくなった場合はお客様に通知します。

お客様は、処理についての適法な根拠（DPDP法の下では同意または正当な利用）、お客様個人データの正確性、連絡する相手への法律が求める通知、そしてマーケティング電話と通話録音に関する法律の遵守について責任を負います。

• 対象：LumaKolの提供。LumaKolは、お客様のチームがリードを管理し、自分の携帯電話から発信し、各通話の結果を記録するコールCRMです。
• 期間：お客様が本サービスを利用している間、およびその後「削除と返還」に基づいてデータが削除されるまで。
• 性質：収集、保存、整理、検索、表示、お客様のユーザーと端末への送信、および削除。
• 目的：お客様のために本サービスを提供、保護およびサポートすることであり、それ以外の目的はありません。

LumaKolは、お客様の文書化された指示に基づいてのみお客様個人データを処理します。利用規約、本DPA、およびお客様による本サービスの利用と設定が、その指示となります。LumaKolは、ある指示がデータ保護法に違反すると考える場合、法律で禁止されていない限り、お客様に通知します。

法律によりLumaKolが別の方法でお客様個人データを処理することが求められる場合、法律で禁止されていない限り、処理の前にお客様に通知します。

LumaKolは、お客様個人データの処理を許可したすべての者が秘密保持義務を負うようにします。スタッフによるお客様個人データへのアクセスは、本サービスの運用とサポートに必要な範囲に限定され、記録されます。

LumaKolは、リスクに応じた技術的および組織的な対策を維持しています。これには次のものが含まれます。

• 転送中のデータの暗号化（TLS）、データベースの保存時の暗号化、およびトークンや接続したメールボックスのパスワードなどの機密情報に対するAES-256による二重目の暗号化
• ワークスペース単位での各顧客のデータの分離（すべてのクエリは顧客のワークスペースで絞り込まれます）
• Argon2idによるパスワードのハッシュ化と、ハッシュとしてのみ保存されるセッショントークン
• サインインのレート制限とロックアウト
• 電話番号のマスキング、エクスポートの制限、録音を聞ける人の制限などのオプションを備えた、製品内の役割ベースのアクセス
• 機微な操作の追記専用の監査ログ
• LumaKolスタッフの多要素認証と、本番データへのアクセスの記録
• 障害後の復旧のためのバックアップ（約4週間以内に消去されます）

LumaKolは、全体的な保護水準が低下しない限り、これらの対策を更新することがあります。

お客様は、LumaKolが下表に記載の再委託先を起用することを承認します。LumaKolは、各再委託先に対し、書面による契約で本DPAと同等以上の保護を与えるデータ保護義務を課し、各再委託先の履行についてお客様に対して引き続き責任を負います。現在の再委託先の名称は、[email protected] でご依頼いただければどのお客様にも提供され、本DPAの一部をなします。

新しい再委託先がお客様個人データの処理を開始する前に、LumaKolは少なくとも30日前に、その名称を明示してワークスペースのオーナーにメールで通知します。お客様は、その期間内にデータ保護上の合理的な理由に基づき異議を述べることができます。当事者が異議を解決できない場合、お客様は本サービスの該当部分の利用を停止するか、サブスクリプションを終了することができます。

iPhoneアプリがリリースされると、iPhoneプラットフォーム自身のサービスがそのプッシュ通知を配信します。その前に、上記の通知を行ったうえで本一覧に追加します。Google Drive、Sheets、カレンダー、Microsoft Outlookカレンダー、FacebookとInstagramのリード広告は、まだ接続できません。

通話録音はLumaKolのサーバーに保存されます。ボイスメモと訪問の写真は、LumaKolのサーバーではなく、接続したチームメンバーのGoogle Driveに保存されるようになります。

顧客が自社のリードに送るメールは、LumaKolのメールプロバイダーではなく、顧客自身のメールボックス（「設定 → メール」）を通じて送信されます。顧客自身のウェブサイト、リードソース、APIクライアント、Webhookのエンドポイントなど、顧客が自ら接続するシステムは、顧客の指示に基づいてデータを受け取るものであり、LumaKolの再委託先ではありません。

本サービスでは、お客様がリードのデータを検索、訂正、エクスポート、削除し、リードへのそれ以降の発信をブロックできるため、ほとんどのデータ主体からの請求にはお客様自身で対応できます。それができない場合、LumaKolは処理の性質を考慮したうえで、依頼に応じて支援します。

LumaKolがお客様個人データに関してデータ主体から直接請求を受けた場合、不当な遅滞なくお客様に転送し、お客様の指示がない限り回答しません。

LumaKolは、お客様のデータ保護影響評価および監督機関との協議についても、LumaKolの処理に関連する範囲で合理的な支援を提供します。

LumaKolは、お客様個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も48時間以内にお客様に通知します。これにより、お客様は規制当局と影響を受けた人々への報告義務（たとえばGDPRおよびDPDP法の規則では72時間以内）を果たすことができます。通知には、その時点で判明している範囲で、侵害の性質、影響を受けた人と記録のカテゴリーとおおよその数、考えられる結果、講じたまたは提案する措置を記載し、詳細についての連絡先を明記します。

LumaKolは、さらに判明した事項をお客様に随時報告し、侵害を封じ込めその影響を抑えるための合理的な措置を講じます。侵害の通知は、過失を認めるものではありません。

サブスクリプション期間中、お客様はリードをCSVにエクスポートし、公開APIを通じてデータを読み取ることができます。お客様がワークスペースを閉鎖した場合、または解約もしくは未払いによる一時停止の後にデータが支払い条件に定める保持期間の終了を迎えた場合、LumaKolは本サービスからお客様個人データを削除します。

バックアップ内の写しは順次期限切れとなり、その時点で削除されます。LumaKolは、法律で求められる場合に限りデータを保持することができ、その場合も当該データのみを、本DPAに基づいて保護し、法律が求める期間だけ保持します。

合理的な依頼があった場合、LumaKolは、本DPAおよびGDPR第28条に基づく義務を果たしていることを示すために必要な情報（セキュリティ質問票への書面による回答など）を提供します。

その情報では不十分な場合、お客様は、自らまたは守秘義務を負う独立した監査人を通じて、LumaKolの遵守状況を監査することができます。監査は、少なくとも30日前の書面による通知のうえ、営業時間内に、監督機関が求める場合または個人データ侵害の後を除いて年1回までとし、費用はお客様の負担とします。当事者は、監査が本サービスを妨げたり他の顧客のデータを露出させたりしないよう、事前に範囲を合意します。

LumaKolは、インド、本サービスがホストされているシンガポールと日本、および再委託先が事業を行う国において、お客様個人データを処理します。これにより、十分性認定または規則のない国へ、EEAまたは英国から個人データが移転される場合、当事者は次のとおり合意します。

• EEAのデータについては、SCCが適用され、参照により本DPAに組み込まれます。お客様が管理者である場合はモジュール2（管理者から処理者）、お客様が処理者である場合はモジュール3（処理者から処理者）を適用し、任意のドッキング条項、第9条のオプション2（一般的承認）、第17条および第18条におけるアイルランドの準拠法と裁判所を適用します。
• 英国のデータについては、英国補遺が適用され、参照により組み込まれます。その表は本DPAの情報で記入されたものとします。
• SCCがその附属書で求める情報は、上記の「当事者」「対象、期間、性質、目的」「データ主体と個人データ」「セキュリティ対策」「再委託先の一覧」の情報とします。

DPDP法が適用される場合、LumaKolは、インド政府が制限した国または地域にお客様個人データを移転しません。

SCCまたは英国補遺が本DPAと矛盾する場合は、それらが優先します。LumaKolは、再委託先に対し、再移転を適切な保護措置で保護することを求めます。

本DPAに基づく各当事者の責任は、データ保護法またはSCCが責任の制限を認めない場合を除き、利用規約の制限に従います。

本DPAは、LumaKolがお客様個人データを処理する間存続します。秘密保持や削除など、その性質上存続すべき義務は、本DPAの終了後も存続します。LumaKolは、法律または本サービスの変更を反映するために本DPAを更新することがありますが、お客様個人データに与える保護を低下させることはなく、上記の「最終更新日」が現行版を示します。

本DPAに関するご質問、本DPAに基づく通知、署名済みの写しの請求は [email protected] 宛てにお送りください。

署名済みの写しの請求：組織の正式名称と住所を記載して [email protected] までご連絡ください。当社が署名した本DPAをお送りします。