データ処理に関する附属書

当事者。「お客様」とは、注文書に記載された組織（データ管理者）をいいます。「SkillCort」とは、SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA（データ処理者）をいいます。このデータ処理に関する附属書（以下「DPA」）は、お客様と SkillCort との契約に組み込まれ、当該契約の発効日から効力を生じます。

1. 対象、期間、性質および目的

SkillCort は、SkillCort のアセスメントプラットフォームを提供するために、お客様に代わって個人データを処理します。すなわち、候補者へのアセスメントの実施、回答とワークサンプルの成果物の取得、お客様が設定した任意の監督、評価、そしてレポートの作成です。処理は、契約の期間および第 8 章の削除期間のあいだ継続します。

2. データ主体および個人データの類型

• データ主体: お客様が招待した候補者および参加者、ならびにお客様の担当者。
• 個人データ: 本人確認および連絡先のデータ（氏名、メールアドレス）、アセスメントの回答、提出されたファイルおよびワークサンプルの成果物、技術的なデータ（IP アドレス、ブラウザー／端末、時刻）、評価の結果および決定の記録、ならびにお客様が有効にした場合の監督のデータ（カメラの写真／映像、画面の記録／録画、行動に関する不正防止の出来事）。
• 特別な類型: 求めていません — アセスメントは特別な類型のデータを引き出すように設計してはなりません（利用規約 §5）。お客様が本人確認の確認を有効にした場合、候補者のセッションの自撮り、身分証の画像、および組織が任意で用意した参照写真は、候補者の別個の明示的な同意に基づき、権限のある人が並べて確認するために処理されます。自動の顔照合、ギャラリーの検索、候補者どうしの照合は行われず、顔の生体テンプレートは保存されず、名前の分かる確認者が本人確認の判断を記録します。カメラとマイクの記録には人の映像と声が含まれることを、お客様は認識し、自らの法域における特別な類型の要件を評価するものとします。

3. 文書化された指示

SkillCort は、法令上求められる場合を除き、お客様の文書化された指示（本契約、この DPA、およびプラットフォーム上のお客様の設定 — どの監督の機能を有効にするか、監督の保持期間をどうするかを含みます）にのみ従って個人データを処理します。法令上求められる場合には、法がそれを禁じていない限り、処理の前にお客様へ通知します。ある指示が適用されるデータ保護法に違反すると SkillCort が考える場合には、その旨をお客様へ通知します。

4. 秘密保持および人員

個人データの処理を許された者は秘密保持の義務を負い、知る必要のある範囲で、最小限の権限により、役割に基づいてデータにアクセスします。

5. セキュリティ（第 32 条）

SkillCort は適切な技術的および組織的措置を講じます。すなわち、通信中および保管時の暗号化、テナントの分離、役割に基づくアクセスの制御、監督の記録のための非公開の保管、日次のバックアップ、スコアと決定についての追記しかできない監査の履歴、そして設定された記録の保持期間の終わりにおける監督の記録および不正防止のシグナルの出来事の自動削除です。記録以外の本人確認の判断と監査の詳細は、別のアセスメントデータの期間に従います。措置の現在の説明は skillcort.com/trust で参照できます。

6. 副処理者

お客様は、skillcort.com/legal/subprocessors（附属書 1）に掲げる副処理者について包括的な承認を与えます。SkillCort は、追加または交代の意図を少なくとも 30 日前にお客様へ通知します。お客様はデータ保護上の合理的な理由により異議を述べることができ、その場合、両当事者は解決を探り、解決が得られない場合、お客様は影響を受けるサービスを解約できます。SkillCort は、この DPA に劣らない保護のデータ保護義務を副処理者に課し、その履行について責任を負い続けます。

SkillCort は、実質的な副処理者のそれぞれについて、少なくとも十二（12）か月に一度、および実質的な変更、確認されたセキュリティのインシデント、その他その副処理者のデータ保護上のリスクの姿に合理的に影響する事象があった後に、文書化された見直しを行います。現在の見直しの記録は、SkillCort の提供者コンプライアンス台帳に保持されます。

7. 国際的な移転

プラットフォームのデータは EU（フランクフルト）にホストされます。データは、サービスの運営のために SkillCort（米国法人）から米国内でアクセス可能であり、取引メールは米国で処理されます。移転は次に基づいて行われます。(a) EU/EEA のデータについては — 標準契約条項（モジュール 2: 管理者 → 処理者、および該当する場合はモジュール 3）。両当事者はこれがこの DPA の一部を成すことに合意し、移転影響評価と補完的措置がこれを支えます。(b) トルコ法の適用を受けるデータについては — 法律第 6698 号第 9 条に基づきトルコ個人データ保護機関が公表する標準契約。トルコに関わる処理について注文書とともに両当事者が締結し、5 営業日以内に同機関へ届け出ます。

8. 削除および返還

解約または期間満了の後、お客様がデータの書き出しを完了できるよう、お客様のデータは最長 30 日間利用可能なまま保たれることがあります。この期間の終わりに、SkillCort は稼働中の本番システムからそのデータを削除します。暗号化されたバックアップの中の残存する複製は、通常のバックアップの周期を通じて最長 90 日以内に削除または上書きされます。適用される法令が求める記録、および法的請求の確立、行使または防御のために厳密に必要な記録は除きます。セキュリティ、アクセス、監査のログは、バックアップとは別に、プライバシーポリシーの保持期間に従います。監督の記録 — 本人確認の取得した記録および確認で使われた参照写真の版を含みます — ならびに不正防止のシグナルの出来事は、契約の状態にかかわらず、お客様が設定した記録の保持期間（既定 90 日）の終わりに自動的に削除されます。お客様は、受験の単位の記録および不正防止のシグナルの出来事について、製品の中でより早い消去を実行することもできます。記録以外の本人確認の判断、名前の分かる確認者の情報、記録、そして削除された記録への参照は、別のアセスメントデータの保持期間に従います。

9. 支援

処理の性質を考慮し、SkillCort は、データ主体の請求への対応（GDPR 第 12 条〜第 23 条、KVKK 第 11 条）、およびお客様の GDPR 第 32 条〜第 36 条の義務（セキュリティ、侵害の通知、DPIA、事前協議）について、適切な技術的および組織的措置によりお客様を支援します。SkillCort が直接受け取ったデータ主体の請求は、不当に遅滞することなくお客様へ転送されます。

10. 個人データの侵害

SkillCort は、お客様のデータに影響する個人データの侵害を認識した後、不当に遅滞することなくお客様へ通知し、お客様の通知義務のために合理的に必要な情報を提供します（GDPR 第 33 条〜第 34 条、KVKK 第 12 条(5)）。

11. 監査

SkillCort は、この DPA の遵守を示すために必要な情報を提供し、お客様またはその委任を受けた監査人が行う監査（立ち入りを含みます）を認め、これに協力します。お客様は、確認された個人データの侵害があった後、所管の監督機関からの求めがあった場合、またはこの DPA への実質的な不遵守を示す合理的な証拠がある場合を除き、十二（12）か月の期間につき一度を超えて監査の権利を行使しないものとします。監査には少なくとも 30 日前の書面による事前通知を要し、秘密保持の約束に従い、SkillCort の業務への支障を最小限にする方法で行われなければならず、他のお客様のデータへのアクセスを含むことは決してありません。両当事者は、範囲に合理的に対応する限りにおいて、既存の独立した監査報告書および SkillCort が公表するセキュリティ文書にまず依拠します。その基準を超える過大または個別対応の監査の求めに要する費用は、お客様の負担とします。

12. 責任および優先順位

責任は本契約に従います。個人データの処理に関して本契約とこの DPA とが矛盾する場合には、この DPA が優先します。締結された SCC および標準契約は、矛盾する範囲において、その両方に優先します。

KVKK 付録

お客様がトルコに設立されている場合、または候補者がトルコに所在する場合、両当事者は追加でトルコの標準契約（処理者の関係）を締結し、5 営業日以内に同機関へ提出します。候補者に対する aydınlatma（情報提供の通知）の義務は、管理者としてのお客様にあり、お客様自身の通知または SkillCort が提供するひな型を用います。

貴組織のためにこの DPA を締結するには、または署名済みの写しと移転に関する文書については、privacy@skillcort.com までご連絡ください。