データ処理契約（DPA）

本契約（以下「本契約」といいます。）は、株式会社クスノキ（以下「処理者」といいます。）が、学校法人その他の教育機関（以下「管理者」といいます。）より委託を受け、SpeedVisaサービス（以下「本サービス」といいます。）において個人情報（以下「個人データ」といいます。）を適切に取り扱うことを目的として、個人情報の保護に関する法律（以下「個人情報保護法」）、欧州一般データ保護規則（以下「GDPR」）その他の適用法令に基づき、処理者の責任と義務を定めるものです。

処理者は、GDPRを含む各国の主要な個人情報保護法の趣旨を尊重し、学生その他のデータ主体のプライバシー保護に最大限配慮した運用に努めます。ただし、現時点においては、各国すべての法制度（例：中国PIPL等）への完全な準拠は現実的に困難であり、現地法人の設立やデータのローカル保存といった対応は行っておりません。

このような状況を踏まえ、処理者は以下の方針と措置を講じることにより、適切な個人データの取扱い体制を構築・維持します

管理者のプライバシーポリシーに規定された利用目的及び取扱範囲を遵守できる、本サービスの設計及び提供
本サービス以外のサービスに処理者が個人データを使用する場合の学生本人からの明示的同意取得の仕組みの整備
暗号化及びアクセス制限等、技術的・組織的セキュリティ対策の実施
データ処理契約（本契約）を通じた契約上の責任範囲の明確化

なお、処理者は、各国の関連法制度や実務運用の動向を注視しつつ、必要に応じた体制の見直し・改善に努めてまいります。

第1条（契約の目的）

処理者は、本サービスの提供にあたり、管理者から委託を受けた個人データを、委託の範囲・目的に限って処理します。

第2条（処理する個人データの範囲）

処理者が取り扱う個人データは、以下の範囲とします。

■学生情報

氏名、性別、生年月日、国籍、メールアドレス
在留資格情報（在留カード番号、在留期限、在留期間、在留資格）
パスポート情報（旅券番号、旅券の有効期限）
住所、連絡先、緊急連絡先
在留申請情報（学歴、日本語能力、経費支弁者情報、犯罪歴、強制退去歴、来日歴、在日家族、経費支弁情報　等）

■学生管理情報

在籍情報（学年、選考区分、住居形態、学生区分、直前の在籍期間、進路調査データ）
在籍状態（在籍状況、資格外活動状況）

第3条（処理の目的）

処理者は個人データを本サービスにおいて、以下の目的でのみ使用します。

管理者による在留資格の適正管理及び申請サポート
管理者による在籍管理（在籍状態・資格外活動違反の有無・生活状況）業務のサポート
パートナー企業への情報提供（学生からの明示的な同意がある場合のみ）
その他、管理者との合意に基づく支援業務

第4条（セキュリティ対策）

組織的安全管理措置

個人情報取扱責任者を定め、各部門の責任者にアクセス権限を限定
従業者の異動や退職時にアクセス権限の見直しを実施
情報取扱ルールを策定し、社内ポータル上に常時掲示
年1回のeラーニング実施と代表者による年次見直し

人的安全管理措置

全従業者に誓約書提出を義務付け
規定違反時は就業規則に基づき懲戒処分
入社時に秘密保持規定を明示

物理的安全管理措置

個人情報取扱端末は常時GPS管理
書類・媒体の持ち運び時はパスワード保護を徹底
廃棄時はDOE準拠のデータ消去を実施
技術的安全管理措置
全端末はパスワード＋生体認証で保護
個人データ送信時はファイルにパスワードを設定
MacOS（Gatekeeper, XProtect）によるマルウェア対策
暗号鍵は開発責任者と代表取締役の2名のみが保持
AWS東京リージョンにて全データを保管し、通信はすべてSSL化（Aランク以上）

インシデント対応体制

報告・分析・再発防止・通知までの対応プロセスを整備
アクセスログを1年間保存し、事案発生時のヒアリング対応可

外部委託先の監督

委託先とは秘密保持契約を締結し、全セキュリティ項目への同意を取得
外部委託は原則禁止とし、必要な場合は事前確認と契約管理を実施

なお、当社では、高可用性と耐久性を実現するため、Amazon RDS（Aurora）上でインフラを構築しております。Aurora の自動バックアップ機能により、直近で5分前までの任意時点にポイントインタイムリカバリが可能です。バックアップは最大35日間保持され、Amazon S3（99.999999999%の耐久性）に暗号化された状態で保存されます。

第5条（サブプロセッサー）

処理者が利用する外部業者（サブプロセッサー）は以下のとおりです。

サービス名	用途	所在国	備考
Amazon Web Services (AWS)	アプリケーションのインフラ、データベース、メール送信	日本（東京リージョン）	SCC対応済。保存される個人情報はすべて東京リージョンに限定。SESでのメール送信処理時に、送信先情報が米国リージョン経由で処理される可能性あり。
Matomo	アクセス解析（クラウド版）	EU（ドイツ）	GDPR準拠。SCC対応済。個人識別データは収集制限あり設定。
Notion	社内情報共有ツール（業務マニュアル等）	米国	個人情報は保存せず、業務連絡用途に限定。
Slack	社内コミュニケーション	米国	個人情報は保存せず、業務連絡用途に限定。
Gmail（Google Workspace）	外部連絡（サポート・通知等）	米国	個人情報は保存せず、業務連絡用途に限定。
Hubspot	学生向け問い合わせ対応	米国	匿名利用が原則だが、有⼈サポート時に名前・メールアドレスを収集。ログは保存対象。

第6条（データ侵害の通知及び協力）

処理者は、その管理下にある個人データについて、流出・漏えい等を認識した場合、当該データ侵害を認識してから48時間以内に、書面（電子メールを含む）にて管理者に、その時点で処理者が把握している以下の内容を通知するものとします。ただし、48時間以内にすべての情報を提供できない場合、処理者はその旨を通知し、その後、継続的な調査に基づき、遅滞なく以下の情報を段階的に提供するものとします。

データ侵害の内容及び性質（検知日時、発生場所、影響を受けたデータ主体の類型及びおおよその人数、影響を受けた個人データの類型及びおおよその件数など）
データ侵害によってデータ主体に生じ得る可能性のある影響
処理者が当該データ侵害による被害の拡大を防止し、または軽減するために講じた、または講じることを提案する措置
処理者における連絡先

第7条（データ主体の権利行使への対応）

データ主体からの開示・削除請求等については、原則として管理者が一次対応を行い、処理者は技術的措置や情報提供を通じてこれを支援します。処理者が管理する一部のサブプロセッサーに格納された個人データについて、データ主体から直接削除等の請求があった場合、処理者は管理者へ速やかに報告し、必要に応じて管理者の承認を得たうえで対応するものとします。
管理者またはデータ主体からの合理的な要請があった場合、当社は個人データの機械判読可能な形式での提供に応じるよう善処します。

第8条（契約終了時の措置）

契約終了後、処理者は管理者に関する以下の情報を、管理者の指示に従って速やかに削除するものとします。

管理者が登録したアカウント情報（担当者情報を含む）
管理者によって入力・付与された学生に関するデータ（在籍管理情報、指導歴メモ、申請書へのコメント、アンケートデータ　等）

ただし、個人データのうち、当該学生が他の契約校において本サービスを継続して利用する場合や、学生本人がサービスの利用を希望し、適切な同意を得ている場合は、学生本人のみに帰属するデータの一部を保持・引継ぎすることがあります。なお、処理者は、データ保持の際には、適切な技術的・組織的保護措置を講じ、かつ不要な情報の保持を避けるものとします。
なお、学生情報（第2条に定める「学生情報」）については、学生本人が当社のサービス利用を継続する意思を示し、かつ適切な同意を得た場合に限り、当社にて保持・管理いたします。

第9条（監査への協力）

処理者は、管理者から合理的な範囲での要請があった場合、当該要請に応じて、個人データの取扱い状況に関する情報を提供し、または管理者による監査（書面調査または必要に応じた現地確認を含みます）に誠実に協力します。ただし、当該監査は、処理者の業務に過度な負担を与えない範囲（現地確認の場合には営業時間内に限る）に限られるものとします。

第10条（紛争解決・準拠法）

本契約は日本法に準拠し、東京地方裁判所を第一審の専属的合意管轄裁判所とします。

備考

本契約は、管理者が当社のSpeedVisaサービスを利用するにあたり、利用規約により成立した契約の一部として構成され管理者が申込書に署名または提出をもって、本契約内容にも同意したものとみなします。本契約に記載がない事項については利用規約が適用され、利用規約と本契約とが矛盾抵触する場合には利用規約が優先的に適用されます。