公開の時点から適用します。本契約は Metaventus のサービス利用規約を補完します。
1. 目的と役割
本データ処理契約（以下「DPA」といいます）は、GDPR 第28条に従い、VENTUS（資本金 60,000 ユーロの簡易株式会社、ルーアン商業登記簿 917 982 969、14 chemin des Tilleuls, 76130 Mont-Saint-Aignan。以下「Metaventus」といい、処理者として行動します）が、アカウント保有者（以下「顧客」といい、管理者として行動します）のために、本サービスの提供に関連して行う個人データの取扱いについて定めます。
顧客自身が第三者の処理者として行動する場合、Metaventus は再受託者として関与し、顧客は自らの約束が本 DPA と両立することを保証します。
Metaventus が自らのために行う取扱い（顧客アカウントの管理、請求、プラットフォームの安全確保、統計）については、Metaventus はプライバシーポリシーに従い管理者として行動します。
2. 指示
Metaventus は、顧客の文書化された指示に基づいてのみ顧客データを取り扱います。サービス利用規約、本 DPA、ならびに顧客およびその利用者によるプラットフォーム機能の利用が、顧客の指示を構成します。指示が GDPR に違反すると思われる場合、Metaventus は顧客に通知します。
3. 取扱いの内容
詳細（性質、目的、データおよび本人の種類、期間）は付属書1に記載します。
4. 秘密保持
Metaventus は、顧客データの取扱いを許可された者が守秘義務を負い、その職務に必要な範囲でのみアクセスすることを保証します。
5. 安全管理
Metaventus は、GDPR 第32条に従い、付属書2に記載する適切な技術的および組織的措置を実施します。
6. 再受託者
顧客は、付属書3に掲げる再受託者の利用について包括的に承認します。Metaventus は、各再受託者との間で本 DPA と同等のデータ保護義務を課す契約を締結し、その履行について引き続き責任を負います。
Metaventus は、再受託者の追加または変更について、効力発生の少なくとも30日前に顧客へ通知します（メールまたはプラットフォーム上の通知）。顧客は正当な理由により異議を述べることができます。合意に至らない場合、顧客は変更の効力発生前に当該契約を解約できます。
7. 管理者への支援
取扱いの性質を考慮し、Metaventus は適切な手段（優先的にはプラットフォームの機能）により顧客を支援します。すなわち、本人の権利行使の請求（アクセス、訂正、消去、可搬性、異議）への対応、および GDPR 第32条から第36条までの義務（安全管理、侵害の通知、影響評価）の履行についてです。標準機能を超える支援の要請については、事前に合意した合理的な費用を請求することがあります。
8. データ侵害
Metaventus は、顧客データに影響する侵害を知った後、可能な限り速やかに、アカウント管理者のメールアドレス宛に、GDPR 第33条3項所定の情報（性質、対象となる種類と件数、想定される影響、講じたまたは提案する措置）を添えて顧客に通知します。
9. 欧州連合域外への移転
顧客データは欧州連合域内に保管されます。一部の再受託者（付属書3）は第三国からデータを取り扱う場合があります。その場合、移転は十分性認定（EU-U.S. Data Privacy Framework を含みます）または欧州委員会の標準契約条項により枠付けられ、必要に応じて追加措置で補完されます。
10. 削除と返還
契約期間中、顧客はプラットフォームの機能によりデータを書き出すことができます。契約終了時、Metaventus は30日以内に顧客データを削除します（法令上の保存義務がある場合を除きます）。この期間の満了前に書面でご請求いただければ、Metaventus は削除を確認します。
11. 記録と監査
Metaventus は、顧客のために行った取扱活動の記録を保持します（GDPR 第30条2項）。Metaventus は、本 DPA の遵守を示すために必要な情報（文書、措置の説明、利用可能な証明）を顧客に提供します。
顧客は、12か月ごとに最大1回、自らのために行われた取扱いに限定した監査を実施できます。30日前の書面による予告のうえ、自らの費用で、営業時間内に、他の顧客のデータおよび営業秘密にはアクセスせずに行います。現地での監査は、文書によって十分な回答が得られない場合に限り可能です。
12. 期間と責任
本 DPA は、サービス利用規約の全期間、および Metaventus が顧客データを取り扱う間、適用されます。サービス利用規約の責任の上限および免責は、本 DPA にも適用されます。
データ保護に関するお問い合わせ：contact@metaventus.com。
13. 言語
本 DPA はフランス語で作成されています。便宜のために翻訳が提供される場合であっても、効力を有するのはフランス語版のみです。
付属書1 — 取扱いの内容
性質と目的：顧客の CRM データの保管、蓄積、構造化および閲覧、顧客の発意による電子的通知（メール、SMS、電話）の送信、予約の受付、顧客の最終顧客への請求、業務の自動化、AI による支援機能（利用者の求めに応じて）、技術的な記録および利用統計。
本人の種類：顧客の利用者、顧客の連絡先・見込み客・顧客、面談の参加者、通知の受信者。
データの種類：本人特定情報および連絡先（姓、名、メール、電話、住所）、職務情報（会社、役職）、商談情報（案件、見積、請求書、予約、メモ）、プラットフォームを通じて発信された通知の内容、技術情報（ログ、IPアドレス、識別子）。特別な種類のデータ（GDPR 第9条）の取扱いは除外されます（利用規約をご参照ください）。
期間：契約期間、その後30日以内に削除（第10条）。顧客がプラットフォームで設定した保存期間および法令上の義務に従います。
付属書2 — 安全管理措置
- 公開されるすべてのサービスにおける通信の暗号化（TLS）。
- 顧客アカウントごとのデータの厳格な分離（マルチテナント）。
- 役割と権限による細粒度のアクセス制御（RBAC）。
- 強力な認証：二要素認証を提供（SMS、TOTP、パスキー／WebAuthn）し、管理者の役割については必須。
- 認証情報を強力な暗号化（AES-256-GCM）で保管し、パスワードはハッシュ化。
- 時刻付きの監査ログ（ログイン、役割の変更、重要な操作）と、短縮できない最低保存期間。
- 保存期間を超えたデータの自動消去。
- 従業員に対する最小権限の方針、本番環境へのアクセスは限定かつ記名。
- ホスティング事業者が管理する定期的なバックアップ（保存と復元）。
- 開発環境と本番環境の分離。
- 契約同意の追跡可能性（時刻、版、SHA-256 ハッシュ値）。
付属書3 — 再受託者
| 再受託者 | 目的 | 法人／国 | データの所在 | 保護措置 |
|---|---|---|---|---|
| Render Services, Inc. | アプリケーションおよびデータベースのホスティング | 米国 | 欧州連合 — フランクフルト（EU Central） | 標準契約条項／DPF |
| Amazon Web Services EMEA SARL | メール送信（Amazon SES） | ルクセンブルク | EU — パリ地域（eu-west-3） | EU法、補助的に標準契約条項 |
| LINK Mobility（SpotHit） | SMS の配信 | フランス（ナンテール商業登記簿） | EU | EU法 |
| Telnyx Ireland Ltd | クラウド電話（通話、番号） | アイルランド | 設定に応じて EU／米国 | 標準契約条項／DPF |
| Microsoft Ireland Operations Ltd（Azure） | サービス間のメッセージバス、ファイル保管、リアルタイム通知、Azure AI サービス | アイルランド | 欧州連合 — West Europe（AI サービス：France Central） | EU法、補助的に標準契約条項 |
| Stripe Payments Europe Ltd | 決済および定期契約 | アイルランド | EU／米国 | 標準契約条項／DPF |
| OpenAI Ireland Ltd | AI機能（リアルタイム音声エージェントを含みます） | アイルランド | EU／米国 | 標準契約条項／DPF |
| Mistral AI | AI機能（有効にした機能に応じます） | フランス | EU | EU法 |
Metaventus の再受託者ではないもの：顧客が自らの発意でアカウントに接続する第三者サービス（Google、Microsoft、Zoom、ソーシャルネットワークなど）。これらの連携は、顧客と当該第三者提供事業者との直接の関係に属します。