データ処理補遺

第1条 適用範囲および役割

本補遺は、お客様（以下「データ管理者」といいます）が、Mosraチーム（以下「データ処理者」または「当方」といいます）が提供するMosraを利用して、お客様の学習者または職員の個人データを処理する場合に適用されます。本補遺は、利用規約の一部を構成します。

処理の目的および手段は、お客様が決定します。当方は、お客様に代わって処理を行い、当該データを当方自身の目的のために使用しません。

管理担当者自身のアカウントデータ（メールアドレス、氏名、請求情報）については、当方が引き続きデータ管理者であり、プライバシーポリシーが適用されます。

第2条 処理に関する指示

当方は、次のいずれかに基づく場合に限り、個人データを処理します：(a) お客様による本サービスの機能の利用を通じて示される指示、(b) お客様から当方に送付される書面による指示、(c) 法令上の要請。

ある指示がデータ保護法に違反すると当方が判断した場合、当方はお客様にその旨を通知し、当該部分の処理を一時停止することがあります。

法令によりお客様の指示を超える処理が求められる場合、当方は、法令で禁止されていない限り、事前にお客様に通知します。

第3条 秘密保持

アクセス権は、本サービスの運営のためにアクセスを必要とする者にのみ付与され、これらの者は秘密保持義務を負います。

当方は、第5条に定めるサブプロセッサーへの開示および法令で求められる場合を除き、お客様のデータを第三者に開示しません。

第4条 安全管理措置

当方は、適切な技術的および組織的措置を講じます。当該措置には、少なくとも次のものが含まれます。

• すべての通信における通信経路上の暗号化（HTTPS/TLS）。
• パスワードのハッシュ化（読み取り可能な形式では一切保存しません）。
• 最小権限の原則に基づくロールベースのアクセス制御。
• 本番システムへのアクセスの記録。
• 定期的なバックアップおよび復元テスト。
• 不正利用に対するレート制限および監視。
• 顧客組織間のデータの分離。

これらの措置の詳細は別紙Bに記載しており、ご要望に応じて最新の説明を提供します。

第5条 サブプロセッサー

お客様は、サブプロセッサーのページに掲載されたサブプロセッサーを当方が利用することを承認します。当該一覧は、本補遺の一部を構成します。

当方は、各サブプロセッサーとの間で、本補遺と同等以上の保護水準を有するデータ保護条件により契約を締結し、当該サブプロセッサーの履行について、当方自身の履行と同様に責任を負います。

当方は、新たなサブプロセッサーを追加する少なくとも30日前までに通知します。お客様が合理的な理由に基づき異議を述べた場合、当方は代替策を検討します。実行可能な代替策がない場合、お客様は、本サービスのうち影響を受ける部分を解約し、前払い料金のうち未使用分の返金を受けることができます。

第6条 データ主体からの請求への対応支援

本サービスは、お客様が自ら学習者のデータにアクセスし、訂正し、書き出し、削除するためのツールを提供します。

これらのツールでは十分でない場合、お客様が法定期限（受領確認は2営業日以内、開示および訂正は10日以内、同意の撤回は15日以内、削除は20日以内）を遵守できるよう、当方は合理的な期間内に支援します。

学習者から当方に直接連絡があった場合、当方は、お客様から別段の指示がない限り、自ら当該請求に対応せず、これをお客様に回付します。

第7条 データインシデント

当方は、お客様の個人データに影響を及ぼすインシデントを認識した後、不当な遅滞なく、かついかなる場合もお客様が自らの72時間以内の通知義務を履行できる時期までに、お客様に通知します。

当該通知には、インシデントの性質、影響を受けたデータの種類およびデータ主体のおおよその人数、想定される影響、ならびに講じた措置または講じる予定の措置を含めます。

当方は、お客様が監督機関および影響を受けた個人に通知できるよう、合理的な範囲で協力します。

第8条 監査およびコンプライアンスの証明

当方は、お客様がコンプライアンスを証明するために合理的に必要とする情報を提供します。これには、当方の安全管理措置の説明、およびベンダー評価の質問票への回答が含まれます。

お客様は、年1回を上限として、少なくとも30日前の通知により、営業時間内に、本サービスを妨げず、かつ他の顧客のデータにアクセスしない方法で、監査を実施することができます。監査費用は、重大な違反が発見された場合を除き、お客様の負担とします。

第9条 国外移転

一部のサブプロセッサーは、ベトナム国外でデータを処理します。当方は、ベトナム法が求める越境移転影響評価を実施し、EU/英国の法律が適用される場合には標準契約条項を適用します。

お客様の組織がデータを国内にとどめることを必要とする場合は、セルフホスト型の導入が適切な選択肢であり、その場合、本補遺はそれに応じて限定された範囲で適用されます。

第10条 返却および削除

契約終了後30日間、お客様は、内蔵ツールを使ってデータを書き出し、または当方にデータの引渡しを求めることができます。

その後、当方は本番システムからデータを削除します。バックアップ内の複製は、バックアップのローテーションにより、バックアップ日から最長30日以内に削除されます。

当方は、会計記録など法令により保持が義務付けられているものに限り、その範囲においてのみ保持します。

別紙A — 処理の概要

別紙B — 技術的および組織的措置

• 通信経路上の暗号化：すべての通信をTLS経由で行います。
• 認証：パスワードのハッシュ化、Googleログインへの対応、有効期限付きのセッション。
• 認可：組織、クラスおよびリソース単位で範囲を限定したロール。
• ログ記録：管理者によるアクセスおよび機微な操作を記録します。
• バックアップ：定期的に取得し、復元テストを実施し、保持期間は30日以内とします。
• 不正利用の防止：ルートごとのレート制限、AI機能に対する個別の利用枠。
• 変更管理：リリース前の自動テスト。
• インシデント対応：検知、評価、72時間以内の通知。

署名済みのDPAや、貴組織のセキュリティ質問票へのご回答が必要な場合は、privacy@mosra.appまでご連絡ください。所在地：ベトナム・ハノイ。