本データ処理契約（以下「DPA」または「本契約」という）は、以下の当事者間で締結される。
| フィールド | Details |
|---|---|
| 会社名 | [お客様の正式な氏名] |
| 登録された住所 | [住所] |
| VAT番号／会社番号 | [VAT番号] |
| データ保護に関するお問い合わせ | [データ保護責任者（DPO）へのメール／連絡先] |
| 署名代理人 | [氏名、役職] |
| フィールド | Details |
|---|---|
| 会社名 | Xygeni Security, SL |
| 登録された住所 | C/Pasión 4, 2 Planta, 47001 バリャドリッド, スペイン |
| 付加価値税（VAT） | B09620287 |
| データ保護に関するお問い合わせ | info@xygeni.io |
| 署名代理人 | [氏名、役職] |
以下、コントローラーおよびプロセッサーは、それぞれ個別に「当事者」といい、総称して「両当事者」とします。
このDPAは、Xygeniによるアプリケーションセキュリティの提供を規定する当事者間のマスターサービス契約またはサービス利用規約（「主要契約」）の一部を構成する。 software supply chain security 本サービス（以下「本サービス」という）。本データ保護契約と基本契約との間に矛盾が生じた場合は、データ保護に関する事項については本データ保護契約が優先するものとする。
このDPAの目的のために：
両当事者は以下の事項を認識し、同意する。
Xygeniが自社の目的（アカウント管理、請求、サービス改善分析など）のために個人データを処理する場合、Xygeniは独立したデータ管理者として行動します。このような処理はXygeniのプライバシーポリシーに準拠し、本データ処理契約の適用範囲外となります。
処理の対象、性質、期間、目的、ならびに処理される個人データの種類およびデータ主体のカテゴリーは、本データ処理契約の別紙1（処理の詳細）に記載されています。
処理者は、適用法により義務付けられている場合を除き、基本契約に記載されたサービスを提供するために必要な範囲で、かつ管理者の文書化された指示に従ってのみ顧客データを処理するものとします。かかる場合、処理者は、重要な公共の利益を理由として法律で禁止されている場合を除き、処理を行う前に管理者にその法的要件を通知するものとします。
管理者は、以下の目的のために必要に応じて顧客データを処理するよう処理者に指示します。(a) 主契約に従ってサービスを提供するため。(b) 管理者が随時書面で伝える指示に従うため。(c) このデータ処理契約に基づく処理者の義務を履行するため。
処理者は、管理者からの指示が適用されるデータ保護法に違反していると処理者が合理的に判断した場合、速やかに管理者に通知しなければならない。かかる場合、処理者は、管理者が当該指示を明確化または修正するまで、当該指示に基づく処理を停止する権利を有する。
管理者は、以下の事項を保証および表明します。(a) 関連する個人データを処理するためのGDPR第6条（および該当する場合は第9条）に基づく有効な法的根拠を有すること。(b) 必要なすべての通知を提供し、必要なすべての同意を取得していること。(c) 顧客データの処理者への移転は、適用される法律に違反しないこと。
処理者は、適用されるEU法または加盟国法によって義務付けられている場合を除き、管理者の文書化された指示に基づいてのみ顧客データを処理するものとします。処理者は、サービスの提供に必要な場合、または法律で義務付けられている場合を除き、顧客データを自己の目的で処理したり、第三者に開示したりしてはなりません。
処理者は、顧客データの処理を許可された者が commit顧客データへのアクセスは、サービス提供のためにアクセスが必要な従業員、請負業者、および下請業者に限定されます。
処理者は、顧客データを不正または違法な処理、偶発的な損失、破壊、損傷、改ざんまたは開示から保護するために、適切な技術的および組織的措置を実施および維持するものとし、以下の点を考慮するものとする。
かかる措置には、少なくとも本データ処理契約の別紙2（技術的および組織的セキュリティ対策）に規定されている措置が含まれるものとする。処理者のISO 27001認証は、基本的な情報セキュリティ管理システムの証拠となる。処理者は、本データ処理契約の期間中、ISO 27001認証またはそれに相当する認証を維持するものとする。
処理者は、処理の性質を考慮して、可能な限り適切な技術的および組織的措置により、管理者が要求に応じる義務を果たすのを支援するものとする。cis適用されるデータ保護法に基づくデータ主体の権利（GDPR第15条～第22条に基づくアクセス権、訂正権、消去権、制限権、データポータビリティ権、異議申立権を含む）。
処理者は、(a) データ主体から顧客データに関する要求を受けた場合、速やかに管理者に通知すること、(b) 管理者の文書による指示がある場合、または適用法で義務付けられている場合を除き、そのような要求に応答しないこと、および (c) 適用される法定期限（GDPR第12条に基づく30日間）内に、管理者がそのような要求に応答するための合理的な支援を提供すること、を義務付けられます。
処理者は、処理の性質および処理者が入手可能な情報（以下を含む）を考慮に入れ、GDPR第32条から第36条に基づく義務の遵守を確保する上で、管理者を支援するものとする。
主契約の終了または満了時、あるいは管理者の要請があった場合、処理者は、管理者の選択により、保有するすべての顧客データを削除または管理者に返却し、適用されるEU法または加盟国法で個人データの保管が義務付けられている場合を除き、既存のコピーを削除するものとします。処理者は、関連する事象発生後30日以内に、削除の完了を文書で確認するものとします。
プロセッサの standard データ保持スケジュール（別表1に記載）は、管理者がそれ以前に削除を要求しない限り適用されるものとする。
処理者は、本データ処理契約に定められた義務の遵守を証明するために必要なすべての情報を管理者に提供し、管理者または管理者が委任した監査人が実施する監査（検査を含む）を許可し、これに協力するものとする。
処理者は、以下のものを提供することにより、この義務を果たすことができます。
処理者は、顧客データに影響を与える個人データ侵害を認識した時点で、遅滞なく、いかなる場合でも48時間以内に、管理者に通知するものとします。当該通知には、その時点で入手可能な範囲で、以下の情報が含まれるものとします。
上記すべての情報を同時に提供できない場合は、不当な遅延なく段階的に情報を提供することができます。処理者は管理者と協力し、違反の調査、軽減、および是正を支援するために管理者が必要とする合理的な措置を講じるものとします。
当事者は、GDPR第33条に基づき、個人データ侵害を認識してから72時間以内に管轄監督機関（スペインデータ保護庁（AEPD）またはその他の関連機関）に通知する義務は、データ管理者である管理者にあることを認識する。本条項に基づく処理者から管理者への通知は、管理者がこの規制上の義務を履行できるようにすることを目的とする。処理者による通知は、過失または責任の承認とはみなされない。
管理者は、本データ処理契約の別紙3（承認済みサブプロセッサー）に記載されているサブプロセッサーを起用する包括的な権限をプロセッサーに付与する。プロセッサーは、各サブプロセッサーに対し、本データ処理契約に規定されているものと同等のデータ保護義務を課し、特に適切な技術的および組織的措置を実施するための十分な保証を提供するものとする。
処理者は、サブプロセッサーの追加または変更に関する変更予定について、以下の方法で管理者に通知するものとします。(a) https://xygeni.io/legal/subprocessors に掲載されているサブプロセッサーリストを改訂後の「最終更新日」で更新すること、および (b) 変更の発効日の少なくとも 10 日前までに管理者に書面で通知すること。管理者は、当該通知から 7 日以内に、合理的なデータ保護上の理由に基づき、当該変更に異議を申し立てることができます。管理者が異議を申し立て、当事者間で異議を解決できない場合、管理者は、違約金なしで、合理的な通知をもって本契約を解除することができます。
処理者が下請け処理者を利用する場合、下請け処理者がデータ保護義務を履行しなかった場合、処理者は当該下請け処理者の義務の履行について管理者に対して全責任を負うものとします。
各サブプロセッサについて、プロセッサは以下のことを行うものとする。
処理者は、以下の場合を除き、顧客データを欧州経済領域（EEA）外の国に転送してはならない。
SCCが必要な場合、プロセッサはコントローラの要求に応じて、コントローラおよび／または関連するサブプロセッサとの間で該当するSCCを実行するものとします。該当するSCCのモジュールは、コントローラからプロセッサへの転送の場合はモジュール2（コントローラからプロセッサ）、プロセッサからサブプロセッサへの転送の場合はモジュール3（プロセッサからサブプロセッサ）とします。
SCC（標準契約条項）の適用上、管轄の監督機関は、書面による別段の合意がない限り、スペインデータ保護庁（Agencia Española de Protección de Datos — AEPD）とする。
処理者は、顧客データのすべての国際転送およびそれぞれの転送に適用されるメカニズムに関する最新の記録を保持し、要求に応じて管理者に提供するものとする。
9.データ保護の影響評価
処理活動が自然人の権利と自由に対する高いリスクをもたらす可能性があり、かつ管理者がGDPR第35条に基づきデータ保護影響評価（DPIA）を実施する必要がある場合、処理者は管理者がDPIAを実施できるように、必要な合理的な支援と情報を提供しなければならない。処理者は、管理者からのDPIA関連の合理的な要求に対し、15営業日以内に回答しなければならない。
処理者は、管理者の要求に応じて、GDPR第30条(2)に従って管理者に代わって実行された処理活動の記録を保持するものとし、これには、処理者およびすべてのサブ処理者の名称と連絡先の詳細、管理者に代わって実行された処理のカテゴリ、第三国への個人データの移転、および技術的および組織的なセキュリティ対策の一般的な説明が含まれる。
本データ処理契約に基づき、または本データ処理契約に関連して、各当事者が他方当事者に対して負う責任は、基本契約に定める制限および除外事項に従うものとします。データ主体が適用データ保護法に違反する処理の結果として損害を被った場合、各当事者は、GDPR第82条から第83条に従い、GDPRに違反する処理によって生じた損害について責任を負うものとします。本条項のいかなる規定も、適用法に基づくいずれかの当事者のデータ主体に対する責任を制限するものではありません。
本データ処理契約は、主契約の締結日（または本データ処理契約の締結日がそれ以降の場合はその日）に発効し、主契約の有効期間中効力を有するものとします。主契約が何らかの理由で終了した場合、本データ処理契約も自動的に終了するものとします。
契約終了後も、処理者の第5.6条（データの削除または返却）に基づく義務は存続し、処理者は契約終了後30日以内に顧客データの削除または返却を完了するものとします。機密保持、責任、準拠法、監査に関する条項も、契約終了後も存続するものとします。
本データ処理契約は、スペインの法律に準拠し、同法に従って解釈されるものとします。両当事者は、本データ処理契約から生じる、または本データ処理契約に関連するあらゆる紛争の解決について、マドリード裁判所の非専属的管轄権に服するものとします。本データ処理契約のいずれかの条項が標準契約条項（SCC）と抵触する場合、SCCが優先するものとします。
完全合意: 本データ処理契約は、その付属書類および基本契約と併せて、本契約の主題に関する当事者間の完全な合意を構成し、データ処理に関する従前のすべての合意、了解事項または表明事項に優先する。
修正： 本データ処理契約は、両当事者の権限を有する代表者が署名した書面による合意によってのみ変更することができる。
可分性： 本データ処理契約のいずれかの条項が無効または執行不能と判断された場合でも、残りの条項は引き続き完全に効力を有するものとします。
優先順位: 本データ処理契約（DPA）と付属文書との間に矛盾が生じた場合は、付属文書に明示的に別段の定めがない限り、DPA本文が優先するものとします。本DPAと標準契約条項（該当する場合）との間に矛盾が生じた場合は、標準契約条項が優先するものとします。
処理の対象は、Xygeniによる提供である。 application security posture management, software supply chain security 分析、脆弱性検出、 CI/CD セキュリティ監視、および基本契約書に記載されている関連サービス。
顧客データの収集、整理、構造化、保存、分析、検索、使用、送信による開示、整合または結合、制限、消去または破棄。
顧客データの処理は、セキュリティ脆弱性の検出と報告、ソフトウェアサプライチェーンのリスク分析など、コントローラーへのサービスの提供のみを目的として行われます。 CI/CD pipeline security 監視、異常検知、および顧客サポート。
処理者は、主契約の期間中、顧客データを処理するものとします。契約終了後、処理者は、管理者が早期削除を要求しない限り、サブスクリプション終了日から3か月間顧客データを保持してから削除するものとします。トライアルアカウントのデータは、トライアル期間終了後1か月間保持されます。
| カテゴリー | 例 |
|---|---|
| ユーザーアカウントデータ | 名前、メールアドレス、ユーザー名、パスワードハッシュ、役割、組織 |
| アクティビティと使用状況データ | Login イベント、API呼び出し、スキャンアクティビティログ、タイムスタンプ、IPアドレス |
| セキュリティ検出メタデータ | リポジトリ名、ファイルパス（発見が発生した場所）、依存関係メタデータ、 pipeline 設定リファレンス |
| 通信データ | サポートチケット、サービスに関する電子メールのやり取り |
データ主体には、サービスにアクセスするコントローラーの従業員、契約者、その他の承認済みユーザー、リポジトリへの貢献者（開発者、ボットアカウント、ビルドエージェント）などが含まれます。 pipelineサービスによって監視されているもの、およびコントローラーの代表者と連絡担当者。
本サービスは、GDPR第9条に定義される特別カテゴリーの個人データを処理するようには設計されていません。データ管理者は、Xygeniとの事前の書面による合意および適切な追加的保護措置の実施なしに、特別カテゴリーの個人データを本サービスに送信しないことを保証します。
Xygeniは、ISO 27001認証を取得した情報セキュリティマネジメントシステムに準拠し、顧客データを保護するために以下の技術的および組織的な対策を実施しています。
