新規ご契約特典：年払いプランで 35% OFF · 料金を見る
言語を選択:
EN VN ZH JA KO ES FR PT
機能一覧 ソリューション 料金プラン 他社比較 リソース ログイン
法務・コンプライアンス

データ処理契約 (DPA)

GDPRおよびCCPAに基づくデータ処理者 (Data Processor) としての法的義務を定めた合意事項。

最終更新日：2026年9月1日

このデータ処理契約 (「DPA」) は、利用規約の補足であり、SaaS 電子メール マーケティング & オートメーション プラットフォームの提供において、eMailBase が顧客に代わって個人データを処理する場合に適用されます。 DPA は、プライバシー ポリシーと併せて読む必要があります。

データ保護に関して本 DPA と利用規約との間に矛盾がある場合は、DPA の規定が優先するものとします。

1. 定義と適用範囲

1.1. 定義

この DPA の用語は、GDPR (EU 規則 2016/679) およびその他の適用されるデータ保護法に定められた意味を持ちます。

  • データ管理者: 顧客 — 加入者データを処理する目的と方法を決定する当事者。
  • データ プロセッサ: eMailBase — 管理者に代わってサービスを提供するデータ プロセッサ。
  • 個人データ: 特定された、または特定可能な個人に関する情報
  • 購読者データ: 管理者が電子メール受信者に関して eMailBase に入力する個人データ。
  • 副処理者: 加入者データの一部を処理するために eMailBase によって承認された第三者。
  • データ侵害: 個人データの破壊、紛失、改ざん、不正な開示またはアクセスを引き起こすセキュリティ侵害

1.2.適用範囲

この DPA は次の場合に適用されます。

  • 顧客は eMailBase を使用して購読者の個人データを処理します。
  • 欧州連合 (EEA)、英国、または同等のデータ保護法が適用される地域に居住するデータ主体の個人データ
  • 適用されるデータ保護法では、管理者と処理者の間でデータ処理契約を締結する必要があります。

2. 当事者の役割

  • 顧客 (管理者): 収集の目的、送信内容、対象受信者、および加入者データを処理する法的根拠を決定します。お客様は、プラットフォーム上のデータの収集と使用に法的根拠（同意、正当な利益など）があることを確認する責任を負います。
  • eMailBase (処理者): 利用規約に従ってサービスを提供するために必要な範囲で、管理者の法的指示に従って加入者データを処理します。 eMailBase は、サービスの提供以外の目的で購読者データを使用しません。

3.処理の範囲と目的

3.1.処理操作

処理には以下が含まれる場合があります。

  • 購読者データをワークスペースに保存および整理する
  • 受信者リストのセグメント化、タグ付け、管理
  • キャンペーン設定に従って受信者データを送信プロバイダーに送信（BYO）します。
  • イベントと条件に基づいて自動化フローを実行する
  • インタラクション データ（メールの開封、クリック、購読解除、返送）を取得する
  • 顧客がアクティベートしたときに、SocialEnrich を介したデータ強化
  • レポートの生成、分析、技術サポート

3.2.個人データの種類

  • 連絡先情報: メール アドレス、氏名、電話番号;
  • 人口統計情報: 役職、会社、地理的位置
  • 顧客定義のカスタム フィールド;
  • インタラクション データ: 開く、クリック、購読解除の履歴;
  • 技術データ: アクセス IP、ユーザー エージェント（電子メールのやり取りに関連する場合）

3.3. データ主体

購読者、電子メール受信者、リード、および管理者がプラットフォームにデータを持ち込むその他の個人。

4. データ管理者の指示

  • eMailBase は、EU または国内法で別途要求されない限り、管理者の書面による指示 (プラットフォーム インターフェースを介した指示を含む) に従ってのみ加入者データを処理します。
  • 管理者の指示が GDPR または適用されるデータ保護法に違反する可能性があることを eMailBase が認識した場合、eMailBase は管理者に直ちに通知します（通知が法律で禁止されている場合を除く）
  • eMailBase は、購読者データにアクセスできる従業員が機密保持を約束しているか、機密保持の法的義務を負っていることを保証します。

5. 技術的・組織的措置

eMailBase は、加入者データを保護するために、次のような適切な技術的および組織的措置を講じます。

  • 暗号化: データは転送中 (TLS 1.2+) と保存中 (ディスク暗号化、個別に暗号化された API キー) に暗号化されます。
  • アクセス制御: 最小特権の原則に従った分散化、内部管理システムの多要素認証。
  • データの分離: ワークスペース データは顧客間で論理的に分離されます。
  • バックアップと復元:定期的なバックアップと障害時の復元。
  • モニタリング: アクセス ログ、異常検出、自動セキュリティ アラートをモニタリングします。
  • トレーニング: 従業員はデータ保護と情報セキュリティに関するトレーニングを受けています。

6. 再委託先

6.1. 一般的な承認

管理者は、サービスの提供をサポートするためにサブサプライヤーを使用するための一般的な書面による許可を eMailBase に付与します。現在のサブサプライヤーのリストには次のものが含まれます。

  • クラウド インフラストラクチャ プロバイダー: サーバー上でデータを保存および処理します。
  • 支払いプロバイダー: 支払い取引を処理します。
  • 分析プロバイダー: サービス使用状況の集計分析。

注: BYO モデルで顧客が接続する電子メール配信プロバイダー (Amazon SES、SendGrid、Mailgun、Gmail) は、eMailBase のサブベンダーではありません。顧客は送信サプライヤーと直接の関係があり、そのサプライヤーの条件を遵守する責任があります。

6.2. 変更通知手続

  • eMailBase は、サブサプライヤーを追加または置き換える前に (変更が有効になる少なくとも 30 日前に) 管理者に通知します。
  • 管理者が新しいサブサプライヤーに反対した場合、当事者は誠意を持って交渉します。合意に達しない場合、管理者は関連するサービスを終了する権利を有します。

6.3. 責任

eMailBase は、サービスの範囲内でサブサプライヤーのパフォーマンスに責任を負い、少なくともこの DPA と同等のデータ保護制約をサブサプライヤーに課します。

7.国際データ転送

  • eMailBase は、複数の地域にあるデータ センターで加入者データを処理する場合があります。
  • データが EEA または同等のデータ保護規制のある地域外に転送される場合、eMailBase は欧州委員会によって承認された標準契約条項 (SCC) (決定 2021/914) を適用します。
  • EDPB（欧州データ保護委員会）の推奨に従って、必要に応じて追加の技術的保護手段（エンドツーエンドの暗号化、仮名化）が適用されます。
  • 管理者は、hi@emailbase.net に連絡することで、SCC の署名済みコピーを要求できます。

8. データ主体の権利への対応

eMailBase は、データ主体の権利に関する義務を果たす管理者をサポートします。

  • アクセス権: コントローラーがアクセス リクエストに応答するためのデータ エクスポート ツールを提供します。
  • 編集権限: コントローラーはワークスペースで加入者データを直接編集できます。
  • 削除の権利: コントローラーは特定の連絡先またはリスト全体を削除できます。 eMailBase は、リクエストを受信した後、適切な時間内にシステムからデータを削除します。
  • データのポータビリティの権利: コントローラは、CSV 形式または API 経由でデータをエクスポートできます。
  • 制限および反対する権利: 管理者は、関連するキャンペーンまたは自動化を無効にすることで処理を一時停止することができます。

eMailBase がデータ主体から直接リクエストを受信した場合、eMailBase は妥当な時間内にそのリクエストを管理者に転送します (法律で直接の応答が要求されている場合を除く)。

9. 個人データ侵害の通知

  • eMailBase は、加入者データに影響を与えるデータ インシデントを検出してから遅くとも 72 時間以内に管理者に通知します。
  • 通知には（情報が入手可能な範囲で）以下が含まれます。
    • 問題の性質と影響を受けるデータの種類
    • 影響を受けるデータ主体の推定数
    • 考えられる結果;
    • 影響を克服し、最小限に抑えるための対策がこれまでも実施されてきましたし、現在も実施されています。
  • eMailBase は、法律で義務付けられている場合、管理者と協力して調査、修復し、監督当局やデータ主体に通知します。

10.データ保護影響評価 (DPIA)

eMailBase は、処理アクティビティによってデータ主体の権利と自由に対する高いリスクが生じる可能性がある場合に、管理者によるデータ保護影響評価 (DPIA) の実行を次の方法でサポートします。

  • 処理活動、セキュリティ対策、サブサプライヤーに関する情報を提供します。
  • リスク評価をサポートするために合理的な範囲内で調整する
  • 必要に応じて、データ保護監督当局との協議をサポートします（GDPR 第 36 条に準拠）

11. 監査とコンプライアンス確認

  • eMailBase は、GDPR 第 28 条に基づく義務の遵守を証明するために必要な情報を管理者に提供します。
  • 管理者（または認定された第三者監査人）は、以下の場合に限り、現場検査を含む監査を実行する権利を有します。
    • 合理的な事前通知（最低 30 日前）
    • eMailBase の運用に不当な中断を与えないでください。
    • 監査人には適切な守秘義務が課せられます。
    • データの問題や監督当局からの要求がない限り、12 か月ごとに 01 回を超える監査は行わない
  • eMailBase は、管理者が同意した場合、オンサイト監査の代替としてコンプライアンス レポート、セキュリティ証明書（利用可能な場合）を提供することがあります。

12. サービス終了時のデータ削除

  • サービスが終了するとき、またはコントローラーの要求に応じて、eMailBase は次のことを行います。
    • コントローラによるすべての加入者データの構造化形式（CSV、API） のエクスポートをサポートします。
    • 法律で長期間の保持が義務付けられている場合を除き、サービス終了後 90 日間は加入者データを削除または匿名化します。
    • 管理者から要求された場合は、 データ削除の書面による確認を提供します。
  • 管理者はアカウントを終了する前にデータのエクスポートを完了する必要があります。 eMailBase は、削除期限までにエクスポートされなかったデータについては責任を負いません。
  • この DPA における機密保持義務は、サービス終了後もデータが完全に消去されるまで継続します。

お問い合わせ

DPA について話し合うには、SCC のコピー、コンプライアンス レポートをリクエストするか、データ関連のリクエストを送信します。

  • メール: hi@emailbase.net
  • 件名: 「DPA」または「データ処理リクエスト」を指定します