Kartio Data Processing Addendum

1. 適用

本DPAはKartio B2B利用規約の一部を構成し、契約者が本サービスへ登録する顧客その他の個人データ（以下「契約者データ」）を、Blueprint Collective株式会社（以下「当社」）へ委託する場合に適用します。

2. 取扱いの範囲

1. 契約者は、契約者データの利用目的、取得項目、利用者への説明、保存およびアクセス権限を決定し、必要な法的根拠と同意を確保します。
2. 当社は、B2B利用規約、本DPAおよび契約者の適法な指示に従い、本サービスの提供、保守、セキュリティ、サポートおよび法令対応に必要な範囲で契約者データを取り扱います。
3. 当社は契約者データを販売せず、行動広告または一般目的AIモデルの学習に利用しません。匿名統計は、個人および契約者を識別できないよう適切に処理したものに限ります。
4. 初回リリースでは、問診・健康情報、顧客写真・施術写真・販促写真および18歳未満の方の入力機能を提供対象にしません。これらを追加する場合、本DPAと必要な同意・安全管理を先に改定します。

3. 安全管理

当社は、取扱範囲とリスクに応じて、アクセス制御、認証、通信・保存時の保護、ログ、バックアップ、脆弱性管理、インシデント対応、従業者の守秘および委託先管理を行います。契約者は、自組織のメンバーと権限を適切に管理します。

4. 再委託

当社は、認証、インフラ、決済、ストア課金、メッセージ配信、不正対策および障害監視等を再委託できます。当社は主な再委託先をSubprocessor・第三者provider一覧で開示し、実質的な変更を通知し、必要な保護義務を課します。契約者は合理的なデータ保護上の理由がある場合に異議を申し出ることができ、当社は代替策を協議します。

5. 本人請求と監査情報

当社は、契約者が本人からの開示、訂正、利用停止、削除その他の請求へ対応するため、合理的な範囲で検索、出力、訂正、削除および証跡を支援します。当社は、秘密情報や他の顧客の安全を害しない範囲で、安全管理措置、委託先および処理状況に関する合理的な情報を提供します。

6. インシデント

契約者データに関する漏えい等を確認した場合、当社は適用法令と確認済み事実に基づき、契約者の対応に必要な範囲で、事象、影響、実施済み・予定の措置を遅滞なく通知します。調査中の未確認事項を確定情報として通知する義務は負いません。

7. 返却・削除

契約中は提供される機能で主要データを出力できます。契約終了後、法令上保持が必要な記録を除き、プライバシーポリシーと内部削除手順に従って削除します。削除は本番データベースだけで完了扱いにせず、object storage、認証、Analytics識別子および対象providerを追跡します。バックアップ復元時には削除記録を再適用します。

8. 問い合わせ

本DPAに関する問い合わせは inquiry@blueprintco.io へお願いします。対応時間は10:00〜17:00（日本標準時）です。