Mapsly 利用規約
最終更新日: 2026年7月31日. このバージョンは、2023年9月15日に最終更新されたバージョンに優先します.
本データ処理補遺 (“DPA”) は、お客様およびお客様が代表する法人 (“顧客”, “お客様” または “お客様の”) と Mapsly LLC (“MAPSLY”) との間の契約です。本DPAは、以下で入手可能なMAPSLY利用規約を補足するものです, https://mapsly.com/terms, お客様とMAPSLYの間で随時更新されるもの、またはお客様によるMAPSLYサービスの利用を規定する、お客様とMAPSLYの間のその他の契約（以下「契約」）。「お客様」とは、MAPSLY利用規約において「ユーザー」と定義される事業体を指します。本DPAは、MAPSLYがサービスの提供においてお客様に代わってお客様データを処理する範囲に適用されます。
定義. 本DPAで使用されるすべての大文字で始まる用語は、本契約で別途定義されていない限り、以下に定める意味を有します:,
API アプリケーションプログラミングインターフェイスを意味します.
適用されるデータ保護法 当事者による顧客データの処理に適用され、当該当事者を拘束するすべての法律および規制を意味し、該当する場合、GDPR、UK GDPRおよびUK Data Protection Act 2018、スイス連邦データ保護法（“FADP”）、ならびに適用される米国連邦および州のプライバシー法（改正後のCalifornia Consumer Privacy Actを含む）を含みます。
拘束的企業準則 GDPR において与えられた意味を有します.
コントローラー GDPR において与えられた意味を有します.
管理者対処理者条項 データ移転に関する管理者と処理者の間の標準契約条項を意味し, 2021年6月4日の欧州委員会実施決定 (EU) 2021/914 により承認されたものです.
顧客データ お客様のMAPSLYアカウントの下で本サービスにアップロードされる、または本サービス内で生成される個人データを意味し、第1.5条に記載されるエンドユーザーアカウントおよび利用情報を除きます。
“データプライバシーフレームワーク” または “DPF” 総称して, EU-U.S. Data Privacy Framework, EU-U.S. Data Privacy FrameworkのUK Extension, およびSwiss-U.S. Data Privacy Frameworkを意味し, U.S. Department of Commerceによって管理されます.
ドキュメント とは、以下に所在する本サービスのその時点で最新のドキュメントを意味します, https://help.mapsly.com (およびMAPSLYが指定する後継所在地).
EEA 欧州経済領域を意味します。
エンドユーザー お客様の Mapsly アカウントのユーザーを意味し、お客様が Mapsly を使用するよう割り当てたお客様の従業員および請負業者を含みます。
GDPR 2016年4月27日の、個人データの処理に関する自然人の保護および当該データの自由な移動に関する欧州議会および理事会の規則2016/679を意味し、指令95/46/ECを廃止するものです（一般データ保護規則）。
MAPSLY ネットワーク MAPSLYの管理下にあり、サービスを提供するために使用されるサーバー、ネットワーク機器、およびホストソフトウェアシステム（例えば、仮想ファイアウォール）を意味します。
MAPSLY 設定コンソール メインメニューの“Setup”で利用できるMapsly ServiceのSetupセクションを意味します.
個人データ 個人データ、個人情報、個人を識別可能な情報またはその他の同等の用語 (それぞれ適用されるデータ保護法で定義されるもの) を意味します.
処理中 GDPR において与えられた意味を有し、“process”、“processes” および “processed” はそれに従って解釈されます。
プロセッサ GDPR において与えられた意味を有します.
処理者間条項 2021年6月4日の欧州委員会実施決定 (EU) 2021/914 により承認された、データ移転に関する処理者間の標準契約条項を意味します。
セキュリティインシデント MAPSLYのセキュリティ侵害により、顧客データの偶発的または違法な破壊、喪失、改変、不正な開示、またはアクセスが発生することを意味します。
サービスコントロール ドキュメントに記載されているとおり、サービスが提供するセキュリティ機能および機能を含むコントロールを意味します。
標準契約条項 該当する場合、セクション9.2.1および9.2.2に従い、(i) 管理者から処理者への条項、または (ii) 処理者から処理者への条項を意味し、該当する場合、UK GDPRの対象となるデータ移転についてはUK Addendumにより、FADPの対象となるデータ移転についてはセクション9.2.4に記載されたスイス向けの調整により補足されます。,
第三国 EEA、英国、またはスイスの域外の国であり、欧州委員会（または、該当する場合、英国またはスイスの管轄当局）によって個人データに対して十分な保護レベルを提供していると認められていない国を意味します（該当する場合、GDPR、UK GDPR、またはFADPに記載されているとおり）。
英国補遺 英国情報コミッショナーが発行したEU委員会標準契約条項への国際データ移転補遺を意味し, 2022年3月21日に発効します.
UK GDPR 2018年欧州連合（離脱）法第3条に基づき英国法の一部を構成するGDPRを意味します.
1. データ処理
1.1 範囲と役割. 本DPAは、MAPSLYが顧客データを処理する場合に適用されます。この文脈において、MAPSLYは顧客に対する処理者として行動し、顧客は顧客データの管理者または処理者のいずれかとして行動できます。
1.2 顧客コントロール. お客様は、適用されるデータ保護法に基づく義務（データ主体からの要求に対応する義務を含みます）を履行するために、サービスコントロールを利用できます。処理の性質を考慮し、お客様は、標準契約条項に基づいて移転されたお客様データが不正確または古くなっていることをMAPSLYが認識する可能性は低いことに同意します。それでもなお、標準契約条項に基づいて移転されたお客様データが不正確または古くなっていることをMAPSLYが認識した場合、MAPSLYは不当な遅延なくお客様に通知します。MAPSLYは、お客様がサービスコントロールを使用してお客様データを消去または訂正できるようにすることで、標準契約条項に基づいて移転された不正確または古くなったお客様データの消去または訂正についてお客様に協力します。
1.3 データ処理の詳細.
1.3.1 対象事項. 本DPAに基づくデータ処理の対象は顧客データです.
1.3.2 期間. 処理は本契約の期間中およびその後第11条に従って顧客データを返却, 削除, または合法的に保持するために必要な限定された期間にわたり継続します.
1.3.3 目的. 本DPAに基づくデータ処理の目的は、随時お客様が開始するサービスの提供です。
1.3.4 処理の性質. コンピューティング、ストレージ、ジオコーディング、ルーティング、Customerの接続システムとの同期、およびDocumentationに記載され、Customerが随時開始するその他のServices（CustomerがServicesのAIベースの機能を使用する場合、CustomerにServicesを提供することのみを目的としてSub-processorsとして関与するAIモデルプロバイダーによる処理を含む）。MAPSLYは、一般化された人工知能または機械学習モデルのトレーニングにCustomer Dataを使用しません。
1.3.5 顧客データの種類. お客様のMAPSLYアカウントの下で本サービスにアップロードされる、または本サービス内で生成されるお客様データ。これには、連絡先およびCRMレコード、住所およびその他の位置データ（お客様が位置追跡、チェックイン、または同様の機能を有効にしている場合のエンドユーザーの正確な地理位置情報を含む）、写真、メモ、フォーム回答、音声録音および文字起こし（お客様が音声機能またはAIベースの機能を使用する場合）、ならびに自動化およびアクティビティデータが含まれる場合があります。
1.3.6 データ主体のカテゴリー. データ主体には、お客様の顧客、見込み客およびリード、従業員、サプライヤー、エンドユーザーが含まれる場合があります。
1.4 法令の遵守. 各当事者は、本DPAの履行において自己に適用され、自己を拘束するすべての法律、規則および規制を遵守します, 適用されるデータ保護法を含みます.
1.5 管理者としてのMapsly. お客様は、Mapsly が、お客様のエンドユーザーに関する特定の情報 — アカウント、認証、請求、サポート、および利用状況に関する情報など — を、MAPSLY プライバシーポリシー（現在の掲載先：, https://mapsly.com/privacy-policy). Mapsly が当該情報の処理の目的および手段を決定する範囲において, Mapsly は当該情報の独立した Controller として行動し, MAPSLY Privacy Policy および Applicable Data Protection Law に従って当該情報を処理します; 当該情報は本 DPA に基づいて処理される Customer Data ではありません. Mapsly は, 請求, アカウント管理, テクニカルサポート, 製品開発など, Services の運営, サポート, 改善に関連する正当な事業目的のために, 当該情報を社内およびサービスプロバイダーに開示することがあります.
2. 顧客の指示
The parties agree that this DPA and the Agreement (including Customer providing instructions via configuration tools such as the MAPSLY Setup console and APIs made available by MAPSLY for the Services) constitute Customer’s documented instructions regarding MAPSLY’s processing of Customer Data (“Documented Instructions”). MAPSLY will process Customer Data only in accordance with Documented Instructions (which if Customer is acting as a Processor, could be based on the instructions of its Controllers). Additional instructions outside the scope of the Documented Instructions (if any) require prior written agreement between MAPSLY and Customer, including agreement on any additional fees payable by Customer to MAPSLY for carrying out such instructions. Where an additional instruction is required for Customer’s compliance with Applicable Data Protection Law and the parties are unable, within thirty (30) days, to reasonably agree on its implementation and any applicable fees, Customer may terminate the affected Services by written notice, and MAPSLY will refund Customer the prepaid fees prorated for the unused portion of the then-current Billing Period for the terminated Services. Taking into account the nature of the processing, Customer agrees that it is unlikely MAPSLY can form an opinion on whether Documented Instructions infringe Applicable Data Protection Law. If MAPSLY forms such an opinion, it will immediately inform Customer, in which case, Customer is entitled to withdraw or modify its Documented Instructions.
3. 顧客データの機密性
MAPSLYは、いかなるお客様データにもアクセスもしくは使用せず、または第三者に開示しません。ただし、いずれの場合も、本サービスの維持もしくは提供に必要な場合、または法律もしくは政府機関の有効かつ拘束力のある命令（召喚状や裁判所命令など）を遵守するために必要な場合を除きます。政府機関がMAPSLYにお客様データの要求を送付した場合、MAPSLYは、当該政府機関に対し、そのデータをお客様から直接要求するよう促すよう努めます。この取り組みの一環として、MAPSLYはお客様の基本的な連絡先情報を政府機関に提供する場合があります。政府機関に対してお客様データの開示を強制された場合、MAPSLYは、お客様が保護命令またはその他の適切な救済を求めることができるよう、MAPSLYが法的に禁止されていない限り、当該要求についてお客様に合理的な通知を行います。
4. MAPSLY担当者の秘密保持義務
MAPSLYは、MAPSLYの承認なしにその担当者が顧客データを処理することを制限します. MAPSLYは、その担当者に適切な契約上の義務を課します, これには、機密保持、データ保護およびデータセキュリティに関する関連義務が含まれます.
5. データ処理のセキュリティ
5.1 MAPSLYは、顧客データのセキュリティおよび機密性を確保するために適切な技術的および組織的措置を実施しており、今後も維持します。これは、本DPAの付属書A（技術的および組織的措置）に記載され、かつ本DPAおよびMAPSLYプライバシーポリシー内に記載されたMapslyのセキュリティ基準に従うものです。MAPSLYは、付属書Aに記載された措置を随時更新することができます。ただし、いかなる更新もサービス全体のセキュリティを実質的に低下させないことを条件とします。
5.2 お客様の責任およびオプションのセキュリティ機能. MAPSLYは、顧客データのセキュリティをさらに強化するためにお客様が使用を選択できる多数のサービス管理機能を提供します。お客様は、(a) アカウント認証情報の保護を含む、本サービスの安全な使用、(b) 本サービスへの送信中および本サービスからの送信中における顧客データのセキュリティ保護、(c) 本サービスにアップロードされた顧客データを安全に暗号化またはバックアップするための適切な措置の実施、(d) 本サービスおよびサービス管理機能の適切な設定、ならびに (e) 顧客データのセキュリティ、保護、および削除を確保するためにお客様が適切と考えるその他の措置の実施について責任を負います。
5.3 セキュリティインシデントの通知.
5.3.1 セキュリティインシデント. MAPSLYは、(a) セキュリティインシデントを認識した後、不当な遅延なくお客様にセキュリティインシデントを通知し、(b) セキュリティインシデントから生じるあらゆる悪影響を軽減するための措置を含め、セキュリティインシデントに対処するための適切な措置を講じます。
5.3.2 MAPSLY サポート. お客様が監督当局またはデータ主体（該当する場合）にセキュリティインシデントを通知できるようにするため、MAPSLYは、お客様に開示できるセキュリティインシデントに関する情報を通知に含めることにより、お客様に協力し支援します。その際、処理の性質、MAPSLYが入手可能な情報、および機密性など情報開示に関する制限を考慮します。処理の性質を考慮し、お客様は、セキュリティインシデントの起こり得る影響を判断するのに自らが最も適していることに同意します。
5.3.3 不成功に終わったセキュリティインシデント. お客様は以下に同意します:
- 不成功に終わったセキュリティインシデントは、本第5.3条の対象とはなりません。不成功に終わったセキュリティインシデントとは、顧客データ、または顧客データを保存するMAPSLYの機器もしくは施設への不正アクセスをもたらさないものをいい、これには、ファイアウォールまたはエッジサーバーに対するpingおよびその他のブロードキャスト攻撃、ポートスキャン、失敗したログオン試行、サービス拒否攻撃、パケットスニッフィング（またはヘッダーを超えるアクセスに至らないトラフィックデータへのその他の不正アクセス）または類似のインシデントが含まれる場合がありますが、これらに限定されません; および,
- 本第5.3項に基づくセキュリティインシデントの報告または対応に関するMAPSLYの義務は、当該セキュリティインシデントに関するMAPSLYの過失または責任をMAPSLYが認めたものではなく、またそのように解釈されるものではありません。
5.3.4 コミュニケーション. セキュリティインシデントの通知（該当する場合）は、メールを含む、MAPSLY が選択する任意の手段により、お客様の1名以上の管理者に送付されます。お客様の管理者が MAPSLY Setup コンソールで正確な連絡先情報を維持し、常に安全な送信を確保することは、お客様の単独の責任です。
5.3.5 通知義務. MAPSLYがセキュリティインシデントについてお客様に通知した場合、またはお客様が、顧客データの偶発的もしくは違法な破壊、損失、改変、不正な開示、もしくは不正なアクセスをその他の方法で認識した場合、お客様は、(a) 適用されるデータ保護法に基づき、結果として通知義務またはその他の義務が発生するかどうかを判断し、(b) それらの義務を遵守するために必要な措置を講じる責任を負います。これは、本第5.3条に基づくMAPSLYの義務を制限するものではありません。
6. 再委託処理
6.1 承認済みサブプロセッサ. お客様は、本条に従い、お客様に代わってお客様データに対する処理活動を提供するためにMAPSLYがサブプロセッサーを使用することについて、一般的な承認を与えます (“サブプロセッサー”). MAPSLYのウェブサイト (現在掲載先, https://mapsly.com/sub-processors/) MAPSLY が現在起用しているサブプロセッサーを一覧表示します。MAPSLY がサブプロセッサーを起用する少なくとも30日前に、MAPSLY は該当するウェブサイトを更新し、その更新の通知をお客様が受け取るための仕組みを提供します。サブプロセッサーに異議を申し立てるには、お客様は次のいずれかを行うことができます: (i) MAPSLY が当該サブプロセッサーを起用した MAPSLY サービスの機能の使用を停止する、または (ii) その条件に従って本契約を解除する。お客様がデータ保護に関連する合理的な理由に基づき新しいサブプロセッサーに異議を申し立て、当事者が三十 (30) 日以内に当該異議を解決できない場合、お客様は書面による通知により、影響を受けるサービスに関して本契約を解除することができ、MAPSLY は解除の効力発生日後のその時点で有効な請求期間の未使用部分について、前払い料金を日割りでお客様に返金します。影響を受ける機能をサービスの残りの部分から合理的に分離できない場合、お客様は同じ条件で本契約全体を解除することができます。
6.2 サブプロセッサーの義務. MAPSLYが第6.1項に記載されているとおりサブプロセッサーを承認する場合:
- MAPSLYは、サブプロセッサによる顧客データへのアクセスを、ドキュメントに従ってサービスを提供または維持するために必要な範囲にのみ制限し、MAPSLYは、サブプロセッサがその他の目的で顧客データにアクセスすることを禁止します;
- MAPSLYはサブプロセッサーとの間で書面による契約を締結し, サブプロセッサーが本DPAに基づきMAPSLYが提供するものと同じデータ処理サービスを行う範囲において, MAPSLYはサブプロセッサーに対し本DPAに基づきMAPSLYが負うものと同じ契約上の義務を課します; および,
- MAPSLYは、本DPAに基づく義務の遵守、およびMAPSLYが本DPAに基づくMAPSLYの義務のいずれかに違反する原因となるSub-processorの作為または不作為について、引き続き責任を負います。
7. データ主体のリクエストに関するMAPSLYの支援
処理の性質を考慮し、サービス管理は、MAPSLYが、適用されるデータ保護法に基づくデータ主体の要求に対応するという顧客の義務の履行を支援するための技術的および組織的措置です。データ主体がMAPSLYに要求を行った場合、MAPSLYは、その要求が顧客の責任対象であるデータ主体からのものであると特定した後、当該要求を速やかに顧客に転送します。顧客は、顧客自身を代理して、また顧客が処理者として行動する場合にはその管理者を代理して、MAPSLYに要求を行うデータ主体に対し、MAPSLYが当該要求を顧客に転送したことを確認するために、MAPSLYが回答することを承認します。両当事者は、顧客によるサービス管理の利用および本セクションに従ったMAPSLYによるデータ主体の要求の顧客への転送が、顧客に求められる支援の範囲および程度を示すものであることに同意します。
8. コンプライアンス検証
8.1 MAPSLY 監査. MAPSLYは、そのセキュリティ対策の妥当性を検証するために外部監査人を使用します。本監査: (a) 少なくとも年1回実施されます; (b) 広く認められた基準（SOC 2 Type IIなど）に従って実施されます; (c) MAPSLYが選定し、その費用負担で、独立した第三者のセキュリティ専門家によって実施されます; および (d) 監査報告書（“報告書”）の作成につながり、これはMAPSLYの機密情報となります.
8.2 監査レポート. お客様の書面による要請に応じて, かつ当事者間で適用されるNDAが締結されていることを条件として, MAPSLYはお客様が本DPAに基づくMAPSLYの義務の遵守を合理的に確認できるよう報告書のコピーをお客様に提供します.
8.3 プライバシー影響評価および事前協議. 処理の性質およびMAPSLYが利用可能な情報を考慮し、MAPSLYは、本第8条に基づきMAPSLYが提供する情報を提供することにより、データ保護影響評価および事前協議に関するお客様の義務の遵守においてお客様を支援します。
9. 個人データの移転
9.1 ロケーション. MAPSLYは、米国内のMAPSLYネットワーク内で顧客データを保存および処理します。MAPSLYの担当者および再委託先は、サービスの提供、維持、およびサポートに必要な範囲に限り、業務を行う他の国から顧客データにリモートでアクセスすることができます；このようなアクセスは、本第9条に準拠するデータ移転を構成します。MAPSLYは、顧客が開始したサービスを提供するために必要な場合、または法律もしくは政府機関の有効かつ拘束力のある命令を遵守するために必要な場合を除き、EEA、英国、スイス、および米国外に顧客データをその他の方法で移転しません。
9.2 標準契約条項の適用. 第9.3項に従い、標準契約条項は、GDPR、UK GDPR、またはFADPの適用を受け、直接または再移転により、第三国に移転される顧客データ（それぞれを“データ移転”といいます）にのみ適用されます。
9.2.1 お客様が管理者として行動する場合、管理者対処理者条項がデータ移転に適用されます。
9.2.2 顧客が処理者として行動する場合、処理者間条項がデータ移転に適用されます。処理の性質を考慮すると、顧客は、MAPSLYが顧客の管理者の身元を知る可能性は低いことに同意します。これは、MAPSLYが顧客の管理者と直接の関係を有していないためであり、したがって、顧客は処理者間条項に基づくMAPSLYの顧客の管理者に対する義務を履行します。
9.2.3 UK GDPRの対象となるデータ転送については, UK補遺によって補足された標準契約条項が適用され, 第9.4.項に定めるとおりに記入されます.,
9.2.4 FADPの対象となるデータ移転については、標準契約条項が次の適応を伴って適用されます: (i) GDPRへの言及はFADPへの言及として読み替えられます; (ii) 所轄の監督機関はスイス連邦データ保護・情報コミッショナーです; (iii) “加盟国”という用語はスイスを含むものと解釈され、これによりスイスのデータ主体は通常の居住地で自身の権利を行使できます; and (iv) EU法への言及は、移転がFADPのみに従う場合、スイス法への言及として読み替えられます。
9.3 代替移転メカニズム. MAPSLYが、適用されるデータ保護法の下で認められる有効な代替移転メカニズムを採用している範囲において — EU-U.S. Data Privacy Framework、EU-U.S. Data Privacy FrameworkのUK Extension、およびSwiss-U.S. Data Privacy Frameworkに基づくMAPSLYの認証を含む — 当該メカニズムは、有効であり続ける限り、標準契約条項に代わってデータ移転に適用されます。当該代替メカニズムが無効化、停止、撤回された場合、またはその他の理由でデータ移転の合法的根拠を提供しなくなった場合、標準契約条項（第9.4条で記入されたもの）は、いずれの当事者による追加の措置もなく、当該データ移転に自動的に適用されます。MAPSLYは、データ移転についてData Privacy Frameworkに依拠する限り、Data Privacy Framework認証を維持します。
9.4 標準契約条項の補完. For each Data Transfer to which the Standard Contractual Clauses apply, the Standard Contractual Clauses are deemed completed as follows: (i) Module Two (transfer controller to processor) applies where Customer acts as a Controller, and Module Three (transfer processor to processor) applies where Customer acts as a Processor; (ii) in Clause 7, the optional docking clause does not apply; (iii) in Clause 9, Option 2 (general written authorisation) applies, and the time period for prior notice of Sub-processor changes is thirty (30) days, in accordance with Section 6.1; (iv) in Clause 11, the optional language does not apply; (v) in Clauses 17 and 18, the governing law and the competent courts are those of Ireland; and (vi) Annex I of the Standard Contractual Clauses is deemed completed with the information set out in Annex B to this DPA, Annex II is deemed completed with Annex A to this DPA, and Annex III is deemed completed with the Sub-processor list referenced in Section 6.1. Where the UK Addendum applies: Table 1 is deemed completed with the parties’ details under the Agreement; Table 2 with the Standard Contractual Clauses as completed above; Table 3 with the Annex information above; and, for Table 4, neither party may end the UK Addendum as set out in Section 19 of the UK Addendum.
10. DPAの終了
本DPAは、本契約の終了（「終了日」）まで有効に存続します。
11. 顧客データの削除
本契約の解除または期間満了時に、MAPSLYはお客様の要求に応じて、アクティブシステムから顧客データを削除し、いかなる場合でも解除後90日以内に削除します。ただし、適用法によりMAPSLYが顧客データの一部または全部を保持することを義務付けられている場合を除き、その場合、MAPSLYは当該データを安全に隔離し、それ以上の処理から保護し、適用される保持期間に従って削除します。バックアップシステムに保持されている顧客データは、アクティブシステムからの削除後、MAPSLYのバックアップローテーションサイクルの通常の過程で削除または上書きされ、削除されるまでそれ以上の処理から保護されます。
12. 通知義務
MAPSLYによる処理中に、破産手続きもしくは倒産手続き、または第三者による同様の措置において顧客データが没収の対象となった場合、MAPSLYは不当な遅延なく顧客に通知します。MAPSLYは、不当な遅延なく、当該措置におけるすべての関係当事者（例えば、債権者、破産管財人）に対し、それらの手続きの対象となる顧客データは顧客の財産であり責任範囲に属すること、および顧客データは顧客の単独の処分権に属することを通知します。
13. 完全合意; 矛盾; 修正
本DPAは、標準契約条項を参照により組み込みます。本DPAにより修正される場合を除き、本契約は引き続き完全に有効に存続します。顧客データの処理に関して、標準契約条項、本DPA、および本契約の間に矛盾がある場合、標準契約条項が第一に優先し、本DPAが第二に優先し、本契約が第三に優先します。その他すべての事項については、本契約が優先します。本書のいかなる内容も、標準契約条項を変更または修正するものではありません。本DPAは、本契約の第14.1条に従って修正することができます。ただし、MAPSLYは、本DPAに基づいて顧客データに付与される保護を実質的に低下させる修正について、事前に顧客へ通知するものとします。
14. Google Workspace API データ
Workspace APIs から受け取った未加工または派生のユーザーデータの使用は、Limited Use 要件を含む Google ユーザーデータ ポリシーに従います。
付属書 A — 技術的および組織的措置
MAPSLY は、お客様データを保護するために、以下の技術的および組織的措置を維持します。MAPSLY は、サービス全体のセキュリティを実質的に低下させないことを条件として、これらの措置を随時更新することがあります。
- ホスティングとレジリエンス: サービスは米国の Amazon Web Services 上で複数のアベイラビリティゾーンにわたってホストされています; バックアップは毎日取得され、別のアベイラビリティゾーンに保存されます; バックアップの復元は少なくとも年に1回テストされます.
- 暗号化: 顧客データは、業界標準の暗号化プロトコルを使用して、保存時および転送中に暗号化されます.
- アクセス制御: 本番システムへのアクセスはロールベースで、最小権限の原則に基づき権限を付与された担当者に限定され、ロールの変更または退職時には速やかに取り消され、定期的に見直されます。
- 認証: シングルサインオンと多要素認証がサポートされています。
- セキュア開発: コードレビュー、および開発、テスト、本番環境の分離を含む、文書化されたセキュア開発プラクティス。
- 脆弱性管理: 定期的な脆弱性スキャン、および独立した第三者による少なくとも年1回のペネトレーションテスト, 文書化された重大度ベースの期限に従った修正対応.
- ログ記録と監視: セキュリティ関連イベントは記録、保持、監視されます.
- 従業員: 従業員は守秘義務を負い、セキュリティ意識向上トレーニングを受けています.
- インシデント対応: 文書化されたインシデント対応計画が維持されています; セキュリティインシデントは第5.3.項に従って処理されます.
- 事業継続: 文書化された事業継続計画および災害復旧計画が維持されています。
- ガバナンス: 文書化された情報セキュリティポリシー群が維持され、定期的にレビューされます; 担当者は適用されるポリシーに同意します.
- 独立した保証: セキュリティ管理策は、広く認知された基準（現在は SOC 2 Type II）に基づき、独立した第三者によって少なくとも年1回監査されます。
付属書B — 標準契約条項情報
標準契約条項の付属書Iの目的上、各データ移転には以下の情報が適用されます:
- データ輸出者: 顧客 (顧客のMAPSLYアカウントおよび契約で提供された氏名, 住所, 連絡先情報), 第9.2項に記載されているとおり, データ管理者として, またはそのデータ管理者に代わるデータ処理者として行動します. 連絡先: 記録上の顧客の管理者連絡先.
- データインポーター: Mapsly LLC, 440 N Barranca Ave #4985, Covina, CA 91723, USA; [email protected]; 処理者として行動します.
- 署名および日付: 各当事者は, 契約の承諾または締結をもって, その附属書を含む標準契約条項に署名したものとみなされ, 契約の発効日から効力を有します.
- データ主体のカテゴリー: セクション1.3.6.に記載のとおり.
- 個人データのカテゴリー: セクション1.3.5.に記載のとおり.
- 機微データ: 本サービスは、特別なカテゴリーの個人データを必要とするように特別に設計されているものではありません。お客様が当該データを提出することを選択する範囲において、お客様はその際に適用されるデータ保護法を遵守する責任を負い、当該データはお客様の文書化された指示に従ってのみ処理され、別紙 A. に記載された措置によって保護されます,
- 移転の頻度: 継続的, 第1.3.2項に記載された期間中.
- 処理の性質および目的: セクション1.3.3および1.3.4に記載のとおり。サブプロセッサーへの移転: セクション6に記載のとおり、同じ期間。
- 保持期間: セクション11に記載のとおり.
- 管轄監督機関 (第13条): データ輸出者がEEA加盟国に設立されている場合、当該加盟国の監督機関；データ輸出者がEEAに設立されていないが、GDPRの地域的適用範囲に該当し、EU代理人を任命している場合、当該代理人が設立されている加盟国の監督機関；データ輸出者が第3条(2)に基づきGDPRの地域的適用範囲に該当するが、EU代理人を任命していない場合、移転される個人データのデータ主体が所在する加盟国のいずれかの監督機関。UK GDPRの対象となるデータ移転については、英国情報コミッショナー事務局；FADPの対象となるデータ移転については、スイス連邦データ保護・情報コミッショナー。