1. 当事者
本契約は、Kwamle Media（データ処理者、以下「処理者」）と、kwamlemedia.com / app.kwamlemedia.com プラットフォームをご利用のお客様（データ管理者、以下「管理者」）との間で締結されます。
2. 定義
- 「個人データ」：識別可能な自然人に関するあらゆる情報を指します。
- 「処理」：個人データに対して行われるあらゆる操作（収集、保存、利用、移転、削除）を指します。
- 「GDPR」：EU一般データ保護規則（規則2016/679）を指します。
- 「CCPA」：カリフォルニア州消費者プライバシー法を指します。
- 「サブプロセッサー」：Kwamle Mediaに代わってデータを処理するあらゆる第三者を指します。
3. 処理の範囲
Kwamle Mediaは、以下の目的のために個人データを処理します。
- マーケティングオートメーションサービスおよびスマートボットの運用。
- Metaページおよびアカウントの管理、お客様のオーディエンスとのやり取り。
- 分析と統計の生成。
- お客様の設定に基づくAI呼び出しの実行。
データには、氏名、電話番号、メールアドレス、Facebook/Instagramの識別子、メッセージ内容、コメントが含まれます。
4. 処理者としてのKwamle Mediaの義務
- お客様の文書による指示に基づいてのみデータを処理します。
- データにアクセスするすべてのスタッフに機密保持を徹底させます。
- 適切なセキュリティ対策を講じます（GDPR第32条）。
- データ主体からの請求への対応を支援します。
- データ侵害が発生した場合、72時間以内にお客様へ通知します。
- お客様の同意なくサブプロセッサーを利用しません。
- サービス終了時にお客様のデータを削除または返却します。
5. セキュリティ対策
- 転送中（TLS）および保存中のデータの暗号化。
- ロールベースのアクセス制御（RBAC）と最小権限の原則。
- お客様データへのアクセスの監査ログ。
- 定期的な脆弱性スキャンとセキュリティテスト。
- 本番システムにおけるスタッフの二要素認証。
- 本番システムとは別に保存される暗号化バックアップ。
- 脆弱性管理プログラムと迅速なセキュリティ更新。
6. サブプロセッサー
当社は以下のカテゴリのサブプロセッサーを利用しています。現在のサブプロセッサー一覧（各事業者の所在地を含む）は、契約締結前にお客様に共有し、ご要望に応じて提供しています。変更があった場合はお客様に通知します。
| カテゴリ | 目的 | 備考 |
|---|---|---|
| ホスティングとインフラ | サーバー、データベース、ストレージ、バックアップ | 現在のリストに記載 |
| コンテンツ配信とネットワーク保護 | CDN、DNS、DDoS対策 | グローバルエッジネットワーク |
| AIモデルプロバイダー | AI機能（お客様自身のAPIキーを使用） | お客様が選択して有効化 |
| 決済代行会社 | サブスクリプション請求 | カード情報が当社のサーバーに送られることはありません |
| メール配信 | トランザクションメール（通知、請求書） | 現在のリストに記載 |
お客様は、通知を受けてから30日以内であれば、新しいサブプロセッサーの追加に異議を申し立てることができます。
7. 国際データ移転
欧州経済領域外へデータを移転する場合、当社は以下に依拠します。
- 2021年標準契約条項（SCC）。
- 欧州委員会が承認した国に対する十分性認定。
- 必要な場合には移転影響評価。
8. データ侵害
侵害が検出された場合：
- インシデントの詳細とともに72時間以内にお客様へ通知します。
- 原因、範囲、実施した対応に関する包括的な報告書を提供します。
- 対応および規制当局への報告に全面的に協力します。
9. 監査の権利
お客様には以下の権利があります。
- 当社の技術的および組織的なセキュリティ対策の説明を要請すること。
- 30日前の予告をもって、自己負担で年次監査を実施すること。
- 合理的なセキュリティ質問票への回答を受け取ること。
10. サービス終了時のデータ削除
- 契約終了後、Kwamle Mediaは90日以内にすべての個人データを削除します。
- 請求記録は7年間保持されます（会計上の要件）。
- ご要望に応じて、削除前にお客様へデータのJSONまたはCSVコピーをお渡しします。