データ処理契約（DPA）
最終更新日:
本契約はQRtimetrack利用規約の一部を構成し、規則（EU）2016/679（GDPR）第28条に基づき、すべてのお客様（雇用主）に自動的に適用されます。署名済みの写しが必要な場合はcontact@qrtimetrack.comまでご連絡ください。本書は翻訳です。翻訳とルーマニア語版または英語版との間に相違がある場合は、ルーマニア語版または英語版が優先します。
1. 当事者と役割
お客様（QRtimetrackを利用する雇用主）は、その従業員のデータの管理者です。NINE UNIT GROUP S.R.L., CUI 54549440, J2026027060009, București, Sector 1, Intrarea Gheorghe Simionescu nr. 19, ap. B26は処理者であり、本サービスを提供する目的でのみ、かつお客様の文書化された指示（アカウントの設定および本契約）に基づいてのみ、当該データを処理します。
2. 対象と期間
労働時間の記録：打刻（出勤、退勤、休憩）、打刻時の位置情報、自撮り（お客様が求める場合）、在席確認、休暇申請、タスク、社内チャットおよびお知らせ、レポートおよびデータ出力。処理は、お客様のアカウントが有効な期間に、下記の削除期間を加えた期間継続します。
3. データ主体とデータの種類
お客様の従業員および業務委託者、ならびに管理画面の利用者（マネージャー、管理者）。データ：氏名、電話番号／メールアドレス（任意）、職種、労働時間、打刻時のGPS位置情報、パソコンからの打刻時のIPアドレス、自撮り、パソコンの操作状況（有効な場合、アクティブ／アイドルのみ）、休暇申請、チャットメッセージおよびお知らせ（既読情報を含む）、タスクおよび添付写真。当社は生体データを処理しません。スマホのFace ID／指紋によるロック解除は従業員のスマホ上で行われ（パスキー）、当社が受け取るのは暗号署名のみです。顔認証は行いません。自撮りは打刻に添付される写真にすぎず、個人の識別を目的とした技術的処理は行われず、30日後に削除されます。
4. 当社の義務
当社は、本サービスを提供するためにのみデータを処理し、アクセス権を持つすべての者に守秘義務を課し、適切な技術的・組織的措置を講じ、お客様がデータ主体からの請求（アクセス、訂正、消去、データ出力）に対応できるよう支援し、個人データの侵害を認識した場合は不当に遅滞することなく、遅くとも48時間以内にお客様に通知し、法令遵守を証明するために必要な情報を提供し、指示がデータ保護法に違反する場合は直ちにお客様に通知し、データ保護影響評価（DPIA）、事前協議およびGDPR第32条～第36条に基づくお客様の義務の履行を支援します。侵害の通知には、その性質、関係する個人および記録の種類とおおよその数、予想される影響、ならびに講じた措置を記載します（GDPR第33条第3項）。当社は、処理者として処理活動の記録を保持します（GDPR第30条第2項）。
5. セキュリティ措置
暗号化通信（HTTPS／TLS）、欧州連合（フランクフルト）でホスティングされるデータベースおよびファイル、データベースのルールによる会社ごとの分離、ハッシュとしてのみ保存されるパスワード、担当拠点に限定されたマネージャーの権限、修正の監査ログ（誰が、いつ、なぜ）、30日後に自動削除される自撮り、14日間保存される日次バックアップ。
6. 再処理者
お客様は、以下の再処理者の利用を承認します：Supabase Inc.（データベースおよびファイル、EUリージョン – ドイツ・フランクフルト）、OVH SAS（アプリケーション専用サーバー、フランス・グラヴリーヌ – EU）、Resend Inc.（サービス関連メール、米国、標準契約条項）、Stripe Payments Europe Ltd.（決済、アイルランド、お客様の請求情報のみ）、ブラウザおよびスマホのプッシュ通知サービス（Apple、Google、Mozilla）。プッシュ通知サービスは通知を暗号化して配信し（Web Push規格）、購読の技術的なアドレスのみを受け取ります。Google Analyticsはウェブサイトでのみ、訪問者の同意がある場合に限り使用され、従業員のデータは一切受け取りません。当社は、各再処理者に対し、契約により本契約と同等のデータ保護義務を課し、再処理者についてお客様に対して引き続き責任を負います。再処理者を追加または変更する場合は、少なくとも30日前に通知します。お客様は異議を申し立て、費用負担なくアカウントを閉鎖することができます。
7. EU域外への移転
データベースおよびファイル（自撮りを含む）はEU域内のフランクフルトに保存されます。アプリケーションサーバーはEU域内にあります（OVH、フランス・グラヴリーヌ）。メール配信（Resend）は米国で行われ、連絡先データは欧州委員会の標準契約条項（決定2021/914）に基づき、通信中の暗号化を施したうえで同サービスを経由します。当社は移転影響評価を保持し、お客様の求めに応じて共有します。
8. お客様の義務
お客様は、処理の法的根拠（通常は労働時間を記録する法的義務および正当な利益）を定め、従業員に通知し（アプリは従業員が確認する通知を表示します）、任意の機能（自撮り、在席確認、パソコンの操作状況）を目的に照らして相応に設定し、必要な場合には従業員代表と協議します。
9. データの削除と返還
お客様はいつでもデータを出力できます（Excel、CSV、API）。アカウントを閉鎖する際、お客様はデータの返還（全データの出力）または削除を選択し、削除は30日以内に行われます。法律が労働時間の記録の保存を求める場合（例：スペインでは4年間）、お客様はアカウントを閉鎖する前にデータを出力し保管しなければなりません。当社が法律上保存を義務付けられているデータ（例：請求書）を除き、データは削除されます。バックアップの写しは、その後さらに14日以内に消去されます。
10. 監査
お客様からの書面による要請に応じて、当社のセキュリティ措置に関する情報を提供します。現地監査は、30日前の通知により、お客様の費用負担で、他のお客様の機密性を損なわない範囲で、年1回実施することができます。
11. 最終条項
本契約と利用規約との間に矛盾がある場合、データ保護に関する事項については本契約が優先します。ルーマニア法が適用されます。
プライバシーポリシー · 利用規約 · Cookieポリシー