この翻訳は便宜のために提供するものです。内容に相違がある場合は、英語版が優先します。

データ処理契約

最終更新日：2026年10月27日

本データ処理契約（以下「本DPA」）は、DIZZUS GmbH（以下「処理者」または「当社」）と、ConvertFly.io（以下「本サービス」）を利用するお客様（以下「管理者」）との間の利用規約の一部を構成します。本DPAは、スイス連邦データ保護法（nFADP/nLPD）および、該当する場合にはEU一般データ保護規則（GDPR）に従い、処理者が管理者に代わって行う個人データの処理について定めるものです。

1. 定義

• 個人データ：nFADP第5条およびGDPR第4条第1項に定義される、識別されたまたは識別可能な自然人に関するあらゆるデータ。
• 処理：個人データに対して行われるあらゆる操作（収集、保存、利用、移転、削除）。
• 復処理者：管理者に代わって個人データを処理するために、処理者が委託する第三者。

2. 範囲および目的

処理者は、利用規約に記載されたファイル変換サービスを提供する目的のためにのみ、個人データを処理します。処理には以下が含まれます。

• 管理者またはそのエンドユーザーがアップロードしたファイルの受領および一時保存。
• 自動処理エンジンを用いた形式間でのファイルの変換。
• ダウンロードのための変換結果の一時保存。
• 変換ログの保持（メタデータのみで、ファイルの内容は含みません）。

3. 個人データの種類

変換のために提出されたファイルには、個人データが含まれる場合があります。その種類は管理者の利用形態によって異なり、以下を含むことがあります。

• 氏名、連絡先、識別番号。
• スプレッドシートや文書に含まれる財務データ。
• 顔や個人情報を含む画像。
• アップロードされたファイルに含まれるその他のあらゆる個人データ。

処理者は、変換ソフトウェアによって、変換の目的に限りファイルの内容を自動的に処理します。それ以外の目的には使用せず、開示もしません。

4. 処理者の義務

処理者は、以下を行うものとします。

• 管理者からの文書化された指示（すなわち、要求された変換の実行）に基づいてのみ個人データを処理すること。
• 個人データの処理を許可された者が守秘義務を負うことを確保すること。
• 適切な技術的および組織的なセキュリティ措置を講じること（第7条参照）。
• 管理者の承認を得た場合にのみ復処理者に委託すること（第6条参照）。
• データ主体からの請求への対応について管理者を支援すること。
• 法律により保存が義務付けられる場合を除き、本サービスの終了時にすべての個人データを削除すること。
• 遵守を証明するために必要なすべての情報を提供し、監査を受け入れること。

5. 管理者の義務

管理者は、以下を行うものとします。

• 本サービスを通じて個人データを処理するための法的根拠を有することを確保すること。
• 本サービスの利用について、データ主体に必要な通知を行うこと。
• 適切な保護措置が講じられている場合を除き、提出するファイルに特別な種類のデータ（GDPR第9条）が含まれないことを確保すること。

6. 復処理者

管理者は、処理者が以下の復処理者に委託することについて、包括的な承認を与えます。処理者は、復処理者の変更について、少なくとも30日前までに管理者に通知します。

スイス／EEA域外への移転については、処理者は適切な保護措置（標準契約条項または十分性認定）が講じられていることを確保します。

7. セキュリティ措置

処理者は、以下の技術的および組織的措置を講じています。

• 転送時の暗号化：すべての通信にTLS 1.2以上を使用。
• 保存時の暗号化：ファイルはDizzusが運用するストレージ上の暗号化されたボリュームに保存。
• アクセス制御：APIキーによる認証、セッション管理、ロールベースのアクセス制御。
• ワーカーのセキュリティ：APIと変換ワーカー間のリクエストをHMAC-SHA256で署名。
• データの最小化：インポートファイルは変換直後に削除し、出力ファイルは24時間後に削除。
• 監視：自動ヘルスチェックおよびログの一元管理。
• ネットワークセキュリティ：変換ワーカーをプライベートネットワーク（WireGuardメッシュ）上で分離し、TLSの終端とレート制限をエッジで実施。

8. データ侵害の通知

処理者は、個人データの侵害を認識した後、不当な遅滞なく（いかなる場合も72時間以内に）管理者に通知するものとします。通知には、侵害の性質、影響を受けるデータ主体の種類とおおよその人数、予想される結果、および侵害に対処するために講じた措置を含めるものとします。

9. データ主体からの請求

処理者は、データ主体からの請求（アクセス、訂正、消去、ポータビリティ、処理の制限、異議）への対応について、速やかに管理者を支援するものとします。ファイル処理は自動的かつ一時的なものであるため、データ主体からの請求の多くは、24時間でファイルを削除する方針により自動的に満たされます。

10. 監査

管理者は、処理者による本DPAの遵守状況を監査することができます。監査は、合理的な事前通知（少なくとも30日前）のうえ、通常の営業時間内に実施するものとします。処理者は、標準的な文書の提供を超える監査支援について、合理的な費用を請求することができます。

11. 期間および終了

本DPAは、本サービスに関する契約の期間中有効です。終了時には、スイス法またはEU法により保存が義務付けられる場合を除き、処理者は30日以内にすべての個人データを削除するものとします。処理者は、請求に応じて削除の書面による確認を提供します。

12. 準拠法

本DPAはスイス法に準拠します。強行法規に別段の定めがある場合を除き、スイス・ツークの裁判所が専属管轄権を有するものとします。

13. お問い合わせ

DPAに関するお問い合わせ先：
DIZZUS GmbH
Chamerstrasse 172, 6300 Zug, Switzerland
UID CHE-469.903.322
お問い合わせ： convertfly.io/contact
メール： メールアドレスを表示