データ処理契約

1. 当事者

本データ処理契約（「DPA」）は、お客様（「データ管理者」）とアイルランドに登記されたYARDtwin Ltd（「データ処理者」）との間で締結されるものであり、両者を総称して「当事者」といいます。本DPAはYARDtwinの 利用規約の一部を構成し、これに従うものとします。

2. 範囲および目的

処理者は、YARDtwinヤード管理プラットフォームの提供のみを目的として、管理者に代わり個人データを処理します。対象業務は、ドックスケジューリング、ゲート管理、デジタルツインによるヤードの可視化、キャリア・ドライバー管理、GMP環境向けに構築された監査証跡、分析、および連携機能です。処理は、管理者のサブスクリプション期間および第11条が定める保持期間にわたって実施されます。

3. データ主体のカテゴリ

• データ管理者の従業員およびシステム管理担当者（プラットフォームの名義ユーザー）
• 管理者のゲートにてチェックインしたドライバーおよび物流担当者
• キャリアの担当者および配送連絡先
• ゲートセキュリティおよび倉庫オペレーター担当者

4. 個人データの種類

• 本人確認データ： 氏名、メールアドレス、電話番号、役職/職位、会社名および住所
• 認証データ： bcryptハッシュ化パスワード（12ラウンド）、JWTアクセストークンおよびリフレッシュトークン、セッションタイムスタンプ、IPアドレス、SSOの識別子（Google、Microsoft）
• 業務データ： 予約、ドック割り当て、トレーラー移動、検査記録、書類、タスク割り当て、車両登録情報
• ドライバーデータ： 免許証番号および免許証画像。ゲートスタッフはゲート証跡としてドライバーの顔写真を撮影する場合があります。サイトがAI顔照合を有効にした場合、当社のAIプロバイダー（Anthropic）がその写真を免許証写真またはドライバーの登録済み写真と1対1で照合し、スタッフによる本人確認を補助します。結果はあくまで参考情報であり、ゲートスタッフが最終判断を行います。照合で確認できなかった場合でも、理由を記入することでドライバーの通行を許可できます。各照合はその結果とともに当社サーバーに記録されます。顔照合が無効（デフォルト）の場合、顔写真はAIプロバイダーに送信されず、スタッフが目視でドライバーと免許証写真を照合します。AIによる読み取りが有効な場合、免許証画像は引き続きAIで読み取られます。YARDtwinは顔テンプレートを保存せず、1対多の識別は行いません。
• 監査データ： ユーザー操作、タイムスタンプ、IPアドレス、ユーザーエージェント文字列、変更前後の差分、GMPフラグ付きレコード

5. 処理者の義務

• 個人データは、管理者からの文書化された指示（プラットフォームのUIおよびAPIが文書化された指示を構成する）に基づいてのみ処理する
• データ処理を許可された者が秘密保持契約に拘束されることを確保する
• 適切な技術的・組織的セキュリティ対策を実施する（第32条）— 以下のセクション7を参照
• 第6条に記載されたサブプロセッサーのみを使用し、管理者は当該サブプロセッサーについて包括的な書面による承認を付与します。新たなサブプロセッサーについては少なくとも30日前に通知し、管理者はこれに異議を申し立てることができます（第6条）
• セクション9に記載のDSARエンドポイントを通じて、データ主体の請求（第15〜22条）に関して管理者を支援する
• 個人データ侵害を認識した場合は遅滞なく、いかなる場合も48時間以内に管理者へ通知します。管理者のデータに影響する確認済みのセキュリティインシデントについては、24時間以内に初期通知を行います（第8条）
• サービス終了時にすべての個人データを削除または返却する（セクション11）
• コンプライアンスの実証および監査のサポートに必要なすべての情報を提供する（セクション12）

6. サブプロセッサー

処理者は現在、以下のサブプロセッサーを利用しており、各社はデータ処理契約および（該当する場合）2021年版標準契約条項に基づいて業務を行っています：

管理者は、上記に記載されたサブプロセッサーに対して包括的な書面による承認を付与します。処理者は新たなサブプロセッサーについて少なくとも30日前に通知します。管理者は合理的な理由に基づき異議を申し立てることができ、異議が解決できない場合は、ペナルティなしで該当サービスを解約することができます。

ウェブサイト専用サービス（顧客の業務データなし）

これらは公開ウェブサイトのみで動作します。顧客の業務データは受信せず、そのサブプロセッサーではありません。Cookieを設定するものは同意がある場合のみ読み込まれます。

7. セキュリティ対策（第32条）

• 転送時の暗号化： すべてのエンドポイントでTLS 1.2以上を使用。証明書はMicrosoft Azure（DigiCert）が管理
• 保存時の暗号化： Azure Postgres Flexible Serverの透過的データ暗号化、Azure Blob Storage暗号化
• 運転免許証の画像と署名： 運転免許証の画像と署名は、Azure StorageおよびAzure Database for PostgreSQLによりAES-256で保存時に暗号化され（Microsoft管理キー）、アクセスはロールと組織によって制限されています
• パスワードハッシュ化： bcrypt、12ラウンド
• 認証： JWTアクセストークン（有効期限1時間）およびリフレッシュトークン（有効期限7日、使用のたびにローテーション、サインインから30日を超えて有効にはなりません）。シングルサインオン（SAML 2.0、Google、Microsoft）；時間ベースのワンタイムパスワードMFA（プラットフォーム管理者に必須、全ユーザーが利用可能）
• テナント分離： テナントスコーピングによりサーバーサイドで強制され、リリース前に自動テストが実施されます。リリースゲートのクロステナントスイープは、ある組織としてAPIを呼び出し、別の組織のレコードIDにアクセスを試みます。その組織のデータが読み取りまたは変更できる場合、リリースはブロックされます。
• ロールベースアクセス制御： 認証済みルートにおけるロールベースの権限管理、およびサーバーサイドで強制されるテナントスコーピング
• Webアプリケーションファイアウォール： 認証、サインアップ、パスワードリセット、およびデータ主体リクエストの各エンドポイントに対するカスタムレート制限ルールを備えたPreventionモードのAzure Front Door WAFに加え、プラットフォームレベルのL7 DDoS保護を適用。マネージドOWASPルールセットは適用されていません — これにはFront Door Premiumティアが必要です。
• レート制限： ルートごとの制限。認証エンドポイントはより厳格。インメモリおよび永続化された試行回数の追跡
• 監査証跡： 改ざん検知可能かつ追記専用（データベースで強制）。GMP 関連エントリは個別にフラグが立てられ、サービス契約の継続中は少なくとも7年間保持されます（契約終了時にデータ管理者へエクスポートされます。ただし、データ管理者が書面でエクスポートを辞退した場合、または合理的な試みを行っても連絡が取れない場合を除き、その後削除されます — 第11条）。その他のエントリは365日間保持。Art. 17(3)(b) に基づく Art. 17 の消去請求においては仮名化（削除ではない）。
• 継続的モニタリング： Azure Application Insights、10分ごとのウェブサイト可用性テスト、スキーマドリフトアラート（15分ウィンドウ）、5分間にサーバーエラー（HTTP 5xx）が10件を超えて発生した場合のアラート、および5分ごとに監査ログを確認するブリーチモニターワーカー（1アカウントに対して1時間に10件以上のログイン失敗、24時間以内に5つ以上のIPアドレスからの1アカウントへのサインイン試行、および過去30日間にそのユーザーで確認されていないIPアドレスからのログイン成功を検出）
• ソフトウェアサプライチェーン： すべてのプルリクエストは、マージ前にnpm audit（依存関係の脆弱性）、Semgrep（静的解析）、gitleaks（シークレットスキャン）に合格する必要があります。Trivyによるコンテナイメージスキャンは補助的なチェックとして実施されます。これらのチェックはmasterへのすべてのプッシュおよび毎夜実行され、本番サイトの補助的なOWASP ZAPベースラインスキャン（動的テスト）も併せて実施されます。シークレット管理：App ServiceマネージドIDを通じてアクセスするAzure Key Vault。コード、envファイル、コンテナイメージにシークレットは含まれません。

8. 個人データ侵害の通知

処理者は、管理者のデータに影響する個人データ侵害を認識した場合、遅滞なく、いかなる場合も48時間以内に管理者へ通知し、管理者のデータに影響する確認済みのセキュリティインシデントについては24時間以内に初期通知を行います。通知には、侵害の性質、影響を受けるデータ主体のカテゴリおよびおおよその人数、想定される影響、講じた措置または提案する措置、および侵害登録番号を含みます。検知された異常はAzure Monitor Action Group yardtwin-breach-actionsにルーティングされます。確認されたインシデントは侵害登録テーブルで管理され、72時間のDPCカウントダウンが開始されます。

9. データ主体の権利

処理者は、第12条第3項の30日期限内にデータ主体の権利を履行するため、管理者に以下のエンドポイントを提供します：

• POST /api/v1/dsar/export/by-email — 第15条（アクセス権）および第20条（データポータビリティ）に対応した機械可読形式のエクスポート
• POST /api/v1/dsar/erase/by-email — 確認済みの請求に基づく消去：選択された顧客アカウント内の本人のユーザーアカウントを匿名化し、本人のセッション、トークン、通知、保留中の招待、ニュースレターおよび登録の記録、本人のアバターを削除します。管理者が保有する業務記録（予約、ゲートおよび訪問の記録、ドライバー名簿、連絡先）は、管理者が対応できるよう一覧化されます。監査証跡はGMPの完全性のため、行為者への匿名化された参照を保持します（第17条第3項(b)）
• セルフサービスリクエストポータル： /data-request

10. 国際的なデータ移転

業務データは欧州経済領域内（Microsoft Azure、スウェーデン中部およびノルウェー東部）に保存されます。EEA外のサブプロセッサーへの各移転には標準契約条項（2021年版）が適用されます。受領者がEU-US Data Privacy Frameworkの認証を受けている場合は、それも根拠として援用されます。移転影響評価は現在実施中です（目標：2026年11月）。

11. 期間、終了およびデータの返還

本DPAはサービス契約の期間中有効です。契約終了時：

• 管理者は、製品内のエクスポート機能またはリクエストにより、30日以内にすべてのデータをエクスポートできます
• 30日経過後、処理者は管理者の運用個人データをすべて削除します
• サービス契約の有効期間中、監査ログは仮名化された状態で保持されます。GMP 関連のエントリは、GMP 記録保持要件（21 CFR Part 11 / EU GMP Annex 11；Art. 17(3)(b) 法的義務による上書き）を満たすため、事象発生後少なくとも7年間保持され、その他の監査エントリは365日間保持されます。契約終了時、データ管理者のデータが削除される前に、データ管理者は自身の記録保持期間のために、検証済みの受領証とともに監査証跡の完全なエクスポートを受け取ります（ただし、データ管理者が書面でエクスポートを辞退した場合、または合理的な試みを経ても連絡が取れない場合を除きます）。その後、データ処理者はデータ管理者のその他のデータとともに監査証跡を削除します。以下に記載するバックアップ（それ自身のスケジュールに従って期限切れになります）、および引き渡しに関するデータ処理者自身の記録（受領証、エクスポートのハッシュ値および件数、ならびに作成者および受領者の情報）を除き、監査証跡は、データ管理者がデータ処理者に対して書面により指示し、別途合意が締結された場合にのみ、引き続き保持されます。
• 業務データは契約終了後30日以内に削除されます。ポイントインタイムデータベースバックアップは7日以内に失効します。暗号化された月次アーカイブバックアップはディザスタリカバリ専用として最長7年間保持されます。サービスの復旧以外の目的では復元されず、バックアップ内のデータは実質使用不能であり、バックアップとともに失効します。
• 完全なデータベースバックアップが毎夜取得され、EEA内の別個の暗号化ストレージ（スウェーデン中部、スウェーデン南部にジオレプリケーション）に35日間保持されます。本番サービスから削除されたデータは、使用不可の状態でバックアップ内に残り、期限切れになるまで保持されます。

12. 監査権

処理者は、GDPR第28条への準拠を証明するために必要なすべての情報を管理者に提供します。お客様は以下を請求できます：現在のサブプロセッサー登録簿、最新のテナント分離回帰テストレポート、外部ペネトレーションテストの概要（テスト実施後、GDPRポリシー11.1参照）、およびベンダーセキュリティアンケートへの回答。少なくとも30日前の通知により、管理者または守秘義務を負う独立した第三者が行う合理的なオンサイトまたはリモート監査を手配することができます。処理者は現時点ではISO 27001認証およびSOC 2認証のいずれも取得していません。ISO 27001認証取得後（目標：2027年第1四半期）、処理者は代替証拠として証明書を提供します。

13. 責任および準拠法

本DPAに基づく責任は、YARDtwin の 利用規約に規定された制限に従います。本DPAはアイルランドの法律およびEU一般データ保護規則（GDPR）に準拠します。紛争はアイルランドの裁判所の専属管轄に服します。

14. お問い合わせ

本DPAに関するご質問、レビュー用コピーのご請求（副署済みの版は会社の登記完了後に発行されます）、または上記の権利の行使については、 admin@yardtwin.com またはデータ保護担当窓口（ dpo@yardtwin.com）宛にご連絡ください。こちらはYARDtwin Ltd.のデータ保護責任者が監視する役割メールボックスです。YARDtwin はGDPR第37条に基づく法定データ保護オフィサーを指定していません（同社の処理においては必須ではありません。GDPRポリシー11.2参照）。個人名の代わりに連絡先アドレスを公開しています。