個人情報取扱委託契約書

第1条（目的）

本契約は、甲が乙にストレスチェック実施支援業務を委託するにあたり、 甲が乙に提供する個人情報の適切な取扱いを確保することを目的とする。

第2条（定義）

1. 「個人情報」とは、個人情報保護法第2条第1項に定める個人情報をいう。
2. 「要配慮個人情報」とは、ストレスチェックの結果、高ストレス者判定結果、 面接指導に関する情報等、個人情報保護法第2条第3項に定める情報をいう。
3. 「委託業務」とは、以下の業務をいう。
   1. (1) ストレスチェック調査票のオンライン受検環境の提供
   2. (2) 回答データの集計・スコアリング
   3. (3) 集団分析結果の提供
   4. (4) 高ストレス者一覧の生成
   5. (5) 面接指導申出の管理機能の提供

第3条（個人情報の取扱い）

1. 乙は、委託業務の遂行に必要な範囲を超えて、個人情報を利用してはならない。
2. 乙は、甲の事前の書面による承諾なく、個人情報を第三者に提供してはならない。
3. 乙は、個人情報の漏洩、滅失又は毀損の防止のため、技術的及び組織的な安全管理措置を講ずる。

第4条（安全管理措置）

乙は、以下の安全管理措置を講ずる。

1. テナント分離によるデータの論理的隔離
2. 回答内容および領域・尺度ごとの得点の暗号化（AES-256-GCM）。高ストレス判定への該当有無は、面接指導対象者の選定に用いる検索のため暗号化せず、アクセス権限の限定により保護する
3. 通信の暗号化（TLS 1.2以上）
4. ロールベースアクセス制御（8種類の標準ロールに加え、甲が権限を定める独自ロールを作成可能）
5. 監査ログによる記録と保全（データを変更する操作、外部へ持ち出す操作、個人結果の閲覧、および乙のカスタマーサポートによる参照を対象とする。事業場内の利用者による一覧・集計の閲覧は対象外）
6. 乙のカスタマーサポート担当者による個人結果（回答内容・スコア・高ストレス判定）の閲覧を設計レベルで遮断（サポート用管理画面は集計値のみを表示）
7. 乙のサポート業務は外部ネットワークから隔離した区画で実施し、接続元の制限・担当者の限定・操作記録を行う

第5条（再委託）

1. 乙は、甲の事前の書面（電磁的方法を含む。以下同じ）による承諾なく、 委託業務の全部又は一部を第三者に再委託してはならない。
2. ただし、本サービスの提供に不可欠な以下のインフラストラクチャ提供者への再委託については、 甲は本契約の締結をもってこれを承諾する。
   • クラウドホスティング（Vercel Inc. ／ 米国）
   • データベース（Neon Inc. ／ 米国。個人情報の保管先）
   • 認証基盤（Amazon Web Services, Inc. ／ Amazon Cognito）
   • メール送信（Amazon Web Services, Inc. ／ Amazon SES・東京リージョン）
   • 決済処理（Stripe, Inc. ／ 米国。請求先情報のみを取り扱い、受検データは取り扱わない）
3. 乙は、前項の再委託先に対し、本契約に基づき乙が負うのと同等の義務を課す契約を締結し、 その取扱状況を定期的に確認するなど、再委託先を監督する責任を負う。
4. 乙は、前項の再委託先を変更し、又は追加しようとするときは、事前に甲へ通知する。 甲が合理的な理由により異議を述べた場合、両者は誠実に協議する。

第6条（監査）

1. 甲は、乙の個人情報の取扱いについて、合理的な範囲で監査を行うことができる。
2. 乙は、甲の監査に誠実に協力するものとする。
3. 甲は、監査の実施を希望する場合、30日前までに書面にて乙に通知する。

第7条（事故報告）

乙は、個人情報の漏洩、滅失、毀損等の事故が発生した場合、 直ちに甲に報告し、被害の拡大防止に努める。

第8条（契約終了時の措置）

1. 退会によるサービス利用契約の終了時点は、第3項又は第5項により甲のテナントを削除した時とする。 有料プランの解約のみによってはサービス利用契約は終了せず、乙は引き続き個人情報を保管する。
2. 甲又は甲から正当な権限を付与された利用者は、退会の申請前又は第3項の猶予期間中に、 本サービスの各出力機能の対象項目及びアクセス権限の範囲内でデータを取得することができる。 テナント単位のデータエクスポートには個人の回答内容及び個人結果を含まず、 個人結果の出力には所定の権限及び条件を要する。テナントの削除後は、データを取得することができない。
3. 甲は、本サービスの管理画面から退会を申請することにより、乙に個人情報の消去を指示することができる。 乙は、申請の受付から72時間の猶予期間を置き、猶予期間の経過後、日次の定期処理により 甲のテナントに保存された個人情報を消去する。処理量、外部サービスの障害又は削除条件の確認状況により、 消去を後続の処理に持ち越す場合がある。甲は、猶予期間中、いつでも申請を取り消すことができる。
4. 甲のテナントに、ストレスチェックの結果、面接指導の記録その他の保存確認の対象となる記録のうち 作成から5年以内のものが存在する場合、管理画面からの退会の申請は受け付けない。 ただし、甲が当該記録のすべてについて動作確認用のテストデータである旨を申告した場合は、この限りでない。 申請後に対象となる記録が追加又は変更された場合、乙は消去を保留する。 なお、本人の同意を得て事業者が提供を受けたストレスチェックの結果の記録及び事業者が作成する 面接指導の結果の記録は、法令により5年間の保存が求められる。本サービスによる保存確認の判定は、 甲の法令上の保存義務の有無を確定するものではない。
5. 前項により管理画面から退会の申請ができない場合、甲は、書面（電磁的方法を含む。以下本条において同じ。）により 乙に個人情報の消去を指示することができる。乙は、甲による記録の出力又は引継ぎの状況を確認し、 甲と協議のうえ消去を実行する。
6. 消去の対象は、甲のテナントに保存された業務データ（従業員情報、回答、結果、面接指導の記録、 通知の履歴等）及び当該テナントへの所属情報とする。次の各号の情報は消去の対象外とし、 乙は第3条及び第4条に従い管理する。
   1. (1) 甲の利用者が他のテナントを利用するために必要な共通の認証情報
   2. (2) 削除の証跡（テナントの名称及び識別子、申請及び実行の日時、消去した件数、申告の内容並びに 一部を伏せた申請者のメールアドレス）
   3. (3) 認証の試行、メール配信その他本サービスの運営に関する記録 （メール配信の結果の記録は、発生から180日を経過した時点で消去する）
   4. (4) 削除の処理に失敗した場合に再試行するための情報（処理の完了まで）
   5. (5) 決済処理の再委託先における確定済みの請求書その他の会計記録（これらに記載された名称、 メールアドレス等を含む）。なお、乙は、同再委託先に登録した顧客情報の名称を削除済みである旨の表示に 置き換え、メールアドレス、住所及び電話番号を削除する。
7. 障害復旧のためのデータベースの履歴は、6時間分を保持する設定としており、 消去前の情報が当該期間内の履歴に残る場合がある。乙は、消去後のデータについて、甲に対し復元を提供しない。
8. 乙は、甲の求めに応じ、消去の完了を書面により甲に報告する。

第9条（損害賠償）

乙が本契約に違反し、甲に損害を与えた場合、 乙は甲に対して損害を賠償する責任を負う。

第10条（有効期間）

本契約の有効期間は、サービス利用契約の有効期間と同一とする。 ただし、第3条、第4条、第7条及び第8条の規定は、乙が甲の個人情報又は第8条第6項各号の情報を 保持する限り、本契約の終了後も効力を有する。

第11条（準拠法・管轄）

本契約は日本法に準拠し、東京地方裁判所を第一審の専属的合意管轄裁判所とする。