個人情報取扱委託契約書

第1条（目的）

本契約は、甲が乙にストレスチェック実施支援業務を委託するにあたり、 甲が乙に提供する個人情報の適切な取扱いを確保することを目的とする。

第2条（定義）

1. 「個人情報」とは、個人情報保護法第2条第1項に定める個人情報をいう。
2. 「要配慮個人情報」とは、ストレスチェックの結果、高ストレス者判定結果、 面接指導に関する情報等、個人情報保護法第2条第3項に定める情報をいう。
3. 「委託業務」とは、以下の業務をいう。
   1. (1) ストレスチェック調査票のオンライン受検環境の提供
   2. (2) 回答データの集計・スコアリング
   3. (3) 集団分析結果の提供
   4. (4) 高ストレス者一覧の生成
   5. (5) 面接指導申出の管理機能の提供

第3条（個人情報の取扱い）

1. 乙は、委託業務の遂行に必要な範囲を超えて、個人情報を利用してはならない。
2. 乙は、甲の事前の書面による承諾なく、個人情報を第三者に提供してはならない。
3. 乙は、個人情報の漏洩、滅失又は毀損の防止のため、技術的及び組織的な安全管理措置を講ずる。

第4条（安全管理措置）

乙は、以下の安全管理措置を講ずる。

1. テナント分離によるデータの論理的隔離
2. 個人結果の暗号化（AES-256-GCM）
3. 通信の暗号化（TLS 1.2以上）
4. ロールベースアクセス制御（11段階のロール管理）
5. 監査ログによる全操作の記録と保全
6. サポート担当者による個人結果の閲覧を設計レベルで遮断

第5条（再委託の制限）

乙は、委託業務の全部又は一部を第三者に再委託してはならない。 ただし、以下のインフラストラクチャサービスの利用は再委託に該当しないものとする。

• クラウドホスティング（Vercel Inc.）
• データベース（Neon Inc.）
• 認証基盤（Amazon Web Services, Inc.）
• メール送信（Amazon Web Services, Inc. - SES）
• 決済処理（Stripe, Inc.）

第6条（監査）

1. 甲は、乙の個人情報の取扱いについて、合理的な範囲で監査を行うことができる。
2. 乙は、甲の監査に誠実に協力するものとする。
3. 甲は、監査の実施を希望する場合、30日前までに書面にて乙に通知する。

第7条（事故報告）

乙は、個人情報の漏洩、滅失、毀損等の事故が発生した場合、 直ちに甲に報告し、被害の拡大防止に努める。

第8条（契約終了時の措置）

1. 本契約が終了した場合、乙は甲の指示に従い、 個人情報を返還又は消去する。
2. 甲は契約終了前にデータのエクスポートを行うことができる。
3. 乙は消去の完了を書面にて甲に報告する。

第9条（損害賠償）

乙が本契約に違反し、甲に損害を与えた場合、 乙は甲に対して損害を賠償する責任を負う。

第10条（有効期間）

本契約の有効期間は、サービス利用契約の有効期間と同一とする。

第11条（準拠法・管轄）

本契約は日本法に準拠し、東京地方裁判所を第一審の専属的合意管轄裁判所とする。