データ処理付属書（DPA）

1. 目的と適用範囲

この補遺は、管理者がサービスを利用して処理者に個人データの処理を委託する場合に適用され、利用規約と利用契約の一部となります。

個人データの保護について利用契約と異なる場合は、この補遺が優先します。

項目	内容
対象と期間	サービスの提供 — 利用契約の期間中、および終了後に返却・削除が完了するまで
性質と目的	保存・照会・整理・分析・送信・削除などによるサービス機能の実行(AI Agent・業務自動化・電子決裁・文書・メール・カレンダー・ナレッジ検索)
データ主体の区分	管理者の役職員・契約者、取引先・顧客の担当者、管理者が入力したその他の人
個人データの項目	氏名・メール・連絡先・所属・役職・職級・社員番号、業務文書・会話・承認記録、連携したメール・カレンダー・ファイル(利用者が連携した場合)、アクセス記録。要配慮情報は管理者がどうしても必要な場合にのみ入力
処理場所	Microsoft Azure 大韓民国（Korea Central）および付属書IIIのサブプロセッサー

管理者の文書化された指示(利用契約・サービス設定・管理者の操作)に従ってのみ処理し、指示が法令に違反すると考える場合は直ちに知らせます(第 28 条第 3 項 (a))。
処理の権限を持つ者に守秘義務を課します((b))。
付属書IIの技術的・組織的措置を実施します（第32条(c)）。
データ主体の請求に対応できるよう、機能(マイデータのエクスポート・請求キュー・消去の実行)と支援を提供します((e))。
セキュリティ・侵害の通知・影響評価・事前協議の義務の履行を支援します(第 32 条〜第 36 条、(f))。
契約終了時は管理者の選択に従ってデータを返却し削除します。法令上の保存義務がある場合はその期間、分けて保管します((g))。
この補遺の遵守を示す情報を提供し、合理的な事前通知後の監査(書面による質問・第三者認証レポートを優先)に協力します((h))。
目的外の処理の禁止、再委託の制限、管理・監督の受け入れ、損害賠償責任を負います(韓国「個人情報保護法」第 26 条第 1 項、施行令第 28 条)。

コントローラーは付属書IIIのサブプロセッサーの利用を一般的に承認します。プロセッサーはサブプロセッサーを追加または変更する30日前に通知し、コントローラーは合理的な理由で異議を申し立てることができます（第28条第2項および第4項）。サブプロセッサーは本付属書と同等の義務を契約で負います。

EU・EEAの個人データを大韓民国に移転する場合は欧州委員会の適正性決定（EU）2022/254に基づきます。サブプロセッサーが所在する第三国への移転は適正性決定（EU-米国DPFなど）または標準契約条項（SCC、（EU）2021/914—モジュール3：プロセッサー間）と補足措置に基づきます。

処理者は侵害を把握した後、遅滞なく(目標 24 時間以内)管理者に知らせ、管理者が 72 時間以内に届け出られるよう(GDPR 第 33 条、韓国「個人情報保護法」第 34 条)、性質・範囲・影響を受けたデータ主体と項目・予想される結果・措置を判明している範囲で提供します。

プライバシーポリシー第 16-4 節(受領者と再委託先)の表が最新の一覧です。

この補遺は利用契約とともに効力が生じ、終了します。契約終了後も、データの返却・削除と守秘の義務は存続します。