本データ処理契約（以下「本契約」）は、GDPR第28条に基づき、あなたがNubboを事業者又は専門家として利用する場合に、サービスで管理する個人データをNubboがどのように処理するかを定めるものです。本契約は利用規約の一部であり、利用規約から参照され、あなたは登録時に利用規約に同意します。あなたはNubboを利用することにより本契約に同意します。
1. 当事者及び役割
- 管理者：Nubboアカウントの保有者としてのあなた（以下「ユーザー」）。
- 処理者：Gonzalo Vasco López（NIF ES34884272B、所在地 Rúa Farillon 10, 1ºE, 27890 San Ciprián, Lugo, スペイン）。Nubboの運営者であり、以下「Nubbo」といいます。
本契約は、Nubboが管理者となるデータには適用されません。対象外となるのは、プライバシーポリシーに記載された、あなた自身のアカウントのデータ、Nubbo自身のセキュリティ及び不正利用の防止のために処理するデータ、Cookieを使用しない集計計測のデータ、あなたの名前で送信するメールの配信記録及び送信停止リスト、並びにログインした状態であなたのリソースを訪問するNubboユーザーの識別です。
2. 対象及び期間
本契約の対象は、利用規約に記載されたNubboのサービスをあなたに提供するために必要な個人データの処理です。本契約は、あなたがアカウントを保持している間、及びその後第11項に定めるとおりデータが削除されるまで有効です。
3. 処理の性質及び目的
Nubboは、あなたにサービスを提供するためにのみデータを処理します。処理の内容は次のとおりです。ファイルのインデックス（名前、パス、サイズ及び種類）を保存すること。ファイルがブラウザとあなたのストレージとの間で直接やり取りされるための署名付きURLを生成すること。共有リンク、ギャラリー、ファイルリクエスト及び埋め込みを公開し提供すること。それらの訪問者による閲覧、ダウンロード、いいね、コメント及びアップロードを記録し、その統計をあなたに表示すること。あなたの名前で招待、配信、リマインダー及びパスワードをメールで送信すること。サムネイル、ギャラリー用のサイズ及び透かしを生成し、あなたのオートメーションを実行するために、ファイルの内容を一時的に読み取ること。そして、あなたが同意した場合に限り、依頼内容に必要なコンテンツをNubbo AIに送信することです。
4. データ主体及びデータの種類
データ主体：あなたのリンク、ギャラリー、ファイルリクエスト及び埋め込みの訪問者。あなたが招待する人又は何かを送る相手。あなたのファイル、その名前又はNubbo AIとの会話にデータが含まれる人。その他、あなたがNubboで処理することを決めたデータに係るすべての人。
データの種類：識別情報及び連絡先（名前及びメールアドレス）。あなたのリソースの利用データ（閲覧、ダウンロード、いいね、コメント、検索及びアップロード）。IPアドレスとブラウザから導き出され、毎日変わる訪問者識別子、国及びデバイスの種類。ファイルのメタデータ（名前、パス、サイズ及び種類）。一時的に処理されるファイルの内容。そして、あなたがファイルやテキストに含めるデータです。
特別な種類のデータ：Nubboは特別な種類の個人データ（GDPR第9条）を処理するようには設計されていません。それらをNubboに保存する場合、それを認める法的根拠があることをあなた自身が確認しなければなりません。それらを保護するため、ゼロ知識暗号化の利用をおすすめします。これを使えば、Nubboはあなたのファイルの内容も名前も読むことができません。ただし、それらのファイルのいずれかをNubbo AIに送信した場合、その内容はあなたに回答するために処理されることにご注意ください（プライバシーポリシー第9項）。
5. 文書化された指示
Nubboは、あなたの文書化された指示に従ってのみデータを処理します。あなたによるサービスの利用及びその設定（アップロード、共有、公開、送信、自動化又はNubbo AIへの依頼の内容）が、その指示となります。Nubboは自らの目的のためにデータを処理しません。欧州連合又は加盟国の法令により別の方法での処理が義務付けられる場合、その法令が禁止していない限り、Nubboは事前にあなたに通知します。Nubboは、ある指示がデータ保護法令に違反すると考える場合、直ちにあなたに知らせます。
6. 守秘義務
Nubboがデータの処理を許可した者は、明示的な誓約又は法律上の義務により、その秘密を保持する義務を負います。
7. セキュリティ
Nubboは、附属書Iに記載したGDPR第32条の技術的及び組織的措置を講じます。保護の水準を下げない限り、これらの措置を改善することができます。
8. サブプロセッサー
- あなたは、サブプロセッサーのリストに掲載されたサブプロセッサーを利用するための一般的な許可をNubboに与えます。このリストには、Creemのように、Nubboが管理者となるデータのみを処理する事業者も含まれます。
- Nubboは、GDPR第28.4条に基づき、各サブプロセッサーとの間で、十分な保証を伴い、本契約と同じデータ保護義務を課す契約を締結し、その遵守についてあなたに対して引き続き責任を負います。
- サブプロセッサーを追加又は置き換える前に、Nubboはリストを更新し、遅滞なく、かつ少なくとも10日前までに、メール又はアプリ内でお知らせします。
- データ保護上の合理的な理由があれば、[email protected]に連絡することで変更に異議を申し立てることができます。解決策が見つからない場合は、変更が適用される前にアカウントを削除してサービスを終了でき、前払いしたうち利用していない分を日割りで返金します。
9. 支援
- データ主体の権利：Nubboは、サービスの機能（リソースの確認、エクスポート、無効化及び削除。リソースを削除するとその訪問者のデータも削除されます）によって、またそれで足りない場合はメールでの依頼に応じることによって、あなたがこれらの権利に対応できるよう支援します。データ主体がNubboに直接連絡した場合、Nubboは遅滞なくその請求をあなたに転送します。
- セキュリティ、侵害、影響評価及び事前協議：Nubboは、処理の性質及び入手可能な情報を考慮し、附属書Iの措置、第10項の侵害通知、及び影響評価又は監督機関への事前協議に必要な情報の提供によって、あなたがGDPR第32条から第36条を遵守できるよう支援します。
10. セキュリティ侵害
Nubboがあなたに代わって処理するデータに影響するセキュリティ侵害が発生した場合、Nubboは不当な遅滞なく、遅くともそれを知った時から48時間以内に、あなたのアカウントのメールアドレス宛てにメールで通知します。通知には、その時点で入手しているGDPR第33.3条の情報を含め、Nubboは残りの情報を入手し次第補完します。
11. 処理の終了
アカウントを削除する前に、設定 › プロフィールからデータをダウンロードできます。アカウントを削除すると、即時削除を選択しない限りデータは30日間の猶予期間中保持され、その後削除されます。削除されるまで最長14日間バックアップに残る場合があります。ストレージ内のファイルはあなたのものであり、Nubboがそこに生成したサムネイルとバージョンを除き、Nubboはそれらを削除しません。以上はいずれも、法令によりデータの保存が義務付けられる場合を除きます。
データ最小化のため、エクスポートでは訪問者と受信者のデータを仮名化して提供します（メールアドレスはマスクし、名前は頭文字のみとし、セッション識別子の代わりに別名を使用します）。それらのデータの管理者として、あなたはアプリ内でそれらを確認するか、[email protected]で完全版を請求することができ、私たちは1か月以内にそれを提供します。
12. 監査
Nubboは、本契約の遵守を証明するために必要な情報、すなわち本文書、プライバシーポリシー、サブプロセッサーのリスト、及び書面による合理的な問い合わせへの回答をあなたに提供します。監督機関が要求する場合又はその情報だけでは遵守を証明するのに十分でない場合、あなたと合理的な監査について合意します。監査はあなた又はあなたが指定する監査人が、あなたの費用負担で、十分な事前通知のうえ、守秘義務を負い、他のユーザーのデータにアクセスすることなく行います。
13. 国際移転
Nubboは、リストに掲載されたサブプロセッサーに対してのみ、リストに示すGDPR第5章の保護措置、すなわち欧州委員会が承認した標準契約条項及び該当する場合はEU-U.S. Data Privacy Frameworkに基づいて、欧州経済領域外にデータを移転します。
14. 責任
各当事者の責任は、利用規約の責任の制限に関する項に従います。ただし、GDPR第82条が定めるデータ主体に対する責任を妨げません。
15. 優先順位及び準拠法
データ保護に関する事項については、本契約が利用規約に優先します。その他の事項については、利用規約（その準拠法及び裁判管轄を含みます）が適用されます。
附属書I. セキュリティ措置
- バケットの認証情報、二要素認証のシークレット及びNubbo AIとの会話のAES-256-GCMによる暗号化。鍵はデータベースの外に保管します。
- ブラウザ内での任意のゼロ知識暗号化。これにより、あなた自身が特定のファイルをNubbo AIに送信する場合（プライバシーポリシー第9項）を除き、Nubboは暗号化されたファイルの内容も名前も読むことができません。
- bcryptでハッシュ化して保存されるパスワード。
- リカバリーコード付きの任意の二要素認証（TOTP）。
- ファイルは署名付きURLによりブラウザとあなたのストレージとの間で直接やり取りされます。サーバーはコンテンツを保持せず、一時的に読み取るだけです。
- HTTPS（TLS 1.2以上）で暗号化された通信。Webサーバーには、Cloudflareの保護ネットワークを経由した場合にのみアクセスできます。
- 自動で期限切れになるセッション、アクティブなセッションの管理、及び新しいデバイスからのログインの通知。
- アカウントのアクティビティ及び人と共有したものへのアクセスの記録。
- IPアドレスごとのリクエスト数の制限、及びフォームのキャプチャ。
- データベースのバックアップ（継続的、毎日及び毎晩）。サーバーから送り出す前に暗号化し、欧州連合内で14日間保管します。復元は毎週テストします。
- 欧州連合内のサーバー及びデータベース。プライベートネットワーク経由でのみアクセスできます。本番環境へのアクセスは、運営者及び権限を与えられた者に、必要最小限の権限で制限されます。
附属書II. サブプロセッサー
サブプロセッサーの最新のリストは、その目的、処理するデータ、所在地及び保護措置とともに、サブプロセッサーのページに掲載しています。
お問い合わせ
本契約に関するお問い合わせは、[email protected]までご連絡ください。