データ処理契約（DPA）

1. 役割と適用範囲

お客様＝データ管理者、svdy＝処理者。個人データの範囲：従業員、勤怠データ、休暇記録、申請フォーム、監査ログ。

2. 再委託先

/trust/sub-processors に記載の 5 社の再委託先を承認します。変更時は 30 日前の事前通知と異議申し立ての仕組みを設けています。

3. セキュリティ

AWS マルチAZ、保管時のAES-256、転送時のTLS 1.2+、役割に基づくアクセス制御、監査ログ、SOC 2プログラム内の侵入テスト。

4. データ主体の権利

お客様（データ管理者）は、まず管理画面から DSAR（エクスポート／削除／訂正）を処理します。セルフサービスで対応できないご依頼については、svdy が 5 営業日以内にサポートします。

5. 情報漏えいの通知

認知から 72 時間以内に、対象範囲・影響データ・対処手順を添えて通知します。ご指定の DPO 連絡先宛にメールでお送りします。

6. 国際移転

EU → 米国の移転は EU SCC（2021 年版）でカバーします。英国向けの移転は UK Addendum（SCC 補遺）でカバーします。

7. 契約終了時

契約終了時には、お客様は管理画面から 90 日間データをエクスポートできます。その後、法令上の保存義務がある場合を除き、svdy は本番データベースから完全削除を行います。