データ処理契約

学校向けデータ処理契約

Mindomoを利用する学校、教育委員会もしくは学区、またはクラスでMindomoを利用する教師（以下「学校」）と、Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, ルーマニア（以下「Mindomo」または「当社」）との間の契約。

1. 当事者と適用範囲

• 学校がデータ管理者です。Mindomoがデータ処理者です。
• 本DPAは、学校の生徒、教師および職員、ならびに教師のクラスの生徒のアカウントおよびコンテンツに含まれる個人データを、当社が学校のために処理する間、対象とします。
• 附属書1にデータの内容を記載しています。個人データについて本DPAと利用規約が異なる場合は、本DPAが優先します。

2. 指示

当社は、学校の管理者および教師の設定に従って学校、その生徒および職員にMindomoを提供するため、ならびに学校のその他の文書化された指示に基づいてのみ、データを処理します。ただし、法令により別段の処理が求められる場合を除きます。その場合は、法令で禁止されていない限り、事前に学校に通知します。指示がデータ保護法令に違反すると当社が考える場合は、学校にその旨を通知します。当社は、データを販売することも、広告に利用することも、AIモデルの学習に利用することも、決してありません。

3. 秘密保持

Mindomoにおいてデータにアクセスできる者は全員、秘密保持義務を負い、サービスまたはサポートの提供に必要な場合にのみデータにアクセスします。

4. セキュリティ

当社は、セキュリティのページに記載の技術上および組織上の措置によりデータを保護します。Mindomoは、ISO/IEC 27001およびISO/IEC 27701の認証を取得しています。

5. 復処理者

• 学校は、附属書2の復処理者を承認します。各復処理者は、本DPAと同じデータ保護義務を定めた契約に拘束されます。
• 新しい復処理者については、少なくとも30日前までに、このページで、および学校の管理者へのメールで告知します。学校は、データ保護上の合理的な理由に基づいて異議を述べることができます。当社がその異議に対処できない場合、学校はライセンスを終了し、料金の未使用分の返金を受けることができます。
• EU域外への移転は、EU・米国データプライバシーフレームワークまたは欧州委員会の標準契約条項に基づいて行われます。

6. 支援

当社は、主にMindomoとその管理コンソールのツールを通じて、学校が生徒、保護者および職員からの請求（アクセス、訂正、削除、エクスポート）に対応できるよう支援し、データ保護影響評価など学校自身の評価についても支援します。当社は、学校のデータについて当社が受け取った請求を、保護者からのものを含め、すべて学校に転送します。

7. 侵害

学校のデータに影響する個人データ侵害があった場合、当社は、それに気づいた後、不当な遅滞なく、当社が把握している内容および当社が講じている対応とともに学校に通知し、新たな情報が判明するたびに続報をお伝えします。

8. ライセンスが終了したとき

学校のデータをどうするかは、学校が決定します。学校は、サポートまたは管理コンソールを通じて、いつでもエクスポートまたは削除を求めることができます。ライセンスの終了時に学校から指示がない場合は、次のとおりとし、学校は本DPAに同意することによりこれを選択します。

• ユーザーが自ら当社の利用規約に同意したアカウント（教師、職員、および自分で登録した生徒）は、そのコンテンツとともに、ユーザー自身のアカウントとして存続します。ライセンスの終了以降、これらのアカウントについては、Mindomoがそのプライバシーポリシーに基づくデータ管理者となります。
• 学校が作成したアカウント（PIN、CSVインポートもしくはクラス名簿によるもの、またはClever、SkolonもしくはLTIを通じたもの）は、変更されることなく学校のデータであり続けます。そのため、更新すれば中断したところから再開できます。当社は、ライセンスの終了後12か月間誰もログインしていないアカウントを、学校の管理者に通知したうえで削除することがあります。当社が独自の判断でそのようなアカウントを個人アカウントに変えることは決してありません。利用を続けたい生徒は、まず自ら当社の利用規約に同意しなければなりません。
• 学校は、これに代えて、すべてのアカウントの削除、または学校が作成したアカウントのみの削除を求めることができます。

9. 監査

当社は、ISO/IEC 27001および27701の認証書とその監査報告書により、また学校からの合理的な質問に回答することにより、本DPAの遵守を示します。現地監査は、法令により求められる場合に限り、合理的な事前通知のうえ、学校の費用負担で行われます。

附属書1. 当社が処理するもの

• データ主体：学校の生徒、教師および職員、生徒が承認のために指定した場合の保護者、学校が招待するその他の人。
• データ：アカウントデータ（氏名、メールアドレスまたはユーザー名、役割、年齢層、クラスおよびグループへの所属）、対象者が作成、アップロードおよび共有するコンテンツ、コメント、課題、フィードバックおよび成績、Mindomo AIへのリクエストおよびアシスタントとのチャット（学校がMindomo AIを許可している場合）、セキュリティログ（IPアドレス、ブラウザ、ログイン）。
• 目的：教育のために、学校、その生徒および職員にMindomoを提供すること。
• 期間：学校がMindomoを利用している間、その後は§8のとおり。
• 場所：ドイツでホスティングし、バックアップもドイツに保管。

附属書2. 復処理者

Clever、Skolon、Yilan、学校の学習プラットフォーム（LTI）、シングルサインオン（SAML）、Google Classroomなど、学校が自ら接続するサービスは、学校自身のサービスであり、当社の復処理者ではありません。

機能がMicrosoftを通じてウェブまたは画像を検索する場合、その検索クエリはMicrosoftの検索サービスに送信され、MicrosoftはそれをEU域外で処理することがあります。これらの検索について、Microsoftは当社の復処理者ではありません。Microsoftは、Microsoft Privacy Statementに基づき、自らの責任においてその検索クエリを取り扱います。

附属書3. 学校向けの国別条件

米国

• Mindomoは、教育記録の利用および保持に関する学校の直接の管理のもと、FERPAにいう正当な教育上の利益を有する「school official」（学校関係者）として行動します。
• 学校は、COPPAに基づき、教育目的での利用のためにのみ生徒のアカウントを許可し、その他の商業目的のためには許可しません。
• 生徒への広告、生徒データの販売、生徒のプロファイリングは行いません。
• 有料ライセンスの場合、当社は、ご要望に応じて、学区または州独自のデータプライバシー契約に署名します。

カナダ

• 教育委員会は、オンタリオ州の地方自治体情報公開およびプライバシー保護法（MFIPPA）ならびに他の州の同等の法律（ブリティッシュコロンビア州のFOIPPA、ケベック州の法律第25号、アルバータ州のプライバシー法など）に基づき、生徒の個人情報の保管および管理に関する権限を引き続き保持します。
• データはドイツで保管されます。
• 契約終了時に、当社は、教育委員会の指示に従ってデータを返還または削除します（§8）。
• 有料ライセンスの場合、当社は、ご要望に応じて、教育委員会独自の契約に署名します。

英国

• 該当する場合には、GDPRに代えて、UK GDPRおよび2018年データ保護法が適用されます。
• 英国における当社の代理人：Silvana Carpineanu、dpo@mindomo.com。
• 英国からの移転は英国のルールに従います：EU・米国データプライバシーフレームワークの英国拡張（UK Extension）、または標準契約条項の英国補遺（UK Addendum）。

学校が本DPAに同意する方法

• 無料・有料を問わず、あらゆるプランのすべての学校と教師：本DPAは、管理者が学校を代表して利用規約に同意した時点、または教師がクラスでMindomoを利用した時点で適用されます。署名は必要ありません。
• 有料ライセンスの場合、当社は、当社の署名入りの本DPAの写しを提供するか、学校、学区または教育委員会独自の契約に署名します。support@mindomo.com までお問い合わせください。

企業向けデータ処理契約

メンバーのためにMindomoを利用する企業、チームその他の組織（以下「組織」）と、Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, ルーマニア（以下「Mindomo」または「当社」）との間の契約。学校は学校向けバージョンを利用します。

1. 当事者と適用範囲

• 組織がデータ管理者です。Mindomoがデータ処理者です。
• 本DPAは、組織のメンバー（従業員、業務委託先、その他組織がチームに追加する人）のアカウントおよびコンテンツに含まれる個人データを、当社が組織のために処理する間、対象とします。
• 附属書1にデータの内容を記載しています。個人データについて本DPAと利用規約が異なる場合は、本DPAが優先します。
• 組織の購入および請求書、ならびに当社の顧客としての組織の管理者の連絡先情報については、Mindomoがそのプライバシーポリシーに基づくデータ管理者です。

2. 指示

当社は、組織の管理者の設定に従って組織およびそのメンバーにMindomoを提供するため、ならびに組織のその他の文書化された指示に基づいてのみ、データを処理します。ただし、法令により別段の処理が求められる場合を除きます。その場合は、法令で禁止されていない限り、事前に組織に通知します。指示がデータ保護法令に違反すると当社が考える場合は、組織にその旨を通知します。当社は、データを販売することも、広告に利用することも、AIモデルの学習に利用することも、決してありません。

3. 秘密保持

Mindomoにおいてデータにアクセスできる者は全員、秘密保持義務を負い、サービスまたはサポートの提供に必要な場合にのみデータにアクセスします。

4. セキュリティ

当社は、セキュリティのページに記載の技術上および組織上の措置によりデータを保護します。Mindomoは、ISO/IEC 27001およびISO/IEC 27701の認証を取得しています。

5. 復処理者

• 組織は、附属書2の復処理者を承認します。各復処理者は、本DPAと同じデータ保護義務を定めた契約に拘束されます。
• 新しい復処理者については、少なくとも30日前までに、このページで、および組織の管理者へのメールで告知します。組織は、データ保護上の合理的な理由に基づいて異議を述べることができます。当社がその異議に対処できない場合、組織はライセンスを終了し、料金の未使用分の返金を受けることができます。
• EU域外への移転は、EU・米国データプライバシーフレームワークまたは欧州委員会の標準契約条項に基づいて行われます。

6. 支援

当社は、主にMindomoとその管理コンソールのツールを通じて、組織がメンバーからの請求（アクセス、訂正、削除、エクスポート）に対応できるよう支援し、データ保護影響評価など組織自身の評価についても支援します。当社は、組織のデータについて当社が受け取った請求を、すべて組織に転送します。

7. 侵害

組織のデータに影響する個人データ侵害があった場合、当社は、それに気づいた後、不当な遅滞なく、当社が把握している内容および当社が講じている対応とともに組織に通知し、新たな情報が判明するたびに続報をお伝えします。

8. ライセンスが終了したとき、またはメンバーが離れるとき

組織のデータをどうするかは、組織が決定します。組織は、サポートまたは管理コンソールを通じて、いつでもエクスポートまたは削除を求めることができます。ライセンスの終了時に組織から指示がない場合は、次のとおりとし、組織は本DPAに同意することによりこれを選択します。

• ユーザーが自ら当社の利用規約に同意したアカウントは、チームの共有フォルダー外にあるそのコンテンツとともに、ユーザー自身のアカウントとして存続します。ライセンスの終了以降、これらのアカウントについては、Mindomoがそのプライバシーポリシーに基づくデータ管理者となります。
• 組織が自ら作成したアカウントは、変更されることなく組織のデータであり続けます。そのため、更新すれば中断したところから再開できます。当社は、ライセンスの終了後12か月間誰もログインしていないアカウントを、組織の管理者に通知したうえで削除することがあります。
• 組織は、これに代えて、すべてのアカウントの削除、または組織が作成したアカウントのみの削除を求めることができます。

ライセンスが有効な間にメンバーがチームを離れる場合、管理者がそのメンバーを削除したときは、そのメンバーがチームの共有フォルダー内で作成したコンテンツはチームに残ります。自らチームを離れるメンバーは、自身の有料プランで利用を続けるときはそのコンテンツを持ち出すことができ、そうでないときはコンテンツはチームに残ります。ルールの全文は利用規約のパートBにあります。

9. 監査

当社は、ISO/IEC 27001および27701の認証書とその監査報告書により、また組織からの合理的な質問に回答することにより、本DPAの遵守を示します。現地監査は、法令により求められる場合に限り、合理的な事前通知のうえ、組織の費用負担で行われます。

附属書1. 当社が処理するもの

• データ主体：組織の従業員、業務委託先その他のメンバー、およびこれらの人と共同作業するために組織が招待する人。
• データ：アカウントデータ（氏名、メールアドレス、役割、グループへの所属）、対象者が作成、アップロードおよび共有するコンテンツ、コメントおよびタスク、Mindomo AIへのリクエストおよびアシスタントとのチャット（組織がMindomo AIを許可している場合）、セキュリティログ（IPアドレス、ブラウザ、ログイン）。
• 目的：組織およびそのメンバーにMindomoを提供すること。
• 期間：組織がMindomoを利用している間、その後は§8のとおり。
• 場所：ドイツでホスティングし、バックアップもドイツに保管。

附属書2. 復処理者

シングルサインオン（SAML）など、組織が自ら接続するサービスは、組織自身のサービスであり、当社の復処理者ではありません。

機能がMicrosoftを通じてウェブまたは画像を検索する場合、その検索クエリはMicrosoftの検索サービスに送信され、MicrosoftはそれをEU域外で処理することがあります。これらの検索について、Microsoftは当社の復処理者ではありません。Microsoftは、Microsoft Privacy Statementに基づき、自らの責任においてその検索クエリを取り扱います。

附属書3. 企業向けの国別条件

英国

• 該当する場合には、GDPRに代えて、UK GDPRおよび2018年データ保護法が適用されます。
• 英国における当社の代理人：Silvana Carpineanu、dpo@mindomo.com。
• 英国からの移転は英国のルールに従います：EU・米国データプライバシーフレームワークの英国拡張（UK Extension）、または標準契約条項の英国補遺（UK Addendum）。

米国

• カリフォルニア州消費者プライバシー法などの米国の州プライバシー法が組織に適用される場合、Mindomoは、組織の「service provider」（サービス提供者）または「processor」（処理者）として行動します。当社は、組織にMindomoを提供するためにのみデータを利用し、データを販売または共有せず、当社自身の目的のために他の情報源からのデータと組み合わせることもしません。

組織が本DPAに同意する方法

• 無料・有料を問わず、あらゆるプランのすべての組織：本DPAは、管理者が組織を代表して利用規約に同意した時点で適用されます。署名は必要ありません。
• 有料ライセンスの場合、当社は、当社の署名入りの本DPAの写しを提供するか、組織独自のデータ処理契約に署名します。support@mindomo.com までお問い合わせください。