データ処理契約
GDPR、CCPA その他の適用されるデータ保護義務をカバーする Threada の標準データ処理契約。
範囲と適用性
本 DPA は、Threada プラットフォームに関連して Threada が顧客に代わって行うすべての個人データ処理に適用されます。利用規約を補足し、データの取り扱い、セキュリティ対策、違反通知手続きを規定します。
役割と責任
顧客はデータ管理者として行動します。Threada はデータ処理者として行動し、顧客の指示に従い、サービス提供に必要な範囲でのみ個人データを処理します。
技術的および組織的対策
- マネージドプロバイダーの暗号化（GCP、MongoDB Atlas）による通信時および保存時の暗号化。機微なフィールドにはフィールドレベルの暗号化を適用
- テナント単位のデータ分離、クロステナントアクセスなし
- 監査ログを伴うロールベースのアクセス制御
- 依存関係およびアドバイザリの脆弱性の自動スキャンと、維持された脅威モデル
- 不当な遅延なく違反を通知するインシデント対応手順（具体的な期限は締結済みの DPA で合意）
データ主体の権利
Threada は、プラットフォームツールと運用プロセスを通じて、データ主体によるアクセス・訂正・削除・ポータビリティの要求への対応を支援します。
データの保持と削除
データ保持ポリシーはワークスペースごとに構成可能です。契約終了時には、法律でより長い保持期間が義務付けられている場合を除き、90 日以内に顧客データが削除されます。