データ処理契約

このデータ処理契約（「DPA」）は、当社の利用規約本規約は、お客様が# GoFileソフトウェアを使用して、お客様に代わって他者の個人データ（例えば、お客様が書類を提出する企業の取締役、従業員、顧客など）を処理する場合に適用されます。本規約は、英国GDPR第28条に基づく、データ処理者としての当社のお客様に対する義務を定めています。

署名する必要はありません。ソフトウェアを使用することで、このデータ処理契約に同意したものとみなされます。

1. 政党と役割

1.1 このDPAは GOFILE Ltd.イングランドおよびウェールズで登録番号13521210で登録されている会社、 # GoFileとして事業を行っている会社（以下「当社」、「私たち」、「プロセッサー」）と、 # GoFileアカウントを保有する顧客（以下「お客様」）と。

1.2 あなたは コントローラ お客様の個人データは、お客様が別の管理者に代わってそのデータを処理する場合を除き、当社が管理します。 プロセッサまた、お客様ご自身がデータ処理者として行動される場合、当社はお客様のサブプロセッサーとして行動します。お客様は、本データ処理契約の条件に基づき、当社を任命する権限を有していることを確認します。

1.3 お客様およびお客様のユーザーに関する個人データ（アカウントの詳細、請求、サポートのやり取り、マーケティング設定など）については、当社は独立した管理者であり、プライバシーポリシーこのDPAの代わりに適用される。

2. 定義

データ保護法 とは、英国一般データ保護規則、2018年データ保護法、2003年プライバシーおよび電子通信規則、ならびに該当する場合はEU一般データ保護規則を意味し、それぞれ改正または置き換えられたものを含む。
顧客の個人データ 個人データとは、お客様またはお客様の代理人がソフトウェアに入力またはアップロードするデータ、あるいはお客様の指示に基づいてソフトウェアがHMRCまたはCompanies Houseから受け取るデータを意味します。
ソフトウェア secure.gofile.co.uk の# GoFileサービス、および当社がお客様に提供する関連サービスを意味します。
サブプロセッサ とは、当社に代わって顧客の個人データを処理するために当社が委託する第三者を意味します。
個人データ漏洩, コントローラ, プロセッサ, データ主体 そして処理データ保護法に定められた意味を有する。

3. 処理の詳細

主題 – ソフトウェアで管理する事業に関する税務申告書、会社届出書、給与情報、および関連記録の作成、保管、提出。

間隔 – # GoFileアカウントを保持している期間、および第9項に記載されている保持期間。

性質と目的 – 収集、保管、整理、計算、 HMRCおよびCompanies Houseへの送信、検索、および削除は、お客様にソフトウェアを提供するためのみに行われます。

データ主体のカテゴリー – あなたのスタッフとユーザー。あなたが申告を行う企業の取締役、株主、パートナー、従業員。あなたが代理人として活動する場合のクライアントとそのスタッフ。申告書、届出書、または添付書類に詳細が記載されているその他の個人。

個人データのカテゴリ – 氏名および連絡先情報、生年月日、国民保険番号、納税者固有参照番号およびその他の納税者識別番号、雇用、給与、年金および給付の詳細、財務および会計情報、会社役員および株式保有の詳細、およびアップロードする文書の内容。

特別カテゴリーデータ – 本ソフトウェアは、給与計算または関連記録に含まれる限定的な特別カテゴリーデータ（例えば、法定疾病手当に関する健康情報など）を処理する場合があります。特別カテゴリーデータを提供する場合、お客様は、第6条に基づく適切な法的根拠および第9条に基づく処理条件、ならびに2018年データ保護法で要求される追加条件を満たしていることを確認する責任を負います。

4. 処理者としての当社の義務

私達はします：

4.1 指示に従ってください。 お客様の個人データは、お客様が文書で指示された内容（利用規約、本データ処理契約、およびお客様がソフトウェアで行う操作）に基づいてのみ処理します。ただし、法律により別段の指示が義務付けられている場合は、法律で禁止されていない限り、事前にお客様にお知らせします。また、指示がデータ保護法に違反していると判断した場合も、お客様にお知らせします。

4.2 秘密にしておいてください。 お客様の個人データの処理を許可したすべての者が、守秘義務を負い、適切なデータ保護に関するガイダンスを受けていることを確認します。

4.3 安全に保管してください。 お客様の個人データが偶発的または違法な破壊、紛失、改ざん、不正な開示またはアクセスから保護されるよう、適切な技術的および組織的措置を実施し、維持します。これらの措置の概要は付録2に記載されています。当社は、データ保護法に基づく義務を遵守しつつ、これらの措置を更新する場合があります。

4.4 データ主体の権利を満たすお手伝いをします。 データ主体が権利を行使するよう求める要求に対し、適切な技術的および組織的措置を講じ、処理の性質を考慮した上で、お客様を支援いたします。データ主体がお客様の個人データに関して当社に直接連絡してきた場合、当社はその連絡者をお客様に転送し、お客様から依頼がない限り、お客様に代わって回答することはありません。

4.5 他の義務を果たすお手伝いをします。 お客様がセキュリティ、侵害通知、データ保護影響評価、情報コミッショナーまたはその他の該当する監督機関との事前協議に関する義務を果たすのを支援します。その際、処理の性質および当社が入手可能な情報を考慮に入れます。

4.6 データを削除または返却する。 サービスの終了時には、第9項に記載されているとおり、顧客の個人データを削除または返却してください。

4.7 法令遵守を実証する。 英国GDPR第28条への準拠を証明するために合理的に必要な情報を提供し、第8項に記載されている監査を許可し、協力する。

5. サブプロセッサ

5.1 お客様は、当社のウェブサイトに掲載されている下請け業者を利用するための包括的な書面による承認を当社に与えるものとします。サブプロセッサページこれは、本データ保護協定の附属書3を構成するものです。

5.2 サブプロセッサの追加または変更が有効になる前に、電子メールまたはソフトウェアを通じて、変更予定についてお客様に通知し、異議を申し立てる機会を与え、そのページを適切に更新します。

5.3 お客様が、合理的なデータ保護上の理由に基づき、新たなサブプロセッサーに異議を唱える場合は、当社にご連絡ください。当社は、お客様のご懸念について誠意をもって協議いたします。解決できない場合は、お客様はアカウントを閉鎖することにより、影響を受けるサービスの利用を停止することができます。

5.4 当社は、各サブプロセッサーに対し、本DPAに規定されているものと同等以上の保護義務を課し、各サブプロセッサーの義務の履行に関して、引き続きお客様に対して全責任を負います。

5.5 HMRCおよびCompanies Houseは、下請け業者ではありません。これらの機関は、お客様が当社にデータの提出を指示した場合にのみデータを受け取り、独自のプライバシー通知に基づき独立したデータ管理者として行動します。

6. 個人データの漏洩

6.1 お客様の個人データに影響を与える個人データ侵害を認識した場合、データ保護法で義務付けられているとおり、遅滞なくお客様に通知します。

6.2 当社の通知では、その時点で当社が把握している限りにおいて、侵害の性質、関係するデータ主体および記録のカテゴリーと概数、想定される影響、および当社が講じた、または講じる予定の措置について説明します。詳細情報は、入手可能になり次第、段階的に提供いたします。

6.3 当社は、お客様が情報コミッショナーまたはその他の該当する監督機関およびデータ主体に対して負う通知義務を履行できるよう、協力し、合理的な措置を講じます。お客様から依頼があった場合、または法律で義務付けられている場合を除き、当社はお客様に代わって監督機関またはデータ主体に通知することはありません。

7. 国際送金

7.1 本ソフトウェアのデータベース、アップロードされたドキュメント、およびバックアップは英国でホストされています。データは、お客様が本ソフトウェアにアクセスする場所を問わず、お客様およびお客様の承認済みユーザーに配信されます。サブプロセッサーは、付録3に記載されている場所でデータを処理する場合があります。データ保護法に基づく保護措置が必要なデータ転送の場合、当社は該当する十分性決定またはその他の許可された転送メカニズムを使用します。

8．情報と監査

8.1 当社は、お客様の個人データの処理およびセキュリティ対策に関する情報提供を求める合理的な書面による要求に対し、合理的な期間内に回答します。

8.2 提供された情報を確認した結果、本データ処理契約（DPA）への当社の遵守を確認するために監査が必要であると合理的に判断される場合、監督当局の要請、個人データ侵害の発生後、または本DPAの重大な違反が合理的に疑われる場合を除き、12か月間に1回を超えて監査を実施するか、守秘義務を負う独立監査人を任命することができます。監査は、監督当局によりより短い期間が合理的に要求される場合、または個人データ侵害が発生した場合を除き、少なくとも30日前の書面による通知をもって要請する必要があり、通常の営業時間内に実施され、遵守を確認するために必要な範囲に限定され、費用はお客様の負担となります。監査は、当社のサブプロセッサーのシステムには及ばず、当社は可能な限り、サブプロセッサー自身の認証および報告書を提供します。

9. データの保持、返却、削除

9.1 アカウントを閉鎖する前に、ソフトウェアに搭載されているダウンロード機能を使用して、保管が必要な申告書、書類、記録などをすべて保存してください。また、サービス終了時に顧客個人データの返却を請求することもできます。

9.2 サービスの終了時には、お客様の選択に応じてお客様の個人データを削除または返却し、条項9.4に従って既存のコピーを削除します。

9.3 お客様がアカウントを閉鎖した場合、または書面で当社に依頼した場合、当社は9.4項に従い、3営業日以内にアクティブシステムからお客様の個人データを削除します。

9.4 お客様の個人データは、当社のアクティブシステムから削除された後も、定期的なバックアップに一時的に保持される場合があります。これらのコピーは保護された状態で保持され、バックアップ、セキュリティ、または災害復旧の目的で必要な場合を除き、復元またはその他の方法で処理されることはなく、通常の処理過程でバックアップが上書きされる際に削除されます。当社は、英国法で保管が義務付けられている場合に限り、サービス終了後もお客様の個人データを保持します。

10．あなたの義務

あなたはするであろう：

お客様の個人データを当社に提供し、その処理を指示するためには、法的根拠があり、必要に応じてお客様自身のクライアントの承認を得ていることを確認してください。
指示がデータ保護法に準拠していること、および顧客の個人データが正確かつ最新であることを確認してください。
アカウントの認証情報を安全に保管し、組織内で誰がアクセスできるかを管理する。
データ主体からの要求や規制当局からの問い合わせで、当社の支援が必要な場合は、速やかに当社にご連絡ください。
管理者または処理者として、該当する場合、データ保護法を遵守する責任はご自身にあります。

11. 責任

本データ処理契約に基づく、または本契約に関連する各当事者の責任は、利用規約に定める責任の制限および免除事項に従うものとします。本データ処理契約のいかなる条項も、法律上制限できない当事者の責任を制限するものではありません。

12. 一般

12.1 このデータ処理契約は、当社がお客様に代わってお客様の個人データを処理する限り適用され、本規約の終了後もその処理が終了するまで有効です。

12.2 顧客個人データの処理に関して、本DPAと利用規約との間に矛盾がある場合は、本DPAが優先されます。

12.3 当社は、法律またはソフトウェアの変更を反映するために、本データ処理契約を更新する場合があります。更新後の契約書は、このページに掲載します。重要な変更については、発効前に通知いたします。また、更新によってお客様の個人データの保護が著しく低下することはありません。

12.4 このデータ処理契約は、イングランドおよびウェールズの法律に準拠します。

付属文書

付属文書1 処理の詳細については、上記の第3項を参照してください。
付属文書2 – 技術的および組織的対策：アクセス制御、保護対象データベースデータおよびソフトウェアへの接続の暗号化、バックアップ、処理リスクに応じたアプリケーションセキュリティ制御。コンプライアンスを証明するために必要な情報は、第8項に記載されています。
付属文書3 – 認定サブプロセッサー：サブプロセッサページ.

接触

このDPAに関するお問い合わせは、お問い合わせフォームまたは、アカウント内のサポートメッセージを送信し、メッセージに「データ保護」と明記してください。