データ処理補足契約。

1. 定義と解釈

1.1 「契約」とは、Marathonがお客様に durin を提供するための契約を意味します。これには、注文書または企業契約、および署名された契約が存在しない場合は、https://getdurin.com/terms. の公開規約が含まれます。

1.2 「適用されるデータ保護法」とは、本契約に基づく顧客の個人データの処理に適用されるデータ保護法を意味します。これには、該当する場合、シンガポール個人データ保護法 2012 およびその規制 (「PDPA」)、規則 (EU) 2016/679 (「EU GDPR」)、および英国法の一部を形成する EU GDPR が含まれます。 (「英国 GDPR」)、2018 年データ保護法と併せて。[スイス連邦データ保護法などの他のデータ保護法の適用範囲については、公開前に弁護士によって確認されます]

1.3 「顧客の個人データ」とは、付録 1 に記載されているように、本契約に基づいて durin を提供するためにMarathonが顧客に代わって処理する個人データを意味します。これには、https://getdurin.com/privacy. のプライバシー通知に記載されているように、管理者または組織としてMarathonが独自の目的で処理する個人データは含まれません。

1.4 「制限付き転送」とは、PDPA の第 26 条、EU GDPR の第 V 章、または英国 GDPR の第 V 章の対象となる顧客個人データの転送を意味します。

1.5 「セキュリティ インシデント」とは、EU GDPR または英国 GDPR に基づく個人データ侵害、または PDPA に基づくデータ侵害を意味し、Marathonまたはそのサブプロセッサーが所有または管理する顧客の個人データに影響を与えます。

1.6 「サブプロセッサ」とは、durin を提供する際に、Marathonがその代理として顧客の個人データを処理する第三者を意味します。第 7.6 条に記載されている顧客が選択したサービスはサブプロセッサではありません。

1.7 「EU SCCs」とは、2021 年 6 月 4 日の欧州委員会実施決定 (EU) 2021/914 に添付された標準契約条項を意味します。「UK Addendum」は、データ保護法 2018 年バージョンのセクション 119A(1) に基づいて英国情報コミッショナーによって発行された EU 委員会標準契約条項への国際データ転送補遺を意味します。 B1.0、修正または置換。

1.8 「管理者」、「処理者」、「データ主体」、「個人データ侵害」および「処理」は、EU GDPR または英国 GDPR で与えられる意味を持ち、「組織」、「データ仲介者」、「個人データ」および「データ侵害」は、それぞれ関連する処理に適用されるため、PDPA で与えられる意味を持ちます。 「含む」とは、制限なく含むことを意味します。

2. 範囲と役割

2.1 この DPA は契約の一部を形成し、顧客の個人データの処理に適用されます。これは、両当事者が署名したときに発効し、契約終了後第 11 条が完了するまでを含め、Marathonが顧客の個人データを処理する限り継続されます。

2.2 お客様は、EU GDPR または UK GDPR に基づく顧客個人データの管理者、および PDPA に基づく組織であり、または別の管理者に代わってデータを処理します。Marathonは顧客の処理者であり、PDPA に基づいてデータ仲介者です。お客様が処理者として機能する場合、お客様は、その指示とMarathonの任命が関連する管理者によって承認されていることを確認します。

2.3 付録 1 には、処理の主題、性質、目的および期間、顧客個人データの種類、およびデータ主体のカテゴリーが記載されています。

2.4 Marathonは、プライバシー通知に基づいて管理者または組織として、アカウント管理、請求、サポート、セキュリティ、詐欺防止、製品分析、法令遵守などの独自の目的で個人データを処理します。その処理はこの DPA の外にあります。 [Marathonによるサービスデータの独立した処理の範囲は公開前に弁護士によって確認される]

3. 指示

3.1 Marathonは、適用される法律で別段の定めがない限り、制限付き転送に関するものを含め、お客様の文書化された指示に従ってのみお客様の個人データを処理します。その場合、公益上の重要な理由により法律で禁止されている場合を除き、Marathonは処理前に法的要件をお客様に通知します。

3.2 お客様の文書化された指示は、この DPA および契約書です。お客様による durin の構成と使用。これには、メンバー、役割、エージェント クライアント、接続、ポリシー、承認設定、会話キャプチャ モードと保存期間、通知チャネル、エクスポート先が含まれます。および両当事者が同意するさらなる書面による指示。

3.3 Marathonは、指示が適用されるデータ保護法に違反していると判断した場合、直ちにお客様に通知します。これは、Marathonが顧客に法的アドバイスを提供する義務を負うものではありません。

4. お客様の責任

4.1 顧客は、必要な通知を行うこと、必要な同意を取得すること、その処理に対する法的根拠または該当する例外を設けることを含め、その指示および durin に処理させる顧客の個人データの合法性について責任を負います。

4.2 お客様は、ユーザーが durin に接続するシステム、エージェント クライアント、およびモデル プロバイダーを決定します。 durin の制御は、durin 経由でルーティングされたリクエストに適用されます。エージェント クライアントは、返されたツールの結果をモデル プロバイダーに送信できますが、その条件は別途適用されます。

4.3 durin は、特別なカテゴリの個人データまたはその他の機密性の高い個人データに追加の保護手段を適用するように設計されていません。お客様は、そのようなデータを durin 経由でルーティングするかどうかを決定し、それに応じて接続、ポリシー、会話キャプチャを構成します。 [特別なカテゴリまたはその他の機密データに対する制限については、公開前に弁護士による確認が必要です]

4.4 お客様は、アカウント、認証情報、エージェント クライアント、デバイス、接続されたシステムを保護し、リスクに応じてポリシー、承認要件、アイデンティティ プロバイダーの設定などの durin の制御を構成する責任を負います。

5. 機密保持

5.1 Marathonは、顧客の個人データを処理する権限を与えた者が適切な機密保持義務を負い、durin を提供、サポート、保護するため、または法律を遵守するために必要な場合にのみ顧客の個人データにアクセスすることを保証します。

6. セキュリティ

6.1 Marathonは、最先端技術、実装コスト、処理の性質、範囲、背景と目的、および個人へのリスクを考慮して、付録 2 に記載されている技術的および組織的対策を実装します。Marathonは、PDPA がデータ仲介業者に要求するように、自社が所有または管理している顧客の個人データを保護するために合理的なセキュリティ措置を講じています。

6.2 Marathonは、更新によって顧客の個人データの全体的な保護が大幅に低下しないことを条件として、durin およびそれに対する脅威の変化に応じて付録 2 の措置を更新する場合があります。

6.3 付録 2 では、実施された制御と管理上の取り組みについて説明します。Marathonは、SOC 2 認証、ISO/IEC 27001 認証、または独立した侵入テストの結果を保持しておらず、付属書 2 の措置を認証または独立して保証したものとして表すものではありません。

7. 副処理者

7.1 お客様は、Marathonに副処理者と関わるための一般的な書面による許可を与えます。付録 3 には、この DPA の日付における副処理者がリストされています。現在のサブプロセッサのスケジュールは、https://getdurin.com/subprocessors. で公開されています。

7.2 Marathonは、副処理者の追加または交代の予定について、少なくとも新しい副処理者が顧客の個人データを処理する前に、署名ブロックのプライバシー担当者に電子メールで通知し、副処理者のスケジュールを更新することで、[公開前に弁護士によって確認される副処理者通知期間] までにお客様に通知します。

7.3 お客様は、通知期間内に privacy@getdurin.com に電子メールを送信することで、合理的なデータ保護を理由に変更に異議を唱えることができます。当事者は反対意見について誠意を持って協議します。解決できない場合、お客様は変更が発効する前に書面による通知により契約の影響を受ける部分を終了することができます。 [未解決の異議申し立てに対する救済策（前払い料金の返金を含む）については、公開前に弁護士による確認が必要です]

7.4 Marathonは、副処理者が提供するサービスに適用される範囲で、この DPA と同等以上のデータ保護義務を課す書面による契約に基づいて各副処理者と契約します。Marathonは、適用されるデータ保護法の要求に従って、再処理者の義務を履行することについて引き続き顧客に対して責任を負います。

7.5 リクエストに応じて、Marathonは副処理者に適用されるデータ保護条件に関する情報を提供します。Marathonは機密商業情報を編集する場合があります。

7.6 お客様が選択または接続するサービスは副処理者ではありません。これらには、お客様が durin に接続するシステム、お客様の Slack ワークスペースやその他の通知チャネル、Langfuse などのエクスポート先、お客様がガバナンス証拠のために接続する Vanta アカウント、お客様独自の API キーで使用される TypeSafe AI、エージェント クライアントとそのモデル プロバイダーが含まれます。Marathonは、顧客の指示に基づいて顧客の個人データを顧客に送信し、その処理には独自の条件が適用されます。

8. 個人データの国外移転

8.1 シンガポールでMarathonが設立される。Marathonおよびその副処理者は、シンガポールおよび付録 3 に各副処理者について記載されている国および地域で顧客の個人データを処理することがあります。Marathonは、契約に居住義務が明示的に含まれていない限り、特定の地域で顧客の個人データを処理することを約束しません。

8.2 Marathonまたは副処理者が、PDPA の対象となる顧客の個人データをシンガポール以外の国または地域に転送する場合、Marathonは、受信者が 2021 年個人データ保護規則の要求に従って、転送された個人データに少なくとも PDPA に基づく保護と同等の保護基準を提供する法的強制力のある義務に拘束されることを保証します。これらの義務が契約上のものである場合、契約には個人データの転送先となる国および地域が指定されます。Marathonは、PDPA の第 26 条に基づく自らの義務を果たすために合理的に必要な情報を顧客に提供します。 [公開前に弁護士による確認が必要な ASEAN モデル契約条項など、PDPA 移転の契約文書]

8.3 お客様によるMarathonへのお客様の個人データの転送が、十分性の決定または別の転送メカニズムの対象とならない EU GDPR 第 V 章に基づく制限付き転送である場合、EU SCCs は次のようにこの DPA に組み込まれます。モジュール 2 はお客様が管理者である場合に適用され、モジュール 3 はお客様が処理者である場合に適用され、お客様がデータ輸出者、Marathonがデータ輸入者として扱われます。第 9 条のオプション 2 は、第 7.2 条の通知期間とともに適用されます。第 11 条のオプションの文言は適用されません。 EU SCCs の付録 I および II は、この DPA の付録 1 および付録 2 で完成します。 [EU SCCs の第 7 条、第 13 条、第 17 条および第 18 条の選択、および第 3 条第 2 項に基づく EU GDPR の対象となる処理を行う輸入者への転送のメカニズムは、公開前に弁護士によって確認されます]

8.4 譲渡が英国 GDPR 第 45 条 A に基づく譲渡を承認する規制または別の譲渡メカニズムの対象外である、英国 GDPR の第 V 章に基づく制限付き譲渡である場合、UK Addendum によって修正された EU SCCs が適用され、UK Addendum の表 1 ～ 3 には以下の情報が記入されます。この DPA とその附属書。 UK Addendum がない場合、EU SCCs はこれらの転送には依存しません。 [表 4 の選択、および UK Addendum の代わりに英国国際データ転送協定を使用する場合は、公開前に弁護士による確認が必要です]

8.5 副処理者が制限付き転送の方法で顧客の個人データを処理する前に、Marathonは、必要に応じて EU SCCs と UK Addendum のモジュール 3、十分性決定またはその他の認められたフレームワーク、または PDPA の場合は法的強制力のある義務など、適用法の下で認められた転送メカニズムを法律で要求される補足措置とともに導入します。付録 3 では、各副処理者に使用されるメカニズムを特定します。

8.6 法律で禁止されていない限り、Marathonは、公的機関から顧客の個人データの開示を求める法的拘束力のある要求を受け取った場合には顧客に通知し、要求の合法性を評価し、要求に必要な最小限の顧客の個人データのみを開示します。Marathonは、制限付き譲渡に適用される法律および慣行の評価をサポートする合理的な情報をお客様に提供します。

8.7 本 DPA または本契約が EU SCCs または UK Addendum と矛盾する場合、矛盾の範囲内で EU SCCs または UK Addendum が優先します。

9. セキュリティインシデント

9.1 Marathon が EU GDPR または UK GDPR に基づいて顧客の処理者として機能する場合、Marathon はセキュリティ インシデントを認識した後、不当な遅滞なく顧客に通知します。MarathonがPDPAに基づいて顧客のデータ仲介者として機能する場合、Marathonは、顧客の個人データに影響を与えるデータ侵害が発生したと信じる理由がある場合、不当な遅滞なく顧客に通知します。

9.2 [公開前に弁護士によって確認される顧客通知期間] の契約上の通知対象は、第 9.1 項のいずれの義務も延期しません。 [プライバシー通知との整合性、認識することの定義、通知の内容は公開前に弁護士によって確認される]

9.3 通知には、その時点で判明している範囲で、関連するデータ主体と記録のカテゴリとおおよその数を含む、セキュリティ インシデントの性質が説明されます。その起こり得る結果。それに対処し、その影響を軽減するために講じられた、または提案された措置。詳細については連絡先をご確認ください。Marathonは、この情報が利用可能になり次第、段階的に提供する場合があります。

9.4 Marathonは、セキュリティインシデントを封じ込め、調査し、修復するために合理的な措置を講じ、監督当局、個人データ保護委員会および影響を受ける個人に通知する義務を果たすために顧客に合理的な支援を提供します。これらの通知を行うかどうかはお客様が決定します。Marathonは、法律で要求される場合を除き、お客様の承認なしにセキュリティ インシデントについてお客様の監督当局または影響を受ける個人に通知しません。

9.5 失敗した試行や、ping、ポート スキャン、要求の拒否、サインイン試行の失敗など、顧客の個人データのセキュリティを侵害しないアクティビティは、セキュリティ インシデントではありません。セキュリティ インシデントの通知は、過失や責任を認めるものではありません。

10. 支援

10.1 Marathonが顧客の個人データに関するデータ主体からのリクエストを受け取り、それが顧客に関連していると特定できる場合、Marathonは不当な遅滞なくそのリクエストを顧客に転送します。Marathonは、法律で別段の定めがない限り、お客様の対象となるデータを照会する場合を除き、リクエストに応じません。

10.2 処理の性質を考慮して、Marathonは、PDPA に基づくアクセスおよび修正の要求を含む、適用されるデータ保護法に基づくデータ主体の権利の行使の要求に対応するために、可能な限り適切な技術的および組織的手段によってお客様を支援します。 durin の管理機能 (メンバーの削除や監査レコードのエクスポートなど) は、これらの対応をサポートします。

10.3 処理の性質と利用可能な情報を考慮して、Marathonは、データ保護への影響評価、監督当局との事前協議、およびお客様のセキュリティおよび違反通知の義務について、お客様に合理的な支援を提供します。 [durin のセルフサービス機能を超える支援にかかる費用の割り当ては、公開前に弁護士によって確認されます]

11. 削除と返却

11.1 契約期間中、お客様はオプションの会話キャプチャの保存期間を 7、90、または 180 日、または Enterprise では 360 日に設定します。期限切れのキャプチャは読み取り不能になり、スケジュールされたクリーンアップによって削除されます。その他の顧客の個人データは、付録 1 に記載されているとおり、また顧客の指示に従って durin を提供するために必要に応じて保持されます。

11.2 本契約が終了すると、Marathonは顧客の個人データを [公開前に弁護士によって確認される削除および返却期間] 内に削除するか、顧客がそれまでに書面で選択した場合は返却し、その後残りのコピーを削除します。 ただし、適用される法律によりMarathonがデータを保持することが求められている場合はこの限りではありません。契約が終了する前に、お客様は durin のエクスポート機能を使用して監査記録をエクスポートできます。

11.3 バックアップ内の顧客の個人データは、[公開前に弁護士によって確認されるバックアップの有効期限] 内に期限切れになると削除されます。それまでは、Marathon はこの DPA に基づいてデータを保護し、積極的に処理しません。

11.4 法律によりMarathonが保持しなければならない顧客の個人データは、引き続きこの DPA の下で保護され、法律で要求される目的のためにのみ処理されます。お客様の書面による要請に応じて、Marathonは本条項に基づいて実行した削除を書面で確認します。

12. 情報と監査

12.1 Marathonは、https://getdurin.com/trust/review.md での durin セキュリティ レビュー、およびお客様の適切なセキュリティおよびプライバシーに関するアンケートへの書面による回答を含む、本 DPA および EU GDPR および英国 GDPR の第 28 条への準拠を証明するために合理的に必要な情報をお客様に提供します。

12.2 Marathonは、監査に代わる第三者の認定や認証を保有していません。第 12.1 項に基づく情報が順守を合理的に証明していない場合、または監督当局が要求する場合、顧客またはMarathonの競合他社ではない守秘義務を負う独立監査人は、合理的な事前の書面による通知に基づいてMarathonの本 DPA への順守を監査することができます。監査は営業時間内に行われ、顧客の個人データの処理に限定されており、他の顧客のデータへのアクセスを要求したり、durin のセキュリティを侵害したりしてはなりません。 [監査通知の期間、頻度、形式、費用配分は公表前に弁護士によって確認される]

12.3 EU SCCs の第 8.9 条に基づく監査は、EU SCCs と一致する範囲で、この条項に従って実行されます。

13. 責任

13.1 本 DPA に起因または関連して生じる各当事者の責任は、データ主体に対する責任を含め、適用されるデータ保護法、EU SCCs または UK Addendum でそのような制限が認められていない場合を除き、本契約における責任の制限および除外の対象となります。 [賠償責任の上限とデータ保護請求のカーブアウトは公開前に弁護士によって確認される必要があります]

14. 一般条項

14.1 顧客の個人データの処理には、EU SCCs および UK Addendum が適用される場合の優先順位が適用されます。次にこの DPA。次に、契約の残りの部分。 [注文フォーム、DPA、規約およびポリシーの優先順位は公開前に弁護士によって確認されます]

14.2 この DPA はシンガポール共和国の法律に準拠しており、EU SCCs または UK Addendum が異なる準拠法またはそれらに基づく紛争の法廷を必要とする場合を除き、シンガポールの裁判所がそれに起因または関連する紛争について専属管轄権を有します。

14.3 適用されるデータ保護法が変更された場合、または第 8 条の転送メカニズムが修正、置き換え、または無効になった場合、両当事者は、処理を合法に保つために必要な本 DPA の変更について誠意を持って交渉するものとします。

14.4 この DPA のいずれかの規定が無効または法的強制力がない場合でも、この DPA の残りの部分は引き続き有効となります。

14.5 この DPA に基づくMarathonへの通知は、privacy@getdurin.com に送信されます。一般および商用の通信は contact@getdurin.com に送信されます。顧客への通知は、署名ブロック内のプライバシー担当者に送信されます。

付録 1: 処理の説明

この附属書は顧客個人データの処理について説明し、適用される EU SCCs の附属書 I を完成させます。

データエクスポーター

署名ブロックで特定される顧客。役割: コントローラー、または自身のコントローラーに代わってプロセッサー。連絡先: 署名ブロック内のプライバシー連絡先。アクティビティ: durin を使用して、顧客が接続するシステムへのエージェントのアクセスを管理します。

データインポーター

シンガポールの企業、Marathon Digital Pte Ltd. (UEN 202023814G)、durin の運営者。役割: プロセッサー、および PDPA の下ではデータ仲介者。連絡先: privacy@getdurin.com。住所: [登録住所は公開前に弁護士によって確認されます]。アクティビティ: 契約に基づいて durin を顧客に提供します。

データ主体のカテゴリー

顧客のメンバー、管理者、および承認者。お客様の従業員、顧客、連絡先など、お客様のユーザーまたはエージェントが durin 経由でルーティングするコンテンツに個人データが表示される人物。接続、上流のアカウント、またはデバイスのメタデータで特定された人物。

個人データのカテゴリー

名前、電子メール アドレス、役割、チーム メンバーシップなどのメンバーシップおよびディレクトリ データ。ガバナンスおよび監査メタデータ（リクエスタ、エージェントクライアント、接続、ツール、リソース、ポリシー決定、承認、タイムスタンプ、実行結果など）。 durin 経由でルーティングされるツールのリクエストと結果に含まれる個人データ。お客様の上流アカウントに関連付けられた接続構成。管理者がキャプチャを有効にしている場合は、編集された会話コンテンツ。承認メモリがオンになっている間、承認決定は一方向の要求スケッチで記憶されます。 AI ポリシー草案のために管理者が送信するポリシーの説明 (有効になっている場合)。承認の詳細は顧客が選択した通知チャネルに配信されます。お客様が有効にしている場合、シャドウ MCP 検出を通じて報告されるデバイスとエージェントの構成メタデータ。

機密データ

何も意図されていません。お客様が特別なカテゴリの個人データまたはその他の機密個人データを durin 経由で転送する場合、第 4.3 項が適用され、付録 2 の措置によって保護されます。

周波数

お客様のユーザーとエージェントが durin を使用している間は継続的。

加工の性質

ユーザーおよびエージェントクライアントの認証。顧客のポリシーおよび承認に照らしてリクエストを評価する。許可されたリクエストを顧客が接続するシステムに送信し、その結果を返す。ガバナンスメタデータを記録する。承認の決定を記憶して、一致するリクエストを通知または決定できるようにする。オプションの AI 支援による政策ルールの起草。構成と暗号化された資格情報を保存します。オプションでパターンベースの編集による会話キャプチャ。承認通知を配信する。要求に応じて記録をエクスポートする。そしてデータの削除。

目的

契約に基づいて顧客に durin を提供、サポート、および保護するため。

期間と保持

契約期間中、第 11 条に基づく削除または返還まで。オプションの会話キャプチャは、お客様が設定した期間 (Enterprise では 7、90、または 180 日、または 360 日) 保持されます。 [ガバナンスメタデータおよびその他のカテゴリの保存期間は、公開前に弁護士によって確認されます]

サブプロセッサ処理

付録 3 にリストされているとおり、上記の処理と同じ性質、目的、期間を伴います。

所轄の監督機関

EU SCCs に基づく制限付き転送の場合、EU SCCs の第 13 条に基づいて決定される監督当局。英国 GDPR、情報委員会 (ICO) の場合。 PDPA、個人データ保護委員会の場合。 [各顧客の管轄監督機関は公開前に弁護士によって確認される]

付録 2: 技術的および組織的対策

Marathonは、お客様の個人データについて以下の措置を講じます。これらは実装された制御と管理のコミットメントであり、認証または独立して保証された制御ではなく、適用される EU SCCs の付録 II を完成させます。

本人確認とアクセスチェック

リクエストには、個人またはサービスの ID、組織、環境、および接続が含まれます。現在のメンバーシップと権限は実行前に再度チェックされます。非アクティブなメンバーシップ、未レビューのツール、および未承認のリソースは拒否されます。内部サービス呼び出しでは、組織、環境、操作、および有効期限にバインドされたスコープ機能が使用されます。

ポリシーと承認の管理

レビュー済みのリクエストはデフォルトで許可されます。顧客の管理者は、デフォルトの拒否を選択したり、環境内の書き込みを拒否したり、書き込みに対して独立した承認を要求したりすることができます。承認は、リクエスター、接続、正確な引数、リソース、ツールとポリシーのバージョンにバインドされます。有効期限が切れ、1 回だけ使用でき、要求者が許可することはできません。

認証とセッション

認証にはWorkOSを使用します。ブラウザ セッションは安全な HttpOnly Cookie を使用するため取り消すことができ、ブラウザの変更には同一生成元のチェックが必要です。お客様は、プランに含まれているシングル サインオンとディレクトリ同期のために ID プロバイダーに接続できます。多要素認証の強制は、お客様の ID プロバイダーとアカウント設定によって異なります。

暗号化

durin Web サイト、アプリケーション、およびゲートウェイのエンドポイントは HTTPS 経由で提供されます。選択した接続とエクスポート先の資格情報は、ローテーションのキーリング サポートを使用して、AES-256-GCM と認証されたコンテキストを使用してアプリケーション層で暗号化されます。

データの最小化

会話キャプチャのデフォルトはメタデータのみであり、送信されたメッセージ コンテンツは永続化の前に破棄されます。管理者は、Enterprise では 7、90、または 180 日間、または 360 日間、編集されたキャプチャを有効にすることができます。期限切れのキャプチャは読み取り不能になり、スケジュールされたクリーンアップによって削除されます。リダクションはパターンベースであり、完全なデータ損失防止ではありません。エラー診断は、リクエスト フィールド、ヘッダー、およびユーザー情報をフィルターします。

ロギングと監査

必要な監査意図は、管理されたリクエストが実行される前に記録されます。政策決定、承認、実行結果は、不確実な結果も含めて個別に記録されます。エクスポートでは要求者のアクセスが再チェックされ、パーツごとの SHA-256 チェックサムが含まれます。チェックサムによって記録の改ざんが防止されるわけではありません。

別離

顧客データは組織および環境ごとに論理的に分離され、管理される各リクエストは、リクエスト元の組織、環境、および現在のメンバーシップに対して承認されます。テナントの分離はエンタープライズ契約に含まれています。

安全な開発

変更はバージョン管理で追跡され、自動フォーマット、lint、タイプ、コントラクト、およびテスト スイートによってチェックされます。継続的統合では、依存関係の監査、シークレットのスキャン、ライセンスのレビュー、およびソフトウェア部品表の生成が定義されます。

人事

運用システムおよび顧客の個人データへのアクセスは、第 5 項の機密保持義務に基づき、durin の運用、サポート、または安全確保に必要なMarathon担当者に限定されます。

インシデント対応

Marathonは、アイデンティティの侵害、上流の同意の取り消し、キーのローテーション、および不確実な書き込みの調整に関する文書化された手順を維持し、第 9 条に基づいてセキュリティ インシデントを処理します。

可用性と回復

稼働時間、サポート、リカバリに関する約束は、契約に含まれている場合にのみ適用されます。 [バックアップ、復元のテスト、およびリカバリの目標は公開前に弁護士によって確認される]

安全性・信頼性

SOC 2 認証、ISO 認証、または独立した侵入テストの結果は主張されていません。Marathonは、該当する PDPA および GDPR の義務を遵守し、セキュリティ プログラムを ISO/IEC 27001 原則に適合させることに尽力しています。これらは経営陣の約束であり、認証ではありません。

付録 3: 副処理者

顧客は、第 7 条に基づいて以下の副処理者を承認します。変更は第 7.2 条に基づいて通知され、現在のスケジュールは https://getdurin.com/subprocessors. で公開されます。

署名

各当事者は、付属書を含むこの DPA に同意するために以下に署名します。双方が署名した時点で発効します。