データ処理契約書
管轄および規制に関する重要な注意
本契約は、検討のための架空の記入例であり、法律上の助言でも、あらゆる場合に有効なデータ処理契約でもありません。イングランドおよびウェールズで業務を行う管理者と処理者を想定しています。UK GDPR、2018年データ保護法、国際移転に関する規則、業界規制および英国情報コミッショナー事務局の指針により、追加条項が必要となる場合があります。署名前に、最新の助言を得たうえで、実際の処理内容、契約上の方式、セキュリティ措置、移転および特別カテゴリーデータを確認してください。
1. 当事者および発効日
本契約は、2026年10月14日、18 Calder Street, Leeds LS2 7JP 所在、会社番号11984620の Harbourlight Community Clinics Ltd（ハーバーライト・コミュニティ・クリニックス社）（以下「管理者」）と、42 Meridian Park, York YO26 6RW 所在、会社番号13250741の Northstar Appointment Systems Ltd（ノーススター・アポイントメント・システムズ社）（以下「処理者」）との間で締結されます。本契約は、2026年9月30日付の両当事者のサービス契約に関連し、2026年11月1日から適用されます。
管理者は、民間の理学療法クリニックを運営しています。処理者は、予約、リマインダーおよび顧客サポートのホスティング・プラットフォームを提供します。処理の目的および手段は管理者が決定し、処理者は文書化された指示に従う場合に限り処理を行います。いずれの当事者も、法令がその当事者に負わせる責任を他方へ移転しません。
2. 処理の詳細および指示
処理者は、氏名、住所、連絡先、予約日、クリニックへの来院情報、アクセシビリティに関する要望、支払参照情報および通信内容を受け取ることがあります。一部の記録には、身体の健康に関する情報が含まれることがあります。データに関係する者は、患者、患者となる見込みの者、介護者、職員の連絡先および供給業者です。処理は、記録のホスティング、予約の管理、リマインダーの送信、サポート依頼への回答、合意した報告書の作成およびセキュリティの維持に限られます。
処理は、サービス契約の期間およびデータを返還または削除するために必要な限定的期間に限り行われます。管理者の書面による指示は、本契約、2026年9月30日付のサービス記述書、管理者が指名した連絡担当者の承認を受けた書面のチケット、ならびに法令と矛盾しない後日の書面指示です。処理者は、指示が適用されるデータ保護法に違反するように見える場合、管理者に知らせなければならず、データを広告、処理者自身の目的のためのプロファイリング、販売または無関係な製品開発に使用してはなりません。
管理者は、自らの通知、適法な処理根拠、必要な場合の同意記録、保存期間および指示が適切であること、合理的に正確なデータを提供すること、ならびに権利請求についての処理者からの質問に回答することを確保します。これらの義務は、処理者の違反だけが原因で生じた不履行について管理者が責任を負うことを意味しません。
3. 秘密保持および人員
処理者は個人データを秘密として保持し、個人データにアクセスする可能性がある従業員、臨時職員および請負人に秘密保持義務を負わせなければなりません。アクセスは、サービスのために必要な者に限定します。処理者は適切な研修を実施し、アクセス記録を維持します。処理者を退職した者またはもはやアクセスを必要としない者については、速やかにアクセスを削除しなければなりません。
4. セキュリティ措置
処理者は、リスクに応じた技術的および組織的措置を維持します。これには、固有アカウント、管理者アクセスについての多要素認証、通信中およびバックアップの暗号化、役割に基づく権限、マルウェア対策、脆弱性管理、復旧テスト、物理的管理およびセキュリティログが含まれます。処理者は、少なくとも年1回、業務継続および復旧をテストします。
処理者は、合理的な請求があった場合、機微なセキュリティ情報を保護することを条件として、最新のセキュリティ概要を管理者に提供します。処理者は、個人データの侵害を認識した後、不当な遅滞なく管理者に通知し、その性質、結果、影響を受けたデータおよび是正措置について利用可能な情報を提供しなければなりません。情報コミッショナー事務局または個人に通知するかどうかは、法令に別段の定めがない限り、管理者が決定します。
通知には、判明している範囲で、発生または判明した時期、影響を受けた記録の種類、想定される影響、既に実施した封じ込めおよび今後の是正予定を含めます。処理者は、事実が未確定であることを理由に通知を不当に遅らせず、判明した追加情報を合理的な間隔で補足します。
5. 再委託先および国際的アクセス
管理者は、処理者が、暗号化されたインフラストラクチャのホスティングのために7 Riverside Exchange, Manchester M3 4EN 所在の Cloudmere Hosting Ltd（クラウドミア・ホスティング社）を、テキストメッセージ配信のために11 Kingfisher Way, Bristol BS1 5TR 所在の Belltower Messaging Ltd（ベルトタワー・メッセージング社）を使用することを、一般的な書面承認により認めます。処理者は、重要な変更を提案する場合、少なくとも30日前に書面で通知しなければなりません。管理者は、合理的なデータ保護上の理由により異議を述べることができます。処理者は各再委託先に、実質的に同等の保護を提供する書面上の義務を課し、再委託先の履行について責任を負い続けます。
処理者は、管理者が書面で取決めを承認し、処理者が必要な十分性認定、適切な保護措置、移転リスク評価および補完的措置に関する手順を完了していない限り、英国外で個人データへのアクセスを許可し、または個人データを移転してはなりません。該当する場合、遠隔サポートアクセスは国際移転として扱います。
6. 権利請求、苦情および支援
処理者は、データ主体からの請求または苦情を速やかに管理者へ転送しなければならず、管理者の書面指示がある場合または法令が回答を要求する場合を除き、それに回答してはなりません。処理の内容を考慮し、処理者は、アクセス、訂正、消去、処理制限、データポータビリティ、異議申立て、セキュリティ評価、侵害調査、協議および規制当局からの照会について合理的な支援を行います。請求が通常と異なり、処理者の過失によるものでない場合、管理者は合理的で記録により裏付けられた支援費用を償還します。
7. 監査、保存および返還
処理者は、遵守状況の記録を保存し、合理的な監査情報を提供します。管理者は、年1回、15営業日前の通知により、独立したセキュリティ報告書を検討するか、相当な範囲の遠隔監査を行うことができます。規制当局からの要請、重大な事故または重大な不遵守が明らかな場合は、秘密保持および合理的な業務妨害の制限を条件として、現地監査を行うことができます。
サービスが終了するとき、管理者の選択により、処理者は一般に使用される形式で個人データを返還し、その後30日以内に自らの複製を安全に削除します。ただし、法令が保存を要求する場合を除きます。処理者は、削除が完了した時に管理者へ知らせ、保存されたデータを保護し、その他の目的でアクセスできない状態にし、保存義務が終了した時に削除します。バックアップは処理者の通常のサイクルにより上書きしますが、そのサイクルは90日を超えてはなりません。
返還または削除に当たっては、処理者は、通常利用される形式で管理者がデータを再利用できるようにし、削除の実施状況を確認できる情報を提供します。法令により保存されるデータは、保存が必要な期間中も本契約の秘密保持およびセキュリティ上の保護の対象となり、他の目的のために検索、利用または復元してはなりません。バックアップからの消去に時間を要する場合であっても、通常の上書きサイクルが完了するまで、同じ保護水準を維持します。
8. 責任、優先順位および署名
サービス契約の責任条項は、法令上適法に制限できない責任に従うことを条件として適用されます。本契約が強行的なデータ保護要件と抵触する場合、その要件が優先します。処理指示または本契約の変更は、権限を有する代表者が書面で署名しなければなりません。
Harbourlight Community Clinics Ltd を代表して：
氏名：Eleanor Ruth Maddox（エレノア・ルース・マドックス）、最高執行責任者
署名：____________________ 日付：2026年10月14日
Northstar Appointment Systems Ltd を代表して：
氏名：Daniel Imran Shah（ダニエル・イムラン・シャー）、代表取締役
署名：____________________ 日付：2026年10月14日
各署名者は、署名する権限を有することを確認します。