個人情報の取扱いに関する覚書

〔利用者〕（以下「甲」という）とFINSTEP合同会社（以下「乙」という）は、乙が提供する電子契約システム「FIN SIGN」（以下「本サービス」という）の利用規約（以下「利用規約」という）に基づく本サービスの利用に伴い、甲が乙に委託する個人データの取扱いに関し、次のとおり覚書（以下「本覚書」という）を締結する。本覚書は利用規約と一体をなすものとし、本覚書に定めのない事項は利用規約の定めによる。

第1条（目的）

本覚書は、甲が本サービスの利用にあたり、甲の取得した個人データの取扱いを乙に委託するについて、個人情報の保護に関する法律（以下「個人情報保護法」という）その他の法令を遵守し、当該個人データを安全かつ適正に取り扱うために必要な事項を定めることを目的とする。

第2条（委託業務の範囲）

甲が乙に委託する業務（以下「本業務」という）は、次のとおりとする。

（1）本サービスによる契約書等の電子的な送信、締結および保管

（2）合意締結証明書の作成および交付

（3）前各号に付随する処理（受信者の認証、送信・閲覧・合意に関する記録の作成、およびメールの配信を含む）

第3条（取り扱う個人データ）

1.　本業務において乙が取り扱う個人データ（以下「取扱データ」という）は、次のとおりとする。

（1）契約の相手方（受信者）の氏名、メールアドレス、会社名・所属その他契約書等に記載された情報

（2）署名画像

（3）甲が設定した役割（契約当事者本人、法定代理人、連帯保証人等の表示）。当該表示は甲の申告に基づくものであり、乙はその内容が事実に合致することを確認しない。

（4）IPアドレス、ユーザーエージェント、閲覧日時、合意日時その他本サービスが記録する情報

2.　甲は、要配慮個人情報（個人情報保護法第2条第3項）を含む契約書等を本サービスにアップロードする場合、あらかじめ本人の同意を得るなど、法令上必要な対応を自らの責任において行う。

第4条（甲の責任および表明保証）

1.　甲は、取扱データを適法かつ適正に取得したこと、および本業務のために乙に委託することについて、法令上必要な手続を履践していることを表明し、保証する。

2.　甲は、取扱データに係る本人に対し、利用目的の通知または公表その他個人情報保護法上甲において必要となる対応を、自らの責任において行う。

3.　甲は、受信者が未成年者その他行為能力に制限のある者である場合において、法定代理人その他の同意権者の同意の取得その他必要な対応を、自らの責任において行う。乙は、受信者の年齢または行為能力を確認せず、同意の有無および有効性についても確認しない。

第5条（目的外利用の禁止）

乙は、取扱データを、本業務の遂行に必要な範囲を超えて取り扱ってはならない。ただし、法令に基づく場合、および本サービスの保守・障害への対応・不正利用の調査のために必要な場合は、この限りではない。

第6条（安全管理措置）

1.　乙は、取扱データの漏えい、滅失または毀損の防止その他の安全管理のため、乙が定める「FIN SIGN プライバシーポリシー」に記載する安全管理措置（アクセス制御、通信および保存データの暗号化、監査ログのハッシュチェーンによる改ざん検知、監査ログの追記専用化、利用者ごとのデータの論理的分離を含む）を講じる。

2.　乙は、前項の安全管理措置を変更する場合において、当該変更が安全管理の水準を実質的に低下させるものであるときは、あらかじめ甲に通知する。

3.　乙は、取扱データを取り扱う従業者を必要最小限に限定し、当該従業者に対して必要かつ適切な監督を行う。

第7条（秘密保持）

乙は、取扱データおよび本業務に関して知り得た甲の秘密を、第三者に開示し、または漏えいしてはならない。ただし、法令に基づき開示を求められた場合はこの限りではなく、この場合、乙は、法令上許される限り、事前に（事前の通知が困難なときは事後速やかに）甲に通知する。

第8条（再委託）

1.　乙は、本業務の一部を第三者（以下「再委託先」という）に再委託することができる。再委託先の一覧および個人データの保管先の国は、乙のウェブサイト（https://sign-system.finstep.co.jp/subprocessors）に掲載し、甲はいつでもこれを確認することができる。

2.　乙は、再委託先を追加または変更する場合、利用規約第13条の定めに従い、事前に甲に通知する。

3.　乙は、再委託先に対し、本覚書に基づき乙が負う義務と同等の義務を課すとともに、再委託先の行為について、甲に対して責任を負う。

第9条（外国における取扱い）

1.　甲は、乙が、メール配信のために米国に所在する再委託先（Plus Five Five, Inc.。サービス名「Resend」。以下本条において「同社」という）を利用すること、およびこれに伴い、契約締結の完了時に契約書PDFを添付したメール（宛先・件名・本文を含む）が同社のシステムを経由し、送信記録として保管されることを、あらかじめ承認する。当該情報は、乙と同社との契約の終了後90日以内に削除される。

2.　乙は、前項の再委託先その他外国にある第三者への個人データの提供に該当する再委託について、個人情報保護法第28条第1項および同法施行規則第16条に定める基準に適合する体制を整備している第三者を選定し、当該第三者による相当措置の実施状況、および当該実施に影響を及ぼすおそれのある当該外国の制度の有無・内容を、年1回を目安として定期的に確認する。

3.　乙は、前項の確認の結果、相当措置の継続的な実施に支障が生じていることが判明した場合、必要かつ適切な措置を講じ、当該措置によっても支障の解消が困難であるときは、当該第三者への個人データの提供を停止するとともに、その旨を甲に通知する。

4.　乙は、本人の求めに応じ、個人情報保護法第28条第3項および同法施行規則第18条第3項に定める情報を提供する。甲が本人から当該情報の提供を求められた場合、乙は、甲の求めに応じて必要な情報を甲に提供する。

第10条（漏えい等への対応）

1.　乙は、取扱データの漏えい、滅失、毀損またはそのおそれ（以下「漏えい等」という）を知ったときは、速やかに（原則として知った時から3営業日以内に、その時点で判明している内容を）甲に報告し、原因の調査、被害の拡大防止および再発防止のために必要な措置を講じる。

2.　乙は、前項の報告後、調査の進捗に応じて追加の情報を甲に報告し、甲が個人情報保護法第26条に基づく報告および通知を行うために必要な協力を行う。

3.　個人情報保護法に基づく個人情報保護委員会への報告および本人への通知は、法令の定めに従い甲が行うことを原則とし、乙はこれに必要な協力を行う。ただし、乙が自ら報告義務を負う場合は、この限りではない。

第11条（開示等の請求への協力）

甲が、取扱データの本人から、開示、訂正、追加、削除、利用停止等の請求を受けた場合、乙は、本サービスの検索・一覧出力等の機能の提供その他の方法により、甲の対応に協力する。締結済みの契約書PDFおよび合意締結証明書に記録として固定された情報については、契約記録の完全性を保つ必要があるため、個別の項目のみの削除には応じられず、契約書単位での削除となることを、甲はあらかじめ了承する。

第12条（取扱状況の報告および監査）

1.　甲は、乙に対し、取扱データの取扱状況について報告を求めることができ、乙は、合理的な範囲でこれに応じる。

2.　甲および乙は、年1回を目安として、安全管理措置の実施状況を書面（電磁的方法を含む）により確認する。

3.　甲は、法令上の義務の履行のために必要かつ合理的な理由がある場合、あらかじめ乙に通知したうえで、乙の取扱状況について調査を行うことができる。この場合、乙の他の利用者に関する情報、乙の営業秘密および乙が第三者に対して負う秘密保持義務に係る情報は、調査の対象から除かれる。調査に要する費用は、甲の負担とする。

第13条（責任）

1.　乙が本覚書に違反したことにより甲に損害が生じた場合の乙の責任は、利用規約第10条の定めによる。

2.　前項の定めは、乙が取扱データに係る本人その他の第三者に対して負う責任を制限するものではない。

第14条（委託終了時の取扱い）

本業務の終了後の取扱データの取扱いは、利用規約第11条の定めによる。乙は、同条に基づく削除を完了したときは、甲の求めに応じ、その旨を甲に通知する。

第15条（有効期間）

本覚書の有効期間は、利用規約に基づく利用契約の期間と同一とする。ただし、第7条、第11条、第13条および第16条の規定は、本覚書の終了後も有効に存続する。

第16条（協議、準拠法および管轄）

1.　本覚書に定めのない事項または本覚書の解釈に疑義が生じた事項については、甲乙誠実に協議のうえ解決する。

2.　本覚書は日本法に準拠し、本覚書に関する紛争については、名古屋地方裁判所を第一審の専属的合意管轄裁判所とする。

本覚書の締結を証するため、甲および乙は、電磁的方法（本サービスによる締結を含む）または書面により、本覚書を締結する。

締結日：FIN SIGN における締結日時による。

甲：FIN SIGN の登録情報による利用者

乙：愛知県名古屋市中区新栄一丁目8番35号

FINSTEP合同会社

代表社員　長峰 聡