データ処理に関する追加契約

役割と適用範囲

顧客が、顧客またはその宿泊客によって Sixto に入力される個人データの管理者（Responsable del Tratamiento）であり、[Sixto の法人名、S.A.S.] が処理者（Encargado del Tratamiento）です。DPA は、対象（Sixto の提供）、期間（サブスクリプション期間と削除期間）、処理の性質と目的（予約、宿泊客との連絡、法令に基づく届出、会計、業務のためのホスティングと処理）、データの種類（身元情報と連絡先、旅行情報、本人確認書類、支払記録、メッセージ、チーム記録）、対象者の区分（宿泊客、チームメンバー、所有者、連絡先）を定めます。

ウェブサイトの訪問者やアカウント保有者に関するデータについては、プライバシーポリシーに記載のとおり、Sixto が管理者です。

処理者の義務

Sixto は次の事項を守ります。

• 規約、DPA、および顧客による製品の利用によって文書化された顧客の指示に従ってのみ個人データを処理し、指示が法律に違反するとみられる場合は顧客へ伝えます。
• 個人データにアクセスする者に守秘義務を課します。
• データを販売せず、広告やプロファイリングに利用せず、AI モデルの学習にも利用しません。
• 処理活動の記録を保持し、法律で求められる場合は顧客の関係当局に協力します。
• Ley 1581 de 2012 とその規則、および適用される場合は GDPR に従ってデータを処理します。

再委託先

顧客は、Sixto が再委託先を利用することを包括的に承認します。各再委託先には DPA 以上の保護水準を持つデータ保護義務を定めた書面契約が適用され、Sixto は引き続き責任を負います。分類と目的は再委託先ページに記載し、現在の事業者名の一覧はお問い合わせにより提供します。

顧客の個人データを処理する再委託先を追加または変更する前に、通常は少なくとも 30 日前までに、メールまたはアプリ内で顧客へ通知します。顧客はデータ保護上の合理的な理由で異議を申し立てることができます。当社は解決策を協議し、解決できない場合は顧客が該当サービスを終了できます。

安全対策

Sixto は、リスクに応じた技術的・組織的対策を維持します。これには次のものが含まれます。

• 転送中のデータの暗号化。
• アプリケーションで実施する、顧客ごとのデータの論理的分離。
• ロールに基づく権限。範囲を限定した API キーと接続エージェントには、設定した本人を超える権限を与えません。
• 機微な操作の監査ログ。
• 連携の機密認証情報を保管する金庫。
• AI 事業者へテキストを送る前の機微情報の削除、および宿泊客の同意がある場合に限った AI による本人確認書類の読み取り。
• 顧客の同意がある場合に限るサポート担当者の顧客アカウントへのアクセス。既定では読み取り専用で、監査記録を残します。
• 定期的なバックアップと、本番システムのアクセス制御。

詳細はセキュリティページと DPA の全文をご覧ください。

個人データの侵害

顧客の個人データが、偶発的または違法な破壊、紛失、改変、無許可の開示やアクセスにつながるセキュリティ侵害を Sixto が認識した場合、不当に遅らせず、可能な限り認識から 72 時間以内に顧客へ通知します。通知には、侵害の性質、影響を受けるデータと人、想定される結果、実施済みまたは予定する対策について判明している内容を記載し、新たな情報が得られたら更新します。SIC（Superintendencia de Industria y Comercio）、その他の当局、影響を受ける人への通知の要否は顧客が決定し、Sixto が支援します。

顧客への支援

処理の性質を考慮し、Sixto は、権利（アクセス、更新、訂正、削除、同意の撤回、データポータビリティ、異議申し立て）を行使する人からの請求への対応、影響評価、当局との協議を顧客が進められるよう支援します。製品にはエクスポートと削除のツールがあります。顧客データについて本人が Sixto に直接連絡した場合、法律で要求されない限り、当社は顧客へ転送し、直接回答しません。

国際移転

顧客の個人データはコロンビア国外で処理される場合があります。Sixto は、SIC が認める基準や保護措置、または GDPR 対象データに対する標準契約条項など、適法な仕組みに基づく移転を確保し、必要に応じて DPA の全文に含めます。

返還と削除

顧客はアカウントが有効な間、データをエクスポートできます。契約終了後、Sixto は 30 日間エクスポート可能な状態を保ち、その後、有効なシステムからデータを削除し、バックアップについては保存期限の到来に伴い削除します。ただし、法律上、一部の記録の保持が必要な場合を除きます。要請があれば、Sixto は削除を書面で確認します。

監査と情報

Sixto は、合理的なセキュリティ質問票への回答や対策の概要など、DPA の遵守を示すために必要な情報を顧客へ提供します。それでも足りない場合、顧客は、侵害があった場合を除き年に 1 回を上限として、合理的な事前通知のうえ、営業時間内に、守秘義務の下で他の顧客のデータを公開せずに監査できます。監査の合理的な費用は顧客が負担します。

DPA の全文を請求する

DPA の全文、署名可能な写し、現在の再委託先一覧の請求や質問は [email protected] へお寄せください。会社名とアカウント所有者のメールアドレスを記載してください。