データ処理委託契約

• データ管理者：Stampazのアカウント保有者である事業者。その法的情報は設定に入力されたとおりとします。
• 処理受託者：Miranda Network, S.L.、税番号 B-75866194、所在地 Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España)、連絡先 support@mirandanetwork.es。

受託者は、ポイントカードサービスの提供のためにのみデータを処理します：顧客の登録、スタンプ・ポイント・特典の管理、Apple WalletおよびGoogle Walletにおけるカードの発行と更新、管理者が決定したお知らせの送信、統計、顧客の権利行使への対応。

処理の内容：収集、記録、保存、照会、変更、カード発行のためのAppleおよびGoogleへの提供、エクスポート、削除。

委託の期間は、事業者がStampazのアカウントを保有している間とします。

• データ主体：管理者のポイントプログラムに登録した顧客、およびスキャナーを使用する管理者のスタッフ。
• データ：氏名、管理者が求めた場合はメールアドレス・電話番号・誕生日、来店・スタンプ・ポイント・特典の履歴、お得な情報に関する設定、同意の証拠（日時と文書のバージョン）、カードの技術的識別子。
• 特別な種類のデータおよび位置情報は処理しません。近くでのお知らせは顧客のスマホが判断します。

管理者は、管理画面の設定を通じて指示を与えます：求めるデータ、送信するお知らせ、休眠顧客の保存期間（6〜60か月）、顧客に表示する法的情報。登録時、顧客には管理者の情報を含む第一層の情報が表示され、Stampazはその同意の証拠を保存します。

受託者は、ある指示が法令に違反すると判断した場合、管理者にその旨を通知します。

• 管理者の文書化された指示にのみ従ってデータを処理し、自己の目的に使用しないこと。
• データの処理を許可された者の守秘義務を確保すること。
• GDPR第32条のセキュリティ措置を講じること：通信の暗号化、事業者ごとのデータの分離、アクセス管理、バックアップ、アクセスログ。
• データ主体の権利行使への対応について管理者を支援すること。顧客は、カードからデータの訂正とダウンロード、お得な情報の受け取り停止、すべての削除ができます。受託者に届いた請求は遅滞なく管理者に転送します。
• セキュリティ侵害を、不当な遅滞なく、いかなる場合も認知してから最大48時間以内に、入手可能な情報とともに管理者に通知すること。
• 必要に応じて、影響評価および監督機関への事前相談について管理者を支援すること。
• 遵守を証明するために必要な情報を管理者に提供し、30日前の事前通知により、管理者の費用負担で合理的な監査を認めること。
• 受託者として処理活動の記録を保持すること。

管理者は、以下の再委託先を包括的に承認します：

• Supabase：データベース、認証、ストレージ（EU内でホスティング）。
• Vercel：アプリケーションのホスティング。フランクフルト・リージョン（欧州連合）で稼働。
• AppleとGoogle：各Walletにおけるカードの発行と更新（カードの内容のみ：氏名、スタンプまたはポイント、コード）。

再委託先の変更については、管理者が異議を述べられるよう少なくとも15日前に通知します。異議があり代替手段がない場合、管理者は解約できます。各再委託先は同等の義務を負います。EEA外への移転は、GDPR第5章の保護措置（EU-米国データプライバシーフレームワークなどの十分性認定、または標準契約条項）に基づいて行われます。

• 設定に法的情報を入力し、顧客に情報を提供し、有効な法的根拠を有すること。
• お得な情報は同意した人にのみ送り、お知らせを濫用しないこと。
• スタッフがGDPRを遵守し、スキャナーへのアクセスを適切に管理するよう監督すること。

サブスクリプションが終了すると、受託者は30日後にすべてのデータを自動的に削除します。その期間中、管理者はデータをエクスポート（JSON）できます。管理者がアカウントを削除した場合、削除は即時に行われます。法律により保存が義務付けられたデータのみ、ブロックされた状態で保存されます。