個人情報の取扱いに関する覚書（仮案）

契約者（以下「甲」）とVALUE ARCHITECTS株式会社（以下「乙」）は、GH-OS利用契約（以下「原契約」）に基づき乙が甲から取扱いの委託を受ける個人データについて、次のとおり合意する。

第1条（委託の内容）

甲は乙に対し、原契約に基づくシステムの提供・保守・サポートに必要な範囲で、次の個人データの取扱いを委託する。

• 甲の職員に関する情報（氏名、連絡先、勤務情報等）
• 甲の事業所を利用する障害者に関する情報（氏名、障害支援区分、健康状態、支援記録、請求情報等の要配慮個人情報を含む）

第2条（目的外利用の禁止）

乙は、委託された個人データを、原契約の履行に必要な範囲を超えて取り扱わない。統計処理等の二次利用を行う場合は、個人を識別できない形式に加工したうえで、事前に甲の書面による同意を得る。

第3条（安全管理措置）

1. 契約者単位のデータベース分離、通信の暗号化（TLS）、アクセス権限管理、監査ログの記録
2. 自動バックアップ（30日間）と復旧手順の整備
3. 取扱いに従事する従業者の限定と教育・監督

第4条（再委託）

乙は、稼働基盤としてクラウド事業者（Cloudflare, Inc.）を利用する。これ以外に再委託を行う場合は、事前に甲へ通知し、再委託先に本覚書と同等の義務を課す。

第5条（漏えい等の報告）

乙は、個人データの漏えい・滅失・毀損またはそのおそれを認知した場合、直ちに甲へ報告し、被害の拡大防止・原因調査・再発防止に必要な措置を講じる。個人情報保護委員会への報告・本人通知は、法令の定めに従い甲乙協力して行う。

第6条（開示等請求への協力）

本人またはその家族から甲に対して開示・訂正・利用停止等の請求があった場合、乙は甲の指示に従い必要な協力を行う。

第7条（契約終了時の措置）

原契約が終了した場合、乙は甲の指示に従い、個人データを汎用形式（CSV等）で甲に返還し、返還後は乙の保有する個人データを遅滞なく削除する。

第8条（監査）

甲は、乙の個人データの取扱状況について、合理的な範囲で報告を求めることができる。

締結日: 　　年　　月　　日（原契約と同日）