第1条（当事者）
本データ処理契約（以下「本DPA」）は、以下の当事者間で締結される。
データ処理者: Gojiberry（以下「処理者」） アンケートおよびプロダクトクイズ機能を提供するShopifyアプリケーション
データ管理者: 顧客（以下「管理者」） Gojiberryアプリケーションをインストールしたショップ
以下、両者を総称して「両当事者」という。
第2条（背景）
管理者はShopifyストアを運営し、処理者のアプリケーション（Gojiberry）を使用して、管理者の顧客に対してアンケートおよびプロダクトクイズを実施している。このサービスの提供において、処理者は管理者に代わって個人データを処理する。
本DPAは、処理者が一般データ保護規則（EU）2016/679（以下「GDPR」）およびその他の適用されるデータ保護法に従って個人データを処理する条件を定めるものである。
第3条（定義）
第4条（処理の対象および範囲）
4.1 データ主体のカテゴリ アンケートまたはプロダクトクイズを利用する管理者のShopifyストアのエンドカスタマー。
4.2 個人データのカテゴリ 処理者は以下のカテゴリの個人データを処理する場合がある：
4.3 処理の性質及び目的 個人データは以下の目的のためにのみ処理される：
4.4 処理の期間 処理は、両当事者間のサービス契約の期間中、および第8条に規定する保持期間にわたって継続する。
第5条（処理者の義務）
処理者は以下を行うものとする：
第6条（復処理者）
6.1 承認された復処理者 管理者は、処理者が復処理者を関与させることについて一般的な承認を与える。現在の復処理者のリストは付属書Aに記載されている。
6.2 義務 処理者は以下を行うものとする：
第7条（データ主体の権利）
処理者は、以下を含むデータ主体からの要求に対応する管理者の義務の履行を支援するものとする：
処理者は、ShopifyのGDPR Webhookを通じて受信した削除要求を処理するメカニズムを提供する。
第8条（データの保持および削除）
8.1 保持期間 個人データは、処理の目的を達成するために必要な期間、または適用法で要求される期間のみ保持される。
8.2 契約終了時の削除 サービス契約の終了時、処理者は以下の場合を除き、30日以内にすべての個人データを削除するものとする：
8.3 削除要求 サービス期間中に受信したデータ主体からの削除要求については、処理者は有効な要求を受領してから30日以内の合理的な期間内に関連する個人データを削除するものとする。
第9条（データ侵害の通知）
本DPAに基づいて処理される個人データに影響するデータ侵害が発生した場合：
第10条（監査権）
処理者は以下を行うものとする：
第11条（国際データ移転）
個人データは、以下を含む欧州経済領域（EEA）外の国に移転され、処理される場合がある：
かかる移転は、以下に依拠してGDPR第5章に準拠して行われる：
各復処理者の移転メカニズムの詳細は付属書Aに記載されている。
第12条（一般条項）
12.1 準拠法 本DPAは、両当事者間の主たるサービス契約に適用される法律に準拠する。
12.2 修正 本DPAの修正は、書面で行い、両当事者が署名しなければならない。
12.3 矛盾 本DPAと主たるサービス契約との間に矛盾がある場合、データ保護に関する事項については本DPAが優先する。
12.4 可分性 本DPAのいずれかの条項が無効または執行不能と判断された場合、残りの条項は引き続き完全な効力を有する。
付属書A：復処理者
以下の復処理者は、管理者に代わって個人データを処理することを承認されている：
注: 以下の分析ツールは、サービス改善目的でGojiberryのウェブサイト/アプリケーションで使用されている。これらのツールは限定的なデータ（通常は匿名化または仮名化されたデータ）を処理し、顧客の個人データを直接処理するためには使用されない：
付属書B：技術的・組織的セキュリティ対策
処理者は、個人データを保護するために以下のセキュリティ対策を実施する：
1. データの暗号化
2. アクセス制御
3. 監査ログ
4. インフラストラクチャセキュリティ
5. 組織的対策
制定日
2026年8月20日
