DPA（データ処理契約）

本データ処理契約（以下「本DPA」）は、NextFrontLine合同会社（以下「処理者」または「当社」）が提供する 「Next Office」（以下「本サービス」）を通じて、契約者（以下「管理者」またはお客様）が本サービスに登録・入力する 個人データの取扱いに関し、当社と管理者との間の権利義務を定めるものです。本DPAは利用規約の一部を構成します。

1. 役割の定義

• 管理者（お客様）: 本サービスに登録する個人データ（自社の従業員・スタッフ・取引先・顧客等の情報）について、取得の適法性・利用目的の特定・本人への通知/同意等の責任を負う主体。個人情報保護法上の「個人情報取扱事業者」に相当します。
• 処理者（当社）: 管理者の指示に基づき、本サービスの提供に必要な範囲で個人データを取り扱う主体。個人情報保護法第25条にいう「委託先」に相当します。
• 本DPAでいう個人データには、氏名・連絡先のほか、勤怠・シフト・給与・評価・有給・マイナンバーを除く人事労務に関する情報等、本サービスで管理者が取り扱う個人に関する情報を含みます。

特定個人情報（マイナンバー）は本サービスの取扱対象外です。 管理者は、番号そのもの、番号が判読できる画像・添付、番号を含む自由記述を入力またはアップロードしてはなりません。 誤登録を確認した場合は利用を停止し、法令・顧客指示・証跡保全手順に従って隔離・削除します。 取扱いを将来追加する場合も、専用権限・暗号化・アクセス記録・保存期限・専門家確認を完了し、別途書面合意するまでは受け付けません。

2. 処理の目的・対象・期間

• 処理の目的: 本サービス（利用規約に定める機能）の提供・運用・保守・障害対応・バックアップ、および管理者からの指示の履行に必要な範囲での個人データの取扱い。
• 処理の性質・行為: 保存、参照、編集、集計、表示、バックアップ、削除、管理者へのエクスポート提供、障害調査のための一時的な参照等。
• データ主体の類型: 管理者の役員・従業員・スタッフ・応募者、取引先・顧客の担当者等。
• 処理の期間: 利用規約に基づく契約期間中、および第7条に定める契約終了後のデータ返却・削除が完了するまで。

3. 処理者（当社）の義務

1. 指示に基づく処理: 当社は、本DPA、利用規約、および管理者の合理的かつ適法な指示（本サービスの通常の操作は指示とみなします）の範囲でのみ個人データを取り扱い、自己の目的のために利用しません。ただし、契約者を特定できない統計・匿名加工情報の生成・利用はこの限りではありません。
2. 秘密保持: 当社は、個人データを取り扱う従業者に秘密保持義務を課し、必要最小限の者のみがアクセスできるようにします。
3. 法令遵守: 当社は、処理者として適用される個人情報保護法その他の関係法令を遵守します。管理者の指示が法令に違反すると当社が判断した場合、当社は管理者にその旨を通知します。

4. 安全管理措置

当社は、個人データの漏えい・滅失・毀損を防止するため、プライバシーポリシー第7条に定める組織的・人的・物理的・技術的安全管理措置を講じます。主な技術的措置は次のとおりです。

• 通信の暗号化（HTTPS）
• ロール・テナントによるアクセス制御と、テナント単位でのデータの論理的分離
• 認証情報（パスワード）のハッシュ化保存、ログイン試行回数の制限、CSRF対策
• アクセスログ・操作ログの記録、権限最小化
• 定期的なバックアップ

5. 再委託（サブプロセッサー）

1. 当社は、本サービスの提供に必要な範囲で、個人データの処理の一部を第三者（サブプロセッサー。クラウドインフラ・バックアップ・決済・メール配信等の事業者）に再委託することがあります。管理者はこれにあらかじめ同意します。
2. 当社は、サブプロセッサーに対し、本DPAと同等以上の義務を課し、その選定・監督について責任を負います。
3. 当社は、サブプロセッサーの追加・変更のうち管理者に重要な影響を及ぼすものについて、事前または事後速やかに管理者へ通知します。管理者は、合理的な理由がある場合、当社に協議を求めることができます。

6. データ主体の権利行使への支援

1. データ主体（本人）から管理者に対し、開示・訂正・利用停止・削除等の請求があった場合、当社は、本サービスの機能（エクスポート・編集・削除等）の提供を通じて、管理者がこれに対応できるよう合理的に支援します。
2. データ主体から当社が直接請求を受けた場合、当社は原則としてこれに直接応じず、遅滞なく管理者に取り次ぎます。
3. 本サービスの標準機能を超える対応が必要な場合、当社と管理者は費用負担を含め別途協議します。

7. 契約終了時のデータの返却・削除

1. 管理者は、利用規約に定める契約期間中、および契約終了後30日間、本サービスの機能を用いて個人データをエクスポート（取得）できます。
2. 当社は、前項の期間経過後、管理者の個人データを合理的な期間内に削除します。バックアップ媒体上のデータは、通常のバックアップ運用のサイクルに従い順次削除されます。
3. 法令により保存が義務付けられる情報については、当該義務の範囲・期間に限り保持できるものとします。
4. 管理者は、当社に対し、削除完了の報告を書面（メールを含む）で求めることができます。

8. 漏えい等事案（インシデント）の通知

1. 当社は、当社が取り扱う個人データについて漏えい・滅失・毀損その他の安全を害する事案を認識した場合、遅滞なく管理者へ通知し、判明している事実（事案の概要・影響を受けるデータの範囲・当社が講じた措置等）を共有します。
2. 当社は、管理者が個人情報保護委員会への報告や本人への通知等の法令上の義務を履行できるよう、合理的に協力します。

9. 監査

1. 当社は、本DPAの遵守状況を確認するため、管理者の合理的な求めに応じ、安全管理措置の概要その他必要な情報を書面で提供します。
2. 管理者は、合理的な事前通知（原則30日前）のうえ、営業時間内に、本サービスの運用・秘密保持・他の契約者への影響に配慮した方法で、年1回を上限として監査を実施できます。第三者機関による監査報告書の提供をもって現地監査に代えることができます。
3. 監査に要する費用は、当社の重大な違反が判明した場合を除き、管理者の負担とします。

10. 外国にある第三者への提供

当社が国外のサブプロセッサーを利用して個人データを取り扱う場合、当社は個人情報保護法の定めに従い、当該外国にある第三者による相当措置の継続的な確保その他必要な措置を講じます。

11. 責任・優先関係

1. 本DPAに定めのない事項は利用規約によります。本DPAと利用規約が個人データの取扱いについて矛盾する場合、本DPAが優先します。
2. 本DPAに関する当社の責任の上限その他の免責は、利用規約第9条（保証の否認・免責）の定めに従います。
3. 本DPAの準拠法は日本法とし、管轄は利用規約第16条（前橋地方裁判所）によります。

12. お問い合わせ

本DPAに関するお問い合わせ・データの返却/削除・監査のご依頼は下記までご連絡ください。
NextFrontLine合同会社（Next Office 運営）
メール: info@nextfrontline.com ／ 電話: 0276-57-8418

制定・最終改定: 2026年7月17日