データ処理契約（DPA）

よくある落とし穴

• 1.サブ処理者リストが欠落または古い——GDPRは管理者が実際に誰がデータに触れているかを知ることを要求する。
• 2.侵害通知期限が曖昧——「できる限り早く」は成熟したDPAでは具体的な時間（24、48、72）に置き換えられる。
• 3.監査権が欠落または純粋に仮説的——管理者は通常、オンサイト監査または最近のSOC 2 / ISO 27001レポートを必要とする。
• 4.国際転送メカニズムが未指定——Schrems II以降、DPAはメカニズム（SCC、十分性決定）を指定し、補完的措置を網羅する必要がある。
• 5.契約終了時のデータ返却または削除がオプション——GDPRはこれを必須とする。DPAはどちらか、いつまでに、を指定すべき。

よくある質問

DPAはいつ法的に必要ですか？

管理者がEUまたはEEA居住者の個人データを扱うために処理者を関与させる場合はいつでも。EU外の管理者と処理者も、EU居住者のデータを処理する場合は同様に対象となります。英国はUK GDPRの下でほぼ同一の制度を持ちます。

DPAとサービス契約の違いは何ですか？

サービス契約（またはマスターサービス契約）は、範囲、価格、SLAなど商業関係を網羅します。DPAは特にデータ保護を網羅し、独立した文書、付属書、またはメイン契約のセクションとなり得ます。成熟したSaaSベンダーのほとんどは、参照により組み込まれる独立したDPAを使用します。

顧客ごとに新しいDPAが必要ですか？

ほとんどのベンダーは、すべての顧客と使用する単一のDPAテンプレートを維持し、顧客固有の補足（特定のサブ処理者リストや監査頻度など）のみを交渉します。標準DPAは調達を加速します。顧客ごとのカスタムDPAは取引サイクルを大幅に遅くします。