データ処理契約

本データ処理契約(以下「DPA」という。)は、両当事者間におけるZentrum24 Academyコンプライアンス研修プラットフォームの提供に関する契約(以下「主契約」という。)の一部を構成し、これに従うものとする。本DPAは、以下の当事者間で締結される。

• 登記上の住所を1621 Central Ave, Cheyenne, Wyoming 82001, USAに置く会社であるZentrum24 LLC(以下「Zentrum24 Academy」または「処理者」という。)、および
• 主契約および附属書Iにおいて特定される顧客(以下「顧客」または「管理者」という。)。

Zentrum24 Academyおよび顧客は、それぞれ「当事者」といい、総称して「両当事者」という。本DPAは、ロールベースのトレーニング割当て、SCORMコース、クイズ、21 CFR Part 11電子署名、改ざん検知可能な監査証跡および修了証を管理するために利用されるZentrum24 Academyのマルチテナント型Software-as-a-Serviceコンプライアンス学習管理システム(以下「本サービス」という。)に関連する個人データの処理についての両当事者の合意を反映するものである。

1. 定義および解釈

1.1 「データ保護法」とは、規則(EU)2016/679(以下「GDPR」という。)、英国法として維持されたGDPR(以下「UK GDPR」という。)および2018年英国データ保護法、ならびに該当する場合にはスイス連邦データ保護法を含む、本DPAに基づく個人データの処理に適用されるすべての法令をいう。

1.2 「管理者」、「処理者」、「データ主体」、「個人データ」、「個人データ侵害」、「処理」、「特別な種類の個人データ」および「監督機関」の各用語は、GDPRにおいて定義された意味を有する。

1.3 「再処理者」とは、本DPAに基づき顧客のために個人データを処理することをZentrum24 Academy(またはZentrum24 Academyの他の再処理者)が委託した第三者をいう。

1.4 「SCCs」とは、2021年6月4日付欧州委員会実施決定(EU)2021/914に定める第三国への個人データの移転のためのStandard Contractual Clausesをいい、英国国際データ移転アデンダムおよび適用されるスイスの修正条項を含む。その詳細は第12条に定めるとおりとする。

1.5 個人データの処理に関して本DPAと主契約との間に矛盾が生じた場合には、本DPAが優先する。本DPAとSCCsとの間に矛盾が生じた場合には、SCCsが優先する。

2. 処理の対象事項、期間、性質および目的

2.1 役割。 顧客は、本サービスを提供するために処理される個人データに関して管理者であり、Zentrum24 Academyは処理者である。Zentrum24 Academyが自己の正当な事業目的(例えば、アカウント管理、請求、セキュリティ、不正防止、ならびに集計されたデータまたは識別不能化されたデータを用いた製品改善)のために独立した管理者として限定的な個人データを処理する場合、Zentrum24 Academyは、自己のプライバシー通知および適用されるデータ保護法に従ってこれを行うものとし、当該処理は本DPAの適用範囲外とする。

2.2 対象事項。 処理の対象事項は、顧客のために行う本サービスの提供、運用、サポートおよびセキュリティの確保である。

2.3 期間。 Zentrum24 Academyは、主契約の期間中および第10条(削除および返還)に定める追加の期間、個人データを処理する。ただし、適用法によりこれより長期の保存期間が要求される場合は、この限りでない。

2.4 性質および目的。 処理の性質および目的は、コンプライアンス研修のための学習管理システムをホスティングし、運用することであり、これには次の事項が含まれる。すなわち、テナントアカウントおよびユーザー記録の作成および管理、ロールベースのトレーニングの割当ておよび追跡、SCORMコースおよびクイズの配信、修了状況、スコアならびに21 CFR Part 11電子署名の記録、修了証の発行、改ざん検知可能なハッシュチェーン方式の監査証跡の維持、ならびにセキュリティ、監視、バックアップおよびサポートの提供である。

2.5 データ主体および個人データの類型ならびに処理に関するその他の詳細は、附属書Iに定めるとおりとする。

3. 文書化された指示のみに基づく処理

3.1 Zentrum24 Academyは、国際移転に関する事項を含め、顧客の文書化された指示のみに基づいて個人データを処理する。ただし、Zentrum24 Academyが服する欧州連合法または加盟国法により別段の取扱いが要求される場合は、この限りでない。この場合、Zentrum24 Academyは、処理の前に当該法的要件を顧客に通知する。ただし、当該法律が重要な公益上の理由により当該通知を禁じている場合は、この限りでない。

3.2 主契約、本DPA(その附属書を含む。)および顧客による本サービスの許諾された利用ならびに設定は、顧客の完全かつ文書化された指示を構成する。追加のまたは異なる指示は、書面により合意されなければならず、料金または範囲の調整の対象となる場合がある。

3.3 Zentrum24 Academyは、ある指示がデータ保護法に違反すると判断する場合、直ちに顧客に通知する。Zentrum24 Academyは、顧客の指示について法的評価を行う義務を負わず、本第3.3項は、データ保護法に基づく両当事者のそれぞれの義務を害するものではない。

4. 秘密保持

4.1 Zentrum24 Academyは、個人データを処理する権限を有する者が秘密保持を約したこと、または適切な法令上の守秘義務に服することを確保する。

4.2 Zentrum24 Academyは、個人データへのアクセスを、主契約に基づくZentrum24 Academyの義務を履行するためにアクセスを必要とする要員に限定し、当該要員が適切なデータ保護およびセキュリティに関する研修を受けることを確保する。

5. 処理の安全性(第32条)

5.1 Zentrum24 Academyは、技術水準、実施費用ならびに処理の性質、範囲、状況および目的、ならびに自然人の権利および自由に対するリスクを考慮し、リスクに適した水準の安全性を確保するための適切な技術的および組織的措置を実施し、維持する。発効日現在において実施されている措置は、附属書IIに記載する。

5.2 Zentrum24 Academyは、本サービスの全体的な安全性の水準を実質的に低下させないことを条件として、附属書IIの措置を随時更新または変更することができる。

5.3 顧客は、自己の管理下における本サービスの安全な利用について責任を負う。これには、ロールベースのアクセス権の設定、提供される場合における多要素認証およびパスワードポリシーの適用、自己の管理者およびユーザーの管理、ならびにアクセスを必要としなくなったユーザーの認証情報の速やかな無効化が含まれる。

6. 再処理者

6.1 包括的授権。 顧客は、本第6条に従うことを条件として、Zentrum24 Academyに対し、個人データを処理する再処理者を利用することについて包括的な授権を与える。発効日現在において承認されている再処理者は、附属書IIIに列挙する。

6.2 義務の反映。 Zentrum24 Academyは、再処理者を利用する場合、本DPAに定める義務と実質的に同一であり、かつこれと同等以上の保護を与えるデータ保護義務、特に適切な技術的および組織的措置を実施するための十分な保証を課す書面による契約により、これを行う。Zentrum24 Academyは、各再処理者の義務の履行について、顧客に対し引き続き全面的に責任を負う。

6.3 変更の通知および異議。 Zentrum24 Academyは、再処理者の追加または交替を予定する場合、顧客に対し事前に書面(電子メール、本サービスまたはZentrum24 Academyの再処理者一覧ページを通じて行うことができる。)により通知し、新たな再処理者が個人データの処理を開始する少なくとも[30]日前までに、データ保護上の合理的な理由に基づき異議を述べる合理的な機会を顧客に与える。顧客が異議を述べた場合、両当事者は、誠実に協議して当該異議の解決に努める。解決に至らない場合、顧客は、唯一かつ排他的な救済として、主契約に従い、影響を受ける本サービスの部分を解約することができる。

7. データ主体の請求への支援

7.1 Zentrum24 Academyは、処理の性質を考慮し、可能な限りにおいて、GDPR第III章に基づくデータ主体の権利(アクセス、訂正、消去、制限、データポータビリティおよび異議の各権利を含む。)の行使に係る請求に対応するという顧客の義務の履行を、適切な技術的および組織的措置により支援する。

7.2 Zentrum24 Academyは、顧客が個人データにアクセスし、これを訂正し、エクスポートし、および削除することを可能とするセルフサービス機能を本サービス内で提供する。当該機能によりデータ主体の請求に対応できない場合、Zentrum24 Academyは、顧客の要請に応じて合理的な追加の支援を提供する。

7.3 Zentrum24 Academyは、本DPAに基づき処理される個人データに関する請求をデータ主体から直接受領した場合、法律上禁止されない限り、速やかに顧客に通知し、顧客の文書化された指示に基づく場合または適用法により要求される場合を除き、自ら当該請求に対応しない。

8. 第32条から第36条までに関する支援

8.1 Zentrum24 Academyは、処理の性質およびZentrum24 Academyが入手可能な情報を考慮し、GDPR第32条から第36条までに基づく顧客の義務、すなわち処理の安全性、監督機関およびデータ主体に対する個人データ侵害の通知、データ保護影響評価ならびに監督機関との事前協議の遵守を確保するにあたり、顧客を支援する。

8.2 当該支援には、附属書IIのセキュリティ情報、本DPA、および顧客がデータ保護影響評価ならびに必要な場合には事前協議を実施するために合理的に必要となるその他の文書を利用可能とすることが含まれ得る。

9. 個人データ侵害の通知

9.1 Zentrum24 Academyは、本DPAに基づき処理される個人データに影響を及ぼす個人データ侵害を認識した後、不当な遅滞なく顧客に通知する。

9.2 当該通知には、判明している範囲内で、かつ合理的に可能な限り、侵害の性質、関係するデータ主体および記録の類型ならびにおおよその件数、生じ得る結果、ならびに侵害に対処しその影響を軽減するために講じたまたは講じることを提案する措置を記載する。これらの情報を同時に提供することができない場合には、不当な遅滞なく段階的に提供することができる。

9.3 Zentrum24 Academyによる個人データ侵害の通知または対応は、Zentrum24 Academyによる過失または責任の承認と解釈されない。顧客は、監督機関およびデータ主体に対する自己の通知義務について、引き続き責任を負う。

10. 終了時の削除および返還

10.1 Zentrum24 Academyは、本サービスの提供の終了後、顧客の選択に従い、すべての個人データを削除しまたは顧客に返還し、かつ既存の複製を削除する。ただし、欧州連合法または加盟国法が当該個人データの保存を要求する場合は、この限りでない。

10.2 顧客は、契約期間中および解約または期間満了後[30]日間(以下「取得期間」という。)、本サービスのエクスポート機能を用いて自己の個人データ(トレーニング記録、電子署名のマニフェスト、監査証跡の記録および修了証を含む。)をエクスポートすることができる。取得期間の経過後、Zentrum24 Academyは、第10.3項に従うことを条件として、[90]日以内に個人データを削除する。

10.3 Zentrum24 Academyは、適用法により要求される範囲および期間において個人データを保持することができ(21 CFR Part 11またはEU Annex 11の監査証跡の完全性を裏付けるために保存しなければならない記録を含む。)、通常の暗号化されたバックアップ内に存在する個人データは、Zentrum24 Academyのバックアップのローテーションスケジュールに従って削除される。当該延長された保存の期間中も、本DPAの義務は引き続き適用され、当該個人データは附属書IIのセキュリティ措置の対象であり続け、保存目的のために必要な範囲でのみ処理される。

10.4 顧客の書面による要請があった場合、Zentrum24 Academyは、本第10条を遵守したことを書面により証明する。

11. 監査および情報提供

11.1 Zentrum24 Academyは、GDPR第28条および本DPAに定める義務の遵守を証明するために合理的に必要なすべての情報を顧客が入手できるようにし、かつ顧客または顧客が委任した監査人が実施する監査(検査を含む。)を認め、これに協力する。

11.2 第11.1項の要件を満たすため、Zentrum24 Academyは、その時点における最新のセキュリティ文書、第三者による監査報告書、認証、および合理的な書面によるセキュリティ質問票への回答を利用可能とすることができる。

11.3 第11.2項に基づき利用可能とされた情報が不十分である場合、顧客は、少なくとも[30]日前の合理的な書面による事前通知を行い、かつ12か月の期間につき1回を超えない範囲で(個人データ侵害の後に必要となる場合または監督機関により要求される場合を除く。)、通常の営業時間中に監査を実施することができる。監査は、業務の支障を最小限に抑える方法で実施されなければならず、Zentrum24 Academyの他の顧客およびそのマルチテナント環境の機密性および安全性を尊重しなければならず、Zentrum24 Academyの事前の書面による同意なく、他の顧客のデータへのアクセスまたは本番システムに対するペネトレーションテストを含んではならず、また、監査人は、Zentrum24 Academyが受け入れ可能な秘密保持の誓約を締結しなければならない。各当事者は自己の費用を負担する。ただし、監査により重大な不遵守が判明しなかった場合には、顧客がZentrum24 Academyの合理的な費用を負担する。

12. 国際移転

12.1 本サービスは、Vercel(アプリケーションホスティング)およびSupabase(マネージドPostgreSQLデータベースおよびオブジェクトストレージ)上でホスティングされ、主たる処理は米国(AWS us-east-1 (Northern Virginia, United States))において行われる。また、Zentrum24 Academyは米国に設立されている。したがって、本サービスの提供には、米国、およびZentrum24 Academyまたはその再処理者が事業を行うその他の国への個人データの移転ならびに当該国における処理が伴う場合がある。

12.2 GDPRまたはUK GDPRの適用を受ける個人データの処理が、十分性認定の対象でない国への移転を伴う場合、両当事者は、当該移転がSCCsに準拠することに合意する。SCCsは、ここに引用により本DPAに組み込まれ、次のとおり補完される。

• モジュール。 顧客が管理者であり、Zentrum24 Academyが処理者である場合には、モジュール2(管理者から処理者へ)が適用される。再処理者への再移転については、モジュール3(処理者から処理者へ)が適用される。
• ドッキング条項(第7条)。 選択的なドッキング条項を適用する。
• 包括的授権(第9条(a)、オプション2)。 第6条に定める再処理者の包括的授権を適用し、期間は第6.3項に定めるとおりとする。
• 救済ならびに準拠法および裁判地(第11条、第17条、第18条)。 選択的な救済条項は適用しない。準拠法および裁判地は、第三者受益者の権利を認めるEU加盟国、すなわちアイルランドのものとする。
• 附属書。 本DPAの附属書IはSCCsの附属書I.AおよびI.Bを構成し、所轄監督機関(附属書I.C)は附属書Iにおいて特定される。本DPAの附属書IIはSCCsの附属書IIを構成し、本DPAの附属書IIIは再処理者の一覧を構成する。

12.3 英国。 UK GDPRの適用を受ける移転については、2018年英国データ保護法第119A条に基づき情報コミッショナーが発行した英国国際データ移転アデンダムにより変更および補完されたうえで、SCCsが適用される。当該アデンダムは引用により組み込まれ、本DPAおよびその附属書における対応する情報を用いて補完される。

12.4 スイス。 スイス連邦データ保護法の適用を受ける移転については、スイス当局が公表するところに従い、スイス法を実現するために必要な修正(スイス連邦データ保護・情報コミッショナーおよびスイス法への言及への読替えを含む。)を加えたうえで、SCCsが適用される。

12.5 Zentrum24 Academyが、十分な保護の水準を提供すると認められた承認済みの移転枠組み(例えば、EU・米国データプライバシーフレームワークならびにその英国およびスイスの拡張)に参加する場合、その範囲において、両当事者は、米国への移転のための代替的な移転手段として当該枠組みに依拠することができる。

12.6 依拠する移転手段が無効とされ、置き換えられ、または移転の有効な根拠を提供しなくなった場合、両当事者は、不当な遅滞なく適法な代替の移転手段を実施するために誠実に協力する。

13. 責任

13.1 契約、不法行為(過失を含む。)その他を問わず、本DPAおよびSCCsに起因しまたはこれらに関連して生じる各当事者の責任は、主契約において合意された責任の総額の制限および免責に服するものとし、当該制限における一方当事者の責任への言及は、主契約および本DPAを合わせた当該当事者の責任の総額を意味するものとする。

13.2 本DPAのいかなる規定も、適用法上制限または排除することができない場合における各当事者の責任(GDPR第82条に基づくデータ主体の賠償を受ける権利に係る責任を含む。)、またはSCCsに基づくデータ主体の権利を制限しまたは排除するものではない。

13.3 両当事者間においては、データ主体または監督機関の権利を害することなく、一方当事者によるデータ保護法上の自己の義務の違反に起因する行政上の制裁金、請求または損害についての責任は、管理者および処理者としてのそれぞれの役割を考慮し、生じた損害に対する各当事者の責任の程度に応じて配分される。

14. 一般条項

14.1 契約期間。 本DPAは、主契約の発効日(またはこれより後に署名された場合には、最後に署名された日)に効力を生じ、Zentrum24 Academyが顧客のために個人データを処理する限り存続する。

14.2 準拠法および裁判管轄。 データ保護法またはSCCsが別段の定めを要求する場合を除き、本DPAは、米国Wyoming州の法律に準拠し、これに従って解釈されるものとし、主契約において特定される裁判所が専属的な管轄権を有する。

14.3 分離可能性および存続。 本DPAのいずれかの条項が無効または執行不能とされた場合であっても、その余の条項は引き続き効力を有する。その性質上終了後も存続すべき条項は、存続する。

14.4 データ保護に関する連絡先。 本DPAに関するデータ保護上のお問い合わせは、contact@zentrum24.com宛にZentrum24 Academyへお寄せいただくことができる。

附属書I — 処理の説明

A. 当事者の一覧

データ輸出者(管理者)： 主契約において特定される顧客。

• 名称および住所：(顧客が記入するものとする)／(顧客が記入するものとする)。
• 連絡担当者、役職および連絡先：(顧客が記入するものとする)。
• 移転されるデータに関連する活動：自己の人員に対するコンプライアンス研修を管理し、記録するためのZentrum24 Academyの本サービスの利用。
• 役割：管理者。

データ輸入者(処理者)： Zentrum24 LLC

• 名称および住所：Zentrum24 LLC, 1621 Central Ave, Cheyenne, Wyoming 82001, USA。
• 連絡担当者、役職および連絡先：contact@zentrum24.com。
• 移転されるデータに関連する活動：Zentrum24 Academyコンプライアンス研修プラットフォームの提供、運用、サポートおよびセキュリティの確保。
• 役割：処理者。

B. 処理の説明

データ主体の類型。 顧客の人員、および顧客が本サービスを通じて研修を管理するその他の個人であり、次の者を含む。

• コンプライアンス研修に割り当てられた顧客の従業員、研修生および就労者
• 本サービスのアカウントを保有する顧客の管理者、作成者、マネージャーおよび学習者
• 顧客が登録することを選択した請負業者、臨時要員その他の権限を有するユーザー。

個人データの類型。

• アカウントデータ： 組織名およびサブスクリプションプラン。
• ユーザーの識別情報およびプロファイルデータ： 氏名、業務用電子メールアドレス、任意の従業員識別子、割り当てられた役割(テナント管理者／作成者／マネージャー／学習者)、および認証データ(ハッシュ化されたパスワード、TOTP多要素認証のシークレットおよびバックアップコード、ならびにSAML／SCIMが利用される場合のSSO識別子)。
• トレーニング記録： コースおよびクイズの割当て、修了状況、スコア、21 CFR Part 11電子署名の記録(署名者の識別情報、署名の意味およびタイムスタンプ)、ならびに修了証。
• 監査およびセキュリティのログ： IPアドレス、ユーザーエージェント、タイムスタンプ、ならびに改ざん検知可能なハッシュチェーン方式の監査証跡に記録されるイベントのメタデータ。

特別な種類の個人データ。 本サービスは、特別な種類の個人データ(第9条)または有罪判決に関するデータ(第10条)を処理するように設計されておらず、また、そのような処理を意図していない。顧客は、自ら入力することを選択した自由記述の内容を除き、当該データをアップロードしてはならない。顧客が当該データをアップロードする場合、適法な根拠および追加の保護措置を確保する責任は、顧客が負う。

処理の頻度。 継続的とし、主契約の期間中とする。

処理の性質および目的。 本DPA第2条に記載のとおり。すなわち、コンプライアンス研修のための学習管理システムのホスティングおよび運用であり、トレーニングの割当ておよび追跡、SCORMコースおよびクイズの配信、スコアおよび電子署名の記録、修了証の発行、監査証跡の維持、ならびにセキュリティ、バックアップ、監視およびサポートの提供を含む。

保存期間。 主契約の期間および第10条に記載の期間とし、その後は適用法により要求される範囲においてのみとする(例えば、規制対象のトレーニング記録および監査証跡の記録を保存するため)。

再処理者への移転。 再処理者による処理の対象事項、性質および期間は、附属書IIIに定めるとおりとする。

C. 所轄監督機関

所轄監督機関は、顧客またはそのEU代理人が設立されているEU加盟国の機関とし、その他の場合はSCCsの第13条に基づき決定される機関、すなわちアイルランドデータ保護委員会とする。英国への移転については、所轄機関は英国情報コミッショナー事務局とし、スイスへの移転については、スイス連邦データ保護・情報コミッショナーとする。

附属書II — 技術的および組織的なセキュリティ措置

以下の措置は、発効日現在においてZentrum24 Academyが実施し、維持しているものである。これらは、第5.2項に従って更新されることがある。本附属書は、SCCsの附属書IIも構成する。

1. テナント分離およびアクセス制御

• 厳格なマルチテナント分離。PostgreSQLの行レベルセキュリティ(RLS)を用いてデータベース層で実施し、アプリケーションは、RLSポリシーを回避できない専用の非スーパーユーザーロールを介して接続する。
• ロールベースアクセス制御(RBAC)。テナント管理者、作成者、マネージャーおよび学習者という4つのアプリケーションロールにわたって適用し、最小権限の原則に基づき機能およびデータへのアクセスを制限する。
• ステートレスなセッション管理。httpOnlyクッキーに保存される署名付きJWTを使用し、アイドルタイムアウトにより失効する。

2. 認証およびシークレットの管理

• 多要素認証(MFA)。時刻同期型ワンタイムパスワード(TOTP)およびリカバリー用バックアップコードによる。
• パスワードの保護。bcryptによるハッシュ化を用い、設定可能な複雑性要件、パスワード履歴、および失敗の繰り返しによるアカウントロックアウトを伴う。
• エンタープライズID連携。SAMLシングルサインオンおよびSCIMユーザープロビジョニングによる(Proプランで利用可能)。
• シークレットの保護。保存されるMFAおよびSSOのシークレットに対するKMS方式のエンベロープ暗号化による。

3. 暗号化

• 通信経路上の暗号化。本サービスへの接続および本サービス内部の接続にTLSを使用する。
• 保存データの暗号化。Supabaseが提供するマネージドPostgreSQLデータベースおよびオブジェクトストレージ(サーバーサイド暗号化を適用した非公開バケット)について実施する。

4. 完全性、監査および電子記録

• 改ざん検知可能なハッシュチェーン方式の監査ログ。セキュリティおよびコンプライアンスに関連するイベントについて、検証可能な追記専用の記録を提供する。
• 21 CFR Part 11に準拠した電子署名。署名者の識別情報、署名の意味および信頼できるタイムスタンプを記録し、EU Annex 11の要求事項と整合する。

5. 可用性、レジリエンスおよびインフラのセキュリティ

• Vercelにおけるホスティング(グローバルエッジネットワークの背後にあるマネージドサーバーレスアプリケーションホスティング)。Supabaseが提供するマネージドPostgreSQLデータベースおよび非公開の暗号化されたオブジェクトストレージを併用し、レート制限の状態はPostgreSQLデータベースに保持される。主たるホスティングリージョン：AWS us-east-1 (Northern Virginia, United States)。
• マネージドバックアップ。データベースについて、保存時の暗号化および定められたローテーションスケジュールを伴う。
• テナント単位およびユーザー単位のレート制限。可用性を保護し、不正利用を軽減する。
• トランザクションメール。Resend(Resend, Inc.)を通じて配信し、フォールバックとして直接のSMTPトランスポートを利用可能とする。

6. 組織的措置

• 秘密保持義務。個人データを処理する権限を有する要員に課し、データ保護およびセキュリティに関する研修と併せて実施する。
• 本番システムに対する最小権限の管理者アクセス。本サービスの運用およびサポートのためにこれを必要とする要員に限定する。
• 再処理者のガバナンス。本DPA(第6条)に定める義務と同等以上の保護を与えるデータ保護義務を課す書面による契約を通じて行う。
• エラー監視。個人データの取得を限定するよう設定する(構造化されたアプリケーションログはホスティングプラットフォームにより保持され、第三者のエラー監視サービスは導入していない)。

7. 参照する標準

本サービスおよびその管理策は、21 CFR Part 11、EU Annex 11、ICH Q9、GAMP 5、SCORM 1.2/2004ならびにGDPR/UK-GDPRを参照して設計されている。標準への言及は設計上の意図を示すものであり、それ自体が認証または特定の顧客の規制遵守を保証するものではない。

附属書III — 承認された再処理者の一覧

発効日現在、Zentrum24 Academyは以下の再処理者を利用している。この一覧は、第6.3項に従って変更されることがある。

• Vercel Inc. — アプリケーションホスティングおよびコンテンツ配信。処理場所：米国。性質：アプリケーションの提供およびリクエストトラフィックの処理。
• Supabase — マネージドPostgreSQLデータベースおよび非公開の暗号化されたオブジェクトストレージ。処理場所：米国。性質：アカウント、ユーザー、トレーニング記録および監査に関するデータを含む本サービスのデータの保存。
• Stripe, Inc. — 決済処理およびサブスクリプション課金。処理場所：米国。性質：顧客のアカウントおよび請求連絡先データの処理。Stripeは、学習者のトレーニング記録を処理しない。
• 電子メール／SMTPプロバイダー(未選定) — トランザクションメールの配信。処理場所：米国。性質：ユーザー名および電子メールアドレスを含む本サービスの通知の配信。この再処理者は、ローンチ前に本欄において特定される。

署名

主契約に署名することにより、または本DPAを別途締結することにより、各当事者は、本DPAに拘束されることに同意する。各当事者は、自己を代表して署名する個人が正当な権限を有することを保証する。

Zentrum24 LLC(処理者)のために： 氏名：Anselme Metoudou、役職：最高経営責任者／業務執行社員、日付：締結時、署名：____________________。

顧客(管理者)のために： 氏名：____________________、役職：____________________、日付：____________________、署名：____________________。