データ取扱条件

本書の翻訳版は便宜のために提供します。日本語版と翻訳版に相違がある場合は、日本語版が優先します。

本条件は、導入企業がBekito勤怠へ委託する個人データの取扱いに適用されます。個別契約に異なる定めがある場合は、個別契約が優先します。

1. 当事者の役割

導入企業は、従業員データの利用目的と処理方法を決定する個人情報取扱事業者です。当方は、導入企業の文書化された指示に従って処理する委託先です。当方が契約、セキュリティ、問い合わせ対応等のため自ら利用目的を決めて取得する情報には、プライバシーポリシーが適用されます。

2. 処理の内容

項目	内容
目的	勤怠記録、計算、シフト、休暇、申請・承認、法令モニター、月次締め、出力、サポート、セキュリティ
対象者	導入企業の従業員、役員、管理者、承認者、社労士等
データ	本人・雇用情報、打刻、位置証跡、シフト、休暇、申請、承認、監査ログ、就業規則等
期間	契約期間および契約・法令で定めた保存期間

マイナンバーの処理は委託範囲に含みません。

3. 指示と目的外利用の禁止

当方は、サービス提供、保守、セキュリティ、障害対応および法令上必要な場合を除き、導入企業の指示なく従業員データを利用しません。違法と判断する指示を受けた場合は、その旨を通知し、処理を保留できるものとします。

4. 機密保持とアクセス

従業員データへアクセスする者を、業務上必要な担当者に限定し、秘密保持義務、権限管理および教育を適用します。サポートアクセスは必要な範囲と時間に限り、記録を残します。

5. 安全管理措置

• 通信のTLS暗号化および重要項目の保存時暗号化
• 会社単位のデータ分離、役割ベースの権限、二要素認証・パスキー
• 打刻・修正・承認の追記型記録と監査ログ
• セキュリティ更新、秘密情報の分離、アクセスの最小化
• 障害・インシデント対応手順、復旧手順および継続的な検証
• 再委託先の選定、契約、安全管理状況の確認

詳細資料は、セキュリティ上支障のない範囲で契約担当者へ提供します。

6. データ保管場所と移行期間

顧客本番データは、東京都内のデータセンターに保管します。 現在のヘルシンキ環境は会社設立前のデモ・評価用の一時環境であり、実在する会社・従業員のデータを受け入れる本番環境ではありません。東京への移行、バックアップ、復元試験および運用確認が完了するまで、実データを登録しないでください。

移行期間中、公開サイトのアクセスログ、IPアドレスから生成した不可逆ハッシュ、案内係へ入力した質問はヘルシンキ環境で処理される場合があります。案内係に個人情報、会社の秘密または従業員情報を入力しないでください。この移行注記は東京移行の完了後に更新します。

7. 再委託先

再委託先	目的	主な処理場所	対象
東京リージョンのクラウド基盤事業者（移行完了時に名称を本表へ追記）	アプリ、データベース、ファイル、バックアップ	日本（東京）	顧客本番データ
Hetzner Online GmbH	一時的なデモ・評価環境	フィンランド（ヘルシンキ）	移行期間中の公開サイトログ・案内係。顧客実データは禁止
DeepSeek API	利用者が明示的に起動する案内係・AI支援の回答生成	中華人民共和国を含む提供者指定の地域	入力した質問、必要な文脈、生成回答。マイナンバー・要配慮個人情報・従業員名の入力は禁止

メール送信等で新たな再委託先が顧客データを処理する場合は、本表または個別契約を更新し、重要な変更は事前に通知します。導入企業は、合理的なデータ保護上の理由がある場合、通知された変更について協議を求めることができます。

8. AI機能

AI機能へ入力された内容は外部AI APIへ送信されることがあります。AIは法的に確定する勤怠・給与の数値を生成しません。導入企業は、AI機能へ個人情報や秘密情報を入力する必要がない運用を定めてください。就業規則等をAI支援へ渡す場合は、氏名等を除去し、必要な範囲に限定します。

9. インシデント

従業員データの漏えい等を把握した場合、当方は拡大防止と調査を開始し、不当に遅滞なく導入企業へ、判明している事実、影響、対応および再発防止策を連絡します。法令上必要な本人・当局への報告について協力します。

10. 本人からの請求

従業員から開示、訂正、利用停止等の請求を直接受けた場合、原則として導入企業へ案内します。当方は、導入企業による本人確認済みの適法な請求に、技術的・組織的に可能な範囲で協力します。

11. 返却と削除

契約終了時、導入企業は提供されるエクスポート機能または合意した方法で必要なデータを取得できます。当方は、個別契約で定める期間の経過後、法令上保存が必要なものを除き、稼働環境の顧客データを削除または匿名化します。バックアップ内のデータは、通常の保護・循環期間に従って上書きされ、その間は復旧以外に利用しません。具体的な期限は申込書または個別契約で定めます。

12. 確認と監査協力

導入企業から合理的な要請がある場合、当方は本条件の遵守を確認するために必要な情報を提供します。実地監査が必要な場合は、機密性、他のお客様の安全、業務への影響を考慮して、範囲、時期、費用を事前に協議します。

13. 連絡先

データ保護・委託先に関する連絡先: [email protected]