データ処理補遺
最終更新日：2026年10月14日。本版は 2020年12月21日版に代わるものです。
本データ処理補遺（以下「DPA」）は、SellerSmith Technology Joint Stock Company（SELLERSMITH TECHNOLOGY .,JSC、PageFly として事業を運営、所在地：No 4, Lane 62, Nguyen Hong Road, Lang Ward, Ha Noi City, 10000, Viet Nam、企業・税コード：0106980380）（以下「PageFly」、「処理者」または「当社」）と、PageFly アプリを利用するマーチャント（以下「顧客」または「会社」。それぞれを「当事者」、総称して「両当事者」）との間の利用規約その他の書面または電子的な契約（以下「本契約」または「主契約」）を補足するものです。本 DPA は、CCPA に基づく顧客個人情報の処理およびデータ保護法に基づく個人データの処理に関する両当事者の責任を定めます。
本 DPA で定義されていない用語は、主契約に定める意味を有します。以下で変更される部分を除き、主契約は引き続き完全な効力を有します。
1. 定義
1.1 本 DPA において：
1.1.1「本契約」とは、本データ処理補遺およびその附属書をいいます。
1.1.2「会社個人データ」とは、主契約に基づきまたはこれに関連して、契約処理者が会社に代わって処理する個人データをいいます。
1.1.3「契約処理者」とは、PageFly または再委託先をいいます。
1.1.4「データ保護法」とは、EU データ保護法、英国 GDPR、および適用される範囲でその他の国のデータ保護法またはプライバシー法をいいます。
1.1.5「EEA」とは、欧州経済領域をいいます。
1.1.6「EU データ保護法」とは、GDPR およびこれを施行または補完する法律をいいます。
1.1.7「GDPR」とは規則（EU）2016/679 をいい、「英国 GDPR」とは英国法の一部となっている GDPR をいいます。
1.1.8「データ移転」とは、会社から契約処理者への会社個人データの移転、または契約処理者間の再移転であって、データ保護法により制限されるものをいいます。
1.1.9「本サービス」とは、主契約に基づき提供される PageFly のページ作成および分析サービスをいいます。
1.1.10「再委託先」とは、本契約に関連して会社に代わり個人データを処理するために、PageFly によりまたは PageFly のために選任された者をいいます。
1.1.11「標準契約条項」とは欧州委員会実施決定（EU）2021/914 により採択された条項をいい、「英国補遺」とは英国情報コミッショナーが発行した国際データ移転補遺をいいます。
1.2「委員会」、「管理者」、「データ主体」、「加盟国」、「個人データ」、「個人データ侵害」、「処理」および「監督機関」は、GDPR に定める意味を有します。
2.企業個人データの処理
2.1 処理者は：
2.1.1 会社個人データの処理において、適用されるすべてのデータ保護法を遵守し、
2.1.2 会社の文書化された指示による場合を除き、会社個人データを処理しないものとします。
2.2 会社は、附属書1に記載のとおり、本サービスを提供するために会社個人データを処理するよう処理者に指示します。
3. 処理者の従業員
処理者は、会社個人データにアクセスする可能性のある契約処理者の従業員、代理人または請負人の信頼性を確保し、アクセスを主契約の目的上必要な者に限定し、かつそのすべての者が守秘義務を負うよう、合理的な措置を講じるものとします。
4.セキュリティ
4.1 処理者は、技術水準、実施費用、処理の性質・範囲・状況・目的、ならびに自然人の権利および自由に対するリスクを考慮し、当該リスクに見合ったセキュリティ水準を確保するため、必要に応じ GDPR 第32条第1項に定める措置を含む、適切な技術的および組織的措置を講じるものとします。
4.2 適切なセキュリティ水準を評価する際、処理者は処理に伴うリスク、特に個人データ侵害によるリスクを考慮するものとします。
5.サブプロセス
5.1 会社は、処理者が再委託先を利用することについて一般的な承認を与えます。会社個人データに関する現在の再委託先は、クラウドホスティング、ストレージおよび分析処理を行う Amazon Web Services, Inc.（米国）です。
5.2 処理者は、各再委託先に対し、本 DPA と少なくとも同等の保護水準を提供し、GDPR 第28条第3項の要件を満たすデータ保護義務を課すものとします。
5.3 処理者は、新たな再委託先が会社個人データの処理を開始する少なくとも30日前に、第5.1項の一覧を更新するものとします。会社は、当該期間内に happytohelp@pagefly.io にメールすることにより、データ保護上の合理的な理由に基づき異議を述べることができます。
6. データ主体の権利
6.1 処理者は、処理の性質を考慮し、可能な範囲で適切な技術的および組織的措置により、データ保護法に基づくデータ主体の権利行使の請求に会社が対応できるよう支援するものとします。
6.2 処理者は：
6.2.1 会社個人データに関してデータ主体から請求を受けた場合、速やかに会社に通知し、
6.2.2 会社の文書化された指示による場合または適用法により求められる場合を除き、当該請求に回答しないものとします。適用法により求められる場合、処理者は法律で許される範囲で、回答前にその法的要件を会社に通知するものとします。
7.個人情報漏洩
7.1 処理者は、会社個人データに影響する個人データ侵害を認識した後、不当な遅滞なく会社に通知し、会社が侵害の報告またはデータ主体への通知に関する義務を果たすために十分な情報を提供するものとします。
7.2 処理者は、会社に協力し、会社の指示に従って、各個人データ侵害の調査、軽減および是正を支援するための商業上合理的な措置を講じるものとします。
8. データ保護影響評価および事前協議
処理者は、会社個人データの処理に関してのみ、処理の性質および契約処理者が入手可能な情報を考慮し、GDPR 第35条もしくは第36条または同等の規定により必要であると会社が合理的に判断するデータ保護影響評価および監督機関との事前協議について、会社に合理的な支援を提供するものとします。
9.個人情報の削除・返却
9.1 会社またはデータ主体が Shopify を通じて会社個人データの削除を請求した場合、Shopify は必須のプライバシー Webhook（customers/redact および shop/redact）により処理者に通知します。処理者は、法律上データの保持が義務付けられている場合を除き、当該請求に対応し、受領から30日以内に削除を完了するものとします。
10.監査権
10.1 処理者は、会社の請求に応じて、本 DPA の遵守を証明するために必要なすべての情報を会社に提供し、会社個人データの処理に関する会社または会社が委任した監査人による検査を含む監査を受け入れ、これに協力するものとします。
10.2 第10.1項に基づく会社の情報および監査の権利は、本契約がデータ保護法の要件を満たす情報および監査の権利を別途付与していない範囲でのみ生じます。
11.データ転送
11.1 会社が EEA、英国またはスイスの訪問者を対象とするストア（Shopify 管理画面の「設定」＞「顧客プライバシー」）で PageFly アナリティクスを利用する場合、会社は、処理者が会社個人データを EEA 域外（ベトナムの PageFly および米国の再委託先）で処理することを了承します。
11.2 EEA からのデータ移転が十分性認定の対象とならない範囲において、両当事者は、会社をデータ輸出者、PageFly をデータ輸入者として、標準契約条項モジュール2（管理者から処理者）が本 DPA に組み込まれることに合意します。英国からのデータ移転には英国補遺が適用され、スイスからの移転には、GDPR への言及をスイス連邦データ保護法への言及と読み替えて標準契約条項が適用されます。
11.3 標準契約条項について：第7条（ドッキング条項）が適用されます。第9条についてはオプション2（一般的な書面による承認）が第5.3項の通知期間とともに適用されます。第11条の任意文言は適用されません。第17条および第18条はアイルランド法に準拠し、アイルランドの裁判所を管轄とします。附属書 I は本 DPA の附属書1および冒頭の当事者情報により補完され、附属書 II は本 DPA の第4項により補完されます。本 DPA および利用規約は、会社から PageFly への完全かつ最終的な文書化された指示です。本 DPA を締結することにより、両当事者は標準契約条項および該当する場合は英国補遺に署名したものとみなされます。
12. 一般条項
12.1 秘密保持。各当事者は、本契約および本契約に関連して受領した相手方当事者とその事業に関する情報（以下「秘密情報」）を秘密として保持し、次の場合を除き、相手方当事者の事前の書面による同意なく秘密情報を使用または開示してはなりません：
(a) 法律により開示が求められる場合、または
(b) 当該情報がすでに公知である場合。
12.2 通知。本契約に基づく通知は書面により、メールで行うものとします。PageFly へは happytohelp@pagefly.io に、会社へはその PageFly アカウントのメールアドレスに送付します。
附属書1：処理の詳細
当事者。 データ輸出者：会社（Shopify ストアにより特定されるマーチャント）。データ輸入者：SellerSmith Technology Joint Stock Company（PageFly として事業を運営）、連絡先 happytohelp@pagefly.io。
対象および性質。 主契約に基づく PageFly アナリティクス（ヒートマップ、ページおよびセクションの統計、A/B テスト、注文の成果計測）の利用。
期間。 主契約の期間中、および第9項に基づく削除まで。
個人データの種類。 ページ訪問、ページのトラッキング対象要素のクリック、ページ上での購入（注文 ID と注文合計額）、デバイスの種類、国、仮名化されたセッション識別子。
データ主体の区分。 PageFly で作成された会社のページの訪問者。
保存期間。 ヒートマップデータ30日、要素のクリックデータ90日、セクション統計2年、その他のページ統計は主契約の期間中。いずれの場合も Shopify の削除リクエストから30日以内に削除。
所在地。 Amazon Web Services、米国（us-east-1）。ベトナムの PageFly がアクセス。
会社の義務と権利。 本 DPA に定めるとおり。
補遺
カリフォルニア州消費者プライバシー法補遺は pagefly.io/pages/california-consumer-privacy-act-addendum に掲載しています。当社が管理者として個人データをどのように取り扱うかはプライバシーポリシーをご覧ください。本 DPA に関するお問い合わせ：happytohelp@pagefly.io。
