データ処理契約（Data Processing Agreement：DPA）
2026年10月版
SiamPoints プラットフォーム利用規約の附属書
当事者： 各事業者／店舗（以下「管理者」または「Data Controller」といいます。）および First Class Tech Ventures Co., Ltd.（SiamPoints の運営者。以下「処理者」または「Data Processor」といいます。）
1. 目的および適用範囲
本データ処理契約（DPA）は、処理者が管理者の委託を受けて行う個人データの処理に関する当事者の権利および義務を定めるものです。当該処理は、SaaS プラットフォーム「SiamPoints」（ポイントシステム、予約エンジン、EC ショップ、API による決済連携、振込明細の確認、事業者独自のフォーム項目および一斉配信）の提供の範囲内で行われます。本契約は、当社の利用規約を補完するものです。
本 DPA は、タイ PDPA に基づき販売者がデータ管理者となる個人データ（例：注文に関連する配送先住所、店舗固有の予約詳細、購入履歴、API による決済情報の転送、アップロードされた振込明細、ゲストのフィードバック、事業者独自のフォーム項目への入力および一斉配信への同意）にのみ適用されます。最終顧客が SiamPoints の共通アカウントを作成するための主たる登録データ（メールアドレス、または Google、Apple、Facebook もしくは LINE によるログイン。携帯電話番号はこれに使用しません。）については、SiamPoints は、別途定める当社のプライバシーポリシーに従い、独立したデータ管理者として行動します。
SiamPoints は決済サービス事業者ではありません。処理者は、管理者またはそのゲストのために支払を受け取ることはなく、資金を保有することも転送することもありません。ゲストの支払は管理者に直接支払われます。処理者が取引データまたは振込明細を管理者の決済サービス事業者または確認サービスに送信する場合、これは管理者の委託に基づく技術的な送信にすぎません。
2. データの種類および本人の範囲
処理者は、管理者の委託を受けて、最終顧客（ゲスト）の以下の種類のデータを処理します。
- 識別情報および連絡先情報： 氏名、メールアドレス、ならびにゲストが配送のために自ら入力した場合に限り電話番号。
- 取引データ： 獲得したポイント、オンライン予約の詳細（例：日付、人数、特別なご要望）、ならびにゲストから管理者へのフィードバックおよびリクエスト。
- EC データおよび決済データ： 配送先住所、請求先住所、注文商品、ならびに決済処理のためにプラットフォームのインターフェースを通じて連携先の決済サービス事業者に転送される取引の詳細。さらに、アップロードされた振込明細（画像、振込人名、金額、日時）およびその確認結果。
- 事業者独自のフォーム項目への入力： 管理者が自らのフォームに設けた追加項目へのゲストの回答。
- 一斉配信： サービスごとのゲストの同意とその証拠（日時、同意文言の版、方法、IP アドレス）、サービスにおけるゲストの ID、配信停止の記録、ならびに送信したメッセージの内容およびログ。
本人の範囲（Data Subjects）： 本プラットフォームを通じて各管理者（ショップ／事業者）とやり取りを行う最終顧客（ゲスト）。
3. 処理者（SiamPoints）の義務
タイ PDPA の規定に従い、処理者は以下の事項を約束します。
3.1 指示の厳守 処理者は、管理者の文書化された指示の範囲内でのみ個人データを処理します。管理者による SiamPoints プラットフォームの機能の利用は、かかる文書化された指示に該当します。処理者が、管理者の最終顧客に対し、自己の広告目的または一斉配信目的でデータを処理することは、明示的に禁止されます。処理者は、管理者のメッセージ（一斉配信）を、管理者の委託に基づき、各サービスにおける管理者自身のアカウントを通じて、有効な同意のあるゲストにのみ、常に配信停止のための一文を付して送信します。
3.2 データセキュリティ（技術的および組織的措置） 処理者は、不正アクセス、紛失、盗難、破壊または改ざんからデータを保護するため、適切な技術的および組織的安全管理措置を講じます。これには、安全なサーバーインフラの利用および暗号化されたデータ通信が含まれます。
3.3 データ侵害の通知義務（Data Breach Notification） 処理者は、個人データの侵害（ハッキング、データ漏えい）を認識した場合、遅滞なく、遅くとも認識後36時間以内に管理者に通知します。これにより、管理者は、タイのデータ保護当局（PDPC）に対する法定の報告義務を、所定の72時間以内に履行することができます。
3.4 管理者への協力 処理者は、本人の権利行使の請求（例：アクセス、消去、訂正）に応答する管理者の義務の履行について、適切な技術的措置により管理者に協力します。
3.5 データの消去または返還 主契約の終了（SiamPoints サブスクリプションの終了）後、および未払いによる利用停止中、処理者は、管理者がサブスクリプションを再開できるよう、管理者のために処理した個人データを6か月間保存します（サブスクリプション規約第10.3項）。管理者がそれ以前に消去または返還を求めた場合、処理者は、管理者の選択に従い、当該データを安全に消去するか、または一般的な形式で返還します。6か月の経過後、処理者は当該データを安全に消去します。いずれの場合も、タイの法令（例：コンピュータ犯罪法）が技術ログのより長期の保存を義務付けている場合はこの限りではありません。ゲストのポイントは、ゲストの SiamPoints アカウントに保持されます。
3.6 守秘義務、記録および法令上の義務 処理者は、データを処理するすべての者に守秘義務を課し、PDPA に従って処理活動の記録を作成します。処理者は、タイの法令に基づき法令、官公庁または裁判所から求められた場合（例：コンピュータ犯罪法第26条に基づくログ）にはデータを開示することができ、法令上許される範囲でその旨を管理者に通知します。
4. 再委託先（Sub-Processors）の利用および国外移転
管理者は、処理者に対し、本プラットフォームの安全な運営に必要不可欠な他の処理者（再委託先）を利用することについて、ここに包括的な許可を与えます。これらの再委託先には、特に以下が含まれます。
- クラウドおよびサーバーホスティング事業者
- コンテンツ配信ネットワーク（CDN）およびセキュリティ基盤（例：サイバー攻撃から保護するためのウェブアプリケーションファイアウォール、Turnstile および公開メディアの保存を提供する Cloudflare）
- 通信ゲートウェイ（例：メール配信サービス、LINE Messaging API）
- 住所検索および地図（Geoapify、OpenFreeMap）
- 決済サービス事業者／決済ゲートウェイ（例：Stripe、Opn Payments または同等の事業者）。ただし、その連携が管理者のオンラインショップにおける B2C 決済処理に利用される範囲に限り、管理者自身のアカウントを通じて行います。
振込明細の確認：管理者が自動確認を有効にする場合、管理者は確認サービス（例：SlipOK、EasySlip または Thunder）を自ら選択し、自身のアカウントを通じて利用します。当該事業者との契約は管理者自身の契約であり、その費用は管理者が負担します。処理者は、管理者の委託に基づき振込明細を技術的に送信するにすぎません。同様に、一斉配信について、管理者は各サービスにおける自身のアカウント（タイでは LINE）を使用し、当該アカウントにはそのサービスの規約および一斉配信追加規約が適用されます。
国外へのデータ移転：管理者は、前記の再委託先の一部（特にクラウドホスティング事業者および CDN 事業者）がタイ国外でサーバー基盤を運用していることを了承し、これに明示的に同意します。したがって、処理されるデータが国外に移転されることがあります。処理者は、これらの再委託先および移転先の国が、タイ PDPA（特に第28条）の要件を満たす適切なデータ保護水準を備えていることを、契約上および技術上確保します。
5. 管理者（販売者／ショップ）の義務および責任
- 法的根拠： 管理者は、本プラットフォームを通じたデータの収集および処理（特にそれを超える予約データまたは注文データ）について、PDPA に基づく有効な法的根拠を有していることを保証します。管理者は、最終顧客からのデータ保護に関する請求を法的に評価し、対応することについて、単独で責任を負います。
- 補償および責任の制限： 管理者は、管理者に起因する PDPA 違反から生じる第三者（タイのデータ保護当局 PDPC を含みます。）からのあらゆる請求、制裁または損害賠償請求について、処理者を全面的に補償し、損害を被らせないものとします。本 DPA に基づく処理者（SiamPoints）の契約上の責任については、利用規約に定める責任の制限および上限が、全面的に準用されます。
- 独自のフォーム項目、一斉配信および確認サービス： 管理者は、独自のフォーム項目の内容（センシティブデータは明示的な同意がある場合に限ります。）、一斉配信における同意およびメッセージ、ならびに確認サービスおよび決済サービス事業者の選択と利用について、単独で責任を負います。第2号の補償は、これらについても適用されます。
6. 最終条項
本 DPA は、タイ王国の法律に準拠します。本 DPA は、管理者による電子的な同意（例：登録時のチェックボックスによるもの）をもって効力を生じ、SiamPoints プラットフォーム利用規約の不可分一体の一部を構成します。タイ語版が優先します（利用規約第14項）。