データ処理契約 (DPA)

最終更新日: 2026-10-23

復処理者ページの最終更新日: 2026-10-23

このデータ処理契約（DPA）は、当社があなたに代わって個人データを処理する条件を概説するものです。

このデータ処理契約（契約）は、オンライン請願ホスティングサービス（サービス）を提供する際に、Petitions.com Group Oy（サービス提供者）が請願作成者（請願作成者またはデータ管理者）に代わって個人データを処理する義務と条件を概説しています。

契約条件の変更

弊社は、事前の通知なしに、いつでもこれらの利用規約を変更または修正する権利を有します。

定義と役割

サービス提供者: Petitions.com (Petitions.com Group Oy) は、データ処理者として、データ管理者のためにサービスを提供するために必要な個人データを処理します。
データ管理者: 請願書の著者であり、請願書の署名者から収集された個人データの処理の目的と手段を決定する者。 Petitions.comでホストされている嘆願書の作者として、あなたはデータ管理者と見なされます。あなたは請願書の内容、署名者に求められる内容、個人データ処理の目的、および個人データの保存期間を決定します。 Petitions.comは、署名運動の作成およびホスティングのためのオンラインプラットフォームを提供し、あなたがデータ管理者としての役割を果たしながら、目的や法的義務に従って署名運動のデータ収集および利用を形作るための自主性を促進します。

処理の範囲

サービス提供者は、サービス提供者に適用されるEU法または加盟国法により求められる場合を除き、データ管理者の指示のみに基づき、かつ本サービスを提供するために必要な範囲に限って個人データを処理します。その場合、その法律が重要な公益上の理由により通知を禁じているときを除き、サービス提供者は処理の前にその法的要件についてデータ管理者に通知します。処理活動の範囲は、オンライン署名のホスティング、管理、促進に限られています。

データ処理者として、サービス提供者は独自の判断で署名データを削除することはありません。署名データの消去はすべて、個別に与えられた場合であれ、本契約を通じて事前に与えられた場合であれ、データ管理者の文書化された指示に基づいて実施されます。

データ管理者が本契約に同意することにより、以下に記載する署名者の削除要求への対応手順およびデータ管理者に代わってサービス提供者が署名者に提供するあらゆるセルフサービスツールを含め、サービス提供者に対するデータ管理者の文書化された指示となります。

署名数と掲載

請願をホスティングして広く公開するため、サービス提供者はその署名数を集計し、本サービス上に表示します。表示される数は、署名の総数、一定期間内の署名数、および本サービスの各ウェブサイトで集まった署名数です。これらの集計は、公開請願の順位付けや一覧表示にも使用されます。たとえば、ウェブサイト上で最も署名の多い請願や、請願作成者が指定した国で最も署名の多い請願などです。署名数による順位付けには、署名が5件以上ある請願のみが含まれます。

これらの集計は匿名の統計であり、いかなる署名者も特定しません。これらは、署名者が署名フォームで入力した国、都市、その他の詳細情報に基づくものではありません。そのような詳細は、請願の統計ページで場所ごとの署名分布を公開することを請願作成者が選択した場合に限り、集計して公開されます。署名が5件未満の場所はまとめられます。

データ管理者が本契約に同意することにより、この処理に対する文書化された指示となります。

データ保護

サービスプロバイダーは、個人データを不正アクセス、紛失、または損害から保護するために、技術的および組織的な対策を実施することを約束します。

禁止されたデータ収集

署名者から個人識別番号（国民ID番号など）を求めることは禁止されています。

転送先処理者

サービス提供者は、サービスの提供を支援するためにサブプロセッサーを従事させることができます。サービスプロバイダーは、サブプロセッサーが本DPAと一致するデータ保護義務を遵守することを確実にします。お客様は、サービス提供者が本サービスを効率的に提供するために必要に応じて復処理者を選定および変更する裁量を有することを、認識し同意するものとします。

サブプロセッサの一覧。 (最終更新日: 2026-10-23)

データコントローラーの責任

データ管理者は、個人データの収集、処理、および取り扱いがすべての適用される法律および規制に準拠することを保証する責任があります。

データ管理者の識別

一般データ保護規則（GDPR）に基づき、データ管理者の身元を明確にすることが求められます。当ウェブサイトを利用する請願書作成者に対して、以下の条項が適用されます：

個別の請願作成者

個人として請願を作成する場合は、法的なフルネームを提供する必要があります。これは、GDPRの目的のためのデータ管理者としてのあなたの身分証明となります。

組織的な請願書作成者

請願が組織の代理で作成される場合、組織の正式な法的名称を提供する必要があります。さらに、組織はデータ処理活動に責任を持つ代表者、例えばデータ保護責任者（DPO）またはそれに準ずる者を指名し、その連絡先を提供する必要があります。

データ主体の権利

データコントローラは、GDPRに基づいて、データ主体（請願署名者）が、そのデータへのアクセス権、訂正権、または消去権、および監督機関に苦情を申し立てる権利を行使できるようにしなければなりません。

署名者からのデータ主体消去請求への対応

役割は、対象となるデータによって異なります。 請願の署名を通じて収集される個人データについては、サービス提供者がデータ処理者として、請願作成者がデータ管理者として行動します。アカウント情報、技術ログ、お問い合わせフォームのメッセージなど、サービス提供者自身の運営上のデータについては、サービス提供者が独立したデータ管理者として行動します。

サービス提供者はデータ管理者の文書化された指示に基づいてのみ行動するため、以下の手順は、こうした要請への対応に関するデータ管理者の継続的な指示となります。これにより、サービス提供者は要請ごとに個別の承認を求めることなく対応できます。

署名者が、署名に関連する個人データの削除をサービス提供者に求めた場合、サービス提供者は遅滞なく、その署名を公開表示から非表示にし、削除に関する情報を請願作成者に本サービス内で提供します。たとえば、データ保護の概要ページやアカウント内の表示を通じて行います。サービス提供者は、削除ごとに個別のメールを送信する必要はありません。請願作成者には、要求を確認し、ダウンロード、エクスポート、印刷、その他の方法で本サービス外に保存した署名者の個人データのコピーを削除するために14日が与えられます。請願作成者が消去に異議を唱えられるのは、データの処理を継続する適法な根拠がある場合(例えば、法的請求の確立、行使または防御)に限られます。署名を保持したいという単なる希望は、有効な根拠ではありません。そのような異議は、当該期間内にサービス提供者に連絡することにより、法的根拠を明記して行わなければなりません。サービス提供者は、請願作成者が削除を自動的に取り消せる手段を提供しません。請願作成者が当該期間内にそのような根拠に基づく異議を申し立てない場合、サービス提供者は稼働中のデータベースから署名データを恒久的に削除します。サービス提供者は、GDPRで求められる1か月の期間内に手続きを完了することを目指します。

サービス提供者は、署名確認メッセージや請願ページ上の削除リンクなど、署名者が自分の署名を直接削除できるセルフサービスツールを提供する場合もあります。そのようなツールが使用される場合、サービス提供者は本契約に定める文書化された指示に基づき、データ管理者に代わって行動します。

個人データは、稼働中のデータベースから削除された後も、一定期間定期バックアップに残る場合があります。そのようなバックアップは日常的な処理には使用されず、順次上書きされるサイクルで更新され、その後データは恒久的に削除されます。

技術ログには、IPアドレスやメール配信メタデータなどの個人データが含まれる場合があります。これらのログは30日以内に削除されます。お問い合わせフォームのメッセージは、監査、セキュリティ、紛争解決の目的で最長5年間保持される場合があります。

サービス提供者は、法令遵守を示すために、削除が行われたことの最小限の記録を保持します。削除された個人データ自体は保持しません。 This record contains the number of the signature, the petition, who removed it (the signatory, the Petition Author or the Service Provider), a reason chosen from a fixed list and the time, but no name or email address.

In addition, the Service Provider keeps, as an independent Data Controller, a record of each removal containing a code computed from the signatory's email address (not the address itself), the day of the removal and who removed it, but not the petition. It is used only to answer the signatory's later questions about their data and to demonstrate compliance. It is deleted after 14 days, and from backups at most 30 days later.

If a signatory reports that someone else signed with their email address and asks for it, the Service Provider may, as an independent Data Controller, keep the technical details of that signature (such as the IP address, device details and times) for 30 days to 2 years, only for disclosure to the police or another authority on their official request. These details are not made available to the Petition Author.

署名者からの訂正要求への対応

訂正の権利は削除と同様に取り扱われます。データ処理者として、サービス提供者は独自の判断で署名データを変更することはなく、データ管理者の文書化された指示に従ってのみ対応します。これには、データ管理者に代わって署名者が自分のデータを修正できるようにサービス提供者が提供するセルフサービスツールも含まれます。

訂正が行われると、本サービス内で管理される最新の署名一覧に修正後の値が反映されます。最新の署名データを使用する義務に従い、データ管理者は新たに取得したコピーのみに依拠し、古いコピーはそれに応じて更新または破棄しなければなりません。サービス提供者は、以前の誤った値をデータ管理者に開示する必要はありません。

サービス提供者は、不正防止、セキュリティ、紛争解決の目的で、変更の内部記録（たとえば、変更前後の値や変更時刻）を保持する場合があります。この記録は、通常はデータ管理者に提供されず、それらの目的に必要な期間のみ保持されます。

受領者への通知

データ管理者が署名データを受領者（意思決定者その他の第三者など）に開示した場合、GDPR第19条に基づき、その後の当該データの削除または訂正をそれぞれの受領者に通知する責任はデータ管理者にあります。ただし、それが不可能であるか、または過度の労力を要する場合を除きます。サービス提供者が本サービス内のデータを削除または訂正しても、データ管理者が本サービス外で共有したコピーに関するこの義務は免除されません。

説明責任とコンプライアンス

データ管理者はGDPRへの準拠を示すことができ、個人データに関するデータ主体の要求に対応する必要があります。

プライバシーポリシーまたは通知

個人データの処理方法、処理の目的、データ主体が権利を行使する方法を明示した明確で分かりやすいプライバシーポリシーまたは通知を提供する必要があります。

変更の通知

請願の著者は、データ管理者としてのステータスの変更やその代表者の連絡先の変更について、Petitions.com（Petitions.com Group Oy) に通知する必要があります。

データ処理の年次レビュー

請願の作成者は、署名者の個人データの処理を継続する正当な理由がまだ存在するかどうかを確認するために、毎年レビューを行う必要があります。このレビューは、請願の目的に関連してデータの必要性と関連性を評価する必要があります。もし請願書の著者がデータ処理を継続する妥当な理由がもはや存在しないと判断した場合、彼らは適用されるデータ保護法に従って処理を停止し、データの削除を開始するための適切な手続きを取らなければなりません。

データ保持および削除

データ管理者（請願の著者）がデータ処理契約（DPA）のいずれかの条件に違反した場合、例えば、データ処理活動の年次レビューを実施しなかったり、署名者の個人データの継続的な処理に対する有効な正当化を提供しなかったりした場合、サービス提供者はその請願に関連する個人データを削除または除去する権利を有します。

責任の制限

いかなる場合でも、本契約に基づきデータコントローラーがデータプロセッサーに支払った総額を超えて、契約、不法行為（過失を含む）その他の原因にかかわらず、データプロセッサーがデータコントローラーに対して負う総責任が超えることはありません。

適用法

本契約は、フィンランドの法律に準拠するものとします。