データ処理に関する合意（DPA）

発効日: 01.03.2026
最新の更新: 01.03.2026

本データ処理契約（以下「DPA」）は、Evendaプラットフォームの「Organizer Agreement」の一部であり、その不可分な付属文書として、ZURKA CE BITI DOO社がEvenda SaaSプラットフォームの利用に際し、主催者に代わって行う個人データの処理を規定するものです。

本DPAは、以下の当事者間で締結される。

ZURKA CE BITI DOO
PIB: 114432064
MB: 22023195
ベオグラード、Kraljice Natalije 11、セルビア
Eメール: [email protected]

（以下、「Evenda」または「管理者」という）

および

主催者アカウントを登録し、本DPAに同意し、またはイベント主催者としてEvendaプラットフォームを利用する者
(以下、「主催者」または「運営者」という)。

当事者間でデータ処理に関する別途の書面による契約が締結されている場合、当該契約において明示的に規定されている事項については、本DPAよりも当該契約が優先する。

1. 目的および適用範囲

1.1. 本DPAは、EvendaがEvendaプラットフォームの利用に関連して、主催者に代わって、かつ主催者の委託に基づき個人データを処理する場合にのみ適用されます。

1.2. 本DPAは、Evendaが独立した個人データ管理者として活動する場合（以下を含むが、これらに限定されない）には適用されません：

• 主催者およびそのチームのアカウント情報；
• SaaSのサブスクリプション、請求、および支払いに関するデータ；
• サポートへの問い合わせデータ；
• セキュリティ、ログ記録、不正防止、およびEvendaの権利保護に関するデータ；
• Evendaが法律に基づき処理する義務を負うデータ。

1.3. 本DPAは、Evendaがデータ処理者（Processor）として行うデータ処理のみを規定するものです。プラットフォームの利用に関するその他の事項については、Organizer Agreementおよびその他の適用されるEvendaの文書に準拠します。

2. 定義

本DPAにおいて、以下の用語が使用されます：

管理者 — Evendaプラットフォームを通じて、個人データの処理目的および処理の主要な条件を定める主催者。
処理者 — 管理者に代わって個人データを処理するEvenda。
適用されるデータ保護法 — 適用される個人データ保護法。これには、適用される場合におけるGDPR、および当該処理を規制するその他の法的義務が含まれます。
個人データ — 特定された、または特定可能な自然人に関するあらゆる情報。
データ主体 — 個人データに関連する自然人。
サブ処理者 — Evendaが委託した処理者であり、Evendaのサービス提供に関連して、運営者に代わって個人データを処理する者。
個人データのセキュリティ侵害 — 個人データの偶発的または違法な破壊、紛失、改ざん、不正な開示、またはアクセスにつながるセキュリティ侵害。

本DPAにおいて使用され、かつ適用されるデータ保護法において定義されている用語については、当該法規で定められた意味に従って解釈されるものとする。

3. 処理の対象、期間、性質および目的

3.1. 本DPAの対象は、EvendaプラットフォームのSaaS機能の提供に際し、Evendaが主催者に代わって個人データを処理することである。

3.2. 処理期間は、Evendaが主催者に代わって個人データの処理を開始した時点から始まり、当該プラットフォーム機能の利用期間中、および本DPAおよび適用されるデータ保護法に従って、保存、削除、返却、またはその他の方法で処理が終了するまでの期間にわたり継続します。

3.3. 処理の内容は、プラットフォームで利用される機能に応じて、以下のものが含まれる場合があります：

• 収集；
• 記録；
• 整理；
• 構造化；
• 保存；
• 適応；
• 抽出；
• 閲覧；
• 利用；
• 転送；
• アクセス提供；
• 照合；
• 制限；
• 削除；
• 破棄；
• その他、Evendaのサービス提供に必要な措置。

3.4. 処理の目的は主催者によって決定され、以下を含む場合があります：

• イベントの公開および管理；
• チケットの販売；
• 注文および登録の処理；
• 参加者の管理；
• サービス通知、チケット、QRコードの送信；
• 主催者が設定したフォーム、入力欄、データの処理；
• プラットフォームの利用における主催者の業務運営のサポート。

3.5. データ主体の区分、個人データの区分、および処理の内容については、本DPAの別紙1に記載されています。

4. 当事者の役割

4.1. 主催者は、イベント、注文、チケット、登録、および購入者や参加者とのコミュニケーションにおいて、Evendaプラットフォームを通じてアップロード、収集、構造化、またはその他の方法で処理する個人データに関して、データ管理者として行動します。

4.2. Evendaは、主催者に代わって、かつ主催者による文書化された指示に従って当該個人データを処理する場合に限り、処理者としての役割を果たします。

4.3. 主催者は、処理の目的および処理の主要な条件を独自に決定することを確認します。これには以下が含まれます：

• どのようなデータが収集されるか；
• どのような対象者についてか；
• 主催者の目的の範囲内で、データはどのくらいの期間利用されるか；
• 主催者のアカウント内で、誰がデータにアクセスできるか；
• どのようなフォーム、入力欄、通知、およびシナリオが使用されるか。

5. オペレーターの指示

5.1. Evendaは、適用されるデータ保護法に別段の定めがない限り、主催者による文書化された指示に基づき、個人データを処理します。

5.2. 本DPA、主催者契約、主催者のアカウント設定、選択されたプラットフォーム機能、イベントの設定、フォーム、入力項目、アクセス権限、およびEvendaインターフェースにおける主催者のその他の操作は、運営者による文書化された指示とみなされます。

5.3. 主催者は、以下の場合に限り、合理的な範囲内で追加の書面による指示を送付する権利を有する：

• サービスの利用に関連するものであること；
• Organizer Agreement、本DPAおよび適用されるデータ保護法に抵触しないこと；
• 技術的に実現可能であること；
• プラットフォームへの過度な改修を必要としないこと。

5.4. Evendaが、主催者の指示が適用されるデータ保護法に違反していると判断した場合、Evendaは主催者にその旨を通知し、説明または法的根拠が提示されるまで、当該指示の履行を一時停止する権利を有します。

6. 主催者としての運営者の義務

主催者は、以下の事項を約束し、保証します：

6.1. は、個人データを処理し、その処理をEvendaに委託する法的根拠を有しています。

6.2. 法令により要求される場合には、データ主体に適切に通知します;

6.3. プラットフォームを通じて収集される個人データを自ら決定し、法に反して Evenda にデータ処理を委託しません;

6.4. Evenda のプラットフォームを、特別なカテゴリの個人データ、犯罪歴データ、またはその他のセンシティブデータの処理に使用しません。もしこの処理が法的に合法でなく、必要でなく、適切に規制されていない場合には;

6.5. 自らの活動、フォーム、フィールド、説明、通知、コミュニケーション・シナリオ、チームのアクセス権、および個人データの処理に影響するその他の設定の合法性に対して責任を負います;

6.6. 自らがオペレーターである範囲において、購入者および参加者からの要求の処理に責任を負います。

7. Evenda のデータ処理者としての義務

Evenda は以下を約束します:

7.1. 組織者の文書化された指示のみに基づいて個人データを処理します;

7.2. 個人データを、データ処理者の役割に適さない自社の目的のために使用しません;

7.3. 個人データの処理を許可された者が機密保持の義務または適切な法的機密義務に拘束されていることを確保します;

7.4. 本DPAの第10条および適用されるデータ保護法の要件に従って、適切な技術的および組織的セキュリティ対策を講じます;

7.5. 第8条に定める下位処理業者の関与条件を遵守します;

7.6. データ主体からの照会への回答義務を、可能な限り組織者を支援します;

7.7. 法令で要求される場合には、組織者がセキュリティ、違反通知、データ保護影響評価および事前コンサルテーションに関する義務を履行するのを可能な限り支援します;

7.8. 処理終了時には、本DPAに定める手続きに従って個人データを削除または返却します。法令により別段の定めがある場合を除く;

7.9. 組織者が本DPAの遵守を示すのに必要な情報を提供し、本DPAに定める手順に従って監査を支援します。

8. 下位処理業者

8.1. 組織者は Evenda に対して、Evenda のサービス提供のために下位処理業者を招致する一般的な書面による許可を与えます;

8.2. Evenda は、最新の下位処理業者リストを維持し、要求がある場合には組織者に提供するか、組織者がアクセスできるサイト上の場所または組織者のアカウント内に掲載します;

8.3. 新しい下位処理業者を追加する予定、または既存の下位処理業者を置換する予定がある場合、個人データの処理にとって重要な変更である場合には、Evenda は事前に合理的な方法で組織者に通知します;

8.4. 主催者は、通知を受けた後、合理的な期間内に、当該変更が適用されるデータ保護法に違反する重大なリスクをもたらすと考えるに足る、文書で裏付けられた根拠がある場合、新たな下請業者に対して正当な理由を付した異議を申し立てる権利を有する。

8.5. 当事者間で当該異議を合理的に解決できない場合、Evendaは当該処理の一部を中止するか、または主催者に対し、問題となっている機能の使用を中止するよう求める権利を有します。

8.6. Evendaは、各下請業者と、提供されるサービスに適用される範囲において、本DPAで規定されるものと同等以上のデータ保護義務を課す書面による契約を締結することを約束します。

8.7. Evendaは、適用されるデータ保護法および当事者間の契約で定められた範囲内で、その下請け業者の行為について責任を負います。

9. 国際的なデータ転送

9.1. Evendaは、適用されるデータ保護法において正当な法的根拠が要求される場合、適切な法的根拠なしに、適用される管轄区域の外へ個人データを国際的に移転することはありません。

9.2. Evendaによるサービスの提供または下請け業者の利用のために個人データの国際的な移転が必要な場合、Evendaは、適用される場合には以下を含め、許容される移転メカニズムを適用することを約束します：

• 十分な保護水準に関する決定；
• 標準契約条項；
• 適用されるデータ保護法で認められているその他の法的措置。

9.3. 主催者からの合理的な要請があった場合、Evendaは、国際的なデータ転送が行われている場合、その転送に適用される仕組みに関する一般的な情報を提供します。

10. 処理の安全性

10.1. Evendaは、技術の水準、実施コスト、処理の性質、範囲、状況および目的、ならびに個人の権利と自由に対するリスクを考慮し、適切な技術的および組織的なセキュリティ対策を講じます。

10.2. こうした措置には、該当する場合、以下が含まれることがあります：

• アクセス権の区分；
• 認証およびアカウント管理；
• プラットフォーム内でのロール管理；
• アクションおよびイベントのログ記録；
• バックアップ；
• データ転送の保護；
• インフラストラクチャおよびネットワーク環境の保護；
• インシデントの検出および対応手順；
• 従業員および請負業者に対する内部アクセス規則；
• セキュリティ対策のテスト、評価、および改善；
• 不正アクセス、データの紛失、改ざん、または漏洩のリスクを最小限に抑えるための措置。

10.3. 主催者は、いかなるデータ転送または保存の方法も、絶対的な安全性を保証することはできないことを認めます。

10.4. 主催者は、以下を含む、自らが管理する範囲におけるセキュリティ対策についても責任を負います：

• チームのアクセス権限の管理；
• 自身のデバイス、ブラウザ、メールボックス、および連携サービスのセキュリティ；
• 連携する決済方法やその他のサードパーティ製サービスの合法性と安全性。

11. データ主体の請求

11.1. Evendaは、データの処理の性質に鑑み、可能な限り、データ主体からの問い合わせへの対応という主催者の義務の履行に対し、合理的な支援を提供します。

11.2. 主催者がデータ管理者である処理に関して、データ主体からEvendaに請求があった場合、Evendaは以下の権利を有します：

• 当該請求を主催者に転送すること；
• データ主体に対し、当該事業者が主催者であることを通知すること；
• 主催者が当該請求を処理するにあたり、合理的な協力を提供すること。

11.3. 法令により別段の定めがない限り、Evendaは、主催者からの指示がない限り、主催者に代わって当該請求の趣旨に対して独自に回答する義務を負いません。

12. 法令遵守の支援

12.1. 処理の性質およびEvendaが入手可能な情報を踏まえ、Evendaは、以下の義務の遵守を確保するため、主催者に対し合理的な支援を提供する：

• 処理の安全性；
• 個人データのセキュリティ侵害に関する通知；
• データ保護影響評価；
• 必要に応じて監督当局との事前の協議。

12.2. 必要な支援がEvendaの標準機能および通常のサポートの範囲を超える場合、法律で認められる限り、当事者は当該支援の実施時期、形式、および妥当な対価について別途合意することができる。

13. 個人情報のセキュリティ侵害

13.1. Evendaは、Evendaが主催者に代わって処理する個人データに影響を及ぼす、確認された個人データのセキュリティ侵害について知った後、不当な遅滞なく主催者に通知するものとします。

13.2. 当該通知には、その送付時点で可能な限り、以下の事項を含めるものとする：

• インシデントの概要；
• 特定されている、または想定される影響を受けるデータのカテゴリー；
• 特定されている、または想定される影響を受けるデータ主体のカテゴリー；
• 特定されている、または想定される影響；
• インシデントの是正および影響の軽減のために、すでに講じられている、または提案されている措置。

13.3. 初回通知の時点で全データが入手できない場合、Evendaは段階的に情報を提供することがあります。

13.4. 適用される法令に別段の定めがない限り、監督当局またはデータ主体への通知が必要かどうかは、主催者が独自に判断します。

14. 検査および情報へのアクセス権

14.1. 主催者からの合理的な書面による要請に基づき、Evendaは本DPAの遵守を証明するために必要な情報を提供します。

14.2. 主催者は、別段の定めがない限り、本DPAの遵守状況について、暦年につき1回を上限として確認を行う権利を有する：

• 個人データのセキュリティ侵害に関連して；
• 管轄当局からの要請があった場合；
• 本DPAの重大な違反を示す合理的な根拠がある場合。

14.3. 検証は、Evendaへの負荷とセキュリティ上のリスクを最小限に抑える方法で、可能な限り実施する必要があります。例えば：

• 書面による回答を通じて；
• 文書の提出を通じて；
• 報告書の提出を通じて；
• 遠隔検査を通じて；
• 該当する場合、証明書または管理措置の説明書の審査を通じて。

14.4. 現地での確認は、以下の場合にのみ認められます：

• 他の合理的な手段では不十分である場合；
• 主催者が事前にEvendaに通知している場合；
• 検証が、セキュリティ、機密性、およびプラットフォームの運用に過度なリスクをもたらさない場合；
• 検証担当者が機密保持義務を負っている場合。

14.5. 当事者間で別途合意がない限り、主催者は審査にかかる費用を自己負担する。

15. データの返却および削除

15.1. 当該処理の終了時、またはEvenda主催者からの正当な要請があった場合、主催者の選択により：

• 個人データを主催者に返却する；または
• 適用されるデータ保護法に別段の定めがない限り、個人データを削除する。

15.2. プラットフォームの標準機能の範囲内で、合理的な形式でのデータ返却が技術的に不可能な場合、Evendaは、サービス内で利用可能な一般的な形式でデータを提供するか、標準的な手順に従ってデータを削除する権利を有します。

15.3. Evendaは、処理の終了後も、必要な範囲において個人データを保存する権利を有します：

• 法令に基づく場合；
• 保存期間が限定されたバックアップのため；
• 法的請求権の確立、行使、または防御のため；
• セキュリティ、ログ記録、および証拠基盤の確保のため；
• 適切なアクセス制限および機密保持要件を遵守することを条件として。

16. プライバシー

16.1. Evendaは、個人データの処理を委託された者が適切な指導を受け、守秘義務を負うことを保証します。

16.2. Evendaは、以下の場合を除き、個人データを第三者に開示することはありません：

• 本DPAに基づきEvendaのサービスを提供するために必要な場合；
• 適用されるデータ保護法により当該開示が義務付けられている場合；
• 法律の範囲内で、Evenda、主催者、データ主体、またはその他の者の権利を保護するために開示が必要な場合。

17. 遵守の確認

17.1. Evendaは、データ処理者としての義務を遵守するために合理的に必要な措置、方針、およびプロセスを策定し、維持しています。

17.2. 主催者からの合理的な要請があった場合、Evendaは、本DPAに基づく処理者としての義務を履行していることを確認するために十分な、当社が保有する情報を提供します。

18. 責任

18.1. 本DPAに別段の定めがない限り、当事者の責任に関する事項はOrganizer Agreementに準拠する。

18.2. 本DPAのいかなる規定も、適用されるデータ保護法に基づき除外または制限することができない責任について、いずれの当事者も免責するものではありません。

19. 優先順位

19.1. 本DPAとOrganizer Agreementとの間に矛盾がある場合、主催者に代わってEvendaの個人データを処理する部分に関しては、本DPAの規定が優先されます。

19.2. 本DPAと、当事者間で締結された個別の書面によるデータ保護契約との間に矛盾がある場合、当該個別の契約において明示的に規定されている事項については、当該個別の契約が優先する。

20. DPAの変更

20.1. Evendaは、本DPAを定期的に変更する権利を有します。これは以下の目的のために必要な場合があります：

• 法令の変更に合わせて文書を修正すること;
• サービス、インフラストラクチャ、またはサブ処理業者の変更を反映すること;
• データ保護のプロセスと対策を明確化すること。

20.2. 最新のDPAバージョンはサイトに公表されます。変更が重大である場合、Evendaはサイト、メール、またはマイページ等の適切な方法で主催者に通知するよう努めます。

20.3. 新しい版が施行された後もEvendaを利用し続けることは、適用データ保護法で別段の禁止がない限り、更新されたDPAを受け入れたものと見なされます。

21. 適用法と紛争

21.1. 本DPAは、適用されるデータ保護法で別段の定めがない限り、セルビア共和国の法令に従って解釈され、適用されます。

21.2. 本DPAに起因または関連する紛争、意見の相違、または請求は、適用される法令の必須規定で別段の定めがない限り、セルビア共和国ベオグラードの裁判所の専属管轄において審理されます。

22. お問い合わせ

このDPAに関するご質問がある場合は、以下までお問い合わせください:

ZURKA CE BITI DOO
PIB: 114432064
MB: 22023195
Beograd, Kraljice Natalije 11, Serbia
[email protected]

付録 1. 処理の説明

1. 処理の対象

Evendaは、主催者を代理して Evendaプラットフォームを使用し、イベントの公開、注文の管理、チケット、登録、参加者、およびイベントに関連する主催者とのコミュニケーションのための個人データの処理を行います。

2. 処理期間

Evendaプラットフォームの関連機能を主催者が使用している期間、および適用データ保護法で許容される範囲で、返却、削除、バックアップ保管、法令遵守、Evendaまたは主催者の権利保護のために必要な期間。

3. 処理の性質

Evendaのサービス提供に必要な収集、記録、保存、整理、構造化、閲覧、利用、伝送、アクセスの付与、削除、廃棄、その他の行為。

4. 処理の目的

• イベントの作成と公開;
• チケットの販売と注文処理;
• 参加者の登録;
• チケット、確認、およびQRコードの生成と送信;
• 注文、参加者リストおよび関連するコミュニケーションの管理;
• 主催者の指示に基づくプラットフォーム機能の提供。

5. データ主体のカテゴリー

==WEBLATE_PART==

プラットフォームの構成と主催者の行動によって:

• 名と姓;[X56X] [X62X]メールアドレス;[X72X] [X78X]電話番号;[X97X] [X103X]注文データ;[X121X] [X127X]チケット情報;[X145X] [X151X]イベント情報、日付、セッション、カテゴリー、場所に関する情報;[X212X] [X218X]主催者が作成した追加フィールド;[X267X] [X273X]注文とチケットのステータス履歴;[X310X] [X316X]サービス通知の送信に必要なデータ;[X375X] [X381X]主催者がプラットフォームを通じて自ら収集するその他の個人データ.[X477X] [X483X]

  6. 個人データのカテゴリ

  主催者の設定および使用される機能に応じて:

  • 名と姓;
  • メールアドレス;
  • 電話番号;
  • 注文データ;
  • チケット情報;
  • イベント情報、日付、セッション、カテゴリー、場所に関する情報;
  • 主催者が作成した追加フィールド;
  • 注文とチケットのステータス履歴;
  • サービス通知の送信に必要なデータ;
  • 主催者がプラットフォームを通じて自ら収集するその他の個人データ.

  7. データの特別カテゴリ

  当事者が書面で明示的に合意しない限り、Evendaは特別なカテゴリの個人データをオーガナイザーのために処理する義務を負いません。オーガナイザーは、法的根拠および適切な保護措置がない限り、そのような処理のためにプラットフォームを使用してはなりません。

  8. 処理操作

  オーガナイザーの指示に従って、Evendaプラットフォームの運用に必要なホスティング、インターフェース、ストレージ、管理、検索、構造化、エクスポート、サービス通知の送信、その他の操作を提供します。