データ処理契約（DPA）

1. 当事者と役割

本 DPA において、ツアー会社（顧客）はデータ管理者であり、そのガイドおよびツアー参加者の個人データを処理する目的と方法を決定します。

First Point（Your Next Tours）はデータ処理者であり、データ管理者に代わって、かつその指示に従ってのみ個人データを処理します。

データ処理者の連絡先：contact@firstpoint.com.tr。正式名称、住所、および登記の詳細は、顧客ごとの署名附属書に記載されます。

2. 対象事項、期間、性質、および目的

対象事項：Your Next Tours サービス（ツアー中の電話ベースのオフライン音声配信に関連するアカウント、構成、セッション、および評価の機能）を提供するために必要な個人データの処理。

期間：処理は主たるサービス契約の期間中継続し、第9条に従いその満了または終了をもって終了します。

性質および目的：データは、アカウントの作成と管理、ツアーテンプレートおよび WiFi／ウォレット構成の保存、ツアー前チェックインの実施、セッションおよび評価データの保存と報告、ならびにサポートの提供のために、自動的な手段で処理されます。

3. データ主体および個人データのカテゴリー

データ主体のカテゴリー：管理者のガイド／スタッフおよびツアー参加者。

アカウントデータ：メールアドレス、表示名、組織（会社）名、言語設定、およびプロフィール画像（アバター）。

利用データ：ツアーセッションおよびその時間、参加者数、評価スコアおよびコメント、ならびに参加者の表示名。

設定データ：暗号通貨ウォレットアドレス（ネットワークおよびアドレス）、WiFiプロファイルの詳細（SSIDおよびパスワード）、およびツアーテンプレート。

サポートデータおよびツアー前チェックインデータ：入力された参加者名、端末機種、ヘッドホン／モバイルバッテリーの状態、および自由記述メモ。

特別カテゴリー（機微）データの処理は予定されておらず、管理者はそのようなデータを本サービスに入力しないことを約束します。

4. 管理者の義務

管理者は、その指示およびデータ主体の個人データの処理が適法であること、必要な通知を行ったこと、および必要な場合には同意を取得したことを保証します。

管理者は、処理者に与える文書化された指示、および本サービスにアップロードするデータの正確性と適法性について責任を負います。

5. 処理者の義務および文書化された指示

処理者は、本DPAおよび主契約により構成される管理者の文書化された指示にのみ基づいて個人データを処理します。処理者が指示を違法とみなす場合、管理者に通知します。

処理者は、データへのアクセス権を持つ者が（契約上または法令上の）守秘義務を負うことを確保し、知る必要のある範囲でのみアクセスを許可します。

処理者は、個人データを自らの目的で使用したり、販売したり、本サービスの提供以外で第三者と共有したりしません。

6. セキュリティ対策（GDPR第32条）

処理者は、リスクに応じた技術的および組織的な対策を実施します。一般的にこれには次のものが含まれます：転送中および保存時の適切な暗号化／保護、アクセス制御および最小権限、認証、ログ記録／監視、バックアップ、および定期的な見直し。

ツアー中の音声ブロードキャストはポータブルなローカルWiFiネットワークで実行され、インターネットに接続されません。このライブ通信はクラウドバックエンドを通過しません。ライブ翻訳は唯一のオプトイン例外です。ガイドが明示的に有効にして同意ダイアログを確認した場合、ガイド自身の音声（参加者のマイクではなく）がバックエンドおよびGoogle Geminiにストリーミングされリアルタイム翻訳が実行され、当社のサーバーに保存されません。このアーキテクチャにより、ツアー中の参加者データ転送が最小化されます。

本文書では特定の認証（例：ISO 27001）は主張していません。詳細および適用中の管理策の最新の一覧は、顧客ごとのセキュリティ附属書で規定される場合があります。

7. 副処理者

管理者は、本サービスの提供のために副処理者（例：ホスティングおよびインフラ提供者）を起用する一般的な承認を処理者に与えます。

副処理者の最新の一覧が顧客に提供されます（附属書）。処理者は、各副処理者に対し本DPAと同等のデータ保護義務を書面で課し、副処理者の行為について引き続き責任を負います。

処理者は、副処理者を追加または交代させる前に管理者に通知し、管理者が異議を申し立てるための合理的な期間を与えます。

8. データ主体の権利、侵害通知、および支援

処理者は、データ主体が権利（アクセス、訂正、消去、異議、ポータビリティ）を行使するための請求への対応において、合理的な範囲で、適切な技術的／組織的措置により管理者を支援します。

処理者は、個人データ侵害を認識した後、不当な遅延なく管理者に通知し、管理者が法定の通知義務を果たすために必要な情報を提供します。

処理者は、GDPR第32条から第36条に基づく義務（セキュリティ、侵害通知、およびデータ保護影響評価）について、合理的に管理者を支援します。

9. データの削除または返却

処理活動の終了後、処理者は、管理者の選択により、適用法により保持が求められる場合を除き、合理的な期間内に個人データを削除または返却し、既存の複製を破棄します。

管理者は、サービス期間中、パネルを通じてアカウントおよびデータの一部を削除することもできます。

10. 監査

処理者は、本DPAの義務の遵守を証明するために必要な情報を、合理的な範囲で管理者に提供します。

管理者は、合理的な事前通知のうえ、営業時間中に、守秘義務およびセキュリティ上の制約に従い、かつ本サービスを不当に妨げない範囲で、監査／検査を要求することができます。詳細は顧客ごとに合意される場合があります。

11. 国際移転

個人データがトルコまたは欧州経済領域の外に移転される場合、KVKKおよびGDPRに基づく有効な移転メカニズムおよび適切な保護措置（例：標準契約条項）が適用されます。

データが移転される国および適用される保護措置は、該当する場合、副処理者附属書に規定されます。