データ処理契約

ボットの購読者、会話内容、配信記録に含まれる個人データについて、顧客が管理者であり、Meshwireが処理者です。顧客自身が処理者である場合、Meshwireは再委託処理者として行動します。

処理はサブスクリプション期間に加えて30日間のエクスポート期間にわたって継続し、契約に記載されているMeshwireプラットフォームの提供を対象とします。

顧客のボットと対話するTelegramユーザー、およびワークスペースを管理する顧客の担当者。

Telegramユーザー識別子、ユーザー名、表示名、言語コード、フローに送信されたメッセージ内容、収集されたフォーム回答、セグメント属性、配信および エラーのメタデータ。

Meshwireは文書化された指示に基づいてのみ個人データを処理し、担当者が秘密保持義務を負うことを確保し、附属書IIのセキュリティ対策を実施し、データ主体からの請求や影響評価について顧客を支援します。

顧客は、当社の再委託処理者ページに記載されている再委託処理者を承認します。当社は追加について30日前に通知し、顧客は合理的なデータ保護上の理由に基づき異議を唱えることができます。

HSTSを伴う転送中のTLS 1.2以上、利用時にのみ復号され記録されることのないTelegramボットトークンおよび二要素認証シークレットの保管時AES-256-GCM暗号化、scryptによるパスワードハッシュ化、CSRF保護付きhttpOnlyセッションクッキー、任意のTOTP二要素認証、サーバー側で強制されるロールベースのアクセス制御、認証エンドポイントのレート制限、スタッフによるなりすましを含むアカウント・ボット・請求・スタッフの操作に関する追記専用の監査ログ、文書化された復元手順を伴う暗号化された夜間データベースバックアップ、および文書化されたインシデント対応プロセス。完全な説明は次で公開されています： /security。まだ実装していない管理策も含まれます。

Meshwireは、個人データ侵害を認識してから不当な遅滞なく、かつ72時間以内に、その時点で入手可能な情報とともに顧客に通知し、調査の進行に応じて更新情報を提供します。

標準契約条項（モジュール2、および該当する場合はモジュール3）が組み込まれ、必要に応じて英国補遺およびスイスの改正が適用されます。

Meshwireは現在、SOC 2またはISO 27001の認証を取得していません。当社は要請に応じて完成済みのセキュリティ質問票を提供し、合理的なデューデリジェンスの問い合わせに対応します。Enterpriseのお客様は、合理的な事前通知をもって年1回監査を要請することができます。認証が調達要件である場合は、購入前にお問い合わせください。

解約時、顧客は30日間データをエクスポートすることができ、その後Meshwireは30日以内に本番システムからデータを削除します。暗号化されたバックアップはローリングスケジュールで保持され、そのスケジュール（現在35日間）の満了時に削除されます。

本サービスは単一リージョンで稼働しています。自動化されたリージョン間フェイルオーバーはなく、インフラの完全な障害からの復旧は最新の暗号化されたバックアップを復元することにより行われ、最大24時間のデータ損失が生じる場合があります。