最終更新日：2026年9月23日

1. 導入と適用範囲

  1. 本データ処理に関する補足書（「本DPA」）は、サービス利用規約（「本規約」）、またはマスターサービス契約（「MSA」）の補遺であり、本契約（「規約」で定義される）の一部です。責任の制限を含む本規約の全条項は、本DPAに適用され、本DPAに組み込まれます。本DPAの規定と本規約、またはMSAの規定との間に矛盾がある場合は、本DPAの規定が優先するものとします。
  2. 本DPAの更新：Kinstaは、独自の裁量により、いつでも本DPAを変更することができます。本DPAに重要な変更を加える場合、Kinstaは企業の所有者へのメール、またはプラットフォーム上への通知の掲載により、その旨をお知らせします。Kinstaによる変更通知の送信後、30日を超えて本サービスの利用を継続した場合、お客様は本DPAの変更に同意したものとみなされます。本DPAの変更に同意されない場合、お客様は本契約の定めに従い、アカウントおよび本契約を終了することができます。

2. 定義

本DPAで定義されていない用語は、本規約の他の箇所で規定されている意味を持つものとします。また、以下の用語は、本DPAに関してのみ適用されます。

  1. 「管理者」、「事業者」、「処理者」、「サービス提供者」、「データ主体」（「お客様」を含む）、「処理」、「個人データ」（「個人情報」を含む）、および「販売」（CCPAにおける「共有」を含む）（およびこれらの用語の類似語または関連語）は、適用されるデータ保護法において付与される意味を有するものとします。
  2. 「お客様個人データ」とは、Kinstaの本サービスの提供に関連してカスタマーアプリケーションにより、またはカスタマーアプリケーションを通じて送信、保存、またはその他の方法で処理される個人データを指します。
  3. 「個人データ侵害」とは、お客様個人データの偶発的または無許可の破壊、紛失、改ざん、開示またはそれに対するアクセスを意味します。なお、ログインの試み、ping、ポートスキャン、サービス拒否攻撃、ファイアウォールまたはネットワーク化されたシステムに対するその他のネットワーク攻撃等（これらに限定されない）、お客様個人データのセキュリティまたは完全性を損なわない、失敗した試みまたは行為は除かれます。
  4. 「副処理者」とは、サービス提供を目的として顧客の個人データを処理する可能性がある、Kinstaが利用する第三者処理者を意味します。
  5. 「欧州データ保護法」とは、2016年4月27日の欧州議会および理事会のEU一般データ保護規則2016/679（「GDPR」）、各加盟国の国内法によって実施および補足される、英国データ保護法2018および英国GDPR、ならびにスイス連邦データ保護法（FADP）をいい、それぞれ随時行われる改正、置換または後継法令を含みます。
  6. 「米国データ保護法」とは、アラバマ州個人データ保護法、カリフォルニア州消費者プライバシー法（カリフォルニア州プライバシー権法による改正を含み、総称して「CCPA」）、コロラド州プライバシー法、コネチカット州データプライバシー法、デラウェア州個人データプライバシー法、インディアナ州消費者データ保護法、アイオワ州消費者データ保護法、ケンタッキー州消費者データ保護法、ルイジアナ州データプライバシー法、メリーランド州オンラインデータプライバシー法、ミネソタ州消費者データプライバシー法、モンタナ州消費者データプライバシー法、ネブラスカ州データプライバシー法、ニューハンプシャー州プライバシー法、ニュージャージー州データプライバシー法、オクラホマ州消費者データプライバシー法、オレゴン州消費者プライバシー法、ロードアイランド州データ透明性およびプライバシー保護法、テネシー州情報保護法、テキサス州データプライバシーおよびセキュリティ法、ユタ州消費者プライバシー法、バーモント州データプライバシーおよびオンライン監視法、ならびにバージニア州消費者データ保護法をいい、それぞれ随時行われる改正、置換または後継法令を含みます。
  7. 「データ保護法」とは、欧州データ保護法および米国データ保護法を含む、個人データのプライバシー、完全性、およびセキュリティを管理する法律および規制を意味します。ただし、これらの法律および規制がKinstaによるお客様の個人データの処理に適用される範囲に限ります。
  8. 「国際移転」とは、以下のデータの移転を指すものとします。
    1. データ：お客様個人データ
    2. 管轄：欧州データ保護法のいずれかによる支配を受ける
    3. 移転先：欧州経済地域（「EEA」）、グレートブリテン及び北アイルランド連合王国（「英国」）、スイス以外の第三国
    4. 国際移転先の詳細：欧州委員会、英国、またはスイスによって適切なレベルの保護が確保されていると指定されていない国
  9. 「SCC」とは、欧州議会および理事会規則（EU）2016/679に基づき、個人データの第三国への移転に関する標準契約条項について2021年6月4日の欧州委員会実施決定（EU）2021/914により採択された標準契約条項を意味します。
  10. 「英国補遺」とは、英国個人情報保護監督機関が発行したEU委員会標準契約条項の国際データ移転追加条項、VERSION B1.0（2022年3月21日発効）を意味します。

3. 役割、一般的義務、および米国データ保護に関する規定

  1. お客様の個人データに関して、お客様は管理者または事業者（該当する場合は処理者またはサービスプロバイダー）となり、Kinstaは処理者またはサービスプロバイダーとなります。
  2. お客様が第三者である管理者または事業者に代わって処理者またはサービスプロバイダーとして行動する場合、（a）お客様は、Kinstaへの業務委託およびお客様の個人データのKinstaへの移転について、当該管理者または事業者から必要なすべての承認を得ていることを表明し、保証するものとします。（b）Kinstaに対するお客様の指示は、当該管理者または事業者の指示を反映するものとします。（c）適用法令により禁止されている場合を除き、お客様は、本DPAに基づきKinstaから提供された通知を当該管理者または事業者に速やかに転送するものとします。
  3. Kinstaは、データ保護法を遵守するために別途必要となる場合を除き、本契約の規定を含む、お客様の文書化された指示に従って本サービスを提供する目的に限り、お客様の個人データを処理するものとします。Kinstaは、お客様の指示がデータ保護法に違反する場合、その旨をお客様に通知します。処理の性質、目的、および期間については、SCC付属書Iに定めるものとします。
  4. Kinstaは、以下の行為を行わないことを証明し、理解し、同意するものとします。
    1. お客様個人データの販売
    2. 適用される米国データ保護法により明示的に許可されている場合を除き、本契約に基づく本サービスの特定の目的以外の目的（営利目的を含む）のためにお客様個人データを保持、使用または開示すること
    3. 適用される米国データ保護法により明示的に許可されている場合を除き、お客様とKinstaとの間の直接的な取引関係以外の目的でお客様個人データを保持、使用または開示すること
  5. Kinstaは、適用される米国データ保護法に基づく義務を履行できなくなったと判断した場合、その旨をお客様に通知します。
  6. お客様およびKinstaは、データ保護法を遵守するものとします。お客様は、お客様の個人データに関して必要となる承認、同意、許諾または許可を取得し、必要なプライバシーに関する通知をすべて行うものとします（お客様が処理者として行動する場合は、該当する管理者がこれらの義務を履行していることを確認することを含みます）。疑義を避けるために付言すると、本DPAに別段の定めがある場合を除き、すべてのお客様の個人データの正確性、品質および適法性、ならびにデータ主体から当該データを収集する根拠を確保する責任は、お客様のみが負うものとします。

4. セキュリティ及び影響評価

  1. Kinstaは、その従業員がお客様個人データに関して拘束力のある守秘義務を負うことを保証するものとします。
  2. データ主体の権利及び自由に対する様々な可能性及び重大性のリスクだけでなく、最新技術、実施コスト、処理の性質、範囲、文脈及び目的を考慮し、Kinstaは、SCC附属書IIに定める措置を含め、リスクに見合ったセキュリティレベルを確保すべく適切な技術的及び組織的措置を実施するものとします。書面による機密保持および非開示契約を条件として、お客様はKinstaの現在の情報セキュリティ管理文書を https://trust.kinsta.com/（以下「セキュリティ文書」）で要求し、レビューすることができます。
  3. 処理の性質およびKinstaが利用可能な情報を考慮し、Kinstaは、セキュリティ、影響評価、ならびに監督機関または規制当局との協議に関して、お客様（または該当する管理者）がデータ保護法に基づく義務を遵守できるよう支援するものとします。

5. 個人データ侵害

  1. 処理の性質およびKinstaが利用可能な情報を考慮し、Kinstaは、個人データ侵害に関して、お客様（または該当する管理者）がデータ保護法に基づく義務を遵守できるよう支援するものとします。
  2. Kinstaが個人データ侵害を発見した場合、Kinstaは不当な遅延なく、その個人データ侵害についてお客様に書面で通知します。
  3. Kinstaの通知には、その時点で判明している範囲で以下の情報を含めるものとし、合理的に入手可能な追加情報が得られた場合は随時更新するものとします。
    1. 個人データ侵害の日時
    2. 個人データ侵害の発見、または個人データ侵害の疑いに関する調査開始の決定（該当する場合）の根拠となった基本的な事実
    3. 個人データ侵害に関連した顧客個人データの説明（具体的に、またはデータカテゴリーを参照するかたちで）
    4. 個人データ侵害の原因となった脆弱性を是正または軽減するために計画または実施中の措置

6. データ主体の要求

  1. 処理の性質を考慮し、Kinstaは、データ保護法に基づくデータ主体の権利行使の請求に対応するというお客様（または該当する管理者）の義務の履行について、可能な範囲で適切な技術的および組織的措置を講じて支援するものとします。
  2. Kinstaは、データ主体からお客様個人データに関する権利行使の要請を受けた場合、適用法により禁止されている場合を除き、速やかにお客様に通知します。Kinstaは、適用法令により要求される場合を除き、お客様の事前の書面による指示なしに、データ主体からの要求に応じて独自に行動を起こすことはありません。

7. データセンターおよび国際移転

  1. お客様は、お客様のアプリケーションがホストされるデータセンター地域を選択することができます。お客様が選択したデータセンター地域にかかわらず、サービスの一部の側面では国際データ転送が必要となる場合があります。お客様は、サービス提供のみを目的とした顧客個人データの国際データ転送を許可するものとします。国際データ転送は、SCCのモジュール2（管理者から処理者）またはモジュール3（処理者から処理者）が適用されます。スイスからの国際データ転送については、当事者は、スイス連邦データ保護情報コミッショナーが要求するSCCへのすべての適応および修正（以下「スイス修正」）が、SCCに組み込まれることに同意します。英国からの国際データ転送については、当事者は英国補遺に同意します。英国補遺の表に関する情報は以下の通りです。表1：以下のSCC付属書Iを参照、表2：以下のセクション7.bを参照、表3：以下のSCC付属書IおよびIIを参照、Kinstaの副処理者一覧は https://kinsta.com/jp/legal/subprocessors/ に掲載、表4：インポーターおよびエクスポーターは、その第19条に定めるとおり、英国補遺を終了させることができます。
  2. SCC、スイス修正、および英国補遺に関する任意規定について、当事者は以下の通り合意します。
    1. 当事者は第7条に同意する
    2. 当事者は第9条(a)の選択肢2（OPTION 2）を選択する
    3. 当事者は、第11条(a)の各種任意条項に同意しない
    4. 当事者は第17条の選択肢1（OPTION 1）を選択し、加盟国はアイルランド、英国、スイスのいずれかとする
    5. 当事者は、第18条(b)の加盟国がアイルランド、英国、スイスのいずれかとなることに同意する
  3. 適用されるSCC、スイス修正、および英国補遺は、あらゆる国際データ転送に関して、本データ処理補遺に参照により組み込まれます。当事者が本契約を受諾したことは、あらゆる国際データ転送に関して、関連するSCC、スイス修正、および英国補遺を遵守することへのそれぞれの合意を意味するものとします。

8. 副処理者

  1. お客様は、https://kinsta.com/jp/legal/subprocessors/ に掲載されている副処理者（以下「副処理者一覧」）をKinstaが利用することを許可します。Kinstaは、新たな副処理者を追加または代替する前に、かかる変更を書面でお客様に通知します。お客様が、Kinstaからの新たな副処理者に関する通知後14日以内に書面で異議を述べなかった場合、お客様は新たな副処理者を承認したものとみなされます。Kinstaは、サービスまたはお客様のアプリケーションを保護するという限定的な目的のために、新たな副処理者を直ちに利用する権利を留保します。
  2. Kinstaがその単独の裁量で、お客様からの副処理者に対するタイムリーな異議に合理的に対応できないと判断した場合、Kinstaからの通知により、お客様は本契約の解約規定に従って本契約を解約することができます。これがお客様の唯一かつ排他的な救済手段となります。
  3. Kinstaは、書面による契約によって、その副処理者に対し、本データ処理補遺に定められたものと同一または同等の義務を課すものとします。Kinstaは、顧客の個人データに関する副処理者のデータ保護義務の履行について、お客様に対して責任を負うものとします。

9. 監査および検査

  1. 書面による秘密保持契約を条件として、Kinstaは、お客様はKinstaのセキュリティ文書、および本DPAに定められた義務の遵守を証明するために合理的に必要なその他の情報を、要求およびレビューすることができます。
  2. お客様は、セキュリティ文書を確認した後も具体的なコンプライアンス上の懸念事項が解消されていない場合に限り、自ら、または該当する管理者に代わって監査を実施することができます。監査は、（i）30日以上前に、合理的な期間を設けてKinstaに書面で通知すること、（ii）書面による秘密保持契約および機密保持契約を締結し、詳細な監査計画についてKinstaによる事前の確認および承認を得ること、（iii）12か月に1回を上限とすること、（iv）お客様がすべての費用を負担すること、ならびに（v）Kinstaの事業運営を不当に妨げることなく、Kinstaの担当者がオンラインまたは現地で立ち会うことを条件とします。

10. お客様個人データの削除または返却

本契約が適切に終了した場合、及びお客様の書面による指示により、Kinstaは、適用される法律又はKinstaによるお客様個人データの継続的な保管を必要とするその他のKinstaの義務に従い、お客様個人データを削除するか、又はお客様個人データ及びそのコピーをお客様に返却する合理的な措置を講じるものとします。

SCC附属書I

A. 当事者一覧

データ移転元

氏名：お客様として特定される主体

住所：プラットフォームに記録されたお客様の住所、または本契約で別途指定された住所

名前、役職、および連絡先：お客様のアカウントに関連する企業所有者の連絡先情報、または本契約で別途指定されたもの

本条項に基づき移転されるデータに関する活動：カスタマーアプリケーションの運営

署名および日付：両当事者は、該当する本契約の受諾または締結をもって、両当事者がこれらのSCCを締結したものとすることに合意する

役割：該当する場合、管理者または処理者

データ移転先

指名： Kinsta Inc.

住所：8605 Santa Monica Blvd #92581, West Hollywood, CA 90069, USA

名前、役職、および連絡先：Kinstaデータプライバシー担当（[email protected]または上記住所に郵送）                      

本条項に基づき移転されるデータに関する活動：サービスの提供

署名および日付： 当事者は、該当する場合、本契約の受諾または締結が両当事者による本SCCの締結を構成することに同意する

役割：処理者

B. 移転の説明

個人データが移転されるデータ主体の分類
カスタマーアプリケーションを訪問、使用、またはアクセスする可能性のある第三者、あるいは顧客によってカスタマーアプリケーションを通じて個人データが送信、保存、またはその他の方法で処理されるすべての個人。具体的には、従業員およびその他の職員、顧客（その職員を含む）、ウェブサイト訪問者またはエンドユーザー、サプライヤー（その職員を含む）、上記の親族および関係者、アドバイザー、コンサルタント、およびその他の専門家、株主、会員または支持者、ならびに学生および生徒。

移転される個人データの分類
お客様が、カスタマーアプリケーションを通じて送信、保存、またはその他の処理を行うことを許可したカテゴリー。このような分類には、例えば、連絡先情報、職歴、財務情報、学歴、公的機関による識別情報、家族、ライフスタイルおよび社会的状況が含まれる場合があります。

機密データの転送（該当する場合）および適用される制限
お客様のアプリケーションを通じて送信、保存、またはその他の方法で処理することをお客様が許可したあらゆる種類のデータ。これには、連絡先情報、雇用に関する情報、財務情報、教育および研修に関する情報、公的機関が発行する識別情報、家族、生活状況および社会的状況に関する情報などが含まれる場合があります。

移転の頻度
継続的

処理の性質
カスタマーアプリケーションのホスティング及び関連サポートを含む、本サービスの提供に関連する処理

データ移転および追加処理の目的
本サービスの提供

個人データの保持期間
DPA第10条に準拠

（副）処理者への移転に関する処理の対象、性質、および期間の明記
副処理者による処理の対象、性質、および期間は、本付属書IのセクションBに記載されています。

C. 管轄監督機関

第13条に従った管轄監督当局の特定
 アイルランド

SCC附属書II

データの安全性を確保するための技術的及び組織的措置を含む措置

ガバナンスとセキュリティ組織

  • Kinstaは、チームメンバーによるお客様の個人データの処理を、サービスの提供に必要とされる範囲のみに制限する情報セキュリティポリシーを維持しています。
  • すべてのチームメンバーは、顧客の個人データにアクセスする前に、機密保持規定を含む契約に署名します。
  • Kinstaには、専任のセキュリティチームが常駐しています。
  • セキュリティ監督グループには、エンジニアリング、運用、法務、および経営陣のメンバーが含まれます。
  • すべてのチームメンバーに、データプライバシーおよび適用されるポリシーに関する研修を実施しています。

データ暗号化

  • Kinstaによって転送されるすべての顧客個人データは、転送中に暗号化されます。
  • データセンターに保存されるすべての顧客個人データ（すべてのカスタマーアプリケーションおよびアクセスログ）は、保存時に暗号化されます。
  • Kinstaは無料のSSL証明書を提供し、お客様がすべてのカスタマーアプリケーションのトラフィックを転送中に暗号化するためにHTTPS接続を強制できるようにしています。

本人確認とアクセス管理

  • 本人確認とアクセス管理のポリシーおよび実践は、最小権限の原則と役割ベースのアクセス制御（RBAC）に従っています。
  • すべてのプラットフォームアカウントで二要素認証が必須です。
  • コンテナおよびサーバーへのルートアクセスは、一意の秘密鍵によってのみ可能であり、チームメンバーは職務を遂行するために必要な最小限のアクセス権限しか付与されません。
  • ルートアクセスは、通常のアクセスポイントとは異なる専用のネットワークアクセスポイントを介してのみ可能です。

インフラと物理的セキュリティ

  • 物理的なアクセス制御は、データセンターザブプロセッサによって実施され、データセンター内のハードウェアへのアクセスを制限しています。
  • データセンタープロバイダーは、複数のセキュリティ監査を受けており、SOC 2 Type II報告書、およびISO 27001認証を含む認証を保有しています。

ネットワークと境界セキュリティ

  • ウェブアプリケーションファイアウォール（WAF）とDDoS攻撃からの保護がサービスに統合されています。
  • Kinstaは、非HTTP接続を安全なプロトコル（SSH、SFTP）のみに制限しています。
  • カスタマーアプリケーションは、Kinstaのエンジニアリングチームによって管理されるカスタムファイアウォールにより保護されています。

データの最小化

  • Kinstaは、サービスの提供に必要な量と種類のデータのみを処理、転送、および保持するために合理的な努力をしています。

バックアップ、ポータビリティ、保持、および削除

  • 複数の形式で定期的なバックアップが作成されます。お客様は、他のサーバーへの移行（ポータビリティ）や、他のサービスでの保存のために、バックアップを簡単にダウンロードできます。
  • お客様は、プラットフォームからカスタマーアプリケーションの削除を開始することができます。サービスの終了から起算して、Kinstaは45日以内にすべてのお客様個人データを削除する合理的な努力をします。

パッチと構成管理

  • サーバーパッケージ及びソフトウェアは、Kinstaのエンジニアリングチームにより最新の状態に保たれており、セキュリティアップデートが速やかに適用されています。

旧バージョン（英語のみ）

2025年9月25日 2023年7月7日 2022年10月25日