DPA

本データ処理契約（以下「本DPA」）は、Stackableがアプリをストアオーナーに提供する一環として個人データをどのように処理するかを説明するものです。本DPAは、当社の利用規約およびプライバシーポリシーを補完するものであり、以下に記載する限定的な個人データに適用されます。

お客様のストアに関連してStackableを経由する個人データ（例えば、Shopifyの必須コンプライアンスWebhookを通じたもの）については、お客様（ストアオーナー）がデータ管理者となり、Stackableはお客様のデータ処理者として、お客様の指示に基づき、かつサービス提供に必要な範囲でのみ当該データを処理します。

これとは別に、Stackableがお客様（当社の顧客）について保有する限定的なアカウントデータ（ショップドメイン、管理者メールアドレス、アプリ内操作履歴に使用されるスタッフ名）については、当社のプライバシーポリシーに記載のとおり、Stackable自身がデータ管理者として行動します。

処理の対象は、Stackable割引アプリの提供です。処理は、アプリがストアにインストールされている間継続し、当社のプライバシーポリシーの保持セクションに定める削除スケジュール（アンインストール後のshop/redactによる削除を含む）に従って終了します。

• お客様が設定した割引キャンペーンを、Shopify Functionsを通じてサーバー側で計算・適用すること。
• キャンペーンの成果を測定できるよう、注文レベルで集計された分析データ（注文ID、合計金額、適用された割引）を記録すること。
• 当社のプライバシーポリシーに記載のとおり、お客様に代わってShopifyの必須コンプライアンスWebhook（customers/data_request、customers/redact、shop/redact）に対応すること。
• 当社のプライバシーポリシーに記載された、マーチャントが提供する入力（入力したリクエスト、カタログ名、または貼り付けたScript）を当社のAI下請処理者に送信して、キャンペーンの下書きの提案を生成することにより、任意のAI支援機能（キャンペーンアシスタントおよびScripts Rescue）を提供すること。これらの入力はマーチャントのビジネスデータであり、ストアフロントの顧客の個人データではありません。

完全なリストについては、当社のプライバシーポリシーの「当社が収集する情報」および「当社が収集しない情報」をご覧ください。要約すると、ショップレベルおよびストアオーナーアカウントのデータ、割引キャンペーンの設定、注文合計金額/割引帰属分析データです。当社は、同ポリシーに記載された短時間で自動削除される生のWebhookペイロードを超えて、ストアフロント顧客の個人情報（PII）を処理することはありません。

当社は、サービスの提供にあたり以下の副処理者を利用しています。このリストは、当社のプライバシーポリシーの副処理者リストと同一の内容に保たれています。

Vercel

アプリおよび本ウェブサイトのホスティングとインフラストラクチャ（米国）。

Supabase

マネージドPostgresデータベース - 上記のショップ、キャンペーン、分析データを保存します（米国リージョン）。

Shopify

Stackableが動作するプラットフォーム - 割引エンジンが依存する認証、請求、およびストアフロント/チェックアウトAPI（Shopify自体のグローバルインフラストラクチャに従って処理されます）。

Resend

トランザクションメール - お問い合わせフォームおよびウェイトリストの通知を送信します（米国）。

Google Analytics

本マーケティングサイトにおける集計済みのウェブサイトトラフィック分析。分析用Cookieに同意した場合にのみ実施されます - 詳細はCookieポリシーをご覧ください（米国）。

Google (Gemini API)

アプリ内キャンペーンアシスタントおよびScripts Rescue向けのAIプロバイダーです。アシスタントで割引を説明すると、入力したテキストが、適切なキャンペーンを下書きするために送信され、あわせて下書きが正しい商品を対象にできるよう、ストアのカタログ名（コレクション名、商品タグ、商品名）も送信されます。Scripts RescueにShopify Scriptを貼り付けると、そのScriptテキストが送信され、当社が同等のキャンペーンとして再構築できるようにします。当社は顧客の個人データを一切送信しません（名前、メールアドレス、注文、住所は含みません）（米国）。

OpenAI

アプリ内キャンペーンアシスタントおよびScripts Rescue向けの予備AIプロバイダーで、主要プロバイダーが利用できない場合にのみ使用されます。同じ入力リクエストおよびカタログ名（コレクション名、商品タグ、商品名）、または貼り付けられたScriptテキストを処理し、顧客の個人データは扱いません（米国）。

お客様に代わって個人データを処理する副処理者を追加または変更する場合、当社は上記のリストを更新し、変更内容を変更履歴（チェンジログ）に記載します。当該更新後もStackableの利用を継続した場合、新しい副処理者への同意とみなされます。

副処理者がお客様の管轄区域外（例えば米国）でデータを処理する場合、当該移転は、副処理者自身が維持するセーフガード（該当する場合は標準契約条項（SCC）を含む）に依拠します。当社は現在、ストアオーナーごとに個別のSCCを締結していませんが、当社のストアオーナー基盤および法的義務に応じて、要請があれば提供します。

当社が適用する技術的・組織的対策（暗号化された接続、範囲を限定したデータベース認証情報、必要なチームメンバーのみに限定したアクセス）については、当社のプライバシーポリシーの「セキュリティ」セクションをご覧ください。

本DPAに基づき個人データへのアクセス権を有する者（当社チームおよび副処理者）は、雇用契約、業務委託契約、または当社との間の副処理者自身の契約条件のいずれかにより、当該データに関する守秘義務を負います。

お客様に代わって処理する個人データに影響を及ぼす侵害を当社が認識した場合、当社は不当な遅滞なく、いかなる場合でも認識から72時間以内に、その時点で入手可能な情報とともにお客様に通知します。お客様が実施を求められる追加調査または通知について、当社は誠実に協力します。

当社は、当社のプライバシーポリシーに記載のとおりShopifyの必須コンプライアンスWebhookを直接処理すること、およびお客様から転送された直接の請求に合理的な期間内に対応することにより、データ主体からの請求への対応を支援します。

本DPAは、Stackableがお客様に代わって個人データを処理する間、効力を有します。契約終了時（アンインストール時）には、当社のプライバシーポリシーに定める保持スケジュールに従ってデータが削除されます。

本DPAについてご質問がありますか。メールにてお問い合わせください - サポート先のメールアドレスはお問い合わせページをご覧ください。