バージョン1.0 — 2026年7月4日発効。

本データ処理契約（以下「DPA」）は、ECOMILHAS TECNOLOGIA LTDA（CNPJ 46.740.714/0001-37 — 以下「ECOMILHAS」）と、ESG目標連動型変動報酬プログラムその他の法人向けサービス（以下「本サービス」）を契約する法人顧客（以下「顧客」）との間の主契約（以下「本契約」）を補完します。ECOMILHASが顧客のために個人データを取り扱う場合に、LGPD、GDPR、英国GDPR、個人情報保護法（APPI）、CCPA/CPRAその他適用法令に従って適用されます。

個人データ保護に関して矛盾がある場合、本DPAが本契約に優先します。

1. 当事者の役割

本サービス内で取り扱われる顧客の従業員データについて、顧客が管理者、**ECOMILHASが処理者（委託先）**として、顧客の文書化された指示に従います。ECOMILHASが自らの目的・方法を決定する場合（例：不正防止、法令遵守、トリップからのカーボンクレジット生成）は、プライバシーポリシーに基づき独立した管理者として行動します。

2. 対象・性質・目的

• 対象： 本サービス提供に必要な個人データの取扱。
• 性質： 収集、記録、整理、保管、利用、再委託先への共有、消去。
• 目的： ESG特典の提供、トリップの検証、報酬の算定、脱炭素レポートの作成。
• 期間： 本契約の期間および法定保管期間。

3. 本人及びデータの種類（別紙I）

• 本人： 顧客が指定する従業員及び代表者。
• データ： 本人確認情報（氏名、勤務先メール、内部ID）、雇用関係、トリップ・移動データ、位置情報、ecomilhas及び特典。要配慮個人情報は対象外であり、顧客はこれを提供してはなりません。

4. ECOMILHASの義務（処理者）

ECOMILHASは：(a) 顧客の文書化された指示及び法令に従ってのみデータを取り扱い、(b) 権限ある者の守秘を確保し、(c) 別紙IIのセキュリティ措置を実施し、(d) 本人の請求、影響評価、当局との協議に可能な限り協力し、(e) セキュリティインシデントを認識後不当な遅滞なく顧客に通知し、(f) 終了時には法定保管を除きデータを消去または返還し、(g) 遵拠を立証する情報を提供し、第8条に従い監査に応じます。

5. 顧客の義務（管理者）

顧客は、取扱い及びECOMILHASへのデータ提供について法的根拠を有すること、その指示が適法であること、従業員に法令に従い通知したこと、及び必要な同意（該当する場合のバックグラウンド位置情報を含む）を取得したことを保証します。

6. 再委託先

顧客は、ECOMILHASが再委託先（例：クラウド事業者、決済/Mastercard処理者、PIX、分析・通信）を、本DPAと同等の保護義務を課す契約のもとで起用することを許諾します。ECOMILHASは再委託先の一覧を要求に応じて提供し、重要な変更を合理的な事前通知で知らせ、顧客は理由を付して異議できます。

7. 国際移転