DPA、保存期間、同意：代理店向け調達チェックリスト

一般的には、データ処理契約（DPA）、データの保存場所（EU、第三国移転なしか）、保持期間と削除権限、ゲスト同意の取得方法、消去能力、そして大口顧客向けのSSO等のアクセス制御を確認します。これらを事前に回答しておくと契約が速く進みます。Gathmoはこれに、米国アリゾナ州フェニックスのサーバー、Cloudflareでのゲストメディア保存、EUの標準契約条項に基づく移転、GDPR第28条DPA（要請時）、定義済みリテンション、同意・削除ツール、EnterpriseプランのSSOで回答しています。

GDPRでコントローラーとプロセッサーの関係を正式化するために必要な契約であり、法人や公共セクターの顧客はこれなしには署名しません。通常、あなたの顧客がコントローラーで、あなたとプラットフォームが処理チェーン上に位置します。Gathmoは要請に応じてDPAを提供するため、代理店として販売元に戻ることなく即座に提出できます。これが案件の停滞を招きやすいポイントです。

Gathmoのサーバーは米国アリゾナ州フェニックスで稼働し、ゲストメディアはCloudflareに保存されます。EEA域外への移転はEUの標準契約条項（SCC）に基づいています。調達の観点では、データ所在地の質問に明確に回答でき、標準契約条項とDPAを示すことができます。EU内のみのホスティングで第三国移転がないことは、欧州の企業バイヤーに対する最も明確な回答であり、入札要件としてますます厳格になっています。

ゲストメディアはイベントに適した定義済みの保存期間で保管され、終了後に削除されます。削除は主催者が管理でき、特定の削除要望に対応できる消去ツールも用意されています。GDPRではデータは必要以上に長く保持してはいけないため、明確で一貫して適用できる保存期間を示せることが調達担当者にとって重要です。使用する保存窓を記録しておくと、要請があった際に説明しやすくなります。

アップロード時に、収集内容とその理由をゲストに通知し、同意内容をフロー内で取得します。代理店としては、案内表示とアップロード通知で目的が明確に伝わるようにする必要があります。プラットフォームは同意を記録し削除ツールを提供しますが、管理者側の判断（合法的根拠や通知文言）はあなた方またはクライアントが担います。これを明確に説明できれば、調達部門は同意が意図的に管理されていることが安心できます。

大規模組織では、アクセス管理のためのシングルサインオン（SSO）や、時にゲスト向けブランドSMSを要求することがあります。GathmoのEnterpriseプラン（699ユーロ/月相当、年額6,990ユーロ）は、フル機能セットに加え、SSOとブランディングSMSを追加します。大半のエージェンシー業務はAgency（199ユーロ/月相当）で十分ですが、入札でSSOやエンタープライズID要件が明記されている場合はEnterpriseが適切です。

DPA（データ処理契約）を共有できる状態にし、データ所在地の回答を明確にし、保存期間と削除プロセスを説明でき、同意フローを理解しておきます。顧客が大手の場合、Enterpriseを見積もる必要があるかもしれないためSSO要件を確認します。これらを先に答えた状態で打ち合わせに入り、後で確認すると言わないことが、信頼できる準備済みのパートナーとして見なされる理由です。