データ処理契約（DPA）

1. 適用範囲と当事者

本データ処理契約（以下「本 DPA」）は、日本国内の個人事業者である滝安 純平（以下「当社」）と、本サービスを利用するお客様（以下「お客様」）との間で、当社がお客様に代わって個人データを処理する場合に適用されます。本 DPA は 利用規約 の一部を構成します。

お客様が本サービス上で作成したアンケートの回答データについて、取扱いの目的と方法を決定するのはお客様です。したがって、お客様は管理者（controller）として、または第三者のために本サービスを利用する場合（代理店・コンサルティング事業者等）は当該第三者の処理者（processor）として行為し、当社はそれぞれ処理者または再処理者（subprocessor）として行為します。本 DPA において「処理者としての当社の義務」とあるのは、当社が再処理者となる場合にも同様に適用されます。お客様は、第三者のために本サービスを利用する場合、当該第三者から必要な授権を得ていることを表明し、保証します。

一方、アカウント情報等、当社が自ら目的を決定する処理については当社が管理者となり、本 DPA ではなく プライバシーポリシー が適用されます。当社が管理者として利用する外部サービスは、本 DPA にいうサブプロセッサーではありません（サブプロセッサー・外部サービス一覧 第2項）。

本 DPA は、EU 一般データ保護規則（GDPR）または英国 GDPR がお客様の処理に適用される場合に、GDPR 第28条第3項が求める事項を定めることを目的とします。本 DPA と利用規約の内容が矛盾する場合、個人データの処理に関しては本 DPA が優先します。

2. 処理の内容

GDPR 第28条第3項に従い、処理の内容は次のとおりです。

お客様は、要配慮個人データ（特別な種類の個人データ）その他の高度に規制された情報を、当社が明示的に対応を表明していない限り本サービスで取得しないものとします（利用規約 第5条）。

3. お客様の指示に基づく処理

当社は、本 DPA、利用規約、およびお客様が本サービスの機能を通じて行う設定・操作を、文書化された指示として扱い、これに従ってのみ個人データを処理します。

当社が準拠すべき法令により処理が求められる場合はこの限りではありません。この場合、当社は、当該法令が公益上の重要な理由により禁止していない限り、処理の前にお客様へ通知します。

当社は、お客様の指示が適用されるデータ保護法令に違反すると判断した場合、遅滞なくお客様に通知します。

4. 秘密保持

当社は、個人データの処理に関与する者に対し、秘密保持義務を課し、または当該者が法令上の守秘義務に服することを確認します。

5. セキュリティ

当社は、リスクに応じた適切な技術的・組織的措置を講じます（GDPR 第32条）。これには通信の暗号化、認証・認可、テナント分離、アクセス制御、監視、およびバックアップを含みます。具体的な措置は、技術の進展に応じて、保護の水準を下げない範囲で変更されることがあります。

6. サブプロセッサー

お客様は、当社が サブプロセッサー・外部サービス一覧 第1項に掲げる事業者をサブプロセッサーとして利用することに一般的に同意します。同一覧の第2項に掲げる事業者は、当社が管理者として利用するものであり、本条のサブプロセッサーには当たりません。

当社は、サブプロセッサーを追加・変更する場合、原則として効力発生の30日前までに通知します。お客様は合理的な理由に基づき異議を述べることができ、当社が合理的な期間内に代替手段を提供できない場合、影響を受けるサービスの利用契約を解約できます。

AI 機能に関する当社の直接のサブプロセッサーは OpenRouter, Inc. です。個別の AI モデル提供事業者は OpenRouter, Inc. の下位処理者であり、前段の事前通知の対象には含まれません。また、お客様が実行時にモデルまたはその提供事業者を選択した場合、当該選択は、当該提供事業者による処理についてのお客様の個別の指示および授権として扱います。

当社は、各サブプロセッサーに対し、本 DPA において当社が負う義務と実質的に同等の義務を契約により課します。サブプロセッサーが義務を履行しない場合、当社はお客様に対して責任を負います。

7. データ主体の権利への対応

当社は、処理の性質を考慮し、お客様がデータ主体の権利行使の請求に対応する義務を履行できるよう、適切な技術的・組織的措置により合理的に援助します。本サービスは、回答データの閲覧・エクスポート・削除の機能を提供しており、多くの請求はお客様自身で対応できます。

当社がデータ主体から直接請求を受けた場合、法令上当社が直接対応すべき場合を除き、当社は当該請求に自ら応答せず、遅滞なくお客様へ転送します。

8. 侵害の通知および当社の援助

当社は、当社が処理する個人データに関する個人データ侵害を認識した場合、不当な遅滞なくお客様へ通知し、判明している範囲で侵害の内容、影響を受けたデータの類型、および講じた措置・講じる予定の措置を提供します。

当社は、処理の性質および当社が利用可能な情報を考慮し、GDPR 第32条から第36条（セキュリティ、侵害の通知、データ保護影響評価、事前協議）に基づくお客様の義務の履行を合理的に援助します。

9. 契約終了時の削除・返却

お客様は、本サービスの機能により、契約終了前に個人データをエクスポート（返却）できます。契約終了後、当社は、お客様の選択に従い個人データを返却または削除し、法令により保存が求められる場合を除き、既存の複製を削除します。

稼働環境上の個人データは、契約終了後、削除処理に技術的に要する期間内に削除します。当該期間は最長90日とし、これは一般的な保持方針ではなく削除完了までの技術的上限として定めるものです。

バックアップに含まれる個人データは、通常のバックアップ世代管理の期間中に限り残存し、その間、当社は当該データを通常のアクセス経路から参照せず、新たな処理にも使用しません。法令上の義務または災害復旧の場合を除き復元も行わず、世代管理の完了とともに削除されます。

10. 情報提供および監査

当社は、本条に基づく義務の履行を示すために必要な情報を、お客様の合理的な要求に応じて提供します。

お客様は、適用法令が求める範囲で監査を行うことができます。監査は、原則として年1回、少なくとも30日前の書面による通知のうえ、当社の通常の営業時間内に、当社の業務への支障を最小限にする方法で行うものとします。監査を実施する者は、独立した監査人であり、当社の競合他社でなく、かつ秘密保持契約に服する必要があります。監査の対象には、他の顧客のデータ、当社のソースコード、および認証情報へのアクセスを含みません。当社の営業秘密その他の秘密情報については、監査を一律に拒むのではなく、編集済み（redacted）の資料の提供、当社立会いのうえでの画面共有、第三者による監査報告書の提供等の代替手段により、お客様が本 DPA の遵守を確認できるようにします。費用はお客様の負担とします。

当社は、第三者による監査報告書その他の文書を保有する場合、まずその提供をもって監査に代えることを提案でき、当該文書によりお客様の適法な監査目的が達成される場合、お客様は個別の監査を求めないものとします。法令上の要請または個人データ侵害の発生後は、前段の頻度の制限を適用しません。

データ主体の請求への対応、データ保護影響評価その他の援助について、通常の範囲を超える手作業を要する場合、当社は、適用法令が認める範囲で、合理的な費用を請求できます。

11. 国際的な移転

移転は 2 つの段階に分かれ、それぞれ根拠が異なります。混同しないでください。

(1) 欧州経済領域・英国のお客様から当社への移転

当社は日本国内に所在し、日本は欧州委員会および英国から十分性認定を受けています。当社は、個人情報の保護に関する法律上の個人情報取扱事業者として、欧州経済領域または英国から移転を受けた個人データについて、個人情報保護委員会が定める補完的ルールを遵守します。したがって、この段階の移転について標準契約条項は必要としません。

将来、十分性認定が撤回・停止され、または当該移転に適用されなくなった場合、当社は、欧州委員会が採択した標準契約条項（英国については英国 Addendum を含みます）に依拠します。この場合に用いるモジュールは、お客様が管理者であるときはモジュール2（管理者から処理者）、お客様自身が処理者であるときはモジュール3（処理者から処理者）です。

(2) 当社から国外のサブプロセッサーへの移転

当社は、サブプロセッサー・外部サービス一覧 第1項の各サブプロセッサー（米国所在を含みます）との間で、当該移転に必要な適法な移転手段を確保します。当社は処理者としてこれらへ再委託するため、標準契約条項による場合はモジュール3（処理者から処理者）が適用されます。当社が再処理者として行為する場合も同様です。

十分性認定が利用できなくなった場合その他、第(1)段階について標準契約条項が必要となる場合、当事者・監督機関・準拠法および附属書に相当する事項は、本 DPA および サブプロセッサー・外部サービス一覧 の記載により補完されるものとし、お客様のご要望に応じて、当社はお客様との間で必要な標準契約条項を締結します。

第(2)段階については、当社が各サブプロセッサーとの間で必要な標準契約条項その他の適法な移転手段を確保します。この標準契約条項の当事者は当社と当該サブプロセッサーであり、お客様は当事者となりません。お客様から合理的な要望がある場合、当社は、法令および秘密保持義務の範囲内で、当該移転手段が講じられていることを示す情報を提供します。

12. 責任

本 DPA に基づく当社の責任は、利用規約 の責任の制限に関する定めに従います。ただし、適用されるデータ保護法令上、制限することが認められない責任についてはこの限りではありません。

13. 準拠法

本 DPA は日本法に準拠します。ただし、適用されるデータ保護法令上の強行規定は、これに優先して適用されます。

14. お問い合わせ

本 DPA に関するご質問、署名済み文書のご要望は お問い合わせフォーム よりご連絡ください。

15. 正文

本 DPA の正文は日本語版とします。外国語による翻訳は利用者の便宜のために提供する参考訳であり、日本語版との間に相違がある場合は日本語版が優先します。