データ処理補足契約

本データ処理補足契約（以下「本DPA」）は、株式会社Gemini Group（以下「処理者」）と、本契約において特定される顧客組織（以下「管理者」）との間のPolicyHQ利用規約（以下「本契約」）を補足するものです。本書は、PolicyHQサービスに関連して、処理者が管理者に代わって行う個人データの処理について定めるものです。ここで定義されていない頭文字が大文字の用語は、本契約、または該当する場合はGDPR第4条若しくは日本の個人情報保護法（APPI）の同等の用語における意味を有するものとします。

1. 対象事項および期間

• 1.1 対象事項： 処理者は、本契約に記載されているサービスを提供するという唯一の目的のために、管理者に代わって個人データを処理します。
• 1.2 期間： 本DPA は発効日に効力を生じ、本契約の期間、および処理者が個人データを保持する終了後の期間（§ 9 — 返還および削除を参照）にわたり引き続き効力を有するものとします。

2. 処理の性質および目的

• サービス内での顧客コンテンツのホスティング
• ユーザーの認証、アクセス制御の実施、および通知のルーティング
• 副処理者を通じた、AI駆動の要約、分類、翻訳、セマンティック検索用のエンベディング（埋め込み）、および「Ask the corpus（コーパスに質問）」チャット機能の回答の生成（§ 6を参照）
• 管理者の正当な権限を有するユーザーへのトランザクションメールおよびダイジェストメールの送信
• セキュリティおよびサポート目的での監査ログおよび運用テレメトリの作成

3. 個人データのカテゴリ

• ユーザー識別子： 氏名、メールアドレス、役割、所属組織
• 認証データ： ハッシュ化された資格情報、セッショントークン、OAuth識別子
• 利用データ： 使用された機能、検索履歴、モニター定義、コメント、メンション
• 顧客コンテンツ： 管理者がメモ、タグ、ウォッチリスト、またはAIプロンプトに含めることを選択した任意の個人データ

処理者は、管理者が顧客コンテンツに自主的に含めない限り、特別なカテゴリのデータ（人種、健康状態、生体情報など）を処理しません。管理者の明示的な指示以外での特別なカテゴリのデータの処理は禁止されています。

4. データ主体のカテゴリ

• 管理者の従業員、請負業者、および代理人
• 管理者がサービス内で追跡することを選択した第三者の利害関係者

5. 処理者の義務

処理者は以下を行うものとします

• 適用法により義務付けられている場合を除き、国際転送に関する事項を含め、管理者の書面による指示（documented instructions）に基づいてのみ個人データを処理すること
• 個人データを処理する権限を与えられた者が守秘義務に服することを保証すること
• 適切な技術的および組織的措置を講じること（§ 7を参照）
• 受領から30日以内に、データ主体の要求（アクセス、削除、データポータビリティ）への対応において管理者を支援すること
• 個人データ侵害を覚知した後、不当な遅滞なく（かついかなる場合も72時間以内に）、管理者が自らの通知義務を果たすために十分な情報とともに管理者に通知すること

6. 副処理者

• 6.1 承認： 管理者は、処理者が policyhq.ai/security/subprocessors にリストされている副処理者を起用することについて、包括的な承認を与えます。当該リストには、各副処理者が所在する国名も明示されます。各副処理者は、本DPAにおけるデータ保護条件と同等以上に保護的な条件に拘束されます。
• 6.2 変更： 処理者は、副処理者リストへの重要な変更を、それが発効する少なくとも30日前までに公表します。管理者はその期間内に書面で異議を申し立てることができます。両当事者が当該異議を解決できない場合、管理者は30日前の通知をもって、本契約の当該影響を受ける部分を違約金なしで解除することができます。
• 6.3 責任： 処理者は、その副処理者の作為および不作為について、処理者自身が行った場合と同様に、管理者に対して引き続き責任を負います。

7. セキュリティ措置

処理者は以下を実装します。

• 通信時におけるTLS 1.3、および保管時におけるAES-256暗号化 ；
• 最小特権原則に基づく役割ベースのアクセス制御（アプリケーションレイヤー、およびすべての顧客データの読み取りおよび書き込みパスをカバーするテナント分離テストの両方を通じて強制されます）
• すべての管理者アクセスに使用されるアイデンティティプロバイダーにおける多要素認証（MFA）（エンドユーザー向けのアプリケーションレベルのMFAはロードマップに含まれています）
• 管理者および顧客のアクションの監査ロギング
• バックグラウンドチェック（経歴調査）を実施済みで、契約上の義務を負い、継続的なセキュリティトレーニングを受けている従業員
• 文書化されたエスカレーションパスを備えたインシデント対応手順
• セキュリティコントロールの年次レビュー（SOC 2 Type 1監査は、最初の有償顧客コホートの後に計画されています。処理者は、監査期間の開始を管理者に通知し、完了時にレポートを共有します）

詳細な技術的および組織的措置は policyhq.ai/security に文書化されています。

8. 国際転送

個人データは、主に東京リージョン（日本）に保存されます。日本またはEEA（欧州経済領域）の国外に所在する副処理者（例：米国で運営されているAIプロバイダーなど）が個人データを受領する場合、処理者は以下に依拠します

• EEAからの転送については、標準契約条項（欧州委員会決定2021/914）
• 日本からの転送については、個人情報保護法（APPI）第28条の要件を満たす同等の契約上のセーフガード。処理者は、管理者が個人情報保護法（APPI）に基づく義務（外国にある第三者への提供に関する定期的な義務等）を履行できるよう、副処理者が講ずる安全管理措置の実施状況や所在国の制度に関する情報を、管理者の求めに応じて合理的な範囲で提供するものとする。
• モデルのトレーニングまたはその他の二次的な目的のための個人データの保持を禁止するベンダー契約

9. 返還および削除

本契約の終了時に、管理者は privacy@policyhq.ai への電子メール送信により、30日以内に顧客コンテンツのエクスポートを要求することができます。処理者は、受領から30日以内にエクスポートを無償で提供します（製品内でのセルフサービスのエクスポートはロードマップに含まれています）。エクスポート期間の終了後、処理者は以下を行うものとします。

• 30日以内に、本番システムから顧客コンテンツを削除または匿名化すること
• バックアップのローテーションサイクルに従い、90日以内にバックアップから顧客コンテンツを消去すること
• 法的（例：日本の税法に基づく請求記録など）に保持が義務付けられているデータのみを、必要な最小限の期間保持すること

処理者は、要求に応じて、削除の書面による確認書を提供します。

10. 監査

管理者は、30日前の書面による通知をもって、年に1回を超えない範囲で（重大なセキュリティインシデントが発生した場合を除く）、本DPAに対する処理者の遵守状況を監査することができます。監査は営業時間内に実施され、処理者の業務を不当に妨げないものとします。処理者は、最近の第三者監査レポート（例：利用可能になった時点でのSOC 2など）を提供することにより、監査要求を満たすことができます。ただし、当該第三者監査レポートが利用可能になるまでの間、処理者は管理者の求めに応じ、安全管理措置の実施状況に関する書面（セキュリティチェックシート等）への回答を年に1回提供するものとします。

11. 責任

本DPAに基づく各当事者の責任は、本契約における責任制限の対象となります。本DPAのいかなる規定も、適用されるデータ保護法に基づくデータ主体に対するいずれの当事者の責任も制限するものではありません。

12. 優先順位

本DPAと本契約との間に矛盾がある場合、本DPAがその矛盾の範囲内で優先するものとします。ただし、個人データの処理に関する事項に限ります。

13. 連絡先

本DPAに関する問い合わせおよび署名要求：privacy@policyhq.ai