データ処理契約（DPA）

最終更新日：2026年9月12日
発効日：2026年9月12日

本データ処理契約（以下「本DPA」）は、株式会社AI Key Innovation（所在地：〒107-0062 東京都港区南青山三丁目1番36号 青山丸竹ビル6F。以下「当社」または「処理者」）と、当社が提供する対象サービスを利用する法人その他の組織（以下「顧客」または「管理者」）との間に適用されます。

本DPAは、顧客と当社との間で締結される利用規約、申込書、注文書、個別契約その他の対象サービスに関する契約（以下、総称して「サービス契約」）の一部を構成します。

第1条（目的および適用範囲）

1. 本DPAは、当社が対象サービスの提供に関連して、顧客に代わって個人データを処理する場合における、顧客および当社の権利義務を定めるものです。
2. 本DPAは、当社が顧客に代わって個人データを処理する範囲に限り適用されます。
3. 当社が自ら個人データの処理目的および手段を決定する場合、当社は当該処理について独立した管理者として行動します。この場合、本DPAではなく、当社のプライバシーポリシーその他の適用条件が適用されます。
4. 対象サービスごとに、本DPAと異なる処理条件または追加の処理条件が定められている場合、当該条件は本DPAの一部を構成します。

第2条（定義）

本DPAにおいて、次の用語は以下の意味を有します。

1. 「適用データ保護法」とは、本DPAに基づく個人データの処理に適用される法令をいい、該当する場合には、EU一般データ保護規則（規則（EU）2016/679。以下「GDPR」）、英国一般データ保護規則、EU加盟国または英国のデータ保護法令、および日本の個人情報の保護に関する法律を含みます。
2. 「個人データ」「処理」「管理者」「処理者」「データ主体」「個人データ侵害」および「監督当局」は、適用データ保護法に定める意味を有します。
3. 「対象サービス」とは、サービス契約に基づいて当社が顧客に提供するサービスのうち、当社が顧客に代わって個人データを処理するものをいいます。
4. 「顧客データ」とは、顧客または顧客から権限を付与された者が、対象サービスに入力、保存、アップロード、生成、送信またはその他の方法で提供するデータをいいます。
5. 「対象個人データ」とは、顧客データに含まれる個人データのうち、当社が顧客に代わって処理するものをいいます。
6. 「再委託先」または「サブプロセッサ」とは、当社が対象個人データの処理の全部または一部を委託する第三者をいいます。
7. 「SCC」とは、欧州委員会決定（EU）2021/914により採択された、第三国への個人データ移転に関する標準契約条項をいいます。

第3条（当事者の役割）

1. 顧客は、対象個人データについて管理者として行動し、当社は、顧客に代わって対象個人データを処理する処理者として行動します。
2. 顧客が他の管理者の処理者として対象サービスを利用する場合、当社は、当該対象個人データについて再処理者として行動します。
3. 前項の場合、顧客は、当社に処理を委託し、本DPAを締結し、当社による再委託を承認するために必要な権限を有することを保証します。
4. 当事者の役割は、本DPAで使用される名称だけでなく、実際の処理目的および処理方法に基づいて判断されます。

第4条（処理の詳細）

1. 処理の対象

当社は、対象サービスの提供、運用、保守、セキュリティ確保およびサポートに必要な範囲で、顧客に代わって対象個人データを処理します。

2. 処理の期間

当社は、サービス契約の有効期間中および第17条に基づく対象個人データの返却または削除が完了するまで、対象個人データを処理します。

適用法令により保存が義務付けられる場合、当社は、当該法令によって要求される期間および目的に限って対象個人データを保持します。

3. 処理の性質

当社が行う処理には、対象サービスに応じて、取得、記録、整理、構造化、保存、更新、検索、参照、利用、顧客が指定する者への表示・送信または提供、外部サービスとの連携、バックアップ、復旧、制限、返却、消去、その他対象サービスの提供に必要な処理が含まれます。

4. 処理の目的

当社は、対象サービスに応じて、次の目的で対象個人データを処理します。

• 対象サービスの提供、運用および保守
• 顧客および利用者の認証
• 顧客が指定する業務処理の実行
• データの保存、表示、検索、更新および共有
• スケジュール、記録、請求その他の業務管理
• 顧客サポートおよび技術支援
• 障害への対応および対象サービスの復旧
• セキュリティの確保、不正利用の防止および調査
• 対象サービスの性能および可用性の監視
• 顧客が利用する決済、請求、通信、認証その他のサービスとの連携
• 顧客が有効化したAI機能の提供
• 顧客の文書化された指示の実行
• 適用法令および本DPA上の義務の履行

5. データ主体の種類

対象個人データに関係するデータ主体には、対象サービスおよび顧客による利用方法に応じて、次の者が含まれる場合があります。

• 顧客の役員、従業員、職員、契約者および担当者
• 顧客から対象サービスの利用権限を付与された者
• 顧客の商品またはサービスの利用者
• 顧客の取引先およびその担当者
• 患者、介護対象者、支援対象者その他のサービス受給者
• データ主体の家族、代理人、後見人および緊急連絡先
• 顧客が対象サービスを通じて個人データを取り扱うその他の者

6. 個人データの種類

対象個人データには、対象サービスおよび顧客による利用方法に応じて、次の情報が含まれる場合があります。

• 氏名、生年月日、年齢、性別その他の識別情報
• 住所、電話番号、メールアドレスその他の連絡先
• ユーザー名、ユーザーID、認証情報およびアクセス権限
• 所属組織、部署、役職、資格および担当業務
• 顧客または利用者が入力、アップロードまたは送信する記録、文書、画像、音声その他のコンテンツ
• スケジュール、担当者の割当て、対応履歴および業務記録
• 契約、請求、支払および取引に関する情報
• 端末、ブラウザ、IPアドレス、アクセス日時、操作履歴およびサービスログ
• サポートへの問い合わせおよび当社との連絡内容
• 顧客が対象サービスを通じて処理するその他の個人データ

7. 特別な種類の個人データ

顧客による対象サービスの利用方法によっては、次の情報が含まれる場合があります。

• 健康状態
• 病歴および診療情報
• 障害に関する情報
• 服薬情報
• 介護および支援の必要性に関する情報
• 身体または精神の状態に関する情報
• その他、適用データ保護法上、特別な保護を要する個人データ

顧客は、対象サービスの提供に必要であり、かつ適用データ保護法に基づいて適法に処理できる場合に限り、これらの情報を対象サービスで処理するものとします。

第5条（顧客の指示）

1. 当社は、次の各号に該当する場合を除き、顧客の文書化された指示に従ってのみ対象個人データを処理します。
   1. 適用法令により処理が義務付けられる場合
   2. 当社が独立した管理者として適法に処理する場合
2. 顧客の文書化された指示には、サービス契約、本DPA、申込書、注文書、対象サービスの設定、顧客または顧客から権限を付与された利用者による操作、APIを通じた要求、および当事者間で合意された書面または電磁的方法による追加指示が含まれます。
3. 顧客の指示には、対象個人データの国外移転に関する指示を含みます。
4. 適用法令により処理が義務付けられる場合、当社は、当該法令によって禁止されない限り、処理を開始する前にその旨を顧客へ通知します。
5. 当社は、顧客の指示が適用データ保護法に違反すると合理的に判断した場合、速やかに顧客へ通知します。当社は、当該違反が解消されるまで、その指示の実行を停止できます。
6. 顧客からの追加指示が対象サービスの通常の機能またはサービス契約の範囲を超える場合、当事者は、その実施方法、実施時期および合理的な費用について協議します。

第6条（顧客の責任）

顧客は、次の事項について責任を負います。

1. 対象個人データの処理について、適用データ保護法上必要となる法的根拠を確保すること
2. データ主体に対して必要な情報を提供し、必要な場合には有効な同意を取得すること
3. 当社に提供する対象個人データおよび当社に対する処理指示が適法であること
4. 対象個人データが、その処理目的との関係で適切かつ関連性があり、必要な範囲に限定されていること
5. 対象個人データの正確性を合理的な範囲で確保すること
6. 対象サービスの利用者に適切なアクセス権限を設定し、認証情報を安全に管理すること
7. 健康情報その他の特別な種類の個人データを処理する場合、適用データ保護法に基づく追加要件を満たすこと
8. 対象サービスを、その仕様、サービス契約および適用法令に従って利用すること

第7条（守秘義務）

1. 当社は、対象個人データへのアクセスを、対象サービスの提供、本DPA上の義務の履行または適用法令への対応に必要な者に限定します。
2. 当社は、対象個人データを処理する権限を有する役員、従業員、契約者その他の者に対し、契約または法令に基づく適切な守秘義務を課します。
3. 当社は、対象個人データを処理する者に対して、その役割に応じて必要となるデータ保護および情報セキュリティに関する教育を実施します。
4. 本条の義務は、本DPAおよびサービス契約の終了後も存続します。

第8条（技術的および組織的な安全管理措置）

1. 当社は、処理の性質、範囲、状況および目的ならびにデータ主体の権利および自由に対するリスクを考慮し、当該リスクに応じた適切な技術的および組織的措置を実施し、維持します。
2. 当社は、対象サービスおよび処理に伴うリスクに応じて、以下の安全管理措置を実施します。

1. 組織的な安全管理

• 個人データおよび情報セキュリティに関する責任体制の整備
• 対象個人データへのアクセスを業務上必要な者に限定する手続
• 対象個人データを取り扱う者への守秘義務の設定
• 役割に応じた情報セキュリティおよびデータ保護教育
• セキュリティ事象および個人データ侵害への対応手順
• 再委託先の選定およびデータ保護条件の確認
• アクセス権限の付与、変更および削除に関する管理
• 法令、リスクおよび対象サービスの変更に応じた安全管理措置の見直し

2. アクセス制御および認証

• 利用者ごとのアカウントおよび認証手段
• 役割または権限に基づくアクセス制御
• 最小権限の原則に基づく社内アクセス
• 管理者権限その他の重要な権限の制限
• 不要となったアクセス権限の削除
• 技術的に対応可能な対象サービスにおける多要素認証

3. 暗号化および通信保護

• 業界標準の暗号化プロトコルを使用した通信経路の保護
• 使用するクラウド基盤および対象サービスの仕様に応じた保存データの暗号化
• 認証情報、秘密情報および暗号鍵へのアクセス制限
• パスワードを保存する場合における適切なハッシュ化その他の保護

4. データの分離

• 顧客または利用者の識別情報に基づく論理的なデータ分離
• 権限を有しない者による他の顧客データへのアクセスを防止するためのアクセス制御
• 開発環境および検証環境における本番データの利用制限

5. ログおよび監視

• 対象サービスの運用およびセキュリティに必要なログの記録
• 不正アクセス、異常な操作または障害を検知するための合理的な監視
• ログへのアクセス制限
• インシデント調査に必要な範囲でのログの保持

6. 脆弱性および変更管理

• 利用するソフトウェアおよび依存関係の合理的な更新
• セキュリティ上重要な脆弱性の評価および対応
• 本番環境への変更に関する適切な確認および管理
• 対象サービスの性質およびリスクに応じたセキュリティ検査

7. バックアップおよび復旧

• 対象サービスの可用性要件に応じたバックアップ
• バックアップへのアクセス制限
• 障害または事故発生時の復旧手順
• バックアップの保持期間に従った削除または上書き

8. インシデント対応

• セキュリティ事象の受付、調査および対応手順
• 個人データ侵害の影響を軽減するための措置
• 顧客への連絡および追加情報の提供手順
• 重大な事象についての原因分析および再発防止

9. データの削除

• 対象サービスの機能または運用手順に基づく対象個人データの削除
• アカウントおよびアクセス権限の無効化
• バックアップサイクルに従ったバックアップデータの削除または上書き
• 不要となった記録媒体および保存領域の適切な処理

3. 当社は、対象サービス全体の安全性を実質的に低下させないことを条件として、技術の進歩、リスクの変化または対象サービスの変更に応じて、安全管理措置を変更できます。
4. 顧客は、対象サービスの性質、対象個人データの種類および当社から提供された情報を考慮し、安全管理措置が顧客の利用目的に適しているかを判断するものとします。
5. 顧客は、自ら管理する端末、ネットワーク、アカウント、認証情報、利用者権限および対象サービス外に保存したデータについて、適切な安全管理措置を講じるものとします。

第9条（サブプロセッサ）

1. 顧客は、当社が対象サービスの提供に必要な範囲でサブプロセッサを利用することを一般的に承認します。
2. 当社は、当社ウェブサイト上の「サブプロセッサ一覧」に、対象個人データを処理するサブプロセッサについて、次の情報を掲載します。
   1. 正式法人名
   2. 提供されるサービス
   3. 処理の目的
   4. 処理される個人データの種類
   5. 主な処理場所
   6. 国外移転に適用される保護措置
   7. その他、対象個人データの処理を把握するために必要な情報
3. 当社ウェブサイト上のサブプロセッサ一覧は、本DPAの一部を構成します。
4. 当社は、新たなサブプロセッサの追加または既存のサブプロセッサの交代を予定する場合、その効力発生日の30日前までに、電子メール、対象サービス上の通知その他の合理的な方法で顧客へ通知します。
5. 顧客は、通知を受けた日から30日以内に、合理的かつ具体的なデータ保護上の理由を示して、当該変更に異議を申し立てることができます。
6. 当社は、顧客から合理的な異議を受けた場合、顧客と協議し、対象個人データの処理を伴わない代替手段その他の合理的な解決策を検討します。
7. 当事者が合理的な期間内に異議を解決できない場合、顧客は、当該サブプロセッサの利用に影響を受ける対象サービスを終了できます。終了に伴う料金その他の取扱いは、サービス契約に従います。
8. 当社は、各サブプロセッサとの間で、当社が本DPAに基づいて負う義務と実質的に同等のデータ保護義務を課す契約を締結します。
9. 当社は、適用データ保護法に従い、サブプロセッサによる当該データ保護義務の履行について顧客に対して責任を負います。

第10条（国外移転）

1. 当社は、対象個人データを欧州経済領域、英国または対象個人データが取得された地域の外へ移転する場合、適用データ保護法に基づく有効な移転根拠を確保します。
2. 欧州経済領域から日本への移転について、欧州委員会による日本の十分性認定が適用される場合、当社は、当該十分性認定および適用される補完的ルールに従って対象個人データを取り扱います。
3. 十分性認定が適用されない移転について、当社は、必要に応じてSCCその他の適法な移転措置を講じます。
4. SCCの締結が必要となる場合、当事者は、その実際の役割および移転の態様に対応するSCCのモジュールを適用します。
5. 当社は、適用データ保護法上必要となる場合、移転先の法制度および実務を評価し、暗号化、アクセス制限その他の適切な補完的措置を講じます。
6. SCCと本DPAまたはサービス契約の内容が矛盾する場合、当該矛盾の範囲においてSCCが優先します。
7. 当社は、国外移転への対応状況を確認するために合理的に必要な情報を顧客へ提供します。

第11条（公的機関からの要請）

1. 当社が公的機関から対象個人データの開示を求められた場合、当社は、適用法令によって禁止されない限り、速やかに顧客へ通知します。
2. 当社は、開示要求の適法性および範囲を合理的に確認し、明らかに違法または過度な要求については、合理的に可能な範囲で異議申立てその他の対応を行います。
3. 当社が対象個人データを開示する場合、法的義務を履行するために必要な最小限の範囲に限定します。

第12条（データ主体の権利への対応）

1. 当社は、処理の性質を考慮し、適切な技術的および組織的措置を通じて、データ主体による次の権利の行使に対応する顧客の義務の履行を合理的な範囲で支援します。
   1. 対象個人データへのアクセス
   2. 対象個人データの訂正
   3. 対象個人データの消去
   4. 処理の制限
   5. データポータビリティ
   6. 処理に対する異議申立て
   7. 自動化された意思決定に関する権利
   8. その他、適用データ保護法に基づく権利
2. 当社が、顧客に代わって処理する対象個人データに関する請求をデータ主体から直接受けた場合、適用法令により義務付けられる場合を除き、自ら実質的な回答を行わず、当該請求を速やかに顧客へ通知します。
3. 顧客は、データ主体からの請求に対する回答について最終的な責任を負います。

第13条（顧客の義務履行への支援）

当社は、処理の性質および当社が利用可能な情報を考慮し、次の事項に関する顧客の義務の履行を合理的な範囲で支援します。

1. 処理の安全性の確保
2. 個人データ侵害の監督当局への通知
3. 個人データ侵害のデータ主体への通知
4. データ保護影響評価
5. 監督当局との事前協議
6. その他、適用データ保護法により処理者の協力が求められる事項

対象サービスの通常の機能および当社が法令上負う義務を超える追加対応について、当社は、当該支援を実質的に妨げない範囲で、合理的な費用を顧客に請求することがあります。この場合、当社は可能な限り事前に費用を提示します。

第14条（個人データ侵害）

1. 当社は、対象個人データに関する個人データ侵害を認識した場合、不当に遅滞なく顧客へ通知します。
2. 当社は、判明している範囲で、次の情報を顧客へ提供します。
   1. 個人データ侵害の性質
   2. 影響を受けるデータ主体および対象個人データの種類ならびに概数
   3. 想定される影響
   4. 実施済みまたは実施予定の対応および影響軽減措置
   5. 問い合わせ先
3. 初回通知の時点ですべての情報を提供できない場合、当社は、追加情報を入手次第、過度な遅滞なく段階的に提供します。
4. 当社は、個人データ侵害の原因調査、影響の軽減、再発防止および顧客による法的義務の履行に合理的な範囲で協力します。
5. 当社による個人データ侵害の通知は、当社が責任または法令違反を認めることを意味しません。
6. 個人データ侵害を監督当局またはデータ主体へ通知するか否かの判断および当該通知は、管理者である顧客が行います。ただし、当社が適用法令により直接通知する義務を負う場合を除きます。

第15条（AI機能）

1. 対象サービスに任意のAI機能が含まれる場合、当社は、顧客が当該機能を有効化し、または利用した範囲で、当該機能の提供に必要な対象個人データを処理します。
2. AI機能の提供にサブプロセッサを利用する場合、当該サブプロセッサには第9条が適用されます。
3. 当社は、顧客の文書化された指示または明示的な合意なく、対象個人データを汎用AIモデルの学習または改善に利用しません。
4. AI機能に送信される対象個人データ、処理目的、処理場所、保存条件その他の情報は、対象サービスの説明またはサブプロセッサ一覧に記載します。
5. 顧客は、AI機能を利用して処理する対象個人データについて、必要な法的根拠および透明性を確保するものとします。
6. 顧客が健康情報その他の特別な種類の個人データをAI機能で処理する場合、顧客は、適用データ保護法に基づく追加要件を満たすものとします。
7. AI機能を無効にした後の対象個人データの保持および削除には、第17条および対象サービスに定める条件が適用されます。

第16条（情報提供および監査）

1. 当社は、本DPAおよび適用データ保護法上の処理者の義務への遵守を証明するために合理的に必要な情報を顧客へ提供します。
2. 当社は、第三者監査報告書、認証、セキュリティ資料、質問票への回答その他の合理的な資料を利用して、顧客の監査要求に対応できます。
3. 前項の資料だけでは遵守状況を確認するために合理的に十分でない場合、当社は、顧客または顧客が指定する独立した監査人による監査に協力します。
4. 監査は、原則として30日前までの書面通知を受け、通常の営業時間内に、当社の業務、セキュリティならびに他の顧客および第三者の権利を不当に害しない方法で実施するものとします。
5. 監査人は、当社が合理的に認める守秘義務を負うものとします。
6. 監査は、原則として1年に1回を上限とします。ただし、監督当局からの要請、個人データ侵害、または当社による重大な違反が合理的に疑われる場合を除きます。
7. 前項の例外に該当する場合、監査の事前通知期間は、状況に応じて合理的に短縮できます。
8. 監査に要する費用は、原則として顧客が負担します。ただし、監査によって当社の重大な違反が確認された場合、当社は合理的な監査費用を負担します。
9. 本条は、監督当局が適用法令に基づいて有する調査権限を制限するものではありません。

第17条（対象個人データの返却および削除）

1. サービス契約の終了または満了時、当社は、顧客の選択に従い、対象個人データを顧客へ返却し、または削除します。
2. 顧客が対象個人データの返却を希望する場合、顧客は、サービス契約の終了前または対象サービスに定められた利用可能期間内に、対象サービスの機能を使用し、または当社へ書面もしくは電磁的方法で請求するものとします。
3. 当社は、サービス契約の終了後、対象サービスに定める保持期間または合理的な削除期間が経過した時点で、対象個人データを削除します。
4. 対象個人データを顧客へ返却した場合、当社は、適用法令により保存が義務付けられるものを除き、当社が保有する残存コピーを削除します。
5. バックアップに含まれる対象個人データは、当社またはサブプロセッサの通常のバックアップサイクルに従って削除または上書きされます。削除または上書きまでの間、当社は、当該データを復旧、安全管理または法令遵守以外の目的で利用しません。
6. 適用法令により対象個人データの保存が義務付けられる場合、当社は、当該データを法定の目的に限って処理し、法定保存期間の終了後に削除します。
7. 顧客から合理的な要請を受けた場合、当社は、対象個人データの削除または返却が完了したことを書面または電磁的方法により確認します。

第18条（監督当局への協力）

当社は、本DPAに基づく対象個人データの処理に関し、適用データ保護法に従い、権限を有する監督当局に協力します。

第19条（責任）

1. 本DPAに基づく当事者間の責任には、サービス契約に定める責任制限および免責事項が適用されます。ただし、適用データ保護法または適用されるSCCにより当該制限が禁止される範囲を除きます。
2. 本条は、データ主体が適用データ保護法またはSCCに基づいて有する権利もしくは救済手段、または監督当局が有する権限を制限するものではありません。
3. サブプロセッサによる対象個人データの処理に関する当社の責任には、第9条第9項が適用されます。

第20条（契約期間）

1. 本DPAは、顧客と当社との間で対象サービスに関する利用契約が成立した時点から適用されます。
2. 当社は、本DPAが有効に適用される前に、顧客に代わって対象個人データの処理を開始しません。
3. 本DPAは、サービス契約の終了後も、当社またはサブプロセッサが対象個人データを保有または処理している間、引き続き適用されます。
4. 守秘義務、対象個人データの返却および削除、責任その他その性質上存続すべき条項は、本DPAの終了後も存続します。

第21条（本DPAの変更）

1. 当社は、適用法令の変更、対象サービスの変更、安全管理措置の改善その他合理的な理由がある場合、法令に従って本DPAを変更できます。
2. 当社は、本DPAを変更する場合、変更内容および効力発生日を、当社ウェブサイト、対象サービス上の通知、電子メールその他の合理的な方法で顧客へ通知します。
3. 顧客の権利または当社の義務に重大な影響を及ぼす変更を行う場合、当社は、合理的な期間を設けて事前に顧客へ通知します。
4. 当社は、変更によって本DPAに基づくデータ保護の水準を実質的に低下させません。
5. 適用データ保護法上、顧客の同意または別途の契約変更が必要となる場合、当社は必要な手続を行います。
6. サブプロセッサの追加または交代については、第9条に定める手続が適用されます。

第22条（優先順位）

1. 本DPAとサービス契約の間に矛盾がある場合、対象個人データの処理に関する事項については、本DPAが優先します。
2. 本DPAとサービス別の処理条件の間に矛盾がある場合、当該対象サービス固有の処理に関する事項については、サービス別の処理条件が優先します。ただし、当該条件によって適用データ保護法上必要な保護の水準を低下させることはできません。
3. 適用されるSCCと本DPA、サービス契約またはサービス別の処理条件との間に矛盾がある場合、当該矛盾の範囲においてSCCが優先します。

第23条（準拠法および紛争解決）

1. 本DPAの準拠法および紛争解決には、サービス契約の定めが適用されます。
2. 前項にかかわらず、適用されるSCCが別の準拠法、監督当局または裁判管轄を指定することを求める場合、SCCの定めが優先します。
3. 本条は、データ主体または監督当局が適用データ保護法に基づいて有する権利、救済手段または権限を制限するものではありません。

第24条（言語）

1. 本DPAは、日本語を正文とします。
2. 本DPAの日本語以外の言語による翻訳版は、利用者の便宜のために提供されます。日本語版と翻訳版との間に矛盾または相違がある場合、日本語版が優先します。
3. 当事者がサービス契約、申込書、注文書、個別契約その他の書面において別の正文言語を明示的に合意した場合、その合意が優先します。
4. 本DPAにSCCが適用される場合、SCCについては、適用される欧州委員会決定に基づく条文が優先します。

第25条（お問い合わせ）

本DPA、対象個人データの処理およびデータ保護に関するお問い合わせは、当社ウェブサイトに掲載する問い合わせ窓口からご連絡ください。