データ処理補遺

1. 定義

管理者、処理者、再処理者、データ主体、個人データ、処理、個人データ侵害などの用語は、UK GDPRおよびEU GDPRに定める意味を持ちます。「データ保護法令」とは、UK GDPR、EU GDPR（規則2016/679）、英国データ保護法2018、およびその他の適用されるデータ保護・プライバシー法令を意味します。

2. 役割と範囲

契約に基づき処理される個人データについて、顧客は管理者、Clavioは処理者です（顧客自身がエンドユーザーのための処理者である場合、Clavioは再処理者です）。Clavioは、サービスの提供とサポートのためにのみ個人データを処理します。処理の対象、期間、性質、目的、個人データの種類、およびデータ主体のカテゴリは、下記の附属書Aに記載されています。

3. 処理者の義務（第28条）

Clavioは以下を行います。

• 文書化された指示 — 法令により別の処理が要求される場合を除き、顧客の文書化された指示（契約および本DPAの指示を含む）のみに従って個人データを処理します。法令上の要求がある場合、Clavioは適法な範囲で事前に顧客へ通知します。
• 秘密保持 — 個人データの処理を許可された者が、適切な秘密保持義務を負うようにします。
• セキュリティ — §6および附属書Bに記載された技術的・組織的措置を実施します（第32条）。
• 再処理者 — §5に従う場合にのみ再処理者を利用します。
• データ主体の権利への支援 — 処理の性質を考慮し、データ主体の請求（アクセス、訂正、消去、制限、ポータビリティ、異議申立て）に対応できるよう、適切な措置で顧客を支援します。
• 法令遵守への支援 — Clavioが利用できる情報を考慮し、第32–36条（セキュリティ、侵害通知、データ保護影響評価、事前協議）の遵守を確保するために顧客を支援します。
• 削除または返却 — サービス提供の終了後、顧客の選択に従ってすべての個人データを削除または返却し、法令により保存が必要な場合を除き、既存の写しを削除します（§8参照）。
• 監査 — 第28条の遵守を証明するために必要な情報を提供し、合理的な秘密保持およびセキュリティ上の取り決めを条件として、顧客またはその委任する監査人による検査を含む監査を認め、協力します。

4. 個人データ侵害

Clavioは、顧客の個人データに影響する侵害を認識した後、不当に遅滞することなく顧客に通知し、第33条および第34条に基づく監督機関およびデータ主体への顧客自身の通知義務を履行できるよう、合理的に入手可能な情報を提供します。

5. 再処理者

顧客は、サービス提供のためにClavioが再処理者を利用することを一般的に承認します。Clavioの現在の再処理者は、当社のプライバシーポリシーおよび下記に記載されています。Clavioは各再処理者に対し、本DPAと実質的に同等のデータ保護義務を課し、その履行について引き続き責任を負います。Clavioは再処理者の変更予定を顧客に通知し、合理的なデータ保護上の理由に基づく異議申立ての機会を与えます。

• Anthropic — 文字起こしされたテキストのAIによる推敲。文字起こしと音声入力の内容を処理します。
• OpenAI (Whisper) — 音声からテキストへの文字起こし。音声録音を処理します。
• Groq — 設定されている場合、音声からテキストへの文字起こしを提供することがあります。適用されるアカウントのデータ管理設定に基づき、音声録音および関連する推論データを処理します。
• Lemon Squeezy — Merchant of Recordとしての決済処理とサブスクリプション請求。アカウント・本人情報（氏名、メールアドレス）、請求・支払情報、および税務上の国情報を処理します。
• Apple — サインインと本人確認。アカウント・本人情報を処理します。
• Google — サインインと本人確認。アカウント・本人情報を処理します。
• Railway — アプリケーションのホスティングとデータベース基盤。附属書Aに記載されたすべてのカテゴリを処理する場合があります。
• GitLab — ソフトウェア配信と運用ツール。診断データおよび運用データを処理します。

6. セキュリティ措置（第32条）

Clavioは、個人データを保護する適切な技術的・組織的措置を維持します。これには、転送中のデータの暗号化（TLS）、パスワードの代わりにハッシュ化された認証トークンのみを保存すること、知る必要のある者に限るアクセス制御、信頼できるインフラ提供者の利用、およびサービスの継続的な機密性、完全性、可用性、回復力を確保するための運用慣行が含まれます。概要は附属書Bに記載されています。

7. 国際移転

本DPAに基づく処理が、英国またはEEAの域外で十分性認定のない国への個人データ移転を伴う場合、両当事者は、その移転に第46条に基づく適切な保護措置が適用されることに同意します。具体的には、欧州委員会の標準契約条項（EU 2021/914）、および英国からの移転については英国国際データ移転契約／英国補遺です。これらは参照により本書に組み込まれ、附属書の詳細情報で補完されます。当社は通常、これらの条項を交渉なしで締結します。

8. 期間、削除および返却

本DPAは、Clavioが顧客に代わって個人データを処理する間適用されます。サービスの終了または期間満了時に、顧客の選択に従い、Clavioは顧客の個人データを削除または返却し、既存の写しを削除します。ただし、短期間のバックアップ更新サイクルおよび法令により必要な保存に従います。

9. 附属書A — 処理の詳細

• 対象および性質：AI音声入力サービスの提供。音声入力の取得、送信、文字起こし、推敲、およびアカウント・サブスクリプション管理を含みます。
• 目的：顧客およびその許可されたユーザーへのサービス提供。
• 期間：契約期間、および§8に基づく限定的な終了処理期間。
• データ主体のカテゴリ：顧客の許可されたユーザー（従業員やチームメンバーなど）。
• 個人データの種類：アカウント・本人情報（ユーザー識別子、氏名、メールアドレス。Appleのプライベートリレー用アドレスを含む）、音声録音と文字起こし、サブスクリプション・請求・支払情報（当社のMerchant of RecordであるLemon Squeezyが処理。税務上の国情報を含む）、利用・診断・端末／OSデータ。
• 特別カテゴリのデータ：文字起こしを作成するために一時的に処理される音声録音。AIモデルの学習には使用しません。

10. 附属書B — セキュリティ措置（概要）

• 転送中の個人データの暗号化（TLS）。
• サインイン済みのIDプロバイダーによる認証。パスワードではなく、ハッシュ化されたトークンのみの保存。
• 役割および知る必要性に基づく、システムとデータへのアクセス制御。
• データ保護条件に従い、信頼でき、セキュリティ審査を受けたインフラおよびAIの再処理者を利用。
• セキュリティイベントの検出・対応のためのログ記録と監視、および個人データ侵害を顧客に通知する手順。
• インシデント後、個人データの可用性とアクセスを適時に復旧するための措置。

11. お問い合わせ

本DPAの請求、署名、またはご質問は、office@justetools.co.ukまでお問い合わせください。