Cogno データ処理契約書（DPA）

[顧客の正式名称]（以下「顧客」という。）と、Genaxis, Inc.（アメリカ合衆国デラウェア州法に基づき設立された法人。以下「当社」という。）は、当社が提供するAIオペレーションツール「Cogno」（以下「本サービス」という。）に関して両者間で成立する利用規約、申込書、注文書、個別契約その他の契約（総称して以下「主契約」という。）に付随して、顧客個人データの取扱いについて、次のとおりデータ処理契約（以下「本DPA」という。）を締結する。

第1条（定義）

「個人情報保護法令」とは、個人情報の保護に関する法律（平成15年法律第57号。その後の改正を含む。）ならびに同法に基づく政令、個人情報保護委員会規則および個人情報保護委員会が公表する適用あるガイドラインをいう。
「利用者データ」とは、顧客または顧客が本サービスの利用を認めた者が、本サービスに入力、アップロード、連携または送信する一切のデータをいい、顧客の許可に基づいて連携先サービスから取得するデータおよび当社が顧客のために本サービス上で生成または加工した情報を含む。
「顧客個人データ」とは、利用者データのうち、個人情報保護法令に規定する個人情報または個人データに該当する情報をいう。
「取扱い」とは、取得、記録、整理、保存、変更、検索、参照、利用、送信、提供、結合、制限、削除、廃棄その他顧客個人データに対して行われる一切の行為をいう。
「再委託先」とは、当社が本サービスを提供するため、当社に代わって顧客個人データの全部または一部を取り扱う第三者をいう。
「セキュリティインシデント」とは、当社または再委託先が管理する顧客個人データの漏えい、滅失、毀損、不正な変更または不正アクセスが発生し、またはそのおそれがある事象をいう。
「書面」には、電子メールその他当事者間で記録を保存できる電磁的方法を含む。

第2条（当事者の役割および適用範囲）

本DPAは、事業として本サービスを利用する顧客について、当社が顧客のために顧客個人データを取り扱う範囲に適用する。
顧客は顧客個人データの取扱いを委託する者、当社はその委託を受ける者として、個人情報保護法令および本DPAに従って顧客個人データを取り扱う。
本DPAは、個人情報保護法令に基づく顧客個人データの取扱条件を定めるものである。
当社が、契約管理、請求、不正利用防止、法令遵守その他当社が自ら決定する目的で個人情報を取り扱う場合、当該取扱いには本DPAではなく、当社のプライバシーポリシーを適用する。
顧客は、顧客個人データの取得、当社への提供および本サービスを通じた取扱いについて、適法な権限または法的根拠を有し、本人への通知、同意取得その他個人情報保護法令上必要な措置を行う責任を負う。
顧客は、別途書面で合意しない限り、要配慮個人情報、患者情報、マイナンバー、カード番号・セキュリティコードその他の決済カード情報、認証用パスワードその他これらに準ずる高リスク情報を、本サービスのコンテンツ、添付ファイルその他の入力領域に入力、送信または保存しないものとする。ただし、当社が指定する決済代行事業者の決済画面に入力する決済情報については、この限りでない。

第3条（取扱いの目的、範囲および指示）

当社は、主契約に定める本サービスの提供、運用、保守、不具合対応、セキュリティ確保および顧客サポートに必要な範囲で、顧客個人データを取り扱う。
当社は、主契約、本DPA、本サービス上で顧客が行う設定および操作、ならびに顧客から当社への書面による指示に従って顧客個人データを取り扱う。
当社は、個人情報保護法令により取扱いを求められる場合を除き、前二項に定める目的以外に顧客個人データを取り扱わない。
法令により顧客個人データの取扱いまたは開示を求められる場合、当社は、法令上禁止されるときを除き、取扱いまたは開示を行う前にその旨を顧客へ通知する。
当社は、利用者データを、当社または第三者の汎用AIモデルの学習または訓練に使用しない。連携先サービスから取得した利用者データについては、顧客の同意の有無にかかわらず、いかなるAIモデルの学習または訓練にも使用しない。なお、AIモデルの重みその他の学習対象パラメータの変更を伴わない処理（AIによるプロンプトの生成・変更等）は、本項の学習または訓練に含まれない。
当社は、当該顧客の利用目的の達成に必要な委託業務の範囲内で、利用者データを、個人および特定の顧客を再識別できないよう不可逆的に匿名化・統計化した後に限り、本サービスの品質向上および機能開発に使用できる。ただし、連携先サービスから取得した利用者データは本項の対象としない。
当社は、顧客の指示が個人情報保護法令に違反すると合理的に判断した場合、顧客へ通知し、両者が適法な対応を確認するまで当該指示の実行を停止できる。

第4条（秘密保持および従業者の監督）

当社は、顧客個人データを秘密情報として取り扱い、本DPAおよび主契約で認められる場合を除き、第三者へ開示しない。
当社は、顧客個人データへアクセスする役員、従業員、業務委託先その他の者を、業務上アクセスが必要な者に限定する。
当社は、前項の者に秘密保持義務を課し、顧客個人データの適切な取扱いに必要な教育および監督を行う。
当社は、顧客個人データへのアクセス権を職務および必要性に応じて付与し、不要となったアクセス権を合理的な期間内に削除または失効させる。
本条の義務は、主契約または本DPAの終了後も、当社が顧客個人データを保有する限り存続する。

第5条（安全管理措置）

当社は、顧客個人データの性質、取扱いの範囲および状況、技術水準、実施コストならびに本人の権利利益に対するリスクを考慮し、個人情報保護法令に従った必要かつ適切な安全管理措置を講じ、維持する。
前項の措置には、組織的安全管理措置、アクセス制御、暗号化、顧客ごとのデータ分離、ログ記録、バックアップ、脆弱性対応およびインシデント対応を含む。
当社は、安全管理措置の全体的な保護水準を実質的に低下させない範囲で、技術の進展、脅威の変化または本サービスの変更に応じて前項の措置を更新できる。
顧客は、顧客の利用者、権限設定、接続する外部サービス、当社の管理外で動作するAgent、顧客が入力する情報および顧客が用意する認証情報の管理について責任を負う。

第6条（再委託）

顧客は、当社が本サービスの提供に必要な範囲で、当社が公開する再委託先一覧に記載された再委託先を利用することを一般的に承認する。
当社は、再委託先との間で書面による契約を締結し、当該再委託先が行う取扱いについて、本DPAと実質的に同等以上の秘密保持義務およびデータ保護義務を課す。
当社は、再委託先における顧客個人データの取扱状況を合理的に把握し、必要かつ適切な監督を行う。
当社は、再委託先による本DPA上の義務の履行について、顧客に対して責任を負う。
当社は、再委託先の追加または重要な変更を行う場合、当社ウェブサイトで公表する。個別に書面による契約を締結している顧客については、登録された管理者連絡先への電子メールその他合理的な方法によっても通知する。
当社は、可能な限り再委託先の利用開始前に通知する。事前通知が合理的に困難な場合は、利用開始後合理的に実行可能な限り速やかに通知する。
顧客は、新たな再委託先について合理的なデータ保護上の理由がある場合、通知後30日以内に当社へ書面で異議を申し立てることができる。
当社は、商業的に合理的な代替手段について顧客と誠実に協議する。代替手段を提供できない場合、顧客は、当該再委託先を利用する本サービスの部分を、主契約に従って終了できる。
顧客が自ら接続を指示し、顧客が提供者と直接の契約関係を有するSlack、GitHub、Google Workspace、Notionその他の連携先サービス、および顧客の環境で顧客自身の認証情報を使用して動作するAgentの提供者は、当社の再委託先には該当しない。

第7条（外国にある第三者への移転）

顧客は、当社がアメリカ合衆国デラウェア州法人であること、および本サービスの提供に伴い、顧客個人データの一部が当社が公開する再委託先一覧に記載された国または地域で取り扱われる場合があることを確認する。
当事者は、本DPAに基づく顧客個人データの提供が、個人情報保護法令上の個人データの取扱いの委託に該当する場合があることを確認する。
当社は、個人情報保護法第28条および関連する規則・ガイドラインが適用される場合、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に実施するために必要な体制を整備し、維持する。
前項の措置には、安全管理措置、従業者に対する必要かつ適切な監督、再委託先に対する必要かつ適切な監督、目的外利用の禁止、第三者提供の制限、漏えい等への対応および顧客個人データの削除に関する措置を含む。
当社は、相当措置の実施状況、およびその実施に影響を及ぼすおそれのある移転先国または地域の制度の有無および内容について、顧客の合理的な求めに応じて必要な情報を提供する。
当社は、相当措置の継続的な実施に支障が生じ、またはそのおそれがある場合、法令上許される範囲で速やかに顧客へ通知し、是正、取扱いの停止、対象データの返還・削除その他必要な措置を講じる。
顧客は、当社が本条に基づく義務を遵守できないと合理的に判断した場合、当社に対し、顧客個人データの提供停止、取扱いの停止、返還または削除その他必要な措置を求めることができる。

第8条（本人対応および顧客への協力）

当社は、取扱いの性質および当社が利用できる情報を考慮し、顧客が本人からの開示、訂正、追加、削除、利用停止、消去または第三者提供停止の請求へ対応するため、合理的な範囲で協力する。
当社が顧客個人データに関する本人からの請求を直接受領した場合、法令上禁止される場合を除き、当社は当該本人へ顧客に連絡するよう案内し、その請求を顧客へ通知する。
当社は、顧客の指示または法令上の義務なく、顧客に代わって本人からの請求内容を判断しない。
当社は、取扱いの性質および当社が利用できる情報を考慮し、顧客による個人情報保護委員会その他の関係機関への報告、本人への通知その他個人情報保護法令上必要な対応に、合理的な範囲で協力する。
本条の協力に通常の本サービスの範囲を超える相当の作業が必要となる場合、当社は、法令上当社が無償で行うべきものを除き、事前に顧客と合意した合理的な費用を請求できる。

第9条（セキュリティインシデント）

当社は、セキュリティインシデントを認識した場合、不当に遅滞なく、原則として認識後72時間以内を目標として顧客へ通知する。本条に基づく通知は、法令上の要件を満たす場合、個人情報保護法第26条第1項ただし書に基づく通知を兼ねる。
当社は、当該時点で判明していない情報があることのみを理由として、最初の通知を遅らせない。
当社は、合理的に把握できる範囲で、次の情報を顧客へ提供する。
- セキュリティインシデントの性質
- 発生日時および認識日時
- 影響を受けた顧客個人データの種類および範囲
- 影響を受けた本人および記録のおおよその件数
- セキュリティインシデントによって生じる可能性のある影響
- 当社が講じた、または講じる予定の封じ込め、復旧および再発防止措置
- 顧客が問い合わせるための連絡先
当社は、追加情報が判明した場合、合理的な頻度で顧客へ情報を提供する。
当社は、顧客が個人情報保護法令上必要な関係機関への報告および本人への通知を行うため、合理的な範囲で協力する。
当社は、セキュリティインシデントの封じ込め、原因調査、被害拡大防止、復旧および再発防止のために合理的な措置を講じる。
当社が顧客に代わって関係機関への報告または本人への通知を行う場合、法令上当社に直接義務がある場合を除き、事前に顧客と協議する。
本条に基づく通知は、当社による責任または法令違反の承認を意味しない。

第10条（返還、エクスポートおよび削除）

顧客は、本サービスのエクスポート機能の対象となる利用者データを、当社所定の方法によりエクスポートできる。
顧客は、本サービスの削除機能を利用して、当該機能の対象となる顧客個人データを削除できる。
バックアップに含まれる顧客個人データを個別に削除することが技術的に困難な場合、当社は、通常のバックアップローテーションに従って当該データを上書きまたは削除する。
前項の削除が完了するまで、当社は、災害復旧または法令遵守に必要な場合を除き、バックアップ内の顧客個人データを復元または使用しない。
法令上の義務により顧客個人データを保持する場合、当社は、当該データを義務の履行に必要な範囲に隔離し、他の目的に使用せず、法定保存期間の終了後に削除する。
当社は、再委託先に対しても、本条に従った顧客個人データの削除を行わせる。
顧客の合理的な求めがある場合、当社は、本条に基づく削除が完了したことを書面で確認する。
本条の規定は、本条に基づく返還および削除が完了するまで存続する。

第11条（情報提供および監査）

当社は、顧客が本DPAおよび個人情報保護法令の遵守状況を合理的に確認できるよう、顧客の求めに応じて、セキュリティ資料、質問票への回答、第三者監査報告書またはこれらに代わる合理的な情報を提供する。
前項の情報で合理的な確認ができない場合、顧客は、年1回を上限として、少なくとも30日前までに書面で通知した上で、本DPAに関する監査を実施できる。
重大なセキュリティインシデントの発生後または関係機関の命令がある場合、前項の回数および通知期間の制限は合理的な範囲で適用しない。
監査は、可能な限り資料確認または遠隔の方法を優先する。実地監査が必要な場合、当社が合理的に承認した独立した監査人が、当社の通常業務、他の顧客の秘密情報およびシステムの安全性を不当に害さない方法で行う。
顧客および監査人は、監査によって取得した情報を秘密として取り扱い、本DPAおよび個人情報保護法令の遵守確認以外の目的に使用しない。
監査費用は顧客が負担する。ただし、監査によって当社の本DPAへの重大な違反が判明した場合、当社は合理的かつ直接の監査費用を負担する。

第12条（政府機関等からの要請）

当社は、法令上禁止される場合を除き、政府機関、裁判所その他の公的機関から顧客個人データの開示要請を受けたときは、顧客が保護措置を求める機会を得られるよう、合理的に可能な範囲で開示前に顧客へ通知する。
当社は、開示要請の適法性および範囲を合理的に確認し、法的に有効な要請へ対応するために必要な最小限の顧客個人データのみを開示する。
当社は、法令上許される範囲で、過度に広範または不適切な開示要請に対して異議を述べ、またはその範囲を限定するための合理的な対応を行う。

第13条（有効期間、優先順位および責任）

本DPAは、主契約の発効日または本DPAの締結日のいずれか遅い日に効力を生じ、当社または再委託先が顧客個人データを取り扱う限り存続する。
顧客個人データの取扱いおよび保護に関して本DPAと主契約が矛盾する場合、本DPAが優先する。その他の事項については主契約が優先する。
本DPAに起因または関連する当事者間の一切の請求は、主契約に定める責任制限および損害賠償総額の上限の対象とし、本DPAは独立または追加の責任枠を創設しない。ただし、強行法規により制限が認められない場合を除く。
本DPAは、行政機関その他の第三者に対する法令上の責任または本人の権利を制限するものではない。
第4条、第7条から第12条まで、本条第2項から第4項まで、およびその性質上存続すべき条項は、主契約または本DPAの終了後も必要な範囲で存続する。

第14条（一般条項）

本DPAの変更または追加は、両当事者の権限ある代表者が書面で合意した場合に限り効力を有する。ただし、第5条に基づく安全管理措置の更新および第6条に基づく再委託先の変更を除く。
本DPAのいずれかの条項が無効または執行不能と判断された場合でも、その他の条項は引き続き効力を有する。
本DPAの準拠法、紛争解決および合意管轄は、主契約の定めに従う。
主契約に準拠法または合意管轄の定めがない場合、本DPAは日本法に準拠し、本DPAに起因または関連する一切の紛争について、東京地方裁判所を第一審の専属的合意管轄裁判所とする。
本DPAは電磁的記録により作成し、電子署名その他当事者が合意する方法により締結できる。

署名欄

本DPA締結の証として、本書を電磁的記録により作成し、両当事者の権限ある代表者が電子署名を付与する。

締結日: [YYYY年MM月DD日]

顧客

法人名: [顧客の正式名称]
所在地: [所在地]
役職: [役職]
氏名: [氏名]

当社

法人名: Genaxis, Inc.
所在地: [登記上の所在地]
日本国内の連絡先: 〒150-0044 東京都渋谷区円山町5-3 MIEUX渋谷ビル8階
役職: [役職]
氏名: [氏名]