個人情報処理委託契約

本契約は、個人情報保護法第 26 条に基づき、委託者がサービスに関連して受託者に処理を委託する個人情報の処理に関する事項を定めます。

本契約は利用規約の一部を構成します。委託処理について本契約と利用規約の定めが異なる場合は、本契約が優先します。

委託者は組織であり、組織の顧客と組織のメンバーがデータ主体です。

委託する個人情報の項目、処理目的、データ主体の類型、保有期間は、別紙 1 のとおりです。

受託者は、別紙 1 に記載された業務のみを遂行し、その業務に必要な範囲でのみ個人情報を処理します。

受託者は、別紙 1 の目的の範囲を超えて委託された個人情報を処理してはならず、委託者の文書化された指示に従って処理します。

受託者は、セキュリティページに記載された技術的・管理的保護措置を適用します。伝送区間と保存区間の暗号化、アクセス制御、個人情報へのアクセスに対する追記専用(append-only)の監査記録が含まれます。

受託者は、委託業務に必要な人員にアクセスを制限し、その人員に業務終了後も存続する秘密保持義務を課します。

受託者は、委託された個人情報とその派生データを AI モデルの学習に利用しません。これはプライバシーポリシー第5節と同様であり、組織の資料にも例外なく適用されます。

委託者は、別紙 2 に記載された再受託者について事前に同意します。受託者は、各再受託者に本契約より低くない水準の義務を課します。

受託者が再受託者を追加または変更しようとする場合、その効力が生じる前に通知します。これに同意しない組織は、残りの利用期間について当該サービスを解約できます。

別紙 2 の再受託者はすべて国外にあるため、委託業務の遂行は個人情報の国外移転を伴います。移転先、国、項目、目的は、別紙 2 に記載のとおりです。

移転の時期はサービスが当該資料を処理する時点であり、移転の方法は暗号化された通信で、移転先は別紙 1 に記載された期間保有します。

データ主体が委託者に対して権利を行使する場合、受託者は、処理の性質と保有する情報を考慮し、委託者が応答できるよう支援します。

組織が委託した資料に関してデータ主体が受託者に直接連絡した場合、受託者はデータ主体を委託者へ案内し、その事実を委託者に知らせます。

受託者は、委託された個人情報が漏えいした事実を知った場合、遅滞なく委託者に通知し、何が漏えいしたか、いつどのように発生したか、どのような措置を講じているかを併せて知らせます。

データ主体と監督機関への通知は、委託者の責任です。受託者は、委託者がその通知を行えるよう必要な情報を提供します。

委託者は、委託処理が本契約を遵守しているかを確認するために必要な資料を求めることができ、受託者は合理的な期間内に応じます。

委託者が現地での点検を求める場合は、他の組織の資料に影響が及ばないよう、範囲と時期を事前に協議します。

委託業務が終了した場合、受託者は委託された個人情報を遅滞なく破棄します。ただし、法令が保管を求める場合はこの限りではなく、委託者の要請があれば破棄の事実を確認します。

別紙 1 の保有期間が残っている資料は、その期間が満了する時点で破棄します。バックアップは、それ自体の周期に従って破棄されます。

受託者が本契約に違反してデータ主体に損害を与えた場合はそれに伴う責任を負い、委託者がデータ主体に賠償した場合、委託者は受託者に求償できます。

本条は、処理の目的と方法を定めた者として委託者が負う責任を制限しません。