データ処理補遺 (DPA)

当事者および発効日

本データ処理補遺 (DPA) は、署名または明示的に組み込まれた時点で、顧客による本サービスの利用を規定する契約 (契約) の一部となります。

• 顧客とは、契約書、注文書、または署名欄に記載された個人または組織をいいます。
• Phaseoとは、Phaseo の名称で事業を営む Daniel Butler をいいます。サービス住所および必要な税務・登録情報：[住所等を記入]。

発効日とは、本 DPA の最終署名日、または本 DPA が契約に有効に組み込まれた日をいいます。

顧客個人データの処理について本 DPA と契約が抵触する場合、本 DPA が優先します。それ以外の契約条項は変更されません。

1. 定義

• 適用されるデータ保護法 本 DPA に基づく処理に適用されるプライバシーおよびデータ保護に関する法令をいいます。UK GDPR、Data Protection Act 2018、英国のデータ保護法を改正する範囲での Data (Use and Access) Act 2025、EU GDPR、およびこれらを実施または補足する適用国内法を含みます。
• 顧客データ 顧客または顧客に代わる者が本サービスに送信するデータ、または本サービスを通じて Phaseo に処理を指示するデータをいいます。
• 顧客個人データ 顧客データに含まれ、Phaseo が顧客に代わって処理する個人データをいいます。
• AI プロバイダー AI モデルまたは関連サービスの実行リクエストを受け取る第三者をいいます。
• 本サービス 契約の対象となる Phaseo のサービスをいいます。
• 再委託先 本サービスに関して顧客個人データを処理するため Phaseo が起用する、別の処理者をいいます。
• 管理者、処理者、データ主体、個人データ侵害および処理 適用されるデータ保護法に定める意味を有します。

2. 適用範囲、役割、指示

1. 顧客は顧客個人データの管理者であり、Phaseo はその処理者です。顧客自身が処理者である場合、Phaseo は顧客の再委託先となり、顧客は関係する管理者が顧客の指示を承認していることを確認します。
2. Phaseo は顧客の文書化された指示に限り、顧客個人データを処理します。契約、本 DPA、顧客の API リクエスト、選択されたモデルとプロバイダー、ルーティング規則、製品設定、書面によるサポート依頼は文書化された指示にあたります。サービス提供に必要な移転も含まれます。
3. 英国または EU の法律により顧客の指示なしに顧客個人データを処理する必要がある場合、法律で通知が禁止されていない限り、Phaseo は処理前に顧客へ通知します。
4. 指示が適用されるデータ保護法に違反すると Phaseo が判断した場合、Phaseo は顧客に通知します。両当事者が問題を解決するまで、該当する処理を停止することがあります。
5. 別紙 1 に、処理の対象、期間、性質、目的、個人データの種類、データ主体の区分、ならびに両当事者の関連する権利と義務を記載します。
6. Phaseo がアカウント管理、請求、不正防止、法令遵守、本サービスのセキュリティなど、自らの処理目的と手段を決定する場合、独立した管理者として行動します。その処理にはプライバシーポリシーが適用されます。Gateway のコンテンツが本サービスを通過するという理由だけで、独立した管理者のデータとして扱うことはありません。

3. 顧客の責任

1. 顧客は適用されるデータ保護法を遵守し、必要な通知を行い、指示および顧客個人データについて有効な法的根拠を確保します。
2. 契約で明示的に許可され、選択した設定と AI プロバイダーを顧客が評価した場合を除き、特別な種類のデータ、犯罪に関するデータ、完全な決済カード情報、その他の非常に機微なデータを送信しないものとします。
3. AI プロバイダーへの制限、保存期間とログの設定、認証情報、顧客が指定する送信先については、顧客が責任を負います。
4. 顧客は本サービスへのアクセスを制限し、認証情報を保護し、不正アクセスまたは違法な処理の疑いがある場合は速やかに Phaseo に通知します。

4. 秘密保持とセキュリティ

1. Phaseo は、本サービスの提供、安全確保、サポートまたは法令遵守に必要な担当者に限り、顧客個人データへのアクセスを認めます。
2. Phaseo が顧客個人データの処理を許可した者には、契約上の守秘義務または適切な法定守秘義務が課されます。
3. Phaseo は別紙 2 の技術的・組織的措置を維持します。これらの措置は、UK GDPR および EU GDPR 第 32 条に列挙された要素を考慮し、リスクに見合う安全性を確保するものとします。
4. Phaseo は本サービスの発展に伴い個別の措置を変更できますが、契約期間中、顧客個人データの全体的な保護を実質的に低下させません。

5. 再委託先および AI プロバイダー

1. 顧客は、再委託先一覧に記載された再委託先の利用を Phaseo に一般的かつ書面で承認します。
2. 新たな再委託先が顧客個人データの処理を開始する少なくとも 30 日前に、Phaseo は顧客へ通知します。通知はアカウントのメールアドレスに送信し、一覧にも記録します。緊急のセキュリティまたはサービス継続上の必要により事前通知が現実的でない場合、Phaseo は可能な限り速やかに通知します。
3. 顧客は通知期間中、合理的なデータ保護上の理由に基づき書面で異議を申し立てられます。両当事者は誠意をもって解決を試みます。解決できない場合、Phaseo は再委託先の利用を避ける、合理的なサービス変更を提案する、または契約に従って顧客が該当部分の利用を停止できるようにします。
4. Phaseo は各再委託先に対し、本 DPA の該当条項と同等以上に顧客個人データを保護する書面条件を課します。適用されるデータ保護法が求める範囲で、Phaseo は再委託先の履行に責任を負います。
5. Phaseo が管理するルートを通じて利用される AI プロバイダーは、Phaseo に代わって顧客個人データを処理する場合、再委託先となります。顧客が自ら認証情報を提供する場合、または AI プロバイダーと直接契約している場合、一覧に別段の記載がなければ、通常は顧客が指定する受領者です。法的役割は実際の処理と適用法で決まり、本 DPA の呼称で決まるものではありません。
6. 顧客は、ルーティング設定で許可された AI プロバイダーに顧客データを開示するよう Phaseo に指示します。プロバイダーの識別情報、場所、保存期間、学習方針が重要な場合は、利用可能な制限を設定できます。

6. 支援および規制上の義務

1. 処理の性質を考慮し、Phaseo は適用されるデータ保護法に基づくデータ主体の請求に顧客が対応できるよう、適切な技術的・組織的措置を講じます。
2. データ主体から顧客個人データに関する請求を Phaseo が直接受け取った場合、Phaseo は顧客へ転送します。顧客の指示または法令上の義務がない限り、顧客に代わって回答しません。
3. 処理の性質と Phaseo が入手できる情報を踏まえ、Phaseo はセキュリティ、個人データ侵害の通知、データ保護影響評価、監督機関への事前相談に関する義務を顧客が果たせるよう支援します。
4. 適用されるデータ保護法で求められる場合、Phaseo は記録を保管し、監督機関に協力します。
5. 標準的な製品機能を超える大幅な支援を顧客が求めた場合、Phaseo は合理的に合意した費用を請求できます。ただし Phaseo の本 DPA 違反が原因の作業には請求しません。

7. 個人データ侵害

1. 顧客個人データに影響する個人データ侵害を認識した後、Phaseo は不当に遅滞することなく顧客に通知します。
2. その時点で判明している範囲で、通知には侵害の性質、影響を受けたデータ主体と記録の種類および概数、想定される影響、実施または予定する措置、追加情報の連絡先を記載します。Phaseo は情報を段階的に提供できます。
3. Phaseo は侵害を封じ込め、調査し、影響を軽減し、是正するための適切な措置を講じます。法令上の通知に顧客が合理的に必要とする情報と支援を提供します。
4. Phaseo の通知は過失または責任を認めるものではありません。監督機関または影響を受けたデータ主体への通知が必要かどうかは顧客が判断します。

8. 国際移転

1. Phaseo は、顧客の文書化された指示に基づき適用されるデータ保護法を遵守する場合を除き、顧客個人データの制限付き移転を行いません。
2. 両当事者は適用される十分性認定または規則に依拠できます。それがない場合、欧州委員会の 2021 年国際移転標準契約条項、英国 International Data Transfer Agreement、EU 条項への UK Addendum、またはその他の有効な保護措置を締結します。
3. 移転保護措置でリスク評価または英国のデータ保護テストが必要な場合、Phaseo は合理的に入手できる情報を提供し、合意した補完措置を実施します。
4. 移転の仕組みが適法な根拠を提供しなくなった場合、別の適法な仕組みを採用するか、該当する処理を停止します。
5. 締結前に、十分性認定の対象外となる移転について、別紙 4 に輸出者と輸入者、該当する SCC モジュール、準拠法、監督機関、任意条項、英国の仕組み、処理場所を記載します。

9. 返却および削除

1. 契約期間中、顧客は利用可能な製品操作を通じて対応対象の顧客データを取得または削除できます。
2. サービス終了時、Phaseo は顧客の選択に従って顧客個人データと既存の複製を返却または削除します。ただし、適用法が保持を求める場合を除きます。顧客は終了前または終了後 30 日以内に選択を伝えます。選択がない場合、Phaseo はデータを削除します。
3. Phaseo は該当する指示または終了日から不当に遅滞することなく、遅くとも 30 日以内に稼働中のシステムから顧客個人データを削除します。セルフサービスでは Auth アカウントと稼働中のデータベース記録、関連する Stripe 顧客プロフィールを削除し、非公開 R2 オブジェクトと Gateway KV 項目を再試行可能な定期削除に登録します。完了記録にはユーザーやワークスペースの識別子を残しません。
4. バックアップの複製は、バックアップサイクルで削除されるまで保護され、通常の利用から隔離されます。本番 Supabase プロジェクトでは日次データベース復元ポイントを 7 日間保持し、ポイントインタイムリカバリーを無効にしています。Phaseo は締結前とバックアップ計画の変更後に期間を再確認します。
5. Phaseo による削除では、独立した管理者または顧客指定の受領者が保有するデータは削除されません。顧客はそれらの当事者に別途指示します。

10. 情報提供と監査

1. Phaseo は、秘密保持およびセキュリティ上の義務に従い、本 DPA と第 28 条への準拠を示すために合理的に必要な情報を提供します。
2. 顧客は通常、検査を求める前に Phaseo の最新資料と書面回答を確認します。これによって法令または監督機関が求める監査を制限しません。
3. 顧客は 12 か月ごとに 1 回、および個人データ侵害の後または重大な不遵守の信頼できる証拠がある場合に Phaseo を監査できます。緊急時または監督機関が短い期間を求める場合を除き、30 日以上前に通知します。
4. 監査は顧客または秘密保持義務を負う独立した有資格監査人が行います。他の顧客データ、ソースコード、処理に無関係なシステムにはアクセスしません。Phaseo は協力し、直接アクセスが危険となる場合は同等の証拠を提示できます。
5. 監査で Phaseo による本 DPA の重大な違反が認められない限り、顧客は自らの費用と Phaseo の合理的費用を負担します。
6. Phaseo は現在、SOC 2 報告書、ISO 27001 認証、独立した侵入テスト報告書を取得していません。

11. 期間、責任および一般条項

1. Phaseo が契約に基づき顧客個人データを処理する間、本 DPA は有効です。
2. 本 DPA は、適用されるデータ保護法が各当事者に直接課す義務または責任を免除しません。
3. 契約の責任制限と除外は、法律で認められる範囲で本 DPA に適用されます。
4. 適用法または組み込まれた移転の仕組みに別段の定めがない限り、契約の準拠法および紛争条項が適用されます。

別紙 1：処理の詳細

別紙 2：技術的・組織的措置

• 公開サービスの提供と Phaseo から AI プロバイダーへの接続に HTTPS を使用。
• 顧客が用意するプロバイダー認証情報は保存前に AES-256-GCM で暗号化します。対応する Webhook と通知のシークレットも暗号化して保存します。
• API、管理、OAuth のシークレットに一方向の鍵またはパスワード導出を使用。
• ワークスペースのロール、データベースのアクセス方針、範囲を限定した API／OAuth 権限、同意画面、権限取消しの仕組み。
• 認証とリアルタイムの機微なルートにレート制限を設け、リクエストと設定の境界で構造化検証を実施。
• 応答キャッシュ、入出力ログ、データ提供、AI プロバイダー、顧客指定送信先の各経路を除き、生の Gateway コンテンツは主要リクエストデータベースと分析から除外されます。詳細はセキュリティ文書に記載されています。
• 管理インフラのログ、リクエストメタデータ、プロバイダー稼働状況のシグナル、公開インシデント状況ページ。
• バージョン管理、依存関係ロックファイル、自動 lint、型チェック、対象を絞ったテスト、非公開の脆弱性報告。

これらの措置は Phaseo による自己申告です。独立監査済みのセキュリティプログラム、試験済みの災害復旧プログラム、正式な認証を取得しているとは主張しません。

別紙 3：再委託先

日付が記載された再委託先一覧は、本 DPA の締結時に別紙 3 となります。追加と変更には第 5 条が適用されます。

Phaseo は、稼働中の管理対象 AI プロバイダーの予備分類を完了しました。締結前に、一覧に記載された未完了の処理委託契約、アカウント設定、移転、保存期間の確認を済ませ、顧客個人データの処理が承認されていない管理対象プロバイダーを削除または制限する必要があります。顧客が自らの認証情報または契約で利用するプロバイダーは別に記載します。

別紙 4：制限付き移転の条件

適用される十分性認定や規則なしに顧客個人データを移転する場合、締結前に本別紙を完成させます。移転の仕組み、輸出者と輸入者、国、データおよびデータ主体の区分、頻度、目的、保存期間、管轄監督機関、準拠法、任意 SCC 条項、補完措置を記載します。

ドラフトの根拠

このドラフトは、英国 Information Commissioner's Office が公開する最新の処理委託契約チェックリスト、ならびに第 28 条と国際移転に関する欧州委員会の資料に沿っています。ICO は Data (Use and Access) Act 2025 を受け、ガイダンスの一部を見直していると説明しています。有資格の法律専門家が、締結版をその時点の法律とガイダンスに照らして確認してください。

• ICO：管理者・処理者契約の必須条項
• ICO：国際移転
• 欧州委員会：管理者・処理者間の標準条項

署名欄