法務文書一覧 トップページへ戻る English

etlaデータ処理契約（DPA）

制定日：2026年2月1日
最終改定日：2026年6月29日

本データ処理契約（以下「本DPA」といいます。）は、株式会社REGALI（以下「当社」といいます。）が契約者のために個人データを処理する場合に適用され、etlaサービス利用規約の一部を構成します。

第1条（定義）

  1. 「GDPR」とは、欧州連合の一般データ保護規則（Regulation (EU) 2016/679）をいいます。
  2. 「EEA」とは、欧州経済領域をいい、EU加盟国並びにアイスランド、リヒテンシュタイン及びノルウェーを含みます。
  3. 「英国GDPR」とは、英国法に組み込まれたGDPRをいいます。
  4. 「LGPD」とは、ブラジルの一般データ保護法をいい、「ANPD」とは、ブラジルのデータ保護監督機関をいいます。
  5. 「CCPA」とは、カリフォルニア州消費者プライバシー法（California Consumer Privacy Act of 2018）及びその改正法並びに施行規則をいいます。
  6. 「適用データ保護法」とは、契約者個人データの処理に適用されるプライバシー、個人データ保護及びデータセキュリティに関する法令をいい、適用される範囲で、GDPR、英国GDPR、スイス連邦データ保護法、日本の個人情報保護法、LGPD、CCPAその他の米国州法を含みます。
  7. 「個人データ」とは、識別された又は識別され得る自然人に関する情報その他適用データ保護法上これに相当する情報をいいます。
  8. 「管理者」とは、個人データの処理の目的及び手段を決定する者をいいます。
  9. 「処理者」とは、管理者のために個人データを処理する者をいいます。
  10. 「契約者個人データ」とは、契約者のために本サービスを提供する過程で、当社が処理者又は再処理者として処理する個人データをいいます。
  11. 「処理」とは、個人データに対して行われる取得、記録、整理、構造化、保存、変更、検索、参照、利用、送信、開示、結合、制限又は削除その他の取扱いをいいます。
  12. 「再処理者」とは、当社が契約者個人データを処理させるために選任する第三者をいいます。
  13. 「個人データ侵害」とは、契約者個人データの偶発的又は違法な破壊、喪失、変更、権限のない開示又はアクセスにつながるセキュリティ侵害をいいます。
  14. 「EU SCC」とは、欧州委員会実施決定（EU）2021/914により採択された、EEAから十分なデータ保護水準が確認されていない国又は地域へ個人データを移転するための標準契約条項をいいます。
  15. 「英国追加条項」とは、英国情報コミッショナー事務局（ICO）が公表するEU SCCへのInternational Data Transfer Addendumをいい、「英国移転契約」とは、ICOが公表するInternational Data Transfer Agreement（IDTA）をいいます。
  16. 「技術的及び組織的安全管理措置」又は「TOMs」とは、暗号化、アクセス制御、監視、インシデント対応その他個人データを保護するための技術面及び組織面の措置をいいます。

第2条（当事者の役割）

  1. 契約者は契約者個人データの管理者となり、当社は契約者のために当該データを処理する処理者となります。
  2. 契約者が他の管理者のために処理者として行動する場合、当社は再処理者となります。
  3. 各当事者の法的役割は、名称ではなく実際の処理に基づき決定されます。当社が独自の目的及び手段を決定して個人データを処理する場合、当該処理について当社は独立した管理者となります。
  4. 処理の対象、期間、性質、目的、個人データの種類及び本人の類型は、別紙Aに定めます。

第3条（契約者の指示）

  1. 当社は、利用契約、契約者による本サービスの適法な設定及び契約者からの書面による追加指示に従ってのみ、契約者個人データを処理します。ただし、当社に適用される法令が別の処理を要求する場合を除きます。
  2. 法令が別の処理を要求する場合、当社は、法令上禁止されない限り、処理前に契約者へ通知します。
  3. 当社は、契約者の指示が適用データ保護法に違反すると合理的に判断した場合、契約者へ通知し、当該指示の実施を一時停止できます。
  4. 追加指示が本サービスの範囲を超え、又は追加費用を要する場合、当社は、その実施条件及び費用について事前に合意を求めることができます。
  5. 当社は、契約者の明示的な書面による指示なく、契約者個人データを販売若しくは共有し、第三者の広告目的で利用し、又は契約者への本サービス提供と無関係な独自目的で利用しません。

第4条（契約者の義務）

  1. 契約者は、契約者個人データを当社へ提供し、当社に処理を指示するための適法な根拠、通知、同意及び権限を確保します。
  2. 契約者は、処理目的、本人の類型、データ項目、保存期間及び本サービスの設定が適用データ保護法に適合することについて責任を負います。
  3. 契約者は、正確性及びデータ最小化を確保し、当社が個別契約で対応を明示していないデータを本サービスへ入力しません。
  4. 契約者が複数の管理者を代理する場合、当社を再処理者として選任し、本DPAを締結するために必要な権限を有することを保証します。

第5条（秘密保持及び従事者）

  1. 当社は、契約者個人データへのアクセスを、本サービスの提供に必要な従事者に限定します。
  2. 当社は、当該従事者に対し、法令又は契約に基づく秘密保持義務を課し、データ保護及びセキュリティに関する適切な教育を行います。
  3. 当社は、アクセス権限を定期的に見直し、不要となった権限を速やかに削除します。

第6条（安全管理措置）

  1. 当社は、処理の性質、範囲、状況及び目的並びに本人の権利に対するリスクを考慮し、別紙Bに定める技術的及び組織的安全管理措置を維持します。
  2. 当社は、本サービス全体のセキュリティを実質的に低下させない限り、安全管理措置を更新できます。
  3. 契約者は、契約者が管理するアカウント、端末、ネットワーク、連携先、権限及び設定について安全管理措置を実施します。

第7条（個人データ侵害）

  1. 当社は、個人データ侵害を認識した場合、不当な遅滞なく（遅くとも認識から72時間以内に）契約者へ通知します。
  2. 当社は、判明している範囲で、次の情報を提供し、重要な更新がある場合は追加情報を提供します。
    1. 侵害の性質及び判明した発生期間
    2. 影響を受けた本人及びデータの種類並びに概数
    3. 想定される影響
    4. 当社が講じた又は講じる予定の封じ込め、調査及び是正措置
    5. 問い合わせ先
  3. 当社は、契約者による監督機関及び本人への通知その他の法令対応に合理的に協力します。契約者が管理者である場合、通知の要否、内容及び時期について最終的な責任を負います。
  4. 当社による通知は、当社の責任又は法令違反を認めるものではありません。

第8条（再処理者）

  1. 契約者は、当社が本サービスの提供に必要な再処理者を利用することを一般的に承認します。
  2. 現在の再処理者、その所在国、処理内容及び変更通知の方法は、当社が契約者へ提供する再処理者一覧（個別契約の別紙として提供する場合を含みます。以下「再処理者一覧」といいます。）に記載します。
  3. 当社は、新たな再処理者を追加し、又は契約者個人データの主要な処理国を実質的に変更する場合、原則として30日前までに契約者へ通知します。
  4. 契約者は、通知から15日以内に、適用データ保護法に関する具体的かつ合理的な理由を示して異議を述べることができます。当事者は、代替措置を誠実に協議します。協議の開始から30日以内に合理的な代替措置について合意に至らない場合、契約者は、当該再処理者の利用により影響を受ける本サービスに限り、当社への書面による通知をもって利用契約を終了できます。この場合、当社は、終了後の未利用期間に対応する前払料金を返金します。
  5. 当社は、各再処理者に対し、本DPAと実質的に同等以上のデータ保護義務を契約により課し、再処理者の義務の履行について契約者に対して責任を負います。

第9条（本人の権利）

  1. 当社は、契約者個人データについて本人から直接請求を受けた場合、法令上禁止されない限り、本人を契約者へ案内し、契約者の指示なく実質的な回答を行いません。
  2. 当社は、本サービスの標準機能及び合理的な技術的措置により、契約者がアクセス、訂正、削除、処理制限、異議、データポータビリティその他の本人の権利に関する請求へ対応できるよう支援します。
  3. 標準機能を超える支援について、当社は、請求が当社の本DPA違反に起因する場合を除き、事前に合意した合理的な費用を請求できます。

第10条（影響評価及び監督機関への協力）

当社は、契約者が適用データ保護法に基づくデータ保護影響評価、正当な利益評価、AI影響評価又は監督機関との事前協議を行うために合理的に必要な情報を、処理の性質及び当社が利用できる情報の範囲で提供します。

第11条（政府機関からの要請）

  1. 当社は、政府機関又は捜査機関から契約者個人データの開示要請を受けた場合、法令上禁止されない限り、契約者へ速やかに通知します。
  2. 当社は、要請の適法性及び範囲を合理的に確認し、明らかに違法又は過度な要請について、合理的な法的根拠がある場合は異議を申し立てます。
  3. 当社は、法的に要求される必要最小限のデータのみを開示します。

第12条（国際データ移転）

  1. 当社は、契約者個人データを処理する国及び主要なデータ保存地域を、個別契約又は再処理者一覧で明らかにします。
  2. 当社及び契約者は、国際データ移転について、十分性認定、標準契約条項、拘束的企業準則、認証制度その他適用データ保護法上有効な移転手段を利用します。
  3. EEAから日本への移転について日本の十分性認定を利用できる場合、当該認定を利用します。適用できない場合、停止又は失効した場合は、EU SCCを適用します。
  4. EU SCCが必要な移転には、次の条件を適用します。
    1. 契約者が管理者で当社が処理者の場合は、管理者から処理者への移転を対象とするModule 2を適用します。
    2. 契約者が処理者で当社が再処理者の場合は、処理者から再処理者への移転を対象とするModule 3を適用します。
    3. EU SCC第7条のドッキング条項を適用し、必要に応じて関係会社その他の当事者が後からEU SCCへ加入できるものとします。
    4. EU SCC第9条はOption 2の一般的書面承認を選択します。これは、契約者が再処理者の利用をあらかじめ一般的に承認し、当社が変更前に通知する方式を意味し、通知期間は本DPA第8条第3項に従います。
    5. EU SCC第11条の独立した紛争解決機関を利用する任意の仕組みは採用しません。これは、本人が監督機関又は裁判所へ申し立てる権利を制限するものではありません。
    6. EU SCC第17条及び第18条の準拠法及び裁判所について、データ輸出者が所在するEEA加盟国の法及び裁判所を選択します。当該選択が認められない場合は、アイルランド法及びアイルランドの裁判所とします。
    7. EU SCCの付属書I（当事者及び移転情報）、付属書II（安全管理措置）及び付属書III（再処理者情報）は、本DPA、個別契約、別紙A、別紙B及び再処理者一覧の該当情報により補完されるものとします。法令又は相手方の合理的な要請により必要な場合、必要事項を記入したEU SCCを別途締結します。
  5. 英国からの移転に契約上の保護措置が必要な場合、英国追加条項又は英国移転契約を、必要事項を完成させたうえで適用します。
  6. スイスからの移転には、EU SCC中のGDPR、加盟国及び監督機関への参照を、必要な範囲でスイス連邦データ保護法及び管轄監督機関への参照として読み替えます。
  7. ブラジルからの移転について十分性認定その他の有効な移転手段を利用できない場合、ANPDが採択した標準契約条項を、必要事項を完成させたうえで適用します。
  8. 当社は、適用法令上必要な場合、移転影響評価又はデータ保護テストに合理的に協力し、暗号化、アクセス制御その他の補完的措置を講じます。
  9. 強制的な移転条項と本DPA又は利用契約が抵触する場合、当該移転について強制的な移転条項が優先します。

第13条（米国州プライバシー法）

  1. CCPAが契約者個人データに適用される場合、当社は、契約者が別紙Aに定める限定的かつ特定された事業目的のために個人情報を当社へ開示することを確認します。
  2. 当社は、CCPA上許容される場合を除き、当該個人情報について次の行為を行いません。CCPA上の「販売」は金銭その他の価値と引き換えに個人情報を提供することを、「共有」は主として複数の事業者をまたぐ行動ターゲティング広告のために個人情報を提供することを意味します。
    1. CCPA上の販売又は共有
    2. 当社と契約者との直接の事業関係の外での保持、利用又は開示
    3. 別紙Aに定める事業目的以外の目的での保持、利用又は開示
    4. CCPA上のサービス提供事業者（service provider）又は契約事業者（contractor）に許容される場合を除き、契約者から受領した個人情報と、他の者又は本人との直接のやり取りから受領した個人情報を結合すること
  3. 当社は、CCPAと同等の保護水準を提供し、契約者が当社の遵守を確認するための合理的な措置及び無許可の利用を停止し是正する権利を認めます。
  4. 他の米国州法において当社が処理者（processor）又はサービス提供事業者（service provider）に相当する場合、本条を当該法令に適合するよう読み替えます。

第14条（返還及び削除）

  1. 契約者は、利用契約期間中、本サービスの標準機能を用いて契約者個人データへアクセスし、これを取得又は削除できます。
  2. 利用契約終了時、当社は、契約者の選択に従い、契約者個人データを返還又は削除します。契約者が終了後30日以内に選択を通知しない場合、当社は当該データを削除できます。
  3. 法令により保存が義務付けられるデータについて、当社は、当該義務が続く期間、アクセス及び処理を制限して保存できます。
  4. バックアップ上のデータは、通常の更新サイクルに従い、原則として90日以内に削除又は復元不能にします。
  5. 契約者から合理的な要請がある場合、当社は、削除完了を確認する書面を提供します。

第15条（情報提供及び監査）

  1. 当社は、本DPAの遵守を証明するために合理的に必要な情報を契約者へ提供します。利用可能な場合、独立した第三者による監査報告書、認証、セキュリティ資料又は質問票への回答を優先します。
  2. 前項の資料で合理的に確認できず、適用データ保護法により必要な場合、契約者は、年1回を上限として、少なくとも30日前に通知し、当社の通常の営業時間内に監査を実施できます。ただし、個人データ侵害、監督機関の命令又は重大な違反の合理的な疑いがある場合は、この限りではありません。
  3. 監査は、当社の他の顧客の情報、セキュリティ、秘密又は業務を不当に害さない方法で行い、監査人は独立した専門家として秘密保持義務を負います。
  4. 監査費用は契約者が負担します。ただし、監査により当社の重大な違反が確認された場合、当社は合理的な監査費用を負担します。

第16条（責任、存続及び変更）

  1. 本DPAに基づく責任には、etlaサービス利用規約の責任制限が適用されます。ただし、EU SCCその他適用法令上制限できない本人又は監督機関に対する権利及び責任を制限するものではありません。
  2. 本DPAは、当社が契約者個人データを保有又は処理する限り存続します。
  3. 当社は、適用データ保護法の変更又は監督機関の要求に対応するため本DPAを変更できます。契約者の保護を実質的に低下させる変更には、etlaサービス利用規約の変更手続を適用します。

別紙A　処理の詳細

1. 処理の対象及び期間

本サービスの提供、設定、保守、セキュリティ、サポート、障害対応及び契約終了時の返還・削除。処理期間は利用契約期間及び第14条に定める削除期間とします。

2. 処理の性質

取得、受信、記録、整理、分割、OCR、構造化、保存、埋め込み生成、インデックス化、検索、参照、分類、要約、生成、推論、音声認識、音声合成、変換、送信、外部システム連携、ログ記録、アクセス制御及び削除。

3. 処理の目的

  1. 契約者が利用を契約した本サービス及びサポートの提供
  2. 契約者の指示に基づく検索、回答生成、業務自動化及び外部システム連携
  3. 契約者が有効にした通信、音声処理及び応対支援
  4. 認証、権限管理、セキュリティ、障害対応及び不正利用防止
  5. 契約者の指示に基づくデータの返還及び削除

4. 本人の類型

契約者及びその関係会社の役員、従業員、応募者、委託先、取引先担当者、顧客、見込み顧客、ウェブサイト若しくはアプリの利用者、問い合わせ者、通話若しくはチャットの参加者その他契約者がナレッジ又は連携データに含める者。

5. 個人データの種類

  1. 氏名、勤務先、役職、連絡先及びアカウント識別子
  2. 文書、FAQ、手順書、チケット、CRM、データベース及び外部システムに含まれる情報
  3. 問い合わせ、チャット、フォーム、電子メール、通話音声、文字起こし、要約及び応対履歴
  4. プロンプト、指示、生成結果、フィードバック及び承認記録
  5. IPアドレス、端末、ブラウザ、認証、アクセス、操作及びシステムイベントに関する情報
  6. 個別契約に明示されたその他のデータ

6. 特別な種類のデータ

個別契約で明示的に合意された場合を除き、特別な種類の個人データ、要配慮個人情報、犯罪歴、生体識別データ、児童のデータ、健康情報、政府発行識別番号及び決済カード情報は予定されません。

7. 処理頻度

契約者による本サービスの利用に応じて継続的又は随時。

別紙B　技術的及び組織的安全管理措置（TOMs）

本別紙は、適用データ保護法及びEU SCCが求めるTOMsを定めるものです。当社は、本サービスの構成及び個別契約の内容に応じ、次の措置又は同等以上の措置を、本サービスに適用される範囲で合理的に実施します。具体的な実装及び適用範囲は、セキュリティ仕様書又は個別契約に定めます。

  1. セキュリティガバナンス
    情報セキュリティの責任者、方針、リスク評価、従事者教育及び定期的な見直し。
  2. アクセス制御
    一意のアカウント、役割に基づく権限、最小権限、特権アクセスの制限、定期的な権限レビュー及び退職・異動時の削除。
  3. 認証
    管理者及び重要な運用アクセスに対する多要素認証並びに認証情報の安全な管理。
  4. 暗号化
    業界標準の方式による通信経路上の暗号化及び技術的に対応する保存領域の暗号化並びに鍵へのアクセス制限。
  5. テナント及び環境の分離
    論理的なテナント分離並びに本番、開発及びテスト環境の適切な分離。
  6. ログ及び監視
    重要なアクセス、管理操作、認証及びセキュリティイベントのログ取得、保護、監視及び合理的な期間の保存。
  7. 脆弱性及び変更管理
    脆弱性情報の収集、リスクに応じた修正、依存関係の管理、変更のレビュー及び本番反映手順。
  8. セキュア開発
    コードレビュー、テスト、秘密情報の管理及びリリース前確認を含む開発プロセス。
  9. マルウェア及びインフラ保護
    リスクに応じたエンドポイント、ネットワーク、クラウド環境及び管理端末の保護。
  10. バックアップ及び復旧
    契約内容に応じたバックアップ、復元テスト及び事業継続・災害復旧手順。
  11. インシデント対応
    検知、報告、封じ込め、調査、復旧、証拠保全及び再発防止を含む対応手順。
  12. 再処理者管理
    セキュリティ及びデータ保護に関する選定、契約、変更管理及び継続的な監督。
  13. データライフサイクル
    取得、保存、エクスポート、返還及び削除に関する手順並びに媒体廃棄時の復元防止。
  14. 物理的セキュリティ
    当社が管理する施設への入退室管理及びクラウド・データセンター提供者に対する合理的な管理。

別紙C　地域別条件

  1. EEA
    十分性認定が利用できない移転には、第12条のEU SCC及び必要な補完的措置を適用します。
  2. 英国
    制限対象移転には、英国IDTA又はEU SCCに対する英国Addendum及び必要なデータ保護テストを適用します。
  3. スイス
    スイス連邦データ保護法及び管轄監督機関に適合するようEU SCCを補足します。
  4. 日本
    個人情報保護法に基づき、外国にある第三者への提供、委託先監督、安全管理措置及び本人への情報提供に関する要件を、実際のデータフローに応じて履行します。
  5. ブラジル
    LGPD及びANPDの国際移転規則が適用される場合、十分性認定、ANPD標準契約条項その他の有効な手段を利用します。
  6. 米国
    CCPAその他の州法が適用される場合、第13条の利用制限、本人請求への支援及び監査・是正権を適用します。
  7. データローカライゼーションを要求する地域
    当社が個別契約で当該地域及び処理構成への対応を明示的に承認した場合に限り利用できます。必要なセキュリティ評価、標準契約、認証、データローカライゼーション又は政府届出は、個別契約で分担を定めます。