データ処理に関する追加契約

• 適用されるデータ保護法とは、本契約に基づく顧客個人データの処理に適用されるすべての法律を指します。これには、GDPR、UK GDPR、スイス連邦データ保護法、California Consumer Privacy Act などの米国州法が含まれる場合があります。
• 顧客個人データとは、Zurelay が本サービスを提供するために顧客に代わって処理する、顧客コンテンツに含まれる個人データを指します。
• 再処理者とは、インフラプロバイダーを含む、Zurelay が顧客個人データの処理を委託する第三者を指します。
• 個人データ侵害とは、Zurelay が管理するシステムのセキュリティ侵害により、顧客個人データの偶発的もしくは違法な破壊、喪失、改変、または不正な開示もしくはアクセスが生じることを指します。
• SCCsとは、欧州委員会の決定 (EU) 2021/914 により承認された標準契約条項を指します。
• 管理者、処理者、データ主体、個人データ、処理、事業者、サービス提供者は、適用されるデータ保護法に定める意味を持ちます。

顧客個人データについては、顧客が管理者（または自社の顧客に代わって行動する処理者）であり、Zurelay が処理者（または再処理者）です。本 DPA は、Zurelay が独立した管理者として処理する個人データには適用されません。アカウント、請求、サポート、セキュリティ、ウェブサイトに関するデータなどは、当社のプライバシーポリシーの対象です。

3.1 指示. Zurelay は、本契約、本 DPA、および顧客による本サービスの利用・設定に従って、本サービスの提供、安全確保、サポートのためにのみ顧客個人データを処理します。これらを合わせて、顧客の文書化された指示のすべてとします。ただし、法律で義務付けられる処理も行います。これらの指示を超える処理が法律で義務付けられる場合、法律で禁止されない限り、事前に顧客へ通知します。

3.2 ルーティングも指示に含まれます. 顧客は Zurelay に対し、Zurelay が選定したインフラプロバイダーへの顧客コンテンツの送信と、出力の生成に必要な場合のプロバイダー間でのリクエストの再試行、ルート変更、フェイルオーバーを指示します。

3.3 法令に違反する指示. Zurelay は、顧客の指示が適用されるデータ保護法に違反すると判断した場合、顧客に通知します。Zurelay は顧客の指示について法的審査を行う義務を負いません。

顧客は、本契約に基づく顧客個人データの処理について、適法な根拠を確保し、必要な通知をすべて行い、必要な同意をすべて取得する責任を負います。特別なカテゴリーの個人データや子どもの個人データを含む制限対象データは、それを認める別途の書面による契約を両当事者が締結していない限り、送信しないものとします。顧客は、入力に含める個人データを本サービスの利用に必要な範囲に限定する責任を負います。また、Zurelay が身元を開示せず、第7条に記載のとおり独自の規約に基づいて処理を行うインフラプロバイダーによる処理も含め、本サービスが自社のデータに適しているか判断する責任を負います。

Zurelayは、お客様の個人データの処理を許可した者に適切な守秘義務を課し、本サービスの提供に必要な場合に限ってアクセスさせます。

Zurelayは、管理するシステム内のお客様の個人データを保護するため、附属書IIに記載の技術的・組織的措置を実施し、維持します。保護水準が全体として実質的に低下しない限り、Zurelayはこれらの措置を更新できます。

7.1 包括的な承認。 お客様は、Zurelayが次の種類の再委託先を利用することを包括的に承認します。(a) ホスティング、データベース、ストレージ、ネットワークの提供事業者、(b) お客様の個人データを処理する範囲で、決済、メール、サポートの提供事業者、(c) モデルを提供するインフラ提供事業者。これには、モデル開発者、クラウドプラットフォーム、独立系再販業者、その他のモデル提供能力を有する事業者が含まれる場合があります。

7.2 インフラ提供事業者の身元。 Zurelayのインフラ提供事業者の身元は機密の商業情報であり、Zurelayは開示しません。第7.1条に基づくお客様の承認は、個々の身元を開示することなく、種類ごとにインフラ提供事業者に適用されます。お客様から書面で要請があった場合、Zurelayは、本契約に基づくお客様の守秘義務を条件として、現在利用しているその他の再委託先の一覧を提供します。お客様が法的義務により、個人データの送信前にすべての再委託先の身元を把握する必要がある場合、お客様はその個人データをお客様のコンテンツに含めてはなりません。

7.3 変更。 本サービスの提供を継続するため、Zurelayはいつでもインフラ提供事業者を追加、削除、変更できます。新たな種類の再委託先を利用する場合、Zurelayは本DPAを更新してお客様に通知します。お客様がデータ保護上の合理的な理由に基づいて異議を申し立てた場合、両当事者は誠実に協議します。解決できない場合、お客様が講じられる唯一の救済措置は、影響を受ける本サービスの利用を停止し、本契約を解除することです。

7.4 再委託先に適用される条件。 Zurelayが再委託先との条件を交渉できる場合、その再委託先が提供するサービスに関連する範囲で、本DPAと実質的に同等以上の保護を定めるデータ保護義務を課します。一部のインフラ提供事業者は、標準条件でのみサービスを提供しています。お客様は、これらの事業者によるお客様のコンテンツの処理には当該標準条件が適用され、Zurelayが追加の確約を得られない場合があることを了承します。

7.5 責任。 Zurelayは、本契約の責任制限に従い、適用されるデータ保護法で求められる範囲で、再委託先について引き続き責任を負います。

Zurelayは、処理の性質を考慮し、データ主体による権利行使の請求への対応について、お客様に合理的な支援を提供します。Zurelayがお客様の個人データに関する請求を受けた場合、お客様を特定できるときは請求者をお客様に案内し、その案内を伝える場合または法律で求められる場合を除き、自ら回答しません。本サービスで提供される範囲を超える支援については、お客様がZurelayの合理的な費用を負担します。

Zurelayは、個人データの侵害を認識した後、不当に遅滞することなくお客様に通知し、お客様が自身の通知義務を果たすために必要な情報のうち、Zurelayが合理的に入手できるものを提供します。Zurelayは、侵害の封じ込めと調査のために合理的な措置を講じます。通知は、過失または責任を認めるものではありません。必要に応じて規制当局およびデータ主体に通知する責任は、お客様にあります。インフラ提供事業者から、お客様の個人データに影響するセキュリティインシデントの通知を受けた場合、Zurelayは受け取った関連情報をお客様に伝えます。

10.1 支援。 Zurelayは、処理の性質と利用可能な情報を考慮し、適用されるデータ保護法で義務付けられるデータ保護影響評価および規制当局との事前協議について、お客様に合理的な支援を提供します。支援が軽微な範囲を超える場合、その費用はお客様が負担します。

10.2 情報。 Zurelayは、お客様から書面で要請があった場合、12か月間に1回を上限として、セキュリティとプライバシーに関する合理的な質問票への書面による回答、および本DPAの遵守を証明するために合理的に必要なその他の情報を提供します。

10.3 監査。 適用されるデータ保護法により、前述の情報を超える監査が必要な場合、Customerは自己の費用負担で監査を実施できます。ただし、12か月間に1回を超えず、少なくとも30日前に書面で通知し、通常の営業時間内に、適切な守秘義務の下で、Zurelayと競合しない監査人が実施するものとします。Zurelayを管轄する裁判所または規制当局が要求する場合を除き、監査によって他の顧客のデータ、Infrastructure Providersのシステム、またはInfrastructure Providersの身元にアクセスすることはできません。

Zurelayは、APIを通じて送信されたチャットおよびテキストのリクエスト内容を、処理後に保存しません。Playgroundのチャットは、添付ファイルを除き、チャットを行った本人が削除するまで保存されます（ワークスペースごとに最新の300件）。Playgroundに追加された画像はワークスペース用に保存され、30日後に削除されます。生成された画像と動画、それらのプロンプトと参照画像、および失敗した試行のエラー詳細は、30日後に削除されます。契約終了後90日以内に、Zurelayは管理下のシステムに残るCustomer Personal Dataを削除します。ただし、法律上保存が必要なコピーと、通常のスケジュールに従って削除されるバックアップ内のコピーは除きます。Infrastructure Providersが処理するCustomer Personal Dataは、各社の規約に従って保存されます。

12.1 許可。 Customerは、ZurelayおよびそのSubprocessorsが、米国および各社の事業を行うその他の国でCustomer Personal Dataを移転・処理することを許可します。

12.2 欧州からの移転。 Customer Personal DataにGDPRが適用され、十分性認定のない国に移転される場合、SCCsは次のとおり本DPAに組み込まれます。Customerが管理者の場合はModule Two、処理者の場合はModule Threeが適用されます。Clause 7の任意の参加条項が適用されます。Clause 9では、Section 7.3に定める通知を伴うOption 2が適用されます。Clause 11の任意の文言は適用されません。Clause 17ではSCCsにアイルランド法が適用され、Clause 18ではアイルランドの裁判所が管轄権を有します。本DPAのAnnexes IとIIは、SCCsの対応する附属書を補完します。

12.3 英国およびスイス。 UK GDPRの対象となる個人データには、英国のInformation Commissionerが発行したInternational Data Transfer Addendumによって修正されたSCCsが適用されます。スイス法の対象となる個人データには、参照先をSwiss Federal Act on Data Protectionに合わせて読み替えたSCCsが適用され、Swiss Federal Data ProtectionとInformation Commissionerが管轄当局となります。

12.4 優先順位。 SCCsと本DPAが矛盾する場合、その範囲においてSCCsが優先します。

米国の州プライバシー法が適用される範囲において、ZurelayはCustomer Personal Dataに関するCustomerのサービスプロバイダーまたは処理者です。ZurelayはCustomer Personal Dataを販売または共有しません。また、契約に定める事業目的以外、またはZurelayとCustomerの直接の取引関係の範囲外で、これを保持、使用、開示しません。さらに、これらの法律で認められる場合を除き、他の情報源から得た個人データと結合しません。Zurelayは、これらの法律に基づく適用される義務を遵守し、義務を履行できなくなった場合はCustomerに通知します。また、Customer Personal Dataの不正使用を停止し是正するために合理的な措置を講じる権利をCustomerに認めます。

Customer Personal Dataの保護については、本DPAがTermsに優先します。それ以外には、責任制限、準拠法、紛争解決を含め、Termsが適用されます。ただし、適用されるデータ保護法またはSCCsに別段の定めがある場合を除きます。Zurelayは、法律、Services、またはSubprocessorsの変更を反映するために本DPAを更新することがあり、重要な変更についてはCustomerに通知します。本DPAは契約の終了とともに終了します。ただし、その性質上存続する義務を除きます。

• 暗号化: Servicesとの間で転送されるデータにはTLSを使用します。保存データの暗号化はZurelayのホスティングプロバイダーが提供します。
• 認証情報: APIキーは一方向ハッシュとしてのみ保存します。サインインにはワンタイムコードを使用します。キーと請求情報を管理できるユーザーは、ワークスペースのロールで制御します。
• アクセス制御: 本番システムとデータへのアクセスは、業務上必要な担当者に限定します。
• データの最小化: APIを通じて送信されたチャットおよびテキストの内容はメモリ内で処理し、保存しません。Playgroundのチャットは添付ファイルを除き、チャットを行った本人のためにのみ保存します。Playgroundに追加された画像は30日後に削除します。生成されたファイル、それらのプロンプト、およびエラー詳細は30日後に削除します。顧客のエンドユーザー識別子は、Infrastructure Providersにリクエストを送信する前に削除します。
• 監視: サービスとインフラプロバイダーの稼働状況および動作を継続的に監視し、インシデントを記録・調査します。
• 耐障害性: インフラプロバイダー間で自動的に再試行・フェイルオーバーします。
• インシデント対応: 第9条に記載のとおり、個人データ侵害の調査、封じ込め、お客様への通知を行います。
• ベンダーの監督: インフラプロバイダーの利用前および利用中に、リクエストされたモデルを提供しているか、その提供がどの程度安定しているかなどを検証し、Zurelayのチェックに合格しないプロバイダーを除外します。このチェックはサービス品質を対象とし、インフラプロバイダー自身のセキュリティは対象としません。セキュリティは各プロバイダーが自社の規約に基づいて管理します。