データ処理契約（DPA）
草案 — 外部法務レビュー待ち。 本書は、最終版のテキストが反映すべき要件および製品に関する決定事項を定めたものであり、弁護士によるレビューを受けていません。法的助言を構成するものではなく、公開可能な最終版でもありません。
最終更新日： [発効日]
1. 目的
本データ処理契約（以下「本 DPA」といいます）は、ZARZA CORP, S.A.（以下「処理者」または「当社」といいます）と、iNTELIGENCIA VIVA の有料プランを契約する Workspace（以下「管理者」または「顧客」といいます）との間で締結された利用規約を補完するものです。本 DPA は、当社が顧客に代わって顧客の Contact の個人データを処理する有料プラン（Pro、Business、Enterprise）にのみ適用されます。無料ディレクトリおよび無料 WordPress プラグインには適用されません。これらの層は当社のインフラにデータを送信しないためです。
個人データの処理に関して本 DPA と利用規約との間に矛盾がある場合は、本 DPA が優先します。
2. 定義
- 個人データ：顧客またはその Contact がサービスに入力する、識別された、または識別可能な自然人に関するあらゆる情報。
- 管理者（Controller）：顧客の Contact および自らのエージェントの個人データに関する顧客。
- 処理者（Processor）：契約されたサービスを提供する目的のみのために当該個人データを処理する当社。
- データ主体（Data Subject）：個人データの帰属主体である自然人 — 典型的には Contact であり、場合によっては顧客のエージェント。
- 副処理者（Sub-processor）：セクション6に従い、当社に代わって個人データを処理するために当社が利用する第三者。
- セキュリティインシデント：個人データに対する破壊、消失、改変、または無許可の開示もしくはアクセスを引き起こすあらゆるセキュリティ侵害。
3. 期間
本 DPA は、顧客が利用規約に同意した日に発効し、顧客が有料プランの Workspace を維持する間、およびセクション10に定める事後の保持期間中、効力を有します。
4. 処理の性質、目的、期間およびカテゴリー
性質および目的。 当社は、顧客対話プラットフォームを提供するために個人データを処理します：メッセージの受信およびルーティング、人工知能による応答の生成、人間のエージェントへの引き継ぎ、顧客の知識ソースに対するセマンティック検索、集計アナリティクス、および利用の請求。
期間。 有料プランの契約が継続する間、およびセクション10に従い顧客が設定した保持期間中。
データ主体のカテゴリー。 顧客の Contact（顧客の最終顧客）、および該当する場合には顧客のエージェント。
個人データのカテゴリー。 発信元チャネルに応じた連絡先識別子（電話番号、ユーザー名、電子メールアドレス）、氏名、やり取りされたメッセージの内容、会話のメタデータ（チャネル、タイムスタンプ、部門、AI が生成した要約、タグ）、およびデータ主体が自らのメッセージに任意に含める追加のデータ。
5. 処理者の義務
処理者として、当社は次のことを約束します。
- 個人データを、顧客がサービスの設定および本規約を通じて表明した文書化された指示に従ってのみ処理すること。ただし、法令が当社に別の処理を義務付ける場合はこの限りではなく、その場合、法令が許容する範囲で、処理を行う前に当該法的義務について顧客に通知します。
- 個人データの処理を許可された者が、機密保持義務を負っていることを確保すること。
- 当社製品文書のセクション15と整合するセクション8に定める技術的および組織的措置 — 通信時および保存時の暗号化、取り消し可能な権限範囲を持つ API キー、送信 Webhook の HMAC 署名、および全ストレージ層における Workspace 単位のデータ分離 — を実施すること。
- セクション6を遵守することなく副処理者に個人データを移転しないこと。
- セクション7に従い顧客を支援すること。
- 当社が処理する顧客の個人データに影響を与えるセキュリティインシデントが発生した場合、セクション9に従い、不当な遅滞なく顧客に通知すること。
- 顧客の選択により、関係終了時にセクション10に従い個人データを削除または返却すること。
- セクション11に従い、本 DPA の遵守を証明するために合理的に必要な情報を顧客に提供すること。
6. 副処理者
顧客は、サービスを提供するための副処理者の利用を一般的に承認します。本書の日付時点における現在の副処理者は次のとおりです。
| 副処理者 | 機能 |
|---|---|
| Cloudflare, Inc. | コンピューティングインフラ、データベース（D1）、ファイルストレージ（R2）、セマンティック検索用ベクトルストレージ（Vectorize）、リアルタイム会話用 Durable Objects |
| Zarza Corp, S.A. が選定する決済サービスプロバイダー | 決済処理。Zarza Corp, S.A. は、本表を変更することなく決済サービスプロバイダーを追加または変更できます |
| トランザクションメール配信プロバイダー（設定可能。デフォルトは Resend） | サービスのトランザクションメールの送信 |
| 最先端 AI モデルのプロバイダー（モデルルーターの設定による） | ルーターが Workers AI 以外にリクエストをルーティングする場合の AI 応答の生成 |
当社は、更新された副処理者一覧を公開するか、請求に応じて提供します。個人データを処理する新たな副処理者を追加する場合、当社は合理的な事前通知により顧客に通知し、顧客はデータ保護に関連する合理的な理由に基づき異議を唱えることができます。異議が解決しない場合、顧客は、その特定の理由について追加の違約金なしに、影響を受ける有料プランを終了することができます。
当社は、本 DPA の下で当社自身が負うのと同じ範囲で、当社の副処理者によるデータ保護義務の遵守について責任を負います。
7. 管理者への支援
当社は、次の事項について顧客を合理的に支援します：(i) アクセス、訂正、削除、移植性または異議申立ての権利を行使するデータ主体からの請求への対応、(ii) 当該処理が必要とする場合のデータ保護影響評価の実施、(iii) 評価が高リスクを示す場合の管轄監督機関との事前協議。データ主体が、当社が顧客に代わって処理するデータに関して直接当社に連絡してきた場合、当社は当該データ主体を顧客に案内し、不当な遅滞なくその請求について顧客に通知します。
8. セキュリティ対策
当社は、最低限、次の対策を実施します：サービスのすべての面（サイト、API、WebSocket）における通信時の暗号化、およびデータベース、ファイルストレージ、ベクトルストレージにおける保存時の暗号化；設定可能な権限範囲を持ち個別に取り消し可能な API キーによるアクセス制御；送信されるすべての Webhook 配信の暗号署名（HMAC）；いかなる Workspace も他の Workspace のデータにアクセスできないよう、すべてのストレージ層におけるクエリレベルでの各 Workspace データの論理的分離；ならびに、設定された保持期間の経過時における実際の（単なる論理的ではない）データ削除プロセス。
9. セキュリティインシデントの通知
当社は、当社が顧客に代わって処理する個人データに影響を与えるセキュリティインシデントを確認した後、不当な遅滞なく顧客に通知します。その際、インシデントの性質、影響を受けるデータ主体および記録のカテゴリーとおおよその件数、これを軽減するために講じた、または講じる予定の措置、および詳細情報のための連絡窓口について、合理的に入手可能な情報を提供します。この通知は責任の承認を構成するものではなく、顧客が自らの通知に関する法的義務を果たすことを可能にすることのみを目的とします。
10. データの削除または返却
顧客は、サービスが提供する範囲内で、自らの Workspace の会話データの保持期間を設定します。当該期間が経過した場合、または該当する猶予期間の経過後に契約関係が終了した場合、当社は、単なる論理削除ではなく実際に、当社の本番システムおよび該当するバックアップから、そのライフサイクルに従い個人データを削除します。ただし、法令が当社に特定のコピーの保持を義務付ける場合はこの限りではなく、その場合、それらのコピーは削除されるまで本 DPA と同一の機密保持およびセキュリティ義務に服するものとします。削除前に顧客から請求があった場合、当社は公開 API の仕組みを通じて個人データのエクスポートを可能にします。
11. 監査
当社は、合理的な請求があり、かつ適切な機密保持が確保される場合、本 DPA の遵守を証明するために必要な情報 — 存在する場合は第三者による監査の要約またはセキュリティ認証を含む — を顧客に提供します。現地調査または指定された第三者による調査を含む、より広範な監査権については、Enterprise プランにおいて個別に合意することができます。
12. 責任
本 DPA に基づく各当事者の責任は、適用法令が制限を許さないと定める場合を除き、利用規約の責任制限セクションに定める上限および除外に従います。
13. 本 DPA の有効期間および変更
当社は、規制または本サービスの変更を反映するため、本 DPA を更新することがあります。その際は合理的な事前通知をもって顧客に通知します。ここに定める保証を実質的に低下させる変更については、法令がそれを要求する場合、顧客の明示的な同意が必要となります。
14. お問い合わせ
副処理者に関する請求やインシデント通知を含む、本 DPA に関するお問い合わせ：legal@inteligenciaviva.com