Vaipm データ処理契約（DPA）

バージョン 3.0 | 施行日 2026年6月6日 | 区分: 公開

1. 定義および適用範囲

(1) 本データ処理契約（以下「本DPA」）は、株式会社Vaigate（以下「当社」）がVaipmサービスの提供に関連してお客様の個人データを処理する場合の条件を定めます。

(2) 本DPAは、Vaipm利用規約（以下「本規約」）の一部を構成します。本DPAと本規約の間に矛盾がある場合、データ保護に関する事項は本DPAが優先します。

(3) 「Customer Personal Data」とは、お客様が本サービスに入力し、または本サービスの提供に関連して当社が処理する個人データをいいます。

(4) 本DPAにおける「処理」「管理者」「処理者」「個人データ」等の用語は、適用されるデータ保護法令（APPI、GDPR等）における定義に従います。

(1) お客様の指示に基づきCustomer Personal Dataを処理する場合、当社はAPPI上の委託先またはGDPR上のProcessorとして行動します。

(2) アカウント管理、請求、セキュリティ、不正防止、サービス運営に関する処理については、当社が独立した管理者またはControllerとして行動する場合があります。

(1) 当社は、本サービスの提供に必要な範囲で、以下の処理を行います。

• お客様の公式サイト（HTMLおよびPDF）の公開情報の取得、テキスト抽出、インデックス化

• AIプラットフォームへの質問送信およびAI回答の収集

• AI回答の分析、要約、判定、分類

• レポートの生成、翻訳、エクスポート

(2) 当社は、サービス提供のため、外部AI APIに質問、分析対象名、競合名、カスタム質問、AI回答、公式サイト由来テキスト、分析結果、翻訳対象テキスト等を送信します。送信情報には個人情報が含まれる場合があります。

(3) 当社は、送信データが基盤モデルの学習に使用されない条件で提供される商用AI APIの利用を前提としています。各プロバイダーの保持・ログ・学習利用は各社API条件に従います。

(1) お客様は、当社に処理を委託する個人データについて、必要な法的根拠、権限および通知を確保する責任を負います。

(2) お客様は、当社の事前承認なく、要配慮個人情報、政府発行ID、金融口座情報その他本サービス提供に不要な高リスク情報を入力してはなりません。

当社は、事業規模、処理する個人データの性質およびリスクに応じて、暗号化、アクセス制御、ログ監視、脆弱性管理、インシデント対応等の技術的・組織的安全管理措置を実施し、または段階的に整備します。詳細はSecurity Overviewで提供します。

(1) お客様は、当社が本サービスの提供に必要なサブプロセッサーを利用することを承認します。

(2) 当社は、新たなサブプロセッサーの追加について30日前までに通知します。お客様は通知受領後30日以内に書面で異議を申し立てることができます。

(3) セキュリティ、可用性、法令遵守その他緊急かつ合理的な理由がある場合、当社は30日前通知なく代替サブプロセッサーを一時的に利用し、可能な限り速やかに通知することがあります。

(4) 現在のサブプロセッサー一覧はSubprocessor Listで提供します。

お客様からデータ主体の権利行使に関する要請を受けた場合、当社は合理的な範囲で協力します。当社がProcessorとして処理するCustomer Personal Dataに関する権利行使は、お客様を通じて行うものとします。

(1) 当社は、Customer Personal Dataをサービス提供に必要な期間保持します。

(2) 契約終了後、お客様は契約終了前にデータのエクスポートを行ってください。

(3) 契約終了後、当社が管理するアクティブ本番環境上の対象データについて30日以内に削除またはアクセス不能化し、合理的な範囲で削除処理の完了を通知します。対象データには、アカウント設定、Track設定、分析結果、レポートその他当社が管理する本番データが含まれます。

(4) ログ、バックアップ、請求記録、法令上保持が必要な記録はDPA、プライバシーポリシーおよび各サブプロセッサー条件に従います。

(1) 当社は、Customer Personal Dataに影響を与える確認済みのセキュリティインシデント、またはお客様への通知が必要と合理的に判断される重大な疑いを認識した場合、不当な遅延なく、可能な限り72時間以内にお客様へ通知します。

(2) APPIに基づく報告対象事態が発生した場合、当社はお客様と協力し、速報および確報に必要な情報を合理的な範囲で提供します。

当社は、セキュリティ質問票、関連ポリシー、第三者監査報告書（存在する場合）その他合理的な情報の提供により、お客様の監査請求に対応します。実地監査は、法令上必要な場合または重大なデータ侵害が合理的に疑われる場合に限り、別途合意する範囲で実施します。

Customer Personal Dataが日本国外に移転される場合、当社はAPPI第28条に基づく適切な措置、またはSCC等のGDPR上の保護措置を講じます。主な移転先国はSubprocessor Listに記載します。

当社は、適用法令の変更、サービスの変更その他合理的理由により、本DPAを改定することがあります。重要な変更については、メール、当社ウェブサイトその他合理的な方法により、合理的な期間を置いて通知します。お客様の権利義務に重大な不利益を与える変更については、別途同意を取得します。

本DPAに関するお問い合わせ: compliance@vaigate.com