データ処理契約（DPA）

本データ処理契約（以下「本DPA」）は、CarBG LLC（ワイオミング州の有限責任会社。以下「CarBG」または「当社」）と、本契約に同意したお客様（以下「お客様」）との間の利用規約（以下「本契約」）の一部を構成します。本DPAは、CarBGがCarBGのウェブアプリ、モバイルアプリまたはAPI（以下「本サービス」）を通じてお客様に代わってお客様個人データを処理する場合に、署名を要することなく、すべてのお客様に自動的に適用されます。本DPAと本契約の内容が矛盾する場合、お客様個人データの処理に関しては本DPAが優先するものとします。

1. 定義

• お客様個人データ：お客様またはそのエンドユーザーが本サービスに送信した画像、ファイルその他のコンテンツ、およびそれらから生成された出力物に含まれる個人データをいいます。
• データ保護法：処理に適用されるすべてのデータ保護法をいい、EU GDPR、UK GDPRおよびData Protection Act 2018、スイスのFADP、カナダのPIPEDA、ケベック州のAct respecting the protection of personal information in the private sector（Law 25）、ならびにCCPA/CPRAなどの米国州プライバシー法を含みます。
• サブプロセッサー：CarBGが起用する第三者であって、お客様個人データを処理するものをいいます。
• セキュリティインシデント：偶発的または違法な、お客様個人データの破壊、紛失、改変、不正な開示または不正なアクセスにつながるセキュリティ侵害をいいます。
• 管理者、処理者、データ主体、処理などの用語は、GDPRに定める意味、または他のデータ保護法における同等の用語（例：「事業者（business）」および「サービスプロバイダー（service provider）」）の意味を有します。

2. 役割と適用範囲

お客様はお客様個人データの管理者であり、CarBGはその処理者です。お客様が自らの顧客に代わって処理者として行動する場合（例：独立系の販売店のために写真を処理するソフトウェアプラットフォーム）、CarBGはお客様のサブプロセッサーとして行動し、お客様は、CarBGを起用するために必要な指示および権限を得ておく責任を負うものとします。CarBGが独立した管理者となるのは、事業運営に必要なアカウント、請求、サポートおよび利用状況に関するデータについてのみであり、これらは当社のプライバシーポリシーの対象となります。

3. お客様の指示

CarBGは、お客様の文書化された指示に基づいてのみ、お客様個人データを処理します。当該指示とは、本契約、本DPA、ならびにお客様による本サービスの利用および設定をいいます。CarBGは、指示がデータ保護法に違反すると判断した場合、法律により通知が禁止されている場合を除き、その旨をお客様に通知するものとします。CarBGは、お客様個人データを販売または共有せず、本サービスの提供、セキュリティ確保およびサポート以外の目的には使用しません。

4. モデル学習への不使用

CarBGは、お客様個人データをAIモデルの学習またはファインチューニングに使用しません。また、AIサブプロセッサーについては、お客様個人データを自社モデルの学習に使用することを禁止する条件のもとでのみ起用します。この取り扱いはすべてのお客様に初期設定で適用されるため、有効にするための設定はありません。AIサブプロセッサーは、自社の規約に基づき、不正利用および安全性の監視のみを目的として、限られた期間（通常は最長30日）入力データを保持する場合があります。

5. 秘密保持とセキュリティ

CarBGは、お客様個人データにアクセスできる従業員および委託先が秘密保持義務を負うようにし、アクセスを運用、サポートおよび品質管理に必要な範囲に限定します。CarBGは、次のものを含む適切な技術的および組織的措置を講じるものとします。

• 転送中（TLS）および保存時のデータの暗号化。
• 非公開のストレージ。画像は行レベルのアクセス制御によりワークスペースごとに分離されます。画像が一般に公開されることはなく、ダウンロードリンクは有効期限付きの署名付きURLです。
• すべてのアカウントおよびAPIキーに対する認証。認証情報はハッシュ化または暗号化して保存されます。
• 本番システムへの最小権限アクセス、および管理者アカウントに対する多要素認証。
• インシデントを検知・調査するためのエラー監視およびログ記録。
• サブプロセッサーを起用する前の、セキュリティに関する確約内容の審査。

6. サブプロセッサー

お客様は、CarBGが以下に記載するサブプロセッサーを起用することについて、一般的な承認を与えます。CarBGは、各サブプロセッサーに対し、本DPAと同等以上の保護水準のデータ保護義務を課し、その履行について引き続き責任を負うものとします。CarBGは、サブプロセッサーを追加または変更する少なくとも15日前までに本リストを更新し、お客様にメールで通知するものとします。お客様がデータ保護上の合理的な理由に基づき異議を述べ、当事者間で解決できない場合、お客様は本サービスのうち影響を受ける部分を解約し、当該部分について前払い済みの料金の日割りによる返金を受けることができます。

7. 支援およびデータ主体からの請求

CarBGは、処理の性質を考慮したうえで、お客様がデータ保護法に基づく義務を履行できるよう支援するものとします。これには、データ主体からの請求への対応、データ保護影響評価またはプライバシー影響評価（ケベック州外へデータを移転する前にQuébec Law 25により求められる評価を含みます）、および監督機関との協議が含まれます。お客様は、本サービスを通じていつでも自ら画像を削除できます。CarBGは、お客様個人データに関する請求をデータ主体から直接受けた場合、これをお客様に転送するものとし、お客様の指示がある場合または法律で求められる場合を除き、自ら回答しません。

8. 保存および削除

画像および出力物は、お客様が削除するまでお客様のワークスペースに保存されます。CarBGは自動的な保存期限を設けていません。お客様が画像を削除した場合、その画像はCarBGのアクティブストレージから速やかに、遅くとも30日以内に削除されます。CarBGは、画像ファイルの個別のバックアップを保持しません。本契約が終了した場合、またはお客様から書面による要請があった場合、CarBGは、法律により一部の保持が求められる場合を除き、30日以内にすべてのお客様個人データを削除するものとします。お客様は、それまでの間いつでも出力物をダウンロードできます。サブプロセッサーが保有する複製は、第4条に記載のとおり、各サブプロセッサー独自のスケジュールで削除されます。

9. セキュリティインシデント

CarBGは、お客様個人データに影響を及ぼすセキュリティインシデントを認識した後、不当な遅滞なく、遅くとも72時間以内にお客様に通知するものとします。通知には、判明している範囲で、インシデントの性質、影響を受けたデータおよびデータ主体、想定される結果、ならびに講じた措置または講じる予定の措置を記載するものとします。CarBGは、インシデントを封じ込めて是正するための合理的な措置を講じ、お客様が自らの通知義務を履行できるよう支援するものとします。

10. 国際移転

お客様個人データは、収集された国以外の国（シンガポール、米国および欧州連合を含みます）で処理される場合があります。EEAからの個人データの移転については、当事者は、EU標準契約条項（以下「SCC」、Commission Decision 2021/914）のモジュール2（管理者から処理者へ）またはモジュール3（処理者から処理者へ）に合意し、これらは参照により本DPAに組み込まれるものとします。お客様をデータ輸出者、CarBGをデータ輸入者とします。SCCの任意条項である第7条は適用されません。SCC第9条のオプション2（一般的な承認）が、本DPA第6条に定める通知期間とともに適用されます。SCC第11条の任意の文言は適用されません。SCC第17条および第18条は、アイルランドの法律および裁判所に準拠します。付属書Iは本DPA第2条、付属書IIは第5条、付属書IIIは第6条をもって記入されたものとします。英国からの移転にはUK International Data Transfer Addendumが適用され、スイスからの移転には、スイスのFADPに合わせて調整したSCCが適用されます。カナダおよびケベック州からの移転については、CarBGは本DPAに基づき、PIPEDAおよびLaw 25が求める保護と同等の保護を提供します。

11. 米国州プライバシー法

CCPA/CPRAまたは同様の米国州法が適用される範囲において、CarBGはサービスプロバイダーとして行動します。CarBGは、これらの法律で認められる場合を除き、お客様個人データを販売もしくは共有せず、お客様との直接の取引関係の範囲外で保持、使用もしくは開示せず、また他者から受領した個人データと結合しないものとします。CarBGは、これらの制限を理解し、遵守することを証明します。

12. 監査

CarBGは、要請に応じて、本DPAの遵守を証明するために合理的に必要な情報を提供するものとします。これには、年1回を上限とする、合理的なセキュリティ質問票への書面による回答が含まれます。当該情報が不十分な場合、または監督機関が求める場合、お客様は、少なくとも30日前までに書面で通知したうえで、営業時間内に、自己の費用負担で、かつ秘密保持義務に従って、監査を実施することができます。

13. 責任、有効期間および変更

本DPAに基づく各当事者の責任は、データ保護法またはSCCがそのような制限を認めない場合を除き、本契約に定める責任制限に従います。本DPAは、CarBGがお客様個人データを処理する限り有効に存続します。CarBGは、法律または本サービスの変更を反映するために本DPAを更新することがあり、重要な変更については通知するものとします。いかなる更新によっても、お客様個人データの全体的な保護水準が引き下げられることはありません。年間のご利用金額がUSD 1,000を超えるお客様は、本DPAの相互署名済みの写しを請求し、または本DPAの変更について交渉することができます。

14. お問い合わせ

CarBG LLC, Sheridan, WY 82801, USA。プライバシーおよびデータ保護に関するお問い合わせ：hello@carbackground.ai。