データ処理契約

本データ処理契約(「DPA」)は、顧客(LetsBot に申し込む事業者。以下「お客様」)と、イングランドおよびウェールズにおいて登録番号 15477940 で登記され、英国 London WC2H 9JQ, Covent Garden, 71-75 Shelton Street に所在する BOT FOR DIGITAL SOLUTIONS LIMITED(以下「LetsBot」または「当社」)との間の利用規約の一部を構成します。

お客様は、利用規約に同意することにより、附属書 IV から VI に参照により組み込まれた移転条項を含め、本 DPA も締結したことになります。これらは同意の時点から、顧客個人データが移転される前に、すべての顧客に自動的に適用され、署名は必要ありません。

署名済みの写しおよび個別文書。support@letsbot.net にご依頼いただければ、当社が副署した本 DPA の写し、または記入済みの移転条項一式など、お客様の組織が必要とする個別の契約書や文書を提供します。

優先順位。矛盾がある場合は、附属書 IV から VI の移転条項が優先し、次に本 DPA、次に利用規約が優先します。

言語。本 DPA は英語版が優先し、アラビア語版は便宜のために提供されます。ブラジル ANPD の標準条項については、ポルトガル語の公式テキストが優先します。

• 顧客個人データ: 当社がサービスの提供にあたりお客様に代わって処理する個人データをいい、お客様の連絡先の詳細、メッセージ、メディアおよび注文を含みます。詳細は附属書 I に記載します。
• サブプロセッサー: 顧客個人データを処理するために当社が起用する第三者をいいます。
• 個人データ侵害: 顧客個人データの偶発的もしくは違法な破壊、紛失、改変、無権限の開示またはアクセスにつながるセキュリティ侵害をいいます。
• データ保護法: 処理に適用される法令をいい、EU GDPR、英国 GDPR および 2018 年データ保護法、サウジアラビアの個人データ保護法およびその規則、ブラジルの LGPD、ならびにエジプトの 2020 年法律第 151 号およびその施行規則を含みます。
• 「管理者」、「処理者」、「データ主体」および「処理」は、データ保護法における意味を有します。「処理者」には LGPD に基づく「operador」が含まれます。

1. お客様は顧客個人データの管理者(または他の管理者のために行動する処理者)であり、当社は処理者です。
2. 当社は、他国への移転に関するものを含め、お客様の文書化された指示に基づいてのみ顧客個人データを処理します。お客様の指示とは、利用規約、本 DPA、お客様がパネルで選択する設定(チャネル、連携、AI 機能、保存期間など)、および当社が合意したその他の書面による指示をいいます。
3. 法令によりお客様の指示以外の方法で顧客個人データを処理することが求められる場合、当社は、当該法令が禁止しない限り、処理を行う前にお客様に通知します。
4. 当社は、指示がデータ保護法に違反すると判断した場合、直ちにお客様に通知します。
5. お客様は、データを適法に収集すること、および Meta または法令が求める同意を含め、連絡先にメッセージを送信するための適法な根拠を有することについて責任を負います。
6. 当社は、顧客個人データを自らの目的に利用せず、販売せず、AI モデルの学習にも使用しません。

顧客個人データにアクセスできるのは、サービスの提供、サポートまたは保護のためにアクセスを必要とする従業員および委託先のみであり、そのすべてが守秘義務を負っています。

顧客個人データにアクセスできる人員は主にエジプトで勤務しており、当社の関連会社である Bot for Digital Solutions LLC(«بوت للحلول الرقمية» ش.ذ.م.م)を通じて、当社の指示の下、本 DPA を下回らない保護水準の条件で業務を行います。

当社は附属書 II の技術的および組織的措置を適用し、定期的に見直し、お客様のサブスクリプション期間中に全体的な保護水準を引き下げることはありません。

さらに、当社は以下を約束します。

• ワークスペースのデータベースの暗号化バックアップ: 有料、トライアルおよび無償提供のワークスペースについては毎晩、その他のワークスペースについては 10 日周期のローテーションで実施し、加えて中央のアカウントデータベースを毎日バックアップします。バックアップは本番サーバーとは別の非公開ストレージ(米国の Google Cloud、us-east1)に 30 日間保管され、その後削除されます。
• 会話でやり取りされたメディアファイルは、閲覧も一覧表示もできないストレージに保管され、推測が困難な長いランダムなリンクを通じて提供されます(連絡先のプロフィール画像を除く)。正確なリンクを知っている者は誰でもファイルを開くことができます。当社は、メディアを有効期限付きの署名付きリンクへ移行中です。
• ワークスペースへのすべてのサポートによるアクセスおよびすべてのサインインを、当該ワークスペースのセキュリティログに記録すること。

1. 一般的承認。お客様は、当社のサブプロセッサーページ(附属書 III)に記載されたサブプロセッサーを当社が起用することを承認します。
2. 事前通知。当社は、サブプロセッサーを追加または変更する少なくとも 30 日前に、登録したすべての方へのメールおよびページの更新により通知します。登録するには、件名を「Subprocessor updates」として support@letsbot.net までご連絡ください。
3. 異議。お客様は、通知期間中、合理的なデータ保護上の理由に基づき書面で異議を申し立てることができます。当社は、たとえばお客様のデータに当該サブプロセッサーを使用しないなどの方法で、異議の解決に努めます。解決できない場合、お客様は影響を受けるサービス部分を解約し、残存期間について前払いした料金の返金を受けることができます。
4. 緊急時の交代。サービスのセキュリティまたは継続性を守るためにサブプロセッサーを直ちに交代する必要がある場合、当社は可能な限り速やかにお客様に通知し、お客様は同様に異議を申し立てる権利を有します。
5. 同等の義務。当社は、第三者であるすべてのサブプロセッサーに対し、本 DPA を下回らない保護水準のデータ保護義務を定めた書面による契約を課し、その履行についてお客様に対して引き続き責任を負います。
6. お客様が選択する連携(Meta(WhatsApp、Messenger、Instagram)、EC プラットフォーム、CRM など)は、当社のサブプロセッサーではありません。これらはお客様が接続するものであり、お客様との間のそれぞれの規約に基づいてデータを処理します。

1. 当社は、顧客個人データに影響する個人データ侵害について、不当な遅滞なく、いかなる場合も認識してから 24 時間以内にお客様に通知します。これはすべての国における当社の基準です。
2. 通知はアカウント所有者のメールアドレス宛てに送信し、可能な場合はパネルにも表示します。入手可能な範囲で、侵害の性質と原因、影響を受けるデータ主体および記録の種類とおおよその件数、想定される結果、封じ込めのために講じたまたは提案する措置、および当社の連絡窓口を記載します。
3. すべての情報を一度に提供できない場合、当社は不当な遅滞なく段階的に情報を提供し、インシデントが終結するまで定期的に最新情報をお知らせします。
4. 当社は、EU、英国およびサウジアラビアにおける 72 時間の期限、ならびにブラジルにおける三営業日の期限を含め、お客様が当局およびデータ主体に通知する義務を履行できるよう支援します。
5. 通知は、過失または責任を認めるものではありません。

1. 当社が顧客個人データに関してデータ主体から請求を受けた場合、48 時間以内にお客様に転送し、お客様の承認なしに、転送した旨を伝える以外の回答は行いません。
2. パネルでは、連絡先、会話およびメッセージのエクスポート、訂正および削除が可能です。これらのツールで足りない場合、当社は合理的な支援を提供します。
3. 当社の支援は、エジプトにおける六営業日を含め、お客様の法定期限を考慮して行います。

当社は、お客様がデータ保護影響評価、移転リスク評価、または当局との事前協議を行うために合理的に必要とする情報を提供します。法令により、お客様が関連する影響評価を当社と共有することが求められる場合、当社はこれを受領します。

1. サブスクリプション期間中、お客様はいつでもパネルから、データのエクスポート、個別の会話の削除(そのメッセージとメディアも消去されます)、またはワークスペース全体の削除を行うことができます。理由の記入は任意です。
2. サービス終了時、お客様のデータは 30 日間エクスポート可能な状態で保持されます。ワークスペースが削除された場合、当社は 30 日以内に稼働中のシステムから顧客個人データを削除します。これには、メディア、アーカイブコピー、当社の AI プロバイダーに保管されたファイルおよび保存済みの応答、ならびに当社の QR コード接続サービスが保持するメッセージが含まれます。バックアップ内のコピーは、さらに 30 日以内に失効します。
3. 当社は、法令により保持が義務付けられているものだけを保持し、削除されるまで本 DPA に基づいて引き続き保護します。
4. ご依頼があれば、当社は削除を書面で確認します。

1. 当社は、本 DPA の遵守を証明するために必要な情報を提供し、合理的なセキュリティ質問票に回答します。
2. 当該情報で十分でない場合、お客様または守秘義務を負う独立監査人は、30 日前の通知により、営業時間内に、他の顧客のデータを危険にさらすことなく、12 か月に一度当社を監査することができます。この制限は、個人データ侵害の発生後、または当局が監査を求める場合には適用されません。
3. 各当事者は自らの費用を負担します。ただし、監査により当社の重大な違反が判明した場合はこの限りではありません。
4. 当社は、サウジアラビア データ・AI 庁(SDAIA)を含む管轄監督当局から要請があった場合、これに協力します。

1. データが処理される場所。顧客個人データは米国の Google Cloud(リージョン us-east1)でホストされ、主に当社の関連会社を通じてエジプトで勤務する当社スタッフがリモートでアクセスし、サブプロセッサーのページに示された所在地でサブプロセッサーが処理します。当社のサーバーおよびバックアップはすべて米国にあり、その他のリージョンでのホスティングは提供していません。
2. 移転の仕組み。附属書 IV(EU および英国)、附属書 V(ブラジル)および附属書 VI(サウジアラビア)の条項は、すべての顧客について本 DPA の一部を構成し、対応する法令が適用される各移転を規律します。
3. 当社に適用される外国法。当社は英国法に服する英国企業です。データは米国のプロバイダーでホストされており、米国当局は、CLOUD Act および外国情報監視法第 702 条を含む米国法に基づき、米国のプロバイダーにデータの開示を求めることができます。エジプトの当社関連会社はエジプト法に服します。当社は、これらの法令のいずれかが本 DPA の履行を妨げるとは認識しておらず、その状況が変わった場合は速やかにお客様に通知します。
4. 公的機関からの要請。当社が公的機関から顧客個人データの開示を求める拘束力のある要請を受けた場合、法令で禁止されていない限りお客様に通知し、当該機関にお客様に直接要請するよう求め、違法または過剰な要請には異議を唱え、必要最小限の情報のみを開示します。

1. お客様が AI 返信、AI エージェント、ボイスメモの文字起こし、または AI ツールを有効にすると、当社は当該機能に必要なデータを、米国に所在するサブプロセッサーである当社の AI サービスプロバイダーのいずれかに送信します。送信されるデータは、メッセージ、会話履歴、ボイスメモ、ナレッジファイルおよび商品カタログ、ならびに機能が使用する場合は連絡先の名前と番号です。
2. 当社の AI サービスプロバイダーは、既定のプロバイダーであり、ボイスメモの文字起こしならびにナレッジファイルの保存および検索を常に担当する OpenAI、ならびに、OpenAI の代わりにもしくはバックアップとして AI タスクを振り分けることがあり、または回答の品質を比較するためにリクエストの限られたサンプルを送信することがある Anthropic(Claude)および Google(Gemini API)です。比較用の回答がお客様の顧客に送信されることはありません。一覧と移転の仕組みは当社のサブプロセッサーページに掲載しています。
3. 各プロバイダーのビジネス向け規約に基づき、いずれのプロバイダーも API 経由で送信されたデータをモデルの学習に使用しません(OpenAI のビジネス規約、Anthropic の商用利用規約および Gemini API 追加利用規約をご参照ください)。また、当社は学習への利用にオプトインしていません。各プロバイダーは、その規約に基づき不正利用の監視のために一時的なコピーを保持し、OpenAI は API データポリシーに基づき生成した応答を保持します。
4. 当社は、顧客個人データをいかなるモデルの学習にも使用しません。「履歴から学習」機能が学習した内容は、お客様のワークスペース内にとどまります。
5. これらの機能は任意であり、いつでもオフにできます。お客様がワークスペースを削除すると、当社は OpenAI に保存された当該ワークスペースのファイルを削除します。
6. 法令で求められる場合、返信が AI によって生成される可能性があることを顧客に伝える責任はお客様が負います。

1. 当社のサポートスタッフは、サポートを提供する目的でのみお客様のワークスペースに入ります。
2. すべてのアクセスはワークスペースのセキュリティログに記録され、お客様はこれを確認できます。
3. お客様がワークスペースで二要素認証を有効にした場合、当社のスタッフはお客様の明示的な承認がある場合にのみアクセスできます。

本 DPA に基づく各当事者の責任は、利用規約に定める制限に服します。ただし、法令により制限できない責任を除き、また、附属書 IV から VI の移転条項に基づくデータ主体の権利に影響を与えるものではなく、当該権利は本 DPA または利用規約のいかなる規定によっても制限されません。

1. 本 DPA は、当社が顧客個人データを処理する限り適用されます。
2. 当社は、法令またはサービスに対応するため本 DPA を更新することがあります。重要な変更については 30 日前に通知し、有料サブスクリプション期間中に保護水準を引き下げる変更は行いません。
3. 本 DPA はイングランドおよびウェールズの法律に準拠し、同地の裁判所が管轄権を有します。ただし、附属書 IV から VI の各移転条項は、それぞれが定める法律および裁判所に従います。

個人データ保護法およびその施行規則(第 17 条)に関して:

• 処理の目的、データの種類および処理期間は附属書 I に記載されています。
• 当社は、侵害について不当な遅滞なく 24 時間以内にお客様に通知します(第 7 節)。
• 当社に適用される外国法およびその影響は、第 12 節に記載されています。
• サウジアラビアの法律により当社が開示を求められた場合、当社はその旨をお客様に通知します。
• サブプロセッサーおよびその他の受領者は附属書 III に特定されており、当社は変更の前にお客様に通知し、お客様は異議を申し立てる権利を有します(第 6 節)。
• 当社は、データ主体からの請求を 48 時間以内に転送し(第 8 節)、評価および監査を受け入れます(第 11 節)。
• 移転条項: 附属書 VI。

LGPD に関して、当社は「operador」として行動します。

• 当社は、お客様の指示に基づいてデータを処理し(第 39 条)、処理業務の記録を保持します(第 37 条)。
• 当社は附属書 II のセキュリティ措置を適用し、当社のセキュリティ義務は処理の終了後も継続します(第 46 条および第 47 条)。
• 当社は、お客様が三営業日以内に ANPD およびデータ主体に通知できるよう、侵害について 24 時間以内にお客様に通知します(第 48 条)。
• 当社は、第 10 節に基づき、処理の終了時にデータを削除します(第 16 条)。
• LGPD がデータ主体に対する当社の責任を定める場合、本 DPA のいかなる規定もその責任を制限するものではありません。
• 移転条項: 附属書 V。ご依頼があれば、お客様が顧客向けに公開できる国際移転のポルトガル語の要約を提供します。

2020年法律第151号およびその施行規則に関して：

• 当社のエジプトにおける関連会社は、Bot for Digital Solutions LLC（«بوت للحلول الرقمية» ش.ذ.م.م）、商業登記番号 223572（Cairo Investment 登記所）、所在地 Tower 22, 3rd floor, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egypt です。
• 当社は、当社の処理および越境移転について法律が求める許可または認可を、これに依拠する前に取得し、個人データ保護センターに登録されたデータ保護責任者を任命します。
• 当社は、24時間以内にお客様へ通知することに加え、法律が処理者としての当社に義務付ける場合には、お客様と連携のうえ、侵害を72時間以内に個人データ保護センターへ通知します。
• 当社は、お客様と協力して、データ主体からの請求に六営業日以内に回答します。
• エジプト国外への移転に対する同意を含め、法律が求める場合にデータ主体の同意を取得する責任はお客様にあります。

本 DPA には、EU GDPR および UK GDPR の第28条(3)が求める条項が含まれています。すなわち、指示（第3条）、守秘義務（第4条）、セキュリティ（第5条および附属書II）、再委託先処理者（第6条）、データ主体からの請求への支援（第8条）、ならびにセキュリティ、侵害および評価への支援（第5条、第7条および第9条）、削除および返却（第10条）、ならびに情報提供および監査（第11条）です。

当社が設立されている英国は、欧州委員会の十分性認定の対象です。それにもかかわらず、附属書IV（EU 標準契約条項および UK 補遺）はすべてのお客様について本 DPA に組み込まれ、EU GDPR または UK GDPR が別途許容しないお客様個人データの移転（米国への当社による再移転を含みます）に適用されます。

現在、以下の措置を講じています：

• 通信の暗号化：Cloudflare エッジでの HSTS を伴う TLS 1.3、およびオリジンサーバー上の TLS 証明書。
• 保存データの暗号化：ディスクおよびストレージバケットに対する Google 管理の鍵を用いた Google Cloud の標準暗号化に加え、チャネルのアクセストークン、連携および Webhook のシークレット、二要素認証のシークレット、アンケートの回答、同意記録のアプリケーションレベルでの暗号化。
• パスワードとトークン：パスワードは bcrypt でハッシュ化し、API トークンはハッシュとして保存。
• 分離：ワークスペースごとに個別のデータベース。
• ネットワーク：データベースおよびキャッシュはインターネットから到達不能；Cloudflare の DDoS 対策および Web アプリケーションファイアウォール；公開フォームでの Turnstile によるボット対策。
• サーバーの堅牢化：CageFS によるアカウント分離、Imunify360 のファイアウォールおよびマルウェアスキャン、ならびにカーネルのライブセキュリティパッチ適用（KernelCare）。
• アクセス制御：ユーザーごとのロールと権限、社内管理ツール用の独立したサインイン保護、すべてのワークスペースで利用可能な二要素認証、およびサインイン IP 制限。
• ログ記録：各ワークスペースのセキュリティログ（サインインと失敗した試行、二要素認証とロールの変更、サポートによるアクセス、API キーのローテーションを記録）。
• 連携：Meta、Salla および Zid からの受信データに対する署名検証、ならびに新規の送信 Webhook ごとの個別の署名シークレット。
• 非公開ストレージ：文書、メールの添付ファイル、通話録音、バックアップおよびアーカイブされたワークスペースは、公開アクセスを防止した非公開ストレージバケットに保管。
• 会話のメディア：閲覧や一覧表示ができないストレージに保管し、推測が困難な長いランダムなリンクで配信（連絡先のプロフィール画像を除く）；有効期限付き署名リンクへの移行を進行中。
• バックアップ：有料、トライアルおよび無償提供のワークスペースのデータベースは毎晩バックアップ、その他のワークスペースは10日間のローテーション、中央アカウントデータベースは毎日バックアップ；米国（us-east1）の非公開ストレージに30日間保管。
• 削除：すべてのお客様は、パネルからワークスペース全体（そのメディア、アーカイブコピー、OpenAI 上の AI ファイルを含む）を削除可能；会話を削除すると、そのメッセージとメディアが消去されます。
• データの最小化：プラットフォームからの受信ペイロードは14日後、サーバーログは14日後、通話録音は初期設定で90日後に削除。
• 監視：外部の稼働監視、ならびにメモリ、データベース、セッションおよびキューの内部監視とリアルタイムアラート（電話番号とメールアドレスはマスク処理）。

再委託先処理者の最新の一覧は、各社が処理するデータ、所在地および移転の保護措置とともに当社の再委託先処理者のページに掲載されており、本 DPA の一部を構成します。

欧州委員会実施決定 (EU) 2021/914 により採択された標準契約条項は、参照により本 DPA に組み込まれます：

• お客様が管理者である場合は第二モジュール（管理者から処理者へ）、お客様が他者のために処理者として行動する場合は第三モジュール（処理者から処理者へ）。
• 第7条（ドッキング条項）：含む。
• 第9条(a)：選択肢2（一般的な書面による承認）、30日前の事前通知を伴う。
• 第11条(a)：任意の文言は適用しない。
• 第13条：管轄監督機関は、お客様の状況に応じて第13条(a)に基づき決定される。
• 第17条：選択肢1、アイルランド法に準拠。第18条：アイルランドの裁判所。
• 附属書I.A：第1条の当事者（データ輸出者としてのお客様、データ輸入者としての当社）。附属書I.B：本 DPA の附属書I。附属書I.C：第13条に基づき決定されるとおり。附属書II：本 DPA の附属書II。附属書III：本 DPA の附属書III。

英国法が適用される移転については、ICO のEU 標準契約条項に対する国際データ移転補遺が参照により組み込まれます：表1は上記の当事者、表2は上記で選択した条項、表3は附属書IからIIIまで、表4はいずれの当事者もその第19条の定めに従い本補遺を終了できるものとします。

LGPD が適用されるデータの国際移転について、両当事者は利用規約に同意することにより、決議 CD/ANPD No. 19/2024 の附属書IIに定める標準契約条項を、一切変更することなく全面的に採用します。公式のポルトガル語版が優先します。

• 第I節：お客様が輸出者（管理者）、当社が輸入者（オペレーター）であり、移転の内容は附属書Iに記載されています。
• 第III節（セキュリティ措置）：附属書II。
• 第IV節：追加条項なし。

本 DPA または利用規約のその他のいかなる条項も、これらの条項を排除、変更し、またはこれらと矛盾することはできません。

王国外への個人データの移転について、両当事者は利用規約に同意することにより、サウジデータ・AI 庁（SDAIA）が発行した個人データ移転のための標準契約条項のテンプレート2（管理者から処理者へ）を、変更なく採用します。

• 当事者：お客様が輸出者、当社が輸入者です。
• テンプレートの付録1から3：本 DPA の第1条、附属書Iおよび附属書II。
• これらの条項はサウジアラビア王国の法律に準拠し、条項の定めるとおり同国の裁判所が管轄権を有します。
• 当社は、侵害を24時間以内にお客様へ通知し、データ主体からの請求を48時間以内に転送し、あらゆる監査において SDAIA に協力します。
• 当社は、王国外の再委託先処理者のうちどれがこれらの条項に加入しているか、またどれが加入していないかを、お客様のデータについてそれらに依拠する前にお知らせします。