本 データ処理契約（Data Processing Agreement、以下「本 DPA」）は、NUDGEO（以下「データ処理者」）と本サービスを利用するお客様（以下「データ管理者」） との間における個人情報の処理委託関係を定めるものです。本 DPA は NUDGEO 利用規約の一部を 構成します。
1. 定義
- 個人情報：GDPR 第 4 条第 1 項および個人情報保護法（개인정보 보호법）第 2 条に定める情報。
- 処理：個人情報の収集・保管・使用・転送・削除など、個人情報に対するすべての操作。
- 委託先処理者（Subprocessor）：データ処理者が処理の一部を委託した第三者。
2. 処理の範囲
データ処理者は、データ管理者の指示に従い、以下の目的のみで個人情報を処理します。
- NUDGEO サービスの提供（計測・コンテンツ生成・自動配信・ダッシュボード）。
- 法的義務の履行。
- データ管理者が明示的に同意したその他の目的。
3. セキュリティ対策
データ処理者は以下の技術的・組織的セキュリティ対策を実施します。
- 暗号化：保管時 AES-256、転送時 TLS 1.3。
- アクセス制御：ロールベースアクセス制御（RBAC）および多要素認証（MFA）。
- 監査ログ：90 日間保管、異常アクセスアラート。
- ネットワーク分離：VPC・プライベートサブネット・SSRF 対策。
- 認証：SOC 2 Type II、AWS Foundational Technical Review 通過。
4. 委託先処理者一覧
データ処理者は以下の委託先処理者を利用します。新たな委託先を追加する場合は事前に通知します。
| 委託先処理者 | 目的 | 所在地 |
|---|---|---|
| Amazon Web Services | インフラのホスティング・決済処理・データベース | ap-northeast-2（ソウル） |
| OpenAI | 計測用クエリ送信（ブランド名のみ） | US |
| Anthropic | 計測用クエリ送信（ブランド名のみ） | US |
| Google（Gemini API） | 計測用クエリ送信（ブランド名のみ） | US |
| Perplexity | 計測用クエリ送信（ブランド名のみ） | US |
| Resend | システムメールの送信 | US / EU |
5. 国外への移転
データ処理者が保管する raw 個人情報は AWS ap-northeast-2（ソウル）にのみ 保管されます。計測目的において、AI プロバイダ（OpenAI・Anthropic・Google・Perplexity）に ブランド名などの非識別情報が送信される場合があります。本 DPA への同意をもって、データ管理者は 当該移転を承認したものとみなします。
6. データ主体の権利への対応支援
データ処理者は、データ管理者によるデータ主体の権利行使（開示・訂正・削除・処理停止）への 対応について、合理的な範囲で協力します。リクエストは 30 日以内に処理されます。
7. インシデント通知
個人情報侵害が発生した場合、データ処理者は事実を認識してから 72 時間以内に データ管理者へ通知します。通知には侵害の範囲・影響・対処内容・再発防止策が含まれます。
8. 監査権
Enterprise プランのお客様は、年 1 回を限度として、データ処理者のセキュリティ・処理手続きに 関する監査を要請できます。監査の日程と範囲は事前合意に基づきます。SOC 2 報告書などの 第三者認証をもって直接監査の代替とすることもできます。
9. 契約終了時のデータ処理
データ管理者がサービスの利用を終了した場合、データ処理者は 30 日以内にすべての raw プローブデータおよび個人情報を完全に削除します。データ管理者の要請に応じて、 削除証明書を発行します。
10. 責任および損害賠償
本 DPA または関連法令の違反によりデータ管理者に生じた損害に対するデータ処理者の責任は、 NUDGEO 利用規約の責任条項に従います。
本 DPA の書面コピーまたはセキュリティチェックリストのご請求は security@nudgeo.com までご連絡ください。