英語版は、本データ処理補遺の法的拘束力を有する正文です。翻訳版は情報提供のみを目的として提供されます。抵触、相違または不一致が生じた場合には、いかなる場合においても、厳格に英語版が優先されます。

データ処理補遺

本データ処理補遺（以下「DPA」という。）は、ニューメキシコ州有限責任会社であり、CeroVueltasとして事業を営むSUITE IMPERIAL LLC（以下「CeroVueltas」という。）と、本契約に同意する事業体（以下「顧客」という。）との間で締結されるCeroVueltasサービス利用規約（以下「本契約」という。）の一部を構成し、参照により組み込まれます。本DPAは、CeroVueltasがサービスに関連して顧客を代理して個人データを処理する範囲において適用されます。本契約に同意し、またはサービスを利用することにより、顧客は本DPAに同意したものとみなされます。

1. 定義

• 「適用データ保護法」とは、本DPAに基づき処理される個人データに適用されるすべてのプライバシーおよびデータ保護に関する法令を意味し、適用される範囲において以下を含みます：カリフォルニア州消費者プライバシー法（CPRAによる改正後のもの、以下「CCPA」という。）；コロラド州、コネチカット州、テキサス州、ユタ州およびバージニア州を含む米国各州の包括的プライバシー法（以下「米国州プライバシー法」という。）；ならびに、顧客の利用に適用される場合に限り、EU一般データ保護規則2016/679（以下「GDPR」という。）、英国GDPR、スイスFADP、ブラジルLGPD、アルゼンチン法律第25,326号、およびメキシコLFPDPPP。
• 「個人データ」とは、CeroVueltasが顧客を代理して処理する顧客データに含まれる、識別された、または識別可能な自然人に関するあらゆる情報を意味します。「管理者」、「処理者」、「事業者」、「サービス提供者」、「データ主体」、「消費者」、「販売」、「共有」および「処理」の各用語は、適用データ保護法において付与された意味を有します。
• 「セキュリティインシデント」とは、CeroVueltasが処理する個人データの偶発的もしくは不法な破壊、滅失、改ざん、不正な開示または不正アクセスをもたらすセキュリティ侵害が確認された事象を意味します。
• 「副処理者」とは、ホスティングプロバイダーおよびサードパーティの人工知能APIプロバイダーを含む、顧客を代理して個人データを処理するためにCeroVueltasが委託する第三者を意味します。
• 「SCC」とは、欧州委員会決定（EU）2021/914により承認された標準契約条項を意味します。

本書において定義されていない大文字の用語は、本契約において付与された意味を有します。

2. 役割および適用範囲

2.1 役割。顧客は個人データの管理者（または事業者）であり、または第三者管理者を代理する処理者として行為します。CeroVueltasは、顧客の文書化された指示に基づき行為する処理者（またはサービス提供者）です。

2.2 顧客の指示。CeroVueltasは、以下の場合にのみ個人データを処理するものとします：(a) 本契約に記載されたサービスの提供、セキュリティ確保、維持管理およびトラブルシューティングのため；(b) 本DPAおよび附属書Iに文書化された範囲内；ならびに(c) 顧客のその他の文書化された適法な指示に従う場合。本契約、顧客によるサービスの設定（ナレッジベースおよびルーティングルールを含む。）、ならびにダッシュボードの利用が顧客の指示を構成します。CeroVueltasは、ある指示が適用データ保護法に違反すると判断した場合、顧客にその旨を通知します。

2.3 顧客の責任。顧客は、以下について単独で責任を負います：(a) 個人データの正確性、品質および適法性、ならびにその取得手段；(b) エンドユーザーに対する法的に要求されるすべての通知の提供、および法的に要求されるすべての同意の取得（ウェブサイトウィジェット、セッションキャプチャ、ならびに自動化されたAI駆動型コミュニケーションを含む。）；ならびに(c) 顧客の指示が適用データ保護法に準拠することの確保。

3. CCPAおよび米国州プライバシー法条項

CeroVueltasがCCPAまたは米国州プライバシー法の適用を受ける個人データを処理する範囲において、CeroVueltasは以下を行います：

(a) サービス提供者/処理者として行為し、本契約および附属書Iに記載された業務目的のためにのみ個人データを処理します；

(b) 個人データを販売または共有しないものとします；

(c) 適用データ保護法により許可される場合を除き、顧客との直接的な業務関係の外部において、または指定された業務目的以外のいかなる目的のためにも、個人データを保持、使用または開示しないものとします；

(d) 適用データ保護法により許可される場合（例：セキュリティおよび不正防止）を除き、他のソースから受領した個人情報と個人データを結合しないものとします；

(e) 本第3条の制限を理解し、これを遵守することを証明します；

(f) 適用データ保護法に基づく義務をもはや履行できないと判断した場合、顧客に通知するものとし、その場合、顧客は不正な処理を停止および是正するための合理的かつ適切な措置を講じることができます；ならびに

(g) 第9条の監査メカニズムを通じて、CeroVueltasが顧客の義務に整合した形で個人データを使用していることを確認するための合理的な措置を講じる権利を顧客に付与します。

4. 機密保持

CeroVueltasは、個人データの処理を許可された担当者が書面による機密保持義務または適切な法定の機密保持義務に拘束されることを確保し、かつ業務上の必要性に基づいてのみ個人データにアクセスすることを確保するものとします。

5. 副処理者

5.1 一般的な承認。顧客は、動的ルーティングに使用されるホスティングインフラプロバイダーおよびサードパーティの人工知能APIプロバイダーを含む副処理者を委託することについて、CeroVueltasに対して一般的な書面による承認を付与します。現在の主要な副処理者の一覧は、副処理者リストにおいて管理されています。

5.2 更新および異議申立。CeroVueltasは、主要な副処理者を追加または変更する前に副処理者リストを更新し、更新通知を購読するためのメカニズムを提供します。顧客は、更新から10（十）日以内に、privacidad@cerovueltas.com宛の書面による通知をもって、合理的かつ文書化されたデータ保護上の根拠に基づき異議を申し立てることができます。当事者が30（三十）日以内に誠実な交渉により異議を解決できない場合、顧客の唯一かつ排他的な救済手段は、当該サービスの解約とします。本条に基づく解約に際し、顧客は、既に消費した容量、利用済みの使用枠、または期限切れのサービス残高に対するいかなる返金、クレジットまたは補償も受ける権利を有しません。

5.3 義務の流下。CeroVueltasは、本DPAと実質的に同等以上の保護水準を有するデータ保護義務を副処理者に課すものとし、本契約の制限に従い、CeroVueltasが自らサービスを提供する場合と同程度の範囲において、副処理者の履行について責任を負い続けます。

5.4 AIトレーニングの禁止。本契約第10.2条と整合して、CeroVueltasは、個人データ、顧客データ、ナレッジベースのコンテンツ、またはエンドユーザーのメッセージを、AIまたは機械学習モデルのトレーニングに使用しません。また、CeroVueltasは、APIデータを汎用基盤モデルのトレーニングに使用することを公表されたポリシーにより禁止しているサードパーティAI副処理者を選定します。顧客は、これらの副処理者が、それぞれのポリシーに従い、セキュリティ、不正使用監視、ならびにトラストおよびセーフティの目的のためにのみ、APIログを一時的に保持する場合があることを了承します。

6. セキュリティ

6.1 措置。CeroVueltasは、附属書IIに記載されたとおり、セキュリティインシデントから個人データを保護するために設計された商業的に合理的な技術的および組織的措置を実施し、維持するものとします。CeroVueltasは、当該更新が全体的な保護水準を実質的に低下させない限り、これらの措置を更新することができます。

6.2 セキュリティインシデントの通知。CeroVueltasは、顧客の個人データに影響を与えるセキュリティインシデントを確認した後、不当な遅延なく、かついかなる場合においても72（七十二）時間以内に顧客に通知するものとします。通知には、判明している範囲において、インシデントの性質、影響を受けたデータのカテゴリおよびおおよその量、生じうる結果、ならびに講じられた措置または提案された措置が含まれます。CeroVueltasによる通知は、過失または責任の承認を構成するものではありません。規制当局、データ主体または消費者に対する法的に要求されるすべての通知については、顧客が単独で責任を負います。

7. 支援

処理の性質を考慮した上で、CeroVueltasは以下の事項について顧客に合理的な支援を提供するものとします：(a) データ主体/消費者からの請求（アクセス、削除、訂正、ポータビリティ、オプトアウト）への対応——当該請求がCeroVueltasに直接寄せられた場合、CeroVueltasは請求者を顧客に転送します；(b) GDPRにより要求される場合における、データ保護影響評価および監督機関への事前協議；ならびに(c) セキュリティおよび侵害通知に関する顧客の義務の遵守。

管理手数料：本条に基づきCeroVueltasが提供する手動、技術的または個別対応の管理支援であって、単純な自動化プラットフォーム機能または基本的な転送を超えるもの（会話履歴の手動抽出または技術文書の作成を含むがこれらに限定されない。）については、1時間あたりUSD 150の管理サービス手数料が厳格に適用され、最低1（一）時間単位で請求されます。当該手数料は、支援の実施前に顧客が全額を前払いするものとします。

8. データの返還および削除

本契約の終了または期間満了に際し、CeroVueltasは30（三十）日以内に、適用法により保持が要求される場合または税務/財務監査のために保持が必要な場合（当該記録については7（七）年を超えないものとする。）を除き、稼働中の本番システムからすべての個人データを削除または匿名化するものとします。自動バックアップ内の個人データは、90（九十）日以内に削除または上書きされます。契約期間中、顧客はダッシュボードまたは利用可能なAPIを通じて顧客データをエクスポートすることができます。

9. 監査

9.1 監査報告書。書面による要請に基づき、12（十二）ヶ月に1（一）回を超えない頻度で、CeroVueltasは当該要請の受領から45（四十五）日以内に、本DPAへの準拠を証明するために合理的に必要な文書を提供するものとします。当該文書は、CeroVueltasがその時点において顧客に対して一般的に提供している標準的なセキュリティサマリー、FAQ、または一般的なポリシー概要に厳格に限定されます。

9.2 規制上および強制的な監査。適用データ保護法が、第9.1条に基づき提供される文書によっては合理的に充足できない、放棄不能な法的権利として顧客に監査の実施を認める場合、顧客は以下の累積的条件に厳格に従うことを条件として、当該監査を開始することができます：

(a) 顧客は、詳細な監査計画とともに、少なくとも60（六十）暦日前の書面による通知をCeroVueltasに提供しなければなりません；

(b) 監査は、CeroVueltasが書面で承認し、かつ厳格な秘密保持契約に拘束された、独立した認定第三者監査人（厳格に、公認された「ビッグフォー」会計・監査法人に限定される。）によってのみ実施されなければなりません；顧客の内部従業員、担当者、または直接もしくは間接の競合他社が監査人として行為することは絶対的に禁止されます；

(c) 監査の範囲は、CeroVueltasの担当者によるリモート画面共有を通じて提供されるカスタマイズされたコンプライアンス証拠、編集済みシステムログ、およびセキュリティアーキテクチャのウォークスルーのリモートデスクトップレビューに厳格に限定されます；

(d) アクセスの明示的禁止：いかなる状況においても、監査人または顧客は、CeroVueltasが所有または利用するシステム、インフラ、ネットワーク、ソフトウェア、データベース、環境、担当者、その他あらゆる種類の物理的もしくはデジタル上の資産、リソースまたは独自情報に対して、物理的または論理的なアクセスを一切付与されません。監査は、CeroVueltasが明示的に提供または表示した証拠のリモートによる視覚的レビューに厳格に限定されます；

(e) 顧客は、外部監査人に発生するすべての費用、手数料および経費の100（百）パーセントを負担するものとします；ならびに

(f) 顧客は、監査レビューが実施される日（またはその一部）ごとに、1日あたりUSD 1,500の強制的な管理・業務中断手数料をCeroVueltasに支払うものとし、当該手数料は全額を事前に支払わなければなりません。CeroVueltasは、レビューがシステムの不安定化を引き起こし、知的財産の漏洩リスクをもたらし、または運用上のセキュリティ境界に違反する場合、監査を直ちに停止または終了する権利を留保します。

10. 国際的なデータ移転

10.1 処理場所。サービスは米国においてホスティングおよび運営されています。顧客は、個人データが米国および副処理者リストに記載された副処理者の所在地において処理されることを了承し、これを指示します。

10.2 EEA/英国/スイスからの移転。顧客がGDPR、英国GDPRまたはスイスFADPの適用を受ける個人データをCeroVueltasに移転する範囲においてのみ、SCCは以下のとおり参照により組み込まれます：

10.3 顧客の責任。管理者としての顧客は、自己の具体的な利用態様およびデータ主体に関する国際的なデータ移転の適法性を判断する責任を引き続き負います。CeroVueltasは、いかなる副処理者の所在地が「十分性」を認められているとの表明も行いません。

11. 責任および優先順位

11.1 本DPA（SCCを含む。）に起因または関連する各当事者の責任は、責任上限、補償手続、集団訴訟放棄、および仲裁条項を含む、本契約（サービス利用規約）に定める免責事項および包括的な責任制限に厳格に従います。本DPAは、本契約のいかなる責任制限または紛争解決条項も変更、優先、拡大または縮小するものではありません。

11.2 抵触が生じた場合：(a) SCCは、その規律する移転に関してのみ、本DPAに優先します；(b) 本DPAは、個人データの処理の技術的な仕組みに関してのみ、本契約に優先します；ならびに(c) 本契約（サービス利用規約）は、責任、損害賠償、紛争解決および準拠法に関するすべての事項を含むがこれらに限定されない、その他すべての事項において厳格に優先します。

12. 期間、更新および準拠法

本DPAは、CeroVueltasが顧客を代理して個人データを処理する期間中、有効に存続します。CeroVueltasは、本契約第21.6条に従い、適用データ保護法またはサービスの変更を反映するために合理的に必要な範囲で本DPAを更新することができます。SCCが別途要求する場合を除き、本DPAは本契約第19条に定める法律に準拠します。

附属書I — 処理の説明

附属書II — 技術的および組織的措置

• 暗号化および仮名化：転送中はTLS 1.2以上；データベースおよび重要な通信の保存時はAES-256-GCM。データベースクエリにおけるPII識別子には暗号学的仮名化を使用。
• アクセス制御：プロバイダーレベルのMFAをサポートするIDプロバイダー（例：Google/Facebook/Email）を介したSSO統合；ロールベースのアクセス制御；論理的なテナント分離（顧客IDによる厳格なデータベースレベルのスコーピング）。
• セッションセキュリティ：セキュアなプレフィックス付きCookie、厳格なSameSiteポリシー、CSRFトークン化、および厳格なアイドルセッションタイムアウトを活用したゼロトラストセッション管理。
• DDoSおよび不正使用防止：不正使用およびリソース枯渇を軽減するための、アトミックトラッキングによる自動レート制限および厳格なペイロードサイズ制限。
• AIセキュリティ：敵対的入力およびRAGポイズニングを軽減するための、自動プロンプトインジェクション検出メカニズムおよび動的サニタイゼーションプロトコル。
• PII自動削除：データベース取り込み前のシステム監査ログにおける個人識別情報（メールアドレス、電話番号、パスワード）の自動マスキング。
• インフラおよびシークレット管理：公認された認証（例：SOC 2、ISO 27001）を維持する信頼性の高いクラウドプロバイダーでのホスティング。認証情報の漏洩を防止するための集中型クラウドバックアップ式シークレット管理。厳格なコンテンツセキュリティポリシー（CSP）の適用。
• 脆弱性管理：定期的なパッチ適用、依存関係のレビュー、およびセキュアなベースラインデプロイメントワークフロー（ゼロダウンタイムパイプライン）。
• 事業継続性：自動バックアップ；動的APIのためのインシデント対応および代替ルーティング手順の文書化。
• データライフサイクル：第8条に従った自動化されたGDPR/SOC2削除プロトコル（例：72営業時間以内のパージウィンドウ）およびバックアップ上書きプロセス。

附属書III — 副処理者

主要な副処理者（ホスティングおよびAIプロバイダー）の現在の一覧は、参照により組み込まれる副処理者リストにおいて管理されています。

連絡先： privacidad@cerovueltas.com | legal@cerovueltas.com

SUITE IMPERIAL LLC、米国ニューメキシコ州