データ処理契約

適用範囲と役割

API、ファイル処理ツールまたは連携したスプレッドシート機能を通じて送信される顧客個人データについて、お客様は管理者であり、Onur Öztürk（個人事業主、屋号：Ozan Soft、以下「GenderAPI」）は処理者です。各当事者は、GenderAPIによるアカウント、請求および取引先連絡先の管理を含め、自らが管理者として処理する個人データについて、それぞれ独立して責任を負います。

送信するデータが個人データに該当するかどうかはお客様が判断し、その法的根拠、通知、許可および指示について責任を負います。お客様は、本サービスが処理を想定していないデータを送信してはならず、また推定結果を、個人に法的効果またはそれと同様の重大な影響を及ぼす決定の唯一の根拠として使用してはなりません。

処理に関する指示

GenderAPIは、契約、本DPA、文書化されたお客様による本サービスの利用方法および適用法に従い、本サービスの提供、保護およびサポートのためにのみ顧客個人データを処理します。GenderAPIは、指示が適用されるデータ保護法に違反すると合理的に判断した場合、法律によりその通知が禁止されている場合を除き、お客様にその旨を通知します。

GenderAPIは、顧客個人データを販売せず、クロスコンテキスト行動広告に使用せず、非公開の推定モデルの学習に使用せず、AIログに保持しません。プライバシーポリシーに定める保存期間のルールは、この文書化された処理指示の一部を構成します。

秘密保持とセキュリティ

GenderAPIは、顧客個人データの処理を許可された者が適切な守秘義務を負い、担当業務に必要な範囲でのみデータにアクセスできるようにします。GenderAPIは、本サービスの性質と処理のリスクに応じた技術的および組織的措置を維持します。

• 本サービスとの間でやり取りされるデータのTLSによる保護された送信。
• 本番システム、顧客データおよびアクセス制限付きバックアップへのアクセス制限。
• アカウントの認証情報と本番環境のAPIキーの分離と保護。
• 公表された保存期間に従ったセキュリティイベントおよび技術ログの記録。
• 標準で最長15日間の上書き周期を持つローリングバックアップ。
• 顧客データによる学習やAIのプロンプト・結果のログ記録を行わない非公開AI処理。
• 本サービスの保存期間に沿ったデータ最小化と削除の手順。

再処理者

お客様は、再処理者のページでDPA上の再処理者として示されている事業者をGenderAPIが使用することについて、一般的な書面による承認を与えます。GenderAPIは、各再処理者に対し、その再処理者が行うサービスに応じて、本DPAと実質的に同等の義務に基づき顧客個人データを保護するよう求めます。GenderAPIは、本DPAに基づく自らの義務について引き続き責任を負います。請求やアカウント関連の連絡など、GenderAPIが管理者として行う活動にのみ使用される事業者は別途示されており、事業者一覧に掲載されていることのみを理由としてお客様の処理者として扱われることはありません。

GenderAPIは、顧客個人データを処理する再処理者を追加または変更する前に、再処理者のページ、本サービスまたはお客様のアカウントのメールアドレスを通じて、少なくとも30日前までに通知します。お客様はその期間中に、データ保護上の合理的な理由を文書で示して異議を申し立てることができます。両当事者は、商業的に合理的な解決策について誠実に協議します。解決策がない場合、お客様は影響を受ける機能の利用を停止できます。

支援と個人データのインシデント

GenderAPIは、処理の性質と入手可能な情報を考慮し、適用されるデータ保護法が求めるデータ主体からの請求、セキュリティ上の義務、個人データ侵害の通知、データ保護影響評価および事前協議について、合理的な支援を提供します。データ主体が顧客個人データについてGenderAPIに連絡した場合、適用法が直接の回答を求める場合を除き、GenderAPIはその請求をお客様に回付することがあります。

GenderAPIは、顧客個人データに影響する個人データ侵害を確認した場合、不当に遅滞することなく、かつ合理的に可能な場合はその認識後48時間以内に、お客様に通知します。通知には、お客様による評価と通知義務の履行に合理的に必要な、入手可能な情報を記載します。通知は、過失または責任を認めるものではありません。

返却と削除

サービス期間中、お客様はサポートされている本サービスの機能を通じて、利用可能な結果を取得できます。アカウントの閉鎖、該当する処理の終了または有効な削除請求があった場合、GenderAPIは、適用法により保存が求められる場合を除き、稼働中のシステムに残る顧客個人データを30日以内に削除し、または不可逆的に匿名化します。稼働中のシステムから削除されたデータは、自動的に上書きされるまで、アクセス制限付きのローリングバックアップにさらに最長15日間残る場合があります。

請求、取引、不正防止または紛争に関する記録を法的に保存することは、お客様のクエリ内容やアップロードされたファイルの内容を引き続き使用することを認めるものではありません。プライバシーポリシーに定めるデータの種類ごとの保存期間は、それがより短い期間を定めている場合には引き続き適用されます。

情報提供と監査

GenderAPIは、本DPAの遵守を証明するために合理的に必要な情報を、まずは最新のポリシー、ドキュメントおよび合理的な範囲のセキュリティ質問票を通じて、お客様に提供します。その情報では法的義務を果たすのに不十分な場合、お客様は、侵害が確認された場合または監督機関から拘束力のある要請があった場合を除き、1年に1回を上限として、相応の範囲の監査を求めることができます。

監査は、合理的な事前通知のうえ、通常の営業時間内に、他の顧客のデータを開示したりセキュリティを損なったりすることなく実施しなければなりません。監査によりGenderAPIの重大な違反が判明した場合を除き、監査費用はお客様が負担します。両当事者は、事前に適切な秘密保持と範囲の条件について合意します。

国際移転

顧客個人データは、トルコにおいて、また契約しているインフラを通じて米国において処理される場合があります。GenderAPIは、該当する場合、法的に認められた移転の仕組みを使用します。欧州委員会実施決定（EU）2021/914により採択されたEU標準契約条項が必要となる場合、該当する管理者から処理者へのモジュールが本DPAに組み込まれ、その移転については矛盾する条件に優先します。両当事者は、本DPAの締結時に、個別の移転について法的に必要な選択事項や附属書の詳細を記入します。

処理の詳細

対象事項と期間

お客様が本サービスを利用する期間中にGenderAPIを提供するため、および本DPAとプライバシーポリシーに定める限られた削除、バックアップ、セキュリティおよび法定保存の期間において必要となる処理。

性質と目的

APIクエリ、アップロードされたExcelまたはCSVファイル、連携したスプレッドシートの操作について、データを受信、送信、分析して結果を返すこと。あわせて、関連するホスティング、セキュリティ、トラブルシューティングおよびサポート。

データ主体の種類

お客様が送信する氏名、メールアドレス、ユーザー名または関連する記録の対象となる個人、お客様のユーザー、従業員、連絡先またはエンドユーザー、およびアップロードまたは連携されたスプレッドシートのデータに含まれる人物。

個人データの種類

氏名、メールアドレス、ユーザー名、国またはローカライズの文脈、お客様が提供するスプレッドシートの項目、推定された性別の結果と信頼度の情報、および本サービスの運用に必要な限られたリクエスト、デバイス、認証、セキュリティのメタデータ。お客様は、書面で明示的に合意し、かつ法的に認められている場合を除き、特別な種類の個人データを送信してはなりません。