KIDGE データ処理付属書（DPA）

バージョン 1.0　発効日：2026年9月10日

本日本語版は参考訳です。内容に相違がある場合は、繁体字中国語版が優先します。

本データ処理付属書（以下「本付属書」）は、格界科技有限公司 KIDGE Ltd.（以下「当社」）と顧客との間の KIDGE 利用規約（以下「利用規約」）の一部を構成し、当社が顧客に代わって個人データを処理する事項を規律します。本付属書と利用規約が矛盾する場合、個人データの処理に関しては本付属書が優先します。本付属書で定義されていない用語は、利用規約の定義に従います。

1. 役割および範囲

1.1顧客コンテンツに含まれる個人データ（以下「顧客個人データ」）について、顧客は個人情報保護法にいう収集者（その他の適用法令における管理者）であり、当社は顧客から委託を受けた処理者です。

1.2顧客のアカウントデータ、請求データおよび利用記録については、当社が収集者であり、プライバシーポリシーに従い処理します。本付属書は適用されません。

1.3処理の対象、期間、性質、目的、データの類型および本人の類型は、付録 A に記載します。

2. 処理の指示

2.1当社は、顧客の書面による指示に基づいてのみ顧客個人データを処理します。利用規約、本付属書および本サービスにおける顧客の設定（外部参加者の招待、権限の設定、プロジェクトの作成または削除を含む）が、顧客の指示を構成します。

2.2当社は、顧客の指示が適用法令に違反すると判断した場合、当該指示の実行を保留し、顧客に通知することができます。

2.3顧客は、適用法令に基づき、顧客個人データの収集および処理ならびに当社への処理委託について適法な根拠を取得していることを保証します。これには、承認ユーザーおよび外部参加者の要員に対する告知を含みます。

3. 要員の秘密保持

当社は、顧客個人データの処理を承認された要員が秘密保持義務を負い、本サービスの提供、技術サポートまたはセキュリティ維持に必要な範囲でのみ顧客個人データにアクセスすることを確保します。

4. セキュリティ対策

4.1当社は、付録 B に記載する技術的および組織的措置を実施し、全体的な保護水準を低下させない範囲でこれを更新することができます。

4.2顧客は、本サービスにおいて顧客が管理するセキュリティ設定について責任を負います。これには、ログイン認証情報の管理、承認ユーザーおよび外部参加者の権限設定、ならびに要員のセキュリティ意識を含みます。

5. サブプロセッサー

5.1顧客は、当社が付録 C に記載するサブプロセッサーに顧客個人データの処理を委託することを包括的に承認します。

5.2当社は、サブプロセッサーを追加または変更する場合、付録 C を更新し、変更発効前に電子メールで顧客に通知します。

5.3当社は、書面契約または商用規約により、サブプロセッサーに対し本付属書と同等以上のデータ保護義務を課し、サブプロセッサーによる当該義務の履行について、自己の行為と同様に顧客に対し責任を負います。

5.4顧客が利用規約に基づき自ら接続する第三者サービス（自己の AI モデル提供者を含む）は、当社のサブプロセッサーではありません。

6. 顧客への支援

6.1本人が当社に対し直接個人情報保護法第3条の権利を行使した場合、当社は合理的な期間内に顧客に転達し、顧客の指示に従い対応を支援します。本サービスが提供するセルフサービス機能（例：アカウントデータの訂正）は、支援の一部とみなします。

6.2顧客がセキュリティ評価、法定報告または監督官庁の要求を履行するために当社からの情報提供を必要とする場合、当社は処理の性質および入手可能な情報の範囲を考慮して支援します。通常の範囲を超える支援については、当社は合理的な費用を請求することができます。

7. 個人データ事故の通知

7.1当社は、顧客個人データに影響を及ぼす個人データ事故（不正アクセス、開示、改ざんまたは喪失を含む）の発生を確認した後、個人情報保護法第12条に従い、適切な方法により速やかに顧客に通知し、正当な理由なく遅延しません。

7.2通知には、判明している事故の性質、影響を受けるデータの類型および本人の範囲、想定される結果、講じたまたは講じる予定の措置、ならびに当社の連絡窓口を含みます。情報が不完全な場合、当社は段階的に提供します。

7.3当社の通知は、事故に関する責任の承認を構成しません。本人または監督官庁への法定報告は、顧客がその適用法令に従い決定および実施し、当社は必要な支援を提供します。

8. データの返還および削除

8.1サブスクリプション終了後は、利用規約第12.4条に従います：顧客は30日間のエクスポート期間中に顧客コンテンツのエクスポートを申請することができ、エクスポート期間満了後30日以内に当社は本番システムから顧客コンテンツを削除し、バックアップ内の残存データはその後最長60日以内に上書きされます。

8.2法令が要求し、または契約履行の証明に必要な最小限の記録（確認記録のハッシュ値およびタイムスタンプ。内容を含まない）は、利用規約第12.5条に従い保持されます。

8.3顧客は、書面により当社に対し削除完了の確認を求めることができます。

9. 監査および情報提供

9.1当社は、顧客の書面による請求に応じ、本付属書の遵守状況を証明する情報を提供します。当社は、本付属書の付録 B、付録 C およびサブプロセッサーが公開するセキュリティ認証情報（例：そのトラストセンターページ）を提供することにより本項の義務を履行し、別途文書を作成する必要はありません。

9.2監査権は、当社と注文書を締結した顧客に限られ、その範囲、方法、頻度および費用負担は当該注文書およびそれが引用する利用規約の定めに従います。注文書を締結していない顧客については、第9.1条の情報提供に限られます。

9.3顧客が監査において取得した情報は、当社の秘密情報とします。

10. 国際移転

10.1顧客個人データは、付録 C に記載する地域に保存されます。顧客は、顧客個人データが当該地域で処理され得ることを了承し、同意します。

10.2当社は、国際移転が個人情報保護法第21条その他適用されるデータ保護法令に適合することを確保します。顧客の所在地の法令が特定の移転メカニズム（例：標準契約条項）を要求する場合、顧客は当社に申請することができ、当社は評価の上、注文書または補足契約により提供することができます。

11. 責任

本付属書に基づく両当事者の責任には、利用規約第14条の除外および制限が適用されます。本付属書は、いずれの当事者の責任総額も別途増加させるものではありません。

12. 期間および存続

本付属書は、顧客が利用規約に同意した時点で発効し、当社が第8条の削除または返還を完了した時点で終了します。第3条、第8条、第9.3条および第11条は、終了後も存続します。

付録 A：処理の詳細

付録 B：技術的および組織的措置

• 通信の暗号化：すべてのデータ通信に TLS 1.2 以上を使用。
• 保存時の暗号化：データベースおよびファイルストレージに AES-256 暗号化を使用。
• データ分離：データベースの行レベルセキュリティ（Row Level Security）により顧客間の論理的分離を実施。
• 認証：パスワードはハッシュ化して保存し、ログインセッションは暗号化。
• アクセス制御：当社要員による顧客個人データへのアクセスは最小必要の原則に従い、必要な要員に限定し、アクセス記録を保持。
• 記録の完全性：確認記録はハッシュ値によりロックし、確認時点のスナップショットを保存し、確認時刻および確認者を記録。
• バックアップ：定期的な暗号化バックアップ。保持期間はインフラ提供者の設定による。
• 監視：システムエラーおよび異常アクセスの監視と警告。
• 事故対応：第7条の通知手続による。
• ベンダー管理：主要なサブプロセッサーはいずれも SOC 2 または ISO 27001 等の第三者認証を保有。サブプロセッサーの追加に際しては同等の認証を有する提供者を優先。

付録 C：サブプロセッサー一覧

本一覧は、第5.2条に従い更新されることがあります。