データ処理契約
最終更新: 2026-07-18
これは、プライバシーポリシーおよび利用規約で参照される第28条の契約です。副署済みの写しは contact@agent4.io にてご請求いただけます。
このデータ処理契約（以下「DPA」）は、顧客（以下「管理者」）と、SUCHKA Spółka z ograniczoną odpowiedzialnością（所在地：ul. Stefana Batorego 18/108, 02-591 Warsaw, Poland、KRS 0001219139、NIP 7011295965）（以下「処理者」「agent4.io」）との間の利用規約の一部を構成し、処理者がGDPR第28条に基づき管理者に代わって個人データを処理する場合に適用されます。
このDPAが利用規約と矛盾する場合、データ保護に関する事項についてはこのDPAが優先します。
1. 役割
管理者は、プラットフォームに入力する個人データ — アップロードされた文書、そのエンドユーザーの会話、そこから導き出された記憶、およびエンドユーザー識別子 — の処理の目的および手段を決定します。処理者は、そのデータをサービス提供のためにのみ処理します。
処理者は、自身の顧客アカウントおよび請求データに関しては独立した管理者です。その処理は、このDPAではなくプライバシーポリシーによって規律されます。
2. 対象事項、期間、性質および目的
対象事項。 agent4.ioプラットフォームの提供：知識検索、ウェブおよびメッセージングチャネルをまたぐ会話処理、エンドユーザーごとの記憶、スケジュールされたフォローアップ、およびツールの呼び出し。
期間。 管理者のアカウントが有効である限り、および§9の削除期間を加えた期間。
性質および目的。 保存、インデックス化、埋め込み、検索、送信、暗号化、返信の生成、および削除 — いずれの場合も管理者のためにサービスを運用する目的で行われます。
データ主体のカテゴリー。 管理者のエンドユーザー、および管理者がアップロードするコンテンツに言及されるあらゆる個人。
個人データの種類。 管理者が割り当てる識別子、そのエージェントが収集するよう設定された連絡先情報、会話の内容、それらの会話から導き出された事実、およびアップロードされた文書に現れるあらゆる個人データ — その内容は管理者が決定します。
特別なカテゴリー。 このプラットフォームは第9条のデータを想定して設計されていません。管理者の利用がそれを伴う場合 — 法務、移民、または健康に隣接する業務ではあり得ます — 管理者は、その適法な根拠、および結果として必要となるDPIAについて責任を負い、そのような利用の前に私たちに伝えるべきです。
3. 指示に基づく処理
処理者は、このDPA、利用規約、および管理者によるプラットフォームの設定と利用（管理者が設定する第三国へのデータ移転を含む）から成る、管理者の文書化された指示に基づいてのみ個人データを処理します。
処理者は、その意見において、ある指示がGDPRまたはその他の連合もしくは加盟国のデータ保護法に違反すると判断した場合、管理者に通知し、その指示が確認または撤回されるまで当該指示を停止することができます。
法律により処理者が管理者の指示を超えて処理することを求められる場合、当該法律がそれを禁じない限り、処理者はそうする前に管理者に通知します。
**処理者は、管理者の個人データを他の顧客向けのモデルの訓練に使用せず、**また販売しません。
4. 秘密保持
処理者は、個人データを処理することを認められた者が秘密保持義務に拘束されることを確保し、アクセスをその職務の遂行に必要な人員に限定します。
5. セキュリティ
処理者は、技術水準、実装費用、ならびに処理の性質、範囲、状況および目的、さらにデータ主体に対するリスクを考慮して、別紙IIの技術的および組織的措置を実施します。
6. 副処理者
管理者は、別紙IIIに記載された副処理者について一般的な承認を与えます。
処理者は、副処理者を追加または交代させる前に、管理者に少なくとも30日前に通知します。管理者は、その期間内に合理的なデータ保護上の理由で異議を申し立てることができます。異議が解決できない場合、管理者は、罰則なく、未使用期間の前払い料金の日割り返金を受けて、影響を受けるサービスの部分を終了することができます。
処理者は、各副処理者に対して、これらと同等以上に保護的なデータ保護義務を課し、その副処理者の履行について引き続き管理者に対して全面的な責任を負います。
7. データ主体の請求
処理の性質を考慮し、処理者は、データ主体の権利行使の請求を履行するにあたり、適切な技術的および組織的措置により管理者を支援します。
プラットフォームは、管理者にエンドユーザーデータへのアクセス、エクスポート、訂正および削除を行う直接的な手段を提供します。請求が処理者に直接届いた場合、処理者は管理者に代わって対応せず、不当な遅滞なく管理者に転送します。
8. 侵害の通知および支援
処理者は、管理者のデータに影響を及ぼす個人データ侵害を認識した場合、不当な遅滞なく、いかなる場合も48時間以内に、その時点で入手可能な情報とともに管理者に通知し、調査の進行に応じて更新を提供します。
処理者は、処理の性質および入手可能な情報を考慮して、データ保護影響評価および事前協議を含む、GDPR第32条から第36条に基づく管理者の義務について管理者を支援します。
9. 削除および返却
管理者は、いつでもプラットフォームを通じて自身のデータを削除できます。終了時、処理者は、連合または加盟国の法律が保管を求める場合を除き、30日以内に管理者の個人データを削除し、請求に応じて削除を書面で確認します。
バックアップは通常のローテーションサイクルで消去されます。それまでの間、バックアップの写しはこのDPAの対象であり続けます。
エクスポート機能はアカウントが有効な間利用できます。アカウントを閉鎖する前に必要なものをエクスポートすることは管理者の責任です。
10. 監査
処理者は、第28条の遵守を証明するために必要な情報を提供し、管理者または管理者が委任した監査人が実施する監査（検査を含む）を許容し、これに協力します。
監査は、侵害または監督機関が別段を求める場合を除き、年に最大1回とし、少なくとも30日前の通知をもって、営業時間内に、秘密保持を条件として、サービスを妨げず他の顧客に影響を与えないように実施されます。管理者は自らの費用を負担します。
11. 国際移転
個人データは別紙Iに記載された地域で処理され、別紙IIIの副処理者に移転される場合があります。
十分性の決定がない第三国への移転が行われる場合、それは欧州委員会の標準契約条項（委員会実施決定（EU）2021/914）のモジュール2（管理者から処理者へ）または該当する場合はモジュール3（処理者から処理者へ）に基づいて行われ、これらは参照によりこのDPAに組み込まれ、矛盾する場合はこのDPAに優先します。英国の個人データについては、英国国際データ移転補遺が適用されます。依拠する補足措置は別紙IIのもの、特にスペースごとに鍵管理される顧客コンテンツのフィールドレベル暗号化です。
12. 責任
このDPAに基づく各当事者の責任は、適用されるデータ保護法によってそれらの制限が認められない場合を除き、利用規約の制限に従います。
別紙I — 処理の詳細
| 管理者 | アカウントで特定される顧客 |
| 処理者 | SUCHKA sp. z o.o.、Warsaw, Poland |
| 処理地域 | Amazon Web Services、us-west-2（Oregon, United States） |
| 頻度 | 継続的、契約期間中 |
| 保管 | 管理者が削除するまで、または終了後30日間 |
別紙II — 技術的および組織的措置
- 保存時の暗号化。 顧客コンテンツはスペースごとに鍵を限定してフィールドレベルで暗号化されるため、データベースへのアクセスだけでは読み取り可能な会話や文書は得られません。
- 機微な会話のためのオプションのエンドツーエンド暗号化。
- 転送時の暗号化。 すべての外部接続にTLS。
- テナントおよびスペースの分離が、アプリケーションコードだけでなく、行レベルセキュリティを通じてデータベースレベルで強制されます。
- アクセス制御。 管理アクセスは、それを必要とする人員に限定され、個別に認証され、ログに記録されます。APIキーはテナントごとに限定され、失効可能です。
- 推論におけるデータ最小化。 現在のメッセージ、そのために検索された文章、およびそのエンドユーザーのために検索された記憶のみがモデルに送られます — 管理者の知識ベース全体ではなく、他の管理者のデータでは決してありません。
- 分離。 各テナントのデータ、ツール設定および認証情報は分離されており、あるテナントのエージェントが別のテナントのリソースにアクセスすることはできません。
- バックアップは暗号化されローテーションされます。復元はテスト済みです。
- 管理操作およびセキュリティ関連イベントのログ記録。
別紙III — 副処理者
| 副処理者 | 目的 | 所在地 |
|---|---|---|
| Amazon Web Services EMEA SARL | コンピュート、データベース、オブジェクトストレージ、バックアップ | United States（us-west-2） |
| Stripe（決済処理が有効な場合） | サブスクリプション請求 | Ireland / United States |
| メール配信プロバイダー | トランザクションメール | 最新のリストを参照 |
| モデルプロバイダー | 言語および埋め込み推論 | 最新のリストを参照 |
管理者が自身のモデルプロバイダーまたは自身のMCP接続システムを設定する場合、それらは私たちのものではなく管理者の処理者であり、この別紙の対象外です。
最新のリスト、および変更の通知は、contact@agent4.io で入手できます。