データ処理契約

1. 当事者および適用範囲

本データ処理契約（以下「本DPA」）は、利用規約に同意した顧客（以下「顧客」、管理者）と、米国ワイオミング州で登記された有限責任会社であるIMFA Labs LLC（以下「IMFA」、処理者）との間で締結されるものです。本DPAは利用規約の一部であり、IMFAがIMFA Agentsを提供する際に顧客のために処理する個人データ（以下「顧客個人データ」）に適用されます。本DPAは、EU一般データ保護規則（GDPR）第28条、英国GDPR、および適用される場合にはこれらに類する法令を反映しています。

本DPAと利用規約が矛盾する場合、顧客個人データについては本DPAが優先します。標準契約条項が適用され、かつ本DPAと矛盾する場合は、標準契約条項が優先します。

2. 処理の対象および期間

IMFAは、顧客が設定するサービスを提供するために顧客個人データを処理します。具体的には、エージェントのホスティング、Webサイトのウィジェット、音声および接続済みチャネルでの会話への応答、ナレッジおよびファイルの保存、リードおよび注文の取得、顧客が選択したサービスとの接続、ならびにサービスのセキュリティの確保です。処理は、顧客が本サービスを利用している間、および第11条に基づく削除まで継続します。詳細は別紙1に記載します。

3. 顧客の義務

顧客は、以下を行います。

• どの個人データを本サービスに取り込むか、およびその理由を決定し、そのための法的根拠を有すること
• 顧客の訪問者および顧客に対し、法令が求める通知（求められる場合には、AIと会話している旨を含みます）を行い、必要な同意を取得すること
• 法令がこれを認め、かつ顧客が必要なすべての保護措置を講じている場合を除き、特別な種類のデータまたは子どものデータを追加しないこと
• エージェント、チャネル、チームのアクセスおよび連携を適切に設定すること
• 第8条に基づくIMFAの支援を受けて、顧客のデータ主体からの請求に対応すること

4. IMFAの義務

IMFAは、以下を行います。

• 法令に別段の定めがある場合を除き、顧客の文書化された指示（利用規約、本DPAおよび本サービスにおける顧客の設定）に基づいてのみ顧客個人データを処理すること（法令に別段の定めがある場合、法令が禁止しない限り、IMFAは事前に顧客にその旨を伝えます）
• 指示がデータ保護法に違反すると考える場合は、顧客にその旨を伝えること
• プライバシーポリシーに記載するとおり、サービスの保護、不正利用の防止および法令遵守に必要な場合を除き、顧客個人データを販売せず、IMFA自身の目的で使用しないこと
• 顧客個人データをAIモデルの学習に使用しないこと

5. 守秘義務

IMFAは、顧客個人データの処理を許可された者が守秘義務を負い、本サービスの提供、サポートおよび保護に必要な範囲でのみ顧客個人データにアクセスすることを確保します。

6. セキュリティ

IMFAは、最新の技術水準、費用およびリスクを考慮して、別紙2に定める技術的および組織的措置を講じます。IMFAは、全体的な保護水準が低下しない限り、これらの措置を更新することができます。

7. 再処理者

顧客は、IMFAが再処理者を利用することについて一般的な承認を与えます。最新の一覧は再処理者に掲載しています。IMFAは、以下を行います。

• 各再処理者に対し、提供するサービスに応じて、少なくとも本DPAと同等の保護水準を有するデータ保護義務を書面による契約で課すこと
• 再処理者を追加または変更する前に一覧を更新すること。顧客は、privacy@imfa.io宛てに、変更をメールで通知するよう求めることができます
• 更新から30日以内に、データ保護に関する合理的な理由に基づき顧客が異議を述べることを認めること。当事者が異議を解決できない場合、顧客は影響を受ける機能の利用を停止し、または本サービスを終了することができ、当該サブスクリプションの未使用期間について前払い料金の日割りの返金を受けることができます
• 法令の定めに従い、再処理者の履行について引き続き責任を負うこと

顧客が接続するプラットフォーム（Meta、Telegram、Discord、Google、およびStripeを通じた決済手段）は、自らの処理について独立した管理者として行動し、IMFAの再処理者ではありません。

8. データ主体からの請求への支援

IMFAは、処理の性質を考慮し、主に本サービス内のツール（会話、リード、ファイルおよびエージェントの閲覧および削除）を通じて、個人データへのアクセス、訂正、削除、制限またはポータビリティに関する請求に顧客が対応できるよう支援します。ツールで十分でない場合、顧客はprivacy@imfa.ioに依頼することができます。IMFAが顧客のデータ主体から直接請求を受けた場合、特定できる限りその者を顧客に案内し、顧客から依頼がない限り自ら回答しません。

9. 個人データ侵害

IMFAは、顧客個人データに影響する個人データ侵害を認識した後、不当な遅滞なく顧客に通知し、顧客が自らの義務を果たすために必要な情報を、入手可能になり次第提供します。IMFAは、侵害を封じ込めるために合理的な措置を講じます。通知は過失を認めるものではありません。

10. 影響評価および当局

IMFAは、自らが入手可能な情報（主に本DPA、AIに関する開示および再処理者一覧）を用いて、本サービスに関するデータ保護影響評価および監督当局との事前協議について、顧客に合理的な支援を提供します。

11. 返還および削除

顧客は、いつでも本サービス内で会話、ファイル、ナレッジ、エージェントおよびアカウント全体を削除することができます。アカウントが削除される場合、法令によりIMFAに保持が求められる場合を除き、IMFAはプライバシーポリシーに記載するとおり（顧客が削除を取り消すことができる3日間の期間の経過後に）顧客個人データを削除します。事業者のバックアップに含まれるコピーは、その通常のスケジュールに従って削除されます。顧客は、削除の前に、privacy@imfa.io宛てにデータのコピーを請求することができます。

12. 監査

IMFAは、本DPAの遵守を示すために合理的に必要な情報（本書、その別紙、およびIMFAの事業者の認証の概要を含みます）を提供します。それで十分でない場合、顧客は、年1回を上限として、30日前の通知により、顧客の費用負担で、守秘義務を負う独立した監査人による監査を、本サービスを妨げず他の顧客のデータを開示しない方法で求めることができます。再処理者の監査は、それぞれの報告書および認証によってカバーされます。

13. 国際的なデータ移転

IMFAは米国に所在し、その再処理者は別紙3に記載する国でデータを処理します。顧客個人データが欧州経済領域、英国またはスイスから十分性認定のない国に移転される場合、EU標準契約条項（場合に応じて、モジュール2の管理者から処理者への移転、またはモジュール3の処理者から処理者への移転）が、適用される場合には英国補遺およびスイスに関する調整とともに、IMFAをデータ輸入者として、参照により本DPAに組み込まれます。IMFAは、その再処理者に同等の保護措置を求めます。

14. 責任および期間

本DPAに基づく各当事者の責任は、法令がこれを認めない場合を除き、利用規約に定める制限に従います。本DPAは、IMFAが顧客個人データを処理する限り存続します。

別紙1：処理の詳細

別紙2：技術的および組織的措置

• アクセス制御： すべてのダッシュボードおよびAPIのリクエストに対する認証、すべての関数におけるサーバー側の権限チェック、共有エージェントのロール（所有者、編集者、閲覧者）、IMFAの管理者に限定された管理ツール。
• 認証情報： APIキーおよびアクセストークンはハッシュとして保存、チャネルの認証情報およびGoogleのトークンは暗号化して保存、シークレットはビルダーのチャットで再表示されません。
• 通信： ブラウザ、当社のサービスおよび当社の事業者の間の暗号化された接続（HTTPS）。
• 分離： すべてのクエリにおいて、各顧客のデータはその顧客自身のアカウントおよびエージェントの範囲に限定されます。
• 不正利用の防止： 訪問者、会話、エージェントおよびアカウントごとのレート制限、ウィジェットにおけるボットチェック、自動化されたコンテンツおよび安全性のチェック、訪問者への警告およびブロック。
• AIにおけるデータ保護： Convex AI Gatewayでのゼロデータ保持の要求、リードの評価および要約の前の連絡先情報の削除、返信からの指示の除外。
• データの最小化および保持： プライバシーポリシーに定めるスケジュールに従った、非アクティブな会話、ログおよび記録の自動削除、会話のテキストを含まない判断結果の保存。
• 活動記録： 機微な変更およびエージェントの活動に関する監査ログおよび活動ログ。
• 事業者： 独自のセキュリティ認証を有する事業者のインフラ（再処理者一覧をご覧ください）。

別紙3：国際移転の仕組み