データ処理契約

（Data Processing Agreement）

本データ処理契約（以下「本DPA」という。）は、ゼネフィ合同会社（以下「処理者」という。）が提供するAI Agent Webサービス「Zemu Agents Guild」（以下「本サービス」という。）に関して、本サービスを利用する者（以下「管理者」という。）と処理者との間で締結される。

本DPAは、本サービスの利用規約（以下「主契約」という。）の一部を構成するものとする。

第1条（定義）

本DPAにおいて、次の各号に掲げる用語の意義は、当該各号に定めるところによる。

(1) 「個人データ」とは、管理者が本サービスの利用に際して処理者に提供する情報のうち、個人情報の保護に関する法律（以下「個人情報保護法」という。）に定める個人情報に該当するもの及びGDPRその他の適用ある個人データ保護法令に定める個人データに該当するものをいう。

(2) 「処理」とは、個人データに対して行われる操作（収集、記録、組織化、構造化、保存、改変、検索、参照、使用、送信、結合、制限、消去及び破壊を含むが、これらに限られない。）をいう。

(3) 「サブプロセッサー」とは、処理者が本サービスの提供に関連して個人データの処理の全部又は一部を委託する第三者をいう。

(4) 「セキュリティインシデント」とは、個人データの偶発的若しくは不法な破壊、紛失、改変、無権限の開示又はアクセスをいう。

第2条（処理の範囲及び目的）

1 処理者は、管理者の個人データを、本サービスの提供に必要な範囲においてのみ処理するものとする。

2 処理の対象となる個人データの種類、データ主体の範囲及び処理の目的は、別紙Aに記載のとおりとする。

3 処理者は、管理者の書面による指示に基づいてのみ個人データを処理するものとする。ただし、適用法令により処理が義務づけられる場合は、当該法令の定めに従うものとし、処理者は、法令上許容される範囲において、当該法令上の要求について管理者に事前に通知するものとする。

第3条（処理者の義務）

処理者は、次の各号に掲げる義務を負うものとする。

(1) 管理者の書面による指示に従ってのみ個人データを処理すること

(2) 個人データの処理に関与する従業員に対し、機密保持義務を課すこと

(3) 第7条に定める技術的及び組織的セキュリティ措置を実施すること

(4) 第5条に定めるサブプロセッサーの利用に関する条件を遵守すること

(5) 管理者がデータ主体の権利行使に対応するために合理的な協力を行うこと

(6) 処理の性質及び利用可能な情報を考慮し、管理者のセキュリティ義務、影響評価及び事前相談に対する協力を行うこと

(7) 本サービスの提供終了後、管理者の指示に従い、個人データを返還し又は削除すること

(8) 管理者からの監査の要請に応じ、必要な情報を提供すること

第4条（AI固有のデータ処理に関する規定）

1 （AIモデルの学習への不使用） 処理者は、管理者の個人データを、AIモデルの学習、訓練、ファインチューニングその他のモデル改善の目的に使用しないものとする。

2 （外部AIサービスへのデータ送信） 処理者は、本サービスの機能提供のために外部AIサービス（大規模言語モデルの提供者を含む。）にデータを送信する場合がある。この場合、処理者は次の各号に掲げる事項を保証するものとする。

ア 送信は本サービスの機能提供に必要な最小限の範囲に限定されること

イ 外部AIサービス提供者との間で、送信されたデータがモデルの学習に使用されない旨の契約上の措置が講じられていること

ウ 外部AIサービス提供者が適切なセキュリティ措置を講じていること

3 （AI処理ログ） 処理者は、個人データを含むAI処理のログを、本サービスの提供及び障害対応に必要な期間に限り保存し、当該目的に照らして不要となった場合は速やかに削除するものとする。

第5条（サブプロセッサー）

1 管理者は、処理者が本サービスの提供に必要なサブプロセッサーを利用することにつき、事前に包括的に同意する。

2 処理者は、本DPA発効時点におけるサブプロセッサーの一覧を別紙Bに記載し、管理者に提供するものとする。

3 処理者は、サブプロセッサーの追加又は変更を行う場合、事前に管理者に通知するものとする。管理者は、当該通知の受領後30日以内に書面により異議を述べることができる。

4 管理者が前項の期間内に異議を述べた場合、処理者及び管理者は、合理的な解決策について誠実に協議するものとする。協議が調わない場合、管理者は、当該変更の影響を受ける本サービスの利用を終了することができる。

5 処理者は、サブプロセッサーとの間で、本DPAに定めるものと実質的に同等のデータ保護義務を課す契約を締結するものとする。

6 サブプロセッサーがその義務を履行しない場合、処理者は、管理者に対し、当該サブプロセッサーの義務の履行について全責任を負うものとする。

第6条（国際データ移転）

1 処理者が個人データを日本国外に移転する場合、個人情報保護法その他の適用ある法令を遵守するものとする。

2 処理者は、個人データの移転先の国又は地域における個人データの保護に関する制度の状況を確認し、適切な保護措置を講じるものとする。

3 外部AIサービスの利用に伴うデータ移転については、前条及び第4条の規定に従うものとする。

第7条（セキュリティ措置）

処理者は、個人データの保護のために、次の各号に掲げる事項を含む適切な技術的及び組織的措置を講じるものとする。

(1) 通信経路の暗号化（TLS 1.2以上）及び保存データの暗号化

(2) 役割ベースのアクセス制御、多要素認証及び最小権限の原則の適用

(3) ファイアウォール及び侵入検知システムの運用

(4) 管理者のデータと他の顧客のデータの論理的分離

(5) 定期的なデータバックアップ及び復旧テストの実施

(6) 従業員に対する定期的なセキュリティ研修の実施

(7) 定期的なセキュリティ評価及び脆弱性対応

第8条（セキュリティインシデント対応）

1 処理者は、セキュリティインシデントを認識した場合、不当な遅延なく（原則として認識後72時間以内に）管理者に通知するものとする。

2 前項の通知には、次の各号に掲げる情報を含めるものとする。

ア インシデントの性質及び影響を受けるデータ主体の概数

イ インシデントにより生じ得る結果

ウ インシデントに対処するために講じた措置及び講じる予定の措置

3 処理者は、インシデントの調査及び影響の軽減につき、合理的な範囲で管理者に協力するものとする。

第9条（データ主体の権利）

1 処理者は、管理者がデータ主体からの権利行使の要請（開示、訂正、削除、利用停止等を含む。）に対応するために必要な技術的支援を行うものとする。

2 処理者がデータ主体から直接要請を受けた場合、処理者は速やかに管理者に通知するものとする。

第10条（監査）

1 管理者は、処理者が本DPAに基づく義務を遵守していることを確認するため、合理的な範囲において監査を実施する権利を有する。

2 前項の監査の実施にあたり、管理者は30日前までに書面により処理者に通知し、処理者の通常業務を不当に妨げないよう配慮するものとする。

3 処理者は、独立した第三者による監査報告書（SOC 2報告書等を含む。）を管理者に提供することにより、前項の監査の全部又は一部に代えることができるものとする。

第11条（契約期間及び終了）

1 本DPAは、主契約の存続期間中、効力を有するものとする。

2 主契約の終了後、管理者は、主契約に定める30日間のエクスポート期間中、個人データの返還若しくはエクスポートを求め、又は当該期間の満了前に個人データの即時削除を指示することができるものとする。

3 処理者は、前項のエクスポート期間の満了後、個人データを通常の利用環境から利用できない状態とし、削除を開始するものとする。削除対象となる個人データは、当該期間の満了後30日以内に稼働中の保存領域から物理削除するものとし、バックアップ内の残存データは、稼働中の保存領域から削除された後、最長35日間で、暗号化されたバックアップ世代の失効又は上書きにより順次消去するものとする。管理者が前項に基づき即時削除を指示し、処理者がこれを受け付けた場合、処理者は、エクスポート期間の満了を待たずに削除を開始するものとする。

4 前項の規定にかかわらず、法令上の保存義務、料金に関する異議、セキュリティインシデント又は具体的な紛争への対応のため保存の継続が必要な場合、処理者は、対象となる個人データを通常の利用環境から分離し、アクセスを必要な者に限定した上で、当該目的に必要な期間に限り保持することができるものとする。保持の理由が消滅した後は、主契約のデータ保持・削除に関する定めに従い削除するものとする。

第12条（責任及び賠償）

1 本DPAに基づく各当事者の責任は、主契約に定める責任制限の規定に従うものとする。

2 前項の規定は、処理者の故意又は重大な過失に基づく損害賠償責任を制限するものではない。

第13条（分離可能性）

本DPAのいずれかの条項又はその一部が、法令等により無効又は執行不能と判断された場合であっても、本DPAの残りの条項及び一部が無効又は執行不能と判断された条項の残りの部分は、継続して完全に効力を有するものとする。

第14条（存続条項）

第1条（定義）、第4条（AI固有のデータ処理に関する規定）、第8条（セキュリティインシデント対応）、第11条（契約期間及び終了）第2項から第4項まで、第12条（責任及び賠償）並びに第15条（準拠法及び管轄）の規定は、本DPAの終了後もなお有効に存続するものとする。

第15条（準拠法及び管轄）

1 本DPAの解釈及び適用は、日本法に準拠するものとする。

2 本DPAに関する一切の紛争については、東京地方裁判所を第一審の専属的合意管轄裁判所とする。

制定日：2026年4月1日

ゼネフィ合同会社

以 上

別紙A：処理の詳細

本別紙は、データ処理契約（本DPA）第2条第2項に基づき、処理の対象となる個人データの種類、データ主体の範囲及び処理の目的を定めるものである。

以 上

別紙B：サブプロセッサー一覧

本別紙は、データ処理契約（本DPA）第5条第2項に基づき、本DPA発効時点におけるサブプロセッサーの一覧を定めるものである。

1. 常設サブプロセッサー

以下のサブプロセッサーは、本サービスの基盤として常時利用されるものである。

2. 条件付きサブプロセッサー

以下のサブプロセッサーは、管理者又は処理者の設定により利用される場合があるものである。

（注1）Composio経由で管理者が接続を選択する外部SaaS（Slack、Google Workspace、GitHub等）は、管理者の選択に基づく連携先であり、処理者の固定サブプロセッサーには含まない。

（注2）外部AIサービス提供者（Amazon Web Services（Bedrock）、Anthropic及びOpenAI）の利用は、モデル選択又はフォールバック経路により変動する場合がある。

最終更新日：2026年4月1日

以 上