--- title: "データ処理契約 (DPA)" description: "最終更新日: 2026年5月30日" canonical_url: "https://getminds.ai/legal/ja/dpa" last_updated: "2026-06-02T02:49:58.357Z" --- # データ処理契約 (DPA) **最終更新日: 2026年5月30日** このデータ処理契約（「DPA」）は、GDPR第28条に基づき、Art of X UG（有限責任） （「プロセッサー」、「私たち」、「私たちの」）と顧客（「コントローラー」、「あなた」）との間の契約の一部であり、私たちのサービスの利用に関するものです（「メイン契約」）。 ## 1. 定義 - **個人データ**: 特定の自然人または特定可能な自然人に関連する情報（GDPR第4条第1項）。 - **処理**: 個人データに対して行われるすべての操作、収集、保存、使用、削除を含む（GDPR第4条第2項）。 - **サブプロセッサー**: プロセッサーが個人データを処理するために関与させる第三者。 - **GDPR**: 規則（EU）2016/679（一般データ保護規則）。 - **データ侵害**: 個人データの偶発的または不法な破壊、喪失、変更、無許可の開示、またはアクセスを引き起こすセキュリティ違反（GDPR第4条第12項）。 ## 2. 処理の範囲と期間 2.1 このDPAは、プロセッサーがコントローラーのためにサービスに関連して行うすべての個人データの処理に適用されます。 2.2 プロセッサーは、メイン契約に記載されたサービスを提供する目的のためにのみ、コントローラーの文書化された指示に従って個人データを処理します。 2.3 処理の期間は、メイン契約の期間に対応し、このDPAの規定からさらなる義務が生じない限り、これに従います。 ## 3. データ処理の詳細
カテゴリー 説明
主題 AI駆動のプラットフォーム「Minds」の提供、AIアシスタント、合成パネル、グループベースのシミュレーション、API/MCPアクセス、ブラウザ拡張機能とウィジェットワークフロー、統合、音声/メッセージ機能、および関連サービスを含む
期間 メイン契約の期間中
性質と目的 コントローラー提供のデータからのホスティング、認証、保存、取得、分析、シミュレーション、出力生成; Googleカレンダー、公共API/MCPアクセス、ソース抽出、メッセージ/音声、請求などのオプション統合の運用。コントローラーのデータは、コントローラーが明示的に同意しない限り、一般目的のモデルや第三者がアクセス可能なモデルのトレーニングには使用されません。AIサブプロセッサーは、利用可能な場合、APIエンドポイントおよび契約上のトレーニング/保持制御を介してアクセスされます。
個人データの種類 連絡先データ（名前、メール）、アクセス資格情報、使用データ、コントローラー提供のコンテンツデータ（テキスト、画像、音声、ファイル、URL）、プロンプトと出力、埋め込み、APIキー、OAuthトークン、カレンダーイベント/出席者メタデータ、電話/メッセージ/通話メタデータおよび音声（有効な場合）、技術データ（IPアドレス、ブラウザ、デバイス）、支払いデータ（Stripe経由）、監査およびセキュリティログ
データ主体のカテゴリー コントローラーの従業員および代理人、コントローラーによって招待されたエンドユーザー、コントローラーによってプラットフォームに入力されたデータを持つ個人、および提出されたコンテンツ、カレンダーイベント、メッセージ、または公共の情報源に参照される個人
## 4. 指示権 4.1 プロセッサーは、コントローラーからの文書化された指示に基づいてのみ個人データを処理し、このDPAおよびメイン契約に記載された指示を含む、プロセッサーが従うべき法律によって要求される場合を除きます。その場合、プロセッサーは処理の前にコントローラーにその法的要件を通知しますが、その法律がそのような情報を禁止している場合は除きます。 4.2 指示は、書面またはテキスト形式（メールを含む）で与えることができます。口頭の指示は、遅滞なくテキスト形式で確認されなければなりません。 4.3 プロセッサーは、プロセッサーの意見で指示がデータ保護法に違反している場合、直ちにコントローラーに通知します（GDPR第28条第3項第3文）。プロセッサーは、コントローラーによって確認または修正されるまで、関連する指示の実行を一時停止する権利を有します。 ## 5. プロセッサーの義務 プロセッサーは以下を行います： 5.1 コントローラーの指示の範囲内でのみ個人データを処理し、自らの目的のためには使用しません。 5.2 個人データを処理する権限を持つ者が機密保持にコミットしているか、適切な法的義務の下にあることを確認します（GDPR第28条第3項(b)）。 5.3 このDPAの期間中、GDPR第32条に基づき適切な技術的および組織的措置（TOM）を実施および維持します。現在のTOMは、このDPAの**付録1 – 技術的および組織的措置（TOM）**に記載されており、[https://getminds.ai/legal/tom](/legal/tom)で入手可能です。 5.4 プロセッサーがGDPRまたはその他のデータ保護規則に違反することを認識した場合、直ちにコントローラーに通知します。 5.5 法律で要求される場合、データ保護責任者を指定します。現在のデータ保護責任者は： Prof. Dr. Norman Uhlmann, h3ko Innovations GmbH, Pappelallee 64, 16359 Biesenthal, Germany. Email: [privacy@getminds.ai](mailto:privacy@getminds.ai) ## 6. データ主体の権利 6.1 プロセッサーは、可能な限り適切な技術的および組織的措置を講じて、コントローラーがGDPR第III章に定められたデータ主体の権利を行使する要求に応じる義務を果たすのを支援します（アクセス、訂正、削除、処理の制限、データの移植性、異議）。 6.2 データ主体が直接プロセッサーに要求を送信した場合、プロセッサーは遅滞なくその要求をコントローラーに転送します。 ## 7. データ保護義務の支援 7.1 プロセッサーは、処理の性質およびプロセッサーが利用可能な情報を考慮して、GDPR第32条から36条に基づく義務の遵守を確保するためにコントローラーを支援します。特に： - 処理のセキュリティを確保すること（GDPR第32条）; - 個人データの侵害を監督当局に通知すること（GDPR第33条）およびデータ主体に通知すること（GDPR第34条）; - データ保護影響評価を実施すること（GDPR第35条）; - 監督当局との事前相談（GDPR第36条）。 7.2 プロセッサーは、委託された処理に関連するデータ保護監督当局からの要求および調査に対してコントローラーを支援します。 ## 8. サブプロセッサー 8.1 コントローラーは、プロセッサーに対し、GDPR第28条第2項に基づきサブプロセッサーを関与させる一般的な書面による権限を付与します。このセクションの要件に従います。 8.2 このDPAの締結時点での現在のサブプロセッサーは、[https://getminds.ai/legal/subprocessors](/legal/subprocessors)にリストされています。 8.3 プロセッサーは、計画された変更の**14日前**に、サブプロセッサーの追加または置き換えの意図をコントローラーに通知し、コントローラーに異議を唱える機会を与えます。 8.4 コントローラーが通知期間内に異議を唱えた場合、当事者は友好的な解決を目指します。これが不可能な場合、コントローラーはメイン契約を即時に終了する権利を有します。 8.5 プロセッサーは、サブプロセッサーがこのDPAに定められたデータ保護義務に従うことを契約上で確保します（GDPR第28条第4項）。プロセッサーは、サブプロセッサーの行為および不作為について、自らの行為および不作為と同様に責任を負います。 ## 9. 国際的な移転 9.1 第三国における個人データの処理または国際機関による処理は、GDPR第44条以降の特定の条件が満たされる場合にのみ行われます。 9.2 アメリカ合衆国に所在するサブプロセッサーに対する移転は、以下に基づいて行われます： - サブプロセッサーが認証されているEU-USデータプライバシーフレームワーク（DPF） - 欧州委員会の実施決定（EU）2021/914に基づく標準契約条項（SCC） 9.3 イギリスにおけるサブプロセッサーには、欧州委員会の適合性決定（決定2021/1772）が適用されます。 9.4 プロセッサーは、適用される適合性決定および移転メカニズムの状況を監視し、変更が移転基盤の調整を必要とする場合はコントローラーに通知します。 9.5 プロセッサーまたはそのサブプロセッサーが個人データの開示に関する政府の命令を受けた場合（米国CLOUD法、FISA、または同様の法律に基づく命令を含む）、プロセッサーは法的に許可される範囲内で、遅滞なくコントローラーに通知します。プロセッサーは、命令の合法性を確認し、個人データを開示する前に合理的な法的救済を追求します。 ## 10. 個人データ侵害通知 10.1 プロセッサーは、個人データの侵害を認識した場合、遅滞なく、いかなる場合でも**48時間以内**にコントローラーに通知します。 10.2 通知には、最低限以下が含まれます： - 侵害の性質の説明、可能な限り、関連するデータ主体およびデータ記録のカテゴリーとおおよその数; - データ保護責任者またはその他の連絡先の名前と連絡先情報; - 侵害の可能性のある結果の説明; - 侵害に対処し、その影響を軽減するために講じたまたは提案された措置の説明。 10.3 プロセッサーは、GDPR第33条および第34条に基づく通知義務を果たすためにコントローラーを支援します。 ## 11. 監査権 11.1 プロセッサーは、GDPR第28条に定められた義務の遵守を示すために必要なすべての情報をコントローラーに提供します。 11.2 コントローラーは、プロセッサーの施設で監査を実施する権利を有し、指定された監査人によって実施させることができます。監査は、合理的な通知（少なくとも14日前）をもって通常の営業時間内に行われ、プロセッサーの業務運営を不当に妨げてはなりません。 11.3 プロセッサーは、遵守を示すために現在の監査報告書、認証、またはその抜粋を提示することができます。 11.4 指定された第三者監査人は、事前に機密保持義務を負う必要があります。監査費用はコントローラーが負担し、プロセッサーによる違反が確認された場合を除きます。 ## 12. 個人データの削除および返却 12.1 メイン契約が終了した場合、プロセッサーは、コントローラーからの要求が一般的な機械可読形式でのデータの返却でない限り、**30日以内**にコントローラーのために処理されたすべての個人データを削除します。 12.2 削除は、現在の最先端技術に従って行われ、要求に応じてコントローラーに書面で確認されます。 12.3 ユニオンまたは加盟国の法律に基づいて保持が必要な場合、プロセッサーはコントローラーに保持義務および関連するデータについて通知します。 ## 13. 責任 13.1 当事者の責任は、GDPR第82条に従います。 13.2 プロセッサーは、GDPRまたはコントローラーの指示に従わない処理に起因する損害についてコントローラーに責任を負います。 13.3 プロセッサーは、サブプロセッサーの行為および不作為について、自らの行為および不作為と同様に責任を負います。 13.4 メイン契約で別途合意されていない限り、プロセッサーの総責任は、請求の原因となる事象の前の12か月間にプロセッサーに支払われた料金に制限されます。この制限は、故意の不正行為または重大な過失に起因する請求、またはGDPRの強制的な規定に基づき制限が許可されない請求には適用されません。 ## 14. このDPAの改正 14.1 プロセッサーは、法律、規制の命令、技術的な進展、または処理活動の変更により必要な場合、改正が発効する**30日前**にこのDPAを改正することができます。 14.2 改正については、アカウントに関連付けられたメールアドレスにコントローラーに通知されます。改正されたバージョンは、[https://getminds.ai/legal/dpa](/legal/dpa)に公開されます。 14.3 コントローラーが通知を受け取った日から30日以内に改正に異議を唱えない場合、改正は受け入れられたものとみなされます。プロセッサーは、改正通知においてこの法的結果に注意を促します。 14.4 コントローラーが異議を唱えた場合、当事者は友好的な解決を目指します。これが不可能な場合、コントローラーはメイン契約を即時に終了する権利を有します。 ## 15. 最終規定 15.1 このDPAは、ドイツ連邦共和国の法律に準拠します。 15.2 このDPAに起因または関連するすべての紛争についての専属的な管轄地はベルリンとし、法律上許可される範囲内で適用されます。 15.3 このDPAの改正および補足は、セクション14に別途規定されていない限り、テキスト形式で行わなければなりません。 15.4 このDPAのいかなる規定が無効であるか、または無効となった場合でも、残りの規定の有効性には影響しません。 15.5 このDPAとメイン契約の間に矛盾が生じた場合、個人データの保護に関してはこのDPAが優先します。 --- **Art of X UG（有限責任）** Köpenicker Straße 145, 10997 Berlin, Germany 代表取締役: Friedrich von BorriesおよびAlexander Doudkin このDPAに関する質問は、[privacy@getminds.ai](mailto:privacy@getminds.ai)までお問い合わせください。 --- # 付録1: 技術的および組織的措置（TOM） **最終更新日: 2026年5月30日** Art of X UG（有限責任）（「Minds」）は、個人データの処理に関するリスクに適したセキュリティレベルを確保するために、GDPR第32条に基づく以下の技術的および組織的措置を実施しています。 --- ## 1. アクセス制御 ### 物理的アクセス制御 Mindsのインフラは、認証されたクラウドプロバイダーでのみホストされています： - **DigitalOcean** – ドイツ、フランクフルトのデータセンター（EU）。認証: SOC 2 Type II, ISO 27001, ISO 27017, ISO 27018。 - **Supabase** – スウェーデン、ストックホルムのデータセンター（EU）、AWS上でホスト。認証: SOC 2 Type II。 物理的セキュリティ（生体認証アクセス制御、24時間監視、アクセスログ）は、クラウドプロバイダーによって完全に管理されています。 ### 論理的アクセス制御 - すべての内部システムおよび管理インターフェースに対する役割ベースのアクセス制御（RBAC）。 - すべての従業員の生産システムへのアクセスには多要素認証（MFA）が必要。 - 個別のユーザーアカウント – 共有資格情報はなし。 - 最小権限の原則に従ったアクセス権の定期的なレビューおよび取り消し。 - APIキーおよび資格情報は、暗号化されたシークレットマネージャーで管理。 - OAuthトークン、統合資格情報、APIキーは、スコープが設定され、静止時に暗号化され、取り消し可能。 --- ## 2. 暗号化 ### 転送中の暗号化 - すべてのデータ転送はTLS 1.2以上で保護されています。 - すべての公開エンドポイントに対してHSTS（HTTP Strict Transport Security）が有効です。 - 内部サービス間の通信も暗号化されています。 ### 静止時の暗号化 - データベース（Supabase/PostgreSQL）は、静止時のデータに対してAES-256暗号化を使用。 - ファイルストレージ（DigitalOcean Spaces / Supabase Storage）は、サーバー側のAES-256暗号化を使用。 - バックアップは暗号化された形式で保存されます。 --- ## 3. データ分離（テナントの隔離） - テナントの隔離（PostgreSQLの行レベルセキュリティ）を通じて、データベースレベルでの顧客データの厳格な論理的分離。 - 各顧客は自分のデータにのみアクセスできる – データベースおよびAPIレベルで強制されます。 - 自動テストにより、テナント間のデータ漏洩が発生しないことが保証されます。 --- ## 4. 可用性と回復力 ### ホスティングアーキテクチャ - アプリケーションは、DigitalOcean App Platformで自動スケーリングおよびヘルスチェックを行いながら実行されます。 - Supabase上のデータベースは高可用性構成です。 ### バックアップと回復 - 日次自動データベースバックアップ、保持期間は少なくとも7日。 - PostgreSQLデータベースのためのポイントインタイムリカバリ（PITR）。 - 回復手順の定期的なテスト。 - 回復時間目標（RTO）：SLAで定義された通り。 - 回復ポイント目標（RPO）：最大24時間。 --- ## 5. インシデント対応 - セキュリティインシデントに対する文書化されたインシデント対応プロセス。 - 個人データの侵害を認識した場合、**48時間以内**にコントローラー（顧客）に通知します。この通知はデータ処理契約（DPA）に従います。 - すべてのセキュリティ関連のインシデントのログ記録と追跡。 - インシデント対応計画の定期的なレビューと更新。 --- ## 6. 機密性と従業員の義務 - すべての従業員および契約者は機密保持契約（NDA）に拘束されています。 - すべての従業員に対する定期的なデータ保護トレーニング。 - GDPRに従ったデータの秘密保持義務。 - 個人データへのアクセスは、必要に応じて付与されます。 --- ## 7. サブプロセッサー管理 - データ保護およびセキュリティ基準に基づくサブプロセッサーの慎重な選定。 - すべてのサブプロセッサーに対するGDPR準拠のデータ処理に関する契約上の義務。 - サブプロセッサーの定期的なレビュー。 - 現在のサブプロセッサーのリストは、[Subprocessors](/legal/subprocessors)で入手可能です。 - DPAに従い、変更について顧客に事前通知します。 --- ## 8. ロギングと監視 - システムイベントおよびアクセスの集中ロギング。 - 監査ログには、API/MCPアクセス、OAuthおよび統合の変更、カレンダー同期/ウェブフックイベント、セキュリティ関連の管理アクションが含まれます。 - **Langfuse**を使用してAIモデルの相互作用を監視および追跡（EU内でホスト）。 - **PostHog**を使用して製品分析およびオプションのセッション再生 - 分析の同意がある場合のみ持続的な分析/セッション再生; 合法的な範囲でのクッキーなしの診断に制限。 - 自動アラートを伴う重要なシステムメトリックの監視。 - 異常のためのログの定期的なレビュー。 --- ## 9. データ最小化と擬似匿名化 ### データ最小化 - 各処理目的に必要な個人データのみを収集および処理。 - 処理されるデータカテゴリーの必要性について定期的にレビュー。 - 定義された保持期間に従って不要なデータの自動削除。 ### 擬似匿名化 - 技術的に実現可能で適切な場合、個人データは擬似匿名化された形で処理されます。 - 内部処理では、実名の代わりに主にUUIDを使用。 - 分析評価は、集約または擬似匿名化された基準で実施されます。 --- ## 10. 定期的なレビューと評価 - インフラおよびアプリケーションの定期的なセキュリティ評価。 - 依存関係は、既知の脆弱性について定期的にチェックされます（依存関係スキャン）。 - これらのTOMは、少なくとも年に一度、または処理活動に重大な変更があった場合にレビューおよび更新されます。 - 現在の脅威の状況に基づいてセキュリティ対策の継続的な改善。 --- ## 11. 追加措置 ### 入力制御 - 個人データの変更のログ記録（監査証跡）。 - 誰が、いつ、どのデータを入力、変更、削除したかの追跡。 ### 移転制御 - データ転送はすべて暗号化されています。 - 適切な保護レベル（適合性決定または標準契約条項）なしに第三国への個人データの転送は行われません。 ### 処理制御 - 個人データの処理は、コントローラーの指示に従ってのみ行われます。 - DPAにおいて委託処理の契約上の規定。 --- *これらの技術的および組織的措置は、定期的にレビューされ、必要に応じて更新され、現在の最先端技術に一致する保護レベルを確保します。*