--- title: "データ処理契約 (DPA)" description: "最終更新日: 2026年8月25日" canonical_url: "https://getminds.ai/legal/ja/dpa" last_updated: "2026-09-07T23:14:54.895Z" --- # データ処理契約 (DPA) **最終更新日: 2026年8月25日** このデータ処理契約（「DPA」）は、GDPR第28条に基づき、Art of X UG（有限責任） （「プロセッサー」、「私たち」、「私たちの」）と顧客（「コントローラー」、「あなた」）との間の契約の一部であり、私たちのサービスの利用に関するものです（「メイン契約」）。 顧客の契約主体がMinds AI Labs, Inc.である場合（利用規約第1条参照）、本DPAにおけるプロセッサーはMinds AI Labs, Inc.であり、Art of X UG (haftungsbeschränkt)は、プラットフォームの開発、ホスティング、運用およびサポートについて、本DPAと同等の条件によりその再委託先（サブプロセッサー）として関与します。 ## 1. 定義 - **個人データ**: 特定の自然人または特定可能な自然人に関連する情報（GDPR第4条第1項）。 - **処理**: 個人データに対して行われるすべての操作、収集、保存、使用、削除を含む（GDPR第4条第2項）。 - **サブプロセッサー**: プロセッサーが個人データを処理するために関与させる第三者。 - **GDPR**: 規則（EU）2016/679（一般データ保護規則）。 - **データ侵害**: 個人データの偶発的または不法な破壊、喪失、変更、無許可の開示、またはアクセスを引き起こすセキュリティ違反（GDPR第4条第12項）。 ## 2. 処理の範囲と期間 2.1 このDPAは、プロセッサーがコントローラーのためにサービスに関連して行うすべての個人データの処理に適用されます。 2.2 プロセッサーは、メイン契約に記載されたサービスを提供する目的のためにのみ、コントローラーの文書化された指示に従って個人データを処理します。 2.3 処理の期間は、メイン契約の期間に対応し、このDPAの規定からさらなる義務が生じない限り、これに従います。 ## 3. データ処理の詳細
カテゴリー 説明
主題 AI駆動のプラットフォーム「Minds」の提供、AIアシスタント、合成パネル、Audience Grounding に基づくシミュレーション、API/MCPアクセス、ブラウザ拡張機能とウィジェットワークフロー、統合、音声/メッセージ機能、および関連サービスを含む
期間 メイン契約の期間中
性質と目的 コントローラーのデータのホスティング、認証、保存、取得、分析、シミュレーションおよび出力生成。データは、一般、基盤、共有または第三者のモデルもしくはデータセットのトレーニング、ファインチューニングまたは改善に使用されません。コントローラー専用の非公開モデルは、明示的な指示に基づき、その承認された利用のためにのみ作成または適応できます。サブプロセッサーは要求されたサービスのためにのみデータを処理できます。
個人データの種類 連絡先データ（名前、メール）、アクセス資格情報、使用データ、コントローラー提供のコンテンツデータ（テキスト、画像、音声、ファイル、URL）、プロンプトと出力、埋め込み、APIキー、OAuthトークン、カレンダーイベント/出席者メタデータ、電話/メッセージ/通話メタデータおよび音声（有効な場合）、技術データ（IPアドレス、ブラウザ、デバイス）、支払いデータ（Stripe経由）、監査およびセキュリティログ
データ主体のカテゴリー コントローラーの従業員および代理人、コントローラーによって招待されたエンドユーザー、コントローラーによってプラットフォームに入力されたデータを持つ個人、および提出されたコンテンツ、カレンダーイベント、メッセージ、または公共の情報源に参照される個人
## 4. 指示権 4.1 プロセッサーは、コントローラーからの文書化された指示に基づいてのみ個人データを処理し、このDPAおよびメイン契約に記載された指示を含む、プロセッサーが従うべき法律によって要求される場合を除きます。その場合、プロセッサーは処理の前にコントローラーにその法的要件を通知しますが、その法律がそのような情報を禁止している場合は除きます。 4.2 指示は、書面またはテキスト形式（メールを含む）で与えることができます。口頭の指示は、遅滞なくテキスト形式で確認されなければなりません。 4.3 プロセッサーは、プロセッサーの意見で指示がデータ保護法に違反している場合、直ちにコントローラーに通知します（GDPR第28条第3項第3文）。プロセッサーは、コントローラーによって確認または修正されるまで、関連する指示の実行を一時停止する権利を有します。 ## 5. プロセッサーの義務 プロセッサーは以下を行います： 5.1 コントローラーの指示の範囲内でのみ個人データを処理し、自らの目的のためには使用しません。 5.2 個人データを処理する権限を持つ者が機密保持にコミットしているか、適切な法的義務の下にあることを確認します（GDPR第28条第3項(b)）。 5.3 このDPAの期間中、GDPR第32条に基づき適切な技術的および組織的措置（TOM）を実施および維持します。現在のTOMは、このDPAの**付録1 – 技術的および組織的措置（TOM）**に記載されており、[https://getminds.ai/legal/tom](/legal/tom)で入手可能です。 5.4 プロセッサーがGDPRまたはその他のデータ保護規則に違反することを認識した場合、直ちにコントローラーに通知します。 5.5 法律で要求される場合、データ保護責任者を指定します。現在のデータ保護責任者は： Prof. Dr. Norman Uhlmann, h3ko Innovations GmbH, Pappelallee 64, 16359 Biesenthal, Germany. Email: [privacy@getminds.ai](mailto:privacy@getminds.ai) 5.6 コントローラーに代わって処理する個人データを、一般、基盤、共有または第三者のモデルもしくはデータセットのトレーニング、ファインチューニングまたは改善に使用せず、サブプロセッサーにも使用させません。コントローラー専用の非公開モデルは、文書化された指示に基づき、その承認された利用のためにのみ作成または適応できます。 ## 6. データ主体の権利 6.1 プロセッサーは、可能な限り適切な技術的および組織的措置を講じて、コントローラーがGDPR第III章に定められたデータ主体の権利を行使する要求に応じる義務を果たすのを支援します（アクセス、訂正、削除、処理の制限、データの移植性、異議）。 6.2 データ主体が直接プロセッサーに要求を送信した場合、プロセッサーは遅滞なくその要求をコントローラーに転送します。 ## 7. データ保護義務の支援 7.1 プロセッサーは、処理の性質およびプロセッサーが利用可能な情報を考慮して、GDPR第32条から36条に基づく義務の遵守を確保するためにコントローラーを支援します。特に： - 処理のセキュリティを確保すること（GDPR第32条）; - 個人データの侵害を監督当局に通知すること（GDPR第33条）およびデータ主体に通知すること（GDPR第34条）; - データ保護影響評価を実施すること（GDPR第35条）; - 監督当局との事前相談（GDPR第36条）。 7.2 プロセッサーは、委託された処理に関連するデータ保護監督当局からの要求および調査に対してコントローラーを支援します。 ## 8. サブプロセッサー 8.1 コントローラーは、プロセッサーに対し、GDPR第28条第2項に基づきサブプロセッサーを関与させる一般的な書面による権限を付与します。このセクションの要件に従います。 8.2 このDPAの締結時点での現在のサブプロセッサーは、[https://getminds.ai/legal/subprocessors](/legal/subprocessors)にリストされています。 8.3 プロセッサーは、計画された変更の**14日前**に、サブプロセッサーの追加または置き換えの意図をコントローラーに通知し、コントローラーに異議を唱える機会を与えます。 8.4 コントローラーが通知期間内に異議を唱えた場合、当事者は友好的な解決を目指します。これが不可能な場合、コントローラーはメイン契約を即時に終了する権利を有します。 8.5 プロセッサーは、サブプロセッサーがこのDPAに定められたデータ保護義務に従うことを契約上で確保します（GDPR第28条第4項）。プロセッサーは、サブプロセッサーの行為および不作為について、自らの行為および不作為と同様に責任を負います。 ## 9. 国際的な移転 9.1 第三国における個人データの処理または国際機関による処理は、GDPR第44条以降の特定の条件が満たされる場合にのみ行われます。 9.2 アメリカ合衆国に所在するサブプロセッサーに対する移転は、以下に基づいて行われます： - サブプロセッサーが認証されているEU-USデータプライバシーフレームワーク（DPF） - 欧州委員会の実施決定（EU）2021/914に基づく標準契約条項（SCC） 9.3 イギリスにおけるサブプロセッサーには、欧州委員会の適合性決定（決定2021/1772）が適用されます。 9.4 プロセッサーは、適用される適合性決定および移転メカニズムの状況を監視し、変更が移転基盤の調整を必要とする場合はコントローラーに通知します。 9.5 プロセッサーまたはそのサブプロセッサーが個人データの開示に関する政府の命令を受けた場合（米国CLOUD法、FISA、または同様の法律に基づく命令を含む）、プロセッサーは法的に許可される範囲内で、遅滞なくコントローラーに通知します。プロセッサーは、命令の合法性を確認し、個人データを開示する前に合理的な法的救済を追求します。 ## 10. 個人データ侵害通知 10.1 プロセッサーは、個人データの侵害を認識した場合、遅滞なく、いかなる場合でも**24時間以内**にコントローラーに通知します。 10.2 通知には、最低限以下が含まれます： - 侵害の性質の説明、可能な限り、関連するデータ主体およびデータ記録のカテゴリーとおおよその数; - データ保護責任者またはその他の連絡先の名前と連絡先情報; - 侵害の可能性のある結果の説明; - 侵害に対処し、その影響を軽減するために講じたまたは提案された措置の説明。 10.3 プロセッサーは、GDPR第33条および第34条に基づく通知義務を果たすためにコントローラーを支援します。 ## 11. 監査権 11.1 プロセッサーは、GDPR第28条に定められた義務の遵守を示すために必要なすべての情報をコントローラーに提供します。 11.2 コントローラーは、プロセッサーの施設で監査を実施する権利を有し、指定された監査人によって実施させることができます。監査は、合理的な通知（少なくとも14日前）をもって通常の営業時間内に行われ、プロセッサーの業務運営を不当に妨げてはなりません。 11.3 プロセッサーは、遵守を示すために現在の監査報告書、認証、またはその抜粋を提示することができます。 11.4 指定された第三者監査人は、事前に機密保持義務を負う必要があります。監査費用はコントローラーが負担し、プロセッサーによる違反が確認された場合を除きます。 11.5 第11.2条から11.4条にかかわらず、監査は通常、利用可能な方針、質問票、要約、ログ又は独立報告書の遠隔確認から開始し、14日前の通知により12か月に1回に制限されます。管理者に影響する侵害、根拠ある重大なコンプライアンス懸念又は監督機関の拘束的要求により合理的に必要で、文書が不十分な場合、追加監査、短縮通知又は比例的な現地検査が可能です。監査人は独立し、適格で秘密保持義務を負い、他の顧客データ、秘匿特権資料、不要な営業秘密及びソースコードを保護します。管理者は自己の費用を負担し、追加監査が処理者の重大な違反を特定し又はそれにより必要となった場合を除き、処理者は合理的費用を請求できます。 ## 12. 個人データの削除および返却 12.1 メイン契約が終了した場合、プロセッサーは、コントローラーからの要求が一般的な機械可読形式でのデータの返却でない限り、**30日以内**にコントローラーのために処理されたすべての個人データを削除します。 12.2 削除は、現在の最先端技術に従って行われ、要求に応じてコントローラーに書面で確認されます。 12.3 ユニオンまたは加盟国の法律に基づいて保持が必要な場合、プロセッサーはコントローラーに保持義務および関連するデータについて通知します。 12.4 第12.1条の期限は稼働系に適用されます。保護バックアップの残存コピーは通常利用から隔離し、法定保存を除き、さらに最大30日以内にバックアップサイクルで削除又は上書きします。 ## 13. 責任 13.1 当事者の責任は、GDPR第82条に従います。 13.2 プロセッサーは、GDPRまたはコントローラーの指示に従わない処理に起因する損害についてコントローラーに責任を負います。 13.3 プロセッサーは、サブプロセッサーの行為および不作為について、自らの行為および不作為と同様に責任を負います。 13.4 当事者間では、データ保護、秘密保持または情報セキュリティ義務に関するより高い上限を含め、メイン契約第13条の制限および上限が適用されます。契約上の制限は、GDPR第82条に基づくデータ主体の権利または法的に制限できない責任に影響しません。 ## 14. このDPAの改正 14.1 プロセッサーは、法律、規制の命令、技術的な進展、または処理活動の変更により必要な場合、改正が発効する**30日前**にこのDPAを改正することができます。 14.2 改正については、アカウントに関連付けられたメールアドレスにコントローラーに通知されます。改正されたバージョンは、[https://getminds.ai/legal/dpa](/legal/dpa)に公開されます。 14.3 コントローラーが通知を受け取った日から30日以内に改正に異議を唱えない場合、改正は受け入れられたものとみなされます。プロセッサーは、改正通知においてこの法的結果に注意を促します。 14.4 コントローラーが異議を唱えた場合、当事者は友好的な解決を目指します。これが不可能な場合、コントローラーはメイン契約を即時に終了する権利を有します。 ## 15. 最終規定 15.1 このDPAは、ドイツ連邦共和国の法律に準拠します。 15.2 このDPAに起因または関連するすべての紛争についての専属的な管轄地はベルリンとし、法律上許可される範囲内で適用されます。 15.3 このDPAの改正および補足は、セクション14に別途規定されていない限り、テキスト形式で行わなければなりません。 15.4 このDPAのいかなる規定が無効であるか、または無効となった場合でも、残りの規定の有効性には影響しません。 15.5 このDPAとメイン契約の間に矛盾が生じた場合、個人データの保護に関してはこのDPAが優先します。 --- **Art of X UG（有限責任）** Köpenicker Straße 145, 10997 Berlin, Germany 代表取締役: Friedrich von BorriesおよびAlexander Doudkin このDPAに関する質問は、[privacy@getminds.ai](mailto:privacy@getminds.ai)までお問い合わせください。 --- ## 16. 米国州プライバシー法 16.1 本条は、顧客の契約主体がMinds AI Labs, Inc.であり、かつ個人情報の取扱いがカリフォルニア州プライバシー権法により改正されたカリフォルニア州消費者プライバシー法（以下「CCPA」）、またはバージニア州、コロラド州、コネチカット州、テキサス州、オレゴン州、モンタナ州その他これらと同等の州プライバシー法（以下それぞれ「米国州プライバシー法」）の適用を受ける場合に適用されます。 16.2 CCPAとの関係では、顧客が「business」、Mindsが「service provider」となります。その他のすべての米国州プライバシー法との関係では、顧客がコントローラー、Mindsがプロセッサーとなります。 16.3 Mindsは、CCPAに定義される意味において個人情報を販売せず、共有せず、また文脈横断的行動広告またはターゲティング広告のために開示しません。Mindsは個人情報の対価として有価の対価を受領しません。 16.4 Mindsは、第16.4a項に特定する事業目的以外のいかなる目的でも、また顧客との直接の取引関係の範囲外でも、個人情報を保持、使用または開示しません。ただし、米国州プライバシー法が明示的に認める場合を除きます。 16.4a 顧客がMindsに個人情報を開示する事業目的は、具体的に次のとおりです。 (a) 顧客のテナントのホスティング、および顧客またはその認可ユーザーが本プラットフォームに送信した個人情報の保存、(b) 顧客の認可ユーザーの認証および管理、ならびにそのアクセス権限および役割の運用、(c) 顧客が本プラットフォームにおいて開始する合成オーディエンス調査、パネルシミュレーション、セグメンテーションおよび分析の各処理の実行(顧客に結果を返す目的に限り、顧客が送信した内容を副処理者リスト記載のモデルおよび推論提供者に送信することを含みます)、(d) 顧客のテナントに関する要請または警告に応じた技術サポートおよびインシデント対応の提供(障害の診断および修正のために指名されたサポート担当者が顧客のテナントにアクセスすることを含みます)、(e) 不正アクセス、濫用および不正行為の監視、調査および是正を含む、本プラットフォームおよび顧客のテナントの安全性および完全性の維持、(f) 顧客のテナントのバックアップの作成および保持ならびに障害後の復旧、(g) 意図された機能を損なうエラーの検出および修復、ならびに修正が有効であることの試験および検証、(h) 顧客への課金を目的とした、顧客のプラン上限に対する利用量の算定、(i) 法令上必要とされる個人情報の保持および契約期間終了時の削除または返還. 本項は、事業目的を一般的な表現ではなく具体的に特定することを求める11 CCR § 7051(a)(1)を満たすことを意図しています。 16.5 Mindsは、CCPAが明示的に認める場合を除き、個人情報を、他者から若しくは他者のために受領した個人情報、または消費者との自らの接点から収集した個人情報と結合しません。 16.6 Mindsは、個人情報を、汎用モデル、基盤モデル、一般化されたモデル、共有モデル若しくは第三者のモデル、または一般化されたデータセットの学習、ファインチューニングまたは改善に使用せず、再委託先にもこれを許諾しません。 16.7 **Mindsは、本条の制限を理解し、これを遵守することを確認します。** 16.8 Mindsは、各再委託先に対し、書面による契約により本条と少なくとも同等以上の保護を与える義務を課し、その履行について責任を負います。Minds AI Labs, Inc.が契約主体である場合、Art of X UG (haftungsbeschränkt)がその再委託先として関与します。 16.9 Mindsは、知る権利、アクセス、訂正、削除、オプトアウトまたは機微個人情報の利用制限に関する消費者の検証可能な請求への対応につき顧客を支援し、消費者がMindsに直接行った請求は顧客に転送します。Mindsは、CCPA第1798.121条が認める目的を超えて機微個人情報を使用または開示しません。 16.10 Mindsは、米国州プライバシー法に基づく義務をもはや履行できないと判断した場合、速やかに顧客に通知します。顧客はその場合、無権限の利用を停止し是正するために合理的かつ適切な措置を講じることができます。 16.11 同一の取扱いが本条と本DPAの他の条項の双方の適用を受ける場合、両者が適用され、個人により高い保護を与える条項が優先します。 ## 付録1: 技術的および組織的措置（TOM） **最終更新日: 2026年8月25日** Art of X UG（有限責任）（「Minds」）は、個人データの処理に関するリスクに適したセキュリティレベルを確保するために、GDPR第32条に基づく以下の技術的および組織的措置を実施しています。 --- ## 1. アクセス制御 ### 物理的アクセス制御 Mindsのインフラは、認証されたクラウドプロバイダーでのみホストされています： - **DigitalOcean** – ドイツ、フランクフルトのデータセンター（EU）。認証: SOC 2 Type II, ISO 27001, ISO 27017, ISO 27018。 - **Supabase** – スウェーデン、ストックホルムのデータセンター（EU）、AWS上でホスト。認証: SOC 2 Type II。 物理的セキュリティ（生体認証アクセス制御、24時間監視、アクセスログ）は、クラウドプロバイダーによって完全に管理されています。 ### 論理的アクセス制御 - すべての内部システムおよび管理インターフェースに対する役割ベースのアクセス制御（RBAC）。 - すべての従業員の生産システムへのアクセスには多要素認証（MFA）が必要。 - 個別のユーザーアカウント – 共有資格情報はなし。 - 最小権限の原則に従ったアクセス権の定期的なレビューおよび取り消し。 - APIキーおよび資格情報は、暗号化されたシークレットマネージャーで管理。 - OAuthトークン、統合資格情報、APIキーは、スコープが設定され、静止時に暗号化され、取り消し可能。 --- ## 2. 暗号化 ### 転送中の暗号化 - すべてのデータ転送はTLS 1.2以上で保護されています。 - すべての公開エンドポイントに対してHSTS（HTTP Strict Transport Security）が有効です。 - 内部サービス間の通信も暗号化されています。 ### 静止時の暗号化 - データベース（Supabase/PostgreSQL）は、静止時のデータに対してAES-256暗号化を使用。 - ファイルストレージ（DigitalOcean Spaces / Supabase Storage）は、サーバー側のAES-256暗号化を使用。 - バックアップは暗号化された形式で保存されます。 --- ## 3. データ分離（テナントの隔離） - テナントの隔離（PostgreSQLの行レベルセキュリティ）を通じて、データベースレベルでの顧客データの厳格な論理的分離。 - 各顧客は自分のデータにのみアクセスできる – データベースおよびAPIレベルで強制されます。 - 自動テストにより、テナント間のデータ漏洩が発生しないことが保証されます。 --- ## 4. 可用性と回復力 ### ホスティングアーキテクチャ - アプリケーションは、DigitalOcean App Platformで自動スケーリングおよびヘルスチェックを行いながら実行されます。 - Supabase上のデータベースは高可用性構成です。 ### バックアップと回復 - 保護されたデータベースバックアップを定期的に作成し、適用されるバックアップサイクルに従い最大30日保持します。 - PostgreSQLデータベースのためのポイントインタイムリカバリ（PITR）。 - 回復手順の定期的なテスト。 - 回復目標は、注文書で明示的に拘束力を持たせない限り運用目標です。 --- ## 5. インシデント対応 - セキュリティインシデントに対する文書化されたインシデント対応プロセス。 - 個人データの侵害を認識した場合、**24時間以内**にコントローラー（顧客）に通知します。この通知はデータ処理契約（DPA）に従います。 - すべてのセキュリティ関連のインシデントのログ記録と追跡。 - インシデント対応計画の定期的なレビューと更新。 --- ## 6. 機密性と従業員の義務 - すべての従業員および契約者は機密保持契約（NDA）に拘束されています。 - すべての従業員に対する定期的なデータ保護トレーニング。 - GDPRに従ったデータの秘密保持義務。 - 個人データへのアクセスは、必要に応じて付与されます。 --- ## 7. サブプロセッサー管理 - データ保護およびセキュリティ基準に基づくサブプロセッサーの慎重な選定。 - すべてのサブプロセッサーに対するGDPR準拠のデータ処理に関する契約上の義務。 - サブプロセッサーの定期的なレビュー。 - 現在のサブプロセッサーのリストは、[Subprocessors](/legal/subprocessors)で入手可能です。 - DPAに従い、変更について顧客に事前通知します。 --- ## 8. ロギングと監視 - システムイベントおよびアクセスの集中ロギング。 - 監査ログには、API/MCPアクセス、OAuthおよび統合の変更、カレンダー同期/ウェブフックイベント、セキュリティ関連の管理アクションが含まれます。 - **Langfuse**を使用してAIモデルの相互作用を監視および追跡（EU内でホスト）。 - **PostHog**を使用して製品分析およびオプションのセッション再生 - 分析の同意がある場合のみ持続的な分析/セッション再生; 合法的な範囲でのクッキーなしの診断に制限。 - 自動アラートを伴う重要なシステムメトリックの監視。 - 異常のためのログの定期的なレビュー。 --- ## 9. データ最小化と擬似匿名化 ### データ最小化 - 各処理目的に必要な個人データのみを収集および処理。 - 処理されるデータカテゴリーの必要性について定期的にレビュー。 - 定義された保持期間に従って不要なデータの自動削除。 ### 擬似匿名化 - 技術的に実現可能で適切な場合、個人データは擬似匿名化された形で処理されます。 - 内部処理では、実名の代わりに主にUUIDを使用。 - 分析評価は、集約または擬似匿名化された基準で実施されます。 --- ## 10. 定期的なレビューと評価 - インフラおよびアプリケーションの定期的なセキュリティ評価。 - 依存関係は、既知の脆弱性について定期的にチェックされます（依存関係スキャン）。 - これらのTOMは、少なくとも年に一度、または処理活動に重大な変更があった場合にレビューおよび更新されます。 - 現在の脅威の状況に基づいてセキュリティ対策の継続的な改善。 --- ## 11. 追加措置 ### 入力制御 - 個人データの変更のログ記録（監査証跡）。 - 誰が、いつ、どのデータを入力、変更、削除したかの追跡。 ### 移転制御 - データ転送はすべて暗号化されています。 - 適切な保護レベル（適合性決定または標準契約条項）なしに第三国への個人データの転送は行われません。 ### 処理制御 - 個人データの処理は、コントローラーの指示に従ってのみ行われます。 - DPAにおいて委託処理の契約上の規定。 --- *これらの技術的および組織的措置は、定期的にレビューされ、必要に応じて更新され、現在の最先端技術に一致する保護レベルを確保します。*