DATA PROCESSING ADDENDUM

データ処理契約（DPA）。

取引先が管理者、Sillion B.V.が処理者として最終顧客データを扱う場合の処理条件です。

最終更新日：2026年9月15日

本DPAは、Order Formまたは本サービス契約から参照された場合に当該契約へ組み込まれます。個別の処理内容・保存期間・追加安全措置はOrder Formで補足できます。

1. 当事者と役割

「管理者」は、本サービスを契約し、自社の最終顧客データをSillionへ処理委託する取引先です。「処理者」はSillion B.V.（Voordesdijk 12, 7475 NW Markelo, The Netherlands / KVK 90687469 / VAT NL865409808B01）です。GDPR、日本の個人情報保護法その他適用されるデータ保護法における役割は、実際の処理関係に従います。

2. 処理の対象・期間

Sillionは、Hosted SaaSによる占術計算、文章生成、品質検査、レポート作成・配信、顧客アクセス、サポートその他Order Formで合意した機能を提供するため、契約期間中および終了後の返却・削除に必要な合理的期間、個人データを処理します。

3. 処理の性質・目的

入力データの受領、検証、正規化
占術計算およびCanonical Meaning等の根拠情報との照合
AIによる顧客向け文章化
品質・安全性・規制領域に関する検査
取引先ブランドでのレポート生成、保存、表示・配信
アクセス制御、セキュリティ、監査、障害対応、サポート

4. データ主体

主なデータ主体は、管理者の最終顧客、管理者の担当者、および管理者が適法にデータを登録する関係者です。

5. 個人データの種類

氏名、表示名、出生時氏名のローマ字表記
出生年月日、出生時刻、出生地
選択した鑑定テーマ、期間、必要最小限の相談背景
生成された鑑定結果・レポート
顧客アクセスに必要な識別子、tenant・brand識別子、技術ログ

マイナンバー、公的本人確認番号、決済カード番号、パスワード、遺伝・生体認証情報等は処理対象に含めません。GDPR上の特別カテゴリーまたは日本法上の要配慮個人情報を処理する必要がある場合、管理者は事前に適法な根拠を確認し、Sillionとの書面合意および必要な追加保護措置を整えます。

6. 文書化された指示

Sillionは、適用法が別途要求する場合を除き、契約、Order Form、本DPAおよび管理者から適法に与えられた文書化された指示に従ってのみ個人データを処理します。指示が適用データ保護法に違反すると合理的に判断した場合、Sillionは管理者へ通知し、必要な範囲で処理を停止できます。

7. 管理者の義務

管理者は、個人データの収集・Sillionへの委託・国外処理・AI/クラウド利用について適法な処理根拠を有し、必要なプライバシー通知・同意・契約その他の手続を実施します。管理者は、目的達成に不要な情報を入力せず、データ最小化を行います。

8. 秘密保持

Sillionは、個人データへのアクセスを業務上必要な者に限定し、アクセスする従業者・委託者へ守秘義務を課します。法令上必要な場合を除き、管理者の指示なく個人データを第三者へ開示しません。

9. 安全管理措置

Sillionは、処理の性質、範囲、文脈、目的およびリスクに応じて、以下を含む合理的な技術的・組織的措置を維持します。

tenant scopeによる論理分離とアクセス制御
最小権限と秘密情報の環境分離
TLS等による通信時保護、マネージドクラウドが提供する保存時暗号化
認証、監査・障害ログ、異常時の調査手順
内部ID・機械コード等の顧客向け漏えいを防ぐ出力検査
開発・Preview・Productionの環境分離と変更管理
バックアップ、復旧、脆弱性・依存関係の合理的な管理
インシデント対応と再発防止

10. 再委託先

管理者は、Sillionが再委託先一覧に掲載する事業者を利用することについて一般的な書面承認を与えます。Sillionは、新たな個人データ処理再委託先を追加・実質変更する場合、原則として効力発生前に合理的な方法で管理者へ通知します。管理者は、正当なデータ保護上の理由がある場合、通知された期間内に異議を述べることができます。解決できない場合、影響を受ける機能の停止または契約終了を協議します。

11. 再委託先への義務

Sillionは、個人データを処理する再委託先に対し、処理内容に応じて本DPAと実質的に同等のデータ保護義務を契約上課し、再委託先の履行について適用法上求められる責任を負います。

12. 国際データ移転

日本からSillionの所在するEU域内への提供については、日本の個人情報保護法上利用可能な同等水準国の枠組みその他適法な仕組みに従います。Sillionまたは再委託先がEEAから十分性認定のない第三国へデータを移転する場合、適用可能なEU標準契約条項（SCC）、十分性認定その他GDPRが認める仕組みを利用し、必要に応じて移転影響評価および追加措置を実施します。

13. データ主体の権利支援

Sillionは、処理の性質を考慮し、管理者がアクセス、訂正、削除、処理制限、異議申立て、データポータビリティその他適用法上の請求へ対応できるよう合理的に支援します。最終顧客からSillionへ直接請求が届いた場合、法令で禁止されない限り管理者へ転送し、管理者の指示なく独自に処理方針を決定しません。

14. セキュリティ侵害

Sillionは、管理者データに関する個人データ侵害を認識した場合、管理者が法定義務を履行できるよう、不当に遅滞なく通知します。通知には、判明している範囲で侵害の性質、影響を受けるデータ、想定影響、実施または予定する対策を含めます。事実が継続調査中の場合は段階的に情報を更新できます。

15. DPIA・監督機関への対応

Sillionは、処理に関する情報を合理的に提供し、必要な場合、管理者によるデータ保護影響評価（DPIA）や監督機関との協議を合理的な範囲で支援します。管理者固有の法的評価・申請をSillionが代行するものではありません。

16. 監査

Sillionは、本DPA遵守を示すために必要な情報を管理者へ合理的に提供します。管理者は、まず監査報告、セキュリティ資料、質問票等の既存資料による確認を行い、それで合理的に不足する場合、年1回を原則として相当な事前通知のうえ監査を求めることができます。重大な侵害または監督機関の要求がある場合はこの回数制限を適用しません。監査は他の顧客の秘密・セキュリティを害さない方法で実施します。

17. 契約終了時の返却・削除

契約終了時、管理者の選択およびOrder Formに従い、Sillionは合理的に利用可能な形式で対象データを返却した後、または返却不要の指示を受けた後、法令上保存が必要なものを除いて処理システムから削除します。バックアップに残るデータは通常の保全ローテーションに従い隔離・削除され、復元時にも削除義務を再適用します。

18. 法執行機関等からの要求

Sillionは、法的に許される限り、管理者データに関する政府・法執行機関からの強制的要求を受けた場合、管理者へ通知します。要求が過度または違法と合理的に判断される場合、利用可能な法的手段を検討します。

19. 優先関係・責任

個人データ処理に関して本DPAとB2B利用規約が抵触する場合、本DPAが優先します。責任・損害賠償の基本的な枠組みは、適用法が別段要求する場合を除き、B2B利用規約およびOrder Formに従います。

20. 適用法の変更

当事者は、GDPR、日本の個人情報保護法その他適用法の変更により本DPAの更新が必要になった場合、適法な処理を維持するため合理的に協力します。