データ処理契約
GDPR第28条準拠のテンプレート · バージョン2.0 · 2026年4月17日
当事者
管理者（「発注者」）
会社名：
法人形態：
代表者：
所在地住所：
KvK番号：
メール：
処理者（「Alvoru」）
以下、総称して： 「当事者」.
以下を前提として
- 当事者は、Alvoruが処理者として発注者に代わって個人データを処理する主契約を締結していること（以下： 「主契約」);
- GDPR第28条第3項に基づき、処理者が個人データを処理する方法についての取り決めを定めた書面によるデータ処理契約が必要であること；
- このデータ処理契約（以下： 「DPA」）は主契約の不可分な一部を構成すること。
第1条 — 定義
このDPAにおいて頭文字を大文字で記載された用語は、GDPRにおいて付与される意味を持ち、Alvoruの利用規約における定義によって補完されます。
第2条 — 対象と期間
2.1 このDPAは、主契約の枠内で発注者の指示に基づきAlvoruが行う個人データの処理を規定します。
2.2 このDPAは主契約が開始する日に発効し、主契約の終了により法律上当然に終了します。ただし、その性質上効力を存続することが意図された規定はこの限りではありません。
第3条 — 処理の性質と目的
3.1 処理の性質と目的は、主契約に記載されたサービス（チャットボット、メール、カレンダーを含むAIカスタマーサービス）の提供にあります。
3.2 Alvoruは、異なる法的義務がある場合（GDPR第28条第3項a号）を除き、発注者の文書化された指示に基づいてのみ個人データを処理します。後者の場合、当該法律が重大な理由からこれを禁じない限り、Alvoruは処理に先立って発注者に通知します。
第4条 — 個人データの種類とデータ主体のカテゴリー
| データ主体のカテゴリー | 個人データの種類 |
|---|---|
| 発注者のエンドユーザー / 顧客 | 氏名、メールアドレス、電話番号、会話内容、予約情報、IPアドレス |
| 発注者の従業員 | 氏名、業務用メールアドレス、アカウント情報 |
| 顧客ポータルの訪問者 | IPアドレス、セッション情報、クッキーID |
特別なカテゴリーの個人データ（GDPR第9条）および犯罪に関するデータ（GDPR第10条）は、書面で別途合意されない限り処理されません。
第5条 — 処理者の義務
5.1 Alvoruは、主契約およびこのDPAに定められた目的のためにのみ、かつ発注者の書面による指示に基づいて個人データを処理します。
5.2 Alvoruは、個人データを処理する者が、法律に基づくものか契約に基づくものかを問わず、守秘義務を負うことを保証します。
5.3 Alvoruは、処理の性質を考慮し、GDPRに基づく権利を行使するデータ主体からの請求への対応にあたり、発注者に合理的な支援を提供します。
5.4 Alvoruは、GDPR第28条の遵守を証明するために必要なすべての情報を発注者に提供します。
5.5 AI学習の禁止。 Alvoruは、管理者に代わって処理する個人データを、AIモデルの訓練、ファインチューニング、その他の改善のために、また自社もしくは第三者のAIアプリケーションの開発のために、決して使用しません。
第6条 — セキュリティ措置（GDPR第32条）
Alvoruは、リスクに応じたセキュリティ水準を確保するため、適切な技術的および組織的措置を講じます。これには以下が含まれます：
- 転送中の暗号化（TLS 1.2以上）および該当する場合は保存時の暗号化；
- 次に基づくアクセス制御 least privilege；管理者に対する二要素認証；
- ファイアウォール、fail2ban、および侵入監視；
- 保存期間最大90日の毎日の暗号化バックアップ；
- 設定ファイルおよびデータファイルに対する制限的なファイル権限（600）；
- 本番システムへのアクセスのログ記録および監視；
- セキュリティ措置の定期的な評価および更新。
第7条 — 副処理者
7.1 発注者は、Alvoruがこの条項のその他の規定を遵守することを条件として、副処理者の利用に対する一般的な書面による同意をAlvoruに与えます。
7.2 現在利用している副処理者は以下のとおりです：
| 副処理者 | 目的 | 所在地 / 保護措置 |
|---|---|---|
| Anthropic | AIテキスト生成（主要） | アメリカ — SCC |
| OpenAI | AIテキスト生成（フォールバック） | 米国 — DPF + SCC |
| Resend | トランザクションメール | アメリカ — DPF |
| Hetzner Online | ホスティング & 保存 | EU（DE/FI） |
| Cloudflare | CDN、DDoS保護、DNS&Email Routing | DPF + SCC |
| Sentry | エラー監視（技術ログ） | EU（DE） |
| Meta Platforms Ireland | WhatsApp Business API（お客様が有効化した場合のみ） | EU（IE）+ 米国 — SCC + DPF |
| Google LLC | Workspaceのメールルーティングおよびマップスプラットフォーム | 米国 — DPF + SCC |
| Moneybird | 請求および経理 | EU（NL） |
| Mollie | 決済処理 | EU |
7.3 Alvoruは、本DPAに定められたものと同一のデータ保護義務をサブプロセッサーに課します（GDPR第28条第4項）。
7.4 Alvoruは、サブプロセッサーの変更または追加について、少なくとも14日前にお客様へ通知します。お客様はその期間内に理由を付して異議を申し立てることができます。異議に正当な理由がある場合、お客様は主契約を無償で解除する権利を有します。
第8条 — EEA域外への移転
欧州経済領域域外の国への個人データの移転は、十分性認定（GDPR第45条）、拘束的企業準則、EU標準契約条項（GDPR第46条第2項c号）、またはGDPRに定めるその他の保護措置に基づいてのみ行われ、必要な場合には追加的な技術的および組織的措置によって補完されます。
第9条 — データ主体の権利
9.1 Alvoruは、顧客ポータルの技術的機能および必要に応じた追加支援を通じて、データ主体からの要求（アクセス、訂正、削除、制限、ポータビリティ、異議）の処理においてお客様に適切な支援を提供します。
9.2 Alvoruは、Alvoruに直接寄せられたデータ主体からの要求を、遅滞なくお客様へ転送します。
第10条 — データ侵害
10.1 Alvoruはお客様に通知します 遅滞なく、遅くとも48時間以内に 個人データに関する侵害を確認した後（GDPR第33条第2項）、お客様がAutoriteit Persoonsgegevensへの72時間以内の報告義務を適時に果たせるようにします。
10.2 通知には少なくとも以下を含みます。侵害の性質、関係するデータ主体のカテゴリーおよび数、関係するレコードのカテゴリーおよび数、想定される影響、ならびに講じたまたは提案する措置。
10.3 Alvoruは、Autoriteit Persoonsgegevensへの報告、および関連する場合にはデータ主体への通知において、お客様に適切な支援を提供します。
第11条 — 監査
11.1 お客様は、少なくとも30日前の書面による事前通知を行ったうえで、暦年に1回、自らの費用でAlvoruによる本DPAの遵守状況に関する監査を実施（または実施させること）ができます。
11.2 監査は、守秘義務を負う独立した監査人により、営業時間内に、Alvoruの通常の業務運営を妨げない方法で実施されます。
11.3 Alvoruは、当該報告書が合理的に十分な保証を提供する場合、オンサイト監査に代えて独立した第三者による最新の報告書（例えばISO 27001またはSOC 2）をもって足りることができます。
第12条 — 契約の終了およびデータの削除
12.1 主契約の終了後、Alvoruは、お客様の選択および最初の書面による要求に応じて、GDPR第28条第3項g号に従い、すべての個人データを削除またはお客様へ返却します。
12.2 かかる要求は、終了後60日以内に提出することができます。提出がない場合、データは60日後に自動的に削除されます。
12.3 オフラインバックアップは、通常のローテーションスケジュールに従い、終了後遅くとも90日以内に消去されます。
12.4 Alvoruが法律上保持しなければならないデータは、法定の期間中保持されます。
第13条 — 責任
13.1 本DPAに基づくAlvoruの責任は、主契約に付随する一般利用規約の責任条項に含まれ、かつこれによって制限されます。
13.2 GDPRの強行法規はなお影響を受けません。
第13a条 — 処理活動の記録
Alvoruは、GDPR第30条に従い処理活動の記録を保持します。この記録には少なくとも以下を含みます。処理者としてのAlvoruの名称および連絡先、管理者に代わって実施される処理のカテゴリー、第三国への移転および適用される保護措置、ならびに技術的および組織的なセキュリティ対策の概略的な記述。この記録は要求に応じてAutoriteit Persoonsgegevensに提供されます。
第14条 — 準拠法および紛争
本DPAにはオランダ法が適用されます。紛争はオーファーアイセル地方裁判所アルメロ支部に付託されます。
署名
お客様を代表して
氏名：
役職：
日付：
Alvoruを代表して
氏名：Yousri
役職：オーナー
日付：
署名済みの版（スキャンまたは電子署名済み）を以下へ送付してください info@alvoru.com。Alvoruは連署した写しを返送します。