データ処理
追加条項

Base44 – データ処理追加条項（ユーザー様向け）

本データ処理追加条項（以下「DPA」といいます）は、Base44, Inc.（以下「当社」といいます）がお客様に提供するサービスを規定する利用規約、および両当事者間で締結されたその他の契約または文書（以下、総称して「本契約」といいます）の一部を構成するものです。

お客様へのアプリケーションの構築・ホスティング、人工知能機能およびサードパーティへのアプリケーションプログラミングインターフェースの提供など、当社のプラットフォームの提供および改善に必要なその他のアクション（以下、総称して「本サービス」といいます）の一部として、お客様のユーザー、クライアント、見込み客、またはお客様のアプリケーションとやり取りするその他の個人（以下「データ主体」といいます）の情報を当社がお客様に代わって処理する範囲において、本 DPA は、本契約に関連してお客様に代わって当社が受領、収集、アクセス、または使用するすべての情報（以下「個人データ」といいます）の処理に適用されるものとします。

役割と指示

お客様は、あらゆる個人データの処理に関して、お客様が以下のいずれかとして行動することを認め、同意するものとします：

個人データの処理の目的と手段を決定するデータの管理者（以下「管理者」といいます）。
または、サードパーティのために個人データを処理する処理者（以下「処理者」といいます）。

当社はお客様の処理者とみなされ、いかなる場合もデータの管理者とみなされることはありません。

お客様は、本 DPA の条件に従って個人データを処理することをここに当社に指示します。これは、当社による個人データの処理に関する完全、排他的かつ最終的な指示とみなされ、ここに記載されている内容から逸脱する追加の指示、あるいは、いかなる追加の責任または費用を課すような指示も導入されないものとします。

お客様は、本 DPA に基づいて当社に提供されるすべての個人データが、データ主体の権利や自由を侵害することなく合法的に収集され、適用されるすべてのデータ保護法（以下で定義）に準拠していることをここに引き受け、保証するものとします。

当社による処理

各当事者は、欧州連合規則 2016/679、GDPR を施行する該当する EEA 加盟国の国内法、米国データ保護法、英国一般データ保護規則、米国の連邦法および州法、カナダの連邦個人情報保護および電子文書法、ブラジルの一般データ保護法 (LGPD)、およびイスラエルのプライバシー保護法（以下「適用されるデータ保護法」といいます）を含む、個人データの処理に関して適用されるすべての法律、規則、および規制を遵守するものとします。

当社は、本契約に従って本サービスを提供するために個人データを処理するものとします。処理の性質と目的、その期間、個人データのカテゴリーは、お客様の本サービスの利用状況に応じて、お客様のみによって決定されるものとします。

当社は、以下の目的のために指定された適切な技術的および組織的対策を実施するものとします：

別紙 B に概説されている通り、お客様の個人データへの不正アクセス、開示、または破損を防止すること。
お客様がデータ主体から受け取る可能性のある要求に準拠するようお客様を支援すること。
個人データの処理に従事する当社の担当者が、個人データの機密性について通知を受け、その責任に関して適切なトレーニングを受け、機密保持を確約していることを保証すること。

当社は、お客様がプラットフォームを使用して他のサードパーティと統合し、個人データを彼らと共有することを許可する場合があります。これらのサードパーティとお客様との間の契約はお客様の独自の裁量によるものであることを明らかにし、かかる統合のための条件を確認し、締結することを強くお勧めします。

当社は、本サービスの提供のため、またはすべての個人的属性を削除した完全な匿名化プロセスの後、または集計された形式でのみ個人データを使用するものとします。

サブプロセッサ

当社は、ここに規定された制限の下でお客様に本サービスを提供するために、サードパーティ（以下「サブプロセッサ」といいます）を使用して個人データを処理する場合があります。サブプロセッサは、本サービスを提供する目的以外の目的で、集計または匿名化された基準での処理を除き、個人データを処理してはなりません。

サブプロセッサには、ここに定められた条件と実質的に類似する条件が適用されます。

当社は、サブプロセッサによって引き起こされた本 DPA の違反についてお客様に対して引き続き責任を負い、サブプロセッサに対する適切なデューデリジェンスを確保し維持するものとします。

当社が従事している現在のすべてのサブプロセッサは、別紙 C に記載されています。

当社は、お客様がサブプロセッサのリストを購読し、サブプロセッサの追加または交換の予定に関する通知を受け取ることを許可します。この通知は、かかる変更の7日前までに配信されます。通知を購読するには、compliance@base44.com 宛にメールを送信してください。

お客様は、変更通知を受領してから7日以内に、compliance@base44.com 宛に書面による理由を付した異議申し立てを提出することにより、データ保護に関する文書化された合理的な根拠に基づいて、当社によるサブプロセッサの任命または交換に合理的に異議を申し立てることができます。

そのような場合、当社は独自の裁量により、お客様が異議を唱えた新しいサブプロセッサによる個人データの処理を回避するための代替ソリューションをお客様に提供するために、商業的に合理的な努力を払う（ただし義務付けられてはいない）ことを選択できます。当社がお客様の異議に関する決定を下すまで、個人データの処理を一時的に停止することが求められる場合があり、その結果、本サービスの一部の機能が停止する可能性があります。

当社の完全かつ独自の裁量によって決定されるとおり（理由の提供義務はないものとします）、有効かつ合理的な異議申し立てを受領してから30日以内に、当社がお客様の異議を解決できない、またはお客様にそのような代替ソリューションを提供できないと判断した場合、お客様は唯一の救済策として、compliance@base44.com 宛に書面による通知を提供することにより、影響を受ける本サービスの利用を中止することができます。これは影響を受ける本サービスの中止前にお客様に発生した料金に影響を与えるものではなく、影響を受ける本サービスの中止に関連してお客様は当社に対していかなる追加の請求権も有さないものとします。上記の期間内に新しいサブプロセッサの交換または任命に対して異議が提起されなかった場合、当社は、お客様が新しいサブプロセッサを承認したものとみなします。

セキュリティ

当社は、別紙 B に記載されているとおり、お客様の個人データへの不正アクセス、開示、または破損を防ぐために設計された、業界標準の技術的および組織的セキュリティ対策を実施し、これを維持します。

お客様は、データセキュリティに関して当社が提供する情報を確認し、本サービスがお客様のニーズ、要件、および法的義務を満たしているかどうかを独自に判断する責任があります。

適用される範囲において、お客様はさらに、本サービスを適切に構成し、利用可能な特徴や機能を使用して個人データの適切なセキュリティを維持する責任を負います。

当社のサービスを使用することにより、お客様は、当社が実施した組織的、技術的、およびセキュリティ対策の妥当性に同意するものとします。

監査

お客様からの合理的な書面による要求に基づき、合理的な間隔（12か月に1回を上限）で、かつお客様による機密保持の約束（該当する場合）を条件として、当社は、お客様が当社の個人データに関する本 DPA の遵守状況を評価できるように、当社のデータ保護慣行の監査を担当する情報源から容易に入手できる報告書、証明書、またはその抜粋をお客様に提供します。

かかる文書が、適用されるデータ保護法に基づくお客様に対する当社の法的義務を果たすことができない範囲において、当社は、適用されるデータ保護法で義務付けられている通り、合理的なアンケートの送信や当社の担当者へのインタビューなどの合理的な方法により、当社にいかなる追加の費用も課すことなく、お客様が独立した監査を実施することを許可するものとします。

セキュリティインシデント

個人データが偶発的または違法に破壊、紛失、改ざん、開示、またはアクセスされたことが確認されたセキュリティインシデントに気づいた場合、当社は、適用されるデータ保護法で義務付けられている通り、不当な遅滞なくお客様に通知するものとします。

当社は、関連する侵害の性質、影響を受ける記録や影響を受けるデータ主体の範囲と種類、予想される結果、および当社が展開した修復とその他の対策に関する詳細など、かかる通知に関連情報を含めるよう合理的な努力を払います。

お客様は、かかる通知が、かかるインシデントに関する当社の過失または責任の承認であるとみなされたり解釈されたりしてはならないことを認めるものとします。

お客様はまた、かかるインシデントが発生した場合、データ主体への損害を軽減するために適用されるデータ保護法に基づいて義務付けられている措置を講じる義務がある可能性があることも認めるものとします。

支援および個人データへのアクセス要求

法律で禁止されていない限り、当社は、当局から個人データへのアクセスを求める要求、要求、令状、または同様の照会を受けた場合、速やかにお客様に通知するものとします。当社は、それらの要求が拘束力があると合理的に信じない限り、個人データへのアクセスを提供せず、これらの場合には、かかる照会を遵守するために必要な範囲に個人データへのアクセスを制限するものとします。

当社は、お客様の代わりに行われる個人データの処理に関して特にデータ主体から要求を受けた場合、速やかにお客様に通知するものとします。当社はかかる要求に対応する責任を負わず、かかる要求に対応するために必要な容易に入手可能な情報をお客様に提供するものとします。

当社は、お客様がかかる拘束力のある要求に応じるのを支援するために、メカニズム（自動または手動）をお客様に提供します。

適用されるデータ保護法で要求される範囲において、当社は、お客様に代わって処理活動の記録を保持し、お客様の要求に応じて、そのような法的要件の遵守を証明するために必要な記録をお客様に提供するものとします。

国境を越えたデータ移転

当社は、適用されるデータ保護法を遵守して適切な国境を越えた移転が行われることを確実にするために要求される次のような合法的なメカニズムを使用して、欧州経済領域（EEA）、スイス、および英国からのみ、そのサブプロセッサに個人データを移転するものとします。(i) 個人データに対する適切な保護レベルを提供していると EEA によって認められている国への移転； (ii) EU-US データプライバシーフレームワークおよびその適用される拡張； (iii) 欧州議会および理事会の規則 (EU) 2016/679 に基づく第三国への個人データの移転に関する標準契約条項に関する2021年6月4日の欧州委員会実施決定 (EU) 2021/914 によって承認された、EU 標準契約条項モジュール2または3（該当する場合）（以下「SCC」といいます）； (iv) その他承認されたメカニズム。

展開される該当する国境を越えた移転の仕組みが SCC である範囲において、両当事者は、以下を加えてこれを本 DPA に組み込むことに同意します。

第7項：適用されません。
第9項：オプション1が適用されます。
第17項：「EU 加盟国」はアイルランドとします。
第18項：「EU 加盟国」はアイルランドとします。

英国またはスイス国外への移転については、適用される必須の変更が準用されるものとします。

契約の終了

お客様の書面によるリクエストに応じて、当社は以下を除き、そこに保存されているすべての個人データを含め、お客様のアカウントを削除します。

法律で義務付けられている範囲で当社によって保持されるデータ。
当社の自動バックアップ手順中に当社によって保持されるデータ（一定の間隔の後に削除されます）。

上記の例外に従って本 DPA の終了後も個人データが保持される範囲において、個人データは本 DPA の条件の対象となり、システムから削除されるまで他の目的でアクセスまたは使用されることはありません。

米国州法固有の条件

以下の条件は、米国を発生源とする個人データに関連します。

疑義を避けるために、「個人データ」、「データ主体」、「管理者」、および「処理者」の定義には、2020年カリフォルニア州プライバシー権利法（CPRA）により修正された2018年カリフォルニア州消費者プライバシー法（CCPA）に定義されている通り、それぞれ「個人情報」、「消費者」、「事業者」、および「サービスプロバイダー」の定義が含まれます。さらに、「販売（Sell）」および「共有（Share）」という用語は、CCPA の下でそれらに帰せられる意味を持つものとします。

当社は以下を行わないものとします：

個人データを販売または共有すること。
本 DPA で指定された事業目的以外の目的、または本 DPA で指定されたデータ処理活動の範囲外で個人データを使用すること。
お客様から、またはお客様に代わって受け取った個人データを、本サービスに関連しない当社によって収集された他の情報と組み合わせること。
本 DPA に従ってお客様に通知することなく、個人データの処理を支援または参加するために他の当事者と関与すること。

お客様は以下の権利を有します：(a) 個人データの処理が本 DPA と一致していることを確認すること； (b) 第5項（監査）で定義されている合理的な措置を講じて、当社が本 DPA または CCPA に基づく当社の義務と一致する方法で個人データを使用していることを保証すること；および (C) 個人データの不正利用があった場合、当社に書面で通知することにより本 DPA を終了し、アカウントと個人データを削除すること。

当社は、個人データが米国内で発生する場合、適用されるデータ保護法に基づく要件（個人データに関するすべての拘束力のある制限を含む）を理解し、これに従うことをここに認めます。

一般条項

当社は、本 DPA または適用されるデータ保護法に基づく義務をもはや満たすことができなくなった場合、お客様に通知を提供します。

本 DPA の条件は、関連する修正された DPA を自社 Web サイトに掲載することにより、当社によって随時修正される場合があります。修正された DPA が掲載された後も本サービスを継続して使用することにより、お客様は修正された DPA に同意し、これを承諾したものとみなされます。

管轄権を有する裁判所によって本 DPA のいずれかの条項が無効、違法、無効、または何らかの理由で執行不能であるとみなされた場合でも、その条項は分離可能とみなされ、残りの条項の有効性および執行可能性には影響を与えないものとします。

疑義を避けるため、また適用法で許可される範囲において、その制限を含め、本 DPA に基づくすべての責任は、当社の利用規約の関連規定に準拠するものとします。

本 DPA は英語で作成されており、お客様の便宜のために他の言語に翻訳される場合があります。本 DPA の翻訳版（非英語版）が英語版と何らかの形で矛盾する場合、英語版の規定が優先するものとします。

別紙 A – 処理の詳細

処理の性質と目的: 当社は、以下の目的（およびそのような目的に関連するタスク）のために個人データを使用する場合があります。これらはすべて本契約に準拠し、相応かつ、お客様とお客様のユーザーのユーザーのプライバシーの権利を尊重する方法で行われます：

サブプロセッサを通じたものも含め、お客様に本サービスを提供すること
お客様の指示に基づいて行動すること（お客様のリクエストがあった場合にのみ専門的な支援を提供することを含みます。ただし、お客様の指示が本 DPA の条件および本サービスと一致していることが条件となります）
データセキュリティのリスクおよびインシデント、詐欺、エラー、および/または違法または禁止された活動を防止、調査、緩和すること
適用される法律および規制を遵守すること

処理の期間: お客様は、お客様のニーズとお客様の独自の裁量に基づいて処理の期間を決定します。当社は、本 DPA の条件に従って、第9項（契約の終了）に基づき個人データを削除するものとします。

個人データの種類: 本 DPA および本契約に基づくお客様のコンテンツ制限義務を条件として、適用されるデータ保護法に準拠し、お客様のみによって管理および決定される範囲と性質。

データ主体のカテゴリー: 本 DPA および本契約に基づくお客様のコンテンツ制限義務を条件として、お客様はサービスに個人データを送信することができます。これには、以下のカテゴリのデータ主体に関連する個人データが含まれる（ただしこれらに限定されない）場合があり、これらはすべてお客様のみによって管理および決定されます：(i) 自然人である既存および将来の従業員、候補者、代理人、コンサルタント、フリーランサー、ビジネスパートナーおよび/または下請け業者（およびそれぞれの従業員、担当者、代理人など）；(ii) 自然人であるお客様の既存および見込みの顧客およびエンドユーザー（およびそれぞれの従業員、担当者および代理人）；および (iii) サービスを通じて関与することを決定したその他の第三者の個人。