データ処理追加条項

最終更新：29 7月 2026

本データ処理追加条項（以下「本DPA」といいます）は、本規約に同意する法人または個人（以下「お客様」といいます）と、イングランドおよびウェールズにおいて登記され、登記上の住所を71-75 Shelton Street, London, WC2H 9JQ, United Kingdomとする DeepSeer Ltd（会社番号12647524。以下「DeepSeer」といいます）との間で締結されるDeepSeer利用規約（以下「本契約」といいます）の一部を構成します。

本DPAは、DeepSeerが本サービスに関連してお客様に代わって個人データを処理する場合には常に、別途の署名を要することなく自動的に適用されます。本サービスを利用することにより、お客様は本DPAに同意したものとみなされます。例えば企業契約の一環として、個別に締結する固有の条件を含むデータ処理契約を必要とされる場合は、legal@deepseer.ai までご連絡ください。

個人データの処理に関して本DPAと本契約との間に矛盾がある場合は、本DPAが優先します。

1. 定義

• 「適用データ保護法」とは、英国GDPRおよび2018年データ保護法（改正、拡張または再制定されたものを含みます）をいいます。
• 「管理者」、「処理者」、「データ主体」、「個人データ」、「処理」および「個人データ侵害」は、適用データ保護法に定める意味を有します。
• 「顧客個人データ」とは、本契約に基づきDeepSeerがお客様に代わって処理する個人データであって、附属書1に詳述するものをいいます。
• 「本サービス」とは、本契約に記載されるDeepSeer LLM Intelligenceサービスをいいます。
• 「副処理者」とは、本サービスに関連して顧客個人データを処理するためにDeepSeerが関与させる第三者であって、DeepSeerの副処理者リストに記載されるものをいいます。
• 「英国拡張」とは、EU・米国データプライバシーフレームワークに対する英国拡張をいいます。
• 「英国移転文書」とは、ICOの国際データ移転契約（IDTA）バージョンA1.0、およびICOの欧州委員会標準契約条項に対する国際データ移転附属書バージョンB1.0（当該附属書が適用する限りにおいて、欧州委員会実施決定（EU）2021/914に添付された標準契約条項を含みます）、またはこれらに代わる英国承認の文書をいいます。

2. 適用範囲および役割

2.1 本DPAは、本サービスの提供に関連するDeepSeerによる顧客個人データの処理に適用されます。

2.2 適用データ保護法上、顧客個人データに関して、お客様が管理者、DeepSeerが処理者となります。

2.3 処理の対象事項、期間、性質および目的、ならびにデータ主体および個人データの類型は、附属書1に定めるとおりです。

3. 処理者の義務

3.1 指示。 DeepSeerは、法令により別段の対応を求められる場合を除き、本契約および本DPAに定めるものを含む、お客様の文書化された指示にのみ基づいて顧客個人データを処理します。法令により求められる場合、DeepSeerは、法的に許容される範囲で、処理の前にお客様に当該法的要求を通知します。

3.2 指示の限界。 お客様の指示は、(a) お客様の認可利用者および (b) 職業上の立場におけるお客様自身の従業員等（附属書1に記載し、本契約の禁止事項条項により制限されるもの）以外の個人に関する個人データの処理をDeepSeerに求めるものであってはなりません。これらの範囲を超える処理を求める指示は、第3.1条にいう文書化された指示には該当せず、DeepSeerはこれに従うことを拒否できます。英国GDPR第28条(3)に従い、DeepSeerは、指示が適用データ保護法に違反すると判断した場合、その旨をお客様に通知します。

3.3 秘密保持。 DeepSeerは、顧客個人データを処理する権限を有する従業員等が適切な秘密保持義務を負うことを確保します。

3.4 安全性。 DeepSeerは、英国GDPR第32条に従い、リスクに応じた適切な水準の安全性を確保するために設計された、附属書2に定める技術的および組織的措置を実施します。

3.5 再委託。 お客様は、DeepSeerの副処理者リストに記載された副処理者を関与させることについて、DeepSeerに一般的な承認を与えます。DeepSeerは、副処理者の追加または変更の予定を、少なくとも30日前に同ページに掲載し、お客様が legal@deepseer.ai への連絡により、合理的なデータ保護上の理由に基づき異議を申し立てる機会を提供します。お客様が異議を申し立て、当事者が30日以内に当該異議を解決できない場合、お客様は、違約金なく該当する本サービスを解除し、サブスクリプション期間の未経過部分について前払い料金の日割り返金を受けることができます。DeepSeerは、各副処理者に対し、本DPAに定めるものと同等以上のデータ保護義務を課します。

3.6 データ主体の権利。 DeepSeerは、処理の性質を考慮し、適用データ保護法に基づく権利を行使するデータ主体からの請求に対応できるよう、適切な技術的および組織的措置により、お客様に合理的な支援を提供します。DeepSeerが当該請求を直接受領した場合、速やかにこれをお客様に転送し、お客様の指示による場合または法令により求められる場合を除き、実質的な回答を行いません。

3.7 支援。 DeepSeerは、処理の性質およびDeepSeerが利用可能な情報を考慮して、英国GDPR第32条から第36条までに基づくお客様の義務（安全性、侵害通知、データ保護影響評価および情報コミッショナーへの事前協議）について、合理的な支援を提供します。

3.8 個人データ侵害。 DeepSeerは、顧客個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も48時間以内にお客様に通知し、お客様が自らの通知義務を履行するために合理的に要求する情報を提供します。

3.9 削除または返却。 本契約の終了または満了時に、DeepSeerは、お客様の選択に従い、法令により保持が求められる場合を除き、30日以内にすべての顧客個人データを削除または返却し、既存の複製を削除します。

3.10 監査。 DeepSeerは、本DPAの遵守を証明するために合理的に必要な情報をお客様に提供します。DeepSeerは、SOC 2 Type IIまたはISO/IEC 27001等の最新の第三者監査報告書もしくは認証を、合理的な書面による質問への回答とあわせて提供することにより、この義務を履行することができます。当該報告書が利用できない場合、または特定かつ具体的な懸念に対応するには不十分であることをお客様が示すことができる場合、DeepSeerは、合理的な事前通知、秘密保持、お客様の費用負担、および年1回を超えないこと（情報コミッショナーにより求められる場合または個人データ侵害の後を除きます）を条件として、お客様またはお客様が指名した監査人による立入検査を含む監査を認め、これに協力します。

3.11 顧客個人データによる訓練の禁止。 DeepSeerは、顧客個人データまたはお客様が本サービスに送信したコンテンツを、DeepSeer自身のものであるか第三者のものであるかを問わず、いかなる人工知能または機械学習モデルの訓練、ファインチューニング、開発または改善にも使用しません。

4. 国際移転

4.1 十分性。 顧客個人データの英国域外への移転が、英国の十分性規則の対象となる受領者（英国拡張への現行かつ有効な自己認証を維持する受領者を含みます）に対して行われる場合、DeepSeerは当該十分性に依拠することができ、かつ、当該移転のすべてについて第4.2条の保護措置を予備的手段として維持します。

4.2 契約上の保護措置。 十分性に依拠できない場合、DeepSeerの副処理者リストに記載された米国所在の副処理者に対するものを含む、顧客個人データの英国域外への移転は、該当する英国移転文書の対象となります。当該文書は、引用により本DPAに組み込まれ、お客様が本DPAに同意した日から当事者間で締結されたものとみなされます。

4.3 移転の詳細。 英国移転文書の目的において、お客様がデータ輸出者、DeepSeerがデータ輸入者となり、副処理者への再移転についてはDeepSeerが輸出者となります。当事者の詳細は本契約に記載のとおりとし、附属書1が移転の詳細を、附属書2が技術的および組織的な安全管理措置を定めます。また、いずれの当事者も、ICOが改訂版を発行したことを理由として当該文書を解除することはできません。

4.4 DeepSeerは、英国域外に所在する副処理者が本第4条と同等の移転保護措置に拘束されることを確保し、契約上の保護措置に依拠する各移転について移転リスク評価を実施し、これを文書化します。

5. 副処理者リスト

DeepSeerは、副処理者の名称、所在地および各移転において依拠する移転メカニズムを含む最新のリストを deepseer.ai/subprocessors にて維持します。同ページが正式な情報源であり、本DPAとは独立して更新されます。DeepSeerは、同ページの変更を第3.5条に従って通知します。

6. 責任

本DPAに起因または関連する各当事者の責任は、本契約に定める責任の制限および排除の対象となります。ただし、本DPAまたは本契約のいかなる規定も、英国移転文書に基づくデータ主体に対するいずれの当事者の責任も制限しません。

7. 期間

本DPAは、お客様が本契約に同意した時点で効力を生じ、本契約が終了または満了するまで有効に存続します。第3.9条に定める措置の完了は、これを妨げません。

8. 準拠法および優先関係

8.1 本DPAは、イングランドおよびウェールズ法に準拠します。ただし、第4条（国際移転）は、該当する場合には英国移転文書自体に定めるところにより規律されます。

8.2 個人データの処理に関して本DPAと本契約との間に矛盾がある場合は本DPAが優先し、その他のすべての点においては本契約が優先します。

附属書1 - 処理の詳細

英国移転文書の目的における移転の詳細を兼ねます。

対象事項。 DeepSeer LLM Intelligenceサービスの提供、すなわち、お客様のブランド、製品、経営陣および戦略が第三者の大規模言語モデルにおいてどのように表現されているかの分析。

期間。 本契約の有効期間、およびその後の顧客個人データの削除または返却のための30日間。

処理の性質および目的。 第三者の大規模言語モデル副処理者に照会し、レポートを生成するための、お客様が送信したブランドおよびステークホルダー・ペルソナに関するコンテンツの収集、保管および分析。ならびに、本サービスのログインおよび管理を提供するためのお客様のアカウントデータのホスティング。

データ主体の類型

• お客様の認可利用者。すなわち本サービスへのアクセス権を有する従業員または業務委託先。
• 職業上の立場におけるお客様自身の従業員等であって、大規模言語モデルの出力においてどのように表現されているかをお客様が分析することを選択した場合のもの。お客様は、当該個人に関して管理者であり、本人への情報提供および自らの適法な根拠の確立について責任を負います。

ペルソナ。 本サービスで用いられるステークホルダー・ペルソナ（例えば「懐疑的な機関投資家」や「業界の規制当局」など）は、本サービスの目的のためにお客様が構築した分析上の類型です。これらは識別された、または識別可能な自然人のプロファイルではなく、お客様は、上記に記載する者以外の個人を分析するために本サービスを利用することを本契約により禁止されています。

個人データの類型

• 認可利用者のアカウントデータ。氏名、業務用電子メールアドレス、ログイン認証情報、IPアドレスおよび利用ログ。
• 請求先の連絡先情報。
• お客様が自らの従業員等の表現のされ方を分析することを選択した場合、氏名、役職、雇用主、および当該個人に関する大規模言語モデルの出力内容。

特別な類型の個人データ。 DeepSeerは、英国GDPR第9条にいう特別な類型の個人データを求めておらず、本サービスはこれを処理するようには設計されていません。もっとも、特定の個人に関する大規模言語モデルの出力には、例えば政治的意見、健康または宗教的信条に関するものなど、第9条に該当する記述が含まれる可能性があります。DeepSeerは、これらを求めることはなく、また、お客様に出力を提供する以外のいかなる目的にも使用しません。お客様は、当該コンテンツに関する自らの適法な根拠について責任を負い、いつでも削除または抑制を要求することができます。

移転の頻度。 本サービスの提供期間中、継続的に行われます。

所管の監督機関。 情報コミッショナー事務局（ICO）。

附属書2 - 技術的および組織的な安全管理措置

英国移転文書の目的における安全管理措置を兼ねます。

DeepSeerは、以下の措置を実施し、維持します。

• 転送中（TLS 1.2以上）および保存時（AES-256または同等のもの）における顧客個人データの暗号化。
• 役割ベースのアクセス制御、および管理者アカウントに対する多要素認証。
• 顧客個人データを処理するシステムへのアクセスのログ記録および監視。
• 顧客個人データにアクセスする従業員等に対する秘密保持の誓約およびデータ保護研修。
• 脆弱性管理および定期的なセキュリティパッチの適用。
• 定期的なバックアップおよび文書化された災害復旧手順。
• 文書化されたセキュリティインシデント対応計画。
• 副処理者に対するデューデリジェンスおよび契約上のデータ保護義務の設定。
• 処理の目的と両立する場合における個人データの仮名化または識別性の除去。
• 顧客個人データの英国（ロンドンリージョン）における保存およびホスティング。