データ処理補遺
版 2026-10-09
本データ処理補遺（以下「DPA」）は、Craftkite（以下「本サービス」）の利用に関する、Craftkite（以下「Craftkite」または「処理者」）と本 DPA を承諾する顧客（以下「顧客」または「管理者」）との間の契約の一部を構成します。本 DPA は、EU 一般データ保護規則（GDPR）、英国 GDPR、トルコの個人データ保護法（法律第 6698 号、KVKK）その他適用されるデータ保護法（以下「データ保護法」）に基づき、Craftkite が顧客に代わって個人データを処理する場合に適用されます。
1. 役割および適用範囲
- 顧客は、顧客、そのメンバーまたは顧客が公開したアプリのエンドユーザーが本サービスに入力する個人データ（以下「顧客個人データ」）の管理者です。Craftkite はその処理者です。
- Craftkite は、プライバシーポリシーに記載のとおり、自らの事業運営に必要なアカウント、請求およびセキュリティに関するデータについては管理者です。本 DPA は当該データには適用されません。
- 処理の内容は別紙 1 に記載します。
2. 指示
Craftkite は、顧客の文書化された指示、すなわち本契約、本 DPA、ならびに顧客による本サービスの利用および設定に基づいてのみ、顧客個人データを処理します。Craftkite は、ある指示がデータ保護法に違反すると判断した場合、法律で禁止されている場合を除き、顧客にその旨を通知します。
3. 秘密保持およびスタッフのアクセス
- Craftkite は、顧客個人データの処理を許可された全員が秘密保持義務を負うことを確保します。
- Craftkite の担当者は、顧客のサポート依頼、不正利用の報告、法的義務またはセキュリティインシデントの解決に必要な場合に限り、顧客個人データおよび顧客のコンテンツ（プロンプト、プロジェクトファイル、プレビュー、アプリのデータ）にアクセスします。各アクセスには文書化された理由が必要であり、時間および範囲（1 つのアカウントまたは 1 つのプロジェクト）が限定され、閲覧したすべての項目とともに追記専用の監査証跡に記録され、アカウント → プライバシーで顧客に表示されます。スタッフ用ツールにおける個人データは、既定でマスクされます。
- Craftkite は、顧客個人データまたは顧客のコンテンツを、AI モデルの学習、事例、テンプレートもしくは評価の作成、または分析に使用せず、顧客が撤回可能な明示的同意のもとで投稿した場合に限り、コミュニティギャラリーでコンテンツを共有します。
4. セキュリティ
Craftkite は、別紙 2 に定める技術的および組織的措置を実施し、リスクに応じた適切な水準に維持します。Craftkite は、全体的な保護水準が低下しない限り、これらの措置を更新することができます。
5. 再委託先
- 顧客は、再委託先ページに記載された再委託先について、一般的な承認を与えます。
- Craftkite は、新たな再委託先が顧客個人データの処理を開始する少なくとも 30 日前に、当該ページでこれを告知します。顧客は、その期間内に、データ保護上の合理的な理由に基づいて異議を述べることができます。当事者間で異議を解決できない場合、顧客は本サービスのうち影響を受ける部分を終了し、当該部分について前払いした料金の日割りによる返金を受けることができます。
- Craftkite は、各再委託先に対し、本 DPA と同等以上の保護を与えるデータ保護義務を課し、その履行について引き続き責任を負います。
6. 国際移転
顧客個人データが EEA、英国、スイスまたはトルコから十分性認定のない国へ移転される場合、当事者は、参照により本 DPA に組み込まれる EU 標準契約条項（該当するモジュール 2 または 3）、英国国際データ移転補遺、およびトルコについては個人データ保護庁が公表する標準契約に依拠します。データ保護法が移転についてデータ主体の明示的な同意を求める場合、その同意を自らの利用者から取得する責任は顧客にあります。
7. 支援およびデータ主体からの請求
Craftkite は、処理の性質を考慮したうえで、データ主体からの請求への対応、ならびにセキュリティ、侵害通知、データ保護影響評価および事前協議に関する義務の履行について顧客を支援します。本サービスでは、顧客が自らデータをエクスポートおよび削除することができます。
8. 個人データ侵害
Craftkite は、顧客個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も 48 時間以内に、顧客が自らの義務を履行するために必要な情報とともに顧客に通知します。
9. 削除および返還
本契約の終了時、顧客は 30 日間データをエクスポートすることができます。その後、Craftkite は、法律で保存が求められる場合を除き、通常のローテーションの範囲内のバックアップを含め、顧客個人データを削除します。
10. 監査
Craftkite は、本 DPA の遵守を証明するために必要な情報（セキュリティポリシー、および入手可能な場合は独立した監査報告書（SOC 2 など）を含みます）を提供します。それで十分でない場合、顧客は、年 1 回、30 日前の通知をもって、営業時間内に、自らの費用負担により、秘密保持のもとで監査を実施することができます。
11. 責任および優先順位
本 DPA に基づく各当事者の責任は、本契約に定める制限に従います。本 DPA と本契約が矛盾する場合、顧客個人データの処理に関しては本 DPA が優先します。本 DPA の翻訳版と英語版の内容に相違がある場合、英語版が優先します。
別紙 1 — 処理の内容
| 項目 | 内容 |
|---|---|
| 対象 | 本サービスの提供：アプリの生成、実行、テスト、ホスティングおよび公開 |
| 期間 | 本契約の期間に、第 9 条の削除期間を加えた期間 |
| 性質および目的 | 保存、プロンプトおよびプロジェクトファイルの AI による処理、アプリのビルドおよびホスティング、サポート |
| データ主体 | 顧客のメンバー、顧客が公開するアプリのエンドユーザー |
| データの種類 | 氏名、メールアドレス、プロンプトおよびプロジェクトファイルの内容、公開アプリが保存するデータ（アプリのデータベース） |
| 特別な種類の個人データ | 想定していません。顧客は、別途の合意なく特別な種類の個人データを本サービスに入力してはなりません |
別紙 2 — 技術的および組織的措置
- 通信の暗号化（TLS）および保存時のシークレットの暗号化。アプリのシークレットは暗号化されたボールトに保管。
- 各プロジェクトはネットワークが制限された隔離サンドボックスで実行され、各アプリのデータベースは分離されています。
- Craftkite のスタッフに対するロールベースのアクセス制御、管理者に対する 2 段階認証の義務化、管理コンソールの IP 許可リスト、および追記専用のセキュリティ監査ログ。
- エンタープライズワークスペース向けのワークスペースロール（オーナー、管理者、編集者、閲覧者）およびシングルサインオン（SAML または OpenID Connect）。
- Craftkite のセキュリティポリシーに定めるバックアップ、監視およびインシデント対応。
- AI モデル提供事業者は、顧客データで学習を行わないことを契約上義務付けられています。リクエストには、提供されている場合は各社の非保存オプション（OpenAI
store: false）を付し、メンバーの識別子は含めません。 - スタッフの緊急時（ブレークグラス）アクセス：理由、時間制限、範囲、閲覧ごとの監査、および顧客への透明性。スタッフ用ツールにおける個人データのマスキングと、監査対象となる表示操作。個人データの完全なエクスポートはスーパー管理者に限定。
- 非公開プレビュー：プロジェクトのメンバーにのみ、または期限付きの署名済みリンクを通じて表示。
- ログ、添付ファイル、スクリーンショット、サポートチケットおよびメールログの保存期間の上限を、定期的な削除処理により適用。エラーレポートおよび分析から個人データとコンテンツを除去。