個人データの取扱いに関する覚書（DPA）

法人のお客様がPulseをご利用になる場合、UNCHAIN株式会社は、お客様が個人情報取扱事業者として取り扱う個人データについて、その取扱いの委託を受ける立場に立ちます。この覚書は、その委託に関する両者の権利義務を条文の形で定めたものです。個人情報の保護に関する法律（以下「個人情報保護法」といいます）第25条に基づく委託先の監督を行うにあたり、お客様に確認いただきたい事項を網羅しています。

---

〔委託元となるお客様の商号〕（以下「委託元」という。）とUNCHAIN株式会社（以下「委託先」という。）は、委託元がPulse（以下「本サービス」という。）を利用するにあたり、委託元が委託先に対して個人データの取扱いを委託することに関し、次のとおり個人データの取扱いに関する覚書（以下「本覚書」という。）を締結する。

#第1章 総則

#第1条（目的及び適用範囲）

1. 本覚書は、委託元が本サービスの利用に伴い委託先に取り扱わせる個人データについて、個人情報保護法その他の関係法令を遵守した取扱いを確保するため、委託元及び委託先の権利義務を定めることを目的とする。

2. 委託元が委託先に対して個人データを提供し、委託先がこれを取り扱う行為は、個人情報保護法第27条第5項第1号に定める委託に伴う提供に該当し、同条第1項の第三者提供には該当しないことを、両当事者は確認する。

3. 本覚書は、委託元と委託先との間の利用規約その他本サービスの提供に関する契約（以下「本契約」という。）の一部を構成する。

4. 個人データの取扱いに関する事項について本覚書の定めと本契約の定めとが抵触する場合には、本覚書の定めが優先して適用されるものとする。それ以外の事項については本契約の定めによる。

5. 本覚書は、委託元が本サービスにおいて取り扱う個人データのうち、委託元が個人情報取扱事業者として取り扱うものに適用する。委託先が自らの事業のために取得し、自ら利用目的を定めて取り扱う個人情報（委託元の担当者の氏名及び連絡先、課金及び請求に関する情報、サービスの稼働状況に関する情報等）については、本覚書は適用されず、委託先のプライバシーポリシーの定めるところによる。

#第2条（定義）

本覚書において使用する用語の意義は、次の各号に定めるところによる。本覚書で定義しない用語は、個人情報保護法及び本契約の定めるところによる。

1. 個人情報 個人情報保護法第2条第1項に定める個人情報をいう。生存する個人に関する情報であって、氏名その他の記述等（音声、動作その他の方法を用いて表された一切の事項を含む。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。

2. 個人データ 個人情報保護法第16条第3項に定める個人データ、すなわち個人情報データベース等を構成する個人情報をいう。

3. 要配慮個人情報 個人情報保護法第2条第3項に定める要配慮個人情報をいう。本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他同法施行令第2条に定める記述等が含まれる個人情報をいう。

4. 個人情報取扱事業者 個人情報保護法にいう個人情報取扱事業者をいう。

5. 委託 個人情報保護法第27条第5項第1号にいう、利用目的の達成に必要な範囲内における個人データの取扱いの全部または一部の委託をいう。

6. 委託元個人データ 委託元が本サービスの利用に伴い委託先に取り扱わせる個人データをいう。その具体的な項目、本人の範囲、取扱いの目的及び取扱期間は別紙1に定める。

7. 再委託先 委託先が委託元個人データの取扱いの全部または一部を再委託する相手方をいう。再委託先がさらに委託する場合の相手方（再々委託先以下を含む。）を含む。

8. 漏えい等 委託元個人データの漏えい、滅失または毀損をいい、これらが発生したおそれがある事態を含む。

9. 安全管理措置 個人情報保護法第23条に基づき、個人データの漏えい等の防止その他の個人データの安全管理のために講ずる必要かつ適切な措置をいう。

10. 本人 委託元個人データによって識別される特定の個人をいう。

#第3条（委託の内容）

1. 委託元は、委託先に対し、本サービスの提供を受けるために必要な範囲で、委託元個人データの取扱いを委託する。委託先はこれを受託する。

2. 委託する業務の内容、取り扱う個人データの項目、本人の範囲、取扱いの目的及び取扱期間は、別紙1に定めるところによる。

3. 委託元は、委託元個人データを委託先に提供するにあたり、その取得が個人情報保護法その他の法令に従って適正に行われたものであること、及び委託先による取扱いが委託元の特定した利用目的の達成に必要な範囲内であることを保証する。

4. 委託元は、本サービスの利用にあたり、あらかじめ特定した利用目的の範囲を超えて委託元個人データが取り扱われることのないよう、自らの責任において利用目的の特定、通知または公表その他の必要な措置を講じるものとする。

5. 委託元は、会議の記録にあたり、参加者に対して録音及び文字起こしが行われることを告知すること、並びに要配慮個人情報が記録される可能性がある場合に本人の同意を得ることについて、自らの責任において対応するものとする。

第3条第3項から第5項は、取得の適法性と本人への対応の責任が委託元にあることを定めるものである。参加者への告知の考え方と文例はAI議事録をどこまで使ってよいか（チーム向けガイド）に掲載している。

#第2章 委託先の義務

#第4条（委託元の指示に従った取扱い及び目的外利用の禁止）

1. 委託先は、委託元個人データを、本契約、本覚書及び別紙1に定める範囲並びに委託元の指示に従ってのみ取り扱うものとし、これらの範囲を超えて取り扱ってはならない。

2. 委託先は、委託元個人データを、委託された業務の遂行以外の目的に利用してはならない。委託先自身の事業のための分析、統計の作成、AIモデルの開発または改良を含め、委託の範囲を超える取扱いは行わないものとする。AIモデルの学習への利用については第14条に定める。

3. 本契約及び本覚書は、委託元から委託先に対する個人データの取扱いに関する包括的な指示を構成する。本契約及び本覚書の範囲を超える個別の指示は、書面（電磁的記録を含む。以下同じ。）によるものとし、これに要する費用の負担について両当事者が別途合意するものとする。

4. 委託先は、委託元の指示が個人情報保護法その他の法令に違反すると判断した場合には、遅滞なくその旨を委託元に通知するものとする。この場合、委託先は当該指示に従うことを拒むことができる。

5. 委託先は、法令に基づき委託元個人データを取り扱う必要がある場合には、法令上禁止されている場合を除き、あらかじめその旨を委託元に通知するものとする。

#第5条（第三者への開示の制限及び法令に基づく開示要請への対応）

1. 委託先は、委託元の事前の書面による承諾なく、委託元個人データを第三者に提供し、または開示してはならない。ただし、第9条に定める再委託先に対する提供、及び次項の定めによる場合はこの限りでない。

2. 委託先は、法令に基づく場合、または裁判所、捜査機関その他の権限を有する公的機関から適法かつ有効な要請を受けた場合に限り、必要な範囲で委託元個人データを開示することができる。

3. 委託先は、前項の要請を受けた場合、法令上禁止されている場合及び緊急を要する場合を除き、開示に先立って委託元にその旨を通知し、委託元が不服申立てその他の対抗手段をとる機会を確保するものとする。

4. 委託先は、前項の要請に対し、可能な限り、要請元に対して委託元に直接照会するよう求めるものとする。

5. 委託先は、委託元個人データを、いかなる名目によっても販売してはならない。

#第6条（安全管理措置）

1. 委託先は、委託元個人データの漏えい等の防止その他の安全管理のために、個人情報保護法第23条に基づく必要かつ適切な措置を講じるものとする。

2. 前項の措置の内容は、個人データの取扱いに関する基本方針の策定及び取扱規律の整備を前提として、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置並びに外的環境の把握の各区分について、別紙2に定めるところによる。

3. 委託先は、技術の進展、脅威の変化及び業界の標準に応じて安全管理措置の内容を変更することができる。ただし、変更後の措置の水準が変更前の水準を実質的に下回るものであってはならない。

4. 委託先は、外国において委託元個人データを取り扱う場合には、当該外国の個人情報の保護に関する制度を把握したうえで、安全管理のために必要かつ適切な措置を講じるものとする。委託先は、委託元の求めに応じて、当該外国の名称、サーバーの所在国の名称及び把握を踏まえて講じた措置の内容を委託元に提供するものとする。

5. 委託元は、本サービスの利用にあたり、アカウントの認証情報及びAPIの認証情報の管理、自社内における利用権限の設定、並びに管理者による共有範囲の設定について、自らの責任において適切な措置を講じるものとする。

#第7条（従業者の監督及び秘密保持）

1. 委託先は、委託元個人データを取り扱う従業者に対し、個人情報保護法第24条に基づく必要かつ適切な監督を行うものとする。

2. 委託先は、委託元個人データを取り扱う従業者の範囲を業務上必要な限度に限定し、当該従業者との間で秘密保持に関する義務を定めるものとする。この義務は、当該従業者の退職後も存続する。

3. 委託先は、委託元個人データを取り扱う従業者に対し、個人データの取扱いに関する教育を、就業の開始時及び定期的に実施するものとする。

4. 委託先は、本覚書に基づいて知り得た委託元の秘密情報及び委託元個人データを、本覚書の目的以外に使用せず、第三者に開示または漏えいしてはならない。本項の義務は、本覚書の終了後も存続する。

5. 本サービスのうち利用者間のやり取りを媒介する機能に関して委託先が知り得た通信の秘密に属する情報について、委託先及びその従業者は、法令に基づく場合その他の正当な理由がある場合を除き、これを取得し、利用し、または開示しない。この義務は在職中及び退職後を通じて継続する。

本サービスのどの機能が電気通信事業法の規律の対象となるかは機能の構成によって決まる。UNCHAIN株式会社の現況と届出の要否はセキュリティ体制に記載している。

#第8条（記録の作成及び保存）

1. 委託先は、委託元個人データの取扱状況を確認できるよう、次に掲げる事項に関する記録を作成し、保存するものとする。

• 委託元個人データへのアクセスの記録（アクセスした者、日時及び操作の種類）
• 利用権限の付与、変更及び削除の記録
• 委託元個人データの複製、移送及び削除の記録
• 再委託先に対する委託元個人データの提供の記録

2. 前項の記録の保存期間は〔　〕年とする。記録の種類により保存期間を異にする場合は、種類ごとの期間を定め、委託元の求めに応じて通知する。

3. 委託先は、委託元の求めに応じ、前項の記録のうち委託元個人データに関する部分の概要を、合理的な範囲で委託元に提供するものとする。ただし、当該提供により委託先の安全管理に支障を及ぼすおそれがある部分については、この限りでない。

4. 委託元個人データの取扱いは個人情報保護法第27条第5項第1号に定める委託に該当するため、同法第29条に基づく第三者提供に係る記録は作成されない。第三者提供に係る記録の開示請求への対応は第11条に定める。

#第3章 再委託及び外国にある第三者への提供

#第9条（再委託）

1. 委託先は、委託元個人データの取扱いの全部または一部を第三者に再委託することができる。再委託を行う場合の承諾の方式は、次のいずれかによるものとし、両当事者は締結時にいずれによるかを合意する。

• 方式A（個別承諾） 委託先は、再委託を行おうとするときは、あらかじめ、再委託先の名称、所在国、再委託する業務の内容及び再委託先が講ずる安全管理措置の内容を委託元に書面で通知し、委託元の書面による承諾を得るものとする。
• 方式B（一般承諾及び事前通知） 委託元は、本覚書の締結をもって、別紙3に記載する再委託先への再委託をあらかじめ承諾する。委託先は、再委託先を追加し、または変更しようとするときは、変更の〔　〕日前までに、別紙3を更新したうえで委託元に通知するものとする。

2. 前項方式Bによる場合、委託元は、通知を受けた日から〔　〕日以内に、個人データの保護に関する合理的な理由を示して、書面により当該追加または変更に異議を述べることができる。当該期間内に異議が述べられなかったときは、委託元は当該追加または変更を承諾したものとみなす。

3. 委託元が前項の異議を述べた場合、委託先は、当該異議の理由を検討し、委託元の懸念を解消するために商業的に合理的な努力を行うものとする。委託先が代替となる再委託先を提供できず、かつ委託元の懸念が解消されない場合、委託元は、影響を受ける本サービスの範囲について、違約金を負担することなく本契約を解約することができる。

4. 委託元は、一部の再委託先が本サービスの提供に不可欠であり、当該再委託先の利用に異議を述べた場合には本サービスの全部または一部を利用できなくなる場合があることを了承する。

5. 委託先は、再委託先との間で、本覚書に定める委託先の義務と同等以上の義務を再委託先に課す内容の契約を書面により締結するものとする。当該契約には、少なくとも次の事項を含めるものとする。

• 委託された業務の範囲を超える取扱いの禁止
• 安全管理措置の内容
• 従業者の監督及び秘密保持
• 漏えい等が発生した場合の委託先に対する通知
• 再々委託を行う場合の条件
• 契約終了時の返還または消去

6. 委託先は、再委託先における委託元個人データの取扱状況を定期的に把握し、必要に応じて是正を求めるものとする。

7. 委託先は、再委託先の作為または不作為について、委託先自らが行ったものとして委託元に対する責任を負う。

#第10条（外国にある第三者への提供）

1. 両当事者は、個人情報保護法第28条第1項が個人データの取扱いの委託に伴う提供にも適用され、委託であることを理由として同条の適用が除外されるものではないことを確認する。

2. 委託先は、外国にある再委託先に対して委託元個人データを提供する場合には、次のいずれかの要件を満たす場合に限り、これを行うものとする。

• 同等水準国への提供 当該外国が、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものである場合
• 基準適合体制の整備 当該再委託先が、個人情報保護委員会規則で定める基準に適合する体制を整備している者である場合
• 本人の同意 委託元が、あらかじめ本人から外国にある第三者への提供を認める旨の同意を得ている場合

3. 委託先は、前項の基準に適合する体制を確保するため、外国にある再委託先との間で、個人情報保護法第4章第2節の規定の趣旨に沿った措置の実施を確保する内容の契約を締結するものとする。

4. 委託先は、委託元が自らの立場において個人情報保護法第28条に基づく義務を履行し、及び本人に対する説明を行うことができるよう、委託元の求めに応じ、次に掲げる事項に関する情報を遅滞なく委託元に提供するものとする。

• 外国にある再委託先の名称
• 当該再委託先が所在する外国の名称
• 当該外国における個人情報の保護に関する制度の有無及びその概要（本人の権利利益に重大な影響を及ぼす可能性のある制度の有無を含む。）
• 当該再委託先に提供する委託元個人データの項目及び提供の頻度
• 当該再委託先が講ずる個人情報保護法第4章第2節の規定の趣旨に沿った措置（以下「相当措置」という。）の概要
• 相当措置の実施を確保するために委託先が採用する体制整備の方法
• 委託先による確認の頻度及び方法
• 相当措置の実施に支障が生じた場合には、その旨及びその概要

5. 委託先は、外国にある再委託先による相当措置の実施状況及び当該外国における個人情報の保護に関する制度の有無並びにその内容を、少なくとも年1回定期的に確認するものとする。

6. 委託先は、前項の確認の結果、相当措置の実施に支障が生じていることを把握した場合には、必要かつ適切な措置を講じるものとし、相当措置の継続的な実施の確保が困難となったときは、当該再委託先に対する委託元個人データの提供を停止するものとする。この場合、委託先は遅滞なくその旨を委託元に通知する。

7. 委託先は、本人から委託元に対して個人情報保護法第28条第3項に基づく情報提供の求めがあった場合、委託元が当該求めに応じることができるよう、第4項に掲げる事項について必要な情報を遅滞なく提供するものとする。

8. 委託元が第2項の本人の同意による方法を選択する場合、委託先は、委託元が同意の取得に際して本人に提供すべき事項（移転先の外国の名称、当該外国における個人情報の保護に関する制度に関する情報及び当該再委託先が講ずる措置に関する情報）を委託元に提供するものとする。

9. 委託先は、外国にある再委託先を追加し、または変更する場合には、第9条に定める手続に加え、第4項に掲げる事項を委託元に通知するものとする。

現在、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定められているのは、欧州連合（英国を除く。）及び英国です。これら以外の国に所在する再委託先に委託元個人データを提供する場合は、第10条第2項の基準適合体制の整備または本人の同意のいずれかの要件を満たす必要があります。指定の状況は変わることがあるため、締結の前に個人情報保護委員会の公表内容をご確認ください。

実際にどの国のどの事業者に委託元個人データが提供されるかは別紙3に定める。委託元向けの説明はセキュリティ・プライバシーに関するFAQに、本人向けの説明はプライバシーポリシーの「外国にある第三者への提供」に掲載している。

#第4章 本人への対応及び漏えい等への対応

#第11条（本人からの請求等への対応）

1. 本人から個人情報保護法第33条から第35条までに基づく請求（保有個人データの開示、第三者提供に係る記録の開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の停止の請求をいう。以下「開示等の請求等」という。）を受けた場合、及び個人情報の取扱いに関する苦情（同法第40条）の申出を受けた場合の対応は、委託元が行うものとする。

2. 委託先は、委託元が開示等の請求等に応じるために必要となる情報の抽出、複製、訂正、削除その他の作業について、委託元の求めに応じて合理的な範囲で協力するものとする。委託先は、当該協力を、委託元の求めを受けた日から〔　〕営業日以内に完了するよう努めるものとする。

3. 委託先は、委託元個人データに関して本人から直接開示等の請求等または苦情の申出を受けた場合、自らこれに応答せず、当該本人に対して委託元に申し出るよう案内するとともに、法令上禁止されている場合を除き、遅滞なくその旨を委託元に通知するものとする。ただし、委託元の書面による指示がある場合または法令により対応が義務づけられる場合はこの限りでない。

4. 委託元個人データの取扱いは委託に該当し、第三者提供には該当しないため、個人情報保護法第29条に基づく第三者提供に係る記録は作成されない。本人から第三者提供に係る記録の開示を請求された場合、委託元は、該当する記録が存在しない旨を遅滞なく本人に通知するものとする。

5. 委託先は、本サービスにおいて、委託元個人データを含むノート、文字起こしその他のデータを電磁的記録の形式で出力する機能を提供する。委託元は、当該機能を利用して開示の請求に対応することができる。

6. 第2項の協力が委託先にとって過大な作業を伴う場合、両当事者は、当該協力に要する費用の負担について別途協議するものとする。

#第12条（漏えい等が発生した場合の対応）

1. 委託先は、委託元個人データについて漏えい等が発生し、または発生したおそれがあることを知ったときは、速やかに、遅くとも当該事実を知った時から〔　〕時間以内に、委託元に通知するものとする。

2. 前項の通知には、その時点で把握している範囲で、次に掲げる事項を含めるものとする。把握できていない事項がある場合、委託先は、判明次第、速やかに追加の報告を行う。

• 漏えい等が発生し、または発生したおそれがある事態の概要
• 漏えい等が発生し、または発生したおそれがある委託元個人データの項目
• 漏えい等が発生し、または発生したおそれがある委託元個人データに係る本人の数
• 原因
• 二次被害またはそのおそれの有無及びその内容
• 本人への対応の実施状況
• 公表の実施状況
• 再発防止のための措置
• その他参考となる事項

3. 委託先は、漏えい等の事態の拡大防止、原因の調査及び復旧のために必要な措置を速やかに講じ、その経過及び結果を委託元に報告するものとする。

4. 委託元個人データに関する個人情報保護委員会への報告（速報及び確報）並びに本人への通知は、委託元が行うものとする。委託先による第1項の通知は、個人情報保護法第26条第1項ただし書に基づく委託元への通知として行われる。

5. 前項にかかわらず、両当事者が書面により合意した場合には、委託先が委託元に代わって個人情報保護委員会への報告及び本人への通知を行うことができる。この場合、委託先は、報告及び通知の内容についてあらかじめ委託元の確認を得るものとする。

6. 委託先は、委託元が個人情報保護委員会への報告及び本人への通知を行うために必要な情報を、委託元の求めに応じて遅滞なく提供するものとする。

7. 両当事者は、漏えい等の事態について外部に公表しようとする場合、法令に基づき公表が義務づけられる場合及び緊急を要する場合を除き、公表の時期、内容及び方法についてあらかじめ相手方と協議するものとする。

8. 本条に基づく通知、報告及び協力は、当該事態について委託先が責任を認めたことを意味するものではない。

#第5章 監査、取扱いの制限及び終了時の措置

#第13条（監査及び取扱状況の報告）

1. 委託先は、委託元が個人情報保護法第25条に基づく委託先の監督を行うために、委託元の求めに応じ、委託元個人データの取扱状況に関する情報を提供するものとする。提供する情報には、安全管理措置の実施状況、再委託先の一覧及び本覚書の遵守状況を含む。

2. 前項の情報提供は、次のいずれかの方法によることができる。

• 本ヘルプセンター及びセキュリティ体制に掲載する情報の提供
• 委託先が作成するセキュリティチェックシートへの回答
• 委託先が第三者機関から取得した評価報告書または認証の証跡の提供

3. 前項の情報によっては本覚書の遵守状況を確認することができない合理的な理由がある場合、委託元は、書面による事前の通知のうえ、委託元個人データの取扱いに関する監査を実施することができる。

4. 前項の監査は、次の条件に従って実施するものとする。

• 実施の〔　〕日前までに委託先に書面で通知すること
• 1年に〔　〕回を超えないこと。ただし、漏えい等が発生した場合または委託先による重大な本覚書違反が認められた場合はこの限りでない
• 委託先の営業時間内に実施すること
• 委託元個人データの取扱いに関連する範囲に限ること
• 委託先の競業者でない者を監査人とすること
• 監査人が委託先との間で秘密保持契約を締結すること
• 他の顧客の情報、委託先の営業秘密及び開示により安全管理に支障を及ぼすおそれのある情報を対象としないこと

5. 監査に要する費用は〔委託元／委託先〕が負担する。ただし、監査の結果、委託先による重大な本覚書違反が判明した場合には、委託先が費用を負担する。

6. 委託元は、監査の結果を委託先に提供するものとする。委託先は、監査により明らかとなった不備について、合理的な期間内に是正するものとする。

#第14条（AIモデルの学習その他委託の範囲を超える取扱いの禁止）

1. 委託先は、委託元個人データを、委託先または第三者が提供するAIモデルの開発、学習、再学習または評価の用に供してはならない。

2. 前項の取扱いは、委託された業務の範囲を超える取扱いに当たる。委託先がこれを行うためには、委託元において利用目的を特定したうえで本人の同意を得るか、または個人情報保護法に定める仮名加工情報もしくは匿名加工情報への加工を行う必要があり、いずれも本覚書の範囲外である。

3. 委託先は、文字起こし、要約その他の生成処理のために外部の事業者が提供するAIの推論サービスを利用する場合、当該事業者との間で、送信されたデータを応答の生成以外の目的（当該事業者による機械学習を含む。）に利用しないことを契約上定めるものとする。

4. 委託先は、委託元の求めに応じ、前項の契約上の定めの有無及びその概要を委託元に説明するものとする。

5. 委託元は、本サービスが生成する要約その他の出力の内容が、委託元の意図する用途に適切であるかどうかを判断する責任を負い、当該出力に依拠する前に必要な確認を行うものとする。

第14条第1項及び第2項は、第1条第2項及び第4条に引用した委託の枠組みから導かれる帰結を明文化したものである。委託元から預かった会議データを委託先自身のAIモデルの学習に用いることは、この枠内では行えない。また、個人情報保護委員会が令和5年6月2日に公表した生成AIサービスの利用に関する注意喚起は、生成AIを利用する事業者に対し、特定された利用目的の達成に必要な範囲内であることの確認と、生成AIの提供事業者が入力された個人データを機械学習に利用しないこと等の確認を求めており、第14条第3項及び第4項はこれに対応する。

本条は法人向けプラン（チームプラン・Enterpriseプラン）を前提とする。無料プラン及び個人プランでは学習への利用が既定でオンであり、利用者自身が設定でオフにできる。プランごとの扱いと設定の手順はAIモデルと学習データに記載している。

#第15条（契約終了時の措置）

1. 委託先は、本覚書の終了後、委託元の指示に従い、委託元個人データを委託元に返還し、または消去するものとする。委託元は、本覚書の終了の日から〔　〕日以内に、返還と消去のいずれによるかを書面により指示するものとする。

2. 委託元が前項の期間内に指示を行わない場合、委託先は、委託元個人データを消去するものとする。

3. 委託先は、前2項による消去を、本覚書の終了の日から〔　〕日以内に完了するものとする。バックアップに含まれる委託元個人データについては、バックアップの保存期間の満了に伴って順次消去され、遅くとも本覚書の終了の日から〔　〕日以内に消去が完了する。

4. 委託先は、委託元の求めに応じ、消去が完了した旨を記載した書面を委託元に交付するものとする。

5. 前各項にかかわらず、法令により保存が義務づけられる情報については、当該法令に定める期間これを保存するものとする。この場合、委託先は、保存する情報の範囲、根拠となる法令及び保存期間を委託元に通知し、当該情報について本覚書に定める安全管理措置を継続して適用する。

6. 委託元は、本サービスの利用中においても、本サービスの機能により委託元個人データを削除し、または文字起こしの保存期間を設定することができる。保存期間の既定値は自動削除を行わない設定であり、ワークスペース全体への一括適用はEnterpriseプランにおいて提供する。設定の方法は文字起こしの自動削除に記載する。

7. 委託元が第1項の返還を求める場合において、本サービスが標準で提供する出力機能と異なる形式または方法による返還を求めるときは、これに要する費用の負担について両当事者が別途協議するものとする。

#第6章 一般条項

#第16条（損害賠償及び責任の制限）

1. 委託元及び委託先は、本覚書に違反したことにより相手方に損害を与えた場合、当該損害を賠償する責任を負う。

2. 委託先が委託元に対して負う損害賠償の額は、当該損害の原因となった事由が発生した時点から遡って〔　〕か月間に委託元が委託先に支払った本サービスの利用料金の総額を上限とする。ただし、委託先に故意または重大な過失がある場合には、この上限は適用されない。

3. 委託先は、委託元個人データに関して本人その他の第三者から委託元に対して請求がなされた場合において、当該請求の原因が委託先の本覚書違反にあるときは、委託元に生じた損害を前項の範囲で賠償する。

4. 委託元は、委託元個人データの取得の適法性、正確性及び品質、並びに委託元が委託先に与えた指示の適法性について責任を負う。これらに起因して委託先に損害が生じた場合、委託元はその損害を賠償する。

5. 本覚書に基づく各当事者の責任は、当該当事者自身の作為または不作為に起因する範囲に限られる。

6. 本条の定めは、本契約に定める責任の制限に関する条項に優先して適用される。

#第17条（有効期間及び存続条項）

1. 本覚書は、委託元が本契約に基づいて本サービスの利用を開始した日に効力を生じ、本契約が終了した日または委託先が委託元個人データの取扱いを終了した日のいずれか遅い日まで効力を有する。

2. 本覚書が終了した後も、第5条（第三者への開示の制限及び法令に基づく開示要請への対応）、第7条第4項及び第5項（秘密保持）、第8条（記録の作成及び保存）、第15条（契約終了時の措置）、第16条（損害賠償及び責任の制限）、第18条（準拠法及び合意管轄）並びに本条の規定は、なお効力を有する。

3. 本覚書の変更は、両当事者の書面による合意によるものとする。ただし、法令の改正または個人情報保護委員会の指針の変更に対応するために必要な変更については、委託先が変更後の内容及び効力発生時期を効力発生時期の到来前に委託元に通知することにより、これを行うことができる。委託元は、当該変更に同意しない場合、効力発生時期までに本契約を解約することができる。

#第18条（準拠法及び合意管轄）

1. 本覚書の成立及び効力については、日本法を準拠法とする。

2. 本覚書に関して委託元と委託先との間に生じた紛争については、UNCHAIN株式会社の本店所在地（お問い合わせください）を管轄する地方裁判所を第一審の専属的合意管轄裁判所とする。

#第19条（通知及び協議）

1. 本覚書に基づく通知は、書面の交付、電子メールの送信または本サービス上での表示のいずれかの方法により行うものとする。委託先から委託元への通知は、委託元が本サービスに登録した連絡先に宛てて行えば足りる。

2. 委託元から委託先への通知の宛先は、privacy@the-unchain.comとする。

3. 本覚書に定めのない事項及び本覚書の解釈に疑義が生じた事項については、両当事者が誠実に協議して解決するものとする。

4. 本覚書の一部の規定が無効または執行不能と判断された場合においても、その他の規定の効力は影響を受けない。この場合、両当事者は、無効または執行不能とされた規定の趣旨に最も近い有効な内容となるよう協議する。

---

#別紙1 委託の内容

本別紙は、第2条第6号及び第3条第2項にいう委託元個人データの項目、本人の範囲、取扱いの目的及び取扱期間を定める。

#委託する業務の内容

委託先は、本サービスを提供するため、委託元個人データについて次の取扱いを行う。

• 取得（会議の音声の取得、ファイルのアップロードの受入れ、カレンダー情報の同期）
• 保存、整理及び構造化
• 文字起こし、要約その他の生成処理
• 検索及び表示
• 委託元の指示に基づく訂正、追加及び削除
• 暗号化その他の安全管理のための処理
• 委託元の指示に基づく出力及び外部サービスへの送信
• 消去

#取り扱う個人データの項目

#本人の範囲

• 委託元の役員及び従業員であって本サービスを利用する者
• 委託元の役員及び従業員であって、本サービスにより記録された会議に参加した者
• 委託元の取引先、顧客その他の第三者であって、本サービスにより記録された会議に参加した者、または会議中に言及された者
• 委託元がアップロードしたファイル及び同期したカレンダー情報に記載された者

#取扱いの目的

• 会議の音声の文字起こし及びノートの生成
• ノートの保存、検索、共有及び出力
• チャット機能による会議内容の参照及び応答の生成
• ワークスペースの管理及び利用権限の制御
• 本サービスの稼働の維持、障害対応及び不正利用の検知
• 委託元からの問い合わせへの対応

#取扱期間

委託元が本サービスの利用を開始した日から、本覚書が終了し第15条に定める返還または消去が完了する日まで。ただし、委託元が本サービスの機能により保存期間を設定した場合は、当該保存期間の満了により、対象となるデータの取扱いは終了する。

#要配慮個人情報の取扱い

委託元個人データには、原則として要配慮個人情報（第2条第3号）は含まれないものとする。ただし、会議の発言内容に病歴、健康診断の結果、障害、信条、犯罪の経歴その他の要配慮個人情報が含まれる場合があり、その場合の取得についての本人の同意の取得は、第3条第5項により委託元の責任において行うものとする。

要配慮個人情報が含まれる個人データの漏えい等は、対象となる本人の数にかかわらず個人情報保護委員会への報告の対象となる（第12条に引用した個人情報保護法施行規則第7条）。会議の発言に要配慮個人情報が含まれる可能性がある場合の運用については、医療・金融・士業での利用を参照されたい。

---

#別紙2 安全管理措置の内容

委託先は、委託元個人データについて、個人データの取扱いに関する基本方針を策定し、取得から消去までの各段階に関する取扱規律を整備したうえで、次の措置を講じる。ただし、アクセス制御の詳細な設定内容、不正アクセスの検知方法その他開示により安全管理に支障を及ぼすおそれのある事項については、本別紙に記載せず、第13条に定める監査または個別の照会に対する回答として取り扱う。各措置の委託元向けの説明はセキュリティ体制に掲載する。

#組織的安全管理措置

#人的安全管理措置

#物理的安全管理措置

#技術的安全管理措置

#外的環境の把握

---

#別紙3 再委託先の一覧

委託先は、次の事業者に対し、委託元個人データの取扱いの全部または一部を再委託する。

「相当措置の内容」の欄には、再委託先が外国にある場合に、個人情報保護法第4章第2節の規定の趣旨に沿った措置をどのような方法で確保しているか（契約による場合はその要旨、国際的な枠組みに基づく認定による場合はその名称）を記載する。再委託先が国内にある場合は「国内のため該当なし」と記載する。

---

#関連記事

本覚書の内容に関するお問い合わせは、privacy@the-unchain.comまでご連絡ください。