データ処理契約
最終更新: 2026-10-12
1. 目的と適用
本データ処理契約（本 DPA）は、顧客が Clavis を利用するにあたり、DeepDive, Inc.（日本・東京）が取り扱う顧客個人データの範囲、役割、再委託、越境、セキュリティ、漏えい等の通知、削除および監査を定めます。
カードで購読する場合、主契約はこのポータルの組織の契約です。有料機能の購入手続を終えることも、その組織の契約への同意です。本 DPA はその組織の契約に組み込まれます。Enterprise では注文書、または作業範囲を記した別契約が主契約となり、このページより詳しいデータ処理の定めを、その契約に添付することがあります。
抵触する場合、顧客個人データの取扱いについては本 DPA を優先します。
2. 定義と役割
顧客個人データとは、顧客の指示により本サービス上で処理される、顧客の組織の構成員、および顧客の連携先アプリにサインインする利用者に関する個人データのうち、その組織またはアプリに関するものです。範囲は、所属、参加のための招待、参加申請、組織のセキュリティ通知先、連携先アプリが設定する追加の記述項目、そのアプリについて顧客が依頼した署名、署名が完了した記録、署名の手続の間だけ保持する記録、顧客の台帳に残る記録、顧客が設定した監査の送信、およびその組織または連携先アプリについて本サービスが処理する手続の決定記録です。
手続の決定記録は、示した文書の版、手続の結果、年齢の帯とそれを示したのが本人か連携先アプリか（連携先アプリが示したときは、アプリが述べた根拠）、管轄の見立ての要約、取下げを含みます。同意や法的根拠が有効であることは示しません。アカウントの作成、条件の再確認、購入手続の決定記録は基盤取扱データです。同意、その更新、それを終える取下げは、同意が効いている間と、終わってから 730 日保持します。日本を手続の単位とする第三者提供では 1,095 日です。拒否または中断は決定の時から 90 日、デジタル同意年齢に満たない人の拒否または中断は 30 日、効いている同意が無いときの取下げは 90 日です。顧客が一人の利用者についての消去を指示したときは、その時に消します。保護者の同意を経る経路は保存しません。保管するときは、Cloudflare が欧州連合として指定する区域に置きます。英国国内の保管とは書きません。各記録は、示した文面とともに、その組織の台帳（基盤取扱データは本サービス自身の台帳）に確定させます。台帳に置くのはソルト付きのコミットメントだけです。保持期限で記録を消すと、コミットメントは記録と結び付きません。Clavis のアカウントの削除では、この記録は消えません。顧客の指示に従います。この記載は、その処理が現に提供されていることの表明ではありません。
基盤取扱データ（アカウントとパスキー、セッション、連携先アプリへの同意の記録、ログイン履歴、濫用防止、購入手続の同意と Polar への提供など）については、DeepDive が独立の個人情報取扱事業者であり、本 DPA の委託義務は及びません。プライバシー通知が正本です。同じ利用者識別子が両方に現れる場合も、識別子の元の記録は基盤取扱データです。
顧客個人データについて、顧客は委託元（管理者）、DeepDive は委託先（処理者）とします。連携先アプリが識別子等を受領した後の取扱いは、顧客が独立の管理者として行います。
3. 指示と機密
DeepDive は、本 DPA、主契約、開発者向けの管理画面での管理者の操作、および公開 API を通じた顧客の指示に従って顧客個人データを処理します。違法な指示と認める場合は通知し、拒否できます。
DeepDive は顧客個人データを機密として扱います。法令に基づく開示要求を受けた場合、法令上禁じられない限り、開示に先立って顧客のセキュリティ通知先へ通知します。
4. 再委託
顧客は、サブプロセッサ一覧に掲載するサブプロセッサへの再委託を承諾します。重要な追加または交代は、効力発生の 30 日前までにその一覧への掲載および、組織に登録されたセキュリティ通知先への通知により行います。合理的な異議は、組織の契約（Enterprise では注文書）を解約する理由になり得ます。Cloudflare の利用自体を拒否する権利は与えません。
Polar Software Inc. は有料機能の Merchant of Record であり、サブプロセッサではありません。購入者の識別子等は、購入者ご本人の同意を得て当社から Polar に提供します（プライバシー通知 第 5 節）。
サブプロセッサは公表する標準条項に従って利用します。DeepDive は、その標準条項を本 DPA と同じ条項で上書きする立場にはありません。サブプロセッサの行為に起因する本 DPA の違反について、DeepDive は組織の契約の責任制限に従い顧客に対して責任を負います。
5. 国外取扱い
永続データの保管と実行の区域は、Cloudflare が欧州連合として指定する区域です。提供者はこの区域を欧州連合とだけ定義しており、保管先の加盟国を特定していません。認証の手続、連携先アプリへの同意の記録、レート制限のように、保存する地域を指定していないデータは、地域を限定せず複製されうるため、欧州連合の中だけに残るとは限りません。
十分性が覆う移転には、その十分性決定が当たります。十分性が覆わない顧客個人データの制限付き移転については、本 DPA は EU の標準契約条項（実施決定 2021/914）の Module 2（管理者から処理者へ）および英国がその条項に付ける補遺（UK Addendum）Version B1.0 を参照で組み込みます。英国の国際データ移転契約（IDTA）は使いません。選択欄は次のとおりです。Clause 7 のドッキング、Clause 9 は Option 2（事前通知 30 日）、Clause 11 の任意の独立紛争解決は付けない、Clause 17 は Option 1（アイルランド法）、Clause 18(b) はアイルランドの裁判所、UK Addendum Table 4 は neither party。
DeepDive から Cloudflare, Inc.（米国）への onward は、Cloudflare Customer DPA（v6.4、2026-04-03）第6節に従います。同 DPA が制限付き移転とする範囲では Module 3 と UK Addendum が当たります。DeepDive 自身の Data Privacy Framework 認定は表明しません。
本 DPA は、EU または英国にいる人の顧客個人データを対象にします。EU／UK 監督機関への 72 時間通知は、管理者としての顧客の義務であり、本 DPA の DeepDive の既定義務にはしません。本 DPA の通知期限は、標準契約条項に基づく通知と協力の義務を狭めません。
標準契約条項の附属書は、次で埋めます。当事者は DeepDive, Inc. と顧客の組織です。移転の記述は、本 DPA が定める顧客個人データです。監督機関は、輸出者である顧客の設立地または代表者により決まります。当社は EU の代表者も英国の代表者も置いていません。技術的・組織的措置は、プライバシー通知の安全管理措置です。サブプロセッサはサブプロセッサ一覧です。英国の補遺の Table 1 から 3 も同じです。Table 4 は、どちらの当事者も終了を選べません。
本 DPA と標準契約条項が抵触するときは、標準契約条項を優先します。この優先は、標準契約条項の本文を改めるものではありません。
6. セキュリティとデータ主体の権利
DeepDive は、プライバシー通知に公表する安全管理措置を講じます。SOC 2 または ISO/IEC 27001 の取得済みであることは表明しません。
顧客個人データに関する開示等の請求の一次窓口は顧客です。DeepDive は製品内の機能および [email protected] を通じ、合理的な範囲で支援します。
7. 削除
利用者アカウントの削除および消去は製品機能として提供します。契約終了時にその組織の顧客個人データを一括消去する製品上の経路は、本 DPA の日付時点では提供しません。終了時の削除は、利用者単位の消去および残存データの運用削除によります。台帳の葉は、顧客のアプリが提出したコミットメントです。当社は開示情報を受け取らず、葉は削除しません。開示情報を、顧客の保管と Vault の暗号文から消すと、葉は人と結び付きません。Vault の暗号文は顧客が削除でき、削除のたびに署名付きの削除証明を返します。契約終了から 30 日間は、その Vault を取り出せます。その後、本サービスが物理削除し、組織単位の署名付きの削除証明を発行します。ログとアンカーは残します。
8. 漏えい等の通知
顧客個人データについて、個人情報保護法施行規則第 7 条の事態（要配慮個人情報、不正に利用されると財産的被害が生じるおそれがある個人データ、不正の目的をもって行われたおそれがある行為、または本人の数が千人を超えるものの漏えい等。発生したおそれがある場合を含みます）を知ったときは、確認の前であっても、知った後速やかに、同規則第 8 条第 1 項の事項のうちその時点で把握しているものを通知します。
顧客個人データに係る漏えい等を確認した後、遅滞なく顧客のセキュリティ通知先（組織に登録された連絡先。無い場合は、その組織の所有者または管理者として登録されている連絡先）へ通知します。目標は確認後 24 時間、上限は確認後 48 時間です。暦時間であり、サポートの受付時間に拘束されません。24 時間体制の初動完了は約束しません。稼働率 SLA および EU／UK 監督機関への 72 時間通知は、本 DPA の既定では約束しません。
9. 監査・責任・準拠法
求めに応じ、年 1 回を上限として、書面またはリモートによる合理的な情報提供に応じます。実地は DeepDive が保有する書類の提示および説明に限り、日程・範囲・対価を事前合意します。第三者認証報告書の提供義務は負いません。
本 DPA の違反に関する責任は組織の契約の責任制限に従います。ただし故意または重過失による顧客個人データの漏えい等はこの限りではありません。標準契約条項に基づくデータ主体に対する責任は、この制限を受けません。
商事の準拠法と裁判所は、組織の契約と、申告した設立地に従います。標準契約条項が適用されるとき、その準拠法はアイルランド法のままです。本 DPA と標準契約条項が抵触するときは、標準契約条項を優先します。