データ処理契約（DPA）

1. 定義と役割

1. 「個人データ」「処理」「データ主体」「管理者」「処理者」「サブプロセッサ」「個人データ侵害」等の用語はGDPRの定義に従います。
2. 両当事者間において、管理者（宿泊施設運営者）が宿泊客個人データの処理の目的と手段を決定し、管理者となります。ConcierBotは当該個人データを管理者に代わってのみ処理し、処理者となります。
3. 各当事者は、適用されるデータ保護法上の自己の義務を遵守します。

3. 処理者の義務

ConcierBotは以下を行います。

1. 越境移転を含め、管理者の文書化された指示にのみ基づき個人データを処理する（適用法により別途求められる場合を除き、その場合は法的に禁止されない限り管理者へ通知する）。利用規約および本DPAが管理者の文書化された指示を構成する。
2. 個人データの処理を認められた者が秘密保持義務を負うことを確保する。
3. GDPR第32条が求める適切な技術的・組織的セキュリティ措置を実施する（第4条参照）。
4. 第5条に定めるサブプロセッサ利用の条件を遵守する。
5. 処理の性質を考慮し、データ主体の請求への対応において管理者を支援する（第6条）。
6. 利用可能な情報を考慮し、GDPR第32〜36条（セキュリティ、侵害通知、データ保護影響評価）の遵守において管理者を支援する。
7. サービス提供終了後、管理者の選択に応じて個人データを削除または返却する（第9条）。
8. 第28条の遵守を証明するために必要な情報を管理者に提供し、監査に応じ寄与する（第10条）。

指示がGDPRその他の適用データ保護法に違反すると当社が判断した場合、管理者に通知します。

4. セキュリティ措置

技術水準、実施費用、処理の性質・範囲・状況・目的を考慮し、当社は以下を含む適切な技術的・組織的措置を実施します。

• 通信中の個人データの暗号化（TLS/SSL）
• 認証情報のハッシュ化保存
• データベース・管理システムへのアクセス制御
• アクセスの記録・監視
• インシデント時に個人データの可用性とアクセスを適時に復旧する措置
• これらの措置の有効性を定期的に評価するプロセス

ゲストのGPS位置情報は距離計算のためにブラウザ上でのみ処理され、当社サーバーには保存されません。

5. サブプロセッサ

1. 管理者は、本条に従い、ConcierBotが本サービス提供のためにサブプロセッサを利用することを包括的に承認します。
2. 当社は、本DPAと実質的に同等のデータ保護義務をサブプロセッサに課し、サブプロセッサの義務履行について管理者に対して責任を負い続けます。
3. 現行のサブプロセッサ一覧は求めに応じて提供します。サブプロセッサの追加・変更については管理者へ通知し、合理的なデータ保護上の理由による異議の機会を与えます。

現行のサブプロセッサ

• Anthropic PBC（米国）— AIチャットボットの提供、ゲスト向けコンテンツ・翻訳の生成。ゲストのチャットテキストを処理します。
• Google LLC（米国。グローバルなインフラを利用）— 周辺スポット情報のためのPlaces API / Geocoding API（施設住所を処理）。
• Stripe, Inc.（米国）— 管理者のサブスクリプション課金、および管理者がオンライン決済を有効化している場合のゲストのカード決済処理。カード情報はStripeが直接取り扱います。
• Vercel Inc.（米国）— 本サービスのホスティング・実行基盤。計算リージョンは、データベースの隣であるシンガポール（sin1）に設定しています。
• Neon, Inc.（データベースはシンガポール、AWSリージョン ap-southeast-1でホスト）— 主データベース。附属書Aに記載の個人データの保管場所です。
• Upstash, Inc.（米国）— レート制限・短期的なセッション情報に用いるRedis互換キャッシュ。
• Resend, Inc.（米国）— トランザクションメールの配信。
• Sentry（Functional Software, Inc.、米国）— エラー監視。
• Open-Meteo（オーストリア）— ゲストページに出す天気予報。ゲストのブラウザから直接呼ぶため、ゲストのIPアドレスが Open-Meteo に見えます。
• CARTO（CARTO DB Inc.・米国）— 周辺スポット地図のタイル。OpenStreetMap のデータから作られています。タイルはゲストのブラウザが取得するため、ゲストのIPアドレスが CARTO に見えます。

本一覧は本DPA作成時点で当社が利用するサブプロセッサーを反映しています。最新の一覧は求めに応じて提供し、重要な追加・変更は前項のとおり通知します。

6. データ主体の権利への支援

処理の性質を考慮し、当社は、適切な技術的・組織的措置により、可能な範囲で、データ主体の権利（アクセス、訂正、削除、制限、ポータビリティ、異議）行使の請求に応じる管理者の義務の履行を支援します。データ主体が当社に直接連絡した場合、法的に対応が求められる場合を除き、当該請求を管理者へ引き継ぎます。

7. 個人データ侵害

管理者の個人データに影響する個人データ侵害を認識した後、当社は不当な遅延なく管理者へ通知し、GDPR第33条・第34条の義務履行を支援するために当社が合理的に利用可能な情報（侵害の性質、想定される影響、講じたまたは提案する措置を含む）を提供します。

9. データの削除・返却

サービス提供終了後、管理者の選択に応じ、当社はすべての個人データを削除または管理者へ返却し、既存の複製を削除します（適用法により保存が求められる場合を除く）。管理者は契約期間中、管理画面から施設・客室・スタッフ・宿泊者名簿など施設単位のデータを削除でき、アカウント全体の削除（退会）も管理画面から行えます。

10. 監査・情報提供

当社はGDPR第28条の遵守を証明するために必要な情報を管理者に提供します。合理的な事前の書面請求により、年1回を上限として（監督機関の要求または個人データ侵害後を除く）、合理的な秘密保持・セキュリティ条件のもと、管理者または管理者が指定する監査人による監査（査察を含む）に応じ寄与します。利用可能な場合、第三者認証・報告書の提供により監査請求に応じることがあります。

11. 期間・責任・一般条項

1. 本DPAは利用規約とともに効力を生じ、当社が管理者に代わって個人データを処理する限り存続します。
2. 本DPAに基づく各当事者の責任は、利用規約に定める責任制限に服します。
3. 本DPAは、SCCまたは強行的なデータ保護法が別途求める場合を除き、利用規約と同一の準拠法・裁判管轄に服します。
4. 本DPAの署名済み写しまたは現行のサブプロセッサ一覧をご希望の場合は contact@concierbot.com までご連絡ください。