データ処理追加条項

1. 本補足条項の概要および効力発生

本データ処理補足条項（以下「DPA」）は、お客様（またはお客様が代理する組織）とユタ州の有限責任会社であるHedgeling LLC（以下「Hedgeling」、「当社」）との間の利用規約（以下「本規約」）の一部を構成します。本規約は、当社が本サービスの提供にあたりお客様に代わって顧客個人データを処理する場合に適用されます。

本DPAを適用するために署名を行う必要はありません。本規約に同意した時点で自動的に効力を生じ、当社が顧客個人データを処理する期間中有効となります。お客様の組織で相互署名済みのコピーが必要な場合は、support@thehedgeling.comまでメールでお問い合わせいただければお送りいたします。

独自のデータ処理条項を含むエンタープライズ契約またはその他の署名済み契約を当社と締結している場合、本DPAに代わってそれらの条項が適用されます。それ以外の場合で、個人データの取り扱いについて本DPAと本規約の間に矛盾がある場合は、本DPAが優先されます。

2. 定義

• 顧客コンテンツとは、本規約で定義された意味を持ちます：お客様が本サービスに送信するソース文字列、コードコンテキスト、翻訳、用語集、ペルソナ、スタイルガイド、ドキュメント、その他の素材を指します。
• 顧客個人データとは、当社がお客様に代わって処理する顧客コンテンツに含まれる個人データを指します。
• データ保護法とは、本DPAに基づく顧客個人データの処理に適用される法律を指します。お客様および該当する個人の所在地に応じて、EU一般データ保護規則（GDPR）、英国GDPR、スイス連邦データ保護法、およびカリフォルニア州消費者プライバシー法などの米国州プライバシー法が含まれる場合があります。
• サブプロセッサーとは、顧客個人データの処理を当社が委託する第三者を指します。
• 標準契約条項とは、欧州委員会施行決定（EU）2021/914に併合された条項を指します。
• 英国アデンダムとは、英国情報コミッショナーが発行した標準契約条項に対する国際データ伝送補足条項を指します。

「管理者（controller）」、「処理者（processor）」、「個人データ」、「処理」、「データ主体」、「個人データ侵害」という用語はGDPRにおける定義と同じ意味を持ち、「事業者（business）」や「サービスプロバイダー」など、他のデータ保護法における同等の用語を含みます。その他の大文字で始まる用語は、本規約で定義された意味を持ちます。

3. 役割

お客様の個人データについて、お客様が管理者となり、Hedgelingはお客様の処理者となります。お客様自身が第三者のために行動する処理者である場合、Hedgelingはお客様の副処理者となり、当社に対するお客様の指示が管理者によって正当に授権されていることを確認するものとします。

本DPAは、当社が管理者（コントローラー）として独自に取り扱うデータ（アカウントデータ、使用状況および請求記録、認証情報、ログおよびセキュリティ記録、ウェブサイトアナリティクス）には適用されません。プライバシーポリシーにそれらのデータの取り扱いについて記載されています。

お客様が独自のAIプロバイダーキーを接続する場合、そのプロバイダーはお客様との契約に基づいてデータを処理します。それはお客様のプロバイダーであり、当社の副処理者ではありません。ご自身のキーを使用して自身のマシンでコマンドラインパッケージを実行する場合、データはお客様のマシンからそのプロバイダーへ直接送信され、当社が処理することはありません。

4. 処理の詳細

• 対象事項および目的: お客様への本サービスの提供：文字列の抽出、保存、翻訳、レビュー、配信、および本サービスの保護とサポート。
• 処理の性質: ホスティングおよび保存、翻訳やチャットのためのAIプロバイダーへの文字列およびコンテキストの送信、承認されたユーザーへのコンテンツの表示、接続されたリポジトリへの読み書き、バックアップ、および削除。
• 期間: お客様のワークスペースが存在する期間、およびセクション11に記載されている削除が完了するまで。
• 個人データの種類: お客様コンテンツに含まれるあらゆる個人データ。お客様コンテンツは主にインターフェーステキストであるため、通常はソース文字列、コードコンテキスト、用語集、インポートされたドキュメント、レビューコメント、またはコンソールチャットメッセージに表示される名前、メールアドレス、および同様の識別子に限定されます。
• データ主体: 個人データに関連する個人（例：お客様の従業員、請負業者、および製品のエンドユーザー）。
• 機密データ: 本サービスは、個人データの特別なカテゴリ、健康データ、決済カードデータ、または政府発行の識別子を対象として設計されておらず、お客様はこれらをお客様コンテンツに含めないことに同意するものとします。

5. お客様の指示

当社は、お客様の文書による指示に従ってのみ顧客個人データを処理します。本規約、本DPA、およびお客様とお客様のユーザーによる本サービスの設定および使用方法が、お客様からの完全な指示となります。これら以外の対応が必要な場合は、support@thehedgeling.comまでお問い合わせください。対応可能かどうかをお知らせいたします。

指示がデータ保護法に違反していると当社が判断した場合、お客様が指示を確認または変更するまで、その処理を停止する場合があります。法律により当社がその他の方法でお客様の個人データを処理することが義務付けられている場合、その法律で禁止されていない限り、処理を行う前にお客さまにお知らせします。

当社はお客様の個人データを販売または共有せず、AIモデルのトレーニングに使用することもありません。また、規約に記載されている本サービスの提供、保護、サポート、および改善以外の目的で、データを保持、使用、または開示することはありません。

6. 機密保持

お客様の個人データへのアクセスは、本サービスの運営およびサポートに必要な人物に限定されており、データの処理を認可された全員が守秘義務を負っています。

7. セキュリティ対策

当社は、転送中（HTTPS）および保管時の暗号化、ロールベースのアクセス制御、テナント分離、プロバイダーキーの暗号化保存、サービス資格情報のハッシュ化保存、署名付きの短期間の権利リース、レート制限、および監査ログによって、お客様の個人データを保護します。

本サービスの発展に伴い、当社はこれらの対策を変更することがありますが、保護の全体的なレベルを実質的に低下させることはありません。お客様は、送信する content の選択、ワークスペースへのアクセス権限の管理、認証情報およびAPIキーの safe な管理を含め、本サービスの利用方法について責任を負います。

8. サブプロセッサー

お客様は、セクション17に記載されているものを含め、サブプロセッサーを使用するための一般的な権限を当社に付与するものとします。当社は、個人データの保護を義務付ける書面による合意に基づいて各サブプロセッサーを使用し、サブプロセッサーが当社のために行う業務について、お客様に対して引き続き責任を負います。

新しいサブプロセッサーを追加または変更する場合、当社はセクション17のリストを更新し、新しいサブプロセッサーが顧客個人データの処理を開始する少なくとも30日前に、メールまたはコンソール内でお客様のワークスペース所有者に通知します。セキュリティや継続性の理由から緊急にサブプロセッサーを交換する必要がある場合は、合理的に可能な限り速やかに通知します。

お客様は、通知期間内にsupport@thehedgeling.comに書面で連絡することにより、合理的なデータ保護上の理由に基づいて新しいサブプロセッサーに異議を申し立てることができます。当社は、そのサブプロセッサーを使用せずに本サービスを利用する方法など、代替案を見つけるために誠意をもってお客様と協力します。代替案が見つからない場合、お客様は影響を受ける機能の使用を停止するか、本規約の記載に従って本サービスを解約することができます。

9. 個人の請求およびその他の支援

お客様はコンソール内でいつでも顧客コンテンツの表示、修正、エクスポート、削除を行うことができ、権利を行使したい個人からのリクエストに対応するためにこれらのツールを使用できます。個人から顧客個人データに関する問い合わせが当社にあった場合、当社はそのリクエストをお客様に転送するか、お客様に連絡するようその個人に案内し、法律で義務付けられている場合を除き、当社が直接回答することはありません。

処理の性質および当社が利用可能な情報を考慮し、データ保護法令により義務付けられている場合、当社はデータ保護影響評価および規制当局への相談に関して、合理的かつ必要な支援をお客様に提供します。

10. 個人データ侵害

顧客個人データに影響を与える個人データ侵害を当社が認識した場合、不当な遅延なくメールにてお客様のワークスペース所有者に通知します。当社は、発生した事象の概要、対象となるデータ、想定される影響、および当社の対応策について把握している情報をお知らせし、新たな情報が判明し次第更新します。また、当社は侵害を抑え込み、その影響を最小限に抑えるための合理的措置を講じます。

お客様への侵害通知は、過失または責任の承認を意味するものではありません。規制当局または個人に対して義務付けられている通知はお客様の責任で行われるものとし、当社は通知の実施を支援するために保有する情報を提供します。

11. 削除および返還

お客様はいつでもカタログをエクスポートできます。サブスクリプションを終了してもデータは削除されません。少なくとも30日間の猶予期間中、閲覧および検証済みエクスポートのアクセス権が保持され、当社は削除がリクエストされるまで顧客コンテンツを保持します。

削除は、権限を持つユーザーがコンソールでプロジェクトまたは組織の削除をリクエストしたときに開始されます。そのリクエストにより、30日間のエクスポート専用期間が開始されます。その期間が終了すると、当社はコンテンツ（ソース文字列、翻訳、コンテキスト、用語集、プロンプト、ペルソナ、インポートされたドキュメント、チャットおよびAIペイロード、監査記録内のコンテンツスナップショット）を完全に消去します。消去されたコンテンツは、バックアップの有効期限が切れるまでの短期間（現在は最大7日間）、暗号化されたデータベースバックアップ内に残る場合があります。

消去後、当社はプライバシーポリシーに記載されている最小限の請求、セキュリティ、および監査記録のみをコンテンツを削除した状態で保持します。コンソールを使用してデータをエクスポートまたは削除できない場合は、support@thehedgeling.comまでメールでお問い合わせください。

12. 情報および監査

書面によるリクエストがあった場合、当社は本DPAに基づく義務を果たしていることを示すために合理的に必要な情報（妥当なセキュリティ質問票への回答を含む）を提供します。規制当局からの要求がある場合や、お客様のデータに影響を与える個人データ侵害が発生した場合を除き、本リクエストは12か月間に1回のみ行うことができます。

データ保護法令により上記以上の情報を受け取る権利が認められている場合、お客様は監査を要求できます。監査には少なくとも30日前の書面による通知と合意された範囲が必要であり、通常の営業時間内にお客様の費用負担で実施され、守秘義務が適用されます。また、他の顧客のデータを危険に晒したり本サービスを妨害したりしてはなりません。本サービスはAmazon Web Servicesが運用するインフラストラクチャ上で実行されているため、データセンターへの物理的なアクセスを提供することはできません。

13. 国際移転

コンソールは米国のAWS上でホストされており、当社の復プロセッサーは米国およびその他の国でデータを処理する場合があります。本サービスを使用することにより、お客様はそれらの場所で顧客の個人データを処理することを当社に指示したことになります。

GDPRによって保護される顧客の個人データを当社に転送し、その転送が十分性の認定によりカバーされていない場合、標準契約条項が本DPAに組み込まれ、次のように適用されます。

• お客様が管理者（コントローラー）である場合はモジュール2（管理者から処理者）が適用され、お客様が処理者（プロセッサー）である場合はモジュール3（処理者から処理者）が適用されます。
• お客様がデータ輸出者であり、Hedgelingがデータ輸入者となります。
• 任意のお引き受け条項（第7条）および第11条の任意文言は適用されません。
• 第9条については、一般的な書面による承認が適用され、通知期間は第8項に定めるとおりとします。
• 第17条および第18条において、準拠法はアイルランド法とし、管轄裁判所はアイルランドの裁判所とします。
• 附属書Iは第1項、第3項、第4項の情報で、附属書IIは第7項で、附属書IIIは第17項で補完されます。管轄監督機関は第13条に基づき決定される機関とします。

英国GDPRで保護される転送については、英国アデンダムが本DPAに組み込まれ、その表には同じ情報が記入されます。いずれの当事者も第19項に基づき英国アデンダムを終了することはできません。スイス法で保護される転送については、GDPRへの言及をスイス連邦データ保護法へ、監督機関をスイス連邦データ保護・情報コミッショナーと読み替えた上で、標準契約条項が適用されます。

標準契約条項または英国アデンダムが本DPAのその他の規定または利用規約と矛盾する場合、標準契約条項または英国アデンダムが優先されます。

14. お客様の責任

お客様は、送信する顧客の個人データについて責任を負います。送信に必要な法的根拠および通知や同意の有無、データの正確性、当社への指示がデータ保護法に準拠していることの確認が含まれます。可能な限り、顧客コンテンツに個人データを含めないようにしてください。

15. 責任および準拠法

本DPAに基づく各当事者の責任は、利用規約の第15項にある責任の制限に従うものとします。本DPAのいかなる規定も、標準契約条項に基づく個人的権利または法律上制限できない責任を制限するものではありません。

本DPAは利用規約を準拠法とする法律に準拠し、紛争は利用規約の記載に従って処理されます。ただし、標準契約条項または英国アデンダムで別段の定めがある場合を除きます。

16. 本補足条項の変更

当社は、本サービス、当社の復プロセッサー、または法令に変更があった場合、本DPAを更新することがあります。各バージョンには本ページの上部に改定日が記載されます。重要な変更については、新しいバージョンが有効になる前に、メールまたはコンソール内で少なくとも30日前の通知を行います。復プロセッサーの変更は第8項に従います。

17. 現在のサブプロセッサー

これらは、現在本サービスの運営に使用しているプロバイダーと、それぞれの役割です。

• Amazon Web Services (AWS): コンソールのホスティング、データベース、ストレージ、バックアップ、およびアカウント作成、サインイン、パスワード保存、認証メール用のAmazon Cognito。所在地：米国。
• Google (Gemini): AI推論。プラットフォームキーでマネージドAIを使用し、Geminiが選択されたプロバイダーである場合、リクエスト内の文字列、コンテキスト、チャットメッセージはそのAPIに送信されます。
• Meta (Llama): AI推論。プラットフォームキーでマネージドAIを使用し、Llamaが選択されたプロバイダーである場合、リクエスト内の文字列、コンテキスト、チャットメッセージはそのAPIに送信されます。
• GitHub: リポジトリを連携すると、選択されたソースファイルを読み取り、ご要請に応じて、付与されたアクセス権限を使用して翻訳を含むプルリクエストを作成します。
• Stripe: チェックアウト、決済方法、請求書、およびカスタマー課金ポータル。
• Google Workspace: 当社のサポートおよび営業用アドレスに送信されたメール。

StripeおよびGoogle Workspaceは請求の詳細と通信を取り扱い、顧客コンテンツは取り扱いません。これらはプライバシーポリシーとリストを一致させるためにここに記載されています。お客様ご自身のキーで接続するAIプロバイダーは、当社ではなくお客様のために機能するため、このリストには含まれません。

18. お問い合わせ

本DPAに関するお問い合わせ、相互署名済みコピーのリクエスト、およびサブプロセッサーに対する異議申し立て: support@thehedgeling.com。