1 定義

• 「適用されるデータ保護法」 — GDPR (EU)、UK GDPR、スイスFADP、CCPA/CPRA (カリフォルニア州) を含む、個人データの処理に適用されるすべてのプライバシーおよびデータ保護法。
• 「認定サブプロセッサー」 — DeepCerebraが顧客の個人データを処理するために利用する第三者で、別紙1に記載されているもの。
• 「管理者」 — 個人データの処理の目的および手段を決定する主体。
• 「お客様の個人データ」 — DeepCerebraがお客様に代わって処理する個人データ。これには、アカウントデータ（氏名、メールアドレス）、リクエストを履行するために送信されるプロンプトおよびコードコンテキスト、利用状況および計測データ、技術データ（IPアドレス、デバイス情報）が含まれます。
• 「データ主体」 — 個人データが関連する、特定されたまたは特定可能な自然人。
• 「個人データ侵害」 — お客様の個人データの偶発的または違法な破壊、損失、改ざん、または不正な開示につながるセキュリティ侵害。
• 「処理」 — 収集、保存、使用、送信、削除を含む、個人データに対して行われるあらゆる操作。
• 「標準契約条項（SCCs）」 — 適用される場合、EU委員会の実施決定2021/914 SCCs、英国国際データ転送補遺、およびスイスFDPICが認める条項。

2 個人データの処理：役割と範囲

2.1 当事者の役割

お客様の個人データに関して、お客様はデータ管理者（または管理者に代わって行動する処理者）として行動し、DeepCerebraはデータ処理者として行動します。DeepCerebraは、お客様の文書化された指示に従い、かつお客様に代わってのみお客様の個人データを処理します。

2.2 処理の範囲と目的

DeepCerebra は、サービス説明書に記載され、さらに別紙1に文書化されているとおりに、サービスを提供するためのみに顧客の個人データを処理します。大規模言語モデルにルーティングされるプロンプトおよびコードコンテキストは、ゼロデータ保持 (ZDR) の条件で処理され、応答を返すために厳密に必要とされる期間を超えて保持されることはなく、基盤モデルのトレーニングに使用されることもありません。

2.3 管理者としてのDeepCerebra

DeepCerebraは、請求およびアカウント管理、利用状況の計測、セキュリティ監視および不正防止、法的義務の遵守、ならびに集計および匿名化されたデータを使用したサービスの改善を含む、独自の正当な事業目的のために、独立した管理者として特定の個人データを処理する場合があります。

3 DeepCerebraの処理者としての義務

3.1 処理指示

DeepCerebraは、適用される法律により別段の義務付けがない限り、お客様の文書化された指示に従ってのみお客様の個人データを処理し、DeepCerebraの意見として、ある指示が適用されるデータ保護法に違反すると判断した場合、速やかにお客様に通知します。

3.2 秘密保持

DeepCerebraは、お客様の個人データを処理することを許可されたすべての担当者が、適切な秘密保持義務を負うことを保証します。

3.3 セキュリティ対策

DeepCerebraは、お客様の個人データを保護するために、適切な技術的および組織的対策を実施し、維持します。

• 機密のブラウザ内ストレージ： プロジェクトファイルはクライアント側で保持され、サーバーに送信または保存されるデータを最小限に抑えます。
• ゼロデータ保持ルーティング： モデルにルーティングされるプロンプトおよびコードコンテキストは、リクエストを超えて保持されず、モデルトレーニングには使用されません。
• 転送中の暗号化： すべてのAPIおよびウェブ通信にTLS 1.2+を使用。
• 保存時の暗号化: 保存されたアカウントデータは業界標準のアルゴリズムを使用して暗号化されます。パスワードは不可逆的にハッシュ化されます。
• アクセス制御： ロールベースのアクセス制御と、本番システムへの最小権限アクセス。
• レート制限と監視： APIレート制限と、セキュリティインシデントおよび異常な活動の継続的な監視。

3.4 再処理者

お客様は、DeepCerebraが承認された再処理者を使用することについて一般的な承認を与えます。DeepCerebraは、最新のリスト（別紙1）を維持し、追加または変更の意図がある場合はお客様に通知し、承認された再処理者に対して同等のデータ保護義務を課し、本契約に規定される範囲で、その行為および不作為について責任を負います。

3.5 データ主体の権利行使の支援

DeepCerebra は、データ主体から権利行使の要求を受けた場合、速やかに顧客に通知し、必要なツールと情報を提供することで、顧客の対応を支援します。

3.6 個人データ侵害の通知

DeepCerebraは、お客様の個人データに影響を与える個人データ侵害について、不当な遅延なく（かつ認識後72時間以内に）お客様に通知します。これには、侵害の性質、影響を受けたデータ主体のカテゴリと概数、起こりうる結果、および対処のために取られた措置が含まれます。

4 お客様の義務

お客様は、サービスの利用が適用されるデータ保護法に準拠していることを確認する責任を負います。これには、サービスを通じて個人データを処理する前に、データ主体から必要なすべての通知を提供し、必要なすべての同意を得ること、お客様の個人データおよび提出されたソースコードが合法的に収集および使用されていることを確認すること、ならびにサービスに接続するキー、リポジトリ、および第三者ツールを管理することが含まれます。

5 国際データ転送

DeepCerebraが、EEA、英国、またはスイスから、十分なレベルのデータ保護を提供すると認められていない第三国にお客様の個人データを転送する場合、かかる転送は、適用される標準契約条項（SCCs）を含む適切な保護措置に従うものとし、これらは本DPAに参照により組み込まれます。

6 データの削除と返却

契約終了時、DeepCerebraは、お客様の選択により、合理的な期間内に、そのシステムおよびその認定サブプロセッサーのシステムに保持されているお客様の個人データを、適用される法律により保持が義務付けられている場合を除き、返却または安全に削除します。プロジェクトファイルは機密のブラウザ内ストレージに保持されているため、お客様の管理下にあります。DeepCerebraは、お客様の要求に応じて、削除の書面による確認を提供します。

7 監査権

お客様からの合理的な書面による要求（年1回まで）があった場合、DeepCerebraは、本DPAへの準拠を実証するために合理的に必要な情報を提供し、合理的な秘密保持義務および事前通知を条件として、監査を許可し、これに協力します。

8 責任

本DPAに起因または関連する各当事者の責任は、契約、不法行為、またはその他の責任理論に基づくものであるかどうかにかかわらず、利用規約に定められた責任制限に従うものとします。したがって、本DPAおよび本契約に起因または関連するすべての請求に対するDeepCerebraの累積総責任は、適用される法律で許容される最大限の範囲で、200米ドル（US $200）を超えないものとします。

9 連絡先情報

プライバシー関連のお問い合わせ、データ主体の要求、または個人データ侵害の報告については、以下にご連絡ください。