データ処理契約（DPA）
バージョン 2026-10-24.4 · 本翻訳は便宜上のものです。英語版と相違がある場合は、英語版が優先します。
本 DPA は、顧客（以下「管理者」という。）と Hibira の屋号で事業を営む日本の個人事業者である WANG PENG YUAN（以下「処理者」という。）との間の利用規約の一部を構成する。本 DPA は、処理者が管理者のために顧客データに含まれる個人データを取り扱う場合に適用される。本 DPA と利用規約が矛盾する場合は、本 DPA が優先する。
第1条（処理の範囲）
| 対象事項 | 管理者のサーバーとそのエンドユーザーのクライアントとの間のメッセージのリアルタイム配信 |
|---|---|
| 期間 | 利用規約の有効期間、および第8条に定める削除期間 |
| 性質 | 受信、ルーティング、一時的なバッファリングおよび配信、接続数およびメッセージ数の計数 |
| データ主体 | 管理者のエンドユーザーおよび従業員 |
| データの種類 | 管理者がメッセージ、チャンネル名、ユーザー ID およびプレゼンスチャンネル用ユーザー情報に含める一切のデータ、ならびにエンドユーザー端末の IP アドレスおよび接続メタデータ |
| 特別な種類のデータ | 想定しない。管理者は、リスクを評価し、エンドツーエンドで暗号化する場合を除き、これを送信してはならない |
| 保存 | メッセージ内容は配信後に保存されない。プレゼンスのメンバーリストはメンバーが接続している間のみ保持される。集計された利用状況カウンターは 35 日間保持される |
第2条（処理者の義務）
処理者は、以下の義務を負う。
- 管理者の文書化された指示（利用規約、本 DPA および管理者による本サービスの設定をいう。）にのみ基づいてデータを取り扱い、指示が法令に違反すると考える場合は管理者に通知すること
- アクセス権を有する従業員に守秘義務を負わせること
- 別紙Aに定める安全管理措置を講じること
- 合理的に可能な範囲で、管理者によるデータ主体からの請求への対応、影響評価および事前協議の実施を支援すること
- 法令遵守を証明するために必要な情報を提供し、第7条に定めるとおり監査を受け入れること
第3条（管理者の義務）
管理者は、適法な根拠を有すること、そのエンドユーザーに通知を行うこと、および送信するデータの正確性および適法性について責任を負う。管理者は、アプリのシークレットを秘密として管理し、機微なデータにはプライベートチャンネルまたは暗号化チャンネルを使用しなければならない。
第4条（再委託先）
- 管理者は、hibira.io/legal/subprocessors（別紙B）に掲載された再委託先を承認する。
- 処理者は、新たな再委託先について、少なくとも 30 日前までにメールおよび同ページで通知する。管理者は、データ保護上の合理的な理由に基づき異議を述べることができ、当事者間で解決できない場合、管理者は影響を受ける本サービスを解約し、日割りによる返金を受けることができる。
- 処理者は、各再委託先に対し、本 DPA と同等以上の保護水準を有するデータ保護条項を遵守させ、再委託先の履行について引き続き責任を負う。
第5条（国際移転）
処理者は日本に拠点を置き、香港（AWS ap-east-1） およびシンガポール（Neon、AWS ap-southeast-1）においてデータを取り扱う。Cloudflare のネットワークは、接続を最寄りのエッジ拠点経由でルーティングすることがある。移転に保護措置が必要な場合、当事者は、EU 標準契約条項（該当するモジュール2またはモジュール3）、英国補遺条項（UK Addendum）、または管理者の所在国の法令が要求する同等の契約（例：韓国個人情報保護法（PIPA）の標準契約、中国個人情報保護法（PIPL）の標準契約）に合意し、これらは参照により本 DPA に組み入れられる。
第6条（個人データ侵害）
処理者は、管理者のデータに影響を及ぼす個人データ侵害を認識した場合、不当な遅滞なく、かついかなる場合も 48 時間以内に管理者に通知する。当該通知には、侵害の性質、判明している範囲で影響を受けたデータおよびデータ主体、想定される結果、ならびに講じた措置を記載する。これにより、管理者は、GDPR に基づく 72 時間、日本の個人情報の保護に関する法律および韓国の個人情報保護法に基づく速やかな報告、ならびに台湾の通知義務といった自らの期限を遵守することができる。
第7条（監査）
処理者は、合理的なセキュリティ質問票に回答し、利用可能な場合は第三者による監査報告書または認証を共有する。これらによっても法令遵守を証明するのに十分でない場合、管理者は、年 1 回、自己の費用負担で、30 日前の通知により、営業時間内に、守秘義務の下で、かつ他の顧客のデータにアクセスすることなく、監査を実施することができる。
第8条（返還および削除）
終了時、管理者は 30 日間、アカウントおよびアプリの設定をエクスポートすることができる。その後、処理者は、法令により一部の保持が義務付けられている場合を除き、残存する管理者のデータを削除し、バックアップについても 35 日以内に削除する。
第9条（責任）
本 DPA に基づく各当事者の責任は、適用されるデータ保護法令がこれを認めない場合を除き、利用規約に定める制限に従う。
別紙A：安全管理措置
- すべてのクライアント、API および Webhook の通信に TLS 1.2 以降を使用。HMAC 署名付き API リクエストおよびプライベートチャンネルの認可。
- アプリのシークレットおよびパスワードハッシュ（Argon2id）はログに一切記録しない。
- データストアは保存時に暗号化し、プライベートネットワークまたは認証済みの TLS 接続からのみアクセス可能とする。従業員のアクセスは最小権限とし、多要素認証を必須とする。
- レート制限、アプリごとの割当量、およびエッジでの DDoS 対策。
- 暗号化されたバックアップ、監視およびアラート、ならびにインシデント対応手順。
- 依存ライブラリの更新および脆弱性の修正を定期的に実施。
別紙B：再委託先
| 再委託先 | 目的 | 所在地 |
|---|---|---|
| Amazon Web Services | 本サービスのホスティング | 香港（AWS ap-east-1） |
| Neon | アカウント、アプリおよびプッシュ通知デバイスの記録を保管するデータベース | シンガポール（AWS ap-southeast-1） |
| Cloudflare | DNS、エッジネットワーク、DDoS 対策 | グローバル |
Stripe、Google Analytics および Google Workspace（メール）は、顧客データではなく処理者自身の顧客データおよびウェブサイトデータのみを取り扱うため、本別紙ではなくプライバシーポリシーに記載している。