# データ処理委託条項

版: 0.1-draft  
制定日: [要入力: 制定日]

> 本文書は弁護士確認前のドラフトです。

## 1. 当事者と目的

1. 本条項は、クリエイター（委託元）が、本サービスを運営する個人事業者（屋号: AI Friend Studio。委託先）にファンデータの取扱いを委託する条件を定めます。運営者の氏名等は `commercial-transactions-disclosure.md` の方法で契約前に開示します。
2. クリエイターはファンに対するサービス提供者およびデータ取扱主体であり、運営者はクリエイターの文書化された指示に従う処理受託者です。

## 2. 委託処理の内容

| 項目 | 内容 |
| --- | --- |
| 対象 | LINE公式アカウント上のAI会話、長期記憶、自動送信および運用管理 |
| 目的 | AI返信の生成、会話継続、長期記憶、送信、利用上限管理、障害対応、セキュリティ確保 |
| 期間 | サービス契約中および契約終了後の削除完了まで |
| データの種類 | LINEユーザー識別子、表示名等のプロフィール情報、メッセージ、送受信日時、会話から生成した関心・好み・呼称等の記憶、利用状況、技術ログ |
| 対象者 | クリエイターのLINE公式アカウントを利用するファン |

運営者は、ファンごとの同意記録を保存しません。

## 3. 指示と目的外利用の禁止

1. 運営者は、契約、管理画面上の設定、サポート依頼その他の記録可能な方法で行われた適法な指示にのみ従います。
2. 指示が法令またはLINEの規約に違反するおそれがある場合、運営者は処理を停止し、その旨を通知できます。
3. 運営者はファンデータを自社独自の広告、モデル学習、テナント横断統合またはテナント横断分析に利用しません。

## 4. 守秘義務と取扱者の管理

運営者は、ファンデータを取り扱う役員、従業者および委託先を業務上必要な者に限定し、契約中および終了後の守秘義務を負わせます。

## 5. 安全管理措置

運営者は、取扱いリスクに応じて少なくとも次を実施します。

- テナント分離、最小権限のアクセス制御、定期的な権限見直し
- 通信時および保存時の暗号化、シークレットの専用管理
- 操作・セキュリティログの取得、保存期間と閲覧権限の制限
- 脆弱性、バックアップ、復旧、インシデント対応の運用手順
- 保存期間の設定と削除結果の監視
- 外部AIへのLINEユーザーIDの直接送信を避けるための内部識別子化、および送信前の個人情報低減

## 6. 再委託と国外処理

1. クリエイターは、本条項への同意により `subprocessors.md` に記載する再委託先の利用を一般的に承認します。
2. 運営者は、再委託先と、データ保護、安全管理、目的外利用の禁止、削除、事故時の通知および再々委託先の管理に関する適切な契約を締結します。
3. 運営者は、再委託先の追加または重要な変更を[要入力: 通知方法]により[要入力: 事前通知期間]日前までに通知します。
4. クリエイターが合理的なデータ保護上の理由で異議を申し出た場合、当事者は代替策を誠実に協議します。代替策がない場合、クリエイターは当該変更の効力発生前に対象サービスを解約できます。

## 7. 本人対応の支援

1. ファンへの通知、同意取得、同意記録の保存、本人確認および回答はクリエイターの責任です。
2. 運営者は、クリエイターから正当な依頼を受けた場合、技術的に可能な範囲で、対象データの検索、開示、訂正、削除または利用停止を支援します。
3. 運営者がファンから直接申出を受けた場合、法令上直接対応すべき場合を除き、対象のクリエイター窓口を案内します。

## 8. 削除、返却および保存期間

1. 運営者は、ブロック通知後の送信を停止し、送信取消し済みのメッセージを今後の会話または記憶生成に利用しません。
2. 運営者は、クリエイターの削除指示に従い、対象の会話履歴、ファンプロフィール、長期記憶およびAI基盤側のメモリを[要入力: 通常の削除完了期限]以内に削除します。
3. 契約終了時は、[要入力: 返却・エクスポート期間]の経過後、テナント単位でファンデータを[要入力: 削除完了期限]以内に削除します。
4. 法令上の保存義務がある情報は会話内容と分離し、目的と期間を限定して保存します。
5. 自動バックアップ上の削除対象は、[要入力: バックアップの上書き期間]以内に上書きされ、通常運用に復元しません。

## 9. セキュリティ事故

1. 運営者は、ファンデータの漏えい、滅失、毀損または不正アクセスを認知した場合、不当な遅延なくクリエイターに通知します。
2. 通知には、判明している範囲で、事象の性質、対象、発生日時、想定影響、実施済みまたは予定する対応および問い合わせ先を含めます。
3. 運営者は、個人情報保護委員会等への報告およびファンへの通知に必要な合理的な支援を行います。

## 10. 遵守状況の確認

1. 運営者は、クリエイターから合理的な要求を受けた場合、第三者認証、監査報告、セキュリティ説明書または質問票回答等により遵守状況の確認に必要な情報を提供します。
2. 前項で不十分な合理的理由がある場合、当事者は業務、セキュリティおよび他の利用者への影響を抑える方法で追加確認を協議します。

## 11. 法令上の要求

運営者が法令によりファンデータの処理または開示を求められた場合、禁止されない限り事前にクリエイターへ通知し、対象を必要最小限にします。

## 12. 優先関係

本条項とクリエイター向け利用規約が抵触する場合、ファンデータの取扱いについては本条項が優先します。