データ処理契約
最終更新日：2026年2月25日
本文書は英語原文の翻訳です。矛盾が生じた場合は、英語版が優先されます。
1. 当事者
本データ処理契約（以下「DPA」）は以下の当事者間で締結されます：
- Controller: 管理者：Tender Analyzerの利用規約に同意し、本サービスを使用して入札書類を処理するお客様（以下「お客様」または「管理者」）
- Processor: 処理者：https://www.tender-analyzer.com および https://app.tender-analyzer.com を運営するTender Analyzer（以下「当社」または「処理者」）
本DPAは利用規約を補足し、その一部を構成します。本DPAと利用規約の間に矛盾が生じた場合、データ処理に関する事項については本DPAが優先するものとします。
2. 定義
- 個人データ：GDPR第4条第1項に定義される、識別された、または識別可能な自然人に関するあらゆる情報
- 処理：収集、記録、編成、構造化、保存、適合、検索、参照、使用、開示、消去、または破壊を含む、個人データに対して実行されるあらゆる操作
- データ主体：個人データが処理される、識別された、または識別可能な自然人
- 復処理者：管理者に代わって個人データを処理するために処理者が関与する第三者
- 監督機関：GDPR第51条に基づきEU加盟国が設置した独立の公的機関
3. 処理の範囲
3.1 目的
処理者は、以下を含むTender Analyzerサービスの提供のみを目的として個人データを処理します：
- アップロードされた入札ファイル（PDF、Excel、DOCX、CAD）のドキュメント分析
- 書類からの技術仕様および構造化データの抽出
- 処理期間中の書類の一時的な保存
- 抽出結果の生成および保存
3.2 個人データの種類
処理される個人データには、アップロードされた入札書類に含まれる氏名、連絡先詳細、ビジネス情報が含まれる場合があります。処理者は書類から意図的に個人データを収集または抽出することはなく、存在する個人データは技術仕様の抽出に付随するものです。
3.3 データ主体
データ主体には、管理者の従業員、クライアント、パートナー、およびアップロードされた入札書類内で参照されるすべての個人が含まれる場合があります。
4. 復処理者
管理者は、処理者が以下の復処理者を関与させることを承認します。処理者は、このリストに対する意図された変更について、少なくとも30日前に管理者に通知するものとします。
| 復処理者 | 目的 | 所在地 |
|---|---|---|
| Hetzner Online GmbH | クラウドホスティングおよびインフラストラクチャ | ドイツ（EU） |
| OpenRouter / Together AI | ドキュメント分析のためのLLM推論（APIのみ、データ保持なし） | 米国 |
| SMTPプロバイダー | トランザクションメール配信（認証、通知） | EU / 米国 |
LLM推論プロバイダーはAPIコールのみを通じてドキュメントコンテンツを処理します。提出されたデータの保存、保持、またはモデルトレーニングへの使用は行いません。すべてのAPIコールはTLSにより転送中に暗号化されます。
5. データ保持
処理者は、サービス提供に必要な期間のみ個人データを保持します：
- アップロードされた書類：分析完了後90日で削除
- アカウントデータ：管理者がアカウントを削除するまで保持
- 利用ログ：セキュリティ監視およびサービス改善のため12ヶ月間保持
- 抽出結果：管理者が削除するか、アカウント閉鎖まで保持
サービス契約の終了時、処理者は適用法令により保持が義務付けられている場合を除き、30日以内にすべての個人データを削除または返却するものとします。
6. セキュリティ対策
処理者は、リスクに見合った適切な水準のセキュリティを確保するため、以下を含む適切な技術的および組織的措置を実施します：
- 転送時の暗号化：すべてのデータをTLS 1.3で送信
- 保存時の暗号化：保存された書類およびデータにAES-256暗号化を適用
- アクセス制御：厳格なテナント分離を確保する行レベルセキュリティ（RLS）データベースポリシー
- 認証：短命トークンによるJWTベースのアクセス制御
- レート制限：すべてのエンドポイントにおける不正利用およびサービス拒否攻撃に対する保護
- インフラ分離：コンテナ化されたサービスによる専用サーバー環境
- 自動バックアップ：毎日の暗号化データベースバックアップ
7. データ主体の権利
処理者は、GDPR第3章に基づくデータ主体のリクエストに対応する管理者の義務の履行を支援するものとします。これには以下が含まれます：
- アクセス権（第15条）— 処理されている個人データのコピーを取得
- 訂正権（第16条）— 不正確な個人データを訂正
- 消去権（第17条）— 個人データの削除を要求
- 制限権（第18条）— 個人データの処理を制限
- データポータビリティ権（第20条）— 構造化された機械可読形式で個人データを受領
- 異議申立権（第21条）— 個人データの処理に異議を申し立て
処理者は、管理者から転送されたデータ主体のリクエストに対し、不当な遅延なく、遅くとも30日以内に対応するものとします。
8. 侵害通知
個人データの侵害が発生した場合、処理者は以下を行うものとします：
- GDPR第33条に従い、侵害を認識してから72時間以内に不当な遅延なく管理者に通知
- 管理者が関連する監督機関への侵害報告義務を履行するために十分な情報を提供
- 管理者と協力し、侵害の調査、軽減、および修復を支援するための合理的な措置を講じる
- 侵害に関する事実、その影響、および講じた修復措置を含むすべての侵害を文書化
9. 国際移転
処理者はすべての主要データを欧州連合内（Hetzner、ドイツ）に保存します。
ドキュメントコンテンツがEU域外のLLM推論プロバイダー（OpenRouter、Together AI）に送信される場合、当該移転は暗号化されたAPIコールを通じて行われます。これらのプロバイダーはリアルタイムでデータを処理し、提出されたコンテンツを保持しません。処理者は、GDPR第5章に基づき必要な場合には標準契約条項（SCC）を含む適切な保護措置が講じられていることを確保します。
管理者は、ドキュメントコンテンツがAIを活用した抽出のみを目的としてLLMプロバイダーに送信されること、および当該送信に意図的に個人データが含まれないことを承認するものとします。
10. 監査権
管理者またはその指名する独立の第三者監査人は、以下の条件に従い、本DPAへの処理者の遵守状況を監査することができます：
- 管理者は監査の少なくとも30日前に書面で通知するものとします
- 監査は通常の営業時間内に実施され、処理者の業務を不合理に妨害しないものとします
- 監査により処理者の重大な違反が判明した場合を除き、管理者が監査費用を負担するものとします
- 処理者は本DPAに定める義務への遵守を証明するために必要なすべての情報を提供するものとします
11. 準拠法
本DPAは、欧州連合の法律および管理者が所在する加盟国の適用法に準拠し、同法に従って解釈されるものとします。本DPAに起因するすべての紛争は、当該加盟国の管轄裁判所の専属管轄に服するものとします。
12. お問い合わせ
本データ処理契約に関するご質問、または本契約に基づく権利行使については、以下までお問い合わせください：
Legal: [email protected]
Privacy: [email protected]
Website: https://www.tender-analyzer.com