データ処理契約

01定義と役割

「個人データ」「処理」「データ主体」等の用語は、適用されるデータ保護法（GDPR および同等の法令を含む）における意味を有します。処理の目的と方法はお客様が決定し、Mira はお客様の文書化された指示（API 呼び出し自体が構成する指示を含む）に基づいてのみ個人データを処理します。

02処理の範囲・性質・目的

• 目的：モデル推論、記憶検索および関連 API サービスの提供。
• 性質：受信、一時保存（保持ポリシーに従う）、計算および結果の返却。
• データの類型とデータ主体の範囲：お客様が API 経由で送信するコンテンツにより定まり、注文書の付表に記載します。

03処理者の義務

• サービス提供に必要な範囲でのみ個人データを処理し、自己の目的に使用しないこと。
• 処理権限を有する人員に秘密保持義務を課し、データ保護研修を実施すること。
• お客様の指示が適用法令に明らかに違反すると判断される場合、速やかにお客様へ通知すること。

04セキュリティ対策

• 通信は TLS 1.3、保存データは AES-256 で暗号化。
• ロールベースアクセス制御、多要素認証、鍵の定期ローテーション。
• 本番環境アクセスの完全な監査ログ。
• 定期的な脆弱性スキャン、ペネトレーションテスト、セキュリティレビュー。

05副処理者

お客様は、Mira が副処理者（クラウドインフラ事業者など）を起用することを承認します。Mira は最新の副処理者リストを維持し、追加・変更の 30 日前までにお客様へ通知します。合理的な理由がある場合、お客様は異議を申し立てることができます。Mira は副処理者の行為について自己の行為と同等の責任を負います。

06データ主体の権利行使への協力

処理の性質を考慮し、Mira は適切な技術的・組織的措置を講じ、データ主体からのアクセス、訂正、削除、処理制限等の要求へのお客様の対応を合理的な範囲で支援します。

07個人データ侵害の通知

お客様の個人データに関わる侵害を認知した場合、Mira は遅くとも 72 時間以内にお客様へ通知し、事案の性質、想定される影響、講じた措置等の必要な情報を提供するとともに、お客様の法定通知義務の履行に協力します。

08監査

Mira は、要請に応じて、コンプライアンスの証明に必要な情報（第三者監査報告書の要約を含む）を提供します。事前の書面通知を行い、他のお客様のデータの安全を損なわないことを条件に、お客様は年 1 回のコンプライアンス監査を実施できます。

09データの削除と返還

サービス終了後、Mira はお客様の選択に従い、30 日以内にすべての個人データを削除または返還し、既存の複製を削除します。ただし法令により保存が求められる場合を除きます。「ゼロデータリテンション」モードのお客様の API コンテンツは、処理完了後に一切永続化されません。

10国外移転

個人データの国外移転を伴う場合、両当事者は標準契約条項（SCCs）を締結するか、適用法令が認めるその他の移転メカニズムを採用し、本 DPA の付属書とします。

11責任と優先関係

本 DPA に基づく責任の負担と制限には、基本契約（MSA）の責任条項が適用されます。本 DPA と基本契約に齟齬がある場合、個人データの処理に関しては本 DPA が優先します。