本データ処理契約（以下、「DPA」）は、3 rue de la Rainière, 44339, Nantes, France に所在するフランスの会社 MyScript SAS（以下、「MyScript」または「プロセッサ」）とお客様（以下、「お客様」または「コントローラ」）との間で締結されるものであり、両者を併せて「両当事者」といいます。
本 DPA は、MyScript の法定通知およびご利用規約の不可欠な部分を形成し、MyScript アカウントを作成するすべての人に対して法的に拘束力があります。MyScript アカウントを作成しない場合、本 DPA は適用の対象になりません。
本 DPA は、データ処理に関する現行の法的枠組みの要件、ならびに個人データの処理に関する自然人の保護および当該データの自由な移動に関する 2016 年 4 月 27 日付けの欧州議会および理事会規則（EU）2016/679 に準拠し、指令 95/46/EC（一般データ保護規則）を廃止するものです。
1.1 ここで別段の定義がされている場合を除き、本 DPA で使用されている用語および表現の定義は以下のとおりとします:
「データ保護法」とは、個人データの処理に適用される欧州連合、欧州経済地域（EEA）およびそれらの加盟諸国、スイス、英国の GDPR を含む法規制を意味します。
「データの移転」とは:
- お客様からプロセッサへのユーザー個人データの移転、または
- データ保護法によって（またはデータ保護法のデータ移転制限に対処するために締結されるデータ移転契約の条項により）かかる移転が禁止されている場合のプロセッサからサブプロセッサ、またはプロセッサの 2 つの事業所間でのユーザー個人データの移転を意味します。
「DPA」とは、すべての付属文書を含む本データ処理契約を意味します。
「EEA」とは、欧州経済地域を意味します。
「GDPR」とは、欧州連合（EU）の一般データ保護規則 2016/679 を意味します。
「エンドユーザー」とは、開発者ポータルを通じて MyScript Cloud 認識を使用するために、お客様によってアクセスを付与された物理的人物を意味します。
「本サービス」とは、 (i) Nebo クラウドストレージおよび共有プラットフォームを通じて、または (ii) Nebo サポートリクエストを管理およびそれに応答して、または (iii) テキスト認識のための MyScript 開発者ポータルを通じて、MyScript が提供する諸サービスを意味します。これらのサービスは MyScript アカウントを作成した場合にのみアクセスすることが可能です。
「サブプロセッサ」とは、本サービスの提供または本 DPA に関連して、お客様の代わりにユーザー個人データを処理するために、プロセッサによって、またはプロセッサに代わって任命された自然人または法人を意味します。
「ユーザー個人データ」とは、Nebo クラウドにアップロードされたお客様のノートブックなど、本サービスを通じてプロセッサにアップロード/送信されたファイル、メモまたは文書に含まれるすべての個人データを意味します。（これには、お客様自身の個人データだけでなく、お客様が本サービスを通じてプロセッサと共有する他の自然人の個人データも含まれる場合があります。）
1.2 「コントローラ」、「データ主体」、「加盟国」、「個人データ」、「個人データの漏洩」、「処理」、および「プロセッサ」 は、GDPR におけるのと同じ意味を有するものとし、それらの関連用語はそれに従って解釈されるものとします。
2.1 本 DPA の目的上、および GDPR の定義に従って、MyScript はプロセッサとして、お客様はコントローラとして、それぞれ機能します。
2.2 プロセッサは以下を行うものとします:
- ユーザー個人データの処理において、適用されるすべてのデータ保護法を遵守すること。
- お客様からの文書による指示がある場合を除き、ユーザー個人データを処理しないこと。
2.3 本条により、お客様は、本サービスを提供するために、ユーザー個人データを処理するようプロセッサに指示するものとします。
プロセッサは、ユーザー個人データにアクセスする可能性のあるプロセッサの従業員、代理人、または請負業者の信頼性を確保するために合理的な措置を講じるものとし、いずれの場合も、アクセスが、本サービスの提供のため、またはプロセッサの組織内でその役割を遂行するために、関連するユーザー個人データにアクセスする必要がある個人に厳密に限定され、その個人のプロセッサに対する職務に関連して適用される法律を遵守し、そのようなすべての個人が守秘義務誓約または職業上もしくは法令上の守秘義務に従うことを保証するものとします。
4.1 プロセッサのセキュリティに関する責任
4.1.1 プロセッサは、自然人の権利および自由に対する様々な可能性および重大性のリスクだけでなく、技術の現状、実施にかかるコスト、および処理の性質、範囲、文脈および目的を考慮して、ユーザー個人データに関し、必要に応じて GDPR 第 32 条 (1) に言及されている措置を含め、そのリスクに適したセキュリティレベルを確保するための適切な技術的措置および組織的措置を実施するものとします。
4.1.2 適切なセキュリティレベルを評価する際、プロセッサは、特に、処理、中でも個人データの漏洩によってもたらされるリスクを考慮するものとします。
4.1.3 プロセッサのセキュリティ対策は、本 DPA の別表 2 に詳述されています。
4.2 お客様のセキュリティ責任
4.2.1. お客様は、第 4.1 条（セキュリティ対策）および第 7 条（個人データの漏洩）に基づくプロセッサの義務を損なうことなく、以下の事項に同意するものとします:
4.2.1.1 お客様は、 (i) 本サービスを通じて個人データが処理されるすべての自然人から必要なすべての許可を得ていることを確認すること、および (ii) すべてのログイン認証情報およびパスワードを安全に保管し、定期的に変更することを含め、本サービスの使用について単独で責任を負うものとします。
4.2.1.2.プロセッサは、お客様がプロセッサ（またはサブプロセッサ）のシステム外に保存または移転することを選択したユーザー個人データを保護する義務を負わないものとします。
4.2.2.お客様は、セキュリティ対策を確認し、本サービス、セキュリティ対策、追加セキュリティ情報、および本第 4 条（データセキュリティ）に基づくプロセッサのコミットメントが、お客様の法域で適用されるデータ保護法のセキュリティ義務に関するものを含め、お客様のニーズを満たすかどうかをご自身で評価する責任を単独で負うものとします。
5.1 プロセッサは、お客様の要求または承認がない限り、ユーザー個人データを第三者に移転せず、サブプロセッサを任命（またはユーザー個人データを開示）しないものとします。
5.2 お客様は、本 DPA の別表 1 に記載されたサブプロセッサに対し、本サービスの提供に必要なユーザー個人データの受領および処理を行う権限を付与するものとします。プロセッサは、新たなサブプロセッサによるユーザー個人データの処理をする前に、別表 1 に対する変更をお客様に通知するものとし、お客様は本サービスの利用を中止することができます。
5.3 プロセッサは、そのサブプロセッサの作為および不作為について、本 DPA ならびに法定通知およびご利用規約の条件に基づいて各サブプロセッサのサービスを直接実行する場合にプロセッサが責任を負うのと同じ範囲で責任を負うものとします。
6.1 プロセッサは、処理の性質を考慮し、データ保護法に基づくデータ主体の権利、すなわち、アクセス権、修正権、処理制限権、消去権、データのポータビリティ、処理に対する異議申し立て、または自動化された個別の意思決定の対象とならない権利（以下、「データ主体の要求」）を行使する要求への対応について、プロセッサが合理的に理解できる限り、適切な技術的および組織的措置を実施することにより、お客様の義務の履行を支援するものとします。
6.2 プロセッサは以下を行うものとします:
- ユーザー個人データに関して、データ保護法に基づきデータ主体から要求を受けた場合、速やかにお客様に通知すること。
- お客様の文書化された指示に基づく場合、またはプロセッサが適用対象となる法律によって必要とされる場合を除き、プロセッサがその要求に応じないようにすること。適用対象となる法律によって必要とされる場合、プロセッサは、適用される法律により許容される範囲において、要求に応答する前に、当該法的要件をお客様に通知するものとします。
6.3 プロセッサは、処理の性質を考慮し、欧州データ保護法に基づくデータ主体からの要求に応じる義務の履行のため、可能な限り、適切な技術的および組織的手段によりお客様を支援します。さらに、お客様が本サービスを利用する際に、データ主体の要求に対応する能力がない場合、プロセッサは、お客様の書面による要求に応じて、プロセッサが法的に許可され、かつ、当該データ主体の要求への対応が欧州データ保護法に基づいて要求される限りにおいて、当該データ主体の要求への対応を促進するための合理的な協力および支援をお客様に提供するものとします。法的に許可される範囲において、お客様は、プロセッサがかかる支援を提供することから生じるすべての費用を負担するものとします。
7.1 プロセッサは、ユーザー個人データに影響を及ぼす個人データの漏洩を認識した場合、不当な遅延なくお客様および管轄監督機関に通知するものとし、データ保護法に基づきデータ主体に個人データの漏洩を報告または通知する義務を果たすのに十分な情報をお客様に提供するものとします。
7.2 プロセッサは、かかる個人データの漏洩の調査、軽減および是正を支援するために、お客様と協力し、お客様が指示する合理的な商業上の措置を講じるものとします。
7.3 個人データの漏洩に関する通知は、お客様の連絡先に直接送付されます。お客様は、プロセッサに提供された通知用メールアドレスを含む連絡先情報が最新かつ有効であることを確認する責任を単独で負うものとします。
7.4 特定の法的要件の対象となる情報を特定するために、プロセッサがユーザー個人データの内容を評価することはありません。お客様は、個人データの漏洩に関連して適用されるインシデント通知関連の法律を遵守し、第三者への通知義務を果たすことについて、単独で責任を負うものとします。
7.5 第 7.1 条（個人データの漏洩）に基づく個人データの漏洩に関してプロセッサが通知または対応しても、プロセッサが個人データの漏洩に関する過失または責任を認めたとは解釈されないものとします。
プロセッサは、GDPR 第 35 条もしくは第 36 条、またはその他のデータ保護法の同等の規定によって必要であると合理的に考えられるデータ保護影響評価、ならびに監督当局またはその他の管轄データプライバシー当局との事前協議について、合理的な支援をお客様に提供するものとし、それぞれの場合において、プロセッサによるユーザー個人データの処理にのみ関連し、処理の性質およびプロセッサが入手可能な情報を考慮するものとします。
9.1 お客様からアカウント削除の明示的な要求があった場合、またはお客様自身によってお客様のアカウントが削除された場合、プロセッサは、プロセッサによって処理された、または処理中のユーザー個人データを削除するものとします。削除は確定的なものであり、プロセッサは当該ユーザー個人データのコピーを一切保持しないものとします。
9.2 本サービスが終了した場合、プロセッサは、ユーザー個人データの処理を伴う本サービスの終了日から速やかに、いかなる場合でも 12 カ月以内に、本サービスの提供中にプロセッサ（またはサブプロセッサ）に移転されたユーザー個人データのすべてのコピー（存在する場合）を削除し、また削除させるものとします。
10.1. プロセッサは、本 DPA および適用されるデータ保護法に基づく義務の遵守を確保するため、定期的に監査を実施し、すべてのサブプロセッサにも同様の監査を実施させるものとします。
10.2 本第 10 条に従い、プロセッサおよび/またはサブプロセッサによるユーザー個人データの処理に関し、十分な機密保持契約が締結されていることを条件として、プロセッサは、要求に応じて、本 DPA の遵守を証明するために必要なすべての情報をお客様に提供するものとします。
10.3 お客様は、第 10.1 条に記載された監査を実施するようプロセッサに指示することにより、適用されるデータ保護法に基づき、お客様自身のために、およびお客様がプロセッサとして行動している場合はお客様のコントローラのために、検査を含むあらゆる監査を実施するよう要求または義務付ける権利を有するものとします。
10.4 お客様が監査に関する本指示の変更を希望する場合、お客様は、legal@myscript.com 宛の書面による通知をプロセッサに送付することにより、本指示の変更を要求する権利を有するものとします。プロセッサが、検査を含む監査に関してお客様から出された要求および/または指示に従うことを拒否した場合、お客様は、直ちに本サービスを終了する権利を有します。
11.1 プロセッサは、お客様の書面による事前の同意なしに、EU 域外および/または EEA 域外の国にユーザー個人データを移転すること、または移転を許可することはできません。本 DPA に基づいて処理された個人データが欧州経済地域（EEA）内の加盟国から欧州経済地域外の国に移転される場合、両当事者は、ユーザー個人データが適切に保護されるようにするものとします。このため、別段の合意がない限り、両当事者は、EU が承認した個人データの移転に関する標準契約条項に依拠するものとします。
11.2 ユーザー個人データを受領するサブプロセッサのリストおよび各サブプロセッサの所在国は、本 DPA の別表 1 に記載されています。上記第 11.1 条の目的のため、お客様は、別表 1 に記載されたサブプロセッサにユーザー個人データが移転されることに同意するものとします。
12.1 期間。本 DPA は、法定通知およびご利用規約をお客様が承諾した時点で発効し、プロセッサがお客様に本サービスを提供する限り有効であるものとします。
12.2 通知。本 DPA に基づいて行われるすべての通知および連絡は書面によるものとし、MyScript がお客様に連絡する場合は、MyScript アカウントの作成に使用したメールアドレス宛に電子メールで送信する必要があり、お客様が MyScript に通知する場合は、legal@myscript.com 宛に送信する必要があります。
12.3 法律と管轄権。本 DPA はフランス法に準拠します。本 DPA に起因または関連する紛争で、両当事者が友好的に解決できないものは、フランスの管轄裁判所または当局の専属的管轄権に服するものとします。
12.4 分離可能性。本 DPA のいずれかの条項が無効または執行不能となった場合でも、本 DPA の残りの部分は有効とします。無効または執行不能な条項は、 (i) 両当事者の意図を可能な限り維持しつつ、その有効性および執行可能性を確保するために必要な修正を行うか、または (ii) それが不可能な場合は、無効または執行不能な部分がそこに含まれていなかったかのように解釈されるものとします。
12.5 クレーム、苦情、要請があった場合の管轄監督官庁は、Commission Nationale des Informations et des Libertés（CNIL）であり、https://www.cnil.fr/fr/plaintes/ からお問い合わせいただけます。
1.1 Nebo Cloud サービス
| サブプロセッサ | 目的 | データセンターの所在地 |
|---|---|---|
| AWS | クラウドインフラストラクチャプロバイダー | EU |
| Freshworks | ファイル（ノートブック）の移転を含むサポート依頼の受領と管理 | EU |
| Claranet | インフラストラクチャランナー | EU |
1.2 Nebo の生成人工知能機能
| サブプロセッサ | 目的 | データセンターの所在地 |
|---|---|---|
| OpenAI | サービスプロバイダー | ワールドワイド（標準契約条項） |
| AWS | API ホスティング | EU |
1.3 開発者ポータルによる MyScript Cloud の認識
| サブプロセッサ | 目的 | データセンターの所在地 |
|---|---|---|
| AWS | クラウドインフラストラクチャプロバイダー | 米国オレゴン州（標準契約条項） |
| Claranet | インフラストラクチャランナー | EU |
プロセッサは、お客様のためにユーザー個人データを処理する際、以下の技術的および組織的なセキュリティ対策を実施し、維持します:
物理的アクセスコントロール
プロセッサは、権限のない者がユーザー個人データにアクセスできないように、セキュリティで保護された建物やサーバールームなど、物理的なアクセスを防止するための合理的な措置を講じるか、またはプロセッサに代わってデータセンターを運営しているサブプロセッサがかかるコントロールを遵守していることを確認するものとします。
システムアクセスコントロール
プロセッサは、ユーザー個人データが許可なく使用されることを防止するために、合理的な措置を講じるものとします。これらのコントロー ルは、実施される処理の性質に応じて変化するものとし、他の多くのコントロールの中でも、パスワードによる認証、多要素認証との組み合わせ、該当する場合は文書化された承認プロセス、ファイアウォール、文書化された変更管理プロセス、および/または、複数のレベルでのアクセスの記録、および自動セキュリティ更新を含む場合があります。
システムアクセスコントロール
プロセッサは、ユーザー個人データが許可なく使用されることを防止するために、合理的な措置を講じるものとします。これらのコントロー ルは、実施される処理の性質に応じて変化するものとし、他の多くのコントロールの中でも、パスワードによる認証、多要素認証との組み合わせ、該当する場合は文書化された承認プロセス、ファイアウォール、文書化された変更管理プロセス、および/または、複数のレベルでのアクセスの記録、および自動セキュリティ更新を含む場合があります。
データアクセスコントロール
プロセッサは、ユーザー個人データが、適切に権限を与えられたスタッフによってのみアクセスおよび管理が可能であること、データ処理システムを使用する権利を有する者がアクセス権を有するユーザー個人データにのみアクセスできるよう、データベースへの直接のクエリーアクセスが制限されていること、およびアプリケーションのアクセス権が確立および実施されていること、ならびに処理の過程でユーザー個人データが許可なく読み取られ、コピー、変更、または削除されないことを保証するために、合理的な措置を講じるものとします。
トランスミッションコントロール
プロセッサは、データ移転設備によるユーザー個人データの移転先がどのような事業体であるかを確認および確立できるようにするための合理的な手段を講じるものとし、これにより、電送または輸送中にユーザー個人データが許可なく読み取られたり、コピー、修正、削除されたりしないようにするものとします。これらの対策には、認証された安全なサーバー接続の使用や、すべての API におけるクロスオリジンリソース共有の制限などが含まれます。
入力コントロール
プロセッサは、メタデータがデータ処理システムに入力されたかどうか、あるいはそれが変更または削除されたかどうかを確認し、その結果を確かなものとして確立できるようにするための合理的な手段を講じるものとします。プロセッサは、本契約に基づき、認証およびセキュアな監査記録作成のために、業界のベストプラクティスである暗号化プロトコルを利用するものとします。
データのバックアップ
本サービスのデータベースのバックアップは定期的に実施され、安全性が確保されており、ユーザー個人データが偶発的な破壊や損失から保護されるように暗号化されています。スナップショットは 12 時間ごとに撮影されます（AWS）。暗号化されたバックアップは 3 日に 1 度、弊社のサーバーで実施されます。
名称:MyScript SAS
所在地:3 rue de la Rainière 44339, Nantes, France
担当者の氏名、役職、連絡先:
Emilie Fowell、DPO、legal@myscript.com
移転されたデータに関連する活動:本サービスの履行
役割（コントローラ／プロセッサ）:プロセッサ
3.1 Nebo Cloud サービス
1.個人データが移転されるデータ主体のカテゴリ:
お客様は、ユーザー個人データを本サービスに提出できますが、その範囲はお客様のみによって決定および制御されるものとします。
2.移転される個人データのカテゴリ:
- MyScript と共有するため、または Nebo クラウドに保存するために、本サービスを通じてお客様がプロセッサに送信したノートブックに含まれる構造化されていないユーザー個人データ。
3.特別なカテゴリのデータ:
MyScript が特別なカテゴリのデータ （人種的または民族的出身、政治的意見、宗教的または哲学的信条、労働組合への加盟、遺伝子または生体情報、健康状態、性生活など）を収集することはありません。ただし、上記のような構造化されていないユーザー個人データの内容は、MyScript には不明です。
4.移転の頻度
構造化されていないユーザー個人データは、お客様の本サービスの利用頻度に応じて、別表 1 に記載された弊社のサブプロセッサに継続的に移転されます。
5.処理の性質
処理の性質は、本サービスの履行です。
6.データ移転とさらなる処理の目的
MyScript は、お客様が要求したサービスを履行するために必要なユーザー個人データを処理します。
7.個人データの保管期間、またはそれが不可能な場合は、その期間を決定するために使用した基準
構造化されていないユーザー個人データは、お客様が Nebo Cloud を通じてユーザー個人データを保存または共有しようと決めた場合、プロセッサのサーバーに移転されます。お客様が MyScript アカウントを削除した場合、すべてのユーザー個人データはすべての保管拠点から自動的に削除されます。
8.（サブ）プロセッサへの移転については、処理の対象、性質、期間も明記すること
サブプロセッサは、本サービスの履行に必要な範囲でユーザー個人データを処理します。サブプロセッサは、書面による別段の合意がない限り、またはお客様が事前にユーザー個人データの削除を要求した場合を除き、お客様が MyScript アカウントを保有する限り、ユーザー個人データを処理します。本サービスの提供に使用されるサブプロセッサの身元および所在国は、本 DPA の別表 1 に記載されています。
3.2 Nebo の生成人工知能機能
1.個人データが移転されるデータ主体のカテゴリ:
お客様は、ユーザー個人データを本サービスに提出できますが、その範囲はお客様のみによって決定および制御されるものとします。
2.移転される個人データのカテゴリ:
- コンテンツを生成し、お客様のノートブックにインポートするために、お客様が本サービスを通じてプロセッサに送信したノートブックに含まれる構造化されていないユーザー個人データ。
3.特別なカテゴリのデータ:
MyScript が特別なカテゴリのデータ （人種または民族的出身、政治的意見、宗教的または哲学的信条、労働組合への加盟、遺伝子または生体情報、健康状態、性生活など） を収集することはありません。ただし、上記のような構造化されていないユーザー個人データの内容は、MyScript には不明です。
4.移転の頻度
構造化されていないユーザー個人データは、お客様の本サービスの利用頻度に応じて、別表 1 に記載された弊社のサブプロセッサに継続的に移転されます。
5.処理の性質
処理の性質は、本サービスの履行です。
6.データ移転とさらなる処理の目的
MyScript は、お客様が要求した本サービスの履行に必要なユーザー個人データを処理します。
7.個人データの保管期間、またはそれが不可能な場合は、その期間を決定するために使用した基準
構造化されていないユーザー個人データは、お客様が人工知能機能を通じてコンテンツを生成するリクエストに含めると、サブプロセッサのサーバーに一時的に移転されます。
8.（サブ）プロセッサへの移転については、処理の対象、性質、期間も明記すること
本サービスの提供に使用されるサブプロセッサの身元および所在国は、本 DPA の別表 1 に記載されています。サブプロセッサは、本サービスの履行に必要な範囲でユーザー個人データを処理します。ユーザー個人データは、サブプロセッサである OpenAI によって、違法および/または虐待的なコンテンツを監視するために 30 日間保管され、その後削除されます。ユーザー個人データは、サブプロセッサの AWS サーバによってのみ移転され、瞬時に削除されます。
3.3 開発者ポータルによる MyScript Cloud の認識
1.個人データが移転されるデータ主体のカテゴリ:
お客様は、ユーザー個人データを本サービスに提出できますが、その範囲はお客様のみによって決定および制御されるものとします。
2.移転される個人データのカテゴリ:
- 手書きメモからデジタルテキストに変換するために、お客様が本サービスを通じてプロセッサに送信した文書に含まれる構造化されていないユーザー個人データ。
- エンドユーザーの IP アドレス。
3.特別なカテゴリのデータ:
MyScript が特別なカテゴリのデータ （人種的または民族的出身、政治的意見、宗教的または哲学的信条、労働組合への加盟、遺伝子または生体情報、健康状態、性生活など） を収集することはありません。ただし、上記のような構造化されていないユーザー個人データの内容は、MyScript には不明です。
4.移転の頻度（例: データが単発で移転されるのか、継続的に移転されるのか）
上記のすべてのカテゴリのデータは、別表 1 に記載された弊社のサブプロセッサに移転され、本サービスの利用状況に応じて継続的に移転されます。
5.処理の性質
処理の性質は、本サービスの履行です。
6.データ移転とさらなる処理の目的
MyScript は、サービスを履行するために必要な個人データを処理します。
7.個人データの保管期間、またはそれが不可能な場合は、その期間を決定するために使用した基準
構造化されていないユーザー個人データは、処理が行われる時点でプロセッサのサーバーに移転され、その後エンドユーザーに返却されます。プロセッサによって保存されることはありません。IP アドレスはログ記録として 12 ヶ月間保存されます。構造化されていないユーザー個人データは、お客様が書面で明確かつ特に要求しない限り、プロセッサによって保存されることはありません。
8.（サブ）プロセッサへの移転については、処理の対象、性質、期間も明記すること
サブプロセッサは、本サービスの遂行に必要なユーザー個人データを処理します。サブプロセッサは、書面による別段の合意がある場合を除き、お客様が本サービスを利用する限り、個人データを処理します。本サービスの提供に使用されるサブプロセッサの身元および所在国は、本 DPA の別表 1 に記載されています。
管轄監督機関
クレーム、苦情、要望があった場合の管轄監督官庁は、Commission Nationale des Informations et des Libertés（CNIL）であり、https://www.cnil.fr/fr/plaintes/ からお問い合わせいただけます。