NIDOME データ処理条件

版: 1.0 / 制定日: 2026-08-26 / 適用日: 2026-09-01

状態: 社内承認済み。初期3社限定試行で適用し、一般提供は外部法務レビューの再検討後に別途判断します。

このデータ処理条件（以下「本DPA」といいます。）は、NIDOMEの利用契約に基づき、Sunflower T & C株式会社（英文名: Sunflower T & C, Inc.、法人番号: 9011501028917。以下「当社」といいます。）が契約者のために個人データを処理する場合に適用されます。

1. 適用と優先関係

1. 本DPAは、契約者が個人情報取扱事業者その他処理の目的・方法を決定する者として当社へ委託する個人データに適用されます。
2. 当社が申込担当者情報、請求情報、セキュリティログ等を自らの目的で取り扱う範囲では、当社のプライバシーポリシーが適用されます。
3. 本DPAと利用規約が抵触する場合、個人データの処理に関しては本DPAを優先します。個別契約に明示的な特約がある場合、その特約を優先します。

2. 定義

「個人情報」「個人データ」「本人」「委託」「第三者提供」その他個人情報保護に関する用語は、個人情報の保護に関する法律および適用法令に従います。「セキュリティインシデント」とは、契約者個人データの漏えい、滅失、毀損、不正アクセスまたはこれらのおそれがある事態をいいます。

3. 当事者の役割

1. 契約者は、個人データの取得、利用目的、本人への通知・同意、正確性、入力内容、保存期間、ユーザー権限および当社への処理指示が適法であることについて責任を負います。
2. 当社は、契約者の文書化された指示、本DPA、利用契約および法令に従い個人データを処理します。
3. 当社が指示を法令違反と合理的に判断した場合、当社は契約者へ通知し、解決まで該当処理を停止できます。ただし、法令により通知が禁止される場合を除きます。
4. 当社は、法令により契約者の指示によらず処理する必要がある場合、法令上許される範囲で事前に契約者へ通知します。

4. 処理の詳細

契約者は、マイナンバー、決済カードの完全な番号、パスワード、医療・犯罪歴等の要配慮個人情報を、当社との個別合意なく通常項目、備考、添付ファイル等へ登録しません。

5. 当社の義務

当社は、次の事項を実施します。

1. 個人データを本サービスの提供と契約者の指示のためにのみ処理すること。
2. 個人データへアクセスする役職員・委託先を必要な範囲に限定し、秘密保持義務を課すこと。
3. 処理のリスクに応じた安全管理措置を実施し、継続的に見直すこと。
4. 個人データを広告販売、第三者独自のマーケティングまたは契約者と無関係なAIモデルの学習へ利用しないこと。
5. 契約者の事前承認なく、処理目的を実質的に変更しないこと。

6. 安全管理措置

当社は、少なくとも次の措置を設計・実装します。本番環境での達成状況はAWS検証環境と本番環境の受入証跡で確認します。

1. テナント・店舗・役割に基づくアクセス制御と越境アクセス防止テスト。
2. 管理者MFA、ログイン試行制限、セッション失効、パスワードの一方向ハッシュ化。
3. TLSによる通信保護、データベース・オブジェクトストレージ・バックアップの保存時暗号化。
4. 認証情報のSecrets Manager等での管理と最小権限。
5. 重要操作の監査、リクエストIDによる追跡、ログへのシークレット・個人情報出力抑制。
6. バックアップ、復元手順、監視、アラーム、インシデント対応。
7. 依存関係の監査、脆弱性対応、変更レビュー、CIテスト。
8. 契約終了後のデータ出力、保持期限、二者承認による物理削除。

詳細はセキュリティ概要に定めます。

7. 再委託

1. 契約者は、当社が本サービス提供に必要な範囲で再委託先一覧記載の事業者を利用することを一般的に承認します。
2. 当社は、再委託先に対し、処理内容とリスクに応じ、本DPAと実質的に同等のデータ保護義務を契約等で課します。
3. 当社は再委託先の選定と監督について責任を負い、再委託によって当社の義務を免れません。
4. 当社は、重要な再委託先の追加・変更を原則30日前までに通知します。緊急のセキュリティ対応、障害回避またはサービス提供者の都合で事前通知できない場合、可能な限り速やかに通知します。
5. 契約者は、通知から14日以内に、合理的なデータ保護上の理由を示して異議を申し立てられます。当事者が代替手段を協議しても解決できない場合、契約者は該当機能を停止し、または影響を受ける契約部分を将来に向かって解約できます。精算・返金は個別契約および利用規約に従います。
6. AIその他の任意機能で利用する外部サービスは、契約者が当該機能を有効化した場合だけ利用します。契約者がAI機能を無効化している間、当社は当該機能のために契約者データをAIサービス提供者へ送信しません。

8. 国外処理

1. 当社は、個人データを外国で処理し、または外国にある第三者へ提供する場合、適用法令に従って必要な契約、確認、本人への情報提供その他の措置を行います。
2. 契約者が本人同意その他の法的根拠を確保すべき場合、当社は処理国、提供事業者、措置の概要等、合理的に必要な情報を提供します。
3. 当社は、相当措置の継続的実施を契約等で確保する場合、提供事業者、処理国、外国制度、契約措置その他の相当措置を年1回および重要変更時に確認します。
4. 実際の処理国と適用条件は再委託先一覧に記載します。

9. セキュリティインシデント

1. 当社はセキュリティインシデントを把握した場合、直ちに封じ込め、調査、影響評価および再発防止に着手します。
2. 当社は、契約者が法令上の義務を判断・履行できるよう、不当に遅滞なく、当社がセキュリティインシデントを確認してから24時間以内を目標に初報します。調査中の情報を含む場合は、内容が更新され得ることを明示します。
3. 初報・続報には、判明している範囲で、発生・発覚日時、概要、対象データ、対象人数の見込み、原因、影響、封じ込め、本人・当局対応、問い合わせ先を含めます。
4. 当社は、契約者の個人情報保護委員会への報告、本人通知、問い合わせ対応に合理的に協力します。契約者が個人情報取扱事業者である場合、報告・本人通知の要否と内容の最終判断は契約者が行います。
5. 法令により当社自身へ報告・通知義務がある場合、当社はその義務を履行します。

10. 本人の権利行使への支援

1. 当社が契約者個人データについて本人から請求を受けた場合、法令により直接対応する必要がある場合を除き、契約者へ速やかに転送し、独自に回答しません。
2. 当社は、契約者が開示、訂正、削除、利用停止等へ対応できるよう、本サービスの検索、データ出力、修正・削除機能または合理的な技術支援を提供します。
3. 通常機能を超える作業の費用は、事前に合意します。ただし、当社の違反に起因する場合を除きます。

11. 監査・情報提供

1. 当社は、本DPAの遵守を示すため、セキュリティ概要、再委託先、監査・認証報告書、質問票回答その他合理的な情報を提供します。
2. 契約者は、まず当社が提供する文書で確認し、不足する場合に限り、年1回を上限として合理的な監査を求められます。ただし重大なセキュリティインシデントまたは重大な違反の合理的疑いがある場合は、この回数制限を適用しません。
3. 監査は、他の契約者のデータ、当社の秘密情報、脆弱性または事業機密を侵害せず、業務を不当に妨げない方法で行います。
4. 監査費用は原則として契約者が負担します。ただし、監査により当社の重大な違反が確認された場合は、合理的な範囲で当社が負担します。

12. 契約終了時の返還・削除

1. 契約者は、契約終了後30日以内に契約者データの出力を申請できます。当該期間中、通常利用とデータ更新は停止し、データ出力、請求およびサポート対応に必要な処理だけを行います。
2. 30日の保持期限後、当社は法令、未解決の請求・紛争、セキュリティインシデント、法的保全または個別合意により保持が必要なデータを除き、契約者個人データを削除します。
3. 稼働中のシステムから削除したデータがバックアップに残る場合、バックアップは通常の保存期間に従って失効させ、復元時には削除状態を再適用する手順を定めます。
4. 法令上保持が必要なデータは、他の目的で利用せず、アクセスを限定し、保持理由が終了した後に削除します。
5. 個別延長は書面による有償条件とします。契約者から適法かつ明示的な即時削除依頼がある場合、当社は例外保持の要否を確認したうえで前倒しを審査します。
6. データ出力済みファイルのダウンロード期限、削除手順および削除証跡はデータ保持・出力・削除条件に定めます。
7. 当社は、契約者に適用される帳簿・書類の法定保存期間まで契約者個人データを当然に保持しません。当社自身の契約、請求、会計、セキュリティおよび紛争対応記録を保持する場合は、テナント業務データから分離し、目的とアクセスを限定します。

13. 損害・責任

1. 本DPA違反に関する責任は、原則として利用規約または個別契約の責任制限に従います。
2. 各当事者は、自らの違反または責めに帰すべき事由によって直接かつ通常生じた損害について、その原因への寄与の範囲で責任を負います。契約者の違法な処理指示、法的根拠・本人への通知等の不備、過剰または禁止されたデータの登録、ユーザー・端末・認証情報管理の不備その他契約者の責めに帰すべき事由について、当社は責任を負いません。
3. 当社は、法令上制限できない場合を除き、逸失利益、機会損失、信用毀損、間接損害、特別損害、結果損害および懲罰的損害について責任を負いません。
4. 個人データに関するインシデント、本人・当局対応、第三者請求または再委託先に起因することだけを理由として、当社が無制限の補償義務を負うものではありません。通知、調査、専門家、本人対応その他の合理的費用は、法令上の義務および各当事者の原因への寄与に応じて負担します。
5. 一方当事者が第三者請求を受けた場合、相手方へ不当に遅滞なく通知し、損害の拡大防止と防御に合理的に協力します。相手方に義務または責任を生じさせる和解、認諾または公表は、緊急または法令上必要な場合を除き、相手方の事前承諾なく行いません。
6. 当社の故意・重過失または法令上責任を制限できない場合には、利用規約または個別契約の責任上限および本条の免責を適用しません。法令上許容される範囲で、第三者請求、当局・本人対応、調査費用および再委託先に起因する請求にも、利用規約または個別契約の責任上限、本条の損害範囲の限定ならびに原因への寄与に応じた負担を適用します。エンタープライズその他の個別契約で異なる責任上限を合意した場合は、当該個別契約を優先します。

14. 連絡先

• プライバシー窓口: privacy@nidome.jp（2026-08-25に開通・外部往復確認済み）
• セキュリティインシデント受付窓口: incident@nidome.jp（2026-08-25に開通・外部往復確認済みで24時間受信。標準サービスの有人対応および初動目標はSLA・サポート条件に従い、担当者通知および引継ぎは公開前に最終確認）
• 通常サポート: support@nidome.jp（2026-08-25に開通・外部往復確認済み）

以上