データ処理契約（テンプレート）
GPT Workspaceが法人顧客と締結するデータ処理契約（DPA）のテンプレートを以下に示します。記入済みのバージョンを受け取るには、contact@gpt.space宛に貴社の正式名称、住所、担当者名、シート数をお知らせください。記載されているプロセッサーはトラストセンターで一覧表示され、常に最新の状態に保たれています。
このテンプレートは情報提供を目的としており、法的助言ではありません。 署名前に貴社の顧問弁護士による審査を受けてください。角括弧で囲まれた項目は署名前に記入されます。
データ処理契約
Section titled “データ処理契約”本データ処理契約（以下「DPA」）は、GPT Workspace（以下「本サービス」）の利用に関する合意の一部を構成し、以下の当事者間で締結されます。
- [CUSTOMER LEGAL NAME]、[CUSTOMER ADDRESS]、[REGISTRATION NUMBER]（以下「顧客」または「管理者」）、および
- GPTW LLC、150 Central Park, Los Alamos, New Mexico, USA（以下「提供者」または「処理者」）
以下、併せて「双方」といいます。本契約は[EFFECTIVE DATE]に発効し、提供者が顧客の代わりに個人データを処理する限り適用されます。
「GDPR」とは、規則（EU）2016/679を意味し、適用される場合は2018年データ保護法で定義される英国GDPRを含みます。「個人データ」、「処理」、「管理者」、「処理者」、「データ主体」、「監督当局」および「個人データ侵害」は、GDPR第4条で与えられた意味を持ちます。「サブプロセッサー」とは、提供者が顧客の代わりに個人データを処理するために契約した第三者を意味します。「顧客データ」とは、提供者が本サービス契約に基づいて顧客のために処理する個人データを意味し、付録1に記載されています。
2. 役割と範囲
Section titled “2. 役割と範囲”2.1 顧客は管理者であり、提供者は顧客データの処理者です。顧客が自身のクライアントの処理者として行動する場合、提供者はサブプロセッサーとして行動し、顧客は自身の指示が関連する管理者によって承認されていることを保証します。
2.2 処理の対象、期間、性質および目的、個人データの種類、データ主体のカテゴリは、付録1に定められています。
3. 文書化された指示に基づく処理（第28条(3)(a)）
Section titled “3. 文書化された指示に基づく処理（第28条(3)(a)）”3.1 提供者は、顧客の文書化された指示に基づいてのみ顧客データを処理します。これには第三国への移転に関する指示も含まれます。ただし、提供者が服する連合法または加盟国法により処理が要求される場合はこの限りではありません。この場合、提供者は処理の前にその法的要件を顧客に通知します。ただし、法律によりこれが禁止されている場合を除きます。
3.2 顧客の指示とは、本サービス契約、本DPA、顧客およびそのユーザーが本サービスで設定する構成、および顧客のユーザーが本サービスに送信するリクエストです。提供者は、指示がGDPRに違反していると判断した場合、直ちに顧客に通知します。
4. 機密保持（第28条(3)(b)）
Section titled “4. 機密保持（第28条(3)(b)）”提供者は、顧客データの処理を許可された者が機密保持を約束するか、適切な法定の機密保持義務を負っていることを確保します。また、各者が本サービスを実行するために必要な範囲にのみアクセスが制限されることを確保します。
5. セキュリティ（第28条(3)(c)および第32条）
Section titled “5. セキュリティ（第28条(3)(c)および第32条）”提供者は付録2に記載された技術的および組織的措置を実施し、継続的に見直しを行います。技術水準、実装コスト、処理の性質、範囲、文脈および目的を考慮し、これらの措置はリスクに応じた適切な水準のセキュリティを確保します。
6. サブプロセッサー（第28条(2)および第28条(4)）
Section titled “6. サブプロセッサー（第28条(2)および第28条(4)）”6.1 顧客は、提供者が付録3に記載されたサブプロセッサーと契約することについて一般的な書面による承認を与えます。
6.2 提供者は、サブプロセッサーの追加または交換を予定している場合、当該変更が発効する少なくとも[30]日前までに、[CUSTOMER NOTIFICATION E-MAIL]への電子メールおよびhttps://gpt.space/trustのリスト更新によって顧客に通知します。顧客は当該期間内に合理的なデータ保護の根拠に基づいて異議を申し立てることができます。双方が異議を解決できない場合、顧客は本サービスの該当部分を違約金なしに終了することができます。
6.3 提供者は、各サブプロセッサーに対して契約により、本DPAに記載されたものと同じデータ保護義務を課します。特に、適切な技術的および組織的措置を実施するための十分な保証を提供します。サブプロセッサーが義務を履行しない場合、提供者は当該サブプロセッサーの義務の履行について顧客に対して完全な責任を負います。
7. データ主体の権利（第28条(3)(e)）
Section titled “7. データ主体の権利（第28条(3)(e)）”処理の性質を考慮し、提供者は、顧客がGDPR第3章に基づくデータ主体の権利行使に関する要求に対応する義務を履行するため、可能な範囲で適切な技術的および組織的措置により顧客を支援します。提供者は、データ主体から顧客データに関する要求を直接受領した場合、不当な遅延なく顧客に転送し、顧客の指示による場合または法律で要求される場合を除き、これに応答しません。
8. コンプライアンス支援（第28条(3)(f)）
Section titled “8. コンプライアンス支援（第28条(3)(f)）”提供者は、処理の性質および提供者が利用可能な情報を考慮し、GDPR第32条から第36条の義務（セキュリティ、侵害通知、データ保護影響評価、事前相談）への準拠を確保するため、顧客を支援します。
9. 個人データ侵害
Section titled “9. 個人データ侵害”提供者は、顧客データに影響を及ぼす個人データ侵害を認識した後、不当な遅延なく、いかなる場合も[48]時間以内に、[CUSTOMER NOTIFICATION E-MAIL]への電子メールにより顧客に通知します。通知には、判明している範囲で、侵害の性質、対象となるデータ主体のカテゴリおよび概数、記録の概数、起こり得る結果、講じたまたは提案された措置、連絡先が記載されます。まだ利用可能でない情報は、不当なさらなる遅延なく段階的に提供されます。
10. 削除および返還（第28条(3)(g)）
Section titled “10. 削除および返還（第28条(3)(g)）”10.1 顧客の選択により、提供者は本サービスの提供終了後にすべての顧客データを削除または返還し、既存のコピーを削除します。ただし、連合法または加盟国法により個人データの保存が要求される場合はこの限りではありません。
10.2 10.1とは独立して、顧客および各ユーザーは、いつでもアカウントおよび提供者が本サービスで保持するデータを削除できます。削除は要求から24時間以内に実行されます。請求書および支払記録は、税法で要求される期間保持されます。
11. 監査（第28条(3)(h)）
Section titled “11. 監査（第28条(3)(h)）”11.1 提供者は、GDPR第28条に基づく義務への準拠を示すために必要なすべての情報を顧客に提供し、顧客または顧客が委任した監査人による監査（検査を含む）を許可し、これに貢献します。
11.2 提供者は、ISO 27001証明書および監査報告書（https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media）、CASA Tier III評価、およびセキュリティ質問票に対する書面による回答を提供することで、まず監査要求に応じます。オンサイトまたはリモートによる検査は、監督当局が別途要求する場合または個人データ侵害が発生した場合を除き、[年1回]を上限とし、[30]日前の書面による通知の上、営業時間内に、機密保持契約の下で、顧客の費用負担により実施されます。
12. 国際移転
Section titled “12. 国際移転”12.1 提供者は米国に拠点を置き、本サービスは米国のGoogle Cloud Platformでホストされています。EEA、英国またはスイスのデータ主体の顧客データが、十分性認定のない国に移転される場合、双方は欧州委員会が決定（EU）2021/914で採択した標準契約条項（適用に応じてモジュール2、管理者から処理者、またはモジュール3、処理者から処理者）に依拠します。これらは参照により組み込まれ、英国データが関係する場合は英国国際データ移転付録と併せて適用されます。顧客データを受領する提供者のサブプロセッサーは、当該枠組みが利用可能な場合、EU-US データ・プライバシー・フレームワークに参加します。提供者自身が行うすべての移転には標準契約条項が適用されます。
12.2 標準契約条項の選択肢について、以下の通り適用されます。条項7（ドッキング）が適用されます。条項9の選択肢2（一般的な承認）について、通知期間は第6.2項に従います。条項11の任意の文言は適用されません。条項13および条項17は[MEMBER STATE, e.g. Ireland]の法。条項18は[MEMBER STATE]の裁判所。標準契約条項の付録Iおよび付録IIは、本DPAの付録1および付録2です。
13. 責任、期間および優先順位
Section titled “13. 責任、期間および優先順位”13.1 本DPAに基づく各当事者の責任は、本サービス契約の責任制限および除外の対象となります。ただし、適用されるデータ保護法の下で制限できない場合はこの限りではありません。
13.2 本DPAは発効日に効力を生じ、提供者が顧客データを処理する限り有効に存続します。本DPAと本サービス契約の間に矛盾がある場合、個人データの処理については本DPAが優先されます。
13.3 本DPAは、本サービス契約を準拠法とする法律に準拠します。ただし、標準契約条項は第12.2項で選択された法律に準拠します。
| 顧客 | 提供者 |
|---|---|
| 氏名: [NAME] | 氏名: [NAME] |
| 役職: [TITLE] | 役職: [TITLE] |
| 日付: [DATE] | 日付: [DATE] |
| 署名: | 署名: |
付録1: 処理の説明
Section titled “付録1: 処理の説明”| 項目 | 説明 |
|---|---|
| 対象 | GPT Workspaceサービスの提供。Google Docs、Sheets、Slides、Forms、Gmail、Drive、Google Chat、Chrome拡張機能、MCPサーバー内でのAIアシスタンス。 |
| 期間 | 本サービス契約の期間、および付録2の保持期間。 |
| 性質および目的 | ユーザーが自身のGoogleアカウントで指定したコンテンツを読み取り、ユーザーのプロンプトとともにAIモデルプロバイダーに送信し、回答をユーザーのファイルまたはチャットに書き戻すこと。アカウント管理、請求、サポート。 |
| データ主体のカテゴリ | 本サービスを利用する顧客の従業員および請負業者。本サービスを通じて処理される顧客のドキュメント、スプレッドシート、電子メール、ファイルにデータが含まれる人物。 |
| 個人データの種類 | アカウントデータ（氏名、電子メールアドレス、プロフィール画像、Googleアカウント識別子）。請求データ（請求先氏名、住所、VAT番号）。利用メタデータ（要求数、日付、ドキュメントタイトル）。ユーザーが送信するプロンプトおよびGoogleファイル、電子メール、添付ファイルのコンテンツ（顧客がそこに配置するあらゆるカテゴリの個人データが含まれる可能性があります）。 |
| 特別なカテゴリ | 設計上はなし。本サービスは特別なカテゴリのデータを要求しません。ユーザーが何を送信するかは顧客が決定します。[特別なカテゴリが予想される場合は顧客が記載: NONE / DESCRIBE] |
| 頻度 | ユーザーが各要求を行うたびに継続的。 |
| 保持 | 付録2「保持」を参照。 |
付録2: 技術的および組織的措置（第32条）
Section titled “付録2: 技術的および組織的措置（第32条）”| 分野 | 措置 |
|---|---|
| 認証 | ISO 27001認証情報セキュリティマネジメントシステム（監査報告書あり）。Google Workspace統合に関するCASA Tier III（App Defense Alliance）評価。Google API Services User Data Policyへの準拠（Limited Use要件を含む）。 |
| ホスティング | Google Cloud Platform（Firebase）、米国、US EastおよびUS Westリージョン。顧客データを処理するコンポーネントは、ロードバランサーおよびWebアプリケーションファイアウォールの背後にある提供者のプライベートネットワーク内で実行されます。 |
| 暗号化 | すべての転送中データに対するTLS 1.2以上。Firebase上の保存時データに対するAES-256サーバー側暗号化、GCP IAMによる鍵管理。Googleアクセスおよびリフレッシュトークンは保存時に暗号化されます。 |
| 顧客ファイルのコピーなし | Googleファイル、電子メール、スプレッドシートは、ユーザー自身のOAuthトークンでリアルタイムに読み取られ、提供者のストレージにはコピーされません。唯一の例外は、ファイル検索のためにユーザーが添付したファイルで、OpenAIベクトルストアにアップロードされます（付録3を参照）。検索インデックスは最終使用から1日後に破棄され、コピーは7日後に削除されます。 |
| モデルプロバイダー | リクエストに対するトレーニングを禁止するAPI条件の下で使用。提供者は顧客データでモデルのトレーニングまたはファインチューニングを行いません。 |
| アクセス制御 | 本番システムへのアクセスは、個別アカウント、多要素認証、GCP IAMによる最小権限を持つ承認されたスタッフに制限されています。Firebaseセキュリティルールによりユーザーごとのデータ分離が実施されます。本番アクセスを持つすべてのアカウントに多要素認証が必須であり、アクセス権は毎週見直されます。 |
| 監視およびテスト | GCP Security Command Centerによる範囲内のすべての資産の継続的な脆弱性スキャン。外部研究者向けの脆弱性開示ポリシー。 |
| 保持 | アカウントデータ、チャットスレッド、設定、利用メタデータ: ユーザーの最終活動から18か月後、または削除要求から24時間後。ファイル検索用に添付されたファイル: 検索インデックスは最終使用から1日後に破棄、アップロードされたコピーは7日後に削除。モデルゲートウェイの要求ログ: 30日間、サポート利用のみ。プロンプトおよび回答: リアルタイムで処理され、提供者により長期保存されません。請求書: 税法で要求される期間。 |
| 削除 | 本サービスのアカウントおよび関連するすべてのデータのセルフサービス削除。要求から24時間以内の削除。 |
| 事業継続性 | Google Cloudのネイティブバックアップおよびマルチリージョン可用性ツール。7日ごとの完全バックアップ。 |
| スタッフ | 雇用契約および請負契約における機密保持義務。本番アクセスを持つスタッフに対するセキュリティ意識教育。 |
付録3: 承認されたサブプロセッサー
Section titled “付録3: 承認されたサブプロセッサー”現在の一覧はhttps://gpt.space/trustで管理されており、発効日時点の内容を以下に再掲します。
| サブプロセッサー | 目的 | 所在地 |
|---|---|---|
| Google Cloud Platform / Firebase (Google LLC) | ホスティング、データベース、ストレージ、認証、シークレット | 米国 |
| OpenRouter, Inc. | すべてのモデル要求を下記のプロバイダーにルーティングするゲートウェイ。要求ログはサポート目的のみで30日間保持、トレーニングには一切使用しない | 米国 |
| OpenAI | テキストおよび画像モデル。ファイル検索用ベクトルストア | 米国 |
| Anthropic | Claudeモデル（Anthropic自身のエンドポイントに固定） | 米国 |
| Google (AI Studio) | Geminiテキストおよび画像モデル | 米国 |
| Perplexity | Web検索モデル | 米国 |
| OpenRouter推論ホスト | オープンウェイトのGLM-5.3-flashおよびgpt-oss-120bモデルの推論ホスト | OpenRouter経由 |
| Typesafe | GPT_CLASSIFY数式の背後にある意思決定モデル | OpenRouter経由 |
| Google Programmable Search | 生成されたスライド用のストック画像検索（クエリのみ） | 米国 |
| Stripe | 決済、請求書、請求ポータル | 米国およびアイルランド、Stripe DPAの下 |
| PostHog（自己ホストインスタンス） | プロダクト分析 | 欧州連合 |
| Sentry | エラー監視 | 欧州連合（EUデータリージョン） |