データ処理契約（テンプレート）
GPT Workspaceが法人顧客と締結するデータ処理契約（DPA）のテンプレートです。事前入力済みの版を受領するには、貴社の法人名、住所、担当者、シート数を記載のうえcontact@gpt.spaceまでご連絡ください。記載されているプロセッサはトラストセンターで一覧表示および最新情報を維持しています。
本テンプレートは情報提供を目的としており、法的助言ではありません。 署名前に貴社の顧問弁護士による確認を受けてください。角括弧のフィールドは署名前に入力されます。
データ処理契約
Section titled “データ処理契約”本データ処理契約（「DPA」）は、以下の者間で締結されるGPT Workspace（「本サービス」）の利用に関する契約の一部を構成します。
- [CUSTOMER LEGAL NAME]、[CUSTOMER ADDRESS]、[REGISTRATION NUMBER]（「顧客」または「管理者」）、および
- GPTW LLC、150 Central Park, Los Alamos, New Mexico, USA（「提供者」または「処理者」）
以下、総称して「両当事者」とします。本契約は[EFFECTIVE DATE]に締結され、提供者が顧客の代理で個人データを処理する限り適用されます。
「GDPR」とは、規則（EU）2016/679を意味し、該当する場合は2018年データ保護法で定義される英国GDPRを含みます。「個人データ」、「処理」、「管理者」、「処理者」、「データ主体」、「監督機関」および「個人データ侵害」は、GDPR第4条で与えられた意味を持ちます。「サブプロセッサ」とは、提供者が顧客の代理で個人データを処理するために委託した第三者を意味します。「顧客データ」とは、付録1に記載のとおり、提供者が本サービス契約に基づいて顧客のために処理する個人データを意味します。
2. 役割と範囲
Section titled “2. 役割と範囲”2.1 顧客が管理者であり、提供者が顧客データの処理者です。顧客が自社のクライアントに対して処理者として行動する場合、提供者はサブ処理者として行動し、顧客は自社の指示が関連する管理者によって承認されていることを保証します。
2.2 処理の対象、期間、性質および目的、個人データの種類、データ主体のカテゴリーは付録1に記載されています。
3. 文書化された指示に基づく処理（第28条(3)(a)）
Section titled “3. 文書化された指示に基づく処理（第28条(3)(a)）”3.1 提供者は、第三国への移転を含め、顧客の文書化された指示に基づいてのみ顧客データを処理します。ただし、提供者が服する連合法または加盟国法により処理が要求される場合はこの限りではありません。この場合、提供者は法律により禁止されない限り、処理の前にその法的要件を顧客に通知します。
3.2 顧客の指示は、本サービス契約、本DPA、顧客およびそのユーザーが本サービスで設定する構成、ならびに顧客のユーザーが本サービスに送信するリクエストとします。提供者は、指示がGDPRに違反すると判断した場合、直ちに顧客に通知します。
4. 機密保持（第28条(3)(b)）
Section titled “4. 機密保持（第28条(3)(b)）”提供者は、顧客データの処理を許可された者が機密保持を誓約しているか適切な法定的機密保持義務の下にあること、および各者が本サービスを実行するために必要な範囲にアクセスが制限されていることを確保します。
5. セキュリティ（第28条(3)(c)および第32条）
Section titled “5. セキュリティ（第28条(3)(c)および第32条）”提供者は付録2に記載の技術的および組織的措置を実施し、継続的に見直します。技術水準、実装コスト、処理の性質、範囲、文脈および目的を考慮し、これらの措置はリスクに応じた適切な水準のセキュリティを確保します。
6. サブプロセッサ（第28条(2)および第28条(4)）
Section titled “6. サブプロセッサ（第28条(2)および第28条(4)）”6.1 顧客は、提供者が付録3に記載のサブプロセッサを委託することについて一般的な書面による承認を与えます。
6.2 提供者は、サブプロセッサの追加または差替えを予定する場合、当該変更が効力を生ずる少なくとも[30]日前までに、[CUSTOMER NOTIFICATION E-MAIL]への電子メールおよびhttps://gpt.space/trust のリストの更新により顧客に通知します。顧客は合理的なデータ保護の理由に基づき、当該期間内に異議を申し立てることができます。両当事者が異議を解決できない場合、顧客は本サービスの影響を受ける部分を違約金なしで終了することができます。
6.3 提供者は、各サブプロセッサに対し、契約により本DPAに定めるものと同じデータ保護義務を課し、特に適切な技術的および組織的措置を実施するための十分な保証を提供します。サブプロセッサがその義務を履行しない場合、提供者は当該サブプロセッサの義務の履行について顧客に対して全面的に責任を負います。
7. データ主体の権利（第28条(3)(e)）
Section titled “7. データ主体の権利（第28条(3)(e)）”処理の性質を考慮し、提供者は、可能な範囲で適切な技術的および組織的措置により、GDPR第3章に基づくデータ主体の権利の行使に関するリクエストに対応する顧客の義務の履行を支援します。提供者は、顧客データに関するデータ主体から直接受領したリクエストを不当な遅延なく顧客に転送し、顧客の指示に基づくか法により要求される場合を除き、これに応答しません。
8. コンプライアンス支援（第28条(3)(f)）
Section titled “8. コンプライアンス支援（第28条(3)(f)）”提供者は、処理の性質および提供者が利用可能な情報を考慮し、GDPR第32条から第36条（セキュリティ、侵害通知、データ保護影響評価、事前協議）に基づく義務のコンプライアンス確保において顧客を支援します。
9. 個人データ侵害
Section titled “9. 個人データ侵害”提供者は、顧客データに影響を及ぼす個人データ侵害を認識した後、不当な遅延なく、いかなる場合も[48]時間以内に、[CUSTOMER NOTIFICATION E-MAIL]への電子メールにより顧客に通知します。通知には、判明している範囲で、侵害の性質、影響を受けるデータ主体および記録のカテゴリーならびに概数、考えられる結果、講じたまたは提案された措置、連絡先が記載されます。まだ利用可能でない情報は、不当なさらなる遅延なく段階的に提供されます。
10. 削除および返還（第28条(3)(g)）
Section titled “10. 削除および返還（第28条(3)(g)）”10.1 顧客の選択により、提供者は本サービスの提供終了後にすべての顧客データを削除または返還し、既存のコピーを削除します。ただし、連合法または加盟国法が個人データの保管を要求する場合はこの限りではありません。
10.2 10.1とは独立して、顧客およびその各ユーザーは、いつでも自らのアカウントおよび提供者が本サービスで保持するデータを削除できます。削除はリクエストから24時間以内に実行されます。請求書および支払記録は税法で要求される期間保持されます。
11. 監査（第28条(3)(h)）
Section titled “11. 監査（第28条(3)(h)）”11.1 提供者は、GDPR第28条に基づく義務のコンプライアンスを証明するために必要なすべての情報を顧客に利用可能にし、顧客または顧客が委任した監査人による監査（検査を含む）を許可し、これに貢献します。
11.2 提供者は、ISO 27001認証書および監査報告書（https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media）、CASA Tier III評価、ならびにセキュリティ質問票に対する書面による回答を提供することにより、まず監査リクエストに対応します。監督機関が別途要求する場合または個人データ侵害が発生した場合を除き、現地またはリモートによる検査は[年に1回]を上限とし、[30]日前の書面による通知のうえ、営業時間内に、機密保持契約の下で、顧客の費用負担により実施されます。
12. 国際移転
Section titled “12. 国際移転”12.1 提供者は米国に設立されており、本サービスは米国のGoogle Cloud Platformでホストされています。EEA、英国またはスイスのデータ主体の顧客データが十分性決定のない国に移転される場合、両当事者は欧州委員会が決定（EU）2021/914で採択した標準契約条項（適用に応じてモジュール2（管理者から処理者へ）またはモジュール3（処理者から処理者へ））に依拠し、同条項は参照により組み込まれます。英国データが関係する場合は英国国際データ移転付録もあわせて組み込まれます。顧客データを受領する提供者のサブプロセッサは、当該枠組みが利用可能な場合、EU-US データプライバシーフレームワークに参加します。提供者自らが行うすべての移転は標準契約条項に準拠します。
12.2 標準契約条項の選択肢について、第7条（ドッキング）が適用されます。第9条の選択肢2（一般的な承認）で通知期間は第6.2項に従います。第11条の任意の記述は適用されません。第13条および第17条は[加盟国（例: アイルランド）]の法。第18条は[加盟国]の裁判所。標準契約条項の付録Iおよび付録IIは、本DPAの付録1および付録2とします。
13. 責任、期間、優先順位
Section titled “13. 責任、期間、優先順位”13.1 各当事者の本DPAに基づく責任は、本サービス契約の責任制限および除外の対象となります。ただし、適用されるデータ保護法の下で制限できない場合はこの限りではありません。
13.2 本DPAは効力発生日に効力を生じ、提供者が顧客データを処理する限り有効に存続します。本DPAと本サービス契約の間に矛盾がある場合、本DPAが個人データの処理について優先します。
13.3 本DPAは本サービス契約を準拠する法に準拠します。ただし、標準契約条項は第12.2項で選択された法に準拠します。
| 顧客側 | 提供者側 |
|---|---|
| 氏名: [NAME] | 氏名: [NAME] |
| 役職: [TITLE] | 役職: [TITLE] |
| 日付: [DATE] | 日付: [DATE] |
| 署名: | 署名: |
付録1: 処理の記述
Section titled “付録1: 処理の記述”| 項目 | 記述 |
|---|---|
| 対象 | GPT Workspaceサービスの提供: Google Docs、Sheets、Slides、Forms、Gmail、Drive、Google Chat、Chrome拡張機能、MCPサーバー内でのAIアシスタンス。 |
| 期間 | 本サービス契約の期間、ならびに付録2の保持期間。 |
| 性質および目的 | ユーザーがGoogleアカウント内で指定したコンテンツを読み取り、ユーザーのプロンプトとともにAIモデルプロバイダに送信し、回答をユーザーのファイルまたはチャットに書き戻すこと。アカウント管理、請求、サポート。 |
| データ主体のカテゴリー | 本サービスを利用する顧客の従業業者および委託業者。本サービスを通じて処理される顧客のドキュメント、スプレッドシート、電子メール、ファイルにデータが含まれる者。 |
| 個人データの種類 | アカウントデータ（氏名、メールアドレス、プロフィール画像、Googleアカウント識別子）。請求データ（請求名、住所、VAT番号）。利用メタデータ（リクエスト数、日付、ドキュメントタイトル）。ユーザーが送信するプロンプトの内容、ならびにGoogleファイル、電子メール、添付ファイルの内容。これらには顧客が配置したいかなるカテゴリーの個人データも含まれ得る。 |
| 特殊カテゴリー | 設計上は該当なし。本サービスは特殊カテゴリーデータを要求しません。ユーザーが何を送信するかは顧客が決定します。[特殊カテゴリーが予想される場合は顧客が記載: NONE / 記述] |
| 頻度 | ユーザーの各リクエスト時に継続的。 |
| 保持 | 付録2「保持」を参照。 |
付録2: 技術的および組織的措置（第32条）
Section titled “付録2: 技術的および組織的措置（第32条）”| 分野 | 措置 |
|---|---|
| 認証 | ISO 27001認証情報セキュリティマネジメントシステム（監査報告書あり）。Google Workspace統合のためのCASA Tier III（App Defense Alliance）評価。Google API Services User Data Policyへの準拠（Limited Use要件を含む）。 |
| ホスティング | Google Cloud Platform（Firebase）、米国、US East および US West リージョン。顧客データを処理するコンポーネントは、ロードバランサーおよびWebアプリケーションファイアウォールの背後にある提供者のプライベートネットワーク内で実行。 |
| 暗号化 | すべての転送中データにTLS 1.2以上。Firebase上の保管時データにAES-256サーバー側暗号化、GCP IAMによる鍵管理。Googleアクセストークンおよびリフレッシュトークンは保管時に暗号化。 |
| 顧客ファイルのコピーなし | Googleファイル、電子メール、スプレッドシートはユーザー自身のOAuthトークンでリアルタイムに読み取られ、提供者のストレージにコピーされません。唯一の例外は、ユーザーがファイル検索のために添付したファイルで、OpenAIベクターストアにアップロードされます（付録3参照）。検索インデックスは最終使用の1日後に破棄され、コピーは7日後に削除されます。 |
| モデルプロバイダ | リクエストでのトレーニングを禁止するAPI利用規約の下で使用。提供者は顧客データでモデルをトレーニングまたはファインチューニングすることはありません。 |
| アクセス制御 | 本番システムへのアクセスは、個別アカウント、多要素認証、GCP IAMによる最小権限を持つ認可されたスタッフに制限。Firebaseセキュリティルールによりユーザーごとのデータ分離を実施。本番アクセスを持つすべてのアカウントに多要素認認が必須。アクセス権は毎週見直し。 |
| 監視およびテスト | GCP Security Command Centerによる対象範囲内の全アセットの継続的脆弱性スキャン。外部研究者向けの脆弱性開示ポリシー。 |
| 保持 | アカウントデータ、チャットスレッド、設定、利用メタデータ: ユーザーの最終活動から18か月後、または削除リクエストから24時間後。ファイル検索用に添付されたファイル: 検索インデックスは最終使用の1日後に破棄、アップロードされたコピーは7日後に削除。モデルゲートウェイのリクエストログ: 30日間、サポート用途のみ。プロンプトおよび回答: リアルタイムで処理され、提供者による長期保存なし。請求書: 税法で要求される期間。 |
| 削除 | 本サービスにおけるアカウントおよび関連するすべてのデータのセルフサービス削除。リクエストから24時間以内に削除。 |
| 事業継続性 | Google Cloudネイティブのバックアップおよびマルチリージョン可用性ツール。7日ごとのフルバックアップ。 |
| スタッフ | 雇用契約および委託契約における機密保持義務。本番アクセスを持つスタッフへのセキュリティ意識教育。 |
付録3: 認定サブプロセッサ
Section titled “付録3: 認定サブプロセッサ”現在の一覧は https://gpt.space/trust で維持されており、効力発生日時点の内容を以下に再掲します。
| サブプロセッサ | 目的 | 所在地 |
|---|---|---|
| Google Cloud Platform / Firebase (Google LLC) | ホスティング、データベース、ストレージ、認証、シークレット | 米国 |
| OpenRouter, Inc. | すべてのモデルリクエストを以下のプロバイダにルーティングするゲートウェイ。リクエストログはサポートのみの目的で30日間保持、トレーニングには一切使用しない | 米国 |
| OpenAI | テキストおよび画像モデル。ファイル検索用ベクターストア | 米国 |
| Anthropic | Claudeモデル（Anthropic自身のエンドポイントに固定） | 米国 |
| Google (AI Studio) | Geminiテキストおよび画像モデル | 米国 |
| Perplexity | Web検索モデル | 米国 |
| OpenRouter 推論ホスト | オープンウェイトのGLM-5.3-flashおよびgpt-oss-120bモデル用の推論ホスト | OpenRouter経由 |
| Typesafe | GPT_CLASSIFY数式の背後にある決定モデル | OpenRouter経由 |
| Google Programmable Search | 生成スライド用のストック画像ルックアップ（クエリのみ） | 米国 |
| Stripe | 決済、請求書、請求ポータル | 米国およびアイルランド、Stripe DPAの下 |
| PostHog (セルフホストインスタンス) | プロダクト分析 | 欧州連合 |
| Sentry | エラー監視 | 欧州連合（EUデータリージョン） |