AIR-Core
ログイン アカウント作成 無料
ログイン 無料でアカウント作成

法的情報

データ処理契約（GDPR 第 28 条）

この翻訳は参考用です。法的拘束力を持つのはスペイン語版です。 スペイン語版を読む

バージョン 2026-11。本契約は AIR-Core 利用規約の一部であり、利用規約とともに同意されます。署名版が必要な顧客は、次の宛先に請求できます： info@air-institute.com （メールソフトが開きます）.

当事者

  • 管理者 （「顧客」）：AIR-Core の組織を保有し、そのアカウントで特定される自然人または法人。
  • 処理者 （「AIR Institute」）：INSTITUTO INTERNACIONAL DE INVESTIGACIÓN EN INTELIGENCIA ARTIFICIAL Y CIENCIAS DE LA COMPUTACIÓN、税番号 G37571627、Av. Santiago Madrigal, 39, 37003 Salamanca。DPO： contacto@delegado-lopd.es （メールソフトが開きます）.

1. 目的

AIR Institute は、顧客またはそのユーザーが AIR-Core に取り込む個人データ（「顧客の個人データ」）を、利用規約に記載するサービスを提供する目的に限り、顧客のために処理します。処理の内容は附属書 I に記載しています。

2. 期間

本契約の期間は主たる契約と同じとし、その後は第 12 条に従ってデータが削除または返還されるまで存続します。

3. 指示

3.1. AIR Institute は、 顧客の文書化された指示にのみ従ってデータを処理します。次のものが指示に当たります：

  • 利用規約および本契約；
  • 顧客とそのユーザーが AIR-Core で行う設定と操作：データのアップロードや接続、モデルの学習、ダッシュボードの共有、アラートと webhook の設定、AI 機能の呼び出し、BYOK の設定、外部 MCP アプリケーションの承認；
  • 両当事者が合意したその他の書面による指示。

3.2. AIR Institute は、ある指示が GDPR その他の規範に違反すると判断した場合、直ちに顧客に通知し、その実行を停止することができます。

3.3. EU または加盟国の法令により AIR Institute が異なる処理を義務付けられる場合、法令で禁止されていない限り、事前に顧客に通知します。

4. 秘密保持と従業員のアクセス

4.1. AIR Institute がデータの処理を許可した者は、契約上または法令上の守秘義務を負い、データ保護とセキュリティに関する研修を受けます。

4.2. 従業員は、次の場合を除き、顧客の個人データの 内容にアクセスしません ：

  • (a) サービスの自動運用にアクセスが必要な場合；
  • (b) 顧客の明示的な許可を得て、範囲と期間を限定してサポート案件に対応する場合；
  • (c) セキュリティ上の理由による場合；
  • (d) 法的義務による場合。

(b) から (d) の場合のアクセスは記録されます。

5. セキュリティ

AIR Institute は 附属書 IIに定める、リスクに応じた措置（GDPR 第 32 条）を講じ、保護水準を下げない限りこれを更新できます。顧客は、自らに依存する事項について責任を負います：

  • ユーザーの権限を設定すること；
  • 必要に応じてデータソースの暗号化を有効にすること；
  • 自らの認証情報とトークンを保護すること；
  • ダッシュボードや公開リンクで何を公開するかを決めること。

6. 顧客への支援

処理の性質を考慮し、AIR Institute は顧客が次の事項を遵守できるよう支援します：

  • (a) データ主体の権利。 AIR-Core では、データの閲覧、訂正、エクスポート、削除ができます。データ主体が AIR Institute に直接連絡した場合は、最長 5 営業日以内に顧客に転送し、指示がない限り直接回答しません；
  • (b) セキュリティ、侵害の通知、データ保護影響評価（DPIA）および事前協議（保有する情報を提供します）。

合理的な範囲を超える支援、または顧客に起因する理由による支援は、事前の見積もりに基づき請求することがあります。

7. 副処理者

7.1. 顧客は、 包括的な承認 を与え、AIR Institute が 附属書 III の副処理者を利用することを認めます.

7.2. AIR Institute は、副処理者の追加または変更について、少なくとも 30 日 前までに管理者へメールで通知します。最新のリストは [URL] に掲載します。顧客はこの期間内に、データ保護に関する合理的な理由に基づいて異議を申し立てることができます。実行可能な代替手段がない場合、顧客は違約金なしで契約を解除でき、未利用分の返金を受けられます。

7.3. AIR Institute は、各副処理者に対し、本契約と同等のデータ保護義務を契約により課し、その履行について顧客に対して責任を負います。

8. 顧客が選択するサービス（副処理者ではありません）

次の受領者は AIR Institute の副処理者ではありません。データは 顧客またはそのユーザーの明示的な指示により送信されます:

  • (a) BYOK モードの第三者 AI プロバイダー （OpenAI、Anthropic、Groq、Google Gemini その他の互換エンドポイント）。
  • (b) 外部 MCP アプリケーション （ユーザーが承認したもの。例：Claude や ChatGPT）。
  • (c) webhook の送信先、外部のデータソースと接続、メールアラートの受信者 （顧客が設定したもの）。
  • (d) 分析ツール （顧客が公開ダッシュボードに設定したもの）。

これらの受領者を使うかどうかは顧客が決定します。そのため、次のことは顧客の責任となります：

  • 受領者との間で必要な法的関係を持つこと（例えば独自のデータ処理契約）；
  • 送信の適法性を評価すること；
  • 受領者が EEA 外にある場合、移転のための保護措置を備えること（GDPR 第 44 条以下）。

AIR Institute は各リクエストに必要なものだけを送信し、これらの第三者による処理については責任を負いません。

9. 国際移転

9.1. 顧客の個人データのホストおよび処理場所は 欧州連合:

  • AWS eu-central-1（フランクフルト）；
  • EU の推論プロファイルを使用し、EU リージョンのみを利用する Amazon Bedrock。

9.2. AIR Institute は、次のいずれかの保護措置がない限り、データを EEA 外に移転しません：

  • (a) 十分性認定（認証を受けた事業者についての EU・米国データプライバシーフレームワークを含む）；
  • (b) 欧州委員会の標準契約条項（決定 (EU) 2021/914）および必要な補完的措置。

これは副処理者によるリモートサポートアクセスの可能性にも適用されます。第 8 条の移転は同条の定めに従います。

9.3. 第三国の当局がデータを要求した場合、AIR Institute はプライバシーポリシー第 5 項に従って対応し、法令で禁止されていない限り顧客に通知します。

10. セキュリティ侵害

10.1. AIR Institute は、顧客の個人データに影響するセキュリティ侵害を、 不当な遅滞なく、遅くとも 48 時間以内に （認識した時点から起算）顧客に通知します。通知は組織の管理者と所有者のメールアドレスに送信され、判明している範囲で次の事項を含みます：

  • 侵害の性質；
  • 影響を受けたデータ主体と記録の種類およびおおよその数；
  • DPO の連絡先；
  • 想定される影響；
  • 講じた措置または提案する措置。

すべての情報がそろわない場合は、段階的に提供します。

10.2. 必要に応じて監督機関とデータ主体に通知するのは、管理者である顧客の責任です（GDPR 第 33 条および第 34 条）。AIR Institute は、明示的な指示がない限り、顧客に代わってこれを行いません。

11. 情報提供と監査

11.1. AIR Institute は、本契約の遵守を証明するために必要な情報を顧客に提供します：措置の説明、副処理者の認証（例えば AWS の ISO 27001 や SOC 2）、合理的な質問票への回答。

11.2. これらの情報で十分でない場合、顧客は自ら、または守秘義務を負う独立監査人を通じて、次の条件で監査を行うことができます：

  • 30 日前の事前通知；
  • 年 1 回まで（侵害の発生後または当局の要請による場合を除く）；
  • 営業時間内に、他の顧客のセキュリティに影響を与えない方法で；
  • 顧客の費用負担で（重大な違反が見つかった場合を除く）。

11.3. 副処理者の施設は、その報告書と認証によって監査します。

12. 処理の終了：返還と削除

12.1. 契約終了時には、利用規約第 18 条（データ法）が適用されます：

  • 最長 30 日の移行期間；
  • オープンな形式でデータを取り出すための少なくとも 30 日間；
  • その後、 顧客の個人データをすべて削除 し、顧客の求めに応じて削除証明を発行します。

12.2. バックアップは通常のローテーションサイクルで、遅くとも [35] 日以内に削除されます。それまでは暗号化・隔離された状態で保管され、使用されません。

12.3. EU または加盟国の法令が保存を義務付けるデータのみ、法定期間中ブロックした状態で保存します。

12.4. 非アクティブな無料アカウントについては、利用規約第 16 条が適用されます。

13. 処理者のその他の義務

AIR Institute は：

  • (a) 処理者として処理活動の記録を保持します（GDPR 第 30.2 条）；
  • (b) DPO を任命しています；
  • (c) 顧客の個人データを、AI モデルの学習を含め、自らの目的に使用しません。データの内容を含まない、集計・匿名化されたサービス利用統計のみを作成します；
  • (d) データを販売または譲渡しません。

14. 顧客の義務

顧客は：

  • (a) 処理の適法性、およびデータ主体に情報を提供し、必要に応じてその同意を得ていることを保証します；
  • (b) 法的根拠がなく、かつ適切な措置（データソースの暗号化、制限的な権限、公開ダッシュボードの不使用）を講じずに、特別な種類のデータや犯罪に関するデータを取り込みません；
  • (c) 必要に応じて DPIA を実施します；
  • (d) 処理を監督し、自らの指示と第 8 条のサービスについて責任を負います。

15. 責任

各当事者は、GDPR 第 82 条に従い自らの違反について責任を負います。当事者間では、利用規約第 21 条の規定が適用されます。

16. 優先関係

データ保護に関する事項については、本契約が利用規約の他のいかなる規定にも優先します。

附属書 I. 処理の内容

項目説明
性質ホスティング、保存、構造化、変換、照会、統計分析、機械学習モデルの学習と適用、モデルの説明、可視化、顧客が設定した受領者への送信（アラート、webhook、公開ダッシュボード）、AI 機能の呼び出し時に言語モデルへ必要なコンテキストを送信すること、バックアップおよび削除
目的利用規約に従って顧客に AIR-Core を提供すること
データ主体の種類顧客が定めるもの：例えば顧客の取引先、従業員、患者、ユーザー、市民、仕入先、担当者。また、作成するコンテンツに関しては顧客のユーザー
データの種類顧客が定めるもの：識別情報、連絡先、経済情報、利用データやセンサーデータ、位置情報など。特別な種類のデータは、顧客が法的根拠を有する場合に限ります（第 14.b 条）
頻度継続的（契約期間中）
所在地EU（AWS eu-central-1、フランクフルト；EU の推論プロファイルを使用する Amazon Bedrock）
保存顧客が決定します。終了時は第 12 条に従います

附属書 II. 技術的・組織的措置

分野措置
所在地とインフラAWS eu-central-1（フランクフルト）。AWS による認証取得済みのデータセンター（ISO 27001、SOC 2）。サーバーはプライベートネットワーク内にあり、外部に公開されるのはロードバランサー（HTTPS）のみ
通信の暗号化Web、API、MCP サーバーで TLS 1.2 以上。HSTS。送信する webhook は HMAC-SHA256 で署名し、リプレイ攻撃を防止。
保存データの暗号化外部接続の認証情報、データソースの暗号化キー、webhook のシークレットは AES-256-GCM で封印し、マスターキーはデータベースの外に保管。データソースごとに独自キーによる暗号化も可能。BYOK キーは暗号化。S3 はサーバー側暗号化。
モデルの完全性署名付きモデル（HMAC）。エクスポートは RSA-PSS-SHA256 で署名し、改ざんされたものは読み込みやインポートの際に拒否
顧客のアクセス制御組織、ワークスペース、きめ細かな権限を持つ役割。2 段階認証。PKCE を用いた OAuth 2.1 トークン（リソースと組織に紐付け、ローテーションと再利用検知あり）。トークンとコードはハッシュで保存
内部のアクセス制御最小権限。S3 へのアクセスはプラットフォームのバケットに限定したインスタンスロールで実施。シークレットは制限付きディレクトリに保管。管理者アクセスは制限
ユーザーの認証情報パスワードはソルト付きでハッシュ化。
アプリケーションのセキュリティ厳格なコンテンツセキュリティポリシー（CSP）、CSRF 対策、HttpOnly および Secure の Cookie、レート制限、登録とログイン時の reCAPTCHA、外部データソースにおけるプライベートネットワークやメタデータへの接続先のブロック、削除ツールのない MCP サーバー、アシスタントが提案する変更への人による確認
AIEU の推論プロファイルを使用する Bedrock（プロバイダーによる保存・学習なし）。ユーザー単位と全体の支出上限。認証情報を伏せた AI アクティビティログ
可用性とバックアップ自動バックアップと変更前スナップショットを備えたマネージドデータベース。データとモデルのバケットで S3 のバージョニング。変更とロールバックの手順を文書化
ログと監視ローテーションするアプリケーションログ。ユーザーと AI のアクティビティログ。ヘルスチェック
組織的措置DPO の任命。従業員の研修。契約上の守秘義務。侵害対応手順（検知、評価、48 時間以内の顧客への通知）。措置と副処理者の年次見直し
削除削除時に即時の論理削除。バックアップは最長 [35] 日でローテーション

附属書 III. 承認済みの副処理者

副処理者サービスデータ所在地保護措置
Amazon Web Services EMEA SARL（ルクセンブルク）ホスティング（EC2、Aurora、DocumentDB、ElastiCache、S3、ロードバランサー、Global Accelerator）、バックアップ、Amazon Bedrock（Anthropic の Claude モデル、EU の推論プロファイル）顧客の個人データすべてEU（フランクフルト；Bedrock の推論は EU リージョン）データは EU 内。SCC を含む AWS のデータ処理契約。Amazon.com, Inc. は DPF 認証取得済み
Amazon Web Services EMEA SARL (Luxemburgo), servicio Amazon SESEnvío de los emails del servicio y de las alertas por email que configura el Cliente (pueden contener valores de sus datos)Contenido de los emails y direcciones de los destinatariosUE (Fráncfort, eu-central-1)データは EU 内。SCC を含む AWS のデータ処理契約。Amazon.com, Inc. は DPF 認証取得済み
[要確認：Cloudflare, Inc.（プロキシとして機能する場合のみ）]プロキシ、CDN、DDoS 対策通信中のトラフィック全世界DPF および SCC
[要確認：AIR Institute 自社の GPU インフラ]自社の言語モデル（使用する場合）AI リクエスト[EU の所在地]副処理者ではありません（処理者自身です）。透明性のために記載しています

顧客データについて副処理者に当たらないもの：

  • Stripe：顧客の請求データのみを処理し、その目的については管理者として、または AIR Institute の処理者として行動します。
  • Google reCAPTCHA、およびログイン手段としての Google または GitHub：アカウントのデータを処理し、コンテンツは処理しません。
  • Mapbox：ブラウザからの地図タイルのリクエストを受け取るのみで、顧客のデータは受け取りません。
  • 第 8 条のサービス。