データ処理条項（DPA）
制定日：2026年8月14日
本データ処理条項（以下「本DPA」）は、「ミミウチ」利用規約の別紙であり、契約者（委託者）から鈴木 秀（屋号：AI実装Lab。以下「当社」または「受託者」）への支援者情報の取扱いの委託（個人情報保護法第27条第5項第1号）に関する条件を定めます。本DPAと利用規約が矛盾する場合、支援者情報の取扱いに関しては本DPAが優先します。
第1条（委託の範囲・目的）
- 契約者は、支援者情報の保存・検索・表示・バックアップ等、本サービスの提供に必要な処理を当社に委託する。
- 当社は、委託の目的の範囲を超えて支援者情報を取り扱わない。当社自身の目的（分析・広告・第三者提供等）には一切利用しない。
第2条（取扱データ項目）
委託の対象となる支援者情報は、契約者が入力する次の項目とする。
- 氏名、よみ、顔写真
- 会話記録、面会履歴
- 住所、電話番号、メールアドレス、誕生日
契約者が政治的信条その他の要配慮個人情報（個情法第2条第3項）を入力した場合、当該情報も本DPAの対象となる。
第3条（安全管理措置）
当社は、支援者情報について次の安全管理措置を講じる。
- アクセス制御・分離：行レベルセキュリティ（RLS）により、各契約者のデータを他の契約者から論理的に分離する。
- 暗号化：通信経路（TLS）および保存データを暗号化する。
- アクセス権限管理：本番データへのアクセスを必要最小限の者に限定し、認証を行う。
- 監査ログ：データへのアクセス・操作の記録を保存し、追跡可能とする。
- 保存場所：支援者情報はSupabase（AWS東京リージョン、日本国内）に保存する。
第4条（再委託）
- 当社は、次の再委託先に取扱いを再委託する。当社はこれらに対し本DPAと同等以上の義務を課し、必要かつ適切な監督を行う。
| 再委託先 | 役割 | 所在・保存 |
| Supabase Inc.（米国） | ホスティング・データベース・ファイル保存・認証 | データはAWS東京リージョン（日本国内） |
| Vercel Inc.（米国） | アプリケーション（画面）の配信 | 世界各地のCDN。支援者情報は保存しない |
| Stripe, Inc.（米国）／Stripe Japan株式会社 | 決済処理 | 米国ほか。契約者の決済情報のみ。支援者情報は渡さない |
| Resend, Inc.（米国） | 認証メール（アドレス確認・パスワード再設定）の配信 | 米国。契約者のメールアドレスのみ。支援者情報は渡さない |
| Google LLC（米国） | 名刺画像の文字読み取り（Gemini API） | 米国。下記3項の条件による |
- 支援者情報（氏名・顔写真・顔特徴量・住所等）を継続的に保存するのはSupabaseのみである。Vercel・Stripe・Resendへ支援者情報を提供することはない。
- 名刺の文字読み取り（OCR）について。契約者が名刺取込画面で読み取りを実行したときに限り、当社は当該名刺画像をGoogle LLCのGemini APIへ送信し、氏名・所属・連絡先等の文字を取得する。次の条件による。
- 送信するのは契約者が自ら撮影・アップロードした名刺画像のみであり、名簿本体・顔写真・顔特徴量は送信しない。
- 入力内容が生成AIモデルの学習に利用されない有料枠（課金を有効にしたAPI）を用いる。
- 読み取り結果は当社のSupabaseに下書きとして保存され、契約者が取込を承認するまで名簿には入らない。
- 契約者が名刺取込機能を使用しない限り、Googleへのデータ送信は一切発生しない。
- 当社は、再委託先を変更・追加する場合、効力発生日の30日前までに契約者へ通知する。契約者が合理的な理由により異議を述べたときは、両者は誠実に協議する。
第5条（漏えい等の発生時の対応）
- 当社は、支援者情報の漏えい、滅失、毀損その他の事故（以下「漏えい等」）を認識した場合、発覚から72時間以内に契約者へ第一報を行う。
- 第一報には、判明している範囲で、事故の概要、対象データ項目、推定件数、原因、二次被害の可能性および当社の対応状況を含める。
- 契約者は政治団体等として個情法第57条第1項の適用除外に該当する場合があるため、個人情報保護委員会への報告および本人への通知は、原則として当社（受託者）が主体的に行う。要配慮個人情報（政治的信条を含む）が含まれる漏えい等は、件数にかかわらず報告対象とする。
- 対応の詳細な手順は、当社内部文書「漏えい対応フロー」に従う。
第6条（監督・照会対応）
- 契約者は、当社の安全管理措置および委託の履行状況について、合理的な範囲で照会できる。当社はこれに誠実に対応する。
- 支援者情報の本人から契約者に対して開示・訂正・利用停止等の請求があった場合、当社は契約者の求めに応じて、当該対応に必要な協力（データの抽出・訂正・削除等）を行う。
第7条（契約終了時の措置）
- 利用契約が終了した場合、当社は契約者に対し、支援者情報のエクスポート（全件出力）を契約終了日から30日間提供する。
- 前項のエクスポート期間の経過後、当社は保有する支援者情報およびそのバックアップを完全に削除する。契約者の請求があれば、削除完了を書面（電子的方法を含む）で報告する。
- 未払いにより閲覧専用（readonly）状態となっている間も、契約者は支援者情報の閲覧およびエクスポートを行うことができる。
第8条（有効期間）
本DPAは、利用契約の有効期間中および前条の措置が完了するまで効力を有する。
以上