データ処理に関する付属書

本データ処理に関する付属書（以下「本 DPA」）は、株式会社TR-55 （以下「当社」）が提供する Nproc（以下「本サービス」）の利用規約（以下「本規約」）に組み込まれ、その一部を構成します。

本 DPA は、利用者が団体（法人その他の団体をいい、法人格の有無を問いません）のために本サービスを利用する場合に適用されます。この場合、当該団体を「お客様」といいます。

本 DPA において定義されていない用語は、本規約に定める意味を有します。

本 DPA の内容と本規約の内容が矛盾する場合、個人データの取扱いに関する事項については本 DPA が優先します。

1. 定義

「個人データ」「処理」「データ主体」「コントローラー」「プロセッサー」「サブプロセッサー」および「監督機関」の用語は、 EU 一般データ保護規則（規則 (EU) 2016/679。以下「GDPR」）第 4 条に定める意味を有します。適用される他の法令（UK GDPR、カリフォルニア州消費者プライバシー法（2018 年。カリフォルニア州民法典第 1798.100 条以下。2020 年のカリフォルニア州プライバシー権法（CPRA）による改正を含みます。以下「CCPA」）、個人情報の保護に関する法律（以下「個人情報保護法」）、カナダ個人情報保護および電子文書法）においては、これらに相当する定義に従います。

2. 当事者間の関係

本 DPA は、当社が本サービスの提供に関連してお客様に代わってお客様の個人データを処理する場合の取扱いを定めます。当社およびお客様は、以下の区分を確認します。

ワークスペースレイヤーのデータ: お客様またはお客様が認可した利用者がお客様のワークスペース内で作成する Issue、ドキュメント、キャンバス、コメントその他のコンテンツをいいます。お客様がコントローラーであり、当社がプロセッサーです。本 DPA はこの区分を対象とします。

アカウントレイヤーのデータ: 個別利用者のプロフィール、認証情報、ログインセッション履歴および所属記録、本サービスの運用に伴い当社が作成し、保有する監査記録、サーバーログ、利用状況およびセキュリティ監視の記録、ならびにお客様の課金データをいいます。当社がコントローラーであり、本 DPA の対象ではありません。当該データの取扱いは当社のプライバシーポリシーに従います。第 5 条に定める監査記録は、当社が自らの安全管理措置として作成し、維持します。

お客様は、ワークスペースレイヤーのデータについて、当社に対する開示および処理の指示に係る適法な根拠を有していること、ならびに本 DPA に基づくお客様の指示が適用される法令に違反しないことを表明し、保証します。当社およびお客様は、それぞれ、適用されるデータ保護法令に基づく自らの義務を遵守します。

3. 処理の範囲および目的

お客様は、以下に列挙する目的のためにのみ、お客様の個人データを当社に開示します。当社は、以下に列挙する目的のためにのみ、お客様の個人データを処理します。

お客様のワークスペース内のコンテンツの保存、更新および復元
同一ワークスペースにおいてお客様が認可した利用者間でのリアルタイム共同編集および同期
全文検索インデックスの作成および検索機能の提供
お客様が設定した権限に基づくアクセス制御
コンテンツの変更等に関する、お客様が認可した利用者への通知の配信
障害復旧を目的とするバックアップの作成および復旧処理
本サービスの障害の調査、不正利用の防止および稼働監視
本サービスの利用状況の分析および品質の向上

当社は、上記の目的の範囲内において、お客様の文書化された指示（本サービスの設定により具現化されたものを含みます）に基づいて処理を行います。適用法令により処理が要求される場合、当社は、法令により禁止されない限り、処理に先立ち当該法令上の要求についてお客様に通知します。

当社は、お客様の個人データを販売せず、また第三者と共有しません。

当社は、お客様の指示が適用される法令に違反すると当社が判断した場合、直ちにその旨をお客様に通知します。

データ主体の類型: お客様が認可した利用者（従業員、業務委託先およびゲストを含みます）ならびにお客様が作成したコンテンツにおいて言及される個人。

個人データの類型: お客様が認可した利用者が作成したコンテンツ、当該コンテンツにおいて言及される個人の氏名および連絡先、ならびにコンテンツの作成者および担当者を示す識別子。

特別な類型の個人データ: 当社は、特別な類型の個人データを、本サービスの利用にあたりお客様に求めず、意図的に収集しません。ただし、コンテンツには自由記述の欄が含まれるため、お客様が認可した利用者が当該類型の情報を入力する可能性を排除できるものではありません。

処理期間: 本規約に基づく本サービスの提供期間、および適用法令により保存が要求される期間。

4. サブプロセッサーおよびその他の事業者

4.1 サブプロセッサーおよびその他の事業者

本項は、当社が本サービスの提供のために利用する事業者を、透明性のために層を問わず一覧します。層は役務ごとに注記します。ワークスペースレイヤーと注記した役務については、当社の指示に基づきお客様の個人データを取り扱うため、当該事業者は本 DPA にいうサブプロセッサーであり、お客様はその利用を承認します。アカウントレイヤーと注記した役務については、当社がコントローラーであり、当該事業者は本 DPA のサブプロセッサーではありません。当該役務における取扱いは当社のプライバシーポリシーに従います。

Cloudflare, Inc.（米国、ワークスペースレイヤー）: クラウドインフラ（ホスティング、CDN、エッジコンピュート、データベース、ストレージ、ログ集約等）
Stripe, Inc.（米国、アカウントレイヤー）: 決済処理（課金データに限ります）
Google LLC（米国）: (1) OAuth 認証（アカウントレイヤー）（Sign in with Google）/ (2)（ワークスペースレイヤー） Firebase Cloud Messaging による Android 端末へのプッシュ通知配信のみ。通知に載せる情報は、チーム名、Issue 番号、通知の種別、およびチームと受信者を特定する仮名化された識別子であり、コメント等の本文、Issue のタイトル、送信者の氏名は含みません。チーム名は自由記述であるため、チーム名に個人の氏名が含まれる場合、その氏名も Google を経由します。 Firebase Analytics / Crashlytics / Google Analytics は利用していません。
Apple Inc.（米国、ワークスペースレイヤー）: Apple Push Notification service による iOS 端末へのプッシュ通知配信のみ。通知に載せる情報は上記 Android の場合と同一であり、チーム名に個人の氏名が含まれる場合、その氏名も Apple を経由します。 iCloud / Sign in with Apple 等の他の Apple サービスは利用していません。

本一覧の最終更新日: 2026 年 9 月 14 日

当社は、本項に掲げる各事業者との契約において、当該事業者が提供する役務の性質に照らして適用される範囲で、本 DPA に基づく当社の義務と実質的に同等の保護を与えるデータ保護義務を課し、当該事業者の作為および不作為について引き続き責任を負います。本一覧は本 DPA の一部を構成します。本一覧を変更する場合は第 4.2 項の手続に従い、変更後の一覧を本ページに掲示します。

Stripe の役割について: 上記の Stripe は、当社がコントローラーである課金データを当社の指示に基づき処理する事業者です。他方、Stripe が自らの目的（銀行および決済手段プロバイダの選定、不正取引の監視・防止・検知、損失・セキュリティ・危害の軽減、請求および関係管理の処理、マネーロンダリング防止その他の法令遵守、ならびに自社の製品およびサービスの分析・改善・開発）のために個人データを利用する範囲については、Stripe は独立したコントローラーとして行動し、本 DPA のサブプロセッサー義務の対象ではありません。当該範囲の取扱いは Stripe 自身のプライバシーポリシーおよびデータ処理契約に従います。

4.2 事業者の追加および変更

お客様は、当社が本サービスの提供、改善または運用のために必要となる範囲において、第 4.1 項に掲げる事業者を追加し、差し替え、または既存の事業者による処理の範囲を重要な程度において拡大することがあることに同意します（サブプロセッサーについては、GDPR 第 28 条 2 項の一般的な書面による承認に相当します）。本承認および以下の手続は、層を問わず第 4.1 項に掲げるすべての事業者に適用します。

(1) 事前の通知
当社は、事業者の追加、差し替えまたは処理範囲の重要な拡大の効力発生日の 30 日前までに、本サービス内の通知または登録メールアドレスへの通知によりお知らせします。緊急のセキュリティ上または事業継続上の理由により 30 日前の通知が現実的でない場合、当社は速やかに事後の通知を行い、その理由を併記します。

(2) 異議の申立て
お客様は、当該追加、差し替えまたは拡大について合理的なデータ保護上の理由がある場合、通知を受領した日から 15 日以内に、書面（電子メールを含みます）により当社に異議を申し立てることができます。当該期間内に異議の申立てがない場合、お客様は当該追加、差し替えまたは拡大について異議を申し立てなかったものとみなします。

(3) 異議を受領した場合の取扱い
当社が異議を受領した場合、当社およびお客様は、誠実に協議し、相互に受け入れ可能な解決を図ります。

(4) 事業者への同等の義務
当社は、追加、差し替えまたは拡大の後の事業者に対しても、本 DPA に定める保護水準を下回らないデータ保護義務を契約により課します。

4.3 AI サービスの利用について

当社は、本サービスに AI 機能を内蔵しておらず、AI モデルの提供者をサブプロセッサーとして利用していません。外部の AI ツールに関わる経路は 2 系統ありますが、いずれの経路においても当社と AI モデルの提供者との間にサブプロセッサーの関係は生じません。

(a) お客様ご自身による接続。お客様は、ご自身の判断により、お客様が契約された AI アシスタントを当社の API に接続することができます。当該利用は、お客様と当該 AI サービス提供者との間の契約に従います。当社は、当該経路を通じてアクセスされたいかなるデータも AI モデルの学習に利用しません。

(b) 当社の管理者による障害調査、稼働監視および利用状況の分析。当社の管理者は、社内の管理ツールにアクセスするために AI ツールを利用することがあります。当該管理ツールは、読取専用の経路を通じて、仮名化された識別子および構造化された運用情報のみを参照できるよう設計されています。当該 AI ツールの利用の目的は障害調査、稼働監視および本サービスの利用状況の分析に限定し、営業、マーケティングまたは AI モデルの学習の目的には利用しません。お客様が作成したコンテンツの自由記述部分（Issue の本文、ドキュメントの本文、ノートの本文、コメント、各種の名称および表のセルの値等）は、呼び出し元が AI ツールであるか当社の管理者であるかを問わず、当該経路から除外されます。

ただし、参照できる運用情報のうちエラー情報には自由記述が含まれることがあります。当社は、AI ツールへの送信に先立ち、 URL、メールアドレス、認証情報および IP アドレスに該当する文字列をパターンの照合により置換し、先頭の一定の文字数に切り詰めます。この置換は部分的な対策であり、エラー情報の本文に混入した氏名等、パターンに一致しない文字列が除去されることを保証するものではありません。

AI モデルの学習への不使用。上記のいずれの経路によるかを問わず、当社は、お客様の個人データおよびお客様のコンテンツを、AI モデルの訓練、追加学習、蒸留または評価用データセットの作成の目的で使用せず、第三者が AI モデルの学習に使用することを目的として第三者に提供しません。

5. セキュリティ措置

当社は、お客様の個人データを、不正または違法な処理、ならびに偶発的な滅失、破壊、損傷、改ざんおよび漏えいから保護するため、適切な技術的および組織的措置を実施し、維持します。当該措置には以下を含みます。

通信時（TLS 1.2 以上）および保管時の暗号化
最小権限の原則に基づくアクセス制御
認証、権限およびメンバーシップの変更、ワークスペースおよびコンテンツの削除、課金操作、ならびにセキュリティ事象の監査記録
定期的なセキュリティテストおよび脆弱性管理
インシデント対応手順
コードレビューおよびサプライチェーン管理を含む、セキュアなソフトウェア開発手法

当社は、これらの措置を随時更新することがあります。ただし、更新により本サービスの全体的な安全性が実質的に低下することはありません。

6. 秘密保持

当社は、お客様の個人データにアクセスする権限を有する者を、当該アクセスを業務上必要とする者に限定します。当社は、当該者に対し、秘密保持義務を課し、または当該者が法令上の秘密保持義務に服していることを確認します。当該義務は、雇用または委託の終了後も存続します。

7. データ主体の権利

当社は、お客様の個人データに関するデータ主体からの請求を直接受領した場合、法令により当社が対応することが要求される場合を除き、自ら対応せず、速やかにお客様にその旨を通知します。

当社は、処理の性質を考慮し、お客様がデータ主体による開示、訂正、削除、処理の制限、データポータビリティおよび異議の申立てに係る請求に対応する義務を履行できるよう、適切な技術的および組織的措置により、合理的な範囲でお客様を支援します。

8. 個人データの侵害の通知

当社は、お客様の個人データに影響する個人データの侵害を認識したときは、不当な遅滞なくお客様に通知します。当該通知には、通知の時点で判明している範囲において、侵害の性質、影響を受けたデータ主体および記録の類型ならびに概数、想定される影響、ならびに講じたまたは講じる予定の緩和措置を含めます。

当社は、通知の後に判明した情報を、不当な遅滞なくお客様に提供します。

9. データ保護影響評価

当社は、処理の性質および当社が保有する情報を考慮し、お客様がデータ保護影響評価および監督機関との事前協議を実施する義務を履行できるよう、合理的な範囲でお客様を支援します。

10. 国外への移転

本サービスの運用に伴い、個人データは日本国外に移転され、処理される場合があります。実際の処理地は、データの種別により日本および米国（Cloudflare の D1 およびストレージ）、Cloudflare のグローバルエッジネットワーク（Durable Objects 等）、ならびにアジア太平洋地域（内部の監査記録）にわたります。当社は、以下の適切な保護措置を講じた上で移転を行います。

欧州経済領域から当社への移転は、EU の対日十分性認定（Implementing Decision (EU) 2019/419）に依拠します。
英国から当社への移転は、英国が EU からの離脱に際して自国法に引き継いだ同じ対日十分性認定に依拠します。
欧州経済領域から移転された個人データの、米国の事業者（4.1 に掲げるもの）への移転は、各社の EU-US Data Privacy Framework 認証、または 2021 年標準契約条項に移転影響評価を加えた措置に依拠します。
英国から移転された個人データの、米国の事業者（4.1 に掲げるもの）への移転は、各社の Data Privacy Framework の UK Extension、または UK Addendum を付した標準契約条項もしくは IDTA に依拠します。
日本から外国にある第三者への提供については、当社は、当該提供を行う事業者として、提供先における個人データの取扱いについて、適切かつ合理的な方法により、個人情報保護法が個人情報取扱事業者に課す義務の趣旨に沿った措置の実施が確保される体制を、契約により整備することに依拠します。当社は、当該措置の実施状況、および当該措置の実施に影響を及ぼすおそれのある当該外国の制度の有無とその内容を定期的に確認し、その継続的な実施を確保するために必要な措置を講じます。上記の欧州経済領域および英国からの移転のための措置は、本項の体制に代わるものではありません。

保護措置の写しは、ご請求に応じて開示します。日本から外国にある第三者への提供に関する体制について本人から情報の提供を求められた場合、当該提供を行っているのは当社であるため、当社は、レイヤーを問わず当社のプライバシーポリシーに定めるところにより自ら応答します。第 7 条の取次ぎは、この求めには適用しません。

本条に定める移転のうち、ワークスペースレイヤーのデータに係るものは、本 DPA によって文書化されたお客様の指示を構成します。アカウントレイヤーのデータに係る移転は、当社がコントローラーとして行うもので、お客様の指示に基づくものではありません。

11. 監査および情報提供

(1) 情報の提供
当社は、本 DPA に定める義務の遵守を実証するために必要な情報をお客様に提供します。当社は、第三者による監査の報告書または認証を保有する場合、当該報告書または認証を秘密保持を条件として提供することにより、本項の義務を履行することができます。

(2) お客様による監査
お客様は、本 DPA に定める義務の遵守を確認するため、監査を実施することができます。監査は、秘密保持契約を締結した監査人により行われ、その開始日、範囲、期間および保安上の措置は、当社およびお客様が相互に合意した内容によります。監査は 12 か月に 1 回を超えて実施することはできません。ただし、遵守されていないことをうかがわせる事情がある場合、または監督機関が要求する場合はこの限りではありません。

(3) 費用
監査に要する費用はお客様の負担とします。ただし、法令により要求される監査、および個人データの侵害に起因する監査については、当社の負担とします。

(4) 結果の利用
お客様は、監査の結果を、お客様の法令遵守および本 DPA の遵守の確認の目的にのみ利用することができます。

12. お客様の個人データの削除および返却

本条において「本サービスの提供の終了」とは、当社がお客様のチームに対する本サービスの提供を終えることをいい、お客様がチームを削除した場合、当社が本規約に基づきお客様による本サービスの利用を停止し、若しくは登録を抹消した場合、または当社が本サービスの提供を中止した場合を含みます。有料プランの解約その他のプランの変更は、本サービスの提供が継続するため、これに含まれません。

(1) 選択
お客様は、本サービスの提供の終了に先立ち、ワークスペースレイヤーのデータの削除または返却を選択することができます。お客様がチームを削除した場合は、当該削除をもって削除を選択したものとします。

(2) 返却
お客様は、本サービスの提供の終了（お客様がチームを削除する場合は、当該削除）の前に、本サービスのエクスポート機能によりワークスペースレイヤーのデータの写しを電磁的記録の形式で取得することができます。返却は、この方法により行います。

当社が本規約に基づきお客様による本サービスの利用を停止し、若しくは登録を抹消する場合、または当社が本サービスの提供を中止する場合、当社は、適用される法令により禁止されない限り、本規約の定めに従い、削除の前にお客様が本サービスのエクスポート機能により写しを取得できる期間を設けます。ただし、本規約が事前の通知なくこれらを行うことを認める場合は、この限りではありません。

(3) 削除
お客様は、本サービスの削除機能によりワークスペースレイヤーのデータを削除することができます。お客様が削除を指示した場合、当社は合理的な期間内にこれを削除します。当社は、削除されたデータの復元を提供しません。

(4) 削除の後に残存するもの
前項による削除の後も、以下は残存します。

障害復旧を目的とするバックアップおよび復旧用の複製。最大 30 日間保有し、期間の経過後は自動的に消失します。
法令上の保存義務がある記録（請求に関する情報等。アカウントレイヤーのものを含みます。適用法令が保存を求める期間）
監査の記録（最長 3 年間）
本サービスの障害の調査に用いるエラーの記録（最長 1 年間）。当該記録は監査の記録とは別に保有し、第 4.3 項に記載のとおり自由記述を含むことがあります。
チームの削除に関する記録。不正利用の防止、監査および法令遵守のため、関連する義務が存続する期間保有します。

13. 米国カリフォルニア州法に関する特則

本条は、お客様が CCPA に定める事業者（business）に該当する場合に適用されます。この場合、当社は CCPA に定めるサービスプロバイダ（service provider）として行動します。本条において「個人情報」とは、 CCPA に定める personal information をいいます。

当社は、本 DPA に基づき収集したお客様の個人情報について、CCPA に定める販売（sale）または共有（share）を行いません。
当社が処理する事業目的は第 3 条に列挙した目的に限られ、お客様は当該目的のためにのみ個人情報を当社に開示します。
当社は、第 3 条に列挙した目的以外の目的で、当該個人情報を保持し、利用し、または開示しません。ただし、CCPA および同法に基づく規則が許容する場合を除きます。
当社は、第 3 条に列挙した事業目的以外の商業的目的で、当該個人情報を保持し、利用し、または開示しません。ただし、CCPA または同法に基づく規則が明示的に許容する場合を除きます。
当社は、お客様との直接の取引関係の外で当該個人情報を保持し、利用し、または開示しません。特に、当該個人情報を、他の情報源から取得した個人情報または当社が消費者との直接のやり取りから収集した個人情報と結合し、または更新しません。ただし、CCPA または同法に基づく規則が明示的に許容する場合を除きます。
当社は、CCPA および同法に基づく規則の適用されるすべての規定を遵守し、当該個人情報について CCPA が事業者に求めるのと同水準のプライバシー保護を提供します。
お客様は、当社が当該個人情報を CCPA 上のお客様の義務に適合する方法で利用していることを確認するため、合理的かつ適切な措置を取ることができます。当該措置には、第 11 条に定める情報の提供の請求および監査のほか、定期的な評価その他の技術的および運用上の検証を含みます。
当社は、CCPA および同法に基づく規則上の義務を履行できなくなったと判断した場合、お客様に通知します。
お客様は、当社による無権限の個人情報の利用を停止し、是正するため、通知の上、合理的かつ適切な措置を取ることができます。
当社は、お客様が CCPA に基づく消費者の請求に対応できるよう、必要な協力を行います。
当社がサブプロセッサーを起用する場合、当社は当該サブプロセッサーとの間で、CCPA および同法に基づく規則（本条に定める事項を含みます）に準拠する契約を締結します。

14. お問い合わせ

本 DPA に関するお問い合わせは、本規約に定めるお問い合わせ窓口までご連絡ください。

制定日: 2026 年 9 月 14 日