onbx データ処理規約（DPA）

株式会社WellCoLab（以下「当社」といいます。）は、当社が提供するオンボーディングエクスペリエンスクラウド「onbx」におけるデータの取扱条件を、次のとおり定めます。本規約は、onbxを利用する法人その他の事業者（以下「契約者」といいます。）と当社との利用契約に組み込まれる標準のデータ処理条件です。

第1条（目的と適用関係）

本規約は、契約者と当社とのonbxサービス利用契約（サービス利用規約、申込書その他の合意を含み、以下「利用契約」といいます。）の一部として、契約者から当社に委託される個人情報その他の契約者データの取扱条件を定めます。
契約者は、利用申込みその他当社が定める手続において、本規約の内容を確認し、これを利用契約の内容とすることに同意した上で、本サービスを利用するものとします。当該同意は、契約者を代表し又は契約者のために契約を締結する権限を有する者が行うものとします。本規約について、別途の署名又は記名押印による契約書の作成を要しません。
本規約は、onbxサービス利用規約第1条にいう特約として適用します。データの取扱いに関して本規約と利用契約の定めが抵触するときは、その範囲で本規約を優先し、それ以外の利用料金、契約期間その他の条件は利用契約に従います。別紙は本規約の一部を構成します。個別に合意した書面又は電磁的記録で本規約に優先する旨を明示した条件は、その範囲で優先します。
本規約に基づく契約者の同意と、個々のユーザーによるエンドユーザー利用規約への同意は、それぞれの対象及び目的に応じて取得するものとします。契約権限のないユーザーの同意のみをもって契約者が本規約に同意したものとは取り扱いません。
本規約への同意は、個人情報保護法上必要となる本人への説明、本人の同意その他の手続に代わるものではありません。既存の利用契約への適用は、第14条に従います。

第2条（定義）

「本サービス」とは、利用契約に基づき当社が提供するonbxをいいます。「ユーザー」とは、契約者の役員、従業員その他契約者が本サービスの利用を承認した個人をいいます。
「契約者データ」とは、契約者又はユーザーが本サービスに入力、送信又は保存する情報、その処理により生成される情報及び当社がその取扱いに伴い取得又は生成する契約者又はユーザーに結び付くログ等をいい、個人情報、チャット、サーベイ回答、添付ファイル、AIへの入力及び出力並びにこれらの複製及びバックアップを含みます。
「個人情報」「個人データ」「要配慮個人情報」その他の個人情報保護に関する用語は、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）の定義に従います。「法令等」とは、日本の適用法令並びにこれに基づく規則及びガイドラインをいいます。
「再委託先」とは、契約者データの取扱いの全部又は一部について当社から委託を受ける第三者をいい、さらにその取扱いを委託する第三者を含みます。

第3条（取扱いの範囲と指示）

契約者は当社に対し、別紙1に定める目的、対象及び期間の範囲で、契約者データの取扱いを委託します。当社は、法令等を遵守し、利用契約、本規約及び契約者の適法な指示に従い、本サービスの提供、保守、障害対応、改善及びセキュリティの維持に必要な範囲でのみ取り扱います。
前項の改善のための取扱いは、委託された目的及び必要な範囲に限ります。当社は、契約者データを第三者への広告配信、第三者への販売その他委託目的と関係のない目的に利用しません。統計データ及びAIに関する条件は第8条に従います。
契約者の指示は、本サービスの管理機能、電子メールその他記録が残る方法で行います。利用契約の範囲を超える処理については、実施の可否、条件及び費用を事前に協議します。当社は、指示が法令等に抵触すると合理的に判断した場合、理由を契約者に通知し、必要な範囲で当該処理を留保して協議します。
契約者データの権利の帰属は利用契約に従い、本規約により当社に権利が移転するものではありません。当社による複製、閲覧、送信その他の利用は、本規約の履行に必要な範囲に限ります。

第4条（契約者の役割）

契約者は、登録するデータ、利用目的及び社内で閲覧できる者を決定し、適法な取得、利用目的の通知又は公表、必要な同意の取得その他自らに適用される法令等上の手続を行います。当社は、当該手続に必要な本サービスの取扱情報を合理的な範囲で提供します。
契約者は、利用者への説明、管理者及びユーザーの権限設定、アカウントの管理並びに退職・異動等に伴う権限の見直しを行います。これにより当社の安全管理上の義務が免除されるものではありません。
契約者は、本サービスの利用目的に必要な範囲でデータを登録し、要配慮個人情報については、法令上必要となる本人への説明、同意の取得その他の手続を行います。当社は、当該手続に必要な取扱情報の提供に協力し、情報の性質及び取扱いに伴うリスクに応じた安全管理措置を講じます。本サービスの通常の機能及び取扱条件では対応できず、追加の保護措置を要する取扱いについては、登録前に当社と協議し、取扱条件を定めます。個人番号等、法令により取扱いが特に制限される情報については、適用法令に従い、取扱可否及び必要な措置を事前に確認します。

第5条（安全管理と秘密保持）

当社は、契約者データの性質、量及びリスクに応じ、別紙3に定める組織的、人的、物理的及び技術的安全管理措置を講じ、その実施状況を点検して必要な改善を行います。
当社は、契約者データにアクセスする役員、従業員その他の者を業務上必要な者に限定し、必要最小限の権限を付与します。これらの者に秘密保持義務を負わせ、取扱いに関する教育及び監督を行い、担当変更又は退職等に際して権限を変更又は失効させます。
当社は、契約者データを、秘密である旨の表示の有無にかかわらず秘密情報として取り扱います。契約者の指示、本規約に従う再委託又は第10条の法令に基づく対応を除き、第三者に開示しません。

第6条（再委託と外部サービス）

契約者は、当社が別紙2に記載した業務及び取扱条件の範囲で、同別紙記載の外部サービスを利用し、又は再委託を行うことを承諾します。当社は、再委託先を適切に選定し、必要な契約その他の措置により、秘密保持、目的外利用の禁止、安全管理、事故対応及び終了時の削除について本規約に沿った保護を確保し、必要かつ適切な監督を行います。
当社は、再委託先の行為について、利用契約及び本規約に基づき契約者に対して責任を負います。
当社は、新たな再委託先の追加又は取扱条件の重要な変更を予定するときは、その内容及び予定時期を、原則として変更前の合理的な期間を設けて契約者に通知します。緊急の安全確保等のため事前通知が困難な場合は、その理由を含めて速やかに通知します。法令上又は個別の合意上、事前の同意等が必要な場合は、必要な手続を完了した後に変更します。
契約者は、データ保護上の具体的かつ合理的な懸念を示して異議を述べることができます。両当事者は、追加の保護措置、代替手段又は影響を受ける機能の取扱いを誠実に協議します。法令違反又は本規約上の保護水準の重大な低下が解消できない場合は、当該機能の提供条件の変更又は終了を含め対応を協議します。
当社は、クラウド事業者が契約者データを取り扱わないと評価する場合であっても、契約条件及び実際のアクセス可能性を確認し、安全管理上必要な情報を別紙2に記載します。

第7条（国外における取扱い）

当社は、保存先の所在地だけでなく、再委託先の所在国並びに国外からの運用、保守及びサポートアクセスを確認し、予定する取扱国及び条件を別紙2に記載します。
当社は、外国における個人データの取扱いについて、当該国の制度等を把握した上で必要な安全管理措置を講じます。外国にある第三者への提供に該当する場合には、個人情報保護法に従い、適法な提供のために必要な措置を講じ、その根拠及び措置の概要を契約者に説明します。
本人の同意その他契約者側の手続が必要となる場合、当社は、その判断及び実施に必要な情報を事前に提供し、両当事者は担当する手続を確認します。本規約への合意のみをもって、本人による外国への提供の同意があったものとは扱いません。
取扱国、国外アクセス又は保護措置に重要な変更がある場合は、第6条の通知及び協議の手続を適用します。

第8条（AIと統計データ）

当社は、本サービスのAI機能の提供に必要な範囲で、当社が運用するAIモデル又は別紙2に記載する外部AIサービスを利用します。入力する契約者データは、当該機能の目的に必要な範囲に限定します。
当社は、契約者データをLLMその他のAIモデルの学習、追加学習又はモデル自体の改善のために利用せず、再委託先にも利用させません。当社は、AIサービスの契約条件及び設定について、当該目的での二次利用を防止する措置を確保します。本サービスの機能として行う推論、分析又は出力生成は、このモデルの学習とは区別します。
外部AIサービスにおける入力・出力の保存、監視、アクセス及び削除の条件は別紙2に記載します。当社が運用するAIモデル及び外部AIサービスのいずれについても、本規約の秘密保持、安全管理、国外取扱い及び削除の条件を適用します。
当社は、特定の個人及び契約者を識別できず、元の契約者データに復元できない形式に集計・加工した統計データを作成し、利用契約に従って、本サービスの機能改善、開発及びマーケティング調査等のために無償かつ無期限に利用・公開できます。単に氏名等を削除又は識別子を置換した情報は、この統計データには含みません。当社は再識別を試みません。
前項は、元の契約者データ、その複製又は個人等を識別できる中間データの保存を認めるものではなく、第12条の削除義務及び本条第2項の学習等の禁止を緩和するものではありません。

第9条（漏えい等への対応）

当社は、契約者データの漏えい、滅失、毀損その他安全の確保に関わる事態が発生し、又は発生したおそれがあることを知った場合、速やかに契約者の指定窓口に通知します。当社は、事実確認、被害拡大の防止、原因調査、復旧及び再発防止に必要な措置を講じます。
当社は、判明している範囲で、事態の概要及び発覚時期、対象となるデータ及び本人の範囲、想定される影響、講じた措置並びに連絡窓口を第一報として伝えます。情報が未確定であることのみを理由に第一報を遅らせず、その後判明した重要事項、対応状況及び再発防止策を順次報告します。
当社は、契約者による本人への通知、個人情報保護委員会等への報告その他必要な対応に、保有する情報及び合理的に可能な対応の範囲で協力します。両当事者は連絡を調整しますが、各当事者に適用される法令上の報告又は通知を妨げません。
契約者名又は契約者を識別できる情報を含む対外公表について、当社は法令上許される範囲で事前に契約者と協議します。

第10条（本人の請求と法令に基づく要請）

当社が、本サービス内の個人データについて本人から開示、訂正、利用停止、削除等の請求を受けた場合、法令上当社自身が対応すべき場合を除き、契約者に取り次ぎます。当社は、契約者の適法な指示に従い、対象データの確認、抽出、訂正又は削除等について合理的に協力します。
当社が裁判所又は行政機関等から契約者データの開示等を求められた場合、その法的根拠及び対象範囲を確認し、法令上必要な範囲に限定して対応します。当社は、法令上許される限り対応前に契約者へ通知し、事前通知が禁止される場合は、その制限がなくなった後、通知が可能な範囲で速やかに通知します。

第11条（取扱状況の確認）

当社は、契約者による委託先の監督に必要な範囲で、安全管理措置、再委託先の管理、事故対応及び削除の状況について、質問票への回答、説明資料又は利用可能な評価報告等により説明します。契約者から求められた場合、契約者に関係する操作ログを、第三者の権利及びセキュリティを保護した上で、合理的かつ実行可能な範囲で提供します。
前項の資料等では必要な確認ができない合理的な理由がある場合、両当事者は、追加資料、担当者への確認その他必要な調査方法を協議します。立入確認が合理的に必要な場合は、目的、範囲、時期、担当者及び秘密保持条件を事前に合意して実施します。
確認は、他の顧客の情報、システムの安全性及び業務運営を不当に害さない方法で行い、重複する調査をできる限り避けます。ただし、事故の発生、重大な違反の合理的な疑い又は監督当局の要請がある場合は、その緊急性に応じて対応します。
確認の結果、本規約に適合しない事項が判明したときは、当社は必要な是正を行い、その対応状況を契約者に報告します。

第12条（データの返却と削除）

契約者が契約者データの返却を希望する場合は、原則として利用契約終了前に当社へ申し出るものとします。当社は、対象、時期及び実行可能な一般的形式を協議の上、合理的な範囲でデータの出力又は返却に協力します。追加作業及び費用が必要な場合は事前に合意します。返却の協議又は実施によって、次項の削除期限が延長されるものではありません。
当社は、契約終了日から90日以内に、当該契約者の業務データを、保存場所を問わず、その複製及びバックアップを含めて削除します。対象には、DB内の顧客テナント情報、アップロードされた添付ファイル及び画像、保存されたAI入力・出力、キャッシュその他の業務データのコピーを含みます。当社又は再委託先の通常の保存機能に保存する業務データについて、外部サービスの利用のみを理由にこの期限の対象外とはしません。次項の必要最小限の監査ログ、第5項で個別に定める独立した監視記録及び第7項の法定保存を除き、この期限を適用します。
当社は、操作の追跡、不正利用の調査及びセキュリティ監査のために必要な最小限の監査ログを、業務データと区分して管理します。監査ログは、操作日時、操作主体を識別する情報、操作種別、対象を識別する情報及び成否等、監査目的に必要なメタデータに限定します。操作に関する監査ログ及びGoogle Cloudに保存するそのバックアップの保持期間は、元の監査記録の記録時点を基準として36か月とします。契約終了、転送又はバックアップの作成によって保持期間を新たに起算しません。
監査ログの閲覧権限は必要な担当者に限定し、保持期間を経過した記録は削除します。業務本文、添付ファイル、画像、AI入力・出力の本文その他業務データそのものを監査ログとして長期保存しません。変更前後の値、メタデータ又はログ本文にこれらが含まれる場合も、契約終了日から90日以内に当該内容を削除又は復元できない形で除去します。監査ログに個人を識別する情報が含まれる場合は、その情報についても必要性を確認し、最小限に限定します。
外部サービスの提供者が、不正利用防止又はセキュリティ確保のために保持する記録のうち、別紙2に対象、保持目的及び最長保持期間を明記したものについては、90日以内の削除の例外とします。この例外に、通常の顧客ファイル、保存されたAI入出力及びこれらの複製・バックアップは含みません。当社は、契約終了後の不要なデータ送信を停止し、削除可能なデータについて削除又は削除依頼を行うとともに、提供者の契約条件その他の資料により、例外対象の記録の保持・削除条件を確認します。
契約終了後、当社は、返却、削除、安全な保管及び第3項の監査目的その他本規約に定める終了後の処理に必要な範囲を除き、契約者データを利用しません。当社は、削除対象を合理的に復元できない方法により削除し、再委託先における削除についても契約その他合理的な方法により履行を確認します。契約者の求めに応じ、削除の対象、完了時期及び実施方法の概要を、確認可能な範囲で書面又は電磁的記録により報告します。
法令又は当社に法的拘束力を有する命令により保存が義務付けられる情報については、その義務の履行に必要な最小限の範囲及び期間に限り保存できるものとします。当社は、法令上許される範囲で対象、根拠及び期間を契約者に通知し、通常利用から分離してアクセスを制限し、義務がなくなった後は速やかに削除します。

第13条（費用と責任）

本規約に基づく通常の安全管理、事故対応、取扱状況の説明及び終了時の削除は、利用料金に含まれるものとします。契約者固有の追加調査、特別な形式のデータ加工その他通常のサービス範囲を超える対応の費用は、実施前に協議し合意します。当社の本規約違反を是正するための費用を契約者に負担させません。
本規約違反に関する損害賠償の範囲、上限及び免責には、利用契約の定めを適用します。これにより、本規約に定める通知、是正、返却への協力又は削除の義務が免除されるものではありません。

第14条（適用開始と変更）

本規約は、第1条第2項に基づく同意を経て利用契約が成立した日、又は既存の利用契約について当社と契約者が別途合意した適用開始日から、当該契約者に適用します。既存の契約者については、本規約の公開のみをもって直ちに適用されるものとはしません。既存契約に組み込む場合は、契約者の同意を得るか、法令及び既存契約に基づく有効な変更手続を行います。
当社は、契約者の一般の利益に適合する場合、又は利用契約の目的に反せず、変更の必要性、変更後の内容の相当性その他の事情に照らして合理的である場合に限り、民法第548条の4その他適用法令に従い、本規約を変更することができます。この方法による変更の要件を満たさない場合には、契約者の同意を得ます。
当社は、前項の変更に当たり、変更する旨、変更後の内容及び効力発生日を定め、効力発生日までに、変更の内容及び影響に応じた合理的な周知期間を設けて、ウェブサイトへの掲載及び登録された契約者の連絡先への通知その他適切な方法で周知します。周知のみをもって、前項の変更要件を満たすものとはしません。
第6条及び第7条に定める情報の更新には、各条の通知、協議及び必要な同意の手続を適用します。更新が本規約の実質的な変更に当たる場合は、本条の変更手続も適用します。他の利用規約の変更だけにより、本規約に定める保護水準又は義務が変更されるものではありません。
利用契約終了後も、秘密保持、目的外利用の禁止、事故対応、返却及び削除その他性質上必要な条項は、その履行に必要な範囲で存続します。
本規約は日本法に準拠します。管轄裁判所その他本規約に定めのない事項は利用契約に従い、定めのない事項又は解釈に疑義が生じた事項は、法令等に従い契約者と当社で誠実に協議します。

制定日・施行日 2026年10月1日
版番号 v1.0

別紙1 委託する取扱いの内容

1 対象サービスと目的

onbxにおける従業員等のオンボーディング支援、タスク及び進捗の管理、サーベイの実施・集計、コミュニケーション支援、これらに付随するAI機能並びに本サービスの提供、保守、障害対応、改善及び安全性の確保。

2 対象となる本人

契約者の役員、従業員、管理者その他契約者が本サービスの利用を承認した者。

3 対象データ

氏名、業務上の連絡先、所属、役割等のプロフィール情報
アカウント及び認証に関する情報
オンボーディングのタスク、進捗及びコメント
サーベイの設問及び回答
チャット、添付ファイルその他ユーザーが登録する情報
AI機能への入力、参照情報及び出力
利用日時、利用者識別子、操作内容その他の操作ログ、アプリケーションログ及びAPIログ

実際の取扱対象は、契約者が利用する機能、設定及び登録するデータの範囲に応じて定まります。

要配慮個人情報は、本サービスの利用目的に必要な範囲で取扱対象に含まれます。契約者は、第4条に従い、法令上必要な説明、同意の取得その他の手続を行います。当社は、要配慮個人情報へのアクセスを業務上必要な者に限定し、情報の性質及びリスクに応じた安全管理措置を講じ、目的外利用を行いません。通常の機能及び取扱条件では対応できず、追加の保護措置を要する場合には、事前に協議して取扱条件を定めます。

4 取扱方法

取得、記録、保存、整理、検索、閲覧、集計、通知、AIによる推論・分析、出力、バックアップ及び削除のうち、利用する機能と委託目的に必要な処理。

5 期間と連絡窓口

取扱期間：利用契約の有効期間及び本規約第12条に従う終了処理期間。
保持・削除：顧客の業務データは、保存場所を問わず、添付ファイル、画像、保存されたAI入力・出力、その複製及びバックアップを含め契約終了日から90日以内に削除します。必要最小限の監査ログは36か月保持します。業務本文等が監査ログに含まれる場合は90日以内に削除又は除去します。個別に確定した外部サービスの独立した監視記録及び法定保存は、第12条に従います。
契約者への連絡：利用申込み、管理画面又は当社への連絡により契約者が登録した担当窓口を使用します。契約者は、当該情報を最新の状態に保つものとします。
当社の連絡・事故申告窓口：support@wellcolab.jp

別紙2 外部サービス及び再委託先一覧

各外部サービスには、別紙1に定める契約者データのうち、以下の委託業務の遂行に必要な範囲のデータを取り扱わせます。法人の所在国と、実際のデータの処理・保存地域は異なります。以下の設定リージョンは主要な利用基盤の設定を示し、国外からの運用・サポートアクセス等を含むすべての取扱いがその地域に限定されることを示すものではありません。

1 Microsoft Azure OpenAI

委託業務：AI処理。
契約する法人・所在国：日本マイクロソフト株式会社／日本。
リソースの設定リージョン：日本（東日本／Japan East）。グローバル型デプロイを利用するため、推論時の入力及び出力は、日本国外を含むMicrosoftが対応するAzureリージョンで処理される場合があります。
利用方式：APIによる利用。
不正利用監視：Microsoftは、不正利用の検知・防止のため、同社の適用条件に従い、入力及び出力の一部を保存し、権限を有する担当者による確認を行う場合があります。

2 Supabase

委託業務：データ保存・認証基盤。
契約する法人・所在国：Supabase Pte. Ltd.／シンガポール。
設定リージョン：日本。

3 Vercel

委託業務：アプリケーション提供基盤。
契約する法人・所在国：Vercel Inc.／米国。
アプリケーション実行環境の設定リージョン：日本。

4 Twilio SendGrid

委託業務：電子メール配信。
契約する法人・所在国：株式会社構造計画研究所（KOZO KEIKAKU ENGINEERING Inc.）／日本（国内販売代理店経由）。
サービス提供元：Twilio Inc.／米国。
送信処理：米国データセンター。
保存・削除条件：SendGrid上のメール配送に伴う宛先情報・配送履歴等は、原則として最大37日で自動削除されます。ただし、メール本文を含まない一部の仮名化イベント記録は、不正利用防止、セキュリティ及びネットワーク保護のため、最長1年間保持されます。配信停止等の抑止リストは当社が管理し、不要となった情報の削除を行います。
提供元の保持・削除方針：https://help.twilio.com/articles/4410585868443

5 Google Cloud

委託業務：ログ収集・管理（ログドレイン及び監査ログのバックアップ）。
契約関係：日本の請求先向けの契約法人はGoogle Cloud Japan G.K.（グーグル・クラウド・ジャパン合同会社）／日本です。同社は認定再販業者であり、適用される契約上のGoogleにはGoogle Asia Pacific Pte. Ltd.（シンガポール）及びその関連会社が含まれます。
設定リージョン：日本。
保持条件：必要最小限の監査ログ及びそのバックアップを、元の監査記録の記録時点を基準として36か月保持します。転送又はバックアップの作成によって期間を新たに起算しません。DB又は添付ファイル等の業務データのバックアップ用途は含みません。

共通の取扱条件

顧客の業務データ及びその複製・バックアップは、保存場所を問わず、第12条に従い契約終了日から90日以内に削除します。監査ログに業務本文等が含まれる場合も、同条に従い削除又は除去します。
第12条第5項の例外は、本別紙に対象、保持目的及び最長保持期間を明記した記録に限ります。上記のSendGridの本文を含まない仮名化イベント記録は、記載した目的及び最長1年間の範囲で対象となります。
外部サービスの追加又は取扱条件の重要な変更には、第6条及び第7条に定める通知その他の手続を適用します。

別紙3 安全管理措置

当社は、契約者データの性質及び取扱いに伴うリスクに応じ、次の安全管理措置を講じます。

1 管理体制

データ取扱い及び事故対応の責任と手順を定め、取扱状況を点検し、必要な改善を行います。漏えい等が発生した場合は、第9条に従い対応します。

2 アクセス管理と認証

当社の運用担当者及び当社が管理するシステムアカウントの権限を業務上必要な最小限に限定し、担当変更又は業務終了等に応じて変更・失効させ、定期的に見直します。特権的な操作が可能な管理アカウントには多要素認証を適用し、技術上適用できない場合は責任者の承認の下で代替の保護措置を講じます。

3 通信と保存の保護

通信経路を暗号化し、保存データ及びバックアップはアクセス制限並びに情報の性質及びリスクに応じた暗号化等により保護します。認証情報及び暗号鍵へのアクセスを制限し、安全に管理します。

4 運用と脆弱性への対応

環境及び利用者権限を適切に分離し、変更内容を管理します。利用するソフトウェア及びサービスの脆弱性情報を確認し、リスクに応じて修正・更新等を行います。保守目的のデータ閲覧を必要な範囲に限定します。

5 ログの管理

操作ログを取得し、閲覧権限を限定して保管します。記録内容を必要な範囲に限定し、業務本文、AI入出力本文及び秘密情報を不要に記録しません。監査ログ及びそのバックアップの36か月保持、業務本文等の削除並びにログの提供は、第11条及び第12条に従います。

6 バックアップと終了処理

データの性質及びサービス構成に応じてバックアップを管理し、復旧手順を整備します。顧客の業務データ、その複製及びバックアップは、第12条に従って削除し、復元時にも削除済みデータの再利用を防ぎます。

7 従業者と設備の管理

従業者に必要な秘密保持及び情報管理の教育を行います。業務端末、記録媒体及び業務場所へのアクセスを管理し、廃棄又は再利用時には適切に消去します。外部クラウド設備については、提供者の安全管理情報及び契約条件を確認します。