データ処理契約

最終更新日：2026年10月14日

本データ処理契約（以下「DPA」）は、Page Lemon を運営する Aporia Research Ltd（会社番号 17518971、イングランド・ウェールズで登録）、London N22 8NL, United Kingdom（以下「当社」）と、お客様との間の契約です。「お客様」には、アカウントの有無を問わず、Page Lemon 上でサイトを公開するすべての人が含まれます。本 DPA は、当社がお客様に代わって個人データを処理する場合には常に、当社の利用規約の一部を構成します。お客様は、規約に同意した時、サイトを公開した時、またはサイトをアカウントに登録した時に、本 DPA に同意したものとします。データ保護に関して本 DPA と規約が矛盾する場合は、本 DPA が優先します。

1. 役割

• お客様のサイトが収集または保持する個人データ（以下「顧客の個人データ」）については、お客様が管理者（コントローラー）であり、当社がお客様の処理者（プロセッサー）です。お客様が他者のために行動する場合（たとえば、代理店がクライアントのサイトを構築する場合）、お客様が処理者となり、当社はお客様の復処理者となります。対象となるデータは別紙 1 に記載しています。
• お客様ご自身のアカウント、請求、サポートに関するデータについては、当社が管理者です。それについては本 DPA ではなく、当社のプライバシーポリシーが適用されます。
• 「データ保護法」とは、英国 GDPR および 2018 年データ保護法（Data Protection Act 2018）、ならびにお客様に適用される場合は EU GDPR（Regulation (EU) 2016/679）、およびそれらに代わる、またはそれらを実施する法令をいいます。「管理者」「処理者」「個人データ侵害」「データ主体」などの用語は、これらの法律における意味を持ちます。

2. お客様の指示

• 当社は、お客様の文書化された指示に基づいてのみ、顧客の個人データを処理します。お客様の指示とは、本 DPA と規約、お客様が Page Lemon で選択した設定、ならびに、お客様、お客様のチーム、またはお客様が接続した AI アプリが、アプリ、API または当社の MCP サーバーを通じて Page Lemon に依頼する内容をいいます。追加の指示は書面（メールで構いません）によるものとし、サービスの仕組みに適合している必要があります。
• 当社は、英国法（EU のデータについては EU 法または加盟国法）により求められる場合にも、顧客の個人データを処理することがあります。その場合、重要な公共の利益を理由にその法律が禁じていない限り、事前にお知らせします。
• 当社は、指示がデータ保護法に違反すると考える場合、直ちにお知らせします。その指示が確認または変更されるまで、当社はそれに従う義務を負いません。
• お客様の責任。お客様は、サイトが収集するデータに関する適法な根拠、訪問者向けのご自身のプライバシー通知、およびフォームやページに収集させる内容について、責任を負います。
• 当社は、顧客の個人データを販売せず、広告に使用せず、AI モデルの学習に使用せず、他のお客様のデータと組み合わせません。

3. 秘密保持

顧客の個人データの処理を当社が許可した者は全員、契約または法律により秘密保持義務を負います。アクセスは、サービスの運用、保護またはサポートに必要な者に限定されます。

4. セキュリティ

• 当社は、別紙 2 の技術的および組織的措置を維持します。これらを変更することがありますが、全体的な保護水準を下げる形では変更しません。
• お客様は、ご自身が管理するものの安全性について責任を負います。具体的には、ログイン情報、API トークンおよび登録用リンク、招待した人、接続した AI アプリ、サイトのコンテンツです。

5. 復処理者

• 一般的な許可。お客様は、当社の復処理者のページに記載された復処理者の利用を許可します。同ページには、各事業者の名称、目的、関係するデータ、および処理を行う場所が記載されています。
• 変更の通知。新規または交代の復処理者が顧客の個人データの処理を開始する少なくとも 14 日前に、当社はすべてのアカウント所有者にメールで通知し、復処理者のページを更新します。アカウントなしで公開されたサイトにはメールアドレスがないため、そのようなサイトについては同ページが通知となります。
• 異議。お客様は、データ保護に関する合理的な理由に基づき、その 14 日以内に support@pagelemon.com へメールを送ることで異議を述べることができます。当社は誠実に協議します。解決できない場合、お客様は影響を受ける有料プランを終了でき、当社は前払い済みの未使用期間分を返金します。
• 同一の義務。各復処理者は、本 DPA と少なくとも同等の保護を与えるデータ保護義務を定めた書面の契約に拘束されます。復処理者がそれを遵守する方法について、当社はお客様に対する責任を引き続き負います。

6. お客様への支援

• 個人からの請求。当社は、データ保護上の権利を行使する人にお客様が対応できるよう支援します。その大部分はセルフサービスで行えます。フォームのメッセージや予約の閲覧、エクスポート、削除、メンバーの削除、フォームの削除、サイトの削除ができます。お客様のサイトに関して個人から当社に連絡があった場合、当社は請求をお客様に転送し、法律で求められる場合を除き、当社自身では回答しません。
• その他の支援。当社は、保有する情報を用いて、お客様のセキュリティ上の義務、侵害の通知、データ保護影響評価、および規制当局への事前協議について、合理的な支援を行います。

7. 個人データ侵害

• 顧客の個人データに影響する個人データ侵害を当社が認識した後、不当な遅滞なく、48 時間以内を目標にお知らせします。通知はアカウント所有者のメールアドレス宛てに送ります。
• 当社は、把握している内容をお知らせし、新たに判明したことを随時追加します。具体的には、何が起きたか、影響を受けた人や記録の種類とおおよその件数、想定される結果、当社が行った、または行う予定の対応です。
• お知らせすることは、過失を認めるものではありません。規制当局や影響を受けた人に通知するかどうかは、お客様が決定します。

8. データの所在地と国際移転

• データの所在地。当社のサーバーは英国ロンドンにあります。アカウントデータベース（フォームのメッセージ、予約、メンバーを含む）とサイトファイルのキャッシュを保持しています。サイトファイルは EU に保存され、データベースのバックアップも同様です。復処理者のページに示すとおり、一部の復処理者は、米国を含む他の国でデータを処理します。
• EU から当社へのデータ。EU GDPR がお客様に適用される場合、お客様が英国の当社に送るデータは、欧州委員会の英国に対する十分性認定の対象となります。その認定が終了した場合は、別紙 3 に定める選択内容に従い、EU 標準契約条項が自動的に適用されます。
• 当社からの再移転。当社が顧客の個人データを十分性のない国の復処理者に移転する場合、当社は別紙 3 の保護措置を用い、それが求める移転リスク評価を実施します。要請に応じて、その概要を共有します。

9. 返還と削除

• いつでもエクスポート可能。アカウントが有効な間は、サイトファイル、フォームのメッセージと予約、メンバーリストをダウンロードできます。
• 終了時のお客様の選択。アカウントを閉鎖した時、またはサービスが終了した時に、顧客の個人データを返還するか削除するかをお客様が選択します。返還を希望する場合は、アカウントを閉鎖する前、または閉鎖後 7 日以内に support@pagelemon.com へメールでご連絡ください。一般的な機械可読形式でお送りします。ご連絡がない場合は削除します。
• 削除までの期間。サイトファイル：サイトまたはアカウントの削除後 7 日以内。フォームのメッセージと予約：ごみ箱に入れた、フォームを削除した、またはサイトを削除した日から 30 日後。メンバーとログインセッション：その人を削除した時、またはサイトを削除した時。訪問者数：個々のページビューは 30 日後、日次の合計はサイト削除の 30 日後。アカウントデータ：アカウント閉鎖後 30 日以内。データベースのバックアップは 7 日ごとに入れ替わるため、削除したデータは 7 日後にバックアップからも消えます。サイトファイルには別個のバックアップはありません。一度も登録されない匿名サイトは、公開の 72 時間後に削除され、ファイルはその後 7 日以内に消去されます。ご希望の場合は、削除を書面で確認します。
• 当社は、英国法（EU のデータについては EU 法または加盟国法）により保存が求められる場合に限り、その求められる期間、データをより長く保持します。その間も、データは本 DPA により保護されます。

10. 監査と情報提供

• 当社は、お客様の処理者としての義務を遵守していることを示すために必要なすべての情報を提供します。具体的には、本 DPA、復処理者のページ、当社のセキュリティおよびトラストのページ、ならびに合理的なセキュリティ質問票への回答です。
• 当社は、お客様、または秘密保持義務を負う、お客様が委任した独立の監査人による、検査を含む監査を認め、これに協力します。少なくとも 30 日前までにお知らせください。規制当局から求められた場合や個人データ侵害の後は、これより短くて構いません。監査は営業時間内に行い、他のお客様のデータへアクセスしたり、サービスを危険にさらしたりしてはならず、各当事者は自己の費用を負担します。
• 監査は通常、年 1 回を想定しています。遵守を示すために必要な場合、侵害の後、または規制当局から求められた場合は、それ以上でも構いません。
• 当社の復処理者については、その認証および監査報告書に依拠し、契約条件で認められる範囲でそれらを共有します。それで足りない場合は、当社が復処理者との契約に基づいて有する監査権を、お客様のために行使します。

11. 責任

本 DPA に基づく各当事者の責任は、データ保護法が責任の制限を認めていない場合を除き、規約第 8 条に従います。データの主体である個人に対する責任は、データ保護法に従います。

12. 期間、変更および準拠法

• 本 DPA は、当社がお客様に代わって顧客の個人データを処理する間、有効です。
• 当社は、法律、規制当局のガイダンス、または当社のサービスの変更を反映するため、本 DPA を更新することがあります。重要な変更については、規約と同様に、少なくとも 30 日前にメールでお知らせします。変更は、法律で求められる場合を除き、顧客の個人データの保護を低下させません。
• 本 DPA はイングランド・ウェールズの法律に準拠し、イングランド・ウェールズの裁判所が管轄権を有します。ただし、EU 標準契約条項が適用される場合は、別紙 3 の定めに従って準拠法が定まります。

別紙 1：処理の詳細

別紙 2：セキュリティ措置

1. 通信の暗号化。当社のドメインおよびお客様のサイトへのすべての通信に TLS を使用しています。
2. 保存データの暗号化。サイトファイルとバックアップは、EU 内の暗号化されたストレージに保管されます。
3. 分離。お客様のサイトは、アプリおよびログインとは別のドメインから配信されるため、サイトがアプリのセッションを読み取ることはできません。各お客様のデータはアプリケーション内で分離され、リクエストのたびに確認されます。
4. アクセス制御。本番サーバーにアクセスできるのは氏名が特定された担当者のみで、個別の鍵を使用し、共有パスワードはありません。顧客データへの担当者のアクセスは、サポート、セキュリティ、または法律で必要な範囲に限られます。
5. パスワードとトークン。サイトのパスワードと API トークンは、一方向ハッシュとしてのみ保存されます。当社がアカウントのパスワードを見ることはなく、ログインは当社のログインプロバイダーが処理します。カードデータは当社のサーバーに到達しません。
6. データの最小化。訪問者数の集計では Cookie もスクリプトも使用せず、完全な IP アドレスを保存しません。フォームのスパム制限には、IP アドレスの一方向ハッシュを使用します。
7. アップロードの安全性。アップロードは秘密鍵の漏えいがないかスキャンされ、含まれていると思われるものはブロックされます。当社は、お客様のサーバーサイドのコードを実行しません。
8. 攻撃からの保護。レート制限と、すべてのドメインの前段でのサービス拒否攻撃への対策。
9. 回復力。データベースの継続的なバックアップ、検証済みの復元手順、およびサイトを以前のバージョンに戻せる機能。
10. インシデント対応。役割を定めた書面の侵害対応手順、当社自身のデータに関する規制当局への 72 時間の通知期限、および第 7 条のお客様への通知。
11. 委託先の管理。復処理者はセキュリティを基準に選定され、データ処理条件に拘束されます。
12. 見直し。これらの措置は、少なくとも年 1 回、および重大なインシデントや変更の後に見直します。

別紙 3：国際移転の条件

当事者

• データ輸出者：お客様。連絡先はアカウントに登録された情報のとおり。役割：管理者、またはお客様が他者のために行動する場合は処理者。活動：別紙 1 のとおり。
• データ輸入者：Aporia Research Ltd（会社番号 17518971、イングランド・ウェールズで登録）、London N22 8NL, United Kingdom。連絡先 support@pagelemon.com。役割：処理者（または復処理者）。活動：別紙 1 のとおり。
• 署名と日付：規約への同意またはサイトの公開をもって、同意日付で本別紙に署名したものとみなします。

当社に送られる EU のデータ（英国の十分性認定が終了した場合のみ）

当社から復処理者への移転

各復処理者がどの保護措置を用いているかは、復処理者のページに示されているか、support@pagelemon.com にご請求いただければお知らせします。