QR Code AI データ処理契約

データ処理契約（DPA）

最終更新日：2026年3月2日

本データ処理契約（「本DPA」）は、フランスの27 Rue Wurtz, Juvisy-sur-Orge 91260に登記され、VAT番号FR67948452891を有するSupernovae（「処理者」「当社」）と、本DPAに同意する事業体（「管理者」「お客様」）との間の利用規約（「本契約」）の一部を構成します。両者を併せて「両当事者」といいます。

本DPAは、APIを通じた提供を含むQR Code AIのサービスに関連して、当社がお客様に代わって個人データを処理する場合に適用されます。

1. 定義

• 「個人データ」 とは、GDPR第4条第1号で定義される、識別された、または識別可能な自然人に関するあらゆる情報をいいます。
• 「処理」 とは、GDPR第4条第2号で定義される、個人データに対して行われる操作または一連の操作をいいます。
• 「データ主体」 とは、個人データが関係する、識別された、または識別可能な自然人をいいます。
• 「再処理者」 とは、管理者に代わって個人データを処理するために処理者が起用する第三者をいいます。
• 「GDPR」 とは、欧州議会および理事会の規則（EU）2016/679をいいます。
• 「英国GDPR」 とは、英国法上適用され、2018年データ保護法（Data Protection Act）と併せて解釈される、英国の一般データ保護規則をいいます。
• 「SCC」 とは、個人データの第三国への移転について欧州委員会が承認した標準契約条項をいいます。
• 「データ侵害」 とは、個人データの偶発的もしくは違法な破壊、喪失、改変、または不正な開示もしくはアクセスにつながるセキュリティ侵害をいいます。

2. 適用範囲と役割

2.1 管理者と処理者

本DPAにおける役割は、次のとおりです。

• お客様（管理者）： お客様は、当社のサービスを利用する際、特にご自身の顧客向けにQRコードを生成するために当社のAPIを利用する場合や、当社のサービスをお客様の製品に組み込む場合に、個人データの処理の目的と手段を決定します。
• 当社（処理者）： 当社は、本DPAおよび本契約に記載のとおり、お客様の指示に従って、お客様に代わり個人データを処理します。

2.2 本DPAが適用される場合

本DPAは、次の場合に適用されます。

• お客様がQR Code AIのAPIを利用して、エンドユーザーのデータを処理するQRコードを生成する場合。これには、個人情報を含むURL、vCardデータ、QRコードにエンコードされた連絡先情報などが含まれます。
• お客様が、エンドユーザーのスキャンデータを収集するQR Code AIの追跡機能やアナリティクス機能を利用する場合。
• その他、当社が処理者としてお客様に代わって個人データを処理するあらゆる場合。

個人のお客様がご自身の目的でQR Code AIを利用する場合、当社は独立した管理者として行動し、データ処理には当社のプライバシーポリシーが適用されます。

3. データ処理の詳細

3.1 対象と期間

当社は、本契約の期間中、QRコードの生成、追跡、アナリティクスおよび関連機能を含むQR Code AIのサービスを提供するために個人データを処理します。

3.2 処理の性質と目的

• 管理者が提供する入力データに基づくQRコードの生成
• QRコードのスキャンの追跡およびアナリティクスデータの収集
• QRコードの設定および関連するメタデータの保存
• AIによるアートQRコードの生成リクエストの処理
• レポートおよびアナリティクスのダッシュボードの提供

3.3 個人データの種類

処理する個人データには、次の種類が含まれる場合があります。

• QRコードにエンコードされた連絡先情報（氏名、メールアドレス、電話番号）
• URLおよびウェブアドレス
• QRコードのスキャンから得られる位置データ
• QRコードのスキャンから得られるデバイス情報およびIPアドレス
• AIによるQRコード生成のために提供されるテキストプロンプトおよび画像
• 管理者がQRコードへのエンコードを選択するその他のデータ

3.4 データ主体のカテゴリー

• 管理者が作成したQRコードをスキャンするエンドユーザー
• 連絡先情報がQRコードにエンコードされている個人
• QRコードを操作する、管理者の製品またはサービスの利用者

4. 処理者の義務

4.1 処理に関する指示

当社は、当社に適用されるEU法または加盟国法により要求される場合を除き、お客様の文書化された指示に従ってのみ個人データを処理します。法令により処理が要求される場合、重要な公共の利益を理由として法律がその通知を禁じる場合を除き、処理の前に当該法的要件をお客様にお知らせします。

指示がGDPRまたはその他の適用されるEUもしくは加盟国のデータ保護規定に違反すると当社が判断した場合、直ちにお客様にお知らせします。

4.2 守秘義務

当社は、個人データの処理を許可された者が守秘義務を負うことを約束しているか、適切な法定の守秘義務を負っていることを確保します。

4.3 セキュリティ対策

当社は、リスクに応じたセキュリティ水準を確保するため、次を含む適切な技術的・組織的措置を講じます。

• 転送中の個人データの暗号化（TLS/HTTPS）、および保存されている機密性の高い情報の保存時の暗号化
• 内部システムのアクセス制御および役割に基づく認証
• 定期的なセキュリティ評価および脆弱性スキャン
• ScalewayおよびDigitalOceanがホストするインフラ。セキュリティおよびコンプライアンス対策は、プロバイダーとホスティングサービスにより異なります
• DDoS対策およびウェブアプリケーションファイアウォール（Cloudflare）
• 暗号化されたストレージを用いる定期的なバックアップ
• 個人データへのアクセスの記録および監視

4.4 再処理者

当社は、委託先一覧に記載された再処理者を利用します。再処理者の追加または交代を予定する場合、当社からお客様へ積極的に書面で通知し、変更が効力を生じる前に異議を申し立てられるよう、その通知から30日間を設けます。異議がある場合は、この期間内に [email protected] までご連絡ください。お客様が異議を申し立て、当社がその異議に合理的に対応できない場合、いずれの当事者も影響を受けるサービス部分を終了できます。

当社は、適用される電子的な条件を含む書面による契約に基づいてのみ、お客様に代わって個人データを処理する再処理者を起用します。その契約には、GDPR第28条第4項が要求するデータ保護義務を課します。当社は、同項の要求に従って再処理者に対する責任を引き続き負います。

4.5 データ主体の権利

当社は、適用されるデータ保護法に基づく権利（アクセス、訂正、消去、制限、ポータビリティ、異議申立て）を行使するデータ主体の請求にお客様が対応できるよう支援します。データ主体から直接請求を受けた場合、別途指示がない限り、速やかにお客様へ問い合わせるよう案内します。

4.6 法令遵守への支援

当社は、処理の性質および当社が利用できる情報を考慮し、GDPR第32条から第36条までの義務をお客様が遵守できるよう支援します。

5. データ侵害の通知

5.1 通知期限

当社は、データ侵害を認識した後、不当な遅滞なく、いかなる場合も認識から 72時間以内 にお客様に通知します。通知は、お客様のアカウントに関連付けられたメールアドレスに送信します。

5.2 通知内容

通知には、情報を入手できる範囲で、次の事項を含めます。

• 影響を受けたデータ主体および記録のカテゴリーと概数を含む、データ侵害の性質の説明。
• 当社のデータ保護窓口の担当者名および連絡先。
• データ侵害により生じる可能性のある影響の説明。
• 起こり得る悪影響を軽減する措置を含め、データ侵害への対応のために講じた、または提案する措置の説明。

5.3 継続的な協力

当社は、データ侵害の調査、影響の軽減および是正、ならびにお客様が監督当局またはデータ主体に行う義務を負う通知について、お客様に協力し、合理的な支援を提供します。

6. 国際データ移転

6.1 データの所在地

個人データは主に欧州連合内で保存・処理されます。

• Scalewayを通じた フランス（EU） での保存・処理
• DigitalOceanを通じた オランダ（EU） での保存・処理

6.2 EU／EEA域外への移転

一部の再処理者はEU／EEA域外、主に米国に所在します。これらの移転については、次の仕組みに依拠します。

• EU・米国データプライバシーフレームワーク： 同フレームワークの認証を受けた米国のプロバイダーへの移転について、適用可能な場合に利用します。
• 標準契約条項（SCC）： データプライバシーフレームワークが適用されない場合、EU／EEA域外の再処理者との契約に、欧州委員会が承認したSCC（欧州委員会実施決定（EU）2021/914）を組み込みます。

6.3 移転影響評価

当社は、第三国への移転について移転影響評価を実施し、適切なデータ保護水準を確保するため、必要に応じて補完的措置を講じます。

7. 監査および検査

7.1 監査権

お客様は、当社による本DPAの遵守状況を監査する権利を有します。当社は、遵守を証明するために必要なすべての情報を提供し、お客様またはお客様が委任した監査人による検査を含む監査を認め、これに協力します。

7.2 監査手続

次の取決めは、適用されるデータ保護法上の権利または義務を制限しない範囲でのみ、監査に適用されます。

• お客様は、監査の少なくとも30日前までに書面で通知するものとします。
• 監査は年に一回を上限とします。ただし、監督当局から要求された場合、またはデータ侵害後に行われる場合を除きます。
• 監査は通常の営業時間内に実施し、当社の業務を不合理に妨げないものとします。
• 監査により本DPAの重大な違反が判明した場合を除き、監査費用はお客様が負担します。
• 監査中に当社の他のお客様の秘密情報を開示してはなりません。

8. データの保存および削除

8.1 本契約の期間中

当社は、本契約の期間中、サービスの提供に必要な範囲で個人データを保存します。

8.2 終了時

本契約が終了した場合、またはお客様から書面による請求があった場合：

• お客様の選択に従い、30日以内 に個人データを削除するか、お客様に返還したうえで当社の稼働中のシステムに残る複製を削除します。
• バックアップアーカイブ内の個人データは 6か月以内 に消去します。それまでは保護を維持し、適用法が別途要求する場合を除き、他の目的に利用しません。
• 適用法が要求する範囲で、税務・会計上の義務などのために個人データを保持することがあります。その場合、当該データを隔離・保護し、その後の処理を法令上必要な範囲に限定します。

8.3 確認書

お客様のご請求に応じて、本条に従って個人データを削除したことを示す書面による確認を提供します。

9. 責任

本DPAに基づく各当事者の責任には、本契約に定める責任制限が適用されます。本DPAのいかなる規定も、適用されるデータ保護法に基づく、データ主体または監督当局に対する当事者の責任を制限しません。

10. 準拠法

本DPAはフランス法に準拠します。GDPRおよび英国GDPRは、処理がそれぞれの法的適用範囲に含まれる限りで適用されます。本DPAから生じる紛争は、本契約の紛争解決条項に従って解決します。

11. 本DPAへの同意方法

本DPAは利用規約に組み込まれ、その一部を構成します。QR Code AIのサービスを利用することにより、お客様は本DPAに同意するものとします。

記録用に別途署名された本DPAの写しが必要な場合は、[email protected] までご連絡ください。10営業日以内に提供します。

12. お問い合わせ

本DPAまたは当社のデータ処理についてのご質問は、以下までご連絡ください。

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 フランス [email protected]