個人情報取扱業務委託契約(別紙)

委託先は、委託元が本サービスを通じてその顧客対応(花のご相談の受付・整理・加盟店への伝達・履歴の保存表示)を行うために必要な範囲で、委託元のお客様の個人情報(以下「委託個人情報」)を取り扱う。委託先は、委託の目的以外に委託個人情報を取り扱ってはならない。

1. 委託個人情報の項目は、お客様が本サービス上で入力する次の情報とする。用途・色・花種・形・ボリューム・予算等の相談情報、メッセージカード文面、AI との会話履歴(全文)、お客様がアップロードした参考画像、アクセス情報(Cookie・IP アドレス・UA 等)、及びお客様が任意に入力した要配慮個人情報(アレルギー・宗派・ペット情報)。
2. 委託先は、本サービスにおいて、お客様の氏名・電話番号・住所・メールアドレスを原則として取得しない設計とする。
3. 委託先は、委託個人情報を、AI モデルの学習その他委託先独自の目的に使用しない。個人を識別できない統計情報・仮名加工情報・匿名加工情報への加工後のサービス品質改善利用はこの限りでない。

委託先は、委託個人情報の漏えい、滅失又は毀損の防止その他の安全管理のため、次の措置を講じる。

• 組織的措置:店舗 ID(uid)による完全なテナント分離、アクセス権限の最小化、操作・アクセスログの記録及び保全、責任者の設置。
• 技術的措置:転送時の TLS 暗号化、保存時の暗号化、テナント分離を検証する自動テストの継続的実施、不正アクセス対策(Bot 検知・レート制限)。
• 人的措置:従業者に対する守秘義務の徹底、取扱者の限定。
• 物理的措置:認証を取得したクラウド事業者の国内データセンターの利用。

委託先は、委託個人情報を取り扱う従業者に対し、本契約上の義務を遵守させるため必要かつ適切な監督を行う。委託先は、従業者との間で守秘義務を含む契約を締結し、退職後も含め守秘義務を存続させる。

1. 委託先は、委託の目的の達成に必要な範囲で、委託個人情報の取扱いの全部又は一部を第三者に再委託することができる。主要な再委託先は次のとおりとする。
   • Google Cloud Platform(Vertex AI / Firebase、東京リージョン):AI 処理、データ保存・認証
   • Resend, Inc.(米国):加盟店への相談内容通知メール配信
   • その他、委託先のプライバシーポリシー及び外部送信先一覧に記載の事業者
2. 委託先は、再委託先に対し、本契約と同等以上の義務を課し、再委託先を委託先の責任において監督する。
3. 委託先は、再委託先を追加・変更する場合、プライバシーポリシー及び外部送信先一覧の更新により委託元に周知する。委託元に重大な影響を及ぼす変更については、合理的な期間前に通知する。

1. 委託先は、委託個人情報について漏えい、滅失、毀損その他の個情法上の報告対象事態又はそのおそれを認識した場合、遅滞なく(発見後、原則として 24 時間以内を目標に)委託元に通報する。
2. 委託先は、委託元が個情法第26条に基づき個人情報保護委員会への報告(速報・確報)及び本人への通知を行うために必要な情報の提供その他の協力を行う。
3. 本人への通知が困難な場合、委託元は、個情法第26条第2項ただし書に基づき、事案の公表その他本人の権利利益を保護するために必要な代替措置を講じることができ、委託先はこれに協力する。

委託元がお客様から開示・訂正・利用停止・削除等(個情法第33条以下)の請求を受けた場合、委託先は、委託元の指示に従い、技術的に必要な協力(該当データの検索・抽出・削除等)を行う。

委託元は、委託先の本契約の遵守状況について、合理的な範囲で、書面による報告を求めることができる。委託先は、これに誠実に対応する。実地監査を要する場合は、事前協議のうえ、委託先の業務に支障のない方法・頻度により実施する。

1. 加盟店利用契約が終了した場合、委託先は、委託個人情報を、契約終了日から90日間保管した後、遅滞なく消去する。委託元は当該期間内にデータのエクスポートを行うことができる。
2. 委託元から消去又は返却の請求があった場合、委託先は、法令上保存が義務付けられる場合を除き、これに応じる。

1. 委託元は、お客様に対する個人情報取扱事業者としての義務(利用目的の通知・公表、要配慮個人情報の取得同意の確保、本人請求への一次対応等)を負う。委託先は、本契約に定める安全管理措置及び委託の範囲内での適正取扱いの義務を負う。
2. 委託先が本契約に違反して委託個人情報を漏えいさせた等、委託先の責めに帰すべき事由により委託元に損害が生じた場合、委託先は、加盟店利用契約に定める損害賠償の制限の範囲内でこれを賠償する。委託先の故意又は重大な過失による場合は、当該制限を適用しない。

本契約は日本法を準拠法とし、加盟店利用契約に付随する。第3条〜第9条の義務は加盟店利用契約終了後も、委託個人情報の消去完了まで存続する。