データ処理補遺
この翻訳は参考のために提供されるものです。正文は英語版とします。
Studio58, Inc. の確認のために作成されたドラフトです。 拘束力を持つテンプレート文言は社内カウンセルが起草しました。提出も締結もされておらず、公開前に必ず確認を行うべき Studio58, Inc. 自身の記録上の有資格弁護士に代わるものでもありません。**管轄に関する前提：**米国を拠点とする管理者（基礎となる利用規約の準拠法はデラウェア州法、クライアント確認 2026-07-17）を想定し、EEA・英国・スイスのデータ主体には標準契約条項を通じて対応するものとして起草されています。本 DPA に記載する数値および名称はデータコミットメント台帳から引かれており（
artifacts/spine/privacy/data-commitment-ledger.md）、同台帳およびプライバシーポリシーと同一に保たれなければなりません。台帳が値を assumed-default と記している箇所（保持期間、非AI復処理者、ホスティングリージョン）については、本 DPA も同じ保護的デフォルトと同じ「to be confirmed」フラグを引き継ぎます。それらは別紙4に一覧しています。
本データ処理補遺（「DPA」）は、**Studio58, Inc.（「Kaldune」「当社」）**と、Kaldune のサービスを通じて個人データを提出するビジネス顧客（「お客様」（Customer））との間の利用規約（「本契約」）の一部を構成します。本 DPA は、お客様が第三者（例えば、お客様自身の顧客、ユーザー、または従業員）の個人データを本サービスを通じて提出し、Studio58, Inc. がそのデータをお客様に代わって処理する場合に限り、その範囲においてのみ適用されます。個人データの処理に関して本契約と本 DPA が抵触する場合、本 DPA が優先します。
1. 定義
本書で定義されていない用語は、本契約または適用されるデータ保護法における意味を持ちます。**「適用データ保護法」とは、当事者に適用される、個人データの処理を規律するすべての法律をいい、EU一般データ保護規則（2016/679）（「GDPR」）、英国GDPRおよび2018年データ保護法、スイス連邦データ保護法、ならびに CPRA により改正されたカリフォルニア州消費者プライバシー法（「CCPA/CPRA」）を含む米国の州プライバシー法を含みます。「お客様個人データ」とは、Studio58, Inc. がお客様に代わって処理するお客様コンテンツに含まれる個人データをいいます。「復処理者」（Sub-processor）とは、お客様個人データを処理するために Studio58, Inc. が起用する第三者をいいます。「管理者」（Controller）、「処理者」（Processor）、「データ主体」（Data Subject）、「処理」（Processing）および「個人データ侵害」（Personal Data Breach）**は、GDPR における意味（および他の適用データ保護法におけるそれらの同等の意味）を持ちます。
2. 当事者の役割
2.1. 管理者および処理者。 お客様個人データについては、お客様が管理者（または第三者である管理者のために行為する処理者）であり、Studio58, Inc. が処理者です。Studio58, Inc. は、本サービスの提供および運営のためにのみ、かつ、本契約および本 DPA に定めるものを含むお客様の文書化された指示に基づいてのみ、お客様個人データを処理します。
2.2. その他のデータの管理者としての Studio58, Inc.。 Studio58, Inc. が処理の目的および手段を決定するアカウント、請求、およびサービス利用に関するデータについては、Studio58, Inc. が独立した管理者です。その処理は本 DPA ではなくプライバシーポリシーが規律します。
2.3. CCPA/CPRA。 CCPA/CPRA の適用を受ける個人データについては、Studio58, Inc. はサービスプロバイダーとして行為します。Studio58, Inc. は、お客様個人データを販売または共有せず、本サービスの提供以外の目的（または CCPA/CPRA が許容する場合を除き）でこれを保持、使用、または開示せず、CCPA/CPRA が許容する場合を除き他の情報源からのデータと結合しません。Studio58, Inc. は、これらの制限を理解し遵守することを証明します。
3. お客様個人データの処理
3.1. 指示。 Studio58, Inc. は、法律により要求される場合を除き、お客様の文書化された指示（本サービスの提供のため、およびその他書面で合意された内容を含みます）に基づいてのみお客様個人データを処理します。法律により要求される場合、Studio58, Inc. は、法的に許容される限り、まずお客様に通知します。
3.2. 処理の対象事項、期間、性質および目的、カテゴリー、データ主体。 これらは**別紙1（処理の詳細）**に定めます。
3.3. 秘密保持。 Studio58, Inc. は、お客様個人データの処理を許可された人員が秘密保持義務に拘束されることを確保します。
3.4. 通常の業務において閲覧しないこと。 本契約およびプライバシーポリシーに則り、Studio58, Inc. は通常の業務においてお客様コンテンツの内容にアクセスしません。サポート担当者は、お客様（または権限を有するユーザー）から依頼があった場合にのみ、その依頼された目的のためにお客様個人データにアクセスし、各アクセスはログに記録されます。
4. 復処理者
4.1. 授権。 お客様は、本サービスを支えるAIプロバイダーを含め、別紙3に列挙する復処理者を起用する一般的授権を Studio58, Inc. に付与します。Studio58, Inc. は、各復処理者に対し、本 DPA と少なくとも同等の保護水準のデータ保護義務を課し、各復処理者の履行について引き続き責任を負います。
4.2. 変更通知および異議。 Studio58, Inc. は、新たな復処理者がお客様個人データの処理を開始する少なくとも30日前に事前通知を行い、その期間中、お客様は合理的なデータ保護上の理由に基づき異議を申し立てることができます。当事者が異議を解決できない場合、お客様は影響を受ける本サービスを解約し、前払い済みで未使用の料金について日割りの返金を受けることができます。（カウンセル／クライアント向け注記：AIプロバイダー自身の DPA は、プロバイダーの下流復処理者に関して Studio58 に15日間の異議期間を与えています。Studio58 からそのお客様への30日間の通知は、意図的により長く、より保護的なものです。台帳 R-3 を参照。）
4.3. AIプロバイダー。 AIプロバイダー（現在は Anthropic, PBC。EEA・英国・スイスのデータについては Anthropic Ireland, Limited）は復処理者です。2026-07-17 に検証したプロバイダーの商用条件および DPA の下で、プロバイダーは処理者としてデータを処理し、その商用サービスを通じて提出されたコンテンツでモデルの訓練を行わず、自身のインフラ復処理者（Google Cloud、Amazon Web Services、Microsoft Azure、Cloudflare — 世界各地）へのさらなる移転については標準契約条項に依拠します。お客様はこの下流の連鎖を了承します。
5. 国際移転
5.1. 移転メカニズム。 Studio58, Inc. が EEA・英国・スイスのデータ主体のお客様個人データを十分性認定のない国に移転する場合、その移転は、EU の標準契約条項（モジュール2（管理者から処理者へ）、および、さらなる移転についてはモジュール3（処理者から処理者へ））、英国国際データ移転補遺、およびスイス補遺に基づいて行われます。これらはいずれも参照により本 DPA に組み込まれ、別紙3および別紙1の当事者詳細により補完されます。（Studio58, Inc. は、これを締結済みのものとして依拠する前に、自らの非AI復処理者それぞれと同等の SCC を締結しなければなりません — 別紙4参照。それまでの間、本項は意図された標準的な姿勢を示すものです。）
5.2. 移転影響評価。 当事者は、適用データ保護法により合理的に要求される移転影響評価の完了に協力します。
6. セキュリティ
6.1. 措置。 Studio58, Inc. は、お客様個人データを保護するための適切な技術的および組織的措置を維持します。その内容は別紙2に記載され、転送中および保存時の暗号化、最小権限に基づくアクセス制御、ならびにお客様コンテンツへのサポートアクセスのログ記録を含みます。
6.2. 復処理者のセキュリティ。 AIプロバイダーは、2026-07-17 に検証したとおり、保存時の AES-256 暗号化、転送中の TLS 1.2 以上、MFA およびロールベースのアクセス制御、年次の第三者監査／侵入テスト、ならびに SOC 2、ISO 27001 および ISO 42001 の認証を維持しています。Studio58, Inc. は、他の復処理者にも同等の措置を求めます。
7. 個人データ侵害
7.1. 通知。 Studio58, Inc. は、お客様個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も72時間以内に、お客様自身の通知義務を果たすために合理的に必要な情報とともに、お客様に通知します。（AIプロバイダーは Studio58 への48時間以内の通知を確約しています。Studio58 からお客様への72時間の枠は、GDPR 第33条の基準の範囲内にあり、プロバイダーからの通知の下流に位置します。台帳／検証を参照。）
7.2. 協力。 Studio58, Inc. は、侵害の調査および軽減において、お客様を合理的に支援します。
8. お客様への支援
8.1. データ主体からの請求。 処理の性質を考慮し、Studio58, Inc. は、適用データ保護法上の権利（アクセス、訂正、消去、制限、ポータビリティ、異議）を行使しようとするデータ主体の請求にお客様が対応できるよう、可能な限り、適切な技術的および組織的措置によりお客様を支援します。データ主体が Studio58, Inc. に直接連絡した場合、Studio58, Inc. はその者をお客様に案内します。
8.2. DPIA および事前協議。 Studio58, Inc. は、自らが入手可能な情報を考慮のうえ、データ保護影響評価および監督当局との事前協議について、お客様に合理的な支援を提供します。
9. 返還および削除
本契約の終了または満了時、Studio58, Inc. は、お客様の選択に従い、30日以内にお客様個人データをアクティブなシステムから返還および／または削除します。ただし、暗号化バックアップ内の複製はバックアップのローテーションサイクルに従って削除され、アクティブシステムからの削除後90日を超えないものとし、また、法律により保持が要求される場合はこの限りではありません。バックアップの複製は、削除されるまで本 DPA の保護に服し続けます。（保持期間は台帳 R-C および R-D から。バックアップの90日という数字は、エンジニアリングが実際のローテーション期間を確認するまでの保護的なデフォルトです — 別紙4。）
10. 監査
Studio58, Inc. は、本 DPA の遵守を証明するために合理的に必要な情報をお客様に提供し、合理的な事前通知および秘密保持を条件として、また正当な理由がない限り年1回を上限として、お客様またはお客様が指定する監査人が実施する監査（立入検査を含みます）を許容し、これに協力します。Studio58, Inc. は、関連する第三者監査報告書（自身または復処理者のもの、例えばAIプロバイダーの SOC 2 報告書）を提供することにより、この義務を満たすことができます。
11. 一般条項
本 DPA は本契約の準拠法（デラウェア州法）に準拠します。ただし、SCC はそれ自体が指定する法律（EEA 移転についてはアイルランド法）に準拠します。本 DPA のいずれかの規定が SCC と抵触する場合、その SCC が規律する移転については SCC が優先します。本 DPA は本契約の発効と同時に効力を生じ、本契約とともに終了します。ただし、その性質上存続すべき規定はこの限りではありません。
別紙1 — 処理の詳細
| 項目 | 内容 |
|---|---|
| 対象事項 | お客様に対する Kaldune AI スタジオサービスの提供。 |
| 期間 | 本契約の期間に、第9条の返還／削除期間を加えたもの。 |
| 性質および目的 | お客様コンテンツの保存、およびお客様のブリーフに応じたAI支援による成果物の生成。アカウント、セキュリティ、およびサポートの運用。 |
| 個人データのカテゴリー | お客様が入力（Inputs）に含めることを選択した、または出力（Outputs）に現れるあらゆる個人データ。お客様のアカウントおよび連絡先データ。提出する個人データはお客様が管理します。 |
| 特別カテゴリー | 想定していません。お客様は、適法な根拠を有し、その利用をそれに応じて構成している場合を除き、特別カテゴリーのデータを提出すべきではありません。Studio58, Inc. が本サービスの運営にこれを必要とすることはありません。 |
| データ主体 | お客様が決定します — 例えば、お客様コンテンツに表れるお客様自身の顧客、ユーザー、従業員、または連絡先。 |
| 管理者 | お客様（別紙1の当事者詳細はお客様が記入します）。 |
| 処理者 | Studio58, Inc.（Kaldune を運営）、c/o Corporation Service Company, 251 Little Falls Drive, Wilmington, New Castle County, DE 19808。 |
別紙2 — セキュリティ措置（Studio58, Inc.）
データコミットメント台帳から抜粋。別紙4で assumed-default と記された項目はエンジニアリングの確認待ちです。
- 転送中（TLS 1.2 以上）および保存時のお客様コンテンツの暗号化。
- 最小権限に基づくアクセス制御。管理アクセスには多要素認証。
- お客様コンテンツへのサポートアクセスは、依頼があった場合に限り、依頼された項目および目的に限定され、ログに記録されます（誰が・いつ・なぜ）。ログはお客様の求めに応じて提供されます。
- お客様環境の分離。固定ローテーションによる保護された暗号化バックアップ。
- 診断ペイロードからお客様コンテンツを除去するよう構成されたエラーモニタリング。
- 各復処理者に対するベンダーデューデリジェンスおよびデータ保護条件の締結。
別紙3 — 復処理者
データコミットメント台帳 §3 と完全に一致します。assumed-default と記された行は、実際のベンダーについてクライアント／エンジニアリングの確認待ちです（別紙4）。
| 復処理者 | 目的 | 所在地 | ステータス |
|---|---|---|---|
| Anthropic, PBC（EEA・英国・スイスのお客様については Anthropic Ireland, Limited） | ルームを支えるAIモデル、商用API経由 | 米国（EEA・英国・スイスとの契約はアイルランド法人）。下流のインフラは世界各地（GCP、AWS、Azure、Cloudflare） | verified |
| クラウドホスティング事業者（to be named） | アプリのホスティング、データベース、暗号化ストレージおよびバックアップ | お客様に応じて US または EU（region to be confirmed） | assumed-default |
| Stripe, Inc. | 前払いチャージの決済処理（カードデータは Stripe が収集・処理し、Studio58, Inc. は受領も保存もしません） | 米国 | confirmed（client-confirmed 2026-07-17） |
| トランザクションメール事業者（to be named） | アカウントメール、通知、パスワードリセット | 米国 | assumed-default |
| プロダクト分析事業者（to be named） | 集計ベースの、プライバシーに配慮した利用分析 | EU または US（保護的デフォルト：EU ホスティング、クッキーレス） | assumed-default |
| エラーモニタリング事業者（to be named） | クラッシュおよびエラーの診断 | 米国 | assumed-default |
| カスタマーサポートツール（to be named） | 「サポートに連絡」リクエストの対応 | 米国 | assumed-default |
別紙4 — 未確定事項（本 DPA の締結前に確認が必要）
これらは、台帳でデフォルトと記された値を本 DPA に引き継いだものです。各項目は、公開前に、記載された責任者により確認され、プライバシーポリシー、本 DPA、および利用規約 §6 の間で同一に固定されなければなりません。
| 項目 | 本 DPA のデフォルト | 回答の責任者 |
|---|---|---|
| 実際のバックアップローテーション期間（第9条。現在は「90日を超えない」） | 90日 | エンジニアリング |
| ホスティング事業者およびリージョン（別紙3） | 未指名。US/EU の保護的デフォルト | クライアント＋エンジニアリング |
| メール、分析、エラーモニタリング、サポートの各ベンダー（別紙3） | 未指名のデフォルト | クライアント＋エンジニアリング |
| Stripe を指名済み | クライアント（完了）→ プライバシー側が台帳 S-3 を confirmed にカスケード | |
| 各非AI復処理者との Studio58, Inc. の SCC の締結（第5.1条） | 意図された姿勢として記載。未締結 | カウンセル |
| 復処理者の変更通知期間（第4.2条） | 30日 | カウンセル（台帳 R-3 に整合） |
| 処理者の郵送先住所（別紙1） | c/o Corporation Service Company, 251 Little Falls Drive, Wilmington, New Castle County, DE 19808 | 2026-07-17 に確認済み |
変更履歴
| 日付 | バージョン | 変更内容 | 担当 |
|---|---|---|---|
| 2026-07-17 | 1.1（ドラフト） | 決済処理事業者を Stripe, Inc. として確定（client-confirmed 2026-07-17。前払い従量課金の請求モデルの確定に伴う）。別紙3の決済の行を「to be named / assumed-default」から Stripe, Inc. / confirmed に更新し、目的の記載を「前払いチャージの決済処理」（サブスクリプションなし）に改め、利用規約 §7.5 と一致する、カードデータを Studio58 が受領しない旨の注記を付した。別紙4の決済の行を RESOLVED に移動。調整フラグ： Stripe は台帳（S-3。現在 assumed-default）およびプライバシーポリシーの復処理者テーブルに同一の記載が必要 — プライバシー（Priya）が S-3 を confirmed にカスケードする。DPA と利用規約はすでに Stripe を指名済み。 | カウンセル |
| 2026-07-17 | 1.0（ドラフト） | 最初のカウンセルドラフト。役割（管理者／処理者／サービスプロバイダー）を厳密に設定。復処理者の一覧はデータコミットメント台帳 §3 と文言どおり一致（別紙3）。移転メカニズム＝EU SCC モジュール2／3＋英国 IDTA＋スイス補遺（台帳 X-2。AIプロバイダー層で 2026-07-17 に検証済み）。セキュリティ（別紙2）およびAIプロバイダーのセキュリティ（§6.2）は検証済みの調査結果に基づく。侵害通知はお客様へ72時間（プロバイダーは当社へ48時間を確約）。返還／削除はアクティブシステム30日＋バックアップ90日以内（台帳 R-C/R-D）。復処理者の変更通知は30日（台帳 R-3）。プロバイダーの下流15日の期間と対照して注記。別紙4の未確定事項は台帳の assumed-default を反映。 | カウンセル |