データ処理補遺

本データ処理補遺（"DPA"）は、OpenWhispr利用規約、または該当する場合はこれを締結した顧客（"顧客"、"管理者"）とGizmo Labs Inc.との間の基本サービス契約もしくはエンタープライズ契約（"契約"）の一部を構成し、参照により組み込まれます。Delawareで設立され、登録住所を221 W 9th Street, Wilmington, Delaware 19801とするGizmo Labs Inc.（"OpenWhispr"、"処理者"）が、OpenWhisprサービス（"本サービス"）の提供に際して顧客に代わり個人データを処理する場合に適用されます。本DPAの発効に署名は不要です。調達手続上、締結済み写しを要する顧客のために署名欄を設けています。データ保護事項について本DPAと契約が抵触する場合は本DPAが優先し、制限対象移転について本DPAとSCC（またはUK Addendum）が抵触する場合は、その限度でSCC（またはUK Addendum）が優先します。本DPAに基づく通知は、当事者のアカウント連絡先へ、OpenWhisprについてはsupport@openwhispr.comへ送付します。

本書で定義されていない大文字で始まる用語は、データ保護法令に定める意味を有します。"データ保護法令"とは、契約に基づく個人データの処理に適用されるすべての法令をいい、EU GDPR（規則(EU) 2016/679）、UK GDPRおよびData Protection Act 2018、スイスFADP、ならびに適用される米国州プライバシー法（CCPA/CPRAを含む）を含みます。"SCC"とは、欧州委員会実施決定(EU) 2021/914のStandard Contractual Clausesをいいます。"UK Addendum"とは、ICOのInternational Data Transfer Addendum to the EU SCCsをいいます。"制限対象移転"とは、十分性認定のない第三国への個人データ移転をいいます。"復処理者"とは、管理者に代わり個人データを処理するためOpenWhisprが起用する第三者をいいます。

OpenWhisprは、顧客に代わる処理者としてのみ個人データを処理します。処理の対象、期間、性質および目的、個人データの種類ならびにデータ主体のカテゴリーは別紙1に定めます。明確化のため、エンドユーザーがOpenWhisprをローカル専用モードまたは自身のモデルAPIキー（"bring your own key"）で実行する場合、音声および文字起こし／推論コンテンツはユーザーの端末からユーザーが選択した提供者へ直接送信されるか、端末上で処理されます。これらのコンテンツフローはユーザーが指示し、関与する第三者提供者はOpenWhisprの復処理者ではなく、ユーザーの指示に従います。アカウントデータ、クラウド同期（有効な場合）、利用および請求データは、すべてのモードで本DPAに従いOpenWhisprおよび復処理者が引き続き処理します。OpenWhisprは、本サービスの運営、保護および改善のため、集計および非識別化され個人データでなくなったデータ（例：サービス性能指標）を処理できますが、再識別を試みません。

OpenWhisprは、音声、文字起こし、ノート、プロンプトおよびAIエージェントとの会話を含む顧客の個人データを、OpenWhisprまたは第三者の人工知能もしくは機械学習モデルの学習、再学習または改善に使用せず、復処理者にもこれを許可しません。別紙3のモデル提供者は、本サービスの提供のみを目的に当該コンテンツを処理し、OpenWhisprのアカウントでは学習が無効化またはオプトアウトされています。この制限は契約終了後も存続します。

OpenWhisprは、以下を行います。

1. OpenWhisprに適用される法令で義務付けられる場合を除き、移転を含め、顧客の文書化された指示（契約、本DPAおよび顧客による本サービスの設定がこれを構成します）にのみ従って個人データを処理します。法令で義務付けられる場合、法律上禁止されない限り、処理前に当該法的要件を顧客へ通知します。
2. 個人データを処理する権限を有する者が守秘義務を負うことを確保します。
3. 別紙2の技術的および組織的安全管理措置を実施し、定期的に見直します。
4. 処理の性質を考慮し、データ主体からの請求、セキュリティ、侵害通知、データ保護影響評価および事前協議について顧客を支援します（第6条～第9条）。
5. 本サービス終了時に顧客の選択によりすべての個人データを削除または返却し、OpenWhisprに適用される法令が保存を要求する場合を除き、既存の複製を30日以内に削除します。
6. 遵守を証明するため合理的に必要な情報を提供し、第10条に従う監査を認め、これに協力します。
7. 指示がデータ保護法令に違反するとOpenWhisprが判断した場合、直ちに顧客へ通知します。

顧客は、OpenWhisprが復処理者を起用することを一般的に書面で許可します。現行リストは別紙3に記載され、OpenWhisprトラストセンター（trust.openwhispr.com、Subprocessorsセクション）で公開されます。OpenWhisprは、移転義務を含む本DPAと同等のデータ保護義務を各復処理者に課し、その履行について引き続き責任を負います。OpenWhisprは、予定する追加または変更を少なくとも30日前に書面で通知します（顧客のアカウント所有者への電子メールおよび公開リストの更新）。顧客はこの期間中、合理的かつ文書化されたデータ保護上の理由で異議を述べることができます。異議を解決できない場合、顧客は影響を受ける本サービスを終了し、前払い料金の按分返金を受けられます。

OpenWhisprは、最新技術および個人データの性質を考慮し、リスクに適した別紙2の措置を維持します。クラウド文字起こし経路の音声はリアルタイムで処理され、文字起こし後にOpenWhisprが保存することはありません。

OpenWhisprは、顧客の個人データに影響する個人データ侵害を認識した場合、不当に遅滞なく、いかなる場合も72時間以内に顧客へ通知し、顧客が自己の通知義務を履行するため合理的に必要な情報を提供し、是正に協力します。

OpenWhisprは処理の性質を考慮し、適切な技術的および組織的措置により、データ主体の権利（アクセス、訂正、消去、制限、データポータビリティ、異議申立て）の行使請求への対応を顧客に支援します。エンドユーザーは製品内で自らエクスポートおよび削除できます。顧客の組織を特定できる請求をOpenWhisprが直接受領した場合、不当に遅滞なく顧客へ転送します。

OpenWhisprは、必要な情報を保有する範囲で、データ保護影響評価および監督機関との事前協議について合理的な支援を提供します。

OpenWhisprは、要請に応じ、守秘義務を条件として、トラストセンターを通じ現行のコンプライアンス文書を提供します（SOC 2 Type 2：監査完了、観察期間終了、発行後NDAに基づき最終報告書提供可能；コンプライアンスプラットフォーム経由で発行されたGDPRおよびHIPAA証明、2026；ISO 27001準拠の情報セキュリティプログラム）。データ保護法令が、これらの報告書では満たせない強行的監査権を顧客に付与する場合、OpenWhisprは、12か月につき1回を上限として顧客または独立監査人による監査を認め、顧客の個人データに影響する確認済みの侵害後にも追加で認めます。いずれも30日以上前の通知、守秘義務およびOpenWhisprのセキュリティポリシーを条件とします。監査費用は顧客が負担します。制限対象移転について、本条はSCCの監査権を妨げません。

顧客は、指示およびOpenWhisprへの個人データ提供がデータ保護法令を遵守することを保証します。これには、適法な根拠を有すること、データ主体に必要な通知を行うこと、またエンドユーザーが特別カテゴリーの個人データ（例：健康情報）を口述または処理し得る場合に、適切な法的根拠および必要な契約を整えることが含まれます（HIPAAについて第14条参照）。

本条は、EEA、英国またはスイスからこれらの地域外の国への個人データ移転（制限対象移転を含む）を規律します。OpenWhisprおよび復処理者は、主として米国で個人データを処理します（復処理者別所在地：別紙3）。各移転には、以下のうち最初に該当する仕組みを用います。

1. 十分性。 移転先に十分性認定がある場合、その認定に基づき移転します。
2. Standard Contractual Clauses。 EEAからの制限対象移転について、両当事者は、顧客をデータ輸出者、OpenWhisprをデータ輸入者とするSCCのモジュール2（管理者 → 処理者）を締結し、参照により本DPAへ組み込み、次のように補充します：第7条（ドッキング）は不採用；第9条オプション2（一般的許可、30日前通知）；第11条の任意救済機関は不採用；第13条／別紙I.Cの所管監督機関：Irish Data Protection Commission；第17条の準拠法：アイルランド法；第18条の裁判地：アイルランドの裁判所；本DPAの別紙1～3がSCC別紙I～IIIを構成します。復処理者への再移転には、モジュール2 SCC第8.8条および第9(b)条（同一義務の承継）が適用されます。
3. 英国およびスイスからの移転。 英国の個人データについて、両当事者は別紙の情報で補充したUK Addendum to the EU SCCsを締結します。スイスの個人データについて、SCCはFADPに従い修正して適用されます。

OpenWhisprが将来EU–US Data Privacy Frameworkに基づく自己認証を行った場合、移転は当該認証にも依拠できます。

移転影響評価により補完的措置が必要とされた場合、両当事者はこれを実施し、OpenWhisprは顧客の評価を支援します。OpenWhisprは、遵守不能を顧客へ通知する義務を含むSCC上の義務に同意します。

OpenWhisprが公的機関から顧客の個人データに関する法的拘束力のある要請を受けた場合、法的に許される範囲で、顧客へ速やかに通知し、要請の適法性を審査して合理的根拠があれば争い、法律上必要な最小限のデータのみを開示します。OpenWhisprは顧客による確認のため当該要請を記録します。

本DPAはBusiness Associate Agreementではありません。顧客がHIPAA上のCovered EntityまたはBusiness Associateである場合、別途Business Associate Agreementが当事者間で締結されない限り、エンドユーザーはクラウド本サービスを通じて保護対象保健情報（protected health information、PHI）を処理してはなりません。OpenWhisprは、Businessプラン以上の顧客に対し、support@openwhispr.comへの要請によりBAAを提供します。締結されたBAAは、抵触する範囲で本DPAに代わりPHIを規律します。

CCPA/CPRAその他の米国州プライバシー法が適用される範囲で、OpenWhisprは"service provider"/"processor"として行動します。OpenWhisprは個人データを販売も共有もせず、本サービスの提供または法律で許される場合を除いて保持、使用または開示せず、これらの制限を理解し遵守することを証明します。

データ保護事項に関する責任は、契約に定める上限に従い、契約の定めによります。本DPAは、OpenWhisprが顧客のために個人データを処理する限り存続します。

A. 当事者（SCC別紙I.A）。 データ輸出者：顧客（管理者）— 契約または注文書記載の名称、住所および連絡担当者。データ輸入者：Gizmo Labs Inc.（処理者）、221 W 9th Street, Wilmington, Delaware 19801, USA、連絡先：support@openwhispr.com；活動：以下に記載する本サービスの提供。

B. 処理の説明（SCC別紙I.B）。

OpenWhisprのセキュリティプログラム概要（現行詳細：OpenWhisprトラストセンター — trust.openwhispr.com、Security Controlsセクション）：

• 転送中（TLS 1.2+）および保存中の個人データの暗号化。
• クラウド音声をリアルタイムで処理し、文字起こし後OpenWhisprは保存しません（文字起こし／推論復処理者は契約に従い一時的に音声を処理）。ローカル専用およびbring-your-own-keyモードはOpenWhisprクラウドを完全に迂回します。
• 最小権限に基づくアクセス制御、MFA、実稼働システムのログ記録／監視；セッションおよびログイン監視の月次レビュー。
• 脆弱性およびパッチ管理；安全な開発慣行。
• 文書化された復旧目標（主要データストアのRTO ≤ 4h / RPO ≤ 1h）を伴う回復力およびバックアップ；緊急時対応計画の年次試験。
• 職員の守秘義務およびセキュリティ研修。
• 復処理者ガバナンス：契約上の義務承継（第5条）、公開リスト、主要なコンテンツ保存復処理者（データベース；クラウド文字起こし／LLM）とのBAA締結。残るHIPAA経路の復処理者への適用は進行中。
• 独立検証：SOC 2 Type 2監査完了、観察期間終了；最終報告書は発行後NDAに基づき提供。コンプライアンス証明：GDPRおよびHIPAA（2026、OpenWhisprのコンプライアンスプラットフォーム経由）。ISO 27001:2022準拠の情報セキュリティプログラム、別紙Aの93管理策をすべて実施（認証監査は未実施）。

2026-07-17現在の許可済み復処理者（最新リスト：OpenWhisprトラストセンター、trust.openwhispr.com、Subprocessorsセクション）。法人名および処理場所は2026-07-17に各提供者の規約／DPAと照合済みです。"US (primary)"は、提供者の規約が米国を主要処理場所としつつ、その復処理者による他国での処理を許容することを意味します。"第9(b)条の義務承継"は、制限対象移転の場合にモジュール2 SCC第8.8条および第9(b)条に基づき同一義務を課す復処理者契約を意味します。

本別紙は、製品の本サービス内で顧客の個人データを処理する復処理者を列挙します。Google（OAuthログインおよび任意のCalendar連携）は復処理者ではありません。ログインは独立した管理者としてGoogleが提供し、カレンダーデータはユーザー端末にのみキャッシュされます。OpenWhisprのより広範なベンダー透明性リスト（Gizmo Labsが管理者となる、または顧客の個人データを受領しないRB2B、lemlist、GitHub等のマーケティングサイトおよび運用ベンダーを含む）は、OpenWhisprトラストセンターで公開されます。