データ​処理契約

Summiaは、顧客にSummiaのサービスを提供することのみを目的として、顧客に代わって個人データを処理します。本契約は、この処理の条件を定めるものです。

本契約は、サービスの利用期間を通じて適用され、利用の終了とともに終了します。ただし、データの削除（本契約第9条）および秘密保持に関する義務は、終了後も存続します。

Summiaは、顧客の文書化された指示に基づいてのみデータを処理します。サービスの利用、その設定、および本契約が、この指示を構成します。Summiaは、ある指示がGDPRに違反すると判断した場合、その旨を顧客に通知します。

顧客のデータは、SummiaによってもSummiaの再処理者によっても、AIモデルの学習に使用されることは一切ありません。

データへのアクセスを許可された者は、その秘密を保持することを誓約しています。その者のアクセスは、職務に必要な範囲に限られます。

Summiaは、GDPR第32条に従い、リスクに応じた技術的および組織的措置を講じます。これらの措置は別紙1に記載されています。措置は変更されることがありますが、保護の水準を引き下げる変更は決して行いません。

顧客は、Summiaが再処理者の一覧で公開する再処理者（サブプロセッサー）を利用することを承認します。

• Summiaは、再処理者の追加または入れ替えについて、少なくとも30日前までに顧客に通知します。
• 顧客は、データ保護に関する正当な理由がある場合、これに異議を述べることができます。合意に至らない場合、顧客はサービスの利用を終了することができます。
• Summiaは、各再処理者に対し、本契約と少なくとも同等の義務を課し、その遵守について顧客に対して引き続き責任を負います。

Summiaは、可能な範囲で、次の事項について顧客を支援します。

• データ主体からの権利行使の請求（アクセス、訂正、消去、処理の制限、データポータビリティ、異議）への対応
• 該当する場合のデータ保護影響評価の実施
• 必要な場合の監督機関への協議

個人データ侵害が発生した場合、Summiaは、これを認識した後、不当な遅滞なく顧客に通知します。通知には、侵害の性質、予想される結果、および講じた措置または講じる予定の措置を記載します。

サービスの利用が終了したときは、次のとおりとします。

• Summiaは、30日以内に顧客のデータを削除します。
• バックアップ内の複製は、バックアップの更新に伴い、その削除からさらに遅くとも30日以内に消去されます。
• 削除の前であれば、顧客はデータの返却を求めることができます。

法律で義務付けられている場合を除き、これを超えてデータを保持することはありません。

データはフランスでホストされています。再処理者が欧州連合（EU）域外でデータを処理する場合、その移転は、欧州委員会の十分性認定、または欧州委員会が定める標準契約条項に基づいて行われます。再処理者の一覧には、再処理者ごとの処理場所が記載されています。

Summiaは、本契約の遵守を証明するために必要な情報を顧客に提供します。顧客は、自らの費用負担で、年1回を上限とし、30日前の予告をもって、守秘義務を負う監査人に監査を実施させることができます。監査は、他の顧客のデータのセキュリティおよび秘密性を損なうものであってはなりません。

本契約はフランス法に準拠します。責任および裁判管轄については、利用規約の定めに従います。

ホスティング

• データは、ISO 27001認証を取得したフランスのホスティング事業者Scalewayにより、パリ地域でホストされています。

分離

• 各アカウントは、同一のデータベースの内部で分離されています。
• アクセスは明示的な共有によってのみ許可され、リクエストごとに検証されます。
• 疑わしい場合、アクセスは拒否されます。

AI

• テーブルを作成または変更する際、AIモデルは、依頼内容、ドキュメントの構造、および列ごとのいくつかのサンプル値を受け取ります。
• 質問に回答する際は、行のラベルと、限られた数の計算済みの結果も受け取ります。
• さらに、依頼に添付された画像とPDF、および音声入力の録音も受け取ります。
• いかなるデータも学習には使用されません。

暗号化

• 通信は転送中に暗号化されます。
• バックアップは暗号化されます。

認証

• パスワード、ワンタイムコード、またはIDプロバイダー（Google、Microsoft）によるログイン。
• コードには有効期限があり、ハッシュ化して保存されます。
• パスワードを変更すると、開いているすべてのセッションが終了します。

トレーサビリティ

• ドキュメントの変更はそれぞれ日時とともに記録され、書き換えのできない履歴に保存されます。
• 共有はそれぞれログに記録されます。

開発のセキュリティ

• コードは、厳格なセキュリティ基準に基づいて定期的に監査されます。
• 変更はそれぞれ、公開前に一連の自動テストを通過します。

内部アクセス

• 本番システムへのアクセスは、それを必要とする者のみに制限されています。

最新の一覧は再処理者のページで公開しています。