個人情報取扱委託契約書

【委託者の商号】（以下「委託者」）とAlienPeoples（以下「受託者」）は、委託者の個人情報取扱業務を受託者に委託するにあたり、韓国「個人情報保護法」第26条に基づき、以下のとおり契約を締結します。

第1条目的

本契約は、委託者が受託者にSiCusto AIカスタマーサポートの運営に必要な個人情報取扱業務を委託し、受託者が本契約および関係法令に従い誠実に業務を行うため、両当事者の権利・義務を定めることを目的とします。

第2条用語

• 最終顧客 — 委託者の相談ページ（https://sicusto.com/chat/{委託者識別子}）を利用する本人。
• 再受託者 — 受託者が委託業務の一部を再委託する者。別紙1に記載します。
• 管理ページ — 委託者の担当者が会話記録・使用量・設定を確認する、受託者提供の画面（/portal/）。
• その他の用語は韓国「個人情報保護法」およびサービス利用規約に従います。

第3条委託業務の範囲と取扱項目

① 受託者は次の業務のみを行います。

② 受託者は委託者の指示なく取扱項目を増やしません。委託者は、最終顧客が韓国の住民登録番号・カード番号・口座番号・パスワードを入力しないよう、相談ページの案内維持に協力します（受託者はサーバーでマスキングしますが、正規表現に基づくため漏れが生じる可能性があります）。

第4条委託期間

委託期間はサービス利用契約の有効期間と同じです（【開始日】～サービス利用契約終了日）。本契約の秘密保持・消去・損害賠償条項は、契約終了後もその目的を達するまで有効です。

第5条再委託の制限 【法務確認】再委託への同意方法

1. 受託者は委託者の事前同意なく、委託業務を第三者に再委託しません。委託者は本契約の締結により、別紙1記載の再受託者への再委託に同意します。
2. 第1段階のサービスでは、AI提供事業者はすべての顧客企業に共通の3社（別紙1）であり、委託者ごとに個別固定しません。
3. 受託者は再受託者を追加・変更する場合、適用の【N】日前までに書面（メールを含む）で通知します。委託者が期間内に異議を申し立てた場合、受託者は当該委託者に変更を適用しないか、委託者は違約金なくサービス利用契約を解除できます。
4. 受託者は再受託者に本契約と同等の保護義務を課し、その取扱いについて委託者に責任を負います。

第6条安全性確保措置

受託者は韓国「個人情報保護法」第29条および関係告示に従い、次の措置を講じます。

• 保存場所・分離 — 大韓民国ソウルリージョン（Google Cloud asia-northeast3）に保存し、委託者別のパスでデータを分離します。ストレージはサーバー専用で、ブラウザーから直接読み書きできません。
• アクセス制御 — 受託者側のアクセスは運用責任者に限定します。委託者側は管理ページのメンバー（所有者・メンバー権限）のみアクセスでき、ナレッジ反映・メンバー変更・エクスポート等の所有者操作では直近のログイン（12時間以内）を再確認します。
• 最小限の保存 — 相談メッセージは、機微情報（韓国の住民／外国人登録番号、カード番号、口座番号、パスワード）および電話番号・メールアドレスをマスキングしたコピーのみ保存し、AI提供事業者に送信します。引き継ぎ依頼の連絡先は返信に必要なため原文で保管します（別紙2の期間）。
• アクセス記録 — 管理ページでの会話全文閲覧・エクスポート・設定変更・削除・メンバー変更を監査記録に残します（別紙2の期間）。
• 通信区間 — 相談ページ・管理ページ・AI提供事業者APIの呼び出しはHTTPS（TLS）で通信します。
• バックアップ・復旧 — ポイントインタイムリカバリと日次バックアップ（7日間保持）を運用し、復旧は別途の手順（運用文書D-5）に従います。

第7条目的外利用の禁止

1. 受託者は委託業務の遂行目的以外に個人情報を利用したり、第三者に提供したりしません。
2. 受託者は個人情報をAIモデルの学習や自社サービスの改善に利用せず、再受託者であるAI提供事業者も学習に使用しない条件でのみ利用します（別紙3）。
3. 受託者は業務上知った個人情報を、本契約期間中はもちろん終了後も漏えいしません。

第8条管理・監督

1. 委託者は受託者に取扱状況・安全措置の実施・再委託状況の資料を請求でき、受託者は遅滞なく提出します。基本資料は別紙1（再受託者一覧）・別紙2（保管／削除表）・運用文書D-5・管理ページの活動記録です。
2. 委託者は年【1】回の書面点検を行うことができ、是正要求があれば受託者は合理的な期間内に是正し、その結果を通知します。

第9条教育

受託者は個人情報取扱従事者（運用責任者を含む）に年1回以上の個人情報保護教育を行い、委託者の要請に応じて実施記録を提出します。委託者は必要に応じて教育内容を提示できます。

第10条本人の権利の保障

1. 最終顧客の閲覧・訂正・削除・取扱停止の請求は委託者が受け付けて処理し、受託者は委託者の要請に応じて支援します。受託者に直接届いた請求は遅滞なく委託者に引き継ぎます。
2. 委託者は管理ページのセッション削除ツールで会話1件を直接削除でき、特定の最終顧客の記録が見つからない場合は受託者に依頼できます。削除範囲と期限は別紙2に従います。

第11条個人情報事故の通知 【法務確認】通知期限・届出の分担

1. 受託者は業務に関する個人情報の紛失・盗難・漏えい（以下「事故」）を知った場合、遅滞なく委託者に通知します。初回通知の目標は認知から24時間以内とし、未確認事項は「確認中」と明記して先に通知します。
2. 通知には事故の経緯、影響を受けた項目・件数（推定を含む）、受託者が講じた措置、委託者に必要な措置、連絡窓口を含め、確認でき次第続報を行います。
3. 本人への通知と韓国個人情報保護委員会・専門機関への届出（韓国「個人情報保護法」第34条）は、個人情報取扱主体である委託者の義務であり、受託者は必要な資料と協力を提供します。本条の契約上の通知約束は、法定届出義務とは別です。
4. 手順の詳細（受付窓口・証拠保全・代表者不在時の代替手順）は運用文書D-5の「事故対応・通知」に従います。

第12条契約終了時の返却・消去

1. 契約終了時、受託者は委託者が求める期限内に会話記録・引き継ぎ受付・使用量台帳をエクスポートファイル（JSON・CSV）で引き渡します。委託者は契約中も管理ページから会話全文をダウンロードできます。
2. 返却後（返却を希望しない場合は終了日から【30】日以内）、受託者は本番環境の原本を削除し、その結果を通知します。バックアップは保持期間（7日）の満了で消滅し、再受託者の保管分と送信済みメールは別紙2の方法で処理します。
3. 法令により保存が必要な取引記録（税金計算書等）は所定の期間分離保管後に消去し、個人情報を含まない使用量集計は会計目的で別紙2の期間保持できます。

第13条国外での取扱い 【法務確認】国外移転の根拠（同法第28条の8）

1. 回答生成のため、相談メッセージ（マスキングしたコピー）とナレッジ資料を別紙1のAI提供事業者（米国等の国外）に送信し、メール送信は国外インフラを経由する場合があります。保存先は大韓民国ソウルリージョンです。
2. 本契約は委託者と受託者間の取扱条件を定めるものであり、最終顧客の個人情報を国外に移転する適法な根拠そのものにはなりません。委託者は自社のプライバシーポリシーに移転項目・国・時期・方法・受領者と連絡先・目的・保有期間・拒否方法と効果を公表するか、必要な同意を取得します。受託者はその文案（AI告知文案セットD-3）を提供します。
3. 使用する根拠（同意・契約履行に必要な委託／保管の公表等）は、委託者が法務確認により決定します。

第14条損害賠償 【法務確認】上限・免責

1. 受託者または再受託者の契約違反により委託者や本人に損害が生じた場合、受託者はその損害を賠償します。
2. 賠償上限は【損害発生月の直前12か月の利用料金／定額○○ KRWのいずれか】とします。ただし、受託者の故意・重大な過失による損害および法令上制限できない責任には上限を適用しません。
3. 委託者が本人に賠償し、その原因が受託者にある場合、委託者は受託者に求償できます。

第15条優先順位・その他

• 個人情報の取扱いに関しては、本契約がサービス利用規約・見積書に優先します。
• 本契約に定めのない事項は韓国「個人情報保護法」等の関係法令に従い、紛争の管轄は利用規約と同じとします。

締結日 【YYYY-MM-DD】

別紙1再受託者（受託者）一覧

締結時点の受託者・再受託者登録簿（D-2）を本別紙に添付します。

別紙2保管・削除表

保管・削除期間は契約時点で以下の表とプライバシーポリシーを確認します。

最終顧客1名単位の削除（委託者の要請）

別紙3学習不使用・無保持に関する確約