Unicorn Intelligence：データ処理契約
改定日：2026 年 10 月 29 日
本データ処理契約（以下「本 DPA」）は、貴社と Unicorn Private LLC（所在地：16192 Coastal Highway, Lewes, Delaware 19958, United States of America、以下「Unicorn Private」）との間の Unicorn Intelligence 利用規約（以下「本規約」）の一部を構成するものです。本 DPA は本規約とともにオンラインで承諾され、自動的に適用されます。別途の署名は必要ありません。
1. 定義
1.1 「管理者」、「処理者」、「個人データ」、「処理」、「データ主体」および「個人データ侵害」は、規則 (EU) 2016/679（以下「GDPR」）に定める意味を有します。
1.2 「適用データ保護法」とは、GDPR、英国 GDPR および 2018 年データ保護法、スイス連邦データ保護法、米国のプライバシー関連法、ならびに当該処理に適用されるその他のデータ保護法をいいます。
1.3 「顧客個人データ」とは、貴社が本サービスにアップロードする個人データ、または本サービスが貴社に代わって処理する個人データであって、別紙 1 に記載されるものをいいます。
1.4 「サブプロセッサー」とは、顧客個人データを処理するために Unicorn Private が起用する第三者をいいます。
1.5 「SCC」とは、欧州委員会実施決定 (EU) 2021/914 により承認された標準契約条項のモジュール 2（管理者から処理者）、および英国からの移転については英国国際データ移転補遺をいいます。
2. 役割
2.1 顧客個人データについて、貴社は管理者であり、Unicorn Private は処理者です。
2.2 貴社のユーザーおよび請求担当者のデータ（氏名、メールアドレス、利用ログ）については、Unicorn Private はそのプライバシー通知に基づき独立した管理者として行動します。
3. 指示
3.1 Unicorn Private は、貴社の文書化された指示に基づいてのみ顧客個人データを処理します。本規約、本 DPA、および貴社による本サービスの設定（アップロードされたリスト、プロファイル、アラート、webhook）が、貴社の完全な指示を構成します。
3.2 Unicorn Private は、ある指示が適用データ保護法に違反すると判断した場合、貴社にその旨を通知します。
3.3 貴社は、取引先をスクリーニングするための法的根拠、およびデータ主体に提供しなければならない情報を含め、処理の適法性について責任を負います。
4. 秘密保持
顧客個人データの処理を認められた者は、秘密保持義務を負います。
5. セキュリティ
5.1 Unicorn Private は、別紙 2 に記載の技術的および組織的措置を講じます。
5.2 Unicorn Private は、全体的なセキュリティ水準を低下させない限り、当該措置を更新することができます。
6. サブプロセッサー
6.1 貴社は、別紙 3 および intel.unicornprivate.com/trust に掲載されたサブプロセッサーの起用について、一般的な承認を与えます。
6.2 Unicorn Private は、変更について少なくとも 30 日前に当該ページで通知します。貴社は、その期間内に、データ保護上の合理的な理由に基づきメールで異議を述べることができます。当事者が異議を解決できない場合、貴社は影響を受けるサービスを終了し、残存期間の前払い金額の返金を受けることができます。
6.3 Unicorn Private は、各サブプロセッサーに対し本 DPA と同等のデータ保護義務を課し、そのサブプロセッサーについて引き続き責任を負います。
7. 国際移転
7.1 顧客個人データは、米国およびサブプロセッサーが事業を行うその他の国において処理される場合があります。
7.2 欧州経済領域、スイスまたは英国から十分性認定のない国への個人データの移転については、SCC が参照により本 DPA に組み込まれ、貴社をデータ輸出者、Unicorn Private をデータ輸入者とします。第 7 条（ドッキング条項）が適用されます。第 9 条については、第 6.2 条の通知期間をもってオプション 2 が適用されます。第 11 条の任意の文言は適用されません。第 17 条および第 18 条については、アイルランドの法律および裁判所が適用されます。本 DPA の別紙 1 から別紙 3 は、SCC の付属書を補完します。
8. 支援
8.1 処理の性質を考慮し、Unicorn Private は、主に本サービスの機能（名前の検索、エクスポートおよび削除）を通じて、データ主体からの請求について貴社を支援します。
8.2 Unicorn Private は、データ保護影響評価および監督機関との協議について貴社を支援するため、合理的な情報を提供します。
9. 個人データ侵害
Unicorn Private は、顧客個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も 72 時間以内に、その時点で入手可能な情報をもって貴社の管理者ユーザーに通知します。
10. 削除および返還
本サービスの終了時、Unicorn Private は、法令が保存を求める場合を除き、30 日以内に顧客個人データを削除します。それ以前に、貴社はダッシュボードおよび API からデータをエクスポートすることができます。
11. 監査
11.1 Unicorn Private は、セキュリティページおよび intel.unicornprivate.com/trust に掲載された記入済みのセキュリティ質問票を含め、本 DPA の遵守を証明するために必要な情報を提供します。
11.2 当該情報では十分でなく、適用データ保護法または監督機関により監査が求められる場合、貴社は、自己の費用負担により、年 1 回を上限として、書面による質問票の方法で監査を実施することができます。
12. 責任および優先順位
12.1 本規約の責任制限は、法令で認められる範囲において本 DPA に適用されます。
12.2 抵触がある場合、SCC が本 DPA に優先し、本 DPA が本規約に優先します。
別紙 1：処理の内容
- 対象および期間： 本規約の期間中の本サービスの提供、および削除のための最大 30 日間。
- 性質および目的： 名前のリストの保存、制裁リスト、政治的要人リスト、破産登記およびニュースとの自動照合、ドシエの作成、アラートおよび webhook、レビュー判断の監査ログ。
- データ主体の類型： 貴社の取引先（顧客、サプライヤー、パートナー、ならびにその取締役、株主および代表者）、および貴社が依頼したドシエに記載される者。
- データの類型： 氏名、別名、提供された場合の生年月日、国、企業識別情報（LEI、登録番号、ウェブサイト）、貴社の社内参照番号、照合結果、レビュー担当者のメモ。
- 特別な類型： 本サービスはいずれも必要としません。制裁または政治的要人の地位に関する情報は、公開された公式の情報源に由来します。貴社は、特別な類型のデータまたは犯罪歴に関するデータをアップロードすべきではありません。
- 頻度： 継続的。
別紙 2：技術的および組織的措置
- TLS 1.2 以上による通信の暗号化、インフラ事業者による保存データの暗号化。
- すべてのクエリにおけるアカウント識別子による各顧客データの論理的分離。
- 使い切りのメールリンクおよびセッションによるダッシュボードへのアクセス。API キー、ログインリンクおよびセッションは SHA-256 ハッシュとしてのみ保存。
- 各顧客アカウント内のロール（管理者およびメンバー）。Unicorn Private の管理アクセスは限定され、秘密トークンにより保護。
- HMAC SHA-256 で署名された webhook。公開の HTTPS エンドポイントのみ受け付け。
- ユーザー、時刻およびメモを伴うレビュー判断の監査ログ。
- インフラのログは限定された期間保存。インフラ事業者によるバックアップ。
- ダッシュボードからの請求による顧客データの削除、および本サービス終了後 30 日以内の削除。
別紙 3：サブプロセッサー
- Cloudflare, Inc.、米国：ホスティング、データベース、ストレージ、メール配信、要約および翻訳のための人工知能モデル。
- Stripe, Inc.、米国：決済および請求書（請求データのみであり、顧客個人データは含みません）。
申し込み時にオンラインで同意。言語間で相違がある場合は英語版が優先します。 English