データ処理契約

1. 当事者および同意

本データ処理契約（DPA）は、登記住所を71–75 Shelton Street, Covent Garden, London, United Kingdom, WC2H 9JQとするSIMILIA LTD（以下「Similia」）と、電子的な承諾記録に記載された施術者、クリニック、またはその他の組織（以下「顧客」）との間で締結されます。

承諾する個人は、顧客を法的に拘束する権限を有することを確認します。施術者が別個の法人を通さず個人として業務を行う場合、当該施術者が顧客となります。承諾記録には、顧客、代理人、認証済みアカウント、承諾されたDPAのバージョンおよび別紙、ならびに承諾日が記載されます。Similiaは、その記録および合意された文書の写しを提供します。

顧客が患者データの有効化手続きを通じてSimiliaによる本DPAの申込みを承諾した時点で、両当事者はこれに拘束されます。本DPAはサービス契約の一部となり、以下に記載する処理を対象とします。患者または症例ごとに再度承諾する必要はありません。承諾は、記録に記載されたアカウントを通じた、指定された顧客による利用を対象とします。他のアカウント保有者は自動的には対象となりません。別の顧客には、それぞれ独自の契約が必要です。

2. 適用範囲および役割

「顧客患者データ」とは、患者およびその記録内で言及される人物について、顧客により、または顧客のために提出された個人情報と、それに由来する識別可能な情報をいいます。これには、健康に関する記録、症状、病歴、連絡先情報、写真、録音、文字起こしおよび分析結果が含まれます。コードまたは合理的に利用可能なその他の情報を通じて患者に関連付けられる情報も、引き続き対象となります。

顧客は本処理の目的を決定し、管理者として行動します。Similiaは、顧客に代わる処理者として顧客患者データを処理します。処理の詳細は別紙Aに記載されています。

顧客自身が別の管理者のために処理者として行動する場合、本DPAは顧客の再処理者であるSimiliaに適用されます。顧客は、Similiaを任命し、本DPAに定める指示および許可を与える権限を当該管理者から得ていなければなりません。管理者の義務への言及は、顧客の責任および正式に承認された指示の範囲内で顧客に適用されます。

Similiaが独自の目的のために行うアカウント、請求および事業管理情報の個別の処理については、プライバシーポリシーに記載されています。当該役割は、Similiaが顧客患者データを独自の目的で利用することを許可するものではありません。本DPAは、参考資料の閲覧、または完全に架空の、もしくは実質的に匿名化された学習資料には適用されませんが、通常のアカウントに関するプライバシー義務は引き続き適用されます。

「適用データ保護法」とは、該当する当事者および処理に適用される個人データ関連法をいい、該当する場合には英国GDPR、英国2018年データ保護法およびEU GDPRが含まれます。この共通DPAを国際的に使用することだけをもって、すべての顧客がEUまたは英国のGDPRの適用対象となるわけではありません。

3. 指示および許可された利用

Similiaは、移転に関する指示を含め、文書化された顧客の指示に従ってのみ顧客患者データを処理します。サービス契約、本DPA、選択された機能、およびサービス内で許可された操作が、これらの指示を構成します。追加の指示は、書面により合意することができます。

Similiaは、その見解において、指示が適用される英国、EU、または加盟国のデータ保護法に違反する場合、直ちに顧客に通知し、問題が解決されるまで該当する指示の実行を停止します。

適用される英国、EU、または加盟国の法律により、これらの指示を超える処理が義務付けられている場合、Similiaは、重要な公益上の理由により当該法律が通知を禁止している場合を除き、処理前に顧客へ通知します。その他の政府機関からの要求は、適用法および移転に関する保護措置に基づいて評価されるものとし、本DPAの一般的な例外を構成するものではありません。

顧客患者データは、販売、広告への利用、またはAIモデルの学習もしくはファインチューニングには使用されません。Similiaは、復処理者がこれらの目的で当該データを使用することを許可しません。AIによる処理は、許可された機能、ならびに別紙Cに開示されたプロバイダー、目的、および保持に関する取り決めに限定されます。本条項は、すべてのプロバイダーによる保持が一切ないことを保証するものではありません。

4. 顧客の責任

顧客は、顧客患者データの適法な収集、利用および開示、患者への適切な通知、データの最小化、ならびに許可されたアクセスおよび共有について責任を負います。該当する場合、顧客は健康情報について第6条に基づく適法な根拠および第9条に基づく条件を特定し、関連する守秘義務および国内法上の要件を満たさなければなりません。

同意が必要な場合、顧客は同意を取得しなければなりません。本DPAへの同意またはAI機能の有効化は、患者本人による同意ではありません。学生が患者情報を使用する場合、責任を負う診療所または機関から付与された権限の範囲内で行動しなければなりません。学生アカウントを保有しているだけでは、そのような権限は付与されません。

これらの責任は、Similia自身の法的または契約上の義務を免除するものではありません。

5. 機密保持およびセキュリティ

Similiaは、合意された処理のためにアクセスを必要とし、かつ契約上または法令上の守秘義務を負う担当者にのみアクセスを制限します。

Similiaは、別紙Bに定めるとおり、健康情報の機微性を含むリスクに応じた適切な技術的および組織的措置を維持します。これらの措置は、アクセス制御、暗号化、回復力および復旧、インシデント対応、ならびに保護措置の定期的な評価に対応するものです。重大な変更によって、合意された保護水準が低下することはありません。

6. 復処理者

顧客は、別紙Cに記載された再処理者が、その開示要件に従って指定された処理を行うことについて、包括的な書面による許可を与えます。Similiaは、追加または交代の提案について、その影響を評価するために十分な情報とともに、少なくとも30日前までに書面で通知します。

顧客は、その期間中、合理的なデータ保護上の理由に基づいて異議を申し立てることができます。両当事者は、代替手段または適切な保護措置を検討します。適時に申し立てられた異議が解決されていない間、提案された再処理者が当該顧客のデータを受領することはありません。解決策がない場合、いずれの当事者も、影響を受ける機能またはサービスを終了できます。顧客は自己のデータを取得し、終了したサービスについて未使用の前払料金の比例按分による返金を受けることができます。

Similiaは、拘束力のある契約を通じて、各再処理者に同等の関連するデータ保護義務を課し、再処理者の業務遂行について顧客に対する責任を引き続き負います。AIルーティングは、開示されていない下流のプロバイダーに対する包括的な許可を与えるものではありません。

7. 国際的な処理

Similiaは、影響を受ける処理が開始される前に、関連する処理国およびアクセス元の国、ならびに適用される移転の取決めを別紙Cに基づいて開示します。保護措置を必要とする移転が行われる前に、責任を負う当事者は、必要な仕組みならびに必要な評価および補完的措置を整備します。Similiaは、自ら開始する再処理者への移転について引き続き責任を負います。

該当する場合、保護措置には、有効な十分性認定、締結済みのEUデータ移転標準契約条項、または適用可能な英国の国際データ移転文書が含まれる場合があります。これらは実際の移転および当事者を対象としていなければならず、本DPAだけでは欠けている移転条項を補うことはできません。他国からのリモートアクセスについても考慮する必要があります。

8. 支援およびインシデント

処理の性質を考慮し、Similiaは、顧客がアクセス、訂正、消去、処理の制限、データポータビリティ、およびその他の適用される個人の権利に関する請求に対応できるよう、適切な支援を提供します。Similiaは、顧客患者データに関する患者からの請求を不当な遅滞なく顧客に転送し、指示を受けた場合または法律上要求される場合を除き、独自に判断または対応することはありません。

Similiaは、利用可能な情報を考慮し、セキュリティ義務、侵害の評価および通知、データ保護影響評価、ならびに規制当局との必要な事前協議に関して支援します。

Similiaは、顧客患者データに影響を及ぼす個人データ侵害を認識した後、不当な遅滞なく顧客に通知します。最初の通知は、完全な調査の完了を待たずに行われます。入手可能な情報には、インシデントの性質、影響を受けるデータおよび個人、予想される結果、対応措置、ならびに連絡窓口が含まれます。追加情報は、入手可能になり次第提供されます。Similiaの直接的な義務に影響を与えることなく、顧客は自己の通知に関する判断および期限について引き続き責任を負います。

顧客への通知には、承諾記録に記載されたプライバシー連絡先、または書面で通知された代替の連絡先を使用します。データ保護に関する請求、インシデント報告、およびSimiliaへの通知は、info@similia.io宛てに送付してください。Similiaはこの連絡先を監視し、請求を担当者に振り分けます。

9. 返却、削除および期間

本DPAは、サービス終了後に残存する保護対象の複製を含め、Similiaが顧客のために顧客患者データを処理している期間中、引き続き有効です。

関連する処理サービスの終了時に、顧客は、顧客患者データについて、返却後の削除または削除のみのいずれかを選択できます。適用される英国、EU、または加盟国の法律により保存が義務付けられている場合を除き、Similiaは既存の複製を削除します。エクスポート、削除、および残存する複製の取扱いは、別紙Bに従います。

残存する複製は引き続き保護され、通常のサービス利用には供されず、次回の該当する予定削除サイクルで削除されます。復旧のためにバックアップが復元された場合、完了済みの削除指示は、復元されたデータが通常利用に戻る前に再適用されます。Similiaは、請求に応じて完了の確認を提供します。

患者に関する情報は、一般的なサービス改善、共有コンテンツ、または匿名化を理由とする例外に基づいて保持されることはありません。異なる処理目的には、それぞれ有効な法的および契約上の根拠が必要です。

10. 説明責任、監査および変更

Similiaは、処理者としての義務の遵守を証明するために必要な情報を提供し、権限を付与された独立監査人による検査を含む顧客監査を許可し、これに協力します。十分である場合は、関連する報告書およびリモートでの証拠を先に使用できます。ただし、これらによって、必要な場合に検査を行う権利が失われることはありません。合理的な取決めにより、効果的な監督または規制当局の活動を妨げることなく、他の顧客のデータおよびサービスのセキュリティを保護しなければなりません。

本DPAと、顧客患者データに関する一般条件との間に矛盾がある場合、本DPAが優先します。適用される強行的な移転条項は、これと一致しない規定に優先します。いかなる内容も、法定の責任または個人の権利を制限するものではありません。

本DPAの変更が効力を生じるには、事前に直接通知し、有効な合意の仕組みを経る必要があります。公開ページを単に差し替えるだけでは不十分です。再処理者の変更には第6条が適用されます。本DPAはイングランドおよびウェールズの法律に準拠し、その裁判所が管轄権を有します。ただし、強行的なデータ保護法、個人の法定権利、および移転条項の要件に従うものとします。承諾された言語版およびその別紙は、承諾記録に保存されます。

別紙A — 処理の説明

別紙B — セキュリティおよび保持

Similiaは、顧客患者データについて以下の措置を実施し、維持します。これらの義務は、Similia自身のシステム、および適切な契約上・技術上の管理を通じてSimiliaが利用するサービスに適用されます。

有効な記録および返却。 顧客が削除を指示するか、関連する処理が終了するまで、顧客がサービスを利用している間、記録は引き続き利用できます。顧客は、利用可能な機械可読形式でアカウントデータをエクスポートし、保持されている添付ファイルを取得できます。Similiaは、エクスポートツールでは対応できない返却請求を支援します。契約終了時に、顧客が即時削除を指示した場合または法律により返却が禁じられている場合を除き、Similiaはデータを削除する前に、顧客がデータを受領するための合理的な機会を提供します。

削除。 認証済みの記録またはアカウントの削除操作は、影響を受けるデータを有効なサービス利用から削除するようSimiliaに指示するものです。Similiaは、有効なシステムから不当な遅滞なく削除を完了し、関連する再処理者にその指示を伝達します。削除されたGoogle Cloud Storageオブジェクトは、制限された論理削除ストレージに最大7日間残る場合があります。この期間はそれらのオブジェクトに関するものであり、すべてのシステムの保持期間を示すものではありません。

残存する複製。 直ちに選択的に消去できないバックアップ、災害復旧用の複製、およびプロバイダーのセキュリティ記録は、通常利用の対象外とし、引き続き保護したうえで、次回の該当する削除サイクルにおいて可能な限り速やかに消去しなければなりません。Similiaは、適用される各保持期間を文書化し、その詳細を顧客が利用できるようにするとともに、遅延が必要かつ相応であることを確保します。Similiaは、請求に応じて削除を確認します。法律で義務付けられた保存は、法律で求められるデータおよび期間に限定され、法律で禁止されている場合を除き、その理由が開示されます。

音声、画像、およびAI。 選択された機能に必要なコンテンツのみを転送できます。事前録音されたプルービング音声は一時的なものであり、文字起こし後に有効なストレージから削除されます。削除されたストレージオブジェクトには、上記の論理削除の取扱いが適用されます。保存された文字起こし、画像、および分析結果には、顧客の記録に関する指示が適用されます。プロバイダー側でのセキュリティ上または運用上の保持は、必要最小限に限定して開示し、再処理者の義務の対象としなければなりません。本DPAは、学習または無関係な再利用を許可するものではなく、普遍的なゼロ保持を保証するものでもありません。

別紙C — サービスプロバイダーおよび処理

顧客は、第6条に基づき、Similiaが以下の範囲内でサービスプロバイダーを起用することについて、一般的な書面による承認を与えます。これは、開示されていない処理委託連鎖を承認するものではありません。サービスが顧客患者データを受領する前に、Similiaは、そのサービスについて、契約当事者となる法人の正式名称および連絡先、目的、処理およびアクセスが行われる国、適用される保持に関する取決め、ならびに必要な移転保護措置を顧客に通知します。Similiaは、再委託先を含む処理委託連鎖についてこの情報を維持し、容易に確認できるようにします。変更には第6条が適用されます。

任意機能の使用は、その機能を提供するために必要な処理についての指示となります。これは、追加の目的に対する権限を付与するものではありません。顧客が本DPAに同意したという理由だけで、Similiaが顧客患者データを任意のAIサービスまたは文字起こしサービスに送信することはありません。

ホスティング、モデル処理、および承認されたサポートアクセスには、国際移転が伴う場合があります。プロバイダーのブランド名またはデータベースの所在地によって、すべての処理業務が行われる場所が確定するわけではありません。Similiaは、第7条で要求されるとおり、移転前に実際の所在地および再委託先による処理を開示し、それらを適法に保護しなければなりません。

Similiaのデータ保護に関する連絡先はinfo@similia.ioです。顧客の正式な法人名、住所、国、権限を付与された代表者、およびプライバシーに関する連絡先は、承諾時に記録されます。その記録に患者の詳細情報を含めてはなりません。