Cicora事業データおよび一般データ処理規約

2026年九月16日付バージョン。本ページは、ワークスペース、API、その他の法人向け注文を通じてCicoraを利用する組織について、一般的なB2B層を定めます。個別のB2B注文およびデータ処理付属文書が、適用される役割、ルート、監査、期間、移転条件、特別設定を決定します。本規約は、RIZZ TRADEとのB2B契約に明示的に組み込まれている顧客に適用されます。

通常の個人用アカウントについて、RIZZ TRADEは一般に、アカウント、支払い、セキュリティ、サポートに関する処理の目的を独立した管理者として決定し、プライバシーポリシーが適用されます。組織顧客が、その従業員、顧客、その他の個人についてCicoraを通じて提供する個人データのうち、当該顧客が目的および重要な手段を決定するものについては、実際に締結されたB2B契約の範囲内で、以下の「管理当事者である顧客 — 処理者であるRIZZ TRADE」という枠組みが適用されます。

1. 役割、適用範囲、優先順位

本ページにおいて：

• 顧客とは、RIZZ TRADEとCicoraのB2B注文を締結した組織または事業者をいいます。
• 管理主体とは、そのユーザー、従業員、顧客、その他の個人に関する個人データ処理の目的および重要な手段を決定する顧客をいいます。
• 処理者とは、Cicoraを提供するため、顧客の文書化された指示に基づいて顧客の個人データを処理するRIZZ TRADEをいいます。
• 顧客データとは、顧客、その管理者、APIユーザー、またはワークスペース参加者が顧客のためにCicoraへ提供するデータをいい、個人データを含みます。
• 顧客の個人データとは、適用法に基づく個人データに該当する顧客データの部分をいいます。
• 再処理者とは、該当する役割において顧客のために顧客の個人データを処理する目的で、RIZZ TRADEが起用する当事者をいいます。
• 文書化された指示とは、書面による契約／注文、顧客が選択した設定、ワークスペース／API設定、およびRIZZ TRADEが適法かつ技術的に実行できる権限者からのその他の指示をいいます。

個別のB2B注文またはDPAは、それが具体的に規律する事項について本一般ページに優先します。個人データに関する事項については、抵触する範囲でDPAが一般商取引条件に優先します。強行法規は契約に優先します。本ページのいかなる定めも、適用法に基づくデータ主体の権利を排除するものではなく、また、すべての外部提供者を自動的に再処理者とするものでもありません。その役割は、実際のデータフロー、契約および処理目的に従います。

RIZZ TRADEは、自らの契約および製品を管理するために必要な最小限のデータ、すなわち顧客 アカウントの作成・管理、請求・税務、詐欺・違反の防止、インフラ保護、義務的記録の維持、紛争解決、法的請求への防御について、独立した管理者としての地位を維持します。無制限の顧客の指示ではなく、これらの独立した目的にはCicora プライバシーポリシーが適用されます。

2. 指示および許可された目的のみに基づく処理

RIZZ TRADEが処理者として行動する場合、B2B契約、注文、選択された構成および顧客の適法な指示に基づき、Cicoraを提供、支援、保護および運用するためにのみ顧客個人データを処理します。処理には、関連機能に必要な範囲に限り、収集、記録、整理、保存、アクセス、選択ルートへの送信、結果の提示、限定的なキャッシュ、削除／非識別化、技術診断およびセキュリティ措置が含まれる場合があります。

顧客は、その指示が適法で、データ主体に対して透明性があり、第三者の権利を侵害せず、自らの法的根拠に合致し、必要な通知および同意を含むことを確保する責任を負います。顧客は、処理する権利を有するデータのみをCicoraに処理させます。適切な評価、合意、保護なしに、特別な情報、生体認証情報、医療情報、子どもの情報、その他の高リスク情報を秘匿的に移転するためにインターフェースを使用しません。

RIZZ TRADEは、明示的な指示が適用法またはB2B契約に反すると合理的に判断した場合、法令により開示が禁止されている場合を除き、顧客に通知します。強行法規により求められる場合、RIZZ TRADEは顧客の個人データを異なる方法で処理することがあり、法令で許される場合は、その処理前または処理後不当に遅延することなく顧客に通知します。

顧客は権限ある管理者を指定し、その連絡先情報を最新に保ちます。モデル、ルート、保持方法、管理者アクセス、エクスポート、データ種類、国際移転を変更する指示は、当該権限者から発せられ、利用可能な設定または注文に明示的に反映されなければなりません。不明確なメール、一般参加者からの指示、文書化された設定外のリクエストを、管理主体からの指示として実行する必要はありません。

3. 処理の詳細：各B2B注文に必要な処理付属書

各B2B注文には、顧客の個人データに関する事実に即した処理付属書が含まれます。この付属書は、具体的なデータと目的を特定し、「いかなる目的のいかなるデータ」という未定義の範囲には拡張されません。少なくとも、次の事項を含みます：

モデル提供者は、選択された該当ルートを通じてのみ顧客データを受領します。モデルおよびポリシーディレクトリでは、公開されたプロバイダー規約を確認できます。これは、実際の受領者、データ処理、国際移転について顧客と合意した情報に代わるものではありません。非学習、限定保持、または特定地域に関する取決めは、該当する設定またはB2B契約に明示的に含まれる場合に顧客へ適用されます。

公開されているモデル規約ディレクトリは、顧客のB2B注文で合意された実際の処理付属書または受領者登録簿に代わるものではありません。

4. 秘密保持および権限者によるアクセス

RIZZ TRADEは、サービス提供、セキュリティ、サポート、法令遵守またはB2B契約のためにアクセスを必要とする者に限り、顧客個人データの処理を許可します。これらの者は、データの性質に応じ、契約および法令が求める水準を下回らない秘密保持義務を負います。アクセスは、その機能における必要性および比例性に従って構成されます。

顧客も、自らの構成、APIキー、管理者認証情報およびワークスペースへのアクセスを制限します。権限のない者へのキー提供、役割に基づく管理のない共有アカウントの利用、または指示の範囲外での別組織のデータ利用は、RIZZ TRADE自身の行為として責任を負わないリスクを生じさせる場合があります。これは、RIZZ TRADEがシステムを保護し、自らの管理下で確認されたインシデントに対応する義務を免除しません。

秘密情報には、受領者の違反以外の理由で公知となった情報、秘密保持義務なく第三者から適法に取得した情報、秘密情報へアクセスせず独自に開発した情報、または法令により開示しなければならない情報は含まれません。開示が義務付けられる場合、RIZZ TRADEは適法な範囲で顧客へ通知し、必要な範囲に開示を限定します。

5. 再処理者、モデル提供者およびルート変更

RIZZ TRADEは、Cicoraの提供、支援、保護または運用に必要な場合、再処理者を起用することがあります。再処理者が顧客個人データへアクセスする前に、RIZZ TRADEは、秘密保持、セキュリティおよび許可された目的のための処理に関する該当する契約上の義務を適用します。強行法規に別段の定めがない限り、RIZZ TRADEは、B2B契約の範囲で再処理者の義務履行について顧客に対する責任を引き続き負います。

個別のDPA／注文には、重要な再処理者およびモデルルートの最新登録簿の取得方法が記載されます。登録簿には、記録日時点で確認済みの、受領者／区分、機能、ルートのステータス、ならびに開示が必要な場合の国／移転に関する情報が含まれます。登録簿は、顧客の製品、モデル、設定によって決まります。

B2B契約が、新たな重要な再処理者について顧客への通知または合理的な異議申立権を定める場合、その契約には、連絡方法、期間、必要な理由、代替案、技術的に許容される解決策がない場合の帰結が定められます。この権利は、法令、セキュリティ、プロバイダーの提供状況、製品の範囲内で行使されます。個別のB2B契約がその権利を定めていない場合、ルート変更には一般規約および適用法が適用されます。

顧客個人データの条件を重大に変更するモデルまたはルートの変更は、構成変更として扱われます。RIZZ TRADEは契約の範囲で権限ある顧客にこれを開示し、法令、注文または合意済み設定で必要な場合、利用前に必要な確認／操作を取得します。自動フォールバックは、合意済みのデータ制限を回避するために使用されません。

6. セキュリティおよび個人データインシデント

RIZZ TRADEは、実際の顧客個人データ処理のリスクに応じた措置を適用します。B2B付属文書には、適用される組織的および技術的措置の確認済みの一式が含まれます。認証、特定のアルゴリズム、監査、インフラ所在国、復旧時間または独立評価は、B2B契約または付属文書に明示された場合に限り、RIZZ TRADEの義務に含まれます。

RIZZ TRADEが自らの管理下にある個人データインシデントを認識した場合、その影響を封じ込め、調査し、軽減するための合理的措置を講じます。インシデントが顧客個人データに影響し、法令またはB2B契約により通知が必要な場合、RIZZ TRADEは十分な初期情報を得た後、不当な遅延なく顧客に通知します。通知には、その時点で判明している事象の性質、影響を受ける区分／システム、実施済みまたは予定される措置および追加連絡の窓口に関する情報を含めます。調査の進展に応じて情報を補足できます。

法令がRIZZ TRADEに別の義務を直接課す場合を除き、顧客は、管理主体としてデータ主体または監督当局への通知が必要かを判断します。RIZZ TRADEは、利用可能な情報、実際の製品、契約の範囲内で合理的な支援を提供します。通知時期は、適用法、B2B契約、合意済みのインシデント対応手続によって決まります。

7. データ主体からのリクエスト、公的機関、協力

顧客が管理主体として責任を負う顧客の個人データについて、RIZZ TRADEがデータ主体からリクエストを受領した場合、RIZZ TRADEは可能な範囲で顧客へ転送するか、データ主体に顧客への連絡を案内します。RIZZ TRADEは、B2B契約、利用可能な情報、法令の範囲内で合理的な支援を提供します。RIZZ TRADEは、他人のデータ、顧客の秘密情報、セキュリティ措置、法令で保護される情報を開示しないよう、回答を制限します。

顧客の合理的な求めに応じ、RIZZ TRADEは、実際に提供するサービスに関連する場合、データ保護影響評価、当局との協議その他の管理主体の義務について比例的な支援を提供することがあります。範囲、費用、時期および許容される資料は、B2B契約、リクエストの性質およびセキュリティに従います。この支援によって、RIZZ TRADEが顧客の法律顧問になることはありません。

公的機関による適法な要請について、RIZZ TRADEはその権限の範囲内で評価し、必要な情報のみを開示します。契約および法令で許される場合、RIZZ TRADEは開示前または開示後速やかに顧客へ通知します。通知が禁止されている場合、調査を妨げ、リスクを生じさせ、または法的義務に違反するおそれがある場合は、通知を遅延または省略することがあります。

8. コンプライアンス情報および監査

顧客は、合意済みB2B層の履行確認に合理的に必要な情報を請求できます。RIZZ TRADEは、秘密保持、セキュリティ、他の顧客の権利、利用可能な証拠および処理の性質を考慮してリクエストを検討します。実際に存在し目的に十分である場合、利用可能な文書、質問票への回答、措置の概要または独立した証拠を監査の代替とすることができます。

現地監査またはリモート監査は、B2B契約に明示的に定められ、かつ範囲、期間、監査人の独立性、秘密保持、システム保護、頻度、費用が合意されている場合に実施されます。監査によって、インフラ、ソースコード、キー、他の顧客のデータ、モデル提供者のセキュリティ、または開示すると秘密保持、セキュリティ、第三者の権利、法令に違反するその他の資料へアクセスできるものではありません。

9. B2B注文の返却、削除、終了

B2B注文の終了時、技術的に可能で、第三者の権利、セキュリティ、法令、提供者の規約に違反しない場合、顧客には、利用可能な形式で顧客データの返却またはエクスポートを求める合理的な機会が与えられます。B2B注文または処理に関する付属文書には、このリクエストの期間、形式、費用、範囲、連絡先が記載されます。

該当する返却／エクスポート期間の終了後、RIZZ TRADEは、法令、セキュリティ、紛争、会計、権利の防御、または契約により限定保持が求められる場合を除き、自らの役割の範囲内で顧客の個人データを削除または非識別化します。バックアップおよび隔離コピーは実際のサイクルを通じて消去され、通常利用へ戻らず、独立した根拠なく復元されたワークスペースへのアクセスを提供しません。モデル提供者は独自の契約条件に基づいてデータを保持することがあり、関連経路および利用可能な支援は登録簿／付属文書に記載されます。

返却および削除は、B2B注文、実際の製品、バックアップサイクルおよび適用法の基準に従います。特別な期間、データ所在地、保持ロック、破棄証明書または個別エクスポートは、処理前に合意し付属文書に記載された場合に適用されます。

10. 国際移転

国際移転制限の対象となる顧客の個人データについて、当事者はまず、輸出者、輸入者、役割、国、データ区分、受領者、モデルルート、適用法という実際の流れを特定します。その後、必要な場合は個別の付属文書を締結し、またはその他の認められた仕組みを使用します。これには、EEA、英国、スイス、その他の地域に関する契約条件が含まれる場合がありますが、必要な当事者、別紙、情報がすべて揃った後に限ります。

個別の国際移転付属文書は、適用される仕組みならびに当事者、ルートおよびデータに関する必要情報が確定した後、B2B契約の一部となります。一般プライバシーポリシーは公示として機能します。特定単一国での処理保証、SCC、UK Addendumその他の移転の仕組みは、個別付属文書に明示された場合に限り適用されます。

11. 責任、変更、他規約との関係

データ処理義務および救済手段は、B2B契約および強行法規の範囲内で適用されます。責任制限、補償、秘密保持義務および紛争手続は、B2B契約で明示的に定める範囲で適用されます。法令で認められない場合、B2B上の制限は消費者に適用されず、放棄できないデータ主体の権利も制限しません。

RIZZ TRADEは、法令、製品、実際の再処理者、またはセキュリティ要件が変更された場合、一般的なB2B層を更新することがあります。重大な変更は、顧客と合意した通知および将来効の手続に基づいて適用され、すでに合意済みのルート、処理付属文書、強行法規上の権利を遡及的に変更しません。組織に関するお問い合わせはsupport@cicora.aiへ送付できます。B2B注文で別の業務連絡先を指定できます。

付録：処理付属書の最低様式

特定のB2B注文について、次の様式に現行情報を記入します：