法務
データ処理契約(DPA)
最終更新 2026年7月14日
本DPAは、Cortex が GDPR、UK GDPR、CCPA/CPRA または類似の法令に基づく処理者として、顧客に代わって個人データを処理する場合に適用されます。本DPAは、Cortex と顧客との間の契約の一部を構成します。
01役割と適用範囲
顧客が管理者(または管理者のために行動する処理者)であり、Cortex は処理者です。処理は、契約および顧客の文書化された指示に従ってプラットフォームを提供する範囲に限定されます — 顧客が製品内で設定するガバナンス構成も、これに含まれます。
02処理に関する指示
Cortex は、法令上要求される場合(その場合、禁止されていない限り Cortex は顧客に通知します)を除き、移転を含め、文書化された指示に基づいてのみ個人データを処理します。製品内の設定 — ポリシー、保持期間、データ所在地、コネクタのスコープ — は、指示を構成します。
03秘密保持と人員
顧客データにアクセスする人員は秘密保持義務を負い、アクセスは最小権限で、記録され、レビューされます。本番環境へのアクセスはゲートを通じて制御され、製品が公開しているのと同じ監査基盤に記録されます。
04セキュリティ対策
転送中および保存時の暗号化、(tenantId, id) をキーとするテナント単位の論理分離、プロパティ単位のアクセス制御、ツール呼び出しに対するDLPスクリーニング、改ざん検知可能な監査台帳、ランタイムに対する継続的なレッドチーミング、そしてすべての実行に適用されるフェイルクローズドなガバナンスゲートの連鎖。
05副処理者
顧客は、副処理者一覧(/legal/subprocessors)に記載された副処理者を承認します。Cortex は副処理者の追加前に30日前の通知を行い、顧客は合理的なデータ保護上の理由により異議を申し立てることができます。副処理者は、本DPAと同等以上に保護的な条件に拘束されます。
06学習への不使用
Cortex も、そのモデル副処理者も、顧客の個人データをモデルの学習または改善に使用しません。モデル呼び出しは推論のみです。
07データ主体からの請求と支援
Cortex は、受領したデータ主体からの請求を顧客へ転送し、DSAR、DPIA、当局との協議について、監査および来歴のツールを含む合理的な支援を提供します。
08越境移転
個人データが EEA / 英国の外へ移転される場合、移転は十分性認定または標準契約条項(SCC)に依拠します。VPC およびエアギャップ構成の導入では、データは顧客が選択した境界の内側に留まります。
09侵害通知、削除、監査
Cortex は、個人データ侵害を認識した後、不当な遅滞なく顧客に通知します。解約時、データは契約に従って削除または返却されます(既定:30日間のエクスポート期間)。顧客は、当社のドキュメント、第三者による報告書、および Enterprise プランの場合はセキュリティレビュー・コンシェルジュを通じて、遵守状況を監査できます。
本文書に関するお問い合わせ: legal@cortexrizi.com · Trust Center もあわせてご覧ください