本データ処理契約(以下「DPA」)は、RENVAR INC(以下「Elai」「処理者」)と、自社のエンドユーザーまたは従業員に代わってAIエージェント、デジタル従業員、または物理ロボットの群を管理するためにElai Marketplaceを利用する事業者または企業の顧客(以下「顧客」「管理者」)との間の契約の一部を構成します。本DPAは、顧客が管理者として行動し、Elaiが顧客の代わりにその指示に従って個人データを処理する場合に適用されます。
1. 役割
顧客が自社のユーザーに代わって本プラットフォームに、または本プラットフォームを通じて送信する個人データ(例:インストール済みのエージェントに送信されるタスク入力、またはその従業員のインストールに関する記録)については、顧客が管理者であり、Elaiが処理者です。Elaiと顧客との間のElai自身のアカウント・請求関係については、Elaiは独立した管理者として行動します — 当社のプライバシーポリシーをご参照ください。
2. 対象事項および期間
処理は、顧客の有効なサブスクリプションの期間中に本プラットフォームを通じて送信される個人データ、および第7条に記載する終了後の保持期間を対象とします。
3. 処理の性質および目的
- 顧客に代わって、エージェントのインストール、支出上限、およびAgent Passportsを運用すること。
- エージェントの出力を生成するために、本プラットフォームのAI Gatewayを介して、構成されたAIモデルプロバイダーにタスク入力をルーティングすること。
- 顧客のアカウントの下で行われた操作の監査ログを維持すること。
- 請求および利用状況の計測。
4. 副処理者
Elaiは現在、以下の指名された副処理者を利用しています。
- Stripe(米国) — 支払カードの処理および保存されたカードの保管。
- YooKassa(ロシア) — ロシア・ルーブル建て取引の決済処理。
- SendGrid(米国) — トランザクションメールの配信(アカウント、注文、および紛争に関する通知)。
- Twilio(米国) — SMSの配信。SMS通知にオプトインしたユーザーに限ります。
- Sentry(米国) — アプリケーションのエラーおよびクラッシュの監視。クラッシュレポートにアカウント識別子またはメールアドレスが付随的に取り込まれる場合があります。
- AIモデルプロバイダー(例:OpenAI)。ElaiのセルフホスティングされたAI Gatewayを通じてアクセスされ、エージェントの出力を生成するために、顧客のインストール済みエージェントが呼び出される際のタスクテキストを受け取ります。Elaiはアカウントの認証情報や支払情報をモデルプロバイダーに送信しません。
この一覧は、特定のデプロイメントで有効化された統合を反映したものです。特定のプロバイダーの認証情報を構成していないデプロイメント運用者は、その副処理者を利用していません。新たな副処理者のカテゴリーを追加した場合、この一覧を更新します。
5. セキュリティ対策
Elaiは以下の技術的および組織的対策を維持しています。
- パスワードはソルト付きのscrypt導出でハッシュ化されます。Elaiがパスワードを平文で保存することは一切ありません。
- ワンタイムのバックアップコードを備えた任意の二要素認証(TOTP)。
- 認証済みのすべてのAPIルートで適用されるロールベースのアクセス制御(購入者/開発者/管理者のロール)に加え、AIエージェントのインストール向けに構成可能な支出上限を備えた、スコープ限定のAPI認証情報(Agent Passports)。
- アカウント操作および管理操作の実行者、操作、および結果を記録する、追記専用の監査ログ。
- 認証およびAPIのエンドポイントにおけるレート制限。利用可能な場合はRedisによって支えられます。
- 本プラットフォームへのすべてのトラフィックに対する転送中のTLS暗号化(Let's Encryptを介して自動的にプロビジョニングされます)。
- 既知のプロンプトインジェクションおよび悪意あるコマンドのパターンについての、出品内容の自動コンテンツスキャン。
- データエクスポートおよびアカウント削除のためのセルフサービスツール(当社のプライバシーポリシーをご参照ください)。
Elaiは現在、アプリケーションレベルで保存データを暗号化しておらず、第三者によるセキュリティ認証(例:SOC 2、ISO 27001)を取得していません。いずれかが貴社のユースケースにとって重要である場合は、その目的で本プラットフォームに依拠する前に、第10条の連絡先を用いて当社にご連絡ください。
6. 国際的な移転
本プラットフォームは、ホスティングの地域がデプロイメント運用者によって選択され、本契約において特定の国またはクラウドの地域に固定されていない、セルフホスティングされたサーバー上で稼働します。ここでは固定の移転経路が確約されていないため、Elaiは現在、正式な越境移転メカニズム(標準契約条項など)に依拠していません。本プラットフォームのご利用にあたり、データが特定の法域内にとどまること、または当該法域に固有の特定の保護措置の下で移転されることが必要な場合は、その要件について本プラットフォームに依拠する前に、第10条の連絡先を用いて当社にご連絡ください。
7. データの削除および返却
顧客のサブスクリプションの終了時に、Elaiは、顧客の要求に応じて、法令により求められる保持を条件として、顧客に代わって処理した個人データを削除または返却します。
8. データ主体の要求への支援
Elaiは、本DPAに基づいて処理される個人データに関するデータ主体の要求(アクセス、訂正、削除、ポータビリティ)への対応において、顧客に合理的な支援を提供します。
9. 監査権
合理的な書面による要求があった場合、12か月の期間につき1回を超えない範囲で、ElaiはElaiの本DPAへの遵守を確認するために合理的に必要なセキュリティおよび処理に関する情報(例:第5条の対策の書面による説明)を顧客に提供します。Elaiは現在、直接の監査に代えて提供できる第三者によるセキュリティ認証を保有しておらず、現時点でオンサイト監査は提供していません。
10. 連絡先
データ処理/DPAに関するお問い合わせ: renvar.inc@gmail.com。