ウェイトリストに登録

データ処理契約(DPA)

この翻訳は便宜上提供されています。英語版が法的に拘束力を持ちます。

英語版を表示

バージョン 1.1 · 最終更新日:2026年11月10日 · 施行日:2026年11月10日

本データ処理契約(以下「本DPA」といいます)は、Jacopo Di Loreto(AFTERTOUCH LABS DI DI LORETO JACOPO)、所在地:Via Europa 18, 66020 San Giovanni Teatino (CH)、イタリア、付加価値税番号:IT02882890698(以下「処理者」、「当社」といいます)と、自らの利用者のためにLIAを利用する事業者である顧客、たとえば学校、スタジオ、レーベル(以下「管理者」、「お客様」といいます)との間の利用規約の一部を構成するものです。本DPAは、管理者が欧州経済領域(EEA)、英国またはスイスに設立されている場合、またはGDPRが管理者の処理に適用される場合に適用されます。LIAを自分自身のために利用する方については、当社が個人データの管理者となり、当社のプライバシーポリシーが適用されます。日本に所在する管理者については、APPI(個人情報の保護に関する法律)に基づく追加の規定が適用されます。

1. 定義

本DPAで使用される用語は、欧州連合一般データ保護規則(EU)2016/679(以下「GDPR」といいます)に定められた意味を有するものとします。「個人データ」とは、識別された自然人または識別可能な自然人に関するすべての情報を意味します。日本のお客様については、「個人情報」(APPIで定義)も含まれます。

2. 対象および期間

処理者は、利用規約に記載されたLIAサービスを提供するためにのみ、管理者に代わって個人データを処理します。本DPAは、サービス契約の期間中、および契約終了後に続く保存期間中(§11)、効力を維持します。

3. 処理の性質および目的

処理は、LIAサービスの提供に必要な業務に限定されます:

  • アカウントの管理:ログイン、プラン、決済
  • チャット(書かれたもの、音声入力されたもの、Talk Modeで話されたもの)と、AIプロバイダーによるその処理
  • LIAアプリとLIA Bridgeを通じた、開いているAbleton Liveのセットとインストールされたプラグインの一覧の読み取り、および依頼された作業のLiveへの書き込み
  • チャットのメモリ、作業記録、プランの利用量、ボイスの利用時間(分)、音声入力の利用時間(秒)
  • コミュニティとサポート
  • セキュリティ、エラーの監視、バックアップ

4. 個人データおよび本人の区分

本人の区分:管理者がLIAの利用を認めた利用者(たとえば学生、スタッフ、音楽家、業務委託先)。

個人データの区分:メールアドレス、および利用者が他のアカウントでログインする場合は、そのサービスから当社に渡される識別子、氏名、ユーザー名、プロフィール画像。認証プロバイダーが一方向ハッシュとしてのみ保存するパスワード。プロフィール名と設定で選んだ名前。プラン、サブスクリプション、引き換えたコード、決済のメタデータ(カード情報を含まない)、契約の撤回の申し出と使用したパートナーのコード(ある場合)、および決済プロバイダーからの通知に含まれる氏名、メールアドレス、請求先住所。利用者がアプリで利用規約とプライバシーポリシーに同意した場合やプランをすぐに開始するよう求めた場合は、その同意または要請の記録。チャットのメッセージ(Talk Modeの通話のテキストと、利用者が送信した音声入力のメッセージを含む)。Liveのセットから読み取ったデータ(テンポ、キー、トラックとその名前、デバイスとそのパラメーター、ミキサーとレベル、クリップとそのMIDIノート、ロケーター、プリセットの名前)とプラグインの一覧。チャットのメモリ、作業記録、利用量のカウンター(ボイスの利用時間と音声入力の利用時間を含む)。コミュニティの投稿、コメント、投票、報告、制裁。サポートのメッセージとスクリーンショット。通知設定と「チャットをLIAの改善に使う」の許可。アプリのバージョン、システム、言語などの技術データ、エラー、モデル呼び出しの技術トレース。アカウントに紐づくウェブサイトとメールの統計(閲覧したページ。メールの配信、開封、クリック)。IPアドレス(国、ブラウザーまたはアプリのバージョンとともに、サーバーのアクセスログでは約30日間、ログインとセキュリティの記録では12か月間、完全な形で保存)。処理者は音声を一切保存しません。Talk Modeの音声はアプリから音声プロバイダーに直接送られ、音声入力の音声は、テキストに変換するためにのみLIAのサーバーを経由します。

本サービスは、特別な種類の個人データ(GDPR第9条)を扱うことを想定していません。管理者は、利用者にそのようなデータをLIAに入力するよう求めてはなりません。

5. 処理者の義務

  1. 個人データを、管理者の文書化された指示にのみ基づいて処理すること(第三国への移転を含む)(GDPR第28条3項a)。利用規約、本DPA、および管理者がアプリで使う設定が、管理者の指示となります。
  2. 個人データを処理する権限を有する者が、守秘義務を負うようにすること。
  3. 適切な技術的および組織的安全管理措置を実施すること(GDPR第32条): §9参照。
  4. 管理者の書面による一般的承認がある場合にのみ、再委託先を関与させること(§8参照)。
  5. 処理の性質を考慮して、本人からの請求への対応(GDPR第15条〜第22条)、およびGDPR第32条〜第36条の義務の履行について、管理者を支援すること。
  6. 個人データの侵害が発生した場合、不当な遅延なく管理者に通知すること(GDPR第33条): §10参照。
  7. 管理者の選択により、サービス終了時にすべての個人データを削除または返却すること(GDPR第28条3項g)。§11参照。
  8. GDPR第28条の遵守を実証するために必要な情報を提供し、監査を受け入れること。監査は、合理的な事前通知のうえ、営業時間内に、他の顧客のデータにアクセスすることなく行われます(GDPR第28条3項h)。

6. 管理者の義務

管理者は、本DPAに基づいて処理される個人データについて法的根拠(GDPR第6条)を有していること、GDPR第13条・第14条に従って本人に通知していること、および利用者が16歳未満の場合は、LIAへのアクセスを認める前に保護者の同意を得ていることを確認します。日本のお客様については、APPI第18条(利用目的の明示)および第28条(国外移転に関する同意取得)についても遵守する責任があります。

7. 個人データの処理場所および国際的移転

LIAのサーバーはドイツにある賃借の仮想サーバー(Hostinger)で稼働し、データベースと認証はSupabaseの欧州連合リージョンにあります。一部の再委託先は、EEA外でデータを処理します。特に、AIプロバイダー(OpenAI、米国)です。日本のお客様については、APPI第28条に基づき、外国にある第三者への移転についてご利用前に本人の同意を取得します。これらの移転は、以下に従って規制されます:

  • EU-US Data Privacy Framework(DPF):受領者が認証されている場合;
  • それ以外の場合は、欧州委員会決定(EU)2021/914により採択された標準契約条項(SCC)、モジュール3(処理者から再委託先へ)。

8. 再委託先

管理者は、処理者が再委託先を関与させることについて、一般的な承認を与えます。現在の再委託先は、所在国とともに、当社のプライバシーポリシーの§4と§5に記載しています。移転の根拠と各再委託先のデータ処理契約を含む完全な一覧は、privacy@liaplugin.comへのご請求により提供し、7日以内にお送りします。処理者は、予定されている変更について少なくとも30日前までに管理者に通知します。管理者は、データ保護に関する合理的な理由がある場合に異議を申し立てることができ、解決策が見つからない場合は、違約金なしでサービスを解約できます。処理者は、各再委託先に対し、本DPAと同等のデータ保護義務を課し、再委託先について引き続き責任を負います。

9. 安全管理措置(GDPR第32条 / APPI第23条)

  • ウェブサイト、アプリ、サーバーの通信の暗号化(TLS)。
  • Supabaseが管理する、保存時に暗号化されるデータベース。サーバーとデータベースの毎晩のバックアップは、バックアップの保管先(Backblaze、米国)に送られる前に、サーバー上で暗号化されます。
  • LIAのサーバーへのリクエストごとにログインを確認し、アカウントごとに上限を設定。各利用者が自分のデータだけを見られるようにするデータベースのルール。
  • サーバーの内部サービスには、サーバー自身または当社のプライベートネットワークからのみ接続可能。管理者アクセスは、SSHキー、または専用のログインで保護された管理画面からのみ。
  • クエリ文字列や、キーまたはトークンを含むヘッダーを記録しないアクセスログ。保存期間の終了時に、ログとトレースを自動的に削除。

10. 個人データ侵害の通知

処理者は、本DPAに基づいて処理される個人データに影響を及ぼすすべての侵害について、不当な遅延なく、いかなる場合も認知から48時間以内に管理者に通知し、管理者が72時間の期限を守れるようにします。通知には、その時点で判明している範囲で、以下が含まれます:

  • 侵害の性質およびおおよその範囲
  • 影響を受けた本人および記録の区分およびおおよその数
  • 考えられる結果、および講じたまたは提案する措置
  • 詳細情報の連絡先:privacy@liaplugin.com

11. サービスの終了

サービス契約が終了したとき、管理者の書面による要求があれば、処理者は、法律により保存が必要なデータ(たとえば決済と税務の記録)を除き、すべての個人データを削除または返却します。削除されたデータは、63日以内に暗号化されたバックアップから消えます。

12. 責任

本DPAに基づく責任は、利用規約に従います。ただし、それによってGDPR第82条に基づく本人の権利が制限される場合を除きます。

13. 準拠法および裁判管轄

本DPAは、イタリア共和国の法に準拠します。管轄裁判所は、管理者の登記された事務所の裁判所、またはこれがEEA外にある場合はAbruzzo、イタリアの裁判所とします。個人データの処理に関する苦情は、所管の監督当局に申し立てることができます。日本において:個人情報保護委員会(PPC)、〒100-0013 東京都千代田区霞が関3-2-1。

14. お問い合わせ

本DPAに関するすべての事項について:privacy@liaplugin.com

どのDAWを使っていますか？

どのDAWで制作しているか教えてください。サポート優先度の判断材料にします。