EL ExpLog | 法的文書
弁護士未確認ドラフト v0.1（2026-06-13）。本番・対外販売・契約前に弁護士確認必須。法的効力を断定するものではありません。

ExpLog（SinqConsent）個人データ取扱委託契約

最終更新: 2026年6月13日  |  ステータス: 弁護士未確認ドラフト v0.1

前文

本契約は、ExpLog（以下「本サービス」）の利用規約に基づいて利用契約を締結した事業者（以下「Operator」）と、本サービスを運営するR150works合同会社（株式会社SinqRelations設立後は同社に移管。以下「当社」）との間で、個人データの取扱いに関して締結される個人データ取扱委託契約（以下「本委託契約」）です。

役割主体個人情報保護法上の位置づけ
Operator利用契約者（事業者）個人情報取扱事業者。本サービスを通じて取り扱う個人データの主たる管理責任者。
CustomerOperatorが確認を依頼する相手方個人データの本人。個人情報に関する請求はOperatorに対して行う。
当社サービス提供者Operatorの委託先。Operatorの指示に基づき個人データを処理するのみであり、自社の目的に使用しない。

本委託契約は、個人情報保護法第25条（委託先の監督）の趣旨に基づき、委託先としての当社の義務と、委託元であるOperatorとの関係を明確にするものです。

【弁護士確認：委託先監督の根拠条文（現行法25条）】2022年改正後の個人情報保護法における委託先監督の根拠条文が第25条であることの最終確認が必要です。
【弁護士確認：L-2】個情法27条 共同利用 vs 委託の線引き（本委託契約の立て付けが「委託」として適切かの確認）

第1条（処理の範囲と目的）

1.1 処理の原則

当社は、Operatorの指示に基づいてのみ個人データを処理し、自社の目的（マーケティング・AI学習・第三者提供等）には一切使用しません。

1.2 処理する個人データの種類

種別データ項目処理の目的
Customerの識別情報氏名（暗号化）・メールアドレス（暗号化）・電話番号（暗号化、SMS利用時のみ）・LINE ID（暗号化、LINE利用時のみ）確認依頼の送付・確認の経緯の記録
確認行動の記録アクセス日時・IPアドレス・User-Agent・確認済フラグ確認の経緯の保管（behavior_trace = 個人特定情報なしの行動記録）
書面の内容Operatorが登録した同意書・説明書等の全文確認ページの表示・記録の保管
指サインデータ署名画像データ（法人フル以上のみ）署名の記録保管
【弁護士確認：BQ-3】マスキング後のrecipient_id（匿名化識別子）の個人情報該当性は未確認。

1.3 処理を行わない事項

第2条（Operatorの指示への応諾）

  1. 当社は、Operatorから以下の指示を受けた場合、要決定: X営業日以内に実行し、完了した旨をOperatorに書面（メール可）で報告します。
    • 特定Customerのデータの削除またはマスキング
    • 特定Customerのデータの修正
    • 特定Customerのデータの開示（Operatorへの提供）
    • 特定書面に紐づくデータ一式の処理
  2. Operatorからの指示は、info@r150works.com または別途定めるAPIを通じて行います。
  3. 当社が技術的理由その他の理由により指示に応じることができない場合は、その旨および理由をOperatorに速やかに通知します。

第3条（委託契約終了時のデータ処理）

3.1 終了時の処理原則

利用契約の解除・解約・プラン変更等により本委託契約が終了した場合、当社はOperatorの指示に従い以下のいずれかを実行します。

3.2 終了後の処理手順

  1. 利用契約終了後30日以内に、Operatorはデータの返却または消去の指示を info@r150works.com に送付します。
  2. 当社は指示受領後 要決定: Y営業日以内 に処理を完了し、処理完了の記録をOperatorに提供します。
  3. Operatorから30日以内に指示がない場合、当社は第4条（保持期間とマスキング）に定める処理を実施します。

3.3 当社が保持する記録

終了後も当社が保持することがある記録は、当社自身に法令上の保存義務が課されているものに限ります（例: 課金記録・監査ログ）。個人を識別できる情報はマスキングした上で保持します。

第4条（保持期間とプラン別自動マスキング）

4.1 プラン別保持期間

プランデータ保持期間
無料・個人最終送信日から30日
法人ベーシック最終送信日から1年
法人フル・エンタープライズ最終送信日から7年

4.2 自動マスキングの実行

保持期間の到来をもって、当社のシステムは自動的にCustomerの個人を識別できる情報（氏名・メールアドレス・電話番号・LINE ID等）をマスキング処理します。マスキング後も送信の事実・確認の有無・統計情報は保持されます。

本自動マスキングは、Operatorが契約したプランのポリシーの執行です。 Operatorはプランをアップグレードすることにより、保持期間を変更できます。

【弁護士確認：retention masking自動実行のOperator同意の取り方】Operatorが本委託契約に同意することで自動マスキングへの事前同意が得られているとする構成の適法性は未確認。
【弁護士確認：死者データの扱い】Customerが死亡した場合のデータ保持・削除の取扱いは未確認。本条項は弁護士確認後に補足します。

第5条（SinqAuditによる監査ログの参照範囲）

5.1 監査ログの概要

当社は、本サービスの運用・セキュリティ維持・課金管理のために、全操作の監査ログ（SinqAudit）を保管します。

5.2 監査ログに記録する情報

記録項目内容
操作日時ISO8601形式のタイムスタンプ
Operator ID・テナントID操作主体の識別子
操作種別送信・確認・削除・ログイン等
リソースID対象ドキュメントID・配送ID等
IPアドレス・User-Agent不正アクセス検知目的

監査ログには、CustomerのPII（氏名・メールアドレス等）は記録しません。 Customerの行動は匿名化された行動トレース（behavior_trace）として別途管理します。

5.3 SinqAuditへの参照目的と範囲

当社が監査ログを参照できるのは以下の目的に限ります。

  1. 障害対応・デバッグ（Operatorから報告を受けた問題の調査）
  2. セキュリティインシデントの調査
  3. 課金処理の確認・照合
  4. 法令・監査への対応

上記以外の目的での参照は行いません。Operatorの事業内容・Customerとの関係性等を目的とした参照は行いません。

第6条（再委託先の範囲と通知）

6.1 現在の再委託先

再委託先所在地委託業務個人情報保護措置の概要
Stripe Payments Japan 株式会社（Stripe, Inc.グループ）東京都港区 / 米国決済処理・サブスクリプション管理PCI DSS Level 1認証・SOC 2 Type II・ISO27001・TLS暗号化
メール送信事業者: 要決定要決定メール送信要決定
LINE株式会社日本LINE Messaging API経由のメッセージ送信LINE株式会社プライバシーポリシー準拠
SMS送信事業者: 要決定要決定SMS送信（有料プランのみ）要決定
ConoHa / 本番VPSプロバイダ日本サーバー基盤（ホスティング）AES-256暗号化・物理アクセス制御

6.2 再委託先の追加・変更

当社は、再委託先を追加・変更する場合、事前にOperatorへ通知します。重大な変更（個人データを新たに提供することになる場合等）については、Operatorが異議を申し出る機会を設けます。

【弁護士確認：G-4】外国にある第三者（Stripe Inc.等）への提供同意の取得方法（個情法28条対応の確認）

第7条（漏洩等の通知義務）

  1. 当社が個人データの漏洩・滅失・毀損またはその疑いを検知した場合、速やかにOperatorへ通知します。
  2. 通知内容には以下を含めます。
    • 発生日時（判明した範囲）
    • 影響を受けた可能性のあるデータの種類と規模（推定）
    • 対応状況および今後の対応計画
  3. Operatorは、個人情報保護法第26条に基づく個人情報保護委員会への報告義務を負います（当社の通知はその義務履行を支援するものです）。
  4. 当社は、Operatorへの通知と並行して、被害の拡大防止に努めます。

第8条（安全管理措置）

8.1 技術的安全管理措置

措置内容
暗号化個人情報列はAES-256-GCM方式で暗号化して保管（_encrypted接尾辞列）
テナント分離全テーブルにtenant_idを付与し、クエリレベルで他テナントのデータへのアクセスを禁止
通信暗号化TLS 1.2/1.3による通信の暗号化
アクセス制御JWTによる認証・最小権限の原則によるAPIアクセス管理
鍵管理暗号化マスターキーは環境変数で管理し、ソースコードに含めない
監査ログ全操作をSinqAuditに記録し、不正アクセスを検知可能にする

8.2 組織的安全管理措置

8.3 物理的安全管理措置

第9条（Operatorによる監査・点検）

  1. Operatorは、当社に対し、本委託契約の履行状況の確認を書面（メール可）で請求できます。
  2. 当社は、合理的な範囲で、確認に必要な情報を提供します。
  3. Operatorは、必要と認める場合、事前に当社の同意を得た上で、当社の業務処理状況を監査する権利を持ちます。

第10条（委託契約の期間と変更）

  1. 本委託契約は、ExpLog利用規約に基づく利用契約の期間中、有効です。
  2. 利用契約が終了した場合、本委託契約も終了します（第3条に定めるデータ処理義務は終了後も存続）。
  3. 当社は本委託契約を変更する場合、変更内容をOperatorに30日前までに通知します。

第11条（準拠法・裁判管轄）

  1. 本委託契約は日本法に準拠します。
  2. 紛争が生じた場合、東京地方裁判所を第一審の専属的合意管轄裁判所とします。
関連文書 利用規約 プライバシーポリシー ログイン画面へ戻る
最終更新日: 2026年6月13日（弁護士未確認ドラフト v0.1）
本ページの内容は、弁護士確認完了後に正式版へ更新されます。