個人情報の取扱いに関する覚書

第1条（目的）

1. この覚書は、Lally利用規約（以下「利用規約」）に基づく利用契約に伴い、契約者が当社に取扱いを委託する個人データについて、個人情報の保護に関する法律（以下「個人情報保護法」）に沿った安全な取扱いの条件を定めるものです。
2. この覚書は、利用契約が成立した時に、利用契約の一部として契約者と当社の間で効力を生じます。契約者が書面での締結を望むときは、同じ内容の書面を取り交わします。
3. この覚書と利用規約の内容が異なるときは、個人データの取扱いについては、この覚書を優先します。

第2条（定義）

この覚書で使う言葉は、利用規約と個人情報保護法の定めによるほか、次の意味で使います。

1. 「委託データ」とは、契約者が本サービスに登録した、または本サービスの利用によって記録された個人データのうち、契約者が当社に取扱いを委託するものをいいます。項目と本人の範囲は別表1のとおりです。
2. 「再委託先」とは、当社が委託データの取扱いの全部または一部を委託する第三者をいいます。
3. 「漏えい等」とは、委託データの漏えい、滅失、毀損と、そのおそれのある事態をいいます。

第3条（委託の内容）

1. 契約者は当社に、本サービスを提供するための委託データの取扱い（保管、メッセージの送受信、配信の対象の絞り込み、分析、AI機能による処理、書き出し、削除など）を委託します。
2. 委託データの項目、本人の範囲、取扱いの期間は、別表1のとおりです。

第4条（契約者の責任）

1. 契約者は、委託データの個人情報取扱事業者として、本人から委託データを取得するときに、利用目的の通知または公表など、個人情報保護法の定める手続きを行います。
2. 契約者は、要配慮個人情報（病歴、診療や検査の結果、身体の状態など）を本サービスに登録するときは、あらかじめ本人の同意を得ます。
3. 契約者は、当社への指示を、本サービスの設定と操作、または書面や電子メールで行います。契約者は、法令やLINE関連規約に反する指示をしません。

第5条（目的外の利用の禁止）

1. 当社は、委託データを、本サービスの提供、保守、障害の調査、不正の防止のためだけに、契約者の指示の範囲で扱います。
2. 当社は、委託データを、自社の営業や広告、ほかの契約者へのサービスの提供、AIのモデルの学習に使いません。
3. 当社は、法令に基づくときを除き、委託データを第三者に提供しません。法令に基づいて開示を求められたときは、法令で禁じられていない限り、事前に契約者に知らせます。
4. 当社は、障害に備えたバックアップなど、本サービスの提供に必要な範囲を超えて委託データを複製しません。

第6条（安全管理措置）

1. 当社は、委託データの漏えい等を防ぐため、別表2の安全管理措置をとります。
2. 当社は、技術の進歩と起こりうる危険に合わせて、安全管理措置を見直します。見直しによって安全の水準を下げることはしません。

第7条（従業者の監督）

1. 当社は、委託データを扱える従業者を、業務に必要な者に限ります。
2. 当社は、委託データを扱う従業者に秘密を守る義務を課し、個人情報の扱いについて教育を行い、必要かつ適切な監督を行います。従業者が退職したあとも、秘密を守る義務は続きます。

第8条（再委託）

1. 契約者は、当社が別表3の再委託先に委託データの取扱いを再委託することを、あらかじめ承諾します。
2. 当社は、再委託先を加えるか変えるときは、その30日前までに、このページの別表3を更新し、契約者に電子メールで知らせます。
3. 契約者は、前項の通知を受けた日から14日以内に、合理的な理由を示して異議を述べることができます。当社と契約者は誠実に協議し、協議がまとまらないときは、契約者は違約金なく利用契約を解約できます。
4. 当社は、再委託先と、この覚書と同じ水準で委託データを守る契約を結びます。当社は、再委託先の安全管理の状況を、再委託先が公表する第三者認証や監査の報告を確かめるなどの方法で監督します。
5. 再委託先の行為は、当社の行為として、当社が契約者に責任を負います。

第9条（外国にある第三者への提供）

1. 当社は、委託データを、Google Cloudの東京リージョン（日本）に保管します。
2. 別表3のうち、所在国を日本以外としている再委託先には、その機能を動かすのに必要な範囲で委託データが送られ、その国で扱われます。
3. 当社は、外国の再委託先との間で、個人情報保護法の定める基準に適合する体制を整えるため、委託データを適切に扱う義務を定めた契約を結びます。当社は、その体制が続いていることを定期的に確かめます。
4. 契約者または本人から求めがあったときは、当社は、再委託先の所在国の名称、その国の個人情報の保護に関する制度（個人情報保護委員会の「外国における個人情報の保護に関する制度等の調査」を参考にします）、再委託先がとる措置について、すぐに情報を提供します。

第10条（漏えい等が起きたとき）

1. 当社は、委託データの漏えい等が起きたこと、またはそのおそれを知ったときは、すぐに、遅くとも知った時から48時間以内に、契約者に電子メールで第一報を伝えます。
2. 第一報では、わかっている範囲で次のことを伝え、わかったことを順に追加して伝えます。
   1. 起きたことの概要と、起きた日時、知った日時
   2. 対象になった委託データの項目と、本人の数
   3. 原因
   4. 二次被害が起きているか、そのおそれがあるか
   5. とった対策と、これからとる対策
3. 当社は、被害の拡大を防ぐための措置をすぐにとり、原因を調べ、再び起きないための対策をとります。
4. 契約者が個人情報保護委員会に報告し、本人に通知するときは、当社は必要な情報を提供し、協力します。当社が前の各項に従って契約者に伝えたときは、当社の個人情報保護委員会への報告は、個人情報保護法の定めにより契約者が行うものとします。
5. 当社は、契約者の承諾なく、漏えい等について公表しません。法令で必要なとき、被害の拡大を防ぐため急ぐときは、この限りではありません。

第11条（監査への協力）

1. 契約者は、当社が委託データをこの覚書に従って扱っているかを確かめるため、1年に1回まで、書面で質問し、資料の提出を求めることができます。漏えい等が起きたときは、回数にかかわらず求めることができます。当社は、相当の期間内に答えます。
2. 契約者は、前項で確かめられないことがあるときは、当社と日程、範囲、方法を協議したうえで、当社の事業所で調査を行うことができます。調査の費用は契約者が負担します。
3. 当社の設備はクラウドの事業者の施設にあるため、当社はデータセンターへの立入りを認められません。この部分は、クラウドの事業者が公表する第三者認証（ISO/IEC 27001、SOC 2など）と監査の報告の提示に代えます。
4. 当社は、調査で見つかった不備をすぐに正し、その結果を契約者に伝えます。

第12条（本人からの求めへの協力）

1. 本人から委託データの開示、訂正、利用の停止、消去などを求められたときは、契約者が対応します。当社に直接求めがあったときは、当社は契約者に伝え、契約者の指示に従います。
2. 契約者は、本サービスの機能（友だちの情報の表示、編集、書き出し、削除など）を使って求めに対応できます。機能で対応できないときは、当社は契約者の求めに応じて協力します。

第13条（委託が終わったときの返却と削除）

1. 利用契約が終わったときは、当社は委託データの取扱いをやめます。ただし、この条の返却と削除のための取扱いと、法令に基づく対応は続けます。
2. 契約者は、利用契約が終わる前であれば、本サービスの書き出しの機能で委託データを保存できます。
3. 利用契約が終わると、当社は、利用契約が終わった日以降の日を削除日と決めて、契約者のテナントの削除を予約します。予約したあとは、管理画面、メッセージの送受信、公開しているページを止め、この条の返却と削除と、法令に基づく対応のためにだけ委託データを扱います。
4. 当社は、第5項により委託データを消し始めるまでは、契約者の求めに応じて委託データを返却します。返却は、友だち、タグ、友だちの情報の欄、トークのメッセージ、配信とその結果を、LINE公式アカウントごとのCSVファイルにまとめたZIPファイルを作り、受け取るためのリンクを契約者に知らせる方法で行います。リンクはZIPファイルを作ってから7日で使えなくなり、ZIPファイルはその後に消えます。委託データを消し始めたあとは、リンクの期限の前でも受け取れなくなり、当社も返却できません。
5. 当社は、削除日を過ぎ、かつ削除を予約した日から30日が過ぎたあとに、データベース、ファイルの保管庫、分析用の保管庫と、前項のZIPファイルから委託データを消します。予約から30日の間は、削除日の誤りなどに気づいたときに予約を取り消せるよう、委託データを消しません。トライアルのまま終わったときも同じです。
6. 当社は、前項で委託データを消し終えたあと、契約者のテナントにだけ所属していた利用者のアカウントと、その利用者の情報を消します。ほかの契約者のテナントにも所属している利用者は、契約者のテナントのメンバーから外すだけにします。
7. 障害に備えたバックアップは、作られてから14日で古いものから自動で消えます。前2項で消したあとのデータも、バックアップからは最長14日で消えます。
8. 別表3の再委託先に残る委託データは、各再委託先の定める保存期間が過ぎたときに消えます。
9. 当社は、委託データを消したときと、利用者の情報を消したときに、その日時を当社の操作の記録に残します。契約者から求めがあったときは、この記録をもとに、消したことと消した日時を書面または電子メールで伝えます。

第14条（損害賠償）

当社または契約者がこの覚書に違反して相手方に損害を与えたときの賠償は、利用規約の定めによります。委託データの漏えい等による損害も、利用規約の賠償の上限に含みます。ただし、当社に故意または重大な過失があるときは、上限を適用しません。

第15条（有効期間と存続）

この覚書は、利用契約が続く間、効力を持ちます。第5条から第7条まで、第10条、第13条、この条は、利用契約が終わったあとも、委託データが当社と再委託先から消えるまで効力を持ちます。

第16条（覚書の変更）

当社がこの覚書を変更するときは、利用規約の規約の変更の定めに従います。別表3の変更は、第8条の定めによります。

別表1 委託データ

別表2 安全管理措置

別表3 再委託先

当社が委託データの取扱いを再委託する先は、次のとおりです。

次の外部サービスも使いますが、委託データは送りません。

次の提供先は、契約者が自ら契約し、本サービスでの連携を設定したときに、契約者の指示によってデータを送るもので、当社の再委託先ではありません。LINEヤフー株式会社（LINE公式アカウント、Messaging API、LINEログイン、LIFF）、Google（Googleカレンダー、Google広告）、Meta、TikTok、LINEヤフーの広告、Stripe。