この翻訳は便宜上のものです。適用されるのは英語版です。 English
最終更新日：2026年10月11日
本補足契約（以下「DPA」）は、HolaReply for Shopifyの利用規約、およびあらゆるウェブサイト向けHolaReplyの利用規約の一部を構成し、マーチャントまたはウェブサイト所有者（以下「お客様」（”you”）、管理者）と、SEO Agency Inc（以下「HolaReply」または「当社」（”HolaReply”、”we”）、処理者）との間で締結されるものです。本DPAは、当社が本アプリまたは本サービスを提供するために処理する、お客様のストアの買い物客またはお客様のウェブサイトの訪問者の個人データに適用されます。ウェブサイトの場合、以下の「ストア」はお客様のウェブサイトを、「買い物客」はその訪問者を意味します。Shopifyのデータリクエストおよび注文照会に関する記載は、Shopifyにのみ適用されます。本DPAは、GDPRおよび英国GDPRの第28条、ならびに類似のプライバシー法（当社がお客様の「サービスプロバイダー」または「処理者」として行動する場合）の要件を満たすことを目的としています。
1. 処理の詳細
| 対象事項および目的 | 本アプリの提供：ストアのコンテンツをもとにストアフロントのチャットで買い物客に回答すること、問い合わせおよびロック中のトピックをお客様のチームに引き継ぐこと、注文状況の照会、会話および問い合わせをお客様に表示すること、ならびにShopifyのデータリクエストに対応すること |
| 期間 | 本アプリがインストールされている間、またはウェブサイトがHolaReplyに登録されている間。その後は第8条のとおり削除 |
| データ主体 | チャットを利用するお客様のストアの買い物客および訪問者 |
| 個人データ | チャットのメッセージ（質問および回答）、買い物客が任意に提供する連絡先情報（名前、メールアドレス、電話番号、会社名）およびその問い合わせメッセージ、注文追跡に限り、買い物客が入力した注文番号とメールアドレス、ならびに注文のメールアドレス、状況および追跡情報（表示のみで保存されません）、買い物客の言語 |
| 特別な種類のデータ | 意図していません。買い物客にこれを求めないでください。ただし、買い物客がチャットに入力する可能性はあります |
| 処理しないデータ | 支払情報、住所、顧客アカウント、会話に紐づくIPアドレス（短期間のレート制限カウンターにおける一方向ハッシュのみ） |
2. 当社の義務
当社は次のことを行います。
- 法律により別段の定めがある場合を除き（その場合、法律で禁止されていない限り事前にお客様に通知します）、本規約、本DPAおよび本アプリにおけるお客様の設定という、お客様の文書化された指示に基づいてのみ個人データを処理すること。
- 当社が処理を許可するすべての者が守秘義務を負うようにすること。
- 第4条のセキュリティ対策を適用すること。
- 第5条に従ってのみ再処理者を利用すること。
- 買い物客が権利（アクセス、削除その他）を行使した場合に、お客様が対応できるよう、合理的に可能な範囲で支援すること。Shopifyの
customers/data_requestおよびcustomers/redactリクエストは本アプリが自動的に処理し、問い合わせは本アプリ内で閲覧およびダウンロードできます。 - 当社の処理に関する限りにおいて、セキュリティ、侵害の通知、影響評価および当局との協議についてお客様を支援すること。
- サービス終了時にデータを削除すること（第8条）。
- 本DPAの遵守を示すために必要な情報を提供し、第9条のとおり監査を認めること。
- 指示がデータ保護法に違反すると当社が判断した場合、直ちにお客様に通知すること。
当社は、個人データを販売せず、クロスコンテキスト行動広告のために共有せず、AIモデルの学習に使用せず、他のストアのデータと結合することもありません。
3. お客様の義務
お客様は、処理について適法な根拠を有すること、法律で求められる情報を買い物客に提供すること（お客様のプライバシー通知にはチャットおよびHolaReplyについて記載する必要があります）、ならびにお客様の指示が法律に適合していることを確認するものとします。
4. セキュリティ対策
- 転送中の暗号化：ストアフロントのチャット、管理画面およびWebhookにHTTPS（TLS）を使用。
- 保存時の暗号化：チャットのメッセージ、会話の連絡先情報および問い合わせのすべての項目は、データベース内で暗号化されています（XSalsa20-Poly1305、鍵はデータベース外に保管）。買い物客は、メールアドレスまたは電話番号の鍵付きハッシュによってのみ照合されます。アクセストークンとAIキーも暗号化されています。日次バックアップは別の鍵で暗号化されています（AES-256-GCM）。
- 分離：各ストアのデータは分離して保管され、すべてのリクエストはShopifyのセッショントークンまたはWebhookの署名と照合されます。
- 最小化：AIプロバイダーに送信されるものからはメールアドレスと電話番号が削除され、連絡先の項目がAIプロバイダーに送信されることはなく、注文データが保存されたりAIに送信されたりすることもありません。
- アクセス制御と記録：サーバーへのアクセスはSSHキーのみで、最大2名に限られます。買い物客のデータの閲覧（本アプリ内または当社によるもの）はすべてアクセスログに記録されて1年間保持され、お客様は本アプリで直近90日分を確認できます。
- 保持：会話はお客様が削除するまで保持され、お客様が期間を選択した場合は最後のメッセージから30日、90日または365日後に削除されます。アンインストールから48時間後にすべてが削除されます。バックアップは14日間保持されます。
- インシデント対応：文書化された方針（第6条）。
- オフサイトコピー：各日次バックアップは、暗号化されたまま、非公開のCloudflare R2バケットにも14日間保管されます。
5. 再処理者
お客様は、以下の再処理者について一般的な承認を与えるものとします。当社は、再処理者を追加または変更する少なくとも30日前に（本アプリ内またはメール、および本ページで）お客様に通知します。お客様は、データ保護上の合理的な理由に基づき異議を述べることができ、当社がその異議に対処できない場合、お客様は本アプリの使用を中止することができます。当社は、各再処理者に対し、少なくとも本DPAと同等の保護水準のデータ保護条件を課し、再処理者について引き続き責任を負います。
| 再処理者 | 目的 | データ | 所在地 |
|---|---|---|---|
| Google LLC（Gemini API） | AIによる回答と検索インデックス（HolaReply AI、またはお客様のGeminiキー） | ストアのコンテンツ、メールアドレスと電話番号を削除した買い物客の質問 | EEA域外 |
| OpenAI, L.L.C. | お客様が自身のキーでOpenAIを選択した場合のみ | 同上 | EEA域外 |
| Anthropic, PBC | お客様が自身のキーでClaudeを選択した場合のみ | 同上 | EEA域外 |
| Resend（Plus Five Five, Inc.） | お客様およびお客様のチーム宛てのメール、ならびにチームから買い物客への返信 | メールアドレスとメールの内容 | EEA域外 |
| Hostinger International Ltd | 本アプリが稼働するサーバー（仮想専用サーバー） | 当社が保存するすべてのデータ（暗号化された項目は上記のとおり） | EEA域外 |
| Cloudflare, Inc. | app.holareply.comの前段のネットワークとセキュリティ、暗号化されたオフサイトバックアップの保存（R2） | 転送中のリクエスト、暗号化されたバックアップ（14日間） | グローバルネットワーク、バックアップはEEA域外 |
| Shopify | プラットフォームと請求 | Shopifyが既に保有している情報 | — |
6. 個人データの侵害
当社は、お客様のストアのデータに影響する個人データの侵害を認識した後、不当な遅滞なく、かつ72時間以内に、お客様のストアのメールアドレス宛てに、侵害の性質、関係するデータおよび人、予想される結果、当社が講じた措置およびお客様が取るべき措置、ならびに連絡先（support@holareply.com）について、判明している内容を通知します。さらに判明したことがあれば追って連絡します。当社のインシデント対応方針にその手順が記載されています。
7. 国際移転
当社および一部の再処理者は、EEA、英国およびスイス以外でデータを処理します。そのようなデータが移転される場合、その移転は、欧州委員会の標準契約条項（欧州委員会実施決定（EU）2021/914：管理者から処理者への移転についてはモジュール2、当社の再処理者への再移転についてはモジュール3）、英国国際データ移転補遺（UK International Data Transfer Addendum）、およびスイスのデータについては当該条項に対するスイスの修正（これらはいずれも参照により本補足契約に組み込まれます）、またはデータプライバシーフレームワーク（Data Privacy Framework）に基づく再処理者の認証など、その他の適法な仕組みによって保護されます。
8. 削除
お客様が本アプリをアンインストールした場合、お客様のストアのすべてのデータは48時間後に削除されます（そのため、その期間内に再インストールすれば何も失われません）。Shopifyからshop/redactリクエストが送られてきた場合は直ちに削除されます。削除されたデータは、暗号化されたバックアップ内に最長14日間残る場合があり、その後は完全に消去されます。お客様はアンインストール前に、本アプリから問い合わせをCSVでダウンロードできます。
ウェブサイトの場合は、当社（support@holareply.com）に削除をご依頼ください。その会話、問い合わせ、コンテンツおよびチームは7日以内に削除され、その14日後に暗号化されたバックアップからも消去されます。それまでは、お客様が削除するまで、またはお客様がDeskで選択した期間保持されます。
9. 監査
書面による要請があった場合、年1回を上限として（または侵害の発生後に）、当社は合理的なセキュリティ質問票に回答し、本DPAの遵守を示す文書を提供します。法律により立入検査が求められる場合、30日前の通知のうえ、営業時間中に、守秘義務を負う監査人により、お客様の費用負担で、他の顧客のデータにアクセスすることなく実施されます。
10. 優先順位
個人データに関して本DPAと規約が矛盾する場合は本DPAが適用されます。標準契約条項が適用される場合、標準契約条項は両者に優先します。
お問い合わせ
SEO Agency Inc（HolaReply） — support@holareply.com