データ処理補遺（DPA）

1. 適用範囲

本データ処理補遺（以下「本DPA」）は、Paidwhere（以下「処理者」）と事業者のお客様（以下「管理者」）との間の利用規約の一部です。Paidwhereはローカルファーストのアプリであり、管理者の書類と台帳は管理者のパソコンに保存され、Paidwhereは取り扱いません。

本DPAは、Paidwhereが管理者の書類に含まれる個人情報を取り扱う唯一の場合、すなわち本アプリが自ら読み取れなかったページの文字をPaidwhereのAI読み取りサービスに送る場合に適用されます。利用規約に同意した事業者のお客様に自動的に適用されます。署名済みの写しが必要な場合は legal@paidwhere.com までご依頼ください。

2. 取扱いの内容

• 対象と目的：請求書・領収書のページの文字から、取引先、日付、金額、税額、通貨などの値を取り出し、本アプリに返すこと。
• 期間：読み取りの依頼ごとに、その処理の間のみ。ページの文字はメモリ上でのみ処理し、Paidwhereは保存しません。
• 個人情報の種類：請求書に記載された取引先・顧客の氏名、住所、メールアドレス、電話番号など、ページに印字された情報。
• 本人：書類に名前が記載された管理者の取引先、顧客、従業員、担当者。
• 要配慮個人情報：取り扱いません。診療記録や医療費の明細のような書類は、本アプリが読み取りません。

3. 処理者の義務

• 利用規約、本DPA、管理者による本アプリの利用という、管理者の文書化された指示に従ってのみ個人情報を取り扱います。
• 個人情報を取り扱う者に守秘義務を課します。
• 6.の安全管理措置を講じます。
• 5.に従ってのみ委託先を利用します。
• Paidwhereが管理者の書類を保存しないことを踏まえ、本人からの請求への対応、セキュリティ、漏えい等の通知、影響評価について管理者を支援します。
• 本DPAの遵守を示すために必要な情報を、通常は文書や質問票への回答の形で提供します。

4. 漏えい等

管理者のデータに影響する個人データの漏えい等を知ったときは、遅滞なく、可能であれば48時間以内に、管理者が自らの義務を果たすために必要な情報とともに通知します。

5. 委託先

管理者は、プライバシーポリシーに記載のAI読み取りに関わる委託先（AIモデルを提供するAnthropic、ネットワーク配信を担うCloudflare）を承認します。新たな委託先は少なくとも30日前にメールでお知らせし、管理者は合理的な理由により異議を述べることができ、解決しない場合は該当サービスを解約して未使用期間分の返金を受けられます。Paidwhereは委託先について責任を負います。

6. 安全管理措置

• ファイルではなく1ページ分の文字のみを、本アプリの標準の読み取りで読めない場合にだけ送ります。
• すべての依頼はTLS 1.2以上で暗号化して送信します。
• Paidwhereはページの文字を保存せず、読み取り結果は本アプリに返した後に保持しません。
• AI提供事業者の規約は、顧客データを学習に使うことを禁じています。
• 従業員のアクセス権限を最小限に制限し、管理操作を記録します。

7. 外国への移転

ページの文字は米国で処理されます。管理者の国の法令が移転に関する条件を求める場合、当事者はその法令が定める方法に従い、Paidwhereはプライバシーポリシーに記載の情報を提供します。

8. 優先関係

個人情報の保護について本DPAと利用規約が矛盾する場合は、本DPAが優先します。言語によって内容が異なる場合は英語版が優先します。