個人データの取扱いに関する条件

エピソテック株式会社（以下「当社」といいます。）は、Dive利用規約（以下「本規約」といいます。）に基づいて本サービスを提供するにあたり、契約者のために個人データを取り扱う場合の条件を、本規約第２条第２項の「その他の規程」として、以下のとおり定めます（以下「本条件」といいます。）。本条件で定義していない用語は、本規約の定義に従います。

第１条　適用範囲

1. 本条件は、当社が本サービスの提供のために、契約者の委託を受けて、送信情報その他契約者又はユーザーが本サービスに登録した情報に含まれる個人データ（以下「契約者個人データ」といいます。）を取り扱う場合に適用されます。
2. 当社が、契約の締結及び管理、利用料金の請求、問い合わせの受付及び回答、本サービスに関するお知らせその他の当社自身の目的のために取り扱う契約者の担当者及びユーザーの連絡先等の個人情報は、当社が自らの責任で取り扱うものとし、本条件ではなく当社のプライバシーポリシーに従います。
3. 本条件は本規約を補うものであり、本条件に定めのない事項は本規約によります。

第２条　当事者の役割と取扱いの内容

1. 契約者は、契約者個人データの取扱いの目的及び手段を決定する者（EU一般データ保護規則（以下「GDPR」といいます。）その他これに類する法令における管理者、個人情報の保護に関する法律における委託元）であり、当社は、契約者の委託を受けて契約者個人データを取り扱う者（GDPRその他これに類する法令における処理者、同法律における委託先）です。
2. 取扱いの対象、期間、性質及び目的、個人データの種類並びに本人の種類は、別紙１のとおりです。
3. 契約者は、契約者個人データを本サービスで取り扱わせることについて、本人への通知、同意の取得その他適用される法令が求める根拠を、自らの責任で備えるものとします。

第３条　取扱いの指示

1. 当社は、本規約、本条件並びに契約者及びユーザーによる本サービスの設定及び操作（以下あわせて「契約者の指示」といいます。）に従ってのみ契約者個人データを取り扱い、本サービスの提供に必要な範囲を超えて取り扱いません。ただし、法令により取扱いを求められる場合は、その法令に従います。この場合、当社は、法令で禁じられていない限り、事前にその旨を契約者に知らせます。
2. 当社は、契約者の指示が適用される法令に違反すると判断したときは、その旨を契約者に知らせます。
3. 当社は、契約者個人データを人工知能のモデルの学習に利用しません。

第４条　秘密保持

当社は、契約者個人データを取り扱う役員、従業者及び委託先の担当者に、秘密を保持する義務を課します。当社の担当者が契約者個人データにアクセスするのは、本規約第１０条第４項に定める場合及び法令に基づく場合に限ります。

第５条　安全管理措置

当社は、ISO/IEC 27001 に基づく情報セキュリティマネジメントシステムを運用し、契約者個人データの漏えい、滅失又は毀損の防止その他の安全管理のために、別紙２の措置を講じます。当社は、技術の進歩等に応じて措置を見直すことがありますが、全体として保護の水準を下げることはありません。

第６条　委託先

1. 契約者は、当社が別紙３に掲げる者（以下「委託先」といいます。）に契約者個人データの取扱いを委託することを承諾します。
2. 当社は、委託先との間で、契約者個人データの保護について本条件と同等の水準の義務を定めた契約（委託先が定める標準の条件を含みます。）を締結し、委託先を監督します。当社は、委託先による契約者個人データの取扱いについて、本規約及び本条件に従って責任を負います。
3. 当社は、委託先を追加し又は変更するときは、原則としてその１４日前までに別紙３を更新し、本サイトへの掲載又は電子メールにより契約者に知らせます。ただし、安全の確保又は本サービスの継続のために緊急に必要なときは、追加又は変更の後、速やかに知らせます。
4. 契約者は、前項による通知の日から１４日以内に、合理的な理由を示して、当社に異議を述べることができます。この場合、当社と契約者は誠実に協議し、解決しないときは、契約者は本契約を解約することができます。

第７条　国外への移転

1. 契約者個人データは、別紙３に記載する国又は地域で保管され又は取り扱われます。
2. 欧州経済領域から当社への契約者個人データの移転は、欧州委員会が日本について行った十分性認定に基づきます。当社から日本国外の委託先への移転は、委託先との契約に含まれる標準契約条項その他適用される法令が認める保護措置に基づいて行います。
3. 前項に定める以外の国又は地域の法令が国外への移転について追加の措置を求める場合、当社は、契約者の求めに応じて、合理的な範囲で協力します。

第８条　本人からの請求への対応

1. 当社は、契約者が本人からの開示、訂正、削除、利用の停止その他の請求に対応できるよう、契約者個人データの閲覧、編集、削除及び出力の機能を本サービスで提供します。
2. 当社が本人から直接請求を受けたときは、法令で認められる範囲でその請求を契約者に伝え、契約者の指示なく応じません。
3. 本サービスの機能で対応できない場合、当社は、契約者の求めに応じて、合理的な範囲で協力します。

第９条　漏えい等の通知

1. 当社は、契約者個人データの漏えい、滅失若しくは毀損又はそれらのおそれのある事態（以下「漏えい等」といいます。）を知ったときは、遅滞なく契約者に通知します。
2. 前項の通知には、その時点で判明している範囲で、事態の概要、影響を受ける個人データ及び本人の種類並びにおおよその数、当社が講じた措置及び講じる予定の措置並びに当社の連絡先を含めます。判明していない事項は、判明しだい追って知らせます。
3. 当社は、契約者が監督機関への報告又は本人への通知を行うために必要な情報を合理的な範囲で提供し、契約者の求めに応じて契約者個人データへのアクセスの記録を抽出して提供するとともに、原因の調査及び再発の防止に努めます。
4. 前各項による通知又は協力は、当社が漏えい等について責任を認めたものとはみなされません。

第１０条　影響評価等への協力

当社は、契約者がデータ保護に関する影響評価又は監督機関との事前の協議を行う場合、本条件、別紙、当社のセキュリティに関する公開情報及び契約者の質問票への回答により、合理的な範囲で協力します。

第１１条　契約終了時の取扱い

1. 契約者は、本契約の終了までに、本サービスの機能により契約者個人データを取り出すことができます。契約者が本契約の終了後３０日以内に求めたときは、当社は、合理的な範囲で、契約者個人データの取り出しに協力します。
2. 当社は、本規約第１０条第３項に従い、契約者個人データを削除します。
3. 契約者が電子メールその他当社所定の方法で削除を求めたときは、当社は、遅滞なく契約者個人データを削除し、削除したことを契約者に知らせます。
4. バックアップに含まれる契約者個人データは、バックアップの保存期間（最長９１日）を経過した時点で消去されます。
5. 法令により保存が求められる個人データは、その法令が定める期間に限り保存し、その目的以外には取り扱いません。

第１２条　監査

1. 当社は、本条件の遵守を示すために必要な情報として、ISO/IEC 27001 の認証に関する情報、本条件及び別紙、当社のセキュリティに関する公開情報並びに契約者の質問票への回答を提供します。
2. 前項の情報によっては足りず、適用される法令又は監督機関の求めにより監査が必要な場合、契約者は、３０日前までに当社に通知したうえで、書面の確認及びオンラインでの面談の方法により監査を行うことができます。この監査は１年に１回を限度とします。ただし、漏えい等が生じた場合又は監督機関が求める場合はこの限りではありません。
3. 前項の監査の費用は契約者が負担し、契約者は監査で知った情報を秘密として扱います。監査の対象には、委託先の施設への立ち入り、他の契約者の情報及び本サービスのソースコードを含みません。委託先については、委託先が公表している第三者認証等の情報をもって代えます。重大な事象の調査のために必要なときは、当社は、記録の抽出その他の代わりの方法を契約者と協議します。

第１３条　責任

本条件に関する当社の責任は、本規約第１６条の定めに従います。

第１４条　変更

当社は、本規約第１９条の定めを準用して本条件を変更することがあります。ただし、適用される法令により必要な場合を除き、契約者個人データの保護の水準を下げる変更は行いません。別紙３の更新は、第６条の定めによります。

第１５条　言語

本条件は日本語を正本とします。英語の訳文は参考のために提供するものであり、両者に相違があるときは日本語が優先します。

別紙１　取扱いの内容

• 対象及び目的：本サービス（手順書の作成、管理及び共有、閲覧及び教育の記録、人工知能による解析及び生成、翻訳、読み上げ、AR、遠隔支援の通話、通知メールの配信並びに契約者の求めに応じたサポートを含みます。）の提供
• 性質：保管、閲覧、編集、配信、解析、翻訳、音声合成、削除その他本サービスの提供に必要な取扱い
• 期間：本契約の期間及び第１１条による削除までの期間
• 本人の種類：契約者のユーザー（従業員、派遣社員、委託先及び取引先の担当者等）、手順書の動画、画像又は音声に記録された人、外部共有の機能で手順書を閲覧する人、遠隔支援の通話に参加した人
• 個人データの種類：氏名、メールアドレス、社員番号等の識別子、所属、部署、役職、拠点等の名簿の情報、ログイン及び利用の記録（IPアドレス、日時及び端末の情報を含みます。）、教育、評価及び資格の記録、設問への回答、手順書に含まれる動画、画像、音声及び文章、遠隔支援の通話の映像及び音声、ARの位置合わせのためのカメラの画像
• 要配慮個人情報及びGDPR第９条の特別な種類の個人データ：取り扱うことを予定していません。契約者は、これらを本サービスで取り扱わせないものとします。

別紙２　安全管理措置

• 組織：ISO/IEC 27001:2022 の認証（認証番号 GIJP-1469-IC）を受けた情報セキュリティマネジメントシステムの運用、情報セキュリティ基本方針の策定及び周知、従業者への教育
• 人：役員、従業者及び委託先の担当者への秘密保持義務、契約者個人データにアクセスできる者の限定
• アクセスの制御：チーム及び権限による利用者のアクセスの制御、多要素認証、IPアドレスによるアクセスの制限（契約者が設定した場合）、ログインに続けて失敗した場合のアカウントのロック
• 暗号化：通信の暗号化（TLS）、クラウド基盤による保存時の暗号化
• 記録と監視：監査ログの取得（契約者のオーナーが管理画面から出力できます。）、クラウド基盤におけるアクセスの記録、Webアプリケーションファイアウォールによる不正な通信の遮断
• 可用性：データベースの毎日のバックアップ（保存は最長９１日）
• 脆弱性の管理：ソースコード及び利用しているソフトウェア（依存するパッケージを含みます。）の定期的な自動検査
• 委託先の管理：委託先との契約による義務づけと、委託先の第三者認証等の確認

別紙３　委託先の一覧（2026年10月22日現在）

Microsoft Corporation、Agora, Inc. 及び Immersal Oy には、それぞれの機能が使われる場合に限り委託します。

本条件に関するお問い合わせ先：エピソテック株式会社 個人情報取扱責任者（privacy@episotech.com）

2026年10月22日　制定