第1条（目的・役割）
本特約は、契約者が管理責任を負う個人データ等を当社がReactorを通じて委託に基づき処理する範囲に適用します。当該処理の目的と手段の基本事項を契約者が決定し、当社は委託先として契約および適法な指示に従って処理します。ただし当社が独自の利用目的で取得するアカウント・決済・セキュリティ情報等は当社が個人情報取扱事業者として取り扱います。
第1条の2（適用製品の範囲）
本特約は、Reactor-mini（PRO、Pro Max）および Reactor 1.0（Enterprise、Enterprise MAX、独自ドメイン版、企業向け独自環境構築）のいずれにも適用されます。Reactor 1.0 の独自環境構築では、契約者専用の環境で処理を行う場合があり、その構成（環境の分離、保存国、管理者）を別紙に記載します。
第2条（処理対象・期間）
対象データの種類、データ主体、処理目的、処理行為、保存国・処理国、契約期間、保存期間、権限ある担当者を別紙処理台帳で特定します。要配慮個人情報、マイナンバー、機微な医療情報・決済カードデータ等は、書面で別途合意し技術的要件を満たさない限り入力しません。
第3条（指示・秘密保持）
当社は契約者の文書化された適法な指示および契約上必要な範囲で処理し、目的外利用をしません。従業者等には守秘義務を課し、業務上必要な範囲に限定してアクセスを付与します。指示が法令に抵触するおそれがある場合、可能な限り契約者に通知して対応を協議します。
第4条（安全管理）
当社はデータの性質に応じて合理的な安全管理措置、権限制御、暗号化、操作ログ・アクセス監査、脆弱性対応、削除・バックアップ管理、担当者教育等のうち別紙で確約する事項を実装・維持します。契約者は必要な設定、利用者の権限、認証情報保護を行います。第三者監査資料やセキュリティ報告の開示範囲は機密保持とセキュリティ上の制限に従います。
第5条（再委託・海外処理）
当社は別紙に明示された再委託先を用いることができます。新たな重要再委託先追加・海外処理の変更について、契約者に合理的な事前通知と異議を述べる手段を提供します。再委託先には本特約と実質的に同等の秘密保持・安全管理義務を負わせ、適切に監督します。外国にある第三者への提供については契約当事者それぞれの法令上の義務を履行します。
第6条（事故対応）
当社は委託対象データについて漏えい等を認識した場合、事実確認と被害拡大防止を行い、契約者に不当な遅滞なく通知して判明事実、影響、対応措置を共有します。個人情報保護委員会への報告および本人通知は、法令上の役割に従って対応し、相互に合理的に協力します。通知時限・SLAは個別契約で定めた場合に限り適用します。
第7条（本人請求・監査・返却削除）
当社は処理委託の範囲において、契約者が開示・訂正・削除・利用停止等の本人請求に対応するため合理的に協力します。監査は双方の事業運営・秘密保持・セキュリティに配慮して書面回答や第三者レポート等を優先し、必要な現地監査は条件を協議します。契約終了時のエクスポート、消去、バックアップからの削除時期は別紙に従います。
第7条の2（診断・解析・再構築の特則）
1. 契約者が当社にセキュリティ診断、解析または再構築を依頼する場合、当社は、契約者が依頼した範囲および期間に限って、対象システムに含まれる個人データを処理します。契約者は、対象システムについて所有または利用許諾の権原を有すること、および対象に含まれる個人データの処理について必要な手続を行っていることを保証します。
2. 診断用の認証情報は、契約者が発行する読み取り権限のみのアカウントによることを原則とします。当社は、認証情報を暗号化して保管し、作業以外の目的で使用せず、作業完了後、依頼書で定める期間内に削除します。契約者は、完了後に当該アカウントを無効化します。
3. 当社は、対象システムの個人データを、可能な限り、AIモデルへの送信前にマスキングまたは削除し、必要最小限の範囲でのみ処理します。
4. 診断・解析で取得した個人データ（診断中に閲覧し得た情報を含みます）は、報告書の作成その他の依頼の履行に必要な範囲を超えて保存・利用しません。報告書には、個人データそのものを記載しません。
5. 当社は、第4条の措置のほか、診断・解析の実施中は、作業用環境へのアクセスを担当者を限定して制限し、操作の記録を保存します。
6. 診断・解析の結果、重大な脆弱性または情報漏えいのおそれを発見した場合、当社は、第6条に準じて、契約者に遅滞なく通知します。当社は、契約者の依頼の範囲を超えて、当該脆弱性を悪用し、または第三者に開示しません。
第8条（責任・優先関係）
本特約の違反時の契約当事者間の責任は利用規約と個別契約の責任条項に従います。ただし、法令上直接負う責任、データ主体の権利、行政機関に対する義務を本特約で免除するものではありません。本特約が個人データ処理に関して基本規約と矛盾するときは本特約を優先します。
別紙（個別契約で定める事項）
次の事項は、契約者との個別契約の別紙で定めます。
- 委託者
- 受託者：株式会社VALLEYIN
- 処理対象データ
- データ主体
- 処理目的
- 処理国・保管国
- 一次委託先・再委託先
- 保存期間
- 削除・返却
- 監査手段
- インシデント連絡先
- 機微情報取扱いの承認の有無
- 対象製品
- 診断・解析・再構築の実施
- 対象システム
- 診断用アカウント
- 認証情報の削除期限
- マスキング
- 独自環境の構成（Reactor 1.0 独自環境構築）