データ処理条件
処理者としての Tecrübe の義務：指示、守秘、セキュリティ、再委託先、データ移転、侵害通知、返還または削除。
1. 役割 — 誰が何に責任を負うか
本条件は利用規約と一体をなす附属書であり、別途署名の有無にかかわらず、Tecrübe を利用するすべての顧客に適用されます。
当事者：本サービスを利用する顧客（「お客様」）および Hero Invest Ltd（「Tecrübe」）、71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom · 登録国: 英国（イングランドおよびウェールズ） · 会社番号: 14955675。処理者としての義務を負う法人は Hero Invest Ltd であり、本条件における「Tecrübe」は同社を指します。
顧客データ（お客様ご自身の顧客のデータ：連絡先リスト、受信メッセージ、コンバージョン記録）：この場合、お客様が管理者であり、Tecrübe は処理者です。何を収集し、どの法的根拠に基づいて処理し、誰に何を伝えるかはお客様が決定し、Tecrübe はお客様の指示に基づいてのみ処理します。
アカウントデータ（お客様およびチームメンバーの氏名、メールアドレス、セッション記録、請求情報）：この場合、Tecrübe が管理者であり、プライバシーポリシーが適用されます。この区別は重要です。一つの製品に二つの法的役割があり、お客様の権利はどのデータが関係するかによって異なります。
Tecrübe は、顧客データを自社の目的（製品開発、モデルの学習、マーケティング）に使用することは一切ありません。例外はありません。もしあれば、ここに記載されています。
2. 処理の対象、期間、性質および目的
対象：Tecrübe サービスの提供。期間：お客様のサブスクリプションが継続する間、および第10条に定める返還・削除期間。
処理行為：保存、整理、検索、送信（お客様が連携したプラットフォームへ）、削除、および AI モデルによるテキスト生成。
データの種類：連絡先情報（氏名、メールアドレス、電話番号）、メッセージ内容、行動データおよびコンバージョンデータ、ならびにお客様がアップロードするリストとコンテンツ。
データ主体の種類：お客様の顧客、見込み顧客、お客様にメッセージを送る人、およびチームメンバー。
特別な種類のデータ：本サービスはこれを処理するよう設計されていません。お客様がアップロードする場合、追加の保護措置および明示的同意を得る義務はお客様が負います。
3. 指示に基づく処理
Tecrübe は、お客様の文書化された指示に基づいてのみ顧客データを処理します。お客様による本サービスの利用（キャンペーンの開始、リストのアップロード、自動化の有効化）は、そのような指示に該当します。
指示が適用法令に違反すると当社が判断した場合、当社はお客様に通知し、その指示の実行を停止することがあります。
法令により処理が義務付けられる場合（裁判所の命令、行政上の要求など）で、通知が禁止されていないときは、処理の前にお客様に通知します。
4. 秘密保持とセキュリティ
顧客データにアクセスできる者はすべて守秘義務を負い、アクセスは業務上必要な最小限の範囲に限定されます。
実施している技術的措置：通信時および保存時の暗号化、行レベルセキュリティによるデータベースレベルでのテナント分離、argon2id によるパスワードのハッシュ化、別の鍵で暗号化したプロバイダーのシークレット、ロールベースのアクセス制御、ならびに特権操作ごとの監査記録。
組織的措置：スタッフのアクセスは記録されます。サポートによるテナントの閲覧時には、閲覧者とテナントの双方に見えるバナーが表示されます。定期的なバックアップと復元訓練を実施しています。
これらの措置は随時変更されることがありますが、変更によってセキュリティ水準を低下させることはできません。
5. 再処理者
Tecrübe は本サービスの提供のために再処理者を利用します。最新のリスト（名称、目的、処理を行う国）は、プライバシーポリシー第9条に名称付きで公開しています。
新たな再処理者は製品内通知によって告知されます。お客様が合理的な理由に基づき異議を申し立てた場合、当社はその異議を検討します。解決できない場合、お客様は違約金なしで解約し、未使用期間分の返金を受けることができます。
各再処理者は、本条件と同等の義務を定めた契約に拘束されます。Tecrübe は、再処理者の行為について自らの行為と同様に責任を負います。
AI プロバイダーに送信されるデータは、依頼されたジョブに必要なものに限られます。すなわち、ブランドプロフィール、キャンペーンの文脈、および返信の下書きが依頼された場合は該当メッセージの本文です。顧客の氏名、電話番号、メールアドレスは、メッセージ本文中に含まれるものも含め、送信前にマスキングされます（例：「顧客 #ab12cd」「+90 5 * **12」）。これらのプロバイダー（OpenAI、および利用する場合は Anthropic）は米国にあり、移転は第6条の保護措置に基づいて行われます。
6. 国際移転
一部の再処理者は、英国、欧州経済領域およびトルコの域外にあります（特に AI プロバイダーと広告プラットフォーム）。移転は UK GDPR、GDPR 第5章および KVKK 第9条に基づき、該当する場合には標準契約条項（UK International Data Transfer Addendum を含む）、十分性認定または明示的同意に依拠して行われます。
どの再処理者がどの国で処理を行うかは、プライバシーポリシーのリストの各項目に記載しています。
7. データ主体からの請求とお客様への支援
データ主体が Tecrübe に直接連絡してきた場合、当社はお客様に代わって回答せず、お客様に取り次ぎます。当該データの管理者はお客様だからです。
アクセス、訂正、消去、データポータビリティの各請求に対応するために必要なツールは製品内に用意されています。設定 › セキュリティ › 「データをダウンロード」から機械可読形式のコピーを ZIP でダウンロードでき（24時間に最大3回）、消去請求は30日以内に完了します。ツールだけでは足りない場合は、合理的な範囲で技術的支援を提供します。
お客様がデータ保護影響評価（第35条）を実施する必要がある場合、当社は保有する情報を合理的な範囲で提供します。
8. 侵害の通知
顧客データに影響するセキュリティ侵害を認識した場合、当社は不当な遅滞なく、遅くとも24時間以内にお客様に通知します。この期限は、お客様ご自身の72時間以内の通知義務を果たせるよう、意図的に短く設定しています。
通知には、侵害の性質、影響を受けたデータの種類とおおよその記録件数、予想される結果、講じた措置および講じる予定の措置、ならびに連絡窓口が含まれます。
最初の通知の時点ですべてが判明していない場合、不足している情報は遅滞なく追って提供します。待つことは通知の代わりにはなりません。
9. 監査
ご要望に応じて、本条件の遵守を証明するために必要な情報を提供します。
お客様は年に1回、合理的な事前通知のうえ営業時間内に、守秘義務を負う監査人を通じて監査を実施できます。監査には他の顧客のデータへのアクセスを含めることはできず、本サービスに支障をきたさない方法で実施されます。
10. 終了時の返還および削除
サブスクリプション終了後、顧客データは30日間エクスポート可能な状態で保持され、その間はパネルからダウンロードできます。
30日間が経過するとデータは削除されます。削除は元に戻すことができず、7日前にメールで予告されます。
バックアップ内のコピーはバックアップサイクルに従って自動的に消去されます（最長90日）。その間、コピーは暗号化されたままアクセスできない状態に保たれます。
法令により保存が義務付けられている記録（請求書、監査ログ）は、法定期間中保存され、その目的のためにのみ処理されます。