本データ処理契約（以下「DPA」）は、医院（「管理者」）と"BLS AI AUTOMATION" DOO PODGORICA（「処理者」）との間の利用規約の一部です。医院がDentVideoに投入する資料に、医院が管理者である個人データが含まれる場合に適用されます。利用規約への同意により成立し、署名は不要です。ご要望に応じて署名済みの文書もご提供します。
1. 処理者
- 会社名
- "BLS AI AUTOMATION" DOO PODGORICA
- 法人形態
- モンテネグロ法に基づく有限責任会社 (društvo sa ograničenom odgovornošću)
- 所在地
- Neznanih Junaka 60, 81000 Podgorica, モンテネグロ
- 登記
- モンテネグロ中央事業体登記所（CRPS）
- 登記番号
- 5-1333594
- 税務識別番号（PIB）
- 03784410
- 代表取締役（マネージング・ディレクター）
- Berke Bulsu
- ブランド
- Bulsu Labs（製品：DentVideo）
2. 対象、性質、目的
当社は、DentVideoの提供のためにのみ医院の個人データを処理します：アップロードの保存、録画の文字起こし、動画の台本作成・ナレーション・生成、チェックの実施、医院のライブラリへの結果表示、サービスメールの送信。処理期間は、医院がDentVideoを利用する期間および第9条の削除期間です。
- データ主体：医院の歯科医師とスタッフ、医院がアップロードした録画に映る人・話す人、患者（医院が患者を特定できる資料をアップロードした場合のみ）。
- データの種類：氏名、メールアドレス、姿と声、文字起こし、医院プロフィール情報。DentVideoは健康データを必要としません。医院がアップロードした場合にのみ処理され、その場合の法的根拠と患者の明示的な同意については医院が責任を負います。
3. 指示
当社は、医院の文書化された指示（利用規約、本DPA、サービス設定の利用）に基づいてのみデータを処理します。法律が別段の定めをする場合は、法律で禁じられていない限り、事前に医院に通知します。指示がデータ保護法に違反すると判断した場合は、医院に伝えます。
4. 守秘義務
データにアクセスできるBLS AI Automation DOOの全員が守秘義務を負います。
5. セキュリティ対策
- ウェブサイト、アプリ、データベースへのすべての通信の暗号化（HTTPS）。
- データベースのアクセスルールによる医院ごとのデータの分離。各医院は自院の行とファイルのみ閲覧できます。
- 有効期限の短い署名付きリンクによるファイル配信。アップロードは種類とサイズで制限。
- サーバーと委託先アカウントへのアクセスをDentVideoの運営者に限定。
- 有料の処理工程ごとのリクエスト制限と支出上限。
- 第9条に記載のとおり医院のデータを削除する、医院自身によるアカウント削除機能。
6. サブプロセッサー
医院は、以下のサブプロセッサーについて包括的な承認を与えます。当社は各サブプロセッサーに対し、その標準条件が許す範囲で本DPAと同等以上のデータ保護義務を課し、引き続き責任を負います。
- 目的:
- dentvideo.com、動画処理、データベース、ログイン、ファイル保管が稼働する仮想専用サーバー（オープンソースソフトウェアSupabaseの当社独自のインストール）。
- データ:
- サービスのすべてのデータ：アカウント、医院プロフィール、アップロード、動画、請求関連の参照情報、ログ。
- 所在地:
- ドイツ（EU）
- 目的:
- 台本の作成とチェック、合成音声によるナレーションの生成、および当社の文字起こしサービスが利用できない場合のアップロード録画の文字起こし。
- データ:
- 台本に使用する医院プロフィール情報、台本テキスト、録画の音声（文字起こし用）。
- 所在地:
- 米国
- 目的:
- サービスメール（確認コード、「動画が完成しました」、支払いに関するお知らせ）の送信。
- データ:
- メールアドレス、医院名、メール本文。
- 所在地:
- 米国
- 目的:
- 販売者（Merchant of Record）としての決済、サブスクリプション、請求書、税金、返金。決済データについては、Dodo Paymentsが独立した管理者です。
- データ:
- メールアドレス、氏名と請求先情報、決済データ、サブスクリプションの状態。
- 所在地:
- Dodo Paymentsのプライバシーポリシーをご覧ください
| 事業者 | 目的 | データ | 所在地 |
|---|---|---|---|
| Hostinger | dentvideo.com、動画処理、データベース、ログイン、ファイル保管が稼働する仮想専用サーバー（オープンソースソフトウェアSupabaseの当社独自のインストール）。 | サービスのすべてのデータ：アカウント、医院プロフィール、アップロード、動画、請求関連の参照情報、ログ。 | ドイツ（EU） |
| OpenAI | 台本の作成とチェック、合成音声によるナレーションの生成、および当社の文字起こしサービスが利用できない場合のアップロード録画の文字起こし。 | 台本に使用する医院プロフィール情報、台本テキスト、録画の音声（文字起こし用）。 | 米国 |
| Resend | サービスメール（確認コード、「動画が完成しました」、支払いに関するお知らせ）の送信。 | メールアドレス、医院名、メール本文。 | 米国 |
| Dodo Payments | 販売者（Merchant of Record）としての決済、サブスクリプション、請求書、税金、返金。決済データについては、Dodo Paymentsが独立した管理者です。 | メールアドレス、氏名と請求先情報、決済データ、サブスクリプションの状態。 | Dodo Paymentsのプライバシーポリシーをご覧ください |
サブプロセッサーを追加または変更する場合は、少なくとも30日前に医院にメールで通知します。医院がデータ保護上の合理的な理由で異議を述べ、解決できない場合、医院は解約でき、当社は変更後の期間について前払いされた料金を返金します。
サブプロセッサーではないもの：Supabaseは上記サーバー上で当社が自ら運用するオープンソースソフトウェアです（Supabase Inc.はデータを受け取りません）。Googleの検索候補とPexelsのストック動画ライブラリは一般的な検索語のみを受け取り、個人データは受け取りません。Dodo Paymentsは決済データについて、同社の条件に基づく独立した管理者として行動します。
7. 国外移転
当社はEU/EEA域外のモンテネグロに所在し、一部のサブプロセッサーは米国でデータを処理します。GDPR、英国GDPR、その他の適用法が、当社またはサブプロセッサーに送られるデータについて移転の仕組みを求める場合、当事者は十分性認定があればそれに、なければ欧州委員会の標準契約条項（管理者–処理者または処理者–処理者モジュール、必要に応じて英国補遺付き）に依拠し、当社はご要望に応じてこれに署名します。
8. 支援、侵害、監査
- サービスが許す範囲で、データ主体からの請求への対応（資料の検索・削除など）について医院を支援します。
- 当社の処理に関わる場合、セキュリティ、データ保護影響評価、当局との協議について医院を支援します。
- 医院のデータに影響する個人データ侵害を認識した場合、保有する情報とともに不当な遅滞なく医院に通知します。
- 本DPAの遵守を示すために必要な情報を提供し、合理的な事前通知のうえ、当局の要求がない限り年1回を上限として、医院の費用負担による監査に応じます。
9. 終了時の削除
医院はいつでも動画をダウンロードできます。医院がアカウントを削除すると、当社は稼働中のシステムから直ちにデータを削除します。バックアップ内のコピーはローテーションに伴い上書きされ、法律で保存が求められる場合を除き、30日以内に医院のデータは当社に残りません。
10. 準拠法と優先順位
本DPAは、GDPRその他の適用されるデータ保護法に基づくデータ主体および当局の権利を制限することなく、利用規約の準拠法と管轄に従います。データ保護に関して本DPAと利用規約が矛盾する場合は本DPAが優先します。英語版が正文です。