外国にある第三者への個人データ提供に関する同意（Reflect AI）

1. この同意が必要な理由

Reflect AIは応答を生成するため、米国のOpenAIが提供するAI技術（API）を利用します。この過程で利用者の記録の一部が米国に送信されます。

法第28条第1項は、外国にある第三者に個人データを提供する場合、原則として本人の同意を得ることを求めています。国内において業務を委託する場合は第三者提供に当たりませんが、外国にある第三者への提供についてはこの例外が適用されないため、当社は本同意をお願いしています。

法第28条第2項および施行規則第17条第2項に基づき、同意をいただく前に以下の3つの情報をお知らせします。

2. 移転先となる外国の名称（施行規則第17条第2項第1号）

米国

3. 提供の内容

提供する情報

• 利用者がReflect AIに入力した質問
• その質問に応答するために検索された利用者ご本人の記録テキスト（カプセル・バブルに記録したテキストのうち、当該質問に関連する一部）
• 直前の対話の文脈情報

提供しない情報

• 氏名、メールアドレス、電話番号、生年月日などのアカウント情報
• 写真・動画・音声ファイル、位置情報、活動情報
• 質問と関連のない記録

当社は応答の生成に必要な最小限の記録のみを送信し、利用者の記録の全体を国外に移して保存することはありません。

4. 米国における個人情報の保護に関する制度に関する情報（施行規則第17条第2項第2号）

米国の個人情報保護制度について、日本の制度との主な相違点は以下のとおりです。

4-1. 包括的な個人情報保護法が存在しないこと

米国には、日本の個人情報保護法のように民間部門全体を対象とする包括的な連邦法が存在しません。医療分野（HIPAA）、金融分野（GLBA）、児童のオンライン上の情報（COPPA）など、分野ごとの連邦法が個別に規律しています。

4-2. 州法による規律

カリフォルニア州のCCPA/CPRAをはじめ、複数の州が独自の消費者プライバシー法を制定しています。適用される保護の内容は州によって異なります。

4-3. 執行の枠組み

日本の個人情報保護委員会に相当する、民間部門全体を所管する独立した監督機関は存在しません。連邦取引委員会が、連邦取引委員会法第5条の不公正または欺瞞的な行為に対する規制権限に基づいて執行を行っています。

4-4. 日本との関係

米国は、法第28条第1項において本邦と同等の水準にあると認められる外国として指定されていません（現在指定されているのは欧州経済領域の各国および英国です）。

4-5. 政府によるアクセス

米国では、外国情報監視法第702条をはじめとする法令に基づき、政府機関が事業者の保有する情報へアクセスする権限を有していることが指摘されています。

本節の記載は、個人情報保護委員会が公表している外国の個人情報保護制度に関する調査資料を参考に作成しています。

5. OpenAIが講ずる個人情報の保護のための措置（施行規則第17条第2項第3号）

5-1. データ処理に関する取決めの適用

当社はOpenAIと個別の契約を締結していませんが、有料のAPI利用については、OpenAIのサービス規約にデータ処理に関する付属合意（Data Processing Addendum）が組み込まれています。この合意により、OpenAIは当社の指示に従ってのみ情報を取り扱い、安全管理措置を実施し、契約終了時に情報を削除する義務を負います。

5-2. 保有期間

OpenAIは、APIを通じて送信された情報を不正利用の監視を目的として最大30日間保管したのち削除します。ただし法令により保管が求められる場合は、その期間保管されることがあります。

5-3. AIモデルの学習に使用されないこと

OpenAIは、APIを通じて送信された情報を自社のAIモデルの学習・訓練には使用しません。これはAPIサービスの既定の方針であり、当社は学習への活用に同意していません。

5-4. 方針違反が疑われる内容の確認

OpenAIは自社の利用方針への違反の有無を自動的に点検しており、違反が疑われるとされた内容については人による確認が行われることがあります。 この場合、当該内容の一部がOpenAIの下請処理者に共有されることがあります。

当社の従業者が利用者のReflect AI対話を閲覧することはありません。上記の確認はOpenAIが自社の方針に従って実施する手続です。

5-5. 下請処理者

OpenAIはサービスの運営のためクラウド事業者などの下請処理者を利用しています。下請処理者の一覧はOpenAIが公表しており、当社はその変更内容を確認しています。

6. 当社が講ずる措置

• 通信経路の暗号化およびアクセス権限の管理
• 送信前のアカウント識別情報の除去
• 外国において個人データを取り扱うことに伴う、当該外国の個人情報の保護に関する制度等の把握（法第23条・外的環境の把握）
• 外国への提供に関する苦情の処理および紛争解決の窓口の運営（contact@hansei.team）

7. 同意されない場合

本同意は任意ですが、OpenAIのAI技術の利用はReflect AI機能の本質的な部分であるため、同意されない場合はReflect AI機能をご利用いただけません。

同意されない場合でも、カプセル・バブルの作成やタイムラインなどタイムバブルのその他すべての機能は通常どおりご利用いただけます。 記録が国外に送信されることもありません。

8. 同意の撤回

利用者はいつでも以下の方法で本同意を撤回できます。

• アプリ内「マイページ > お問い合わせ」
• メール contact@hansei.team

撤回後は遅滞なくReflect AI機能を停止し、以降利用者の情報が国外に送信されることはありません。既に送信された情報は § 5-2 に従い最大30日以内にOpenAIにおいて削除されます。

9. 記載内容の変更

移転先、移転先となる外国、利用目的、保有期間などの記載内容を変更する場合、当社は利用者にお知らせし、改めて同意を得ます。

10. お問い合わせ