プライバシーポリシー

1. 管理者および連絡先

MARA LABSが管理者として行動する場合、本ポリシーに記載する個人データの取扱いに関する管理者は、以下の会社である。

お問い合わせ方法

本ポリシーに関するご質問、権利の行使、または個人データの取り扱いに関する一般的なお問い合わせについては、本社宛の郵便にてMARA LABSまでご連絡いただけます:

MARA LABS — データ保護 — 41 rue Jacquemars Giélée, 59800 Lille, France.

連絡先メールアドレス。本ポリシーの公表日時点で、MARA LABSはまだ専用の連絡先メールアドレスを保有していません。専用の連絡先メールアドレスは、ドメインの開設後速やかに稼働し、ここに公表されます。それまでの間、個人データに関するあらゆる請求の唯一の連絡窓口は、本店所在地宛の郵便とします。

データ保護責任者

その取扱いの性質、範囲および目的を踏まえ、MARA LABSはデータ保護責任者（DPO）を選任していません。これは、GDPR第37条の意味においてこの選任が義務付けられていないためです。データ保護に関するあらゆる問い合わせの唯一の連絡窓口は、上記の条件のもとで本店所在地宛の郵便とします。

2. 定義

本ポリシーの理解を助けるため、以下の大文字で表記される用語は、それぞれ次の意味を有します。RGPDに由来する定義は、同規則第4条の定義を踏襲するものです。

RGPD(第4条)に由来する用語

• 個人データ:氏名、識別番号、位置データ、オンライン識別子等の識別子への言及、またはその者に固有の一つもしくは複数の要素への言及により、直接的または間接的に識別された、または識別され得る自然人に関する一切の情報をいう。
• 取扱い:収集、記録、整理、保存、閲覧、利用、開示、消去または破棄など、個人データに対して行われるあらゆる操作または一連の操作をいいます。
• 管理者:処理の目的および手段を決定する自然人または法人。
• 処理者：管理者に代わってデータを処理する自然人または法人。
• データ主体: データが処理される、識別された、または識別され得る自然人をいいます。
• 受領者: データの提供を受ける自然人または法人。
• 同意: データ主体が、自らのデータの処理に同意する旨を示す、自由、特定的、説明を受けた上での、かつ曖昧さのない意思表示。
• 個人データ侵害: 偶発的または違法に、データの破壊、消失、改ざん、無断開示または無断アクセスを引き起こすセキュリティ上の侵害。

本サービス固有の用語

• 本サービス：顧客に代わって行動を実行する人工知能エージェントをオーケストレーションする、Software as a Service形式で提供されるソフトウェア「nullbot」をいいます。
• エージェント：本サービス内で設定され、1つまたは複数の人工知能モデルによって制御されるソフトウェア主体であり、お客様が定めた指示および設定に従って実際のタスクおよびアクションを実行するもの。
• アウトプット: 顧客コンテンツ及び提供された指示に基づいてエージェントが生成するコンテンツ、結果又はアクション。
• 顧客コンテンツ:顧客がサービスに提出した、またはエージェントがそのタスクの遂行に際してアクセスする、あらゆるデータ、ファイル、指示、識別情報及び情報の総体をいう。顧客コンテンツには、顧客が責任を負う個人データが含まれる場合がある。
• 顧客: 職業上の資格で行動し、本サービスに申し込む法人または個人であって、その代理としてエージェントがタスクを実行する者。
• 権限を有する利用者： 顧客により本サービスへのアクセス及びその設定を許可された自然人。
• モデル提供者：エージェントが使用する人工知能モデルを提供する第三者事業者（例：AnthropicまたはGoogle）。
• BYOキー（Bring Your Own Key）：顧客がモデル提供者に対して自身のアクセスキーを使用できるオプションであり、これにより当該提供者とのやり取りは顧客自身のアカウントおよび責任のもとで行われます。

3. 適用範囲

本ポリシーは、MARA LABSが以下の枠組みにおいて実施するすべての個人データの取扱いに適用される。

• 訪問者による本サイトの閲覧および利用;
• 見込み客および潜在的な顧客との商業上および契約締結前の関係;
• 顧客及びその権限を有する利用者との間の本サービス提供契約の申込み、履行及びフォローアップのため；
• 請求および支払いの管理について。
• 本サービスおよび本サイトのセキュリティ、監督および改善について。

処理者としての取扱い。 エージェントによる顧客コンテンツの取扱いは、GDPR第28条の意味における処理受託に該当します。この点において、顧客は管理者としての責任を負い続けるものとし、本ポリシーは、顧客が本人に対して行うべき情報提供に代わるものではありません。処理者としてのMARA LABSの責務は、以下の該当条項に記載され、DPAに詳細が定められています。

第三者へのリンク。 本ポリシーは、本サイトまたは本サービスからハイパーリンクを通じてアクセス可能な第三者のサイト、サービスまたはプラットフォームには適用されません。MARA LABSは、本人に対し、これら第三者独自のプライバシーポリシーを確認するよう推奨します。

4. 収集されるデータの区分

MARA LABSは、データ主体の属性および収集の状況に応じて、さまざまな種類の個人データを収集し、処理します。最小化の原則（RGPD第5条1項c号）が適用され、追求する目的に厳密に必要なデータのみが収集されます。

本サイト訪問者のデータ

本人がサイトを閲覧する際、MARA LABSは以下を取り扱うことがあります:

• 閲覧データ：閲覧したページ、接続日時、閲覧時間、本サイト内での動線。
• 技術データ : IPアドレス、ブラウザの種類及びバージョン、オペレーティングシステム、端末の種類、言語、画面解像度;
• クッキーおよびトラッカーによって設置される識別子（クッキーポリシーに記載された条件による）。

見込み客データ

本人がサービスに関心を示した場合(問い合わせフォーム、デモ依頼、営業上の連絡、配信登録など)、MARA LABSは以下を取り扱うことがあります:

• 職業上の識別データ:氏名、役職、会社名、業種;
• 業務上の連絡先情報:業務用メールアドレス、業務用電話番号;
• やり取りの内容:依頼の性質、表明されたニーズ、連絡履歴。

顧客および権限を有する利用者のデータ

契約の締結および履行に際し、MARA LABSは以下を処理します。

• アカウント識別データ:氏名、役職、メールアドレス、ログインID;
• 顧客企業の識別データ:商号、住所、識別番号(SIREN/SIRETまたはこれに相当するもの)、欧州域内付加価値税番号。
• アカウント管理データ:設定、エージェントの構成、付与されたアクセス権、設定履歴。
• 契約関係に関するデータ:契約書、注文、書簡、サポート依頼。

決済データ

支払いおよび請求の処理のために、以下のデータが処理されます。

• 請求データ:商号、請求先住所、VAT番号、取引金額および履歴。
• 決済代行業者Stripeによって直接収集・処理される決済手段に関するデータ。MARA LABSは、クレジットカードの完全な番号を保存しません。これらの機微なデータは、PCI-DSS認証環境において決済代行業者により処理されます。

エージェントに提供される顧客コンテンツ

エージェントによるタスクの遂行に伴い、顧客は個人データを含み得る顧客コンテンツを提出する(例えば、顧客の従業員、顧客、仕入先または連絡先に関するデータ)。これらのデータについては、以下のとおりとする:

• 顧客は管理者である。
• MARA LABSは処理者としての立場で行動し、これらのデータを顧客の文書化された指示に基づいてのみ、かつ本サービスの実行という唯一の目的のために取り扱います。

MARA LABSは、顧客コンテンツに含まれるデータの内容、性質または機微性を管理する立場にありません。法的根拠を有していること、必要な情報を本人に提供していること、および適切な保護措置がない限りRGPD第9条に規定する特別カテゴリーに該当するデータを提出しないことを確保するのは、顧客の責任です。

技術データおよびログ

本サービスの運用、セキュリティおよびトレーサビリティを確保するため、MARA LABSは以下を取り扱います。

• アクセスおよび活動ログ:接続および操作のタイムスタンプ、IPアドレス、セッション識別子、エージェントによって実行された操作。
• 技術ログおよび診断ログ:システムイベント、エラー、パフォーマンス指標;
• セキュリティログ:アクセス試行、認証イベント、セキュリティアラート。

5. 目的及び法的根拠

MARA LABSが管理者として行う各取扱いは、GDPR第6条に列挙された法的根拠のいずれかに基づき、一つまたは複数の特定された目的を追求します。以下の表はこれらの取扱いをまとめたものです。

正当な利益の説明および比較衡量

MARA LABSが処理の根拠を正当な利益(RGPD第6条1項(f))に置く場合、当該利益とデータ主体の基本的な権利及び自由との間で比較衡量を行う。

追求する利益。 主張される正当な利益には、特に以下が含まれます : 本サービス及び本サイトの安全性及び完全性の確保;不正利用及び濫用の防止;B2Bの事業活動の開発及び促進;本サービスの品質の向上;紛争発生時におけるMARA LABSの権利の保護。

合理性。 これらの処理は必要な範囲に限定されており、主として業務上のデータを対象とし、プライバシーに対して不均衡な侵害を生じさせるものではありません。対象者は、業務関係の文脈においてこれらの処理を合理的に予見できるものとします。

保証。データ主体は、いつでも、自己の特別な状況に関連する理由による異議申立権(GDPR第21条)を有し、ダイレクトマーケティングに関しては無条件の異議申立権を有します。行使方法については、権利に関する条項に記載されています。

6. 本サービスと人工知能

本サービスは、第三者のモデル提供者が提供する人工知能モデルによって駆動されるエージェントを基盤としています。MARA LABSは、この技術の仕組みに関する透明性を特に重視しています。

モデルプロバイダーへのコンテンツの送信

出力結果を生成するため、エージェントによって処理されるコンテンツおよび指示(該当する場合、顧客コンテンツを含む)は、モデル提供者に送信されます。この送信は、要求された出力結果を生成する目的のみで、かつ本サービスの実行の枠内で行われます。

プロフェッショナル向けインターフェースと学習利用ゼロ

モデル提供者とのやり取りは、企業向け利用規約に基づく業務用インターフェース(API)を通じて行われます。これらの規約により、送信されたコンテンツは提供者のモデルの学習または再学習に使用されません。データはリクエストに対応する出力の生成のみに使用されます。

「BYO key」オプション

本サービスは、顧客がモデル提供者に対する自身のアクセスキーを使用できる「BYOキー」(Bring Your Own Key)オプションを提供する。この場合、当該提供者とのやり取りは、顧客が承諾した提供者の条件に従い、顧客自身のアカウントおよび責任の下で直接行われる。

出力の確率的性質

7. 自動化された個別の意思決定

RGPD第22条に従い、データ主体は、プロファイリングを含め、もっぱら自動処理のみに基づいて下され、本人に関する法的効果を生じさせ、または同様に重大な影響を及ぼす決定の対象とならない権利を有します。

MARA LABSが処理管理者として行う処理。MARA LABSが処理管理者として行う処理(サイト、見込み顧客、顧客および請求の管理)においては、MARA LABSは第22条の意味における専ら自動化された処理のみに基づき法的効果またはこれに準ずる重大な影響を及ぼす決定を行うことはありません。

エージェントによって実行される行為。エージェントは、顧客に代わって自動化された方法で行為を実行することができる。これらの行為が、データ主体に対して法的効果または重大な影響を及ぼす自動化された決定に該当し得る場合、顧客は、顧客コンテンツの管理者としての地位において、その適法性を判断し、第22条が求める保護措置（特に人による介入、意見を述べる可能性および決定に異議を申し立てる可能性）を講じ、必要な情報を提供しなければならない。受託者であるMARA LABSは、顧客がこの人的管理を確保できるよう、設定および監督のための機能を提供する。

8. 処理者としてのMARA LABS（RGPD第28条）

顧客コンテンツの処理に関して、MARA LABSはGDPR第28条の意味における処理者として行動し、顧客は管理者としての地位を保持します。この関係は、dpa.htmlページからアクセス可能なデータ処理契約(DPA)により規律され、当該処理についてはこれが優先します。

処理者としてのMARA LABSの義務

RGPD第28条3項の適用により、MARA LABSは特に以下を約束します。

• 欧州連合域外への移転を含め、法律上別段の義務がある場合を除き、顧客の文書化された指示に基づいてのみデータを処理すること。
• データを処理する権限を有する者が守秘義務を負うことを確保することにより、データの機密性を保証すること。
• RGPD第32条に従い、適切な技術的および組織的措置を実施すること。
• 再委託先（二次処理者）の利用条件（事前の許可、変更に関する情報提供、契約を通じて課される同等の義務）を遵守すること；
• 適切な措置により、データ主体の権利行使の請求に対応するお客様を支援すること。
• セキュリティ、違反通知、影響評価および監督機関への事前協議に関する義務の遵守について顧客を支援すること。
• 削除または返還すること。役務提供の終了時に、顧客の選択に従い、既存の複製を破棄すること。ただし法令上の保存義務がある場合を除く。
• 自らの義務の遵守を証明し、かつ監査の実施を可能にするために必要なすべての情報を顧客に提供すること。

顧客への漏えい通知。処理者として、MARA LABSは、顧客コンテンツに影響を及ぼすデータ漏えいを認知した場合、顧客が自らの通知義務を果たせるよう、不当な遅滞なく顧客に通知します。

9. データの受領者

個人データは、MARA LABSの権限を有する社内部門に対し、その職務の範囲内で提供されるほか、以下の受領者区分に対しても提供されます。

• 商業管理、本サービスの運用、サポート、請求およびセキュリティに関与するMARA LABSの権限を有する職員。
• MARA LABSのために行動する再委託先（専用の条項に列挙するホスティング事業者、モデル提供事業者、決済事業者、コンテンツ配信事業者）；
• 取引の処理を行う決済代行事業者。
• MARA LABSの顧問およびサービス提供者(公認会計士、弁護士、監査人)であって、守秘義務を負う者;
• 法律上要求される場合、またはMARA LABSの権利を防御するために必要な場合における、権限を有する行政機関または司法当局。

MARA LABSは、個人データの販売を一切行いません。適用される法的根拠を遵守せずに、勧誘目的で第三者への提供を行うことはありません。

10. 再委託先

本サービスの提供にあたり、MARA LABSは再委託先として行動する第三者事業者を利用します。各事業者は、データ保護に関する保証を基準に選定され、GDPR第28条に準拠した義務を課す契約により拘束されます。以下の表は、主な再委託先を示すものです。

リストの変更及び異議申立権

MARA LABSは、本サービスの必要に応じて、再委託先（二次処理者）のリストを変更することがあります。変更（追加または交代）はいずれも本ポリシーに反映され、必要に応じてDPAに従って顧客に通知されます。顧客は、DPAに定める条件のもとで、新たな再委託先の追加について正当な理由に基づき異議を述べる権利を有します。

11. 欧州連合域外への移転

MARA LABSの一部の再委託先は欧州連合域外、特に米国に所在しています。第三国へのデータ移転はすべてRGPD第5章に従って規律されます。

標準契約条項

適用可能な十分性認定が存在しない場合、データ移転は、欧州委員会が2021年6月4日付実施決定(EU)2021/914により採択した標準契約条項(SCC)に基づいて行われます。これらの条項は、受領者に対し、RGPDと同等の保護義務を課します。

追加的な措置

実質的に同等の保護水準を確保するために必要な場合、MARA LABSは、標準契約条項(CCT)を補完するものとして、適切な追加的措置を実施し、またはその実施を確保します。これには特に、送信中および保存中のデータの暗号化、可能な場合の仮名化、厳格なアクセス制御、ならびに移転先国の法制および本人に提供される救済手段の評価が含まれます。

データ主体は、MARA LABSの本社宛てに書面で請求することにより、移転に関する追加情報および実施されている保護措置の写しを取得することができます。

12. 保存期間

個人データは、その処理目的に照らして必要な期間を超えない期間保管され、該当する場合は時効期間および法定保存期間が加算されます。以下の表に、適用される保存期間を明記します。

これらの期間を超えると、データは不可逆的に削除または匿名化されます。法律により義務付けられている場合、または裁判上の権利の確認、行使もしくは防御のために、一部のデータはより長期間アーカイブとして保存されることがあります。

第13条　データセキュリティ

GDPR第32条に従い、MARA LABSは、技術水準、実施費用、並びに取扱いの性質、範囲及び目的を考慮した上で、リスクに見合った適切な水準のセキュリティを確保するため、適切な技術的及び組織的措置を実施します。

技術的措置

• 通信中のデータの暗号化（TLSプロトコル）、および該当する場合は保存時のデータの暗号化。
• 最小権限の原則および権限を有する利用者の認証に基づくアクセス制御;
• 顧客間における環境及びデータの分離；
• アクセスおよび機微な操作のログ記録および追跡可能性の確保。
• 定期的なバックアップおよび復旧手順;
• セキュリティインシデントの監視および検知。

組織的措置

• 権限を有する職員に対する意識啓発および秘密保持の誓約。
• 権限管理およびアクセス権の定期的なレビュー;
• 十分な保証を提供する再委託先の選定および契約による管理;
• インシデントおよびデータ侵害の管理手続き。

14. データ侵害

MARA LABSは、個人データ侵害の検知、評価および管理のための手続を整備しています。

MARA LABSが管理者として行動する場合

本人の権利及び自由に対するリスクを生じさせるおそれのあるデータ違反が発生した場合、MARA LABSは、GDPR第33条に従い、当該違反を認識した後、速やかに、可能な場合には72時間以内にCNILへ通知します。当該違反が高いリスクを生じさせるおそれがある場合には、GDPR第34条に従い、本人に対しても速やかにその旨が通知されます。

MARA LABSが処理者として行動する場合

顧客コンテンツに影響を及ぼす侵害が発生した場合、MARA LABSは、GDPR第33条2項に従い、これを認識した後不当に遅滞することなく顧客に通知し、管理者である顧客が監督機関、および該当する場合は本人への通知義務を自ら履行できるようにします。

すべての違反は、事実、影響、および講じられた是正措置を明記した社内文書の対象となり、これは違反登録簿の保持義務に従うものとします。

15. お客様の権利

RGPDおよび情報処理と自由に関する法律（loi Informatique et Libertés）に従い、データ主体は、MARA LABSが管理者として取り扱う自己のデータについて、以下の権利を有する。

アクセス権(第15条)

お客様は、ご自身に関するデータが取り扱われているか否かについての確認を得ることができ、該当する場合には、その写しならびに目的、データの区分、受領者および保存期間に関する情報を取得することができます。

訂正権(第16条)

お客様は、ご自身に関する不正確なデータの訂正、および不完全なデータの補完を請求することができます。

消去権(第17条)

GDPRに定める場合において、法的な保存義務および法的権利の防御のために必要な事情がある場合を除き、お客様のデータの消去を請求することができます。

処理の制限を求める権利(第18条)

お客様は、特にデータの正確性または取扱いの適法性について異議を唱える場合など、データの利用の一時的な停止を求めることができます。

異議申立権(第21条)

お客様は、ご自身の特別な事情に基づき、MARA LABSの正当な利益に基づく取扱いに対して異議を述べることができるほか、営業目的の勧誘のための取扱いについては無条件に異議を述べることができます。

データポータビリティの権利（第20条）

同意または契約の履行を根拠とし、自動化された手段によって行われる取扱いについては、あなたは自己のデータを構造化され、一般的に使用され、機械可読な形式で受け取り、それを他の管理者に移転することができます。

同意を撤回する権利

取扱いがお客様の同意に基づく場合、お客様はいつでもこれを撤回することができ、撤回前に行われた取扱いの適法性には影響しません。

ポストモーテムのガイドライン

loi Informatique et Libertés(情報処理と自由に関する法律)第85条に従い、お客様はご自身の死後のデータの取扱いに関する指示(保存、消去、伝達)を、包括的または個別に定めることができ、その執行を担当する者を指定することができます。

苦情を申し立てる権利

お客様のデータの取扱いが規制に適合していないと考える場合、CNILへ苦情を申し立てる権利を有します(該当条項を参照)。

権利を行使する方法

お客様の権利は、次の宛先への郵送によって行使することができます:MARA LABS — データ保護担当 — 41 rue Jacquemars Giélée, 59800 Lille, France。専用の連絡用メールアドレスは、ドメインの開設次第、稼働を開始し、こちらに公開されます。

本人確認。不正アクセスを防止するため、MARA LABSは、請求者の身元について合理的な疑義がある場合、適切な方法により本人確認を行うよう求めることがあります。

回答期限。 MARA LABSは、請求の受領から1か月以内に回答します。この期間は、請求の複雑さや件数を考慮して2か月延長される場合があり、その場合はその旨が通知されます。

顧客コンテンツ。顧客コンテンツに含まれるデータについては、MARA LABSは処理者として行動するため、請求は管理者である顧客宛てに行う必要があります。MARA LABSは、DPAに従い、これらの請求の処理について顧客を支援します。

16. 未成年者のデータ

本サービスは業務用(B2B)ソフトウェアであり、未成年者を対象とするものでも、未成年者に提供されるものでもありません。MARA LABSは、管理者としての処理において、未成年者に関するデータを故意に収集することはありません。

MARA LABSが、適切な法的根拠なく未成年者に関するデータを誤って収集していたことを知った場合、当該データを速やかに削除します。このような状況を知った方は、本社宛ての書面にてご報告いただくようお願いいたします。

17. 商業的勧誘および異議申立権

MARA LABSは、B2Bの関係の枠組みにおいて、業務上の勧誘に適用される規則に従い、事業者に対して営業勧誘のための連絡を行うことがあります。

法令上必要とされる場合、勧誘活動は本人の事前の同意を条件とします。それ以外の場合、勧誘活動は、受信者の職務に関連する目的であることを条件として、事業を発展させるというMARA LABSの正当な利益に基づいて行われます。

お客様は、いつでも無料で、勧誘目的の通信の受信に異議を申し立てることができます。

• 各電子通信に記載されている配信停止リンクを利用すること(当該リンクが存在する場合)。
• MARA LABSの本社宛てに郵便で請求を送付することにより。

18. クッキーおよびトラッカー

本サイトはクッキーおよびその他のトラッカーを使用することがあります。本サイトの機能に厳密に必要なトラッカーはMARA LABSの正当な利益に基づくものであり、必須でないトラッカー(特に適用除外とならないオーディエンス測定)は、あなたの事前の同意に従うものとします。

詳細な条件(トラッカーの分類、目的、保存期間、同意の管理および撤回の方法)は、本ポリシーが明示的に参照するCookieおよびトラッカーに関するポリシーに詳しく記載されています。

19. データの出所と正確性

データの取得元。 MARA LABSが取り扱うデータは、そのほとんどの場合において本人から直接取得されます(フォーム、アカウント作成、商取引上のやり取り、サービスの利用)。一部の技術データは、サイトおよびサービスの利用によって自動的に生成されます。該当する場合、B2B営業活動の枠組みにおいて、業務上のデータが一般に公開されている情報源(登記簿、業務用サイト)から取得されることがあります。

データの正確性。 MARA LABSは、データを正確かつ最新の状態に維持するよう努めています。訂正権を行使し、データを更新できるよう、不正確な点があればお知らせください。

20. ポリシーの変更

MARA LABSは、法令、規制、判例、技術または組織上の変化に適応するため、あるいは本サービスまたは再委託先リストの変更に伴い、本ポリシーを変更することがあります。

適用されるバージョンは、閲覧日時点で本サイトに掲載されているバージョンです。重要な変更があった場合、MARA LABSは適切な方法により対象者に周知するよう努めます。本ページを定期的にご確認いただくことを推奨します。

21. 監督機関への申立て

私たちにご連絡いただいた後もなお、お客様の権利が尊重されていない、またはお客様のデータの処理が法令に適合していないとお考えの場合、お客様は、フランスにおける管轄監督機関である情報処理及び自由に関する国家委員会(CNIL)に苦情を申し立てる権利を有します。

ただし、MARA LABSは、いかなる苦情申立てに先立っても、友好的な解決策を模索するため、本社宛てに郵便で連絡することを推奨します。