Perplexity データ処理付帯条項

最終更新日：2025年7月8日

本データ処理付帯条項（以下「本DPA」といいます）は、Perplexity AI, Inc.（以下「Perplexity」といいます）とビジネス顧客（以下「顧客」といいます）との間で締結され、本DPAを明示的に参照する特定の利用規約およびその他の契約の一部を構成し、これに組み込まれるものです。これには、Perplexity Pro for Enterprise利用規約およびPerplexity API利用規約が含まれますが、これらに限定されず、顧客によるPerplexityのサービス（以下「本サービス」といいます。また、関連する利用規約またはその他の合意を「本契約」といいます）の利用に適用されます。顧客による本サービスの利用に関連してPerplexityが個人データを処理する範囲において、本DPAは、かかる個人データの処理に関する顧客の指示、および両当事者の権利と義務を定めるものです。本DPAに明示的に定められている場合を除き、本契約は修正されることなく、完全に効力を有するものとします。本DPAと本契約との間に矛盾が生じた場合は、本DPAが優先されるものとします。

定義。本DPAの目的において、以下の用語は、以下に定める意味を有するものとします。本DPAで使用され、ここで定義されていない大文字で始まる用語は、Perplexity Pro for Enterprise利用規約で付与された意味を有するものとします。本契約で特に定義されていない本DPA内のその他の大文字で始まる用語は、プライバシー法において各々付与された意味を有するものとします。

「管理者から処理者への条項（Controller to Processor Clauses）」とは、(i) GDPRの対象となる個人データの移転に関しては、2021年6月4日付欧州委員会決定2021/914で定められた第三国への個人データ移転のための標準契約条項（特にモジュール2（管理者から処理者へ）を含みます）（以下「EU SCCs」といいます）、および (ii) UK GDPRの対象となる個人データの移転に関しては、英国情報コミッショナーが発行したEU委員会標準契約条項（バージョンB.1.0）に対する国際データ移転付帯条項（以下「UK付帯条項」といいます）を意味し、それぞれの場合において、随時修正、更新、または置換されるものを含みます。

「EU/UKプライバシー法」とは、適用される範囲に応じて以下を意味します。(i) 一般データ保護規則2016/679（以下「GDPR」といいます）、(ii) プライバシー電子通信指令2002/58/EC、(iii) 英国データ保護法2018、データ保護・プライバシー・電子通信（改正等）（EU離脱）規則2019により改正された英国データ保護法2018で定義される英国一般データ保護規則（英国データ保護法2018と合わせて「UK GDPR」といいます）、およびプライバシー電子通信規則2003、ならびに (iv) 上記のいずれかを実装する関連法、指令、命令、規則、規制、またはその他の拘束力のある手段。それぞれの場合において、適用され、随時施行されており、かつ随時改正、統合、再制定、または置換されるものを含みます。

「個人データ」とは、Perplexityが本サービスを提供するために顧客に代わって処理する情報であって、プライバシー法の下で「個人データ」、「個人情報」、または「個人識別情報」として定義されるあらゆる情報を意味します。

「プライバシー法」とは、適用に応じて、EU/UKプライバシー法、米国プライバシー法、およびデータ保護、プライバシー、または個人データの利用に関連し、管理者および処理者が個人データの処理に関して特定の契約上の責務に合意することを要求する、その他の法域の類似法を意味します。それぞれの場合において、適用され、随時施行されており、かつ随時改正、統合、再制定、または置換されるものを含みます。

「処理者から処理者への条項（Processor to Processor Clauses）」とは、(i) GDPRの対象となる個人データの移転に関しては、2021年6月4日付欧州委員会決定2021/914で定められた第三国への個人データ移転のための標準契約条項（特にモジュール3（処理者から処理者へ）を含みます）、および (ii) UK GDPRの対象となる個人データの移転に関しては、英国情報コミッショナーが発行したEU委員会標準契約条項（バージョンB.1.0）に対する国際データ移転付帯条項を意味し、それぞれの場合において、随時修正、更新、または置換されるものを含みます。

「第三国」とは、欧州経済領域または英国のデータ保護法の範囲外にある国または地域を意味し、関連する管轄当局によって随時、個人データに対して十分な保護を提供すると承認された国または地域を除きます。

「米国プライバシー法」とは、適用に応じて、カリフォルニア州消費者プライバシー法（CCPA）、コロラド州プライバシー法、コネチカット州データプライバシー法、ユタ州消費者プライバシー法、バージニア州消費者データ保護法、個人データの処理に関連する他の州の類似法、および前述のいずれかに基づいて公布された規制を意味し、それぞれの場合において、適用され、随時施行されており、かつ随時改正、統合、再制定、または置換されるものを含みます。

「事業者（Business）」、「管理者（Controller）」、「処理者（Processor）」、「販売（Sell）」、「サービスプロバイダー（Service Provider）」、および「共有（Share）」という用語は、適用されるプライバシー法の下で付与された意味を有するものとします。

当事者の役割。当事者は、本サービスの提供において顧客から受領した個人データに関して、プライバシー法の目的上、顧客が管理者または処理者、あるいは事業者であり、Perplexityがサービスプロバイダーまたは処理者であることを確認するものとします。

顧客の義務：顧客は、本サービスの利用に関連してPerplexityに個人データを提供する際、本サービスとの統合の利用を含め、すべてのプライバシー法を遵守するものとします。顧客は、(a) すべての個人データが、個人への通知および/または同意の取得に関する義務を含め、すべてのプライバシー法を遵守して、顧客によって、または顧客に代わって収集され、常に処理および維持されていること、ならびに (b) 顧客が個人データをPerplexityに開示し、Perplexityが本契約および本DPAに記載されている通りに個人データを処理できるようにするために、プライバシー法を遵守していること（合法的な根拠を有することを含む）、およびその他必要なすべての権利、許可、同意、承認を有していることを表明し、保証します。顧客は、Perplexityへの個人データの提供が米国プライバシー法に基づく「販売」または「共有」となるような行為、あるいはその他の方法でPerplexityを米国プライバシー法に基づくサービスプロバイダーまたは処理者ではない状態にするような行為を行ってはならないものとします。顧客は、本契約に基づく個人データの処理がプライバシー法に準拠していない、または将来準拠しなくなる可能性があると判断した場合、不当な遅延なくPerplexityに通知するものとします。その場合、Perplexityはかかる個人データの処理を継続する義務を負わないものとします。

個人データの処理。当事者は、処理の詳細が別紙1に記載されていることに同意します。本契約に基づき個人データを処理する際、Perplexityは以下のことを行うものとします。

適用されるプライバシー法によってかかる個人データの処理が別段許可されている場合を除き、かつ常にプライバシー法および本DPAの条件を遵守し、プライバシー法によって要求されるレベルのプライバシー保護を提供した上で、別紙1に記載された限定的かつ特定の目的のために、顧客からの文書化された指示に基づいてのみ個人データを処理すること。

以下のいずれかに該当する場合、顧客に速やかに通知すること：(i) 顧客による個人データの処理指示、プライバシー法に基づく義務、または本DPAの条件を遵守できなくなったと判断した場合、あるいは (ii) 顧客の指示が適用されるプライバシー法に違反していると考える場合。

プライバシー法によって要求される範囲において、Perplexityが本DPAおよびプライバシー法に基づく顧客の義務と整合する方法で個人データを使用していることを確認し、個人データの不正利用を停止および是正するために、合理的かつ適切な措置を講じる権利を顧客に付与すること。

個人データを処理する各従業員またはその他の者が、かかる個人データに関して適切な守秘義務を負うことを要求すること。

禁止事項。プライバシー法によって要求される範囲において、Perplexityは (a) 個人データを「販売」または「共有」せず、(b) Perplexityと顧客との間の直接的なビジネス関係の外で、かつ顧客に本サービスを提供するという特定の目的以外の目的で個人データを保持、使用、または開示せず、(c) 顧客から、または顧客に代わって受領した個人データを、個人データが関連する個人とのPerplexityの個別のやり取りから、またはその他の情報源から収集された可能性のあるいかなる個人データとも結合しないものとします。疑義を避けるため付言すると、個人データはPerplexityの大規模言語モデルの学習には使用されません。Perplexityが (i) 法執行機関による個人データの開示に関する法的に拘束力のある要請、(ii) 監督当局/規制当局（または同等のもの）からの個人データに関する通知、照会、または調査、あるいは (iii) データ主体からの苦情または要請を、本DPAに基づき顧客のために、または顧客に代わってPerplexityが行う個人データの処理に関連して受領した場合（法律で許可されている範囲において）、Perplexityは顧客に通知するものとします。

下請負人の利用。

顧客は、本第6条の要件に従い、別紙2に記載された下請負人を従事させることについて、Perplexityに一般的な書面による承認を付与します。

Perplexityが新しい下請負人を指名する場合、またはモデルプロバイダー（以下に定義）ではない下請負人の追加または交換に関して変更を行う意図がある場合、10営業日前に書面（電子メールで十分とする）で顧客に通知するものとします。この期間中、顧客は、個人データの機密性もしくはセキュリティ、または下請負人のプライバシー法への準拠に関連する合理的かつ文書化された根拠に基づき、指名または交換に異議を唱えることができます（顧客が異議を唱えない場合、Perplexityは指名または交換を進めることができます）。顧客が5日以内に異議を唱えた場合、顧客とPerplexityは善意を持って協力し、異議の解決に向けて合意を図るものとします（例：個人データの使用制限、または顧客が本サービスの特定の側面もしくは機能を一時的もしくは恒久的に使用しないこと）。かかる善意の協議にもかかわらず解決策が見いだせない場合、顧客は（唯一の救済策として）本契約を解除し、未使用の前払い料金（本契約に定義）の返金を受けることができます。

Perplexityが新しい下請負人を指名する場合、または大規模言語モデルもしくはその他の生成AIモデルを提供する下請負人（以下「モデルプロバイダー」といいます）の追加または交換に関して変更を行う意図がある場合、Perplexityは顧客に通知し（電子メールで十分とする）、www.perplexity.ai/hub/legal/third-party-models に記載されている「サードパーティ・プロバイダー」のリストを更新するものとします（明確にするため、各プロバイダーは本DPAに基づくモデルプロバイダーです）。顧客が指名または交換に異議を唱える場合、顧客の唯一の救済手段は、本サービスを通じた関連するサードパーティ・モデルのすべての利用を停止することであり、顧客は（指名または交換後のいつでも、これを行う必要があります）。

Perplexityは、下請負人に対して、本DPAに基づくPerplexityの義務よりも過重でない義務を負わせる書面契約に基づいてのみ、下請負人を従事させるものとします。

EU/UKプライバシー法に基づき、顧客に代わって特定の処理活動を行うためにPerplexityが下請負人を従事させ、当該下請負人がその義務を果たせなかった場合、Perplexityは、適用されるEU/UKプライバシー法に基づき、当該下請負人の義務の履行について顧客に対して全責任を負うものとします。

支援。Perplexityは、個人データの処理に関連して、顧客がその結果として生じる義務を遵守できるようにするため、以下により顧客を支援するものとします：

プライバシー法に基づく個人の権利に従った要請について顧客に通知すること。これには、可能な範囲で、関連する個人データを提供、削除、もしくは訂正すること、または顧客が同じことをできるようにすることが含まれます。

プライバシー法によって要求される範囲において、データ保護影響評価を実施し、必要に応じて関連する管轄当局と事前の協議を行うこと。および

Perplexityが個人データに対する不正または違法なアクセス、破壊、使用、損失、修正、または開示（以下「個人データ漏洩」といいます）を認識した後、不当な遅延なく顧客に通知すること。

セキュリティ対策。Perplexityは、技術水準、実装コスト、および処理の性質、範囲、文脈、目的を考慮し、別紙3に記載されている、または顧客とPerplexity間で随時合意および文書化された、リスクに応じたレベルのセキュリティを提供するように設計された適切な技術的、物理的、および組織的措置を講じるものとし、本契約の期間中、これらを継続的に遵守するものとします。Perplexityは、個人データへのアクセスを許可された従業員およびその他の者に対し、データ保護およびセキュリティに関するトレーニングを提供するものとします。

アクセスおよび監査。顧客からの合理的な書面による要請があり、プライバシー法によってPerplexityに要求される範囲において、Perplexityは、本DPAおよびプライバシー法に基づくPerplexityの義務の遵守に関する検査および監査を許可し、これに協力するものとします。顧客の要請に基づき、かかる遵守を証明するために合理的に必要な範囲でPerplexityが保有する情報を提供すること、および/または資格のある独立した監査人が、かかる評価のために適切かつ認められた管理基準もしくはフレームワークおよび評価手順を用いて、Perplexityのポリシーならびに技術的および組織的措置の評価を実施できるよう手配することによって、これを行うものとします。Perplexityは、合理的な要請に基づき、かかる評価の報告書を顧客に提供します。顧客は、Perplexityへの30日前の書面による通知をもって、12か月に1回を超えない範囲でかかる情報および/または監査を要請することが許可されるものとします。ただし、当事者が監査の範囲について合意に達し、監査人が守秘義務を負っている場合に限ります。前述にかかわらず、ベンダーが他の顧客に対して負う守秘義務または法的義務に違反することになる範囲において、顧客に情報、施設、またはシステムへのアクセスを許可することが要求されることはいかなる場合もありません。

個人データの削除。Perplexityは、法律により個人データの保持が義務付けられている場合を除き、顧客への本サービスの提供終了から30日以内に、すべての個人データを削除（または顧客の選択により返却）するものとします。その場合、Perplexityは当該法的要件について顧客に不当な遅延なく通知し、当該保持義務の期間満了後、個人データを削除（または顧客の選択により返却）するものとします。

データ移転。PerplexityがEU/UKプライバシー法の対象となる個人データを第三国で処理し、データ輸入者として行動する範囲において、Perplexityは、本DPAに組み込まれ、その一部を構成する「管理者から処理者への条項」または「処理者から処理者への条項」（該当する場合）に定められたデータ輸入者の義務を遵守するものとし、かつ以下を行うものとします：

別紙Iまたは第1部（該当する場合）の目的上、(i) 顧客は管理者または処理者（該当する場合）であり、Perplexityは処理者であること、および (ii) 本契約、本DPA、および別紙1に記載された当事者、連絡先担当者の詳細、および処理の詳細が適用され、開始日は本契約の発効日とすること。

該当する場合、UK付帯条項の第1部の目的上、関連する付帯条項EU SCCs（UK付帯条項で定義される用語）は、本第11条によって本DPAに組み込まれたEU SCCsであること。

別紙IIまたは第1部（該当する場合）の目的上、別紙3に記載されている技術的および組織的なセキュリティ対策、ならびに顧客を支援するためにPerplexityが講じる技術的および組織的な措置が適用されること。

該当する場合、別紙IIIまたは第1部（該当する場合）の目的上、別紙2に記載されている認定下請負人のリストが適用されること。および

該当する場合、以下の目的上：(i) 第9条「オプション2（一般的な書面による承認）」が選択されたとみなされ、通知期間に関して第6.b条および第6.c条が参照されること。(ii) 第11条(a)項、独立した紛争解決に関する任意の文言が含まれるものとみなされること。(iii) 第13条および別紙I.C、管轄監督当局はアイルランドの規制当局とすること。(iv) 第17条および第18条、オプション1が選択されたとみなされ、準拠法および管轄裁判所は、それぞれアイルランド法およびアイルランドの裁判所とすること。(v) 第1部、輸出者としての顧客は、当該UK付帯条項の第19条に従ってUK付帯条項を解除できること。

Perplexityが第三国において個人データを処理するために系列会社またはサードパーティの下請負人を指名する範囲において、Perplexityは、顧客に代わって指名する関連下請負人（系列会社を含む）と「処理者から処理者への条項」を締結するものとします。顧客の要請に基づき、Perplexityは顧客と個別に「管理者から処理者への条項」を締結し、Perplexityによる個人データの処理がプライバシー法の要件に従って行われることを保証するために顧客が合理的に要請するその他の代替または追加の措置を講じるものとします。

責任。EU SCCの第12条および契約によって制限できない適用法に従い、本DPA、EU SCC、およびUKアドレンドムに起因または関連して発生する各当事者の責任の総額は、契約形態（契約、不法行為、その他）を問わず、契約に定められた責任の除外および制限の対象となります。また、本DPA、EU SCC、またはUKアドレンドムに基づく責任は、当該制限額に算入され、これを増加させるものではありません。本条のいかなる規定も、EU SCCの第12条(b)もしくは第12条(c)に基づくデータ主体の対する各当事者の責任、または適用されるデータ保護法に基づき制限できない責任を制限するものではありません。

別紙1

処理の詳細：

処理の性質

本契約に記載された顧客への本サービスの提供。

処理の目的

本契約に記載された顧客への本サービスの提供。

個人データが処理される個人のカテゴリー

本サービスの認定ユーザー、およびその他顧客が決定する者。

処理される個人データのカテゴリー

認定ユーザーのアカウント情報、および顧客が決定する本サービスを通じて送信された入力に含まれる個人情報。入力に含まれるあらゆる個人情報は、(a) 顧客が本サービスのインターフェースを通じて削除した日、および (b) Perplexityが顧客への本サービスの提供を停止した日から30日後、のいずれか遅い日まで保存されます。

プライバシー法の下で「機密」または「特別カテゴリー」と見なされる処理対象の個人データの種類

認定ユーザーが予期せずに入力に含めた場合を除き、機密データは処理されない意図です。

頻度（例：一度限りまたは継続的）および処理期間

本契約の期間中、および本契約に記載されている終了後の保持期間中、継続的に処理されます。

第6条に従って承認された再処理者によって行われる処理の主題、性質、および期間は、本別紙1および別紙2に記載の通りです。

別紙2

認定下請負人：

https://trust.perplexity.ai/subprocessorsに記載されているとおりです（「トラストセンター・サブプロセッサーリスト」）。

別紙3

セキュリティ対策：

Perplexityは、個人データの処理によって提示されるリスクに比例した合理的なセキュリティ対策を維持し、その他、AmazonやMicrosoftを含む別紙2に記載の下請負人が実装および維持するセキュリティ対策に依拠します。Perplexityのセキュリティへの取り組みに関する詳細は、本契約をご参照ください。