業務委託契約（DPA）

参考訳。 本業務委託契約の内容について法的に拘束力を有するのは、gethokku.com/dpaに掲載された英語版です。本日本語版と英語版との間に内容上の重大な相違がある場合は、英語版が優先します。ただし、§13.3に定める例外を除きます。

平易な要約は本文書全体にわたって斜体で表示され、読解の便宜のみを目的としています。**契約上の効力はありません。**両当事者を拘束するのは番号付き条項のみです。

本業務委託契約（以下「本DPA」または「業務委託契約」といいます）は、Hokku利用規約を補完するものであり、H-MOON Digital（以下「委託先」）が、Shopifyストアを運営する事業者（以下「個人情報取扱事業者」または「マーチャント」）に代わってHokkuアプリにおいて個人情報を取扱う方法を規律します。

マーチャントは、Hokkuアプリをインストールまたは利用することにより、本DPAに同意するものとします。別途の署名は不要です。

本DPAの位置付け。 HokkuはShopify App Storeを通じて配信されます。Shopifyは、Shopify Data Processing Addendumに基づき、マーチャントに対して独立した個人情報取扱事業者として行動し、同DPAがShopifyが直接取扱うすべてを対象とします。本DPAは、H-MOON DigitalがHokkuアプリにおいて直接取扱うもののみを対象とし、Shopifyとの関係とは別個の委託関係を規律します。 マーケティングサイトgethokku.comで収集されるデータは、プライバシーポリシーにより別途規律されます。

1. 役割および範囲

要約：お客さまのストアが個人情報取扱事業者です。Hokkuは、お客さまの文書化された指示に基づき行動する委託先です。

1.1. マーチャントは、その顧客、見込み顧客、従業員およびストアレベルの活動に関する個人情報（Hokkuに対しShopifyストアおよび管理画面を通じて到達するデータを含みます）について、個人情報取扱事業者として行動します。

1.2. H-MOON Digitalは、マーチャントがHokkuを通じて提供または生成する個人情報について委託先として行動し、当該情報を、Hokku利用規約、本DPAおよびHokkuアプリのインターフェースに定められた個人情報取扱事業者の文書化された指示に基づき、これらに従ってのみ取扱います。

1.3. 範囲。 本DPAは、H-MOON DigitalがHokkuアプリおよび関連するサポートインフラにおいて行う取扱いに適用されます。本DPAは、(a) ShopifyがShopify DPAに基づき行う取扱い、(b) マーケティングサイトgethokku.com上で行われる取扱い、(c) マーチャントがHokku外で行う取扱いには適用されません。

2. 個人情報および本人の類型

要約：お客さまのストアでHokkuが動作するために必要な範囲のみ。広告データなし。必要な範囲を超える追跡なし。

2.1. 本人の類型。

• マーチャントの顧客および見込み顧客（ストアのエンドユーザー）。

• Hokku管理画面にアクセス権を持つマーチャントの従業員および協力者。

• マーチャント自身（個人事業主の場合）。

  2.2. Hokkuにおいて取扱う個人情報の類型。

• 顧客側（マーチャントのストア）：仮名化された識別子（Shopifyカートトークン）、閲覧またはカート追加された商品リファレンス、Hokkuウィジェットが表示されるページのURL。顧客を識別する項目は一切取扱いません——氏名、メールアドレス、電話番号、請求先住所・配送先住所、顧客IDのいずれも取扱いません。サードパーティトラッキングなし、広告識別子なし、行動プロファイリングなし。

• 注文側（購入後）：注文ID、作成日時、通貨、注文合計金額、割引合計、税額合計、テストフラグ、流入チャネル。明細ごとに明細ID、商品ID、バリエーションID、数量、価格。配送料の行——その金額のみ（送料無料の判定用）。適用された割引コードとその金額。Hokku特定オファーへの売上増分の帰属計算（高度な分析——Starterプラン以上）、および月間注文数の集計（サブスクリプションプランの判定）に使用します。配送業者、配送先住所、配送予定日はいずれも読取りません。

• マーチャント側（管理画面）：ShopifyストアのURL、ストアオーナーのメールアドレス、Hokku管理画面ユーザーの識別子、セキュリティログ用のIPアドレスおよびユーザーエージェント。

  2.3. 取扱わないことを明示する個人情報の類型。

• 顧客の氏名、メールアドレス、電話番号、請求先住所および配送先住所——一切取扱いません。HokkuからShopify Admin APIへのクエリは顧客オブジェクトを取得せず、注文Webhookは顧客を識別する項目を読取らずに解析します。

• 決済カード情報——一切取扱いません（Shopify BillingがHokkuサブスクリプション料金のすべての決済を処理します）。

• 顧客のパスワードまたはログイン情報——一切取扱いません。

• 健康情報、生体情報、宗教、政治信条、性的指向に関する情報——一切取扱いません。Hokkuのカスタムフィールドを通じてマーチャントが誤ってこれらのデータを送信した場合、当該データの責任はマーチャントが単独で負います。

  2.4. マーチャントのストアにおける効果測定。

Hokkuは、オファーの表示回数とクリック数を同一訪問者で二重に数えることなく集計し、売上を発生源のオファーに紐づけるため、マーチャントのストア訪問者のブラウザに技術的な識別子を保存します。この識別子は当該マーチャントのストア限りのもので、個人情報（氏名、メールアドレス、IPアドレス）を一切含まず、十三（13）か月で更新されます。

表示およびクリックの生レコード上では、訪問者識別子は日次処理により二十四（24）時間で消去されます——アプリケーション上の有用性は三十分です。

コンバージョンのレコードに残るのは注文IDであり、これは必要によるものです。customers/redact の要求は、この注文IDを通じて履行されるためです。要求に応じて削除できる状態を保つべきものは、匿名化できません。

3. 取扱目的および法的根拠

要約：Hokkuの動作、サポート提供、サービス改善のためにのみデータを取扱います。お客さまの個人情報保護法上の根拠は「契約の履行」です。

3.1. 目的。 H-MOON Digitalは、以下の目的にのみHokkuにおいて個人情報を取扱います。

• (a) Hokkuオファー（バンドル、アップセル、クロスセルその他）の表示。

• (b) Hokkuオファーへの売上増分の帰属計算（マーチャントダッシュボード）。

• (c) マーチャントの月間注文数の集計（適用されるHokkuサブスクリプションプランの判定）。

• (d) マーチャントの依頼に応じたサポート提供。

• (e) 本サービスのセキュリティおよび完全性の維持（リクエスト頻度制限、不正検知、監査ログ）。

• (f) 本サービスの改善（匿名化された集計統計、UI変更のA/Bテスト）。

• (g) 法令上の義務の履行（Shopify経由の税務請求書、個人情報保護関連Webhookへの対応、裁判所命令）。

  3.2. 法的根拠。 個人情報取扱事業者は、その顧客の個人情報の主たる取扱いについて、個人情報の保護に関する法律（以下「個人情報保護法」）および該当する場合は欧州一般データ保護規則（GDPR）に基づく法的根拠を決定し、これらの法令上の義務を遵守する責任を負います。委託先としてのH-MOON Digitalは、主に個人情報取扱事業者とH-MOON Digitalとの間の「契約の履行」、およびセキュリティログについては「正当な利益」を根拠として、個人情報取扱事業者の文書化された指示に基づき個人情報を取扱います。

4. 再委託先

要約：少数のプロバイダー、主に欧州。新規追加の30日前に通知。

4.1. 2026年6月27日時点で承認されている再委託先。

4.2. 再委託先の最新一覧はgethokku.com/sub-processorsにも掲載しています。

4.3. 新たな再委託先の通知。 H-MOON Digitalは、個人情報の取扱いに重大な影響を与える新たな再委託先を追加する場合、30日以上前にメールおよび/sub-processorsの更新によりマーチャントに通知します。マーチャントは、当該30日以内に書面で異議を申し立てることができます。H-MOON Digitalとマーチャントが代替案で合意に至らない場合、マーチャントの唯一の救済手段は、新たな再委託先による取扱い開始前にHokkuサブスクリプションを解除することとします。

4.4. 再委託先の義務。 各再委託先は、本DPAに定める義務と同等以上のデータ保護義務を負います。

4.5. AIアシスタント。 マーチャントがオプションのHokku Assistant——アプリ内のAIサポートチャット（利用規約§16参照）——を有効にした場合、その会話内容（マーチャントのメッセージおよび生成された応答）は、回答を生成する目的にのみAnthropicによって取扱われます。当該内容は30日間保持された後、削除されます。マーチャントは、機微なデータをアシスタントを通じて送信しないようお願いします。

5. 個人情報の越境移転

要約：EU内インフラを優先します。データがEUを離れる場合は、個人情報保護法および GDPR が認める標準的メカニズムを適用します。

5.1. H-MOON Digitalが取扱う個人情報は、主に欧州連合内（アプリケーションデータについてはSupabase Frankfurt、エラー監視についてはSentry EU）に保管されます。

5.2. 欧州経済領域（EEA）外への移転が必要な場合（Vercelは米国法人であり、Hokku管理画面がEU（フランクフルト）のコンピュート上で稼働していても、そのデータへのアクセスは移転に当たります。メール配信についてはResendマルチリージョン、オプションのAIアシスタントについてはAnthropic USA）、H-MOON Digitalは以下に依拠します。

• (a) Data Privacy Frameworkが適用されない移転（Resend、Anthropic）については、GDPR第V章に基づく標準契約条項2021（欧州委員会施行決定 (EU) 2021/914）。

• (b) EUから認証済み米国受領者（Vercel）へのデータフローについては、EU-US Data Privacy Framework（欧州委員会決定 (EU) 2023/1795 — 十分性決定）。

  5.3. 個人情報保護法第28条の枠組み。 日本の個人情報取扱事業者であるマーチャントの観点から、H-MOON Digitalは、個人情報保護法第28条に基づき本人の同意を取得することなく外国にある第三者に個人データを提供する例外として、(a) EU加盟国およびEEAは個人情報保護委員会規則により個人情報の保護に関する制度を有する国として指定されていること、(b) 米国所在の再委託先については、個人情報保護委員会が定める基準に適合する体制（標準契約条項2021）を整備していることに依拠します。マーチャントは、Hokkuをインストールすることにより、本DPAの一環としてH-MOON Digitalが上記越境移転を実施することにご同意いただいたものとみなされます。

  5.4. マーチャントは、H-MOON Digitalが本サービスの提供に必要な範囲でマーチャントに代わって再委託先と標準契約条項を締結することに同意します。

6. Shopifyが要求する個人情報保護関連Webhook

要点：お客さまのストアの購入者、またはストアがShopifyにデータ削除を求めた場合、Shopifyから当社に要求が転送されます。当社は与えられた期限を待たず、直ちに実行します。

6.1. Shopifyのデータプライバシー関連Webhook義務に従い、H-MOON Digitalは、要求される3つのWebhookを実装し、以下のスケジュールで処理します。

6.2. 受領したWebhookは監査目的で記録します。マーチャントは、hello@gethokku.comへのメールにより、自己のストアに関するWebhookアクションの記録を取得できます。

7. 安全管理措置

要約：暗号化、アクセス制御、監査ログ。標準的な内容を真摯に実施しています。

7.1. H-MOON Digitalは、個人情報保護法第23条およびGDPR第32条に基づき、リスクに見合う適切な安全管理措置を講じます。具体的には以下を含みます。

• 通信の暗号化 — Hokkuのすべての通信についてTLS 1.3を使用。

• 保存データの暗号化 — Supabase FrankfurtデータベースおよびすべてのバックアップについてAES-256を使用。

• アクセス制御 — 本番データへのアクセスは最小権限の原則に基づき、守秘義務を負うH-MOON Digitalの従業員およびコンサルタントに限定し、多要素認証を必須とします。

• 監査ログ — 本番データに対するすべての管理操作は、実施者、タイムスタンプ、目的とともに記録され、12ヶ月間保管されます。

• 脆弱性管理 — 依存関係の自動スキャン（OSV-Scanner）および公開された脆弱性に対する合理的な期間内のパッチ適用。

• ネットワーク分離 — 本番システムは開発環境および本番前環境から分離されています。

  7.2. 技術的および組織的措置の一覧は変化する可能性がありますが、有効なバージョンは本DPAに反映され、業界標準に準拠します。

8. 個人情報の漏えい等の通知

要約：お客さまのデータについて問題が発生した場合、24時間以内に通知します。

8.1. H-MOON Digitalは、マーチャントのデータに関する漏えい等を知った時から24時間以内に、当該マーチャントにメールで通知し、関連情報（漏えい等の性質、影響を受ける本人の類型および概数、想定される影響、講じたまたは提案する措置）を提供します。

8.2. 24時間以内の通知コミットメントは、Shopify Partner Program Agreement §9.14.2(vi)の義務に準拠し、GDPR第33条および第34条が監督機関および本人への報告について定める72時間の最低基準、ならびに個人情報保護法第26条が個人情報保護委員会への報告および本人への通知について定める「速やかに」の基準を上回るものです。

8.3. マーチャントは、本人または個人情報保護委員会その他の管轄監督機関に対する通知義務について、引き続き単独で責任を負います。H-MOON Digitalは、マーチャントの依頼に応じ、合理的な対価を前提として、合理的な範囲で協力します。

個人情報保護委員会 〒105-0001 東京都港区虎ノ門二丁目2-3 虎ノ門アルセアタワー12階 個人情報保護法相談ダイヤル：03-6457-9849 ウェブサイト：https://www.ppc.go.jp/

9. 本人の権利行使に対する支援

要約：お客さまの顧客が個人情報保護法または GDPR 上の権利を行使する際、お客さまの対応をサポートします。

9.1. H-MOON Digitalは、取扱いの性質を考慮し、可能な限り、マーチャントが本人からの要求への対応義務を履行できるよう、適切な技術的および組織的支援を提供します。当該要求には、個人情報保護法第33条から第35条（開示請求権、訂正請求権、利用停止・消去請求権、第三者提供の停止請求権）、ならびにGDPR第15条から第22条（アクセス権、訂正権、消去権、処理の制限権、データポータビリティ権、異議申立権、自動化された意思決定に服しない権利）に基づく権利を含みます。

9.2. H-MOON Digitalが直接受領した要求であってマーチャントに帰属する本人に関するものは、遅滞なくマーチャントに転送します。

10. 監査権

要約：当社のセキュリティおよび実務について質問いただけます。誠実に回答します。

10.1. H-MOON Digitalは、マーチャントの合理的な書面による要求に応じ、12ヶ月に1回を上限として（記録された事件がある場合を除きます）、本DPAの遵守を立証するために必要な情報（安全管理措置の書面要約、再委託先一覧、標準契約条項およびEU-US Data Privacy Frameworkに関する立場を含みます）をマーチャントに提供します。

10.2. 具体的かつ記録された懸念を有するマーチャントについて、H-MOON Digitalは、文書化された監査質問票に30日以内に回答します。オンサイト監査はセルフサービスプランでは提供しません。エンタープライズ契約の場合、監査条件は別途書面で合意することができます。

11. 契約解除後のデータ返却および削除

要点：データはHokkuをご利用いただいている間だけ存在します。ただし、サポートチームおよびHokku Assistantとのやり取りは、アンインストールを待たずに、それぞれの期間に従って自動的に削除されます。アンインストール後、当社は個人を特定するデータを直ちにすべて削除し、オファーと統計は再インストールに備えて60日間保管したのち、これらも削除します。

11.1. アプリのインストール中。 マーチャントの統計（開始以来の累計を含む）はこれらのデータから構築されるため、H-MOON DigitalはマーチャントがHokkuを利用している間、マーチャントデータを保管します。

サポートチームおよびHokku Assistantとのやり取りには、アプリのインストール中であっても、それぞれ固有の保管期間が適用されます。H-MOON Digitalは、各サポートチケットを送信から十二（12）か月後に削除し、チケットに含まれる返信用メールアドレスを九十（90）日後に消去します。support@gethokku.com 宛てに受信したメッセージにも、同じ九十（90）日の期間が適用されます。Hokku Assistantとの会話は三十（30）日後に削除されます。また、マーチャントはいつでもアプリの「設定」からデータの即時削除を請求できます。この削除には、サポートチケットおよびHokku Assistantとの会話も含まれます。

11.2. アンインストール後——直ちに削除されるもの。 Shopifyはアンインストールの48時間後に、Webhook shop/redact によりH-MOON Digitalへ通知します。受領時点で、H-MOON Digitalは個人を特定するデータ——アクセストークン、サポートチケット、およびHokku Assistantとの会話——を稼働中のHokkuシステムから、追加の遅延なく削除し、統計レコードに残る注文IDを匿名化します。この時点を超えて購入者の個人情報が保管されることはありません。

11.3. アンインストール後——保管されるものと、その期間。 マーチャント自身の設定（オファーおよび各種設定）と集計済みの統計は、アンインストールから六十（60）日間、稼働中のシステムに保持されます。この期間内に再インストールしたマーチャントが、その作業を取り戻せるようにするためです。オファーの配信は、いかなる場合もアンインストールの時点で停止します。この期間の満了後、自動パージがこれらのデータを恒久的に削除します。Webhook shop/redact が配信されなかった場合も、同じパージが適用されます。

11.4. バックアップ。 当社ホスティング事業者の暗号化バックアップは、ローテーション方式のバックアップ周期に従ってパージされ、完全なパージはさらに三十（30）日以内に完了します。§11.2または§11.3に基づき削除されたデータも同じ期限で消去されます。

11.5. アプリのインストール中であればいつでも、書面によるご請求に応じて、H-MOON Digitalは一般的に利用される機械可読形式でマーチャントデータの構造化エクスポートを提供します。マーチャントのアクセスはアンインストールの時点で終了し、保管されたデータはその六十（60）日後に削除されるため、マーチャントはアンインストールの前にエクスポートをご請求ください。

11.6. H-MOON Digitalは、適用法（会計、税務上の義務）により求められる範囲においてのみ契約解除後もデータを保管できます。その場合、保管は法定の最短期間に限定され、当該データは稼働中の取扱いから分離されます。

12. 期間および存続条項

要約：本DPAは、お客さまのHokkuサブスクリプションが続く限り有効です。データに関する義務はその後も存続します。

12.1. 本DPAは、Hokkuの最初のインストール時に効力を生じ、H-MOON Digitalがマーチャントに代わって個人情報を取扱う限り効力を有します。

12.2. 第5条（越境移転）、第7条（安全管理）、第8条（漏えい等の通知）、第10条（監査）、第11条（返却および削除）および第13条（雑則）は、削除および協力に関する義務の履行に必要な範囲で、解除後も存続します。

13. 雑則

13.1. 準拠法および管轄。 本DPAは、利用規約と同一の法律および同一の管轄に服します（フランス法準拠、パリ裁判所の専属管轄 — 利用規約§12参照）。日本に所在するマーチャントに適用される個人情報保護法および個人情報保護委員会規則ならびに該当する場合のGDPRの強行規定はこれを妨げません。

13.2. 優先順位。 個人情報の取扱いに関し、本DPAと利用規約とが矛盾する場合、本DPAが優先します。

13.3. 翻訳。 本DPAは、英語（正本）および他言語の参考訳として公開されます。英語版と翻訳との間に内容上の重大な相違がある場合、gethokku.com/dpaで入手可能な英語版が優先します。例外 — 翻訳が当該翻訳の管轄地の強行法規により要求される条項または明確化を含む場合（例えば、個人情報保護法、個人情報保護委員会または個人情報保護委員会規則に関する参照）、これら現地法に基づき課された規定は当該管轄地内において適用され、本条の「相違」を構成しないものとします。利用可能な言語は本文書のフッターに掲載しています。

13.4. 変更。 本DPAの重大な変更は、利用規約の変更と同一の条件でマーチャントに通知されます（利用規約§11参照）。

13.5. 連絡先。 個人情報保護に関するご質問、再委託先への異議、本人からの要求、監査依頼および漏えい等の通知：hello@gethokku.com。件名に[DPA]を付していただけますと、メールの振り分けが容易になります。

最終更新：2026年8月5日。