データ処理契約

最終更新日：2026年10月21日

この翻訳は参考のためのものです。内容に相違がある場合は英語版が優先します。

本契約は、顧客であるお客様と LF Consultoria de Desenvolvimento e Operacional Ltda、CNPJ 58.117.575/0001-79、Av. Presidente Getúlio Vargas, 1605, Loja 09, Bairro Novo, Olinda, PE, 53030-010, Brasil（以下「Korzen」）との間の利用規約の一部です。本契約は、Korzen が Bot Protection を提供するためにお客様のために個人データを処理するすべての場合に適用され、利用規約とともに承諾されます。署名済みの写しが必要な場合は、contact@korzen.dev までご連絡ください。個人データに関して本契約と利用規約が矛盾する場合は、本契約が優先します。

1. 役割

お客様は訪問者の個人データの管理者であり、Korzen はお客様の処理者です（LGPD の用語では、お客様が controlador、Korzen が operador です）。Korzen は、お客様の文書化された指示、すなわち本規約、お客様の設定、およびお客様のサーバーが行う API 呼び出しに従ってのみ個人データを処理します。指示が法令に違反すると思われる場合、Korzen はお客様にその旨を伝えます。

2. 処理の内容

目的	お客様のサイトで人間と bot を見分け、新規登録時に再訪したブラウザーと新しいブラウザーを見分け、その理由をお客様に示すことにより、お客様が新規登録、ログイン、チェックアウトその他の操作を保護できるようにすること
データ主体	お客様がタグを動作させ、または API を呼び出すサイトの訪問者
データ	IP アドレス、およびそこから導かれるネットワーク、国、サブネット。User-Agent およびリクエストヘッダー（エッジで取得される TLS および HTTP のフィンガープリントを含む）。お客様が報告するリクエストのパス、メソッド、ステータスコードおよびタイミング。タグが読み取るブラウザーのシグナル（例：画面とウィンドウのサイズ、グラフィックスレンダラー、canvas のハッシュ、デバイスの特性（CPU コア数、メモリ、タッチポイント数）、タイムゾーンと言語、client hints、自動化の兆候、ネットワークの往復時間、入力イベントの種類と件数。入力された内容は読み取りません）。お客様がタグの data-stun 設定で有効にした場合に限り、ブラウザーが WebRTC で示す公開 IP アドレス。タグのセッション token およびランダムなブラウザー識別子。アカウントが確認されたことなど、お客様が送信する結果に関する情報
特別な種類のデータ	なし。送信しないでください
期間	お客様のアカウントが開設されている間。その後は第 9 条に従って削除します

チャレンジページ。お客様のサーバーがある操作に require_token を付け、訪問者が有効なトークンを持たない場合、その訪問者は korzen.dev 上の Korzen のチャレンジページへ送られます。このページは、お客様の操作へ進ませる前に、Korzen 自身のアカウントで Korzen 自身のタグを動作させます。そのタグが読み取る内容（上記のブラウザーのシグナル、タグのセッショントークンおよびブラウザー識別子）は、Korzen が管理者として、そのプライバシーポリシーに基づき、ページが実際のブラウザーで動作したかを判断し、スクリプトによる悪用を防ぐためだけに取り扱います。通過とお客様の判定は、本契約に基づきお客様のために取り扱います。タグはそのページで、訪問者を送ってくる顧客ごとに別の識別子を保持するため、それらが顧客をまたいで同じブラウザーを結び付けることはありません。

3. 保持の方法

• 識別子（IP アドレス、セッション、ブラウザー）は、お客様専用の鍵による鍵付きハッシュとしてのみ保持し、その鍵の大半は毎日変更されます。Korzen は生の IP アドレスを保存しません。
• 訪問者の作業用メモリは直近 10 分間を対象とし、各記録は最後に使用されてから 20 分後に失効します。チャレンジのパズルは 10 分で、その通過は 30 分で失効します。トークンを必須とする操作で使用済みとなったトークンは、鍵付きハッシュとして 1 時間保持します。
• 各判定は、そのパス、国および理由とともに、お客様のプランの判定履歴の期間（無料トライアルでは 7 日、Scale では最大 90 日）、dashboard のために保持します。
• フィードバックによりセッションについて確定した事項（確認済み、取り消し）は、最後に確認されてから最大 400 日間保持します。セッションは、同じブラウザーがタグの token を保持して再訪する限り続きます。
• お客様のサーバーが問い合わせる操作（新規登録、ログイン、チェックアウト）で確認されたタグのブラウザー識別子は、変わることのないお客様専用の鍵による鍵付きハッシュとして、そこで最初と最後に確認された時刻、およびそれを運んだセッションの数とともに、そのページで最後に確認されてから最大 90 日間保持します。同じブラウザーから別のアカウントを作る訪問者を認識するためです。お客様のページのうちどれが新規登録かは、これらのハッシュのみから学習します。
• お客様のデータがほかの顧客のデータと混ざることはなく、お客様の保護以外の目的に使用されることもありません。Korzen は、ルールを改善するために、個人データを含まない件数およびルールの結果を使用することがあります。

4. 秘密保持

個人データにアクセスするのは Korzen を運営する者のみであり、本サービスに必要な範囲に限られ、秘密保持義務を負います。

5. セキュリティ

Korzen は、リスクに応じた適切な技術的および組織的措置（GDPR 第 32 条、LGPD 第 46 条）を講じ、少なくとも次のものを含みます。

• すべての接続での TLS。API key およびセッション token は署名され、リクエストごとに検証されます
• 顧客ごとの鍵による識別子の鍵付きハッシュ化。鍵の大半は毎日更新されます
• ファイアウォールの背後にある EU 内のサーバー。管理は SSH 鍵によってのみ行われます。dashboard のアカウントはソルト付きパスワードハッシュと二要素認証によるログインを備えます
• ポイントインタイムリカバリーに対応した暗号化バックアップ。35 日以内に置き換えられます
• すべての変更に対する自動テスト、静的解析およびシークレットのスキャン、ならびに依存関係の最新化

6. サブプロセッサー

お客様は、Korzen がサブプロセッサー一覧に記載するサブプロセッサーを利用することを承認します。Korzen は、各サブプロセッサーに本契約と同等以上の保護を与えるデータ保護条項を課し、引き続きその責任を負います。Korzen は、新しいサブプロセッサーについて、その利用開始の少なくとも 30 日前に同ページおよびメールで告知します。お客様がデータ保護上の合理的な理由により異議を述べ、当社がそれを解決できない場合、お客様はアカウントを閉鎖し、前払い済みで未使用の期間について返金を受けることができます。

7. 移転

個人データは欧州連合内で処理されます。サブプロセッサーがほかの地域で処理する場合、その移転は十分性認定、または欧州委員会の標準契約条項（ブラジルについては ANPD が承認したもの）に依拠し、これらは参照により本契約に組み込まれます。

8. お客様への支援

• 訪問者からの請求：Korzen は、お客様の訪問者に関して受け取った請求をお客様に伝え、その対応を支援します。お客様の dashboard では、訪問者の IP アドレス、User-Agent または request_id によって、プランが保持する期間中、その訪問者の判定を検索でき、これによってアクセス請求に回答できます。そのいずれかがなければ、ほとんどのハッシュが毎日変わるため、異なる日の判定は結び付きません。オーナーは dashboard で削除することもできます。「判定」ページで訪問者を検索し、この訪問者の判定を削除を選ぶと、検索で見つかる保存済みの判定がすべて即座に削除されます。お客様から書面でご依頼があれば、Korzen が 30 日以内に代わって削除します。Korzen は削除ごとの記録を、削除に使った鍵付きハッシュとして 35 日間保管し、バックアップから復元した場合にもそれらの判定を再び削除します。
• 漏えい：Korzen は、お客様のデータに影響する個人データの漏えいについて、不当な遅滞なく、かつ認識してから 48 時間以内に、把握している内容と講じている措置をお客様に通知します。
• 評価：Korzen は、データ保護影響評価または当局との事前協議に必要な情報をお客様に提供します。
• 監査：Korzen は、その遵守状況に関する合理的な書面による質問に回答し、それを示すために必要な情報を提供します。法令が求める場合の実地監査は、事前の合意のうえ、お客様の費用負担で、秘密保持のもとで行います。

9. 終了時

お客様のアカウントが閉鎖された場合、Korzen は 30 日以内に訪問者の個人データを削除し、バックアップはさらに 35 日以内に置き換えられます。作業用メモリは数分以内に自動的に失効します。

10. お客様の役割

お客様は、データの処理を委託できることを確保するものとします。すなわち、プライバシー通知で訪問者に知らせること、Bot Protection が訪問者の求めたサービスに厳密に必要なものか、ePrivacy 規則に基づき同意を要するものかを判断すること、そして API が求めるデータのみを送信することです。