データ処理契約（DPA）

制定日: 2026年10月20日

本データ処理契約（以下「本DPA」といいます）は、株式会社シェルシステム（以下「当社」または「処理者」といいます）と、「Travel Hub」（以下「本サービス」といいます）を利用する事業者（以下「利用事業者」または「管理者」といいます）との間で、利用事業者が本サービスに入力する旅行者の個人データの取扱いについて定めるものです。GDPR（EU一般データ保護規則）、英国GDPR、日本の個人情報保護法その他の適用されるデータ保護法令を含みます。本DPAは利用規約の一部を構成します。

1. 当事者と役割

利用事業者は個人データの管理者（個人情報取扱事業者）、当社は利用事業者の指示に基づき個人データを取り扱う処理者（委託先）です。

2. 処理の目的

当社は、次の目的のためにのみ個人データを処理します。

• 本サービスの提供（旅行の企画提案、見積り、手配の管理、書類の作成）
• 利用事業者の指示に基づく処理（AIによる旅程の生成を含みます）
• 障害対応、セキュリティの確保、法令の遵守

当社は、利用事業者の指示に反して、自己の目的で個人データを処理しません。

3. 個人データの種類と対象者

• 対象者: 利用事業者の顧客である旅行者、同行者
• データの種類: 氏名、メールアドレス、電話番号等の連絡先、旅行の要望（行先、日程、人数、嗜好、健康・食事上の配慮等として任意に入力された内容）
• 利用事業者は、要配慮個人情報・特別カテゴリの個人データ（健康、信条等）の入力を必要最小限にとどめてください。

4. 保管期間

個人データは、案件の完了（または取消）から5年間保管します。期間を過ぎたもの、または利用事業者から削除の指示があったものは、削除または匿名化します。契約終了後は、利用事業者の選択に従って返還または削除し、法令上保管が必要なものを除き、終了から合理的な期間内に削除します。

5. 削除の依頼

• 利用事業者の管理者は、取消済みまたは完了した案件について、案件の画面の「個人データを消す」で、旅行者の氏名・連絡先・要望の自由記述を「（削除済み）」に置き換えることができます。日程・人数・金額等の履歴は残ります。
• 上記以外の削除・開示等の請求は、contact@travel-hub.co.jp に依頼してください。当社は合理的な期間内に対応します。
• 旅行者本人から当社に直接請求があった場合、当社は利用事業者に通知し、その指示に従います。

6. 再委託先

利用事業者は、次の再委託先の利用を承認します。

• Google Cloud（Google LLC）: インフラ、データベース、ファイル保存（東京リージョン）
• Anthropic: AIによる旅程の生成等
• Stripe: 決済・請求書の発行（旅行者の個人データは送信しません）
• Firebase / Google Identity Platform（Google LLC）: 認証

当社は、再委託先との間で、本DPAと同等の義務を課す契約を結びます。再委託先を追加・変更する場合は、事前に利用事業者へ通知し、利用事業者は合理的な理由がある場合に異議を述べることができます。

7. データの所在地と国外移転

個人データは、原則として Google Cloud の東京リージョン（日本）に保存します。再委託先がサービス提供に必要な範囲で日本国外で処理する場合は、標準契約条項（SCC）その他の法令上認められた保護措置を講じます。

8. セキュリティ

当社は、通信の暗号化、テナントごとのデータの分離、アクセス権限の管理、ログの記録、脆弱性への対応、従業者の秘密保持義務などの技術的・組織的措置を講じます。

9. 個人データ侵害の通知

当社は、個人データの侵害（漏えい、滅失、毀損、不正アクセス等）を認識した場合、不当な遅滞なく、遅くとも72時間以内に利用事業者へ通知します。通知には、侵害の内容、影響を受けるデータと対象者、講じた措置、連絡先を含めます。

10. 対象者の権利への協力

当社は、利用事業者が対象者の権利（アクセス、訂正、削除、処理の制限、ポータビリティ、異議）に応じられるよう、合理的に協力します。

11. 監査

利用事業者は、事前の通知のもと、年1回を上限として、本DPAの遵守状況について、当社に対する書面での確認を求めることができます。当社は、第三者による監査報告書やセキュリティの資料を提供して対応できるものとします。現地での監査は、法令または監督機関が要求する場合に限り、合理的な範囲で行います。

12. 守秘義務

当社は、個人データを取り扱う従業者に守秘義務を課します。

13. 準拠法と管轄

本DPAの準拠法は日本法とし、紛争は東京地方裁判所を第一審の専属的合意管轄裁判所とします。ただし、適用されるデータ保護法令が強行規定として別の定めを要求する場合は、その限度で当該法令に従います。本DPAの正本は英語版とし、その他の言語は参考訳です。

14. 同意

利用事業者の管理者が、本サービスの設定画面で、会社として本DPAに同意することにより、本DPAは効力を生じます。同意の日時と版は記録されます。

事業者情報

• 事業者名: 株式会社シェルシステム
• 所在地: 〒141-0001 東京都品川区北品川5-5-15 大崎ブライトコア4F
• 代表者: 代表取締役 水島 啓太
• 連絡先: contact@travel-hub.co.jp