ビジネス利用規約 , Didit Protocol 法的条件

0. 本契約の承諾

(i) ビジネスコンソールまたはDiditウェブサイト上の「登録」、「同意する」、または類似のボタンをクリックすること、(ii) 本規約を参照する注文書に署名すること、または (iii) その他サービスにアクセスまたは利用することによって、お客様（以下「クライアント」）は、お客様が代表する法人または組織を代表して、本契約に法的に同意し、拘束されることに同意するものとします。

本契約を承諾することにより、クライアントは、当該法人または組織を本規約および関連する付属書または注文書に拘束する完全な法的権限を有することを表明し保証します。かかる権限がない場合、または本規約に同意しない場合、サービスを利用またはアクセスしてはなりません。

DIDITプラットフォームの継続的な利用は、本契約全体に対する明確かつ拘束力のある承諾を構成します。

1. 契約当事者

本契約には以下の当事者が関与します。

サービスプロバイダー（「Didit」、「当社」）： クライアントと契約するDiditエンティティ。適用される契約エンティティは、第16.6条（準拠法および管轄）によって決定されます。
- Didit Identity Spain, S.L.、CIF B22929327、Calle Nápoles 227, P. 1, 08013 Barcelona, Spain。欧州連合、欧州経済領域、英国、スイスに設立されたクライアントと契約します。
- Didit Identity, Inc.、EIN 39-2860573、1111B S Governors Ave STE 34855, Dover, Delaware 19904, United States。米国、カナダ、ラテンアメリカ、アジア太平洋、中東、およびDidit Identity Spain, S.L.に割り当てられていないその他すべての管轄区域に設立されたクライアントと契約します。
クライアント（「お客様」）：

Diditプラットフォームでアカウントを登録する、またはサービスを利用する法人または個人。クライアントはDiditの契約当事者となります。

通知：

本契約に関連するすべての正式な通知および連絡は、legal@didit.meまたは上記の適用される契約エンティティの物理的な住所宛てに行う必要があります。

2. 構成と優先順位

本契約は以下の文書で構成され、これらは一体として解釈されます。これらの文書の規定間に矛盾がある場合、以下の降順で優先されます。

注文書（サービスの取得、数量、価格を詳述するクライアント固有の商業文書）。
付属書2、データ処理契約（DPA）（個人データの処理を規定）。
本サービス利用規約。
付属書1、サービスレベル契約（SLA）（サービスの可用性コミットメントを確立）。

3. 目次

本契約の承諾
契約当事者
構成と優先順位
目次
定義と解釈
契約期間
サービスへのアクセスと利用
知的財産権
料金と支払い条件
機密保持
データ保護とセキュリティ
保証の免責
責任の制限
補償
表明と保証
停止と終了
一般条項

付属書1、サービスレベル契約（SLA）付属書2、データ処理契約（DPA）

4. 定義と解釈

本契約の目的上、以下の用語は以下に定める意味を有するものとします。

本契約： 本サービス利用規約、ならびに注文書、付属書1（SLA）、付属書2（DPA）、およびそこに参照されるその他のポリシーまたは付属書を指します。
API： サービスとの統合のためにDiditが提供するアプリケーションプログラミングインターフェースを意味します。
ビジネスコンソール： https://business.didit.meまたはDiditが指定するその他のURLを通じてアクセス可能なDiditのウェブ管理ポータルを指し、クライアントがアカウントとサービスを管理できるようにします。
クレジット： クライアントがサービスの利用料金を支払うために取得する、米ドル建てのプリペイド単位であり、Diditが指定する価格と条件に従います。
アクセス認証情報： パスワード、APIキー、認証トークン、またはサービスへのアクセスをクライアントに提供するためにDiditが提供するその他のセキュリティ情報を含みますが、これらに限定されません。
クライアントデータ： クライアントまたは承認ユーザーがサービスを通じて送信、アップロード、または処理するすべてのデータ（機密情報およびエンドユーザーの個人データを含む）を指します。
個人データ： EU一般データ保護規則（GDPR）（規則（EU）2016/679）および/またはその他の適用されるデータ保護法において定義される意味を有するものとします。
ドキュメント： Diditがクライアントに提供する、サービスに関連するユーザーマニュアル、技術仕様、実装ガイド、APIガイド、ポリシー、またはサポート資料を指します。
発効日： クライアントが第0条に定める通り本契約を最初に承諾した日。
注文書： クライアントによるクレジットまたは特定のサービスの購入を正式化する物理的な文書またはオンラインフォームであり、本規約を参照し、本契約の一部を構成します。
不可抗力： 当事者の合理的な制御を超える事象または状況であり、本契約に基づく義務の履行を妨げまたは遅延させるもの。例えば、天災、戦争、テロ、暴動、パンデミック、自然災害、世界的なインターネット障害、エネルギー不足、ストライキ、妨害行為、政府の決定など。
機密情報： 口頭、書面、または電子的手段を問わず、一方の当事者が他方の当事者に開示するすべての非公開情報であり、機密として指定されているか、または情報の性質または開示の状況から合理的に機密と理解されるべきもの。これには、技術、財務、ビジネス、顧客、価格情報、マーケティング計画、ソフトウェア、ソースコード、クライアントデータが含まれますが、これらに限定されません。
知的財産： 特許、著作権、データベース権、意匠権、商標、商号、ノウハウ、企業秘密、およびその他の知的財産権（登録済みか未登録かを問わず、またその出願を含む）を世界のあらゆる地域で含みます。
SDK： サービスの統合と利用を容易にするためにDiditが提供するソフトウェア開発キットを意味します。
サービス： Diditの本人確認および不正防止インフラプラットフォームを指し、ビジネスコンソール、API、SDK、ドキュメント、およびDiditがクライアントに提供するあらゆる製品ライン（ユーザー認証（KYC）、ビジネス認証（KYB）、取引監視、ウォレットスクリーニング（KYT）、ワークフローオーケストレーター、モデルコンテキストプロトコル（MCP）サーバー、および本契約に基づきDiditがリリースするその他のサービスを含む）を含みます。
承認ユーザー： クライアントの従業員または請負業者など、クライアントがクライアントに代わってサービスにアクセスし利用することを承認した個人であり、本契約の条件に従います。
エンドユーザー： クライアントがDiditのサービスを利用して本人確認を行おうとする自然人。
認証： エンドユーザーの本人確認を行うためにDiditが実行するプロセスであり、承認済みまたは拒否済みの結果、またはDiditもしくは注文書で定義されたその他のステータスで完了します。
認証機能： 本人確認フローの個々のコンポーネント。例えば、身分証明書認証、生体検知、顔照合、顔検索、AMLスクリーニング、住所証明、NFC読み取り、データベース検証、カスタム質問票、電話認証、メール認証、デバイス＆IP分析、企業登録簿検索、UBO抽出、役員データ、エンティティAML、リンクされたKYC、取引監視ルール評価、ウォレットスクリーニング検索、またはDiditが製品ライン全体で提供するその他の個別のステップ。

解釈：

セクションのタイトルは便宜上のものであり、本契約の解釈に影響を与えません。
単数形の単語は複数形を含み、その逆も同様です。
「含む」または「含まれる」という単語は、「限定なく含む」を意味します。
法律または規制への言及は、その法律または規制が随時有効であるもの（その修正または代替を含む）を指します。

5. 契約期間

5.1 契約期間： 本契約は発効日に開始し、本契約の第15条に従って一方の当事者によって終了されるまで、完全に効力を有するものとします。

5.2 最低コミットメントなし（注文書で指定されている場合を除く）： クライアントが署名した注文書で別途指定されていない限り（例：ボリュームコミットメントのあるエンタープライズプランの場合）、クライアントはいつでもサービスの利用を中止できます。ただし、未使用の購入済みクレジットは、第15条に明示的に記載されている網羅的な場合を除き、返金不可です（第8.4条参照）。SLAサービスクレジットは、いかなる場合も返金または金銭として支払われることはありません。最低消費コミットメントを規定する注文書は、本条項よりも優先されます。

6. サービスへのアクセスと利用

6.1 アカウント作成とセキュリティ： サービスにアクセスし利用するには、クライアントはビジネスコンソールでアカウントを作成する必要があります。クライアントは、自身のアクセス認証情報（パスワードおよびAPIキーを含む）の機密性とセキュリティを維持し、承認されているか否かを問わず、アカウント下で発生するすべての活動について単独で責任を負います。クライアントは、アクセス認証情報またはアカウントの不正使用または疑わしい不正使用を直ちにDiditに通知する必要があります。Diditは、クライアントがこの義務を遵守しなかったことに起因するいかなる損失または損害についても責任を負いません。

6.2 ライセンス： クライアントが本契約を継続的に遵守し、適用されるすべての料金を適時に支払うことを条件として、Diditはクライアントに対し、本契約期間中、サービスおよびドキュメントにアクセスし利用するための非独占的、全世界的なライセンスを付与します。具体的には、以下の目的のために利用できます。 (i) エンドユーザーの本人確認を行うこと。 (ii) 不正行為の防止および検出を支援すること。 (iii) 適用される法的および規制上の義務（例：KYC/AML）を遵守すること。

6.3 再販およびサブライセンス権： クライアントは、以下の条件を満たす場合、サービスを第三者に再販、サブライセンス、またはその他の方法で提供することができます。 (i) クライアントは、当該第三者が本契約のすべての適用条件を遵守することを保証します。 (ii) クライアントは、当該第三者の行為または不作為について、Diditに対して引き続き全責任を負います。 (iii) クライアントは、本契約に含まれるものと同等以上にDiditを保護する条件を含む書面による契約を当該第三者と締結します。 (iv) クライアントは、要求に応じて重要なサブライセンス契約をDiditに通知します。

6.4 利用制限： クライアントは、以下の行為を行わないこと、また第三者に以下の行為を許可しないことに同意します。

サービスまたはその一部のソースコードまたはアルゴリズムをコピー、変更、改変、翻訳、リバースエンジニアリング、逆コンパイル、逆アセンブル、または発見しようとすること。ただし、かかる活動が適用される非放棄可能な法律によって明示的に許可されている範囲を除きます。
サービスまたはそこから得られた情報を使用して、競合する本人確認サービスを構築または構築しようとすること。
違法、差別的、詐欺的、誤解を招く、中傷的、わいせつ、虐待的、有害な目的で、または第三者の権利または適用される法律を侵害する方法でサービスを利用すること。
Diditの事前の書面による同意なしに、認証結果またはサービスを通じて取得したクライアントデータを使用して、機械学習（ML）または人工知能（AI）モデル、またはその他の類似のアルゴリズムまたは技術を訓練、開発、または改善すること。
サービスにウイルス、トロイの木馬、ワーム、ロジックボム、またはその他の悪意のあるまたは技術的に有害な素材を導入することを含め、サービスの適切な動作を妨害または妨害しようとすること。
サービス、コンピューターシステム、またはサービスに接続されたネットワークへの不正アクセスを試みること。
サービスまたはドキュメントに含まれるDiditまたは第三者の知的財産権表示または商標を削除、変更、または不明瞭にすること。
購入した利用制限またはクレジット量を超える方法で、またはDiditのインフラストラクチャに不合理または不均衡に大きな負荷をかける方法でサービスを利用すること。
ビジネスコンソール（https://business.didit.me）で複数の組織またはアカウントを作成することにより、無料またはトライアルプランの制限を悪用または回避すること（直接的または間接的に、同一または異なるIDを使用するかどうかを問わず、単一のクライアントに意図された無料ティアの特典を超える追加の特典を得る目的で）。Diditが、個人またはエンティティが無料プランを悪用するために複数の組織を作成または運営しているという合理的な証拠を有する場合、Diditは、可能な限り通知の上、影響を受ける組織およびアカウントを停止または終了することができます。

6.5 クライアントの責任： クライアントは、以下の事項について単独で責任を負います。

法的遵守： クライアントデータの収集、処理、および利用、ならびにエンドユーザーの個人データを含むサービスの利用が、データ保護法、マネーロンダリング対策（AML）、テロ資金供与対策（CFT）法を含む、管轄区域のすべての適用される法律、規制、および規範に完全に準拠していることを保証すること。
エンドユーザーへの通知と同意： 適用されるデータ保護法で要求される通り、エンドユーザーからの個人データ（該当する場合は生体データを含む）の収集、処理、およびDiditおよびそのサブプロセッサーへの転送に必要なすべての通知、明示的な同意、および承認を取得し、記録を維持すること。
クライアントセキュリティ： Diditに送信される前のクライアントデータを保護し、アクセス認証情報を保護するために、合理的かつ適切なセキュリティ対策を実装および維持すること。これには、安全な接続（HTTPS）の使用、署名付きウェブフックの実装、およびその他の情報セキュリティのベストプラクティスが含まれますが、これらに限定されません。
データの正確性： サービスを通じてDiditに送信されるクライアントデータの正確性、完全性、および合法性を保証すること。

6.6 データ管理と削除： 認証結果および関連するクライアントデータは、ウェブフックまたはDiditのAPIを通じてクライアントに配信されます。クライアントは、Diditの保持ポリシーおよびデータ処理者としての法的義務に従い、APIまたはビジネスコンソールを通じていつでも任意の認証記録またはクライアントデータを永久に削除することができます。詳細は付属書2（DPA）に記載されています。

7. 知的財産権

7.1 Diditの所有権： Didit（および該当する場合はそのライセンサー）は、サービス（ソフトウェア、コード、API、SDK、モデル、アルゴリズム、基盤技術を含む）、ドキュメント、Diditの商標、ならびにそれらの改善、変更、更新、派生物、または開発に関するすべての権利、権原、および利益を保持します。本契約のいかなる規定も、Diditからクライアントへの知的財産所有権の移転と解釈されるものではありません。クライアントに付与される権利はライセンスのみであり、本契約に基づくいかなる黙示のライセンスも付与されません。

7.2 クライアントデータ： クライアントは、クライアントデータに関するすべての権利、権原、および利益の唯一の所有者であり、引き続きそうであるものとします。クライアントはDiditに対し、付属書2（データ処理契約）およびDiditのプライバシーポリシーに従い、クライアントへのサービス提供およびサービスの改善のみを目的としてクライアントデータを処理するための、全世界的、非独占的、ロイヤリティフリー、サブライセンス可能、かつ譲渡可能なライセンスを付与します。

7.3 フィードバック： クライアントまたはその承認ユーザーが、サービスに関連する提案、アイデア、機能強化リクエスト、コメント、推奨事項、またはその他の情報（以下「フィードバック」）をDiditに提供した場合、クライアントはDiditに対し、かかるフィードバックをいかなる目的および方法でも、クライアントに対するいかなる義務または補償なしに、使用、利用、コピー、変更、派生作品の作成、配布、公開表示、公開実行、およびその他の方法で商業化するための、全世界的、永続的、取消不能、ロイヤリティフリー、全額支払い済み、譲渡可能、サブライセンス可能なライセンスをここに付与します。

8. 料金と支払い条件

8.1 プリペイドクレジットと有効期限なし： Diditのサービスはプリペイドクレジットモデルに基づいています。クライアントが購入したクレジットは有効期限がなく、本契約が有効である限り利用できます。

8.2 完了した認証機能に対する支払い： クライアントは、認証フロー中にエンドユーザーによって正常に完了した各認証機能に対して、適用される料金に従って課金されます。これは以下のことを意味します。 (i) エンドユーザーが身分証明書認証ステップを完了した場合、クライアントはその機能に対して課金されます。 (ii) エンドユーザーが生体検知ステップを完了した場合、クライアントはその機能に対して課金されます。 (iii) 完了した追加の認証機能（AMLスクリーニング、住所証明、NFC認証など）ごとに、それぞれの料金が発生します。 (iv) Didit側のシステム障害により完了しなかった認証機能に対しては、料金は適用されません。

各認証機能の具体的な料金は、Diditの料金ページまたは該当する注文書に記載されています。

8.3 料金： サービスの適用料金は、Diditの料金ページに掲載されているか、カスタマイズされたプランまたはエンタープライズプランの場合は、対応する注文書に記載されています。Diditは、第16.2条に従い、事前に通知することにより、いつでも料金を変更する権利を留保します。

8.4 支払いプロセスと返金不可： クレジットの購入は、Diditが指定する支払いプラットフォーム（現在はStripeまたは注文書で合意された支払い方法）を通じて行われます。すべての支払いは最終的なものであり、購入されたクレジットは、本契約または注文書で明示的に別途規定されている場合を除き、返金不可です。表示されている料金には、税金（VATなど）や銀行手数料、処理手数料は含まれておらず、これらはクライアントの負担となります。

8.5 支払い失敗/取り消しとアカウント停止： 3回連続で自動支払い試行が失敗した場合（自動クレジット補充が設定されている場合）、またはエンタープライズプランに対して発行された請求書の不払いの場合、Diditは、その単独の裁量により、クライアントのサービスへのアクセスを停止するか、第15条に従って本契約を終了することができます。Diditは、未払い料金に対して、適用される法律で許可される最大利率で、期日から全額支払い日まで日割りで計算された利息を請求する権利を留保します。

8.6 エンタープライズプラン： 署名済みの注文書を通じてエンタープライズプランまたはカスタマイズされたプランを契約したクライアントの場合、当該注文書に定められた具体的な料金条件、支払い条件、最低消費コミットメント、および請求は、本第8条の規定に優先するか、または補完するものとします。

9. 機密保持

各当事者（以下「受領当事者」）は、他方の当事者（以下「開示当事者」）の機密情報を、少なくとも同種の自らの情報を保護するために用いるのと同程度の注意をもって保護することに同意します。ただし、合理的な注意を下回ることはありません。受領当事者は、開示当事者の機密情報を、本契約に基づく義務を履行するため、または適用される法律で許可されている場合にのみ使用します。

9.1 機密情報からの除外： 機密情報には、以下の情報は含まれません。(a) 受領当事者の過失なく公知となった情報、または公知となる情報。(b) 開示当事者による開示前に、機密保持義務を負うことなく受領当事者が合法的に保有していた情報。(c) 第三者から受領当事者に、制限なくまたは機密保持義務の違反なく開示された情報。(d) 開示当事者の機密情報を参照することなく受領当事者が独自に開発した情報。(e) 付属書2（DPA）に定める通り、Diditがアルゴリズム改善のために集計または仮名化された形式で処理するクライアントデータ。

9.2 強制開示： 受領当事者は、法律、裁判所命令、または管轄の政府当局によって要求された場合、機密情報を開示することができます。ただし、法的に許容される範囲で、受領当事者は開示当事者に十分な事前通知を行い、開示当事者が保護命令または権利放棄を求めることができるようにするものとします。

9.3 従業員の義務： 各当事者は、他方の当事者の機密情報にアクセスする従業員、代理人、および請負業者が、本第9条に定めるものと同等以上に厳格な機密保持義務を負うことを保証するものとします。

9.4 存続： 本第9条に定める機密保持義務は、本契約期間中およびその終了日から5年間有効であるものとします。ただし、企業秘密に関しては、当該情報が企業秘密としての地位を維持する限り、機密保持義務は無期限であるものとします。

10. データ保護とセキュリティ

Diditがクライアントに代わって個人データを処理する場合、その処理は本契約の不可欠な一部を構成する付属書2、データ処理契約（DPA）によって規定されます。DPAは、データ保護法への準拠、セキュリティ対策、およびデータ処理者とデータ管理者の責任に関する各当事者の義務を詳述しています。

11. 保証の免責

DIDITのサービス（プラットフォーム、API、SDK、ドキュメントを含む）は、「現状有姿」および「利用可能な状態」で提供され、いかなる種類の保証もありません。適用される法律で許容される最大限の範囲で、DIDITは、商品性、特定目的への適合性、第三者の権利の非侵害、データの正確性、中断のないまたはエラーのない可用性に関する黙示の保証を含むがこれに限定されない、明示的または黙示的なすべての保証を明示的に否認します。

DIDITは、サービスが中断なく、安全に、またはエラーなく動作すること、欠陥が修正されること、またはサービスもしくはそれらを提供するサーバーがウイルスやその他の有害なコンポーネントを含まないことを保証しません。DIDITは、サービスの利用から得られる結果、またはサービスを通じて得られる情報の正確性、信頼性、または完全性に関して、いかなる保証も行いません。クライアントは、サービスの利用に関連するすべてのリスクを負うものとします。

特に、クライアントは、本人確認がさまざまなデータソースとアルゴリズムに基づく複雑なプロセスであることを認識しています。DIDITは、エンドユーザーの身元、身分証明書の真実性または真正性、または不正行為の不在を保証しません。DIDITのサービスによって提供される結果は、情報提供のみを目的としており、クライアントの意思決定プロセスを支援するものです。クライアントは、DIDITの結果に基づくか否かにかかわらず、最終的な決定について単独で責任を負い、DIDITは、かかる決定またはその結果について一切の責任を負いません。

12. 責任の制限

適用される法律で許容される最大限の範囲で、いかなる場合も、DIDIT、その関連会社、取締役、従業員、代理人、サプライヤー、またはライセンサーは、クライアントまたは第三者が被った間接的、偶発的、特別、結果的、懲罰的、模範的損害、または利益、収益、データ、使用、または信用喪失に対する損害について、契約、不法行為（過失を含む）、またはその他の行為であるかどうかにかかわらず、DIDITがかかる損害の可能性について知らされていたとしても、責任を負わないものとします。

本契約に基づくDIDITの総体的かつ累積的な責任は、いかなる原因およびいかなる責任理論の下でも、請求の原因となる事象が発生する前の12か月間にクライアントがDIDITに実際に支払ったクレジットまたはサービス料金の金額に限定されるものとします。

当事者による第9条（機密保持）または付属書2（DPA）の違反（個人データ侵害に関連する請求を含む）から生じる責任は、上記の制限額の2倍に制限されます。本条の制限は、当事者の詐欺、重大な過失、または故意の不正行為から生じる責任、クライアントの支払い義務、第13.1条に基づくクライアントの補償義務、または適用される法律が特定の損害の除外または制限を許可しない場合には適用されません。付属書1に基づいて発行されるサービスクレジットは、DIDITの総責任の一部を構成し、上記の制限額を超えるものではありません。

13. 補償

13.1 クライアントによる補償： クライアントは、Didit、その関連会社、取締役、従業員、代理人、およびサプライヤー（以下「Didit補償対象者」）を、以下に起因または関連するあらゆる請求、要求、損害、責任、損失、費用、および経費（合理的な弁護士費用を含む）から防御し、補償し、免責するものとします。 (i) クライアントによる本契約に基づく義務、表明、または保証の違反。これには、セキュリティ、データ保護、または利用制限に関連するものが含まれますが、これらに限定されません。 (ii) エンドユーザーまたは第三者による、クライアントの個人データの収集または処理（必要な同意の取得の失敗を含む）、または認証結果に基づくクライアントの決定に関連する請求。 (iii) クライアントによる、適用される法律または規制に準拠しない方法でのサービスの利用。 (iv) クライアントまたはそのクライアントデータによる、第三者の知的財産権またはプライバシー権の侵害。

13.2 Diditによる補償： Diditは、クライアント、その関連会社、取締役、従業員、および代理人を、Diditがクライアントに提供し、本契約に従って利用されるサービスが、当該第三者の特許、著作権、または商標を直接侵害するという第三者からの請求に起因または関連するあらゆる請求、要求、損害、責任、損失、費用、および経費（合理的な弁護士費用を含む）から防御し、補償し、免責するものとします。

除外： Diditの補償義務は、以下に起因する請求には適用されません。(a) クライアントがDiditによって提供されていないソフトウェア、ハードウェア、またはデータと組み合わせてサービスを利用した場合。(b) Didit以外の当事者によるサービスの変更。(c) Diditによってより新しい、非侵害バージョンのサービスが提供されているにもかかわらず、古いバージョンのサービスを利用した場合。

13.3 補償手続き： 補償を求める当事者（以下「被補償当事者」）は、(i) 請求について書面で補償当事者（以下「補償当事者」）に速やかに通知し、(ii) 補償当事者に請求の防御および和解の排他的な管理を許可し（ただし、和解が被補償当事者に金銭以外の義務を課したり、被補償当事者の事前の書面による同意なしに責任を認めたりしないことを条件とします）、(iii) 補償当事者の費用で、すべての合理的な支援と協力を補償当事者に提供するものとします。

14. 表明と保証

14.1 クライアントの表明と保証： クライアントはDiditに対し、以下の事項を表明し保証します。 (i) 本契約を締結し履行する完全な法的能力と権限を有すること。 (ii) サービスの利用およびクライアントデータと個人データの収集、処理、転送において、すべての適用される法律、規制、および規範を遵守すること。 (iii) 本契約およびDPAに従ってDiditが個人データを処理するために、エンドユーザーおよびその他の自然人から必要なすべての同意、許可、および承認を取得し、維持すること。 (iv) Diditに提供されるすべてのクライアントデータは正確、完全、かつ合法であり、クライアントはかかるデータをDiditに処理のために提供する権利を有すること。

14.2 Diditの表明と保証： Diditはクライアントに対し、以下の事項を表明し保証します。 (i) 本契約を締結し履行する完全な法的能力と権限を有すること。 (ii) サービスは専門的な方法で、業界標準に従って提供されること。 (iii) サービスは、ドキュメントに記載された説明に実質的に準拠すること。

15. 停止と終了

15.1 便宜による終了：

クライアントによる終了： クライアントはいつでもアカウントを閉鎖し、本契約を終了することができます。これにより、未使用のクレジットは没収されます。ただし、クライアントが (i) Diditの未是正の重大な違反または第15.2条に基づく破産、(ii) 慢性的なSLA違反（付属書1に従い、連続する3暦月のうち2暦月で月間稼働率が99.0%を下回るか、または単一の暦月で95.0%を下回る場合）、または (iii) 30日以上継続するDiditに影響を与える不可抗力事象の後に終了する場合を除きます。これらの場合、Diditは未使用の購入済みクレジットを返金します。
Diditによる終了： Diditは、30日前の書面による通知をもって、理由の如何を問わず、本契約およびクライアントのサービスへのアクセスを便宜上終了することができます。この場合、Diditはクライアントに未使用の購入済みクレジットの価値を返金します。

Diditが第13.2条に基づいて選択する知的財産権侵害による終了と合わせて、これらが返金事象のすべてです。返金額は、未使用の購入済みクレジットに対してDiditに実際に支払われ、保持された金額のみであり、それらのためにDiditが実際に受け取った現金を決して超えることはなく、SLAサービスクレジットおよびプロモーション、ボーナス、またはその他の無償クレジットは除外され、30日以内に銀行振込で支払われ、損害賠償ではなく前払いの返還です。

15.2 原因による終了： いずれかの当事者は、以下のいずれかの事由が発生した場合、書面による通知をもって直ちに本契約を終了することができます。 (i) 他方の当事者が本契約に基づく義務のいずれかを重大に違反し、当該違反を特定する書面による通知を受領後30日以内に当該違反を是正しない場合。 (ii) 他方の当事者が破産、支払不能、清算、解散、債権者との任意整理、または類似の手続きに入る場合。

Diditは、以下のいずれかの事由が発生した場合、事前の通知または是正期間なしに、クライアントのサービスへのアクセスを直ちに停止または終了することができます。 (a) 第6.4条（利用制限）または第6.5条（クライアントの責任）の重大または繰り返しの違反。 (b) サービスの違法、詐欺的、または濫用的な利用。 (c) 不払いまたは支払い条件の繰り返しの違反。 (d) Diditが、その単独の裁量により、サービスまたはクライアントデータのセキュリティまたは完全性が侵害される可能性があると判断した場合。 (e) 裁判所命令または法的要件の遵守。 (f) 第6.4条に記載されているように、複数の組織またはアカウントを作成することによる無料またはトライアルプランの悪用。この場合、影響を受ける組織およびアカウントは停止または終了される可能性があります。

15.3 終了の効果： 本契約が何らかの理由で終了した場合： (i) 本契約に基づきクライアントに付与されたすべてのライセンスおよび権利は直ちに消滅します。 (ii) クライアントは、サービスおよびドキュメントのすべての利用を中止するものとします。 (iii) 終了日時点でクライアントがDiditに支払うべき未払い金額は、直ちに期限が到来し、支払われるものとします。 (iv) クライアントに起因する原因による終了の場合、未使用のクレジットは没収され、返金不可となります。 (v) クライアントデータの保持および削除義務は、付属書2（DPA）によって規定されます。 (vi) 本契約の性質上、終了後も存続すべき条項（知的財産権、機密保持、保証の免責、責任の制限、補償、準拠法および管轄、一般条項に関するものを含むがこれらに限定されない）は、完全に効力を有するものとします。

16. 一般条項

16.1 不可抗力： いずれの当事者も、不可抗力によって遅延または不履行が生じた場合、本契約に基づく義務の遅延または不履行について責任を負わないものとします。影響を受けた当事者は、不可抗力事象を可能な限り速やかに他方の当事者に通知し、その影響を軽減するために合理的な努力を行うものとします。

16.2 契約の変更： Diditは、本規約、付属書、またはサービスポリシーをいつでも変更または更新する権利を留保します。Diditは、改訂された規約をウェブサイトまたはビジネスコンソールに掲載するか、クライアントに直接通知を送信することにより、かかる変更を少なくとも30日前にクライアントに通知します。クライアントが変更に同意しない場合、新しい規約の発効日前に書面による通知をもって本契約を終了することができます。変更の発効日以降もクライアントがサービスを継続して利用した場合、改訂された規約に拘束されることに同意したものとみなされます。

16.3 譲渡： クライアントは、Diditの事前の書面による同意なしに、本契約に基づく権利または義務の全部または一部を譲渡または移転することはできません。本規定に準拠しない譲渡または移転の試みは無効となります。Diditは、本契約の全部または一部を、関連会社に、または合併、買収、企業再編、またはその資産の全部または実質的に全部の売却に関連して、自由に譲渡または移転することができます。

16.4 分離可能性： 本契約のいずれかの規定が管轄裁判所によって無効または執行不能と判断された場合、当該規定は必要最小限の範囲で制限または削除され、本契約の残りの規定は完全に効力を有するものとします。

16.5 権利放棄なし： いずれかの当事者が本契約に基づく権利または救済を行使しなかったり、行使を遅延させたりしても、当該権利または救済の放棄とはみなされず、また当該権利または救済のその後の行使を妨げるものでもありません。いずれかの違反に対する明示的な権利放棄は、その後の違反に対する権利放棄を構成するものではありません。

16.6 準拠法および管轄： 準拠法および専属管轄は、クライアントの設立地によって異なり、これにより契約するDiditエンティティも決定されます（第1条参照）。

欧州連合、欧州経済領域、英国、またはスイスに設立されたクライアントは、Didit Identity Spain, S.L.と契約します。本契約はスペインの法律に準拠し（その抵触法の原則を参照しない）、当事者は、本契約に起因または関連する紛争について、スペイン、バルセロナの裁判所の専属管轄に取消不能な形で服するものとします。
米国、カナダ、ラテンアメリカ、アジア太平洋、中東、およびその他すべての管轄区域に設立されたクライアントは、Didit Identity, Inc.と契約します。本契約はアメリカ合衆国デラウェア州の法律に準拠し（その抵触法の原則を参照しない）、当事者は、本契約に起因または関連する紛争について、デラウェア州ニューキャッスル郡に所在する州裁判所および連邦裁判所の専属管轄に取消不能な形で服するものとします。

本第16.6条は、消費者がその常居所地の国の強制的な保護を奪うものではありません。国際物品売買契約に関する国連条約は適用されません。

16.7 完全合意： 本契約は、すべての注文書および付属書を含め、その主題に関するクライアントとDiditとの間の完全かつ排他的な合意を構成し、口頭または書面を問わず、当事者間のすべての以前または同時期の通信、提案、および合意に優先します。

16.8 当事者の関係： 当事者は独立した契約者です。本契約は、クライアントとDiditとの間にパートナーシップ、合弁事業、雇用、フランチャイズ、または代理関係を創出するものではありません。いずれの当事者も、他方を拘束したり、他方に代わって義務を負わせたりする権限を有しません。

16.9 通知： 本契約に基づき要求または許可されるすべての通知は書面で行われ、以下のいずれかの時点で送達されたものとみなされます。(a) 直接手渡しされた場合。(b) 受領確認付きの書留郵便または認証郵便で送付された場合。(c) 第1条または注文書に指定された通知用メールアドレスにメールで送信され、受領確認がなされた場合。(d) Diditからクライアントへの一般的な通知の場合、ビジネスコンソールまたはウェブサイトに掲載された場合。

16.10 輸出コンプライアンス法： クライアントは、クライアントまたはその承認ユーザーが欧州連合、米国、またはその他の管轄当局によって課された経済制裁または禁輸措置の対象ではないこと、およびかかる輸出管理法によって禁止されている目的でサービスを利用しないことを表明し保証します。

16.11 広報： クライアントは、Diditがクライアントの名称およびロゴをDiditのマーケティング資料および顧客リストで使用することに同意します。ただし、クライアントが書面でかかる使用に異議を唱える旨をDiditに通知した場合を除きます。

16.12 存続： 第7条（知的財産権）、第8条（料金および支払い条件、未払い金額に関連する部分）、第9条（機密保持）、第11条（保証の免責）、第12条（責任の制限）、第13条（補償）、第15.3条（終了の効果）、および第16条（一般条項）は、本契約の終了または満了後も存続するものとします。

付属書1、サービスレベル契約（SLA）

エンタープライズプランの場合、お客様の注文書に署名された運用条件およびサービスメトリクスが本付属書よりも優先されます。

1. 範囲： 本サービスレベル契約（「SLA」）は、Diditのコア認証API、ビジネスコンソールダッシュボード、およびDiditが直接管理するSDKエンドポイントの運用可用性に適用されます。

2. 可用性コミットメント： Diditは、以下のメトリクスに従って、コアサービスの月間稼働率を維持することを約束します。

メトリクス	コミットメント
月間稼働率 (%)	≥ 99.9 %

3. 稼働率の測定： 稼働率は、Diditの内部監視ツールを使用して分単位で測定されます。ダウンタイムは、Diditの監視システムによって検出された、またはクライアントがサポートアラートを通じて報告し検証した、コアAPIまたはダッシュボードがHTTPSリクエスト（2XX/3XXステータスコード）に正常に応答しないすべての分とみなされます。

4. 稼働率の除外： 月間稼働率には、以下に起因するダウンタイムまたはサービス中断は含まれません。

不可抗力： 主要契約の第16.1条で定義されている、Diditの合理的な制御を超える事象。
計画メンテナンス： サービスの計画メンテナンス期間。Diditは、ビジネスコンソールまたはメールを通じて少なくとも48時間前に通知を行い、計画メンテナンスを暦月あたり最大5時間に制限します。
緊急メンテナンス： 重要なセキュリティまたはパフォーマンスの問題を解決するために必要な、計画外のメンテナンス。Diditは合理的な事前通知を試みますが、すべての場合に可能とは限りません。
Diditの合理的な制御を超える要因： クライアント側のハードウェアまたはソフトウェアの問題、Diditに起因しないインターネットネットワークの停止、標準的な軽減閾値を超えるサービス拒否攻撃、または第三者サービスプロバイダー（クラウドプロバイダーなど、ただしDiditがその選択または管理において重大な過失を犯したことが証明された場合を除く）の障害を含みますが、これらに限定されません。
クライアントまたはその承認ユーザーによる行為または不作為： 契約の違反を含む。

5. サービスクレジット（SLAクレジット）： Diditが第2条に定める月間稼働率コミットメントを満たさなかった場合、クライアントは、影響を受けた暦月中に実際に消費された料金（差し引かれたクレジット）に基づいて計算されるサービスクレジット（以下「影響月消費額」）を請求することができます。これは、クレジットが購入または請求された時期とは無関係に、消費のみによって決定され、以下の表に従います。

月間稼働率 (%)	クレジット（影響月消費額の%）
< 99.9 % ≥ 99.0 %	10 %
< 99.0 % ≥ 95.0 %	25 %
< 95.0 %	50 %

5.1 クレジット請求プロセス： クレジットを請求するには、クライアントはSLA違反が発生した月の末日から30暦日以内に、billing@didit.me宛てに書面で請求を提出する必要があります。請求には、サービス中断の日時と中断の簡単な説明を含める必要があります。 サービスクレジットは、本SLAに基づく稼働率コミットメントの違反に対するクライアントの唯一かつ排他的な救済措置です。 クレジットの価値は、次の請求サイクルまたはクレジット補充時にクライアントのアカウントに自動的に適用されます。サービスクレジットは返金不可、譲渡不可、現金価値なし、金銭として支払われることはなく、契約終了時に失効します。いかなる暦月におけるサービスクレジットの合計は、影響を受けた月にクライアントが実際に消費した料金（差し引かれたクレジット）の50%を上限とします。これは、クレジットが購入された時期とは無関係に、消費のみによって決定されます。クレジットは、クライアントのアカウントが良好な状態である（未払い請求書がない）場合にのみ適用されます。

6. サポート応答目標： 「営業時間」とは、中央ヨーロッパ時間/中央ヨーロッパ夏時間（CET/CEST）の月曜日から金曜日の午前9時から午後9時までを指し、スペインの祝日を除きます。Diditは、以下の目標内でサポートリクエストに応答します（解決ではなく応答のコミットメント。DiditはP1インシデントが解決されるまで継続的に作業します）：P1（クリティカル：完全なサービス停止または重要なデータ整合性の問題）— 2時間以内、24時間365日。P2（高：重大な機能低下または主要な機能障害）— 4営業時間以内。P3（通常：軽微な機能の問題）— 8営業時間以内。P4（低：一般的な問い合わせまたは外観上の問題）— 24営業時間以内。

7. インシデント対応とコミュニケーション： すべての本番インシデントは、status.didit.meにリアルタイムで投稿されます。Diditは、クリティカル（P1）インシデントの事後分析を解決後15営業日以内に公開します。個人データ侵害の通知は、付属書2、第6条に従います。

付属書2、データ処理契約（DPA）

本データ処理契約（「DPA」）は、主要契約の不可欠な一部を構成し、Diditがクライアントに代わって個人データを処理する場合、一般データ保護規則（GDPR）およびその他の適用されるデータ保護法に従って適用されます。

1. 背景と範囲： 本DPAは、データ管理者としてのクライアントに代わって、データ処理者としてのDiditによる個人データの処理に関する当事者の権利と義務を定めます。

2. 役割と処理の性質：

役割	立場
クライアント	データ管理者
Didit（サービスに関して）	データ処理者
Didit（集計/仮名化データ）	独立管理者（アルゴリズム改善のため）

2.1 処理の詳細：

処理の目的： Diditによる個人データの処理は、クライアントのKYC/AMLコンプライアンス義務、年齢認証、不正防止を含むがこれに限定されない、クライアントへの本人確認サービス提供のみを目的とします。
データ主体のカテゴリ： 処理される個人データは、サービスを通じてクライアントによって本人確認されるエンドユーザーに関するものです。
個人データのカテゴリ： 処理されるデータには、身分証明書情報（氏名、生年月日、国籍、書類番号）、自撮り/ビデオ画像（顔データなどの生体データを含む）、連絡先データ（メール、電話）、デバイスおよび接続データ（IPアドレス、デバイスタイプ、位置情報）、AML/制裁スクリーニングデータが含まれる場合があります。
処理期間と保持： 認証フローで処理される個人データのデフォルトの保持期間は無期限（「無制限」）です。ただし、クライアントがより短い期間を設定した場合を除きます。クライアントは、ビジネスコンソールでアプリケーションごとに30日から10年の間で保持期間を設定でき、APIエンドポイント`POST /v3/sessions/:session_id/delete/`またはビジネスコンソールを通じていつでも個々のセッションまたは認証記録を削除できます。Diditは、クライアントの指示または契約終了時に個人データを削除または返却します。ただし、適用される法律が保持を要求する場合を除きます。生体データの保持は、いかなる場合も、適用される生体プライバシー法および規制（EU一般データ保護規則（GDPR）第9条、イリノイ州生体情報プライバシー法（BIPA）、テキサス州生体識別子取得または使用法（CUBI）、ワシントン州H.B. 1493、およびその他の適用される生体プライバシー法を含む）に従い、それらによって上限が定められます。かかる法律がより短い保持期間またはより早い破棄義務を規定する場合、そのより短いまたはより厳格な規則が、デフォルトまたはクライアントが設定した保持期間よりも優先されます。

2.2 処理の法的根拠： クライアントは、エンドユーザーの個人データの収集および処理、ならびに当該データのDiditへの転送に関する有効な法的根拠を決定する単独の責任を負います。これには、例えば、データ主体の明示的な同意（特に生体データの場合）、契約の履行、法的義務の遵守、または正当な利益が含まれる場合があります。クライアントは、Diditに個人データを送信する前に、適用される法律に従って必要なプライバシー通知を提供し、エンドユーザーから必要な同意を取得することを約束します。

2.3 匿名化/仮名化されたモデルトレーニングと不正検出（Diditは独立管理者として）： クライアントは、Diditが以下の目的のために、クライアントデータから派生した匿名化または仮名化されたデータを独立管理者として使用することに同意し、これを認識します。

(i) 認証、生体認証、および不正検出モデルのトレーニングと改善。これには、ドキュメント分類器、生体検知、顔照合、ディープフェイク検出、インジェクション攻撃検出、リスクスコアリングモデルが含まれ、セキュリティを強化し、不正を減らし、すべての顧客に対するサービスの正確性を向上させるためです。

(ii) 顧客間の不正防止対策。Diditのサービスを利用する異なるクライアントアプリケーション間で、既知の不正行為者、攻撃パターン、および繰り返しの不正行為の試みを特定し、フラグを立てます。

Diditは、安全で正確な本人確認および不正防止インフラを運用するという正当な利益に基づいてこのデータを処理し、匿名化、仮名化、集計、およびアクセス制御を適用することで、これらの目的で使用されるデータが、基礎となる認証記録以外で識別可能な個人に合理的にリンクされないようにします。

オプトアウト。 クライアント（または影響を受けるエンドユーザー）は、(a) APIまたはビジネスコンソールを通じて基礎となる認証記録を削除すること（これにより、次の更新サイクルでトレーニングパイプラインから記録が削除されます）、または (b) 関連するセッション識別子またはアカウントを記載してprivacy@didit.meにメールを送信し、オプトアウトを要求することによって、本第2.3条に記載された処理からオプトアウトすることができます。オプトアウトは要求日から将来にわたって適用されます。Diditは、適格な記録をアクティブなトレーニングデータセットから削除するために商業的に合理的な努力も行います。

3. Diditの義務（データ処理者）： Diditは以下のことを約束します。 (i) クライアントからの文書化された指示にのみ従って個人データを処理すること。ただし、EUまたは加盟国の法律によって要求される場合を除き、その場合、Diditは処理前にクライアントにその法的要件を通知します。ただし、その法律が重要な公共の利益のためにかかる情報の提供を禁止する場合を除きます。 (ii) 個人データの機密性を確保すること。 Diditは、個人データを処理する権限を与えられた者が機密保持を約束するか、適切な法定機密保持義務を負うことを保証します。 (iii) 適切な強力な技術的および組織的措置（TOMs）を実装すること。これには、保存時のデータ暗号化（AES-256）および転送時のデータ暗号化（TLS 1.3）、専用のキー管理サービス（KMS）でのキー管理、ロールベースのアクセス制御、環境分離、処理システムおよびサービスの回復力、継続的な監視、定期的なセキュリティテストが含まれ、リスクに応じた適切なレベルのセキュリティを確保します。Diditは、SOC 2 Type 1（セキュリティ、可用性、機密性。SOC 2 Type 2は2026年7月30日発行）、ISO/IEC 27001:2022、ISO/IEC 30107-3に基づくiBeta Level 1 Presentation Attack Detection (PAD)、およびスペインのLey 7/2020金融サンドボックスに基づくTesoro / SEPBLAC / CNMVサンドボックス認証を維持しています。 (iv) 処理の性質およびDiditが利用可能な情報を考慮し、データ管理者としてのクライアントの義務履行を支援すること。これには以下が含まれます。

(v) Diditが認識した個人データセキュリティ侵害について、不当な遅延なくクライアントに通知すること。Diditは、侵害に関する既知の情報を提供し、その影響を軽減し、通知義務を履行するためにクライアントと協力します。

4. クライアントの義務（データ管理者）： クライアントは以下のことを約束します。 (i) 個人データの処理およびDiditへの転送に関する適切な法的根拠を確立し、維持すること。 (ii) Diditのサービスを利用する前に、適用されるデータ保護法に従って、必要なプライバシー通知を提供し、エンドユーザーから必要な同意を取得すること。 (iii) 自身の法的義務および内部ポリシーに従って、DiditのコンソールまたはAPIを通じてデータ保持期間を設定すること。 (iv) Diditがクライアントに転送する監督機関またはデータ主体からの要求に対応すること。

5. サブプロセッサー： クライアントは、個人データの処理のためにサブプロセッサーを関与させることについて、Diditに一般的な承認を与えます。Diditは、サブプロセッサーの最新リストをdidit.me/terms/sub-processorsに公開しており、これが本DPAで参照される正規のリストです。各サブプロセッサーとの間で締結されている契約上の保護措置に関する詳細情報は、署名済みの秘密保持契約に基づき、legal@didit.meへの書面による請求に応じて提供されます。Diditは、当該ページおよびビジネスコンソールを通じて、意図された追加または代替の30日前までに通知を行います。クライアントは、通知から30日以内にprivacy@didit.meに合理的なデータ保護上の理由で異議を申し立てることができます。その後、当事者は30日間誠実に異議を解決するために協力します。解決に至らない場合、Diditはサブプロセッサーを任命しないことを選択するか、クライアントは影響を受けるサービスの使用を中止し、当該サービスのみを終了することができます。未使用の購入済みクレジットは、残りのサービス全体で消費可能であり、その理由による返金は行われません。Diditは、サブプロセッサーに対し、本DPAに定められたものと実質的に同様のデータ保護義務を課し、サブプロセッサーがこれらの義務を遵守することについてクライアントに対して全責任を負います。クライアントは、合理的なデータ保護上の理由で新しいサブプロセッサーに異議を申し立てることができます。その場合、当事者は、影響を受けるサービスの終了の可能性を含め、解決策を見つけるために誠実に協力します。

6. セキュリティ侵害： 個人データセキュリティ侵害が発生した場合： (i) Diditは、個人データ侵害がクライアントデータに影響を与えていることを確認後、不当な遅延なく、いかなる場合も48時間以内に、クライアントの指定連絡先にメールで、およびビジネスコンソールを通じてクライアントに通知します。これは、クライアントがGDPR第33条に基づく72時間通知義務を履行できるようにするためです。Diditは、解決まで少なくとも48時間ごとに状況を更新し、クリティカル（P1）インシデントについては、解決後15営業日以内に根本原因分析を提供します。 (ii) Diditは、侵害の性質、影響を受けたデータのカテゴリ、影響を受けたデータ主体およびデータ記録のおおよその数、起こりうる結果、およびそれに対処し、起こりうる悪影響を軽減するために取られたまたは提案された措置を含む、侵害に関する詳細をクライアントに提供します。 (iii) Diditは、侵害の調査および監督機関およびデータ主体への通知義務の履行において、クライアントと合理的に協力します。ただし、かかる通知に関する最終決定はクライアントに委ねられます。

7. 国際データ転送： Diditが処理する主要なデータは、欧州経済領域（EEA）内でホストされています。DiditまたはそのサブプロセッサーによるEEA外への個人データの転送は、GDPRに基づく法的に認められた転送メカニズム（欧州委員会によって承認された標準契約条項（SCCs）、十分性認定、または適切なレベルの保護を確保するためのその他の適用される法的メカニズムなど）に基づいてのみ行われます。

8. 個人データの削除/返却： クライアントからの書面による要求または本契約の終了時に、Diditは、クライアントの選択に従い、すべての個人データをクライアントに削除または返却します。ただし、適用される法律がDiditに個人データの保持を要求する場合を除きます。クライアントは、自身の保持ポリシーに従って、DiditのAPIまたはコンソールを通じていつでも個人データの削除を管理できます。

9. 監査とドキュメント： Diditは、クライアントからの要求および合理的な事前通知（30日以上）に基づき、本DPAに定められた義務の遵守を実証するために合理的に必要なすべての情報を提供します。クライアントがDiditの施設またはシステムの直接監査を要求する場合、かかる監査は限定的かつ非侵襲的であり、範囲と方法論に関する相互合意に従い、クライアントはそれに関連する合理的な費用を負担するものとします。要求に応じて、署名済みのNDAに基づき、DiditはSOC 2 Type 1およびSOC 2 Type 2レポート、ISO/IEC 27001:2022証明書、iBeta Level 1 PADテストレポート、および公開されているTesoro / SEPBLAC / CNMVサンドボックスの結論を監査証拠として提供します。

10. DPA期間： 本DPAは、主要契約と同一の期間を有するものとします。機密保持、削除、責任、および監査に関する本DPAの条項は、適用される法律の要求に従い、契約終了後も存続するものとします。

ビジネス利用規約