ElevenLabsデータ処理 追補条項

ElevenLabsデータ処理追補条項

最終更新日：2026年4月8日

本ElevenLabsデータ処理追補条項（以下「DPA」）は、本DPAを参照するかその他の方法で本DPAを組み込むカスタマーとElevenLabsとの間における契約の一部を構成します。本DPAは、適用法で認められる範囲で、ElevenLabsによって随時更新される場合があります。Self-Serveサービス（以下に定義）を利用する法人等の場合、本追補条項における「本契約」は本規約を指し、「カスタマー」は本規約で規定する「お客様」を指します。

1. 定義および解釈

本DPAで使用される大文字表記で未定義の用語および表現は、本契約で付与される意味（本契約で定義されていない場合は、適用データ保護法の下で付与される意味）を有します。

「適用データ保護法」とは、本契約に基づく当該当事者による個人データの処理に適用されるあらゆるプライバシーまたはデータ保護に関する法令を意味し、欧州データ保護法、カリフォルニア州プライバシー権利法で改正されたカリフォルニア州消費者プライバシー法（以下「CCPA」）、ブラジルの一般データ保護法（Lei Geral de Proteção de Dados – LGPD）などです。

「ブラジルSCC」とは、ブラジル国家データ保護局（Autoridade Nacional de Proteção de Dados – ANPD）が承認したブラジル標準契約条項を意味し、随時更新するか代替される場合があります。

「管理者」は、適用データ保護法と整合的に解釈され、少なくとも該当する場合には、欧州データ保護法および米国における適用されるデータ保護法の下で定義される「管理者」、ならびにCCPAの下で定義される「事業者」を含みます。

「カスタマー個人データ」とは、本契約に基づき、ElevenLabsが処理者としてカスタマーに代わって処理するあらゆる個人データを意味します。

「データ主体」は、適用データ保護法と整合的に解釈され、少なくとも該当する場合には、欧州データ保護法において当該用語が定義される「データ主体」を含み、CCPAおよび米国における適用データ保護法において当該用語が定義される「消費者」を含みます。

「データ主体の権利」とは、適用データ保護法の下でデータ主体に付与される権利を意味し、該当する場合、情報提供、アクセス、訂正、消去、制限、ポータビリティ、異議申立ての権利、同意を撤回する権利などです。

「データ移転」とは、EEA、英国、スイスまたはブラジルで適用データ保護法の対象となる組織が、当該法域外に所在する他の組織に対してカスタマー個人データを開示することを意味します。

「DPA」とは、本データ処理契約を意味します。

「EEA」とは、欧州経済領域を意味します。

「EEA SCC」とは、欧州議会および理事会規則（EU）2016/679に基づき、第三国への個人データの移転に関する標準契約条項について、2021年6月4日付EU委員会実施決定2021/914号に添付された条項を意味し、随時改正、代替されたものを含みます。

「欧州データ保護法」とは、一般データ保護規則（EU）2016/679（以下「GDPR」）およびeプライバシー指令2002/58/EC（指令2009/136/ECによる改正を含む）、欧州連合を含むEEA内における国内実施法、ならびにEEA、英国、スイスのその他すべてのデータ保護法を意味し、それぞれ適用される範囲で、随時改正、代替されたものを含みます。

「EU・米国データプライバシー枠組み」とは、欧州議会および理事会規則（EU）2016/679に基づき、EU・米国データプライバシー枠組みの下で、個人データの保護水準が十分であるとする、2023年7月10日付の欧州委員会実施決定C(2023) 4745 finalに定められた十分性決定を意味します。

「個人データ」は、適用データ保護法と整合的に解釈され、少なくとも、該当する場合には、欧州データ保護法において当該用語が定義される「個人データ」を含み、CCPAにおいて当該用語が定義される「個人情報」を含みます。

「処理する」および「処理」は、適用データ保護法と整合的に解釈されます。

「処理者」は、適用データ保護法と整合的に解釈され、少なくとも、該当する場合には、欧州データ保護法において当該用語が定義される「処理者」を含み、CCPAにおいて当該用語が定義される「サービスプロバイダー」または「請負業者」を含みます。

「SCC」とは、適用されるEEA SCC、英国追補条項、またはブラジルSCCを意味します。

「セキュリティインシデント」とは、本契約に基づいて送信、保存その他の方法で処理されるカスタマー個人データの、偶発的もしくは不法な破壊、紛失、改ざん、無権限開示またはアクセスをもたらすセキュリティ侵害を意味します。

「本サービス」とは、本契約に基づいて、ElevenLabsがカスタマーに提供するソフトウェアを意味します。

「サブプロセッサー」とは、本契約に関連して、ElevenLabsがカスタマーに代わってカスタマー個人データを処理するために指名した、あらゆる事業体を意味します。

「第三者管理者」とは、本契約に関連して処理されるカスタマー個人データに関し、カスタマーが処理者として業務を行っている場合の管理者を意味します。

「英国追補条項」とは、2018年英国データ保護法第119A(1)条に基づき、英国情報コミッショナーが発行したSCCに対する追補条項（B1.0版、2022年3月21施行）を意味します。

「委員会」、「加盟国」、「監督機関」という用語は、GDPRにおける意味と同一の意味を有し、その関連用語もこれに準じて解釈されます。

「事業目的」、「共有」、「共有された」という用語は、CCPAの下で与えられている意味と同一の意味を有します。「販売する」および「販売」という用語は、米国の適用データ保護法で定義される意味を有します。

2. 範囲

2.1 本DPAは、カスタマーが管理者として行動するか、第三者管理者の処理者として行動する場合において、ElevenLabsがカスタマー個人データを、カスタマーに代わって処理者として処理する範囲に適用されます。処理の対象、性質および目的（処理されるカスタマー個人データの種類に加え、当該個人データが処理されるデータ主体のカテゴリを含みます）に関する詳細は、本DPAの不可分の一部である別紙Iに定められています。

2.2 カスタマーは、両当事者間において、管理者に適用するデータ保護法の要件を遵守する責任を負います。特に、該当する場合には、カスタマーは、本DPAに記載されたElevenLabsによる個人データの処理についてデータ主体に通知し、適用データ保護法を遵守するために必要な範囲で、ElevenLabsによる当該処理についてデータ主体の同意を得ることを認め、同意します。本DPAに基づきカスタマー個人データを処理するにあたり、ElevenLabsは、処理者に適用される適用データ保護法に基づく関連する義務を遵守します。

2.3 前述した事項にかかわらず、カスタマーは、第三者管理者に代わる処理者である場合、以下の措置を講じます。(i) ElevenLabsに対する単一の連絡窓口となること。(ii) 本DPAに関連して、当該第三者管理者から必要なすべての権限を必ず取得すること。(iii) 本DPAに定めるとおり、ElevenLabsによる処理のために必要な通知を提供し、同意を取得すること。(iv) 両当事者間において、当該第三者管理者に代わってすべての指示を発し、すべての権利を行使すること。

3. カスタマー個人データの処理

3.1 ElevenLabsは、以下のいずれかの場合を除き、カスタマー個人データを処理しません。(i) カスタマーの関連する書面による指示（疑義を避けるため付言すると、当該指示は本契約（本DPAを含みます）に定められています）に従って処理する場合。(ii) 適用データ保護法により明示的に許容されている場合。

3.2 適用データ保護法により許容される範囲内で、適用データ保護法に基づくカスタマーの義務と整合的にElevenLabsがカスタマー個人データを利用するよう、合理的かつ適切な措置を講じる権利をカスタマーは有します。

3.3 ElevenLabsは、本契約第3.1条に従ってなされたカスタマーの指示に反してカスタマー個人データを処理する法的義務を負った場合、適用データ保護法により要求される範囲で、かつ法的に許容される範囲で、当該義務についてカスタマーに通知します。

4. 要員

ElevenLabsは、本契約に定める機密保持義務を制限することなく、カスタマー個人データの保護に関し、商業的に合理的な努力を払い、以下の事項を確保します。(i) カスタマー個人データにアクセスする可能性のある従業員、代理人または請負業者の信頼性。(ii) カスタマー個人データに対するアクセスが、本契約に基づく権利および義務を遂行する上で、関連する当該カスタマー個人データを知り、かつアクセスする必要がある者に厳格に限定されること。

5. セキュリティ

5.1 技術水準、実施費用に加え、処理の性質・範囲・文脈・目的、さらにカスタマー個人データの処理によって生じる具体的なリスク、および個人データ侵害が自然人の権利と自由に及ぼす影響の重大性を考慮し、ElevenLabsは、カスタマー個人データに関し、当該リスクに見合う水準のセキュリティを確保するよう設計した適切な技術的および組織的措置を講じます。これには、関連し適用される範囲において、付録IIに記載した措置が含まれます。

6. サブプロセッシング

6.1. カスタマーは、本第6条に従い、ElevenLabsがサブプロセッサーを起用することに一般的な許諾を付与します。ElevenLabsのサブプロセッサーのリストは、https://compliance.elevenlabs.io（以下サブプロセッサーリスト）で管理されています。

6.2. ElevenLabsは、当該サブプロセッサーと書面による契約を締結し、カスタマー個人データに関して、関連するプライバシー義務およびデータセキュリティ義務を課します。当該義務は、本DPAに規定される条件と実質的に同等の保護水準を有します。

6.3. ElevenLabsは、新規サブプロセッサーまたは代替サブプロセッサーを指名する少なくとも30日前に、サブプロセッサーリストを更新してカスタマーに通知します（以下「通知期間」）。カスタマーは、データプライバシーまたはデータセキュリティに関連する合理的な根拠に基づき、通知期間内に、異議の根拠を詳述した書面による通知を行い、サブプロセッサーの追加または代替に異議を申し立てることができます。カスタマーおよびElevenLabsは、そのような場合、カスタマーの異議に対処するため、誠実に協力します。両当事者が当該異議を合理的に解決できない場合、いずれの当事者も、交渉終了から30日以内に、書面による通知をもって、当該サブプロセッサーの使用を必要とする本サービスを終了することができます。

7. データ主体の権利

7.1 処理の性質に加え、ElevenLabsが合理的に利用可能な情報を考慮し、ElevenLabsは、本契約に基づき処理されるカスタマー個人データに関連して、データ主体の権利行使の要求を履行するカスタマーの義務に関して、商業的に合理的な支援（適宜、技術的、組織的な措置を講じることなど）をカスタマーに提供します。

7.2 ElevenLabsは、カスタマー個人データに関して、適用データ保護法に基づきデータ主体から請求を受領した場合は、当該請求がカスタマーに関するものであると確認できた時点で、速やかにカスタマーに通知します。ElevenLabsは、カスタマーの書面による指示がある場合か、適用法で義務付けられている場合を除き、当該要求には応答しません。ただし、ElevenLabsは、当該要求がカスタマーに関連するものであることを確認するためか、当該個人をカスタマーに案内するために、応答することができます。

8. 個人データ侵害

8.1 ElevenLabsは、セキュリティインシデントを確認した場合、不当な遅滞なくカスタマーに通知し、当該セキュリティインシデントに関連する合理的な情報（適用データ保護法に基づきElevenLabsがカスタマーに対して提供を義務付けられている情報など）をカスタマーに提供します。

8.2 ElevenLabsは、カスタマーの合理的な要請に応じて、当該各セキュリティインシデントのカスタマーによる調査および軽減に関連して、商業的に合理的な支援および協力を提供します。

9. カスタマー個人データの削除または返還

9.1. 本DPAは、本契約の終了をもって自動的に終了します。

9.2. カスタマーコンテンツは、以下に従って本サービスから削除されます。

9.2.1 ElevenLabsのエンタープライズレベルのサービスをライセンスするカスタマーの場合、カスタマーコンテンツは、本契約の期間満了または終了から30日以内に、本サービスから削除されます。ただし、カスタマーが当該期間を超えた保持に同意した場合はこの限りではありません。

9.2.2 ElevenLabsの非エンタープライズ向けサービス（以下「Self-Serveサービス」）をライセンスするカスタマーの場合、ElevenLabsは、180日間の非アクティブ期間経過後、当該Self-Serveサービスからカスタマーコンテンツを削除する権利を留保しますが、削除する義務は負いません。

9.3 ElevenLabsは、第9.2条またはこれに反するいかなる規定にかかわらず、以下の範囲においてカスタマーコンテンツを保持することができます。

9.3.1 適用法令を遵守するために必要な場合。ただし、当該カスタマー個人データは、それが保持された特定の目的のためにのみ使用されます。

9.3.2 自動アーカイブプロセスに基づいてElevenLabsのバックアップシステムに格納されている場合。ただし、当該情報が、ElevenLabsの標準的な保持ポリシーに従って削除されることを条件とします。

9.3.3 本第9.3条に基づいて保持されるいかなるカスタマーコンテンツも、保持されている限り本契約に定めるすべての関連する機密保持義務に従います。

10. 監査権限およびコンプライアンス

10.1 カスタマーからの合理的な書面による要請があり、かつ当該カスタマーが適用される注文書または契約に基づき当該資料を受領する権利を有しており、機密保持義務に従うことを条件として、ElevenLabsは、その時点における業界標準の第三者監査認証または報告書（SOC 2 Type II報告書を含む場合があります）をカスタマーに提供します。両当事者は、当該報告書の提供が、適用データ保護法に基づきカスタマーが有する監査権を充足することに合意します。

10.2 カスタマーは、本DPAに関連してElevenLabsの追加監査を実施することを適用データ保護法によって義務付けられている範囲で、当該追加の監査および検査を、当該適用データ保護法により義務付けられている範囲で、仮想的に実施することができます。ただし、次の条件を満たすものとします。(i) カスタマーおよび／またはカスタマーが指定する監査人が、ElevenLabsとの間で適切かつ関連する機密保持義務に合意すること。(ii) 当該監査または検査が、ElevenLabsの通常の事業運営を不当に妨げず、かつ第三者の機密情報の開示を要求しないこと。(iii) カスタマーとElevenLabsが、監査の詳細（監査の範囲、時期、期間を含む）について相互に同意すること。カスタマーは、監査または検査の費用を負担しますが、監査または検査により、ElevenLabsによる本DPAの重大な違反が判明した場合はこの限りではありません。

10.3 ElevenLabsは、カスタマーがGDPR第35条または第36条その他の適用データ保護法の同等の規定に基づく義務を履行するために必要な範囲において、本契約に基づきElevenLabsが行うカスタマー個人データの処理に関連する範囲内で、データ保護影響評価および監督機関その他のデータプライバシー所管当局との事前協議に関して、商業的に合理的な支援をカスタマーに提供します。

10.4 本第10条に関連してアクセスするか生成された情報（本第10条に基づき許可される監査の結果を含みます）は、カスタマーが適用データ保護法に基づく義務を遵守する目的のためにのみ使用され、ElevenLabsの機密情報とみなされます。

11. データ移転

11.1 カスタマーは、ElevenLabsが以下のいずれかのデータ移転を行うことを承認します。(i) 欧州委員会が十分なレベルのデータ保護を有するとみなした国（EU・米国データプライバシーフレームワークに基づくものを含む）か、その他の所管当局（英国、スイス、ブラジルの当局を含む）が当該データ移転に適用される範囲で、十分なレベルであるとみなした国への移転。(ii) 本第11条で言及するSCCに基づく移転（該当する場合）。 (iii) 適用データ保護法により許容されるその他の適切な保護措置（代替的な移転メカニズムを含む）に基づく移転。本DPAに組み込まれるSCCに関しては、以下のとおりとします。(i) 両当事者は、本DPAの発効をもって当該SCCが締結されたものとみなすことに合意すること。(ii) 両当事者は、管理者・処理者間の移転に適用される関連モジュールを締結するか、カスタマーが第三者管理者の処理者である範囲においては、処理者・処理者間モジュールを締結すること。(iii) ElevenLabsを「データ輸入者」とみなし、カスタマーを「データ輸出者」とみなし、各当事者の詳細は本契約に定めるとおりとすること。(iv) 本DPAの付録IおよびIIは、適用されるSCCのそれぞれの付録IおよびIIとして機能すること。

11.2 両当事者は、EEA SCCが以下のとおり補完されることに合意します。(i) 第7条の任意ドッキング条項は適用されないこと。(ii) 第9(a)条の選択肢2が実施され、同条に定める期間は上記の第6.3条に規定されること。(iii) 第11(a)条の任意救済条項は削除されること。(iv) 第17条の選択肢1が実施され、準拠法はアイルランド法とすること。(v) 第18(b)条における裁判所は、アイルランドの裁判所とすること。

11.3 スイスから移転される個人データに関して、（EEAにおける法ではなく）スイス法が当該データ移転を規律し、かつElevenLabsが当該データ移転を実施するためにEEA SCCを利用する範囲において、EEA SCCは、スイス連邦データ保護法（以下「FADP」）により必要とされる範囲で、以下のとおり修正されたものとみなされます。

11.3.1 GDPRおよびEEA SCCへの言及は、当該データ移転が専らFADPTの適用を受け、GDPRの適用を受けない範囲において、FADPへの言及として解釈されること。

11.3.2 EEA SCCにおける「加盟国」という用語は、EEA SCC第18(c)条に従い、スイスのデータ主体がその常居所地（スイス）において、自己の権利を行使するために訴訟を提起する可能性を排除するような方法で解釈されないこと。

11.4 両当事者は、英国追補条項が以下のとおりさらに補完されることに合意します。(i) 表2において、最初の選択肢が選択され、「承認済EU SCC」は、本DPA第11.2条に言及されるEEA SCCとすること。(ii) 表4において、「輸入者」が選択されること。

11.5 両当事者は、ブラジルSCCが以下のとおりさらに補完されることに合意します。(i) 第2項は、本DPAの別紙Iに規定される詳細情報を記載すること。(ii) 第3項においては、選択肢Bを適用するが、当該移転が本DPAの条件と矛盾しないことを条件とすること。(iii) 第4項においては、選択肢Aを適用し、輸出者を指定当事者とすること。(iv) 第III条を完成させるための詳細は、本DPAの付録IIに定めること。

12. 米国データ保護法 

12.1 米国の適用データ保護法が、本追補条項に基づくElevenLabsによる個人データの処理に関連して適用される範囲において、以下のとおりとします。

12.1.1 ElevenLabsは、以下の行為を禁止されること。(i) 個人データを販売すること。(ii) 法律により許容される場合を除き、カスタマー個人データを共有すること。(ii) 本契約に基づき許容される特定の事業目的以外の目的で、カスタマー個人データを保持、利用するか開示すること。(iii) 本追補条項に別途規定されている場合か、当該適用データ保護法の下で明示的に許容される場合を除き、カスタマー個人データを、カスタマー以外の情報源から（または当該情報源に代わって）取得した個人データと結合すること。疑義を避けるために付言すると、カスタマー個人データは、該当するデータ主体がElevenLabsのアカウントを保持し、かつ本追補条項に基づき提供されるサービスへのアクセスを後にカスタマーから承認される範囲において、他の情報源からの個人データと結合することができます。

12.1.2 両当事者は、両当事者間における個人データの交換が、本契約または本DPAに関して両当事者間で交換される金銭的対価その他の価値ある対価の一部を構成しないことを認め、合意すること。

12.1.3 ElevenLabsは、法律で義務付けられている範囲において、米国の適用データ保護法に基づく義務を履行できなくなったと判断した場合、速やかにカスタマーに通知すること。カスタマーは、本項に従ってElevenLabsから通知を受けた場合、法律で許容される範囲において、カスタマー個人データの不正利用を停止し、是正するために、合理的かつ適切な措置を講じるよう、ElevenLabsに指示することができます。

13. データ所在地。

13.1. カスタマーは、特定の状況において、本サービスにアップロードその他の方法で含まれるカスタマー個人データが、ElevenLabsがデータストレージを提供している特定の法域においてホストされることを、特に要求することができます（以下「データ所在地」）。本選択肢の利用可否は、ElevenLabsの裁量に委ねられています。選択されるか合意されたデータ所在地、その他これに反する条項にかかわらず、カスタマー個人データは、以下の事例など、当該データ所在地の外部で処理される場合があります。

13.1.1. サブプロセッサー：ElevenLabsは、選択したデータ所在地の外部に所在するサブプロセッサーを、本追補条項第6条に定める手続きに従い、起用する場合があります。個人データは、当該事例において、適用される範囲において、本追補条項第11条に定める関連する保護措置に従って移転し、処理されます。

13.1.2. サポートサービス：データ所在地外に所在するElevenLabsのサポート要員は、カスタマーまたはカスタマーの要員の個人データにアクセスする場合があります（例：ElevenLabsの標準営業時間外におけるカスタマーサポート要請への対応など）。

13.1.3. モデレーションチーム：ElevenLabsの安全管理チームは、その職務を遂行する過程において、カスタマーコンテンツのレビューおよび管理（禁止利用ポリシーへの準拠を確保することなど）を目的として、データ所在地の外部からカスタマー個人データにアクセスする場合があります。

付録I

移転の概要

A. 当事者一覧

データ輸出者：

• カスタマー（本契約で定義するとおり）
• 役割（管理者／処理者）：管理者、または第三者管理者の代理としての処理者

データ輸入者：

• 名称：ElevenLabs（本契約で定義するとおり）
• 役割（管理者／処理者）：カスタマーの代理としての処理者、または第三者管理者の代理としてのサブプロセッサー

B. 国際データ移転の概要

個人データが移転されるデータ主体のカテゴリ：

カスタマーがアップロードするか、カスタマーに代わってアップロードしたコンテンツにその特性が含まれるデータ主体。

移転される個人データのカテゴリ：

カスタマーがアップロードするか、カスタマーに代わってアップロードした音声または動画の録音・録画、テキスト入力、その他のコンテンツ。

移転される機微データ（該当する場合）に加え、データの性質および関連リスクを十分に考慮した上で適用される制限または安全措置。これは、厳格な利用目的の制限、アクセス制限（専門的訓練を受けたスタッフのみによるアクセスなど）、データへのアクセス記録の保持、再移転に関する制限、追加のセキュリティ対策などです。

該当なし 

国際データ移転の頻度（例：個人データが単発的に移転されるか、継続的に移転されるか）：

継続的に。

処理の性質：

カスタマー個人データは、本契約に記載されているとおりに処理され、移転されます。

国際データ移転およびその後の処理の目的：

カスタマー個人データは、本サービスの提供に加え、本契約に記載されているとおり、その後の処理のために移転され、追加処理されます。

個人データを保持する期間。提示が不可能な場合は当該期間を決定する際の基準：

カスタマー個人データは、本追補条項第9条の定めに従って保持されます。

（サブ）プロセッサーに対する国際データ移転については、処理の対象事項、性質、期間も明記します。

ElevenLabsは、本サービスの提供を支援するためサブプロセッサーを利用する場合があります。処理の対象事項、性質、期間は本追補条項においてデータ輸入者に適用される条項と整合します。

C. 所管監督当局

EEAに所在するデータ主体に関するカスタマー個人データの処理に係る所管当局は、データ輸出者が設立されているEU加盟国の監督当局です。

英国に所在するデータ主体に関するカスタマー個人データの処理の所管当局は、英国情報コミッショナーです。

データ移転がGDPRではなくFADPのみの適用を受ける場合、監督当局はスイス連邦データ保護・情報コミッショナーとなります。当該移転がFADPおよびGDPRの両方の適用を受ける場合、FADPにより規律される範囲についてはスイス連邦データ保護・情報コミッショナーが監督当局となり、GDPRにより規律される範囲についてはデータ輸出者が設立されているEU加盟国の監督当局が監督当局となります。

付録II

データのセキュリティを確保するために設計された技術的、組織的対策を含む、技術的、組織的対策

ElevenLabsは、本追補条項に基づいてカスタマー個人データを処理するにあたり、「付録II（技術的、組織的対策）」と題する文書に定められた、関連する技術的、組織的対策を実施します。同文書はhttps://compliance.elevenlabs.io/にて入手可能です。