公式スキル · 法務の基本

データ処理契約（DPA）のチェックリスト

v1.0.0・2026年11月4日更新

DPA の役割、再委託先、安全管理措置、漏えい通知、国外移転、削除、監査を、チームが実際に対応できるかと照らして確認する。

チームのPodに追加

Claude・ChatGPT・コーディング用の AI で使えます。TeamとBusiness では、Pod に入れた公式スキルが改善のたびに自動で最新版になります。

使う場面

大企業の顧客が、契約書と一緒に DPA を送ってきた
取引先のデータ処理補遺にサインする必要がある

AI に渡すもの

DPA と本契約
データに対する自社の立場
ホスティング、取引先、インシデント対応の実態

できあがるもの

評価つきの条項の表（対応できるかの列つき）、まだ確かめられていない約束、弁護士への質問。

手順

役割と範囲を確かめる GDPR 第28条3項の列挙をチェックリストの枠にする: 処理の対象と期間、性質と目的、個人データの種類、本人の区分、そして処理者の8つの義務（文書化された指示、従業員の守秘、安全管理、再委託の条件、本人からの請求への協力、安全管理と漏えい対応への協力、終了時の削除または返還、情報提供と監査）。誰が管理者、誰が処理者と書かれているかを見る。役割がサービスの実際と合わない（たとえば取引先が自社製品のためにもデータを使う）なら赤にし、弁護士に聞く。
指示にもとづく処理かを確かめる 処理者は文書化された指示にだけ従って動くべき。処理者が自社の目的（分析、製品改善、モデルの学習）でデータを使う権利を残していれば、必ず指摘する。
再委託先を確かめる 許可は個別か包括か。包括の許可の場合、欧州委員会の標準契約条項の Q&A によれば、処理者は再委託先を1社ずつ名指しし（区分だけでは足りない）、変更を書面で通知し、通知の期間は当事者が決める。管理者は異議を出せる。DPA に通知が何日前か、異議のあとどうなるかが書いてあるかを確かめる。ユーザーが処理者なら、一覧を実際に使っている取引先と照らし合わせる。載っていない取引先があれば赤。
安全管理措置を確かめる 技術的・組織的措置の別紙があるか。約束を1つずつユーザーの実態と比べる。実態の裏づけがない約束には「[要確認: …]」をつける。
漏えい時の通知を確かめる 期限は書いてあるとおりに書き写す。欧州委員会の標準契約条項は「不当な遅滞なく」とし、具体的な時間数は当事者に委ねている。つまり時間数の決め打ちは交渉で決まる条件。通知に何を含めるかも書き留める。ユーザーが処理者で、今の体制では期限を守れないなら赤。
国外移転を確かめる データがどこへ行き、DPA がどの移転の仕組みを挙げているか。欧州委員会の2021年の移転用標準契約条項は、EU 域内の管理者・処理者から域外の者へのデータ送付を対象とし、Q&A では、これに依拠する前に移転影響評価を行うとしている。評価があるかを確かめる。仕組みが十分かどうかは判断しない: 「[弁護士に確認: この移転の仕組みは、これらの国について十分か]」。
削除・返還と監査を確かめる 終了時の削除か返還か、その期限、証明の有無。監査権: 頻度、事前通知、費用負担、第三者の報告書で実地監査に代えられるか。処理者にとって、処理者負担で回数制限のない実地監査は赤。
責任とその他を確かめる DPA に独自の責任の定めがあるか、本契約の責任上限に従うか。補償、本人からの請求への協力、優先順位の定め。そのうえで表、穴、質問を書く。

チームで使う

AI Skill Pod に追加すると、業務委託の方も含めてチーム全員が、自分の AI から同じ版を使えます。 AI スキルをチームで共有する方法を読む