HedyのGDPR対応：DPA、標準契約条項、EUのプライバシー基準
Hedyは、個人データをGDPRに沿って処理するための契約上・技術上の枠組みを整えています。データ処理契約（DPA）、EU標準契約条項、移転影響評価、技術的・組織的措置です。
Hedy AIは、欧州連合の一般データ保護規則（GDPR）に基づく個人データの適法かつ準拠した処理を支えるため、契約上および技術上の枠組みを整えました。ベルリン、バルセロナ、ボストンのどこにいても、世界で最も厳格なプライバシーの枠組みのひとつに沿って会話データが扱われるという安心のもとで、Hedyをお使いいただけます。この枠組みは、欧州のデータ保護法のもとでHedy AIをデータ処理者として利用するために必要な保護措置をすべて備えています。
AIツールにとってGDPR対応が本当に意味すること
HedyのようなAIミーティングコーチを使うとき、会話の文字起こし、ミーティングの洞察、機密性の高いビジネス情報になりうる内容を共有することになります。GDPR対応は、規制のチェック項目を埋めることではありません。このデータに対して、具体的な保護措置を確立することです。
AIアプリケーションでは、GDPRならではの課題があります。単純なデータ保存サービスとは違い、AIツールは情報を処理・分析して洞察を生み出します。そのため、次の点を慎重に考える必要があります。
- データがお使いのデバイスとAI処理システムの間をどう流れるか
- 分析後に文字起こしがどうなるか
- サードパーティのAIプロバイダーが情報をどう扱うか
- データを管理、エクスポート、削除できるか
欧州企業のための確かな土台
欧州の組織は、GDPRに基づく自らの義務を果たすための強化された処理者側の枠組みを頼りにできるようになりました。これまでと同じく、GDPR対応の最終的な責任はデータ管理者であるお客様にあります。Hedy AIは、処理者側に必要な保護措置を提供します。
整備した内容
Hedy AIをGDPRに沿って使うための確かな土台として、次の契約上および技術上の要素を整備し、公開しました。
データ処理契約（GDPR第28条）
当社のデータ処理契約（DPA）は、処理者として、お客様のデータをどのように扱うかを具体的に定めています。この法的拘束力のある契約により、お客様の指示に従い、お客様が承認した特定の目的、つまりリアルタイムのミーティングインテリジェンスの提供のためだけにデータを処理することが保証されます。
EU標準契約条項（モジュール2、2021/914）
SCCは、EU/EEAから米国へ送られる個人データの移転手段として組み込まれています。これらの条項により、Hedy AIはEUレベルの保護を契約上義務づけられ、データ主体の執行可能な権利が確保されます。
技術的・組織的措置（GDPR第32条）
次のような包括的なセキュリティ措置を文書化し、実施しています。
- 転送中および保存中のデータのエンドツーエンド暗号化
- 可能な限りのゼロデータ保持
- 厳格なアクセス制御と認証プロトコル
- 定期的なセキュリティ監査と脆弱性評価
- 明確なデータ保持・削除ポリシー
- インシデント対応手順
- インフラの保護措置
移転影響評価（TIA）
EUから移転される個人データへのアクセスに影響する、米国の関連法規と実務を評価する、徹底した移転影響評価を実施しました。最初のTIAに基づいてリスク軽減策を特定し、データを守るための追加措置を講じています。トラストセンターで入手できるこの評価は、EUのデータが国境を越える場合でも、どのように保護しているかを示しています。
復処理者の透明性（GDPR第28条第2項・第4項）
すべての復処理者は、同じ保護を契約で義務づけられ、完全に文書化され、それぞれの役割とともにtrust.hedy.aiのトラストセンターに掲載されています。変更は、法律で求められる通知と異議申し立ての手続きに従います。
EUアカウントでAI処理が実行される場所
AIのステップ（要約、詳細なメモ、チャット、ハイライト、ライブ提案）をどのプロバイダーが担当するかは、アカウントのデータリージョンと、ユーザーが選ぶ AI 処理のオプションによって決まります。
- EUアカウントのクラウドAIはInceptronで実行されます。 Inceptronは、スウェーデンのルンドに拠点を置くAI推論プロバイダーで、フィンランドとフランスにGPU容量があります。当社のデータ処理契約では、HedyのアカウントはEU専用の構成とされているため、処理はEUおよびEEA内にとどまります。Inceptronはリクエストやレスポンスの内容を保存せず、それらで学習することもありません。これは、EUデータリージョンのアカウントと、EUでのAI処理を選んだ以前のアカウントに適用されます。選んだ理由は、Inceptronの発表で説明しています。
- フォールバック：EUリージョンのGoogle Vertex AI。 Inceptronが利用できない場合、EUアカウントのリクエストはEUリージョンのVertex AIに送られるため、引き続きEU内で処理されます。Googleは米国に本社があるため、別の復処理者として記載しています。
- すべてのユーザーに共通の米国拠点サービス。 アカウントのサインイン、サブスクリプションの課金、エラー追跡、自動要約メールを送るメールプロバイダーは、リージョンに関係なく米国で動作します。これらの移転は、前述のSCCと移転影響評価の対象です。セッションの内容をメールに含めたくない場合は、自動要約をオフにして、アプリでセッションを確認してください。
- ローカルAIとオフ。 対応するハードウェアでローカルAIを選ぶと、分析はユーザー自身のデバイスで実行され、AIの復処理者は関与しません。AI 処理をオフにすると、分析のために何も送信されません。
- Apple Private Cloud Compute。 iOS 27が動作する対応のiPhoneとiPadでは、AIのステップにApple Private Cloud Computeを選べます。HedyのAIパートナーではなく、ユーザー自身のAppleアカウントとAppleの1日あたりの上限のもとで実行されます。Appleは処理リージョンを保証していないため、このオプションはEUデータリージョンの対象外です。Hedyは、ユーザーが初めて選択したときにその旨をお知らせします。EUレジデンシーが必要な組織は、ユーザーにEUリージョンのクラウドAIか、ローカルAIをお使いいただくようにしてください。
音声認識は、これらとは別です。デフォルトではユーザーのデバイス上で動作するため、文字起こしのために音声がサーバーに送信されることはありません。
ユーザー別の意味
欧州企業の場合
欧州企業は、自社のGDPRの枠組みとコンプライアンス評価の中でHedyを利用できます。DPA、SCC、TOM、TIAなど当社が提供する文書は、コンプライアンスチームがHedyを評価し、既存のデータ保護プロセスに組み込むのに役立ちます。
医療や規制対象の業界の場合
GDPRに沿った当社の枠組みは、規制の厳しい環境でHedyを責任をもって利用できるようにするための重要な一歩です。これらのGDPRの保護措置に加えて、Hedyはセキュリティ統制に関する独立したSOC 2 Type I監査と、ビジネスアソシエイトとしてのHIPAA評価を完了しており、データ保護の要件が高い組織にとって確かな基盤となります。
個人のプロフェッショナルの場合
ミーティングの文字起こし、洞察、個人データは、明確な保護措置のもとで処理されます。ご自身の情報へのアクセス、エクスポート、削除をいつでも行え、処理の方法と理由についての透明性も確保されているため、情報を完全にコントロールできます。
お客様の責任は変わりません
GDPRに完全に準拠するためには、お客様がデータ管理者としての義務を引き続き果たす必要があります。次のようなものが含まれます。
- 処理の法的根拠を確立すること
- データ主体に透明性に関する情報を提供すること
- 処理活動の記録を維持すること
- 社内のアクセスおよび削除の手順を整備すること
- 必要な場合にDPIAを実施すること
当社の枠組みは、これらの義務を支援し、GDPRが求める処理者側のすべての保護措置を提供するよう、特別に設計されています。
コンプライアンスのために設計し、信頼のために構築
この枠組みにより、Hedy AIは、契約、技術、組織の面で、処理者側のコンプライアンス体制を完全に整えました。データ管理者であるお客様自身のコンプライアンス措置と組み合わせることで、Hedy AIは、欧州のデータ保護法に完全に沿った個人データの処理に利用できます。
コンプライアンス文書を理解する
法的文書は難解なことがあります。当社のGDPR対応の枠組みを理解しやすくするため、各文書と、データ管理者としてのお客様の責任を順に説明する包括的なガイドを用意しました。
「Hedy AIを使用する際のGDPRの説明責任を果たすためのガイダンス」はこちらです。
このガイドは、当社のデータ処理契約、移転影響評価、技術的・組織的措置、復処理者リストを確認するための実用的なチェックリストです。コンプライアンスチームがGDPRの評価と文書化の要件を効率よく完了できるように作られています。
組織での導入
組織内でHedyを使う場合、お客様側でGDPRに準拠するための手順は次のとおりです。
- DPAとその附属書を確認し、承認する
- 当社の移転影響評価に対する評価を文書化する
- 技術的・組織的措置が自社のセキュリティ要件を満たしていることを確認する
- 現在の復処理者リストを確認し、承認する
- 復処理者の変更を確認するプロセスを確立する
これらの手順をコンプライアンスチームが完了できるよう、トラストセンターで詳細なガイダンスを提供しています。
義務ではなく、プライバシー・バイ・デザイン
GDPR対応は、プライバシーを最優先にした開発への当社の姿勢の表れです。Hedyの自動提案機能を作るとき、不要なデータを保存せずに会話を処理するよう設計しました。セッションを整理するトピックを実装するときも、グループ化した会話をユーザーが完全に管理できるようにしました。
後付けのコンプライアンスではなくプライバシー・バイ・デザインというこの姿勢により、GDPRの原則は、当社が文書化する方法だけでなく、Hedyの仕組みそのものに組み込まれています。
今後の展開
GDPR対応は、データ保護に取り組み続ける当社の道のりにおけるひとつのマイルストーンです。最近の進捗は次のとおりです。
- SOC 2 Type I：セキュリティ統制の独立した監査が完了し、第三者による検証を得ています
- HIPAA：ビジネスアソシエイトとして独立した評価を受けています
- EUデータレジデンシーが利用可能になりました。新規ユーザーは、オンボーディング時に欧州または米国の保存先を選べます
- InceptronでのEU AI処理：EUアカウントのクラウドAIは、EU/EEA専用の契約のもと、スウェーデンのプロバイダーで実行され、EUリージョンのVertex AIがフォールバックになります
購入者側の評価の枠組みについては、AIミーティングツールのGDPRチェックリストを、多くのツールがどこで不十分なのかについては、最高のGDPR準拠AIミーティングツールの詳しい解説をご覧ください。
よくある質問
HedyはGDPRに準拠していますか？
Hedyは、GDPRが求める処理者側の枠組みをすべて整えています。第28条に沿ったデータ処理契約（DPA）、米国への移転に関するEU標準契約条項、移転影響評価、文書化された技術的・組織的措置、復処理者の透明性です。お客様は引き続き管理者であり、ご自身の義務（適法な根拠、透明性、必要な場合のDPIA、データ主体の権利）を負います。
Hedyはデータ処理契約（DPA）を提供していますか？
はい。HedyのDPAは、GDPR第28条に基づく処理者として、お客様のデータをどのように扱うかを具体的に定めています。お客様の指示に従った処理のみを行うこと、処理期間、セキュリティ上の義務、復処理者に関する条件、データ主体の権利への支援、侵害の通知が含まれます。トラストセンターから入手でき、ビジネスアカウントには自動的に組み込まれます。
HedyのGDPR対応に関する文書はどこで入手できますか？
DPA、EU標準契約条項（モジュール2、2021/914）、移転影響評価、技術的・組織的措置、最新の復処理者リストなど、すべてのコンプライアンス文書は、trust.hedy.aiのトラストセンターから入手できます。アカウント設定からも文書にアクセスでき、privacy@hedy.aiにメールでアクセスをリクエストすることもできます。
Hedyの復処理者はどの会社で、どこで処理を行っていますか？
すべての復処理者は、役割と処理場所とともにトラストセンターに掲載されており、Hedyと同じ保護を契約で義務づけられています。変更は、第28条第2項および第4項に基づく、法律で求められる通知と異議申し立ての手続きに従います。EUアカウントでは、クラウドAI処理はスウェーデンのルンドにあるInceptronで、処理をEUおよびEEA内に限定する契約のもとで実行され、EUリージョンのGoogle Vertex AIがフォールバックになります。アカウントのサインイン、サブスクリプションの課金、エラー追跡、自動要約メールのプロバイダーは、すべてのユーザーについて米国を拠点としています。
Apple Private Cloud Computeは、EUのデータリージョン内にとどまりますか？
いいえ。Apple Private Cloud Computeは、iOS 27が動作する対応のiPhoneとiPadでユーザーが選べるオプションです。ユーザー自身のAppleアカウントのもとで実行され、Appleは処理リージョンを保証していないため、HedyのEUデータリージョンの対象外です。EU内に留めたい場合は、EUリージョンのクラウドAIか、ローカルAIをお使いください。
GDPRのもとで、Hedyはデータ管理者ですか、データ処理者ですか？
Hedyは、お客様に代わってお客様の会話データを扱う際、データ処理者として行動します。ユーザーまたは組織であるお客様がデータ管理者です。Hedyはお客様の義務を支える技術的・組織的・契約上の措置を提供し、適法な根拠の確立、データ主体への透明性の提供、権利行使の請求への対応といった管理者側の責任はお客様が負います。
文書にアクセスする
すべてのGDPRコンプライアンス文書は、Hedyのアカウント設定からアクセスできるトラストセンターで入手できます。まだお客様ではなく、当社のコンプライアンスの枠組みを確認する必要がある場合は、trust.hedy.aiからアクセスをリクエストしてください。
当社のGDPR対応やデータ保護の取り組みについてご質問がありますか？ トラストセンター、またはprivacy@hedy.aiへのメールで、データ保護チームにお問い合わせください。
About the author
Julian Pscheid is the founder and CEO of Hedy AI, a real-time AI meeting coach used by tens of thousands of professionals worldwide. He writes about how AI is changing the way people prepare for, capture, and understand important conversations.
