データ処理補足契約 (DPA)

準拠言語に関する注記： 本日本語訳は参照の便宜のために提供されています。適用法令が認める最大限の範囲において、解釈上の相違がある場合は法的拘束力を持つ英語版 DPA (https://bf16.ai/legal/dpa?hl=en)が優先されます。

発効日：2026年11月12日 · データ処理者：MAGICFORGE LTD（イングランドおよびウェールズ登記法人・会社番号：16211132） · 登記上の本店所在地：71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom

1. 適用範囲、当事者および法的枠組み

本データ処理補足契約（「本 DPA」）は、顧客（「管理者」）と MAGICFORGE LTD（イングランドおよびウェールズ登記、会社番号 16211132、本店所在地：71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom、bf16.ai を運営する「処理者」）との間の利用規約の一部を構成し、英国 GDPR 第28条、英国 2018 年データ保護法、および EU GDPR 第28条に従い、API・Playground・リモート MCP 推論リクエストに含まれる個人データの一時処理を規律します。

2. 処理の性質・目的およびゼロ永続化アーキテクチャ

対象事項および期間：サービス利用期間中、管理者の API 指示のみに基づき、オープンウェイト言語・ビジョンモデルのリアルタイムルーティング、プロトコル変換（/v1/chat/completions、/v1/messages、/v1/responses、POST /mcp）、および SSE ストリーミングを実行します。
ディスク保存ゼロ：MAGICFORGE LTD はプロンプトおよび生成応答バッファを揮発性メモリ（RAM）上のみで処理し、ディスク、データベース、ログへ一切書き込まず、HTTP ストリーム完了またはソケット切断時に直ちにメモリから消去します。

3. 技術的・組織的安全管理措置（TOMs）

処理者は通信経路の TLS 1.3 暗号化、上流認証情報の AES-256-GCM 暗号化、API キーの SHA-256 / HMAC-SHA256 ハッシュ化、厳格な SSRF 送信ソケット検証、ログからのプロンプト自動除去、最小権限アクセス制御、および失効キーの即時ストリーム遮断を実施します。

4. 認定サブプロセッサーおよび国際データ移転（`uk_idta_scc`）

管理者は、各 /models/$slug ページで開示され処理者のコンプライアンス基準（commercial_resale_permitted = true && zdr_no_training_verified = true）を満たした検証済み上流計算サブプロセッサーへの一時ルーティングを包括的に承認します。英国または EEA 域外への制限付きデータ移転には、EU標準契約条項（決定 (EU) 2021/914、モジュール2およびモジュール3）ならびに英国 ICO 発行の英国国際データ移転協定（IDTA）/ 英国国際データ移転補遺（uk_idta_scc）が自動的に組み込まれます。

5. 個人データ侵害通知、削除および連絡先

処理者は、顧客の一時推論トラフィックに影響する確認された個人データ侵害を認識した場合、不当な遅滞なく（いかなる場合も 72時間以内に）管理者へ通知し、影響評価に協力するとともに、英国法令で保存が義務付けられる記録を除き契約終了時に残存メタデータを削除します。エンタープライズ向け DPA 署名・お問い合わせ：privacy@bf16.ai · legal@bf16.ai。