← 返回列表

APPI 委託契約と外国第三者提供：Article 27/28 の区分

2026/9/14

C 方向·应用出海机会（合规执行件）。japan-appi-data-compliance 五件套の第 6 件——委託先契約（DPA）の設計と外国第三者提供（Article 28）の判別。

背景与问题

Paddle/LLM API/さくらストレージに日本の银发データを送る——それぞれが「委託処理（Art. 27 免除）」か「外国第三者提供（Art. 28 同意必須）」かの判別と契約設計。

发现（访问 2026-09-14）

  • 判別の核心：外国のクラウド事業者がデータを自社の目的で使用する場合（モデル訓練等）= 第三者提供（Art. 28 同意必須）；処理のみで自社利用しない場合 = 委託処理（Art. 25-26 の監督義務のみ）——「委託」と「第三者提供」の境界は「自社利用の有無」（Timewell 分析、Zenn 技術者ガイド）。
  • Art. 28 同意の標準開示：外国の国名、外国の個人情報保護制度に関する情報、受取人の安全保障措置に関する情報——同意取得時に上記 3 点を開示（PPC Guidelines 外国第三者提供編）。
  • whitelist 国：EU/UK 等は同等水準と認められ Art. 28 の一部免除——中国は whitelist 外（中国の LLM API は必ず Art. 28 同意+情报提供が必須）（法令英訳）。
  • Paddle DPA 存在確認：Paddle は公式 DPA を提供（Paddle DPA）——Paddle が「processor（委託先）」か「controller（独立事業者）」かを DPA 条項で確認。

推测

  • 本产品线の各 vendor の分類（推测）：Paddle＝委託処理（決済処理のみで自社利用なし→Art. 27 のみ）；OpenAI/Anthropic（LLM API）＝「モデル訓練に使用しない」オプトアウト設定で委託処理（ただし設定依存で確認必須）；中国の AI API＝Art. 28 同意+情报提供が必須（whitelist 外+訓練使用の可能性）。

结论

可行动启发：

  1. 各 vendor の「委託 vs 第三者」分類表を作成：vendor×役割（委託/第三者）×適用条文（Art. 25/27/28）×必要対応（監督/同意/情報提供）——japan-compliance-doc-pack の第 11 份文件。
  2. 中国の AI API は原則避ける：whitelist 外+訓練使用の可能性で Art. 28 同意の負担が最大——米国の LLM API を「訓練不使用」設定で使う方が合规負担が軽い。
  3. LLM API の「訓練不使用」オプトアウト設定を確認：OpenAI/Anthropic の API 規約で「データをモデル訓練に使用しない」設定の有無確認——設定すれば委託処理として Art. 28 免除の可能性。
  4. Paddle DPA を契約時に確認：processor vs controller の区分+Japan/APPI 対応の annex 有無——opc-compliance-doc-pack に DPA レビュー項目を追加。

待办 / 下次继续

关联