dpa-review

/dpa-review

1. ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md を読み込みます → DPA プレイブックです。プレースホルダーがある場合は、停止してセットアップを促します。
2. DPA を入手します。方向を確認します。つまり、当社は処理者（顧客の DPA）ですか、それとも管理者（ベンダーの DPA）ですか。不明な場合は質問します。
3. 以下のワークフローを実行します。該当するプレイブックの行と照らし合わせ、条項ごとに確認します。
4. プライバシーポリシーとの整合性を確認します。
5. 出力：修正履歴付きのレビュー・メモ。所定のスタイルに従って保存します。

/privacy-legal:dpa-review customer-dpa.pdf

---

DPA レビュー

案件のコンテキスト

案件のコンテキスト。 practice-level CLAUDE.md の ## Matter workspaces を確認します。Enabled が ✗（企業内ユーザー向けのデフォルト）の場合は、この段落の残りをスキップします。スキルは practice-level のコンテキストを使用し、案件管理機能は表示されません。有効になっていて、アクティブな案件がない場合は、「どの案件についてですか？/privacy-legal:matter-workspace switch <slug> を実行するか、practice-level と入力してください。」と尋ねます。案件固有のコンテキストと上書き設定について、アクティブな案件の matter.md を読み込みます。出力は ~/.claude/plugins/config/claude-for-legal/privacy-legal/matters/<matter-slug>/ の案件フォルダーに保存します。Cross-matter context が on でない限り、別の案件のファイルを読み込んではいけません。

---

目的

DPA には 2 種類あり、それぞれのレビューはほぼ正反対です。顧客から DPA が送られてきた場合、当社は業務上の柔軟性を守ります。ベンダーに DPA を送る場合は、当社と顧客のデータを保護します。どちらのレビューも同じ ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md のプレイブックを参照しますが、参照する行はそれぞれ異なります。

最初に：どちらの方向ですか？

何よりも先に、以下を確認します。

• 当社が処理者です → 顧客が当社に DPA を送っています → ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md の「当社が処理者である場合」の表を読みます
• 当社が管理者です → 当社がベンダーに DPA を送っています（またはベンダーの DPA をレビューしています）→「当社が管理者である場合」の表を読みます

不明な場合は質問します。これを誤ると、すべての推奨事項が逆になります。

法域に関する前提

このレビューは、設定で指定された法域の適用範囲を前提としています。プライバシー規則、対応期限、適法な根拠は、法域によって大きく異なります（GDPR、州の消費者プライバシー法、業種別規制など）。管理者、処理者、またはデータ主体が、設定された法域とは異なる法域に所在する場合、このレビューの内容がそのまま適用できるとは限りません。

この取引先／処理活動に関する過去のコンテキストを読み込む

レビューの前に、outputs フォルダーを確認し、この取引先または処理活動に関する過去の作業がないか調べてください。~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## Outputs を読み、outputs フォルダーのパスを確認してください。次の項目を探してください。

• 同じ取引先／処理活動に関する過去の use-case-triage の結果 — トリアージではリスク評価と条件が示されます。この DPA レビューでは、その評価と条件を順守するか、明示的に異なる判断を示す必要があります。
• この取引先／処理活動を対象とする過去の pia-generation の出力 — PIA で、DPA に実装が必要なリスク軽減策が指摘されている場合があります。
• 同じ取引先に関する過去の dpa-review の出力 — 以前の DPA レビューには、許容された事項、指摘された事項、合意された事項が記録されています。以前のレビューとひそかに矛盾する新たなレビューは、成果物への信頼を損ないます。

過去の出力が見つかった場合は、レビュー内で引用してください。

「過去のトリアージ（[date]）では、リスクは[risk level]と評価され、[X]を条件に承認されました。この DPA レビューは、その評価と整合しています。」— または — 「過去のトリアージ（[date]）では、リスクは[risk level]と評価されました。この DPA レビューは、[理由 — 新たな事実、対象範囲の違い、状況を変える契約条件]により、その評価とは異なります。」

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## Shared guardrails のスキル横断の重大度の下限ルールに従い、上流の出力に示された重大度を下限として引き継いでください。トリアージで🔴と評価された処理活動を、DPA レビューでひそかに🟢へ引き下げることはできません。評価を下げる場合は、その旨と理由を説明してください。

過去の出力が見つからない場合（新たな取引先／新たな活動）は、その旨をレビュー内ではっきり記載してください。「outputs フォルダーに、この取引先に関する過去のトリアージまたは PIA はありません」— 確認を実施したことがレビュー担当の弁護士に伝わるようにしてください。

プレイブックを読み込む

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## DPA playbook を読み込んでください。また、## Privacy policy commitments も読んでください。DPA の内容は、プライバシーポリシーで約束している内容と矛盾してはなりません。

連邦の分野別規制の上乗せ（用語ごとの確認に入る前に、まず確認）

用語ごとの確認に入る前に、次の点に回答してください。この DPA に基づいて流れるデータには、連邦規制の対象となるカテゴリーが含まれますか？ GDPR と州の消費者プライバシー法が一つの基準を定める一方、連邦の分野別法がもう一つの基準を定める場合があります。これは、一般的な DPA の定型的な確認項目には含まれていないことがよくあります。GDPR の要件を満たす DPA でも、GLBA、HIPAA、COPPA への対応が抜けていることはあり、フィンテック／ヘルステック／エドテック／キッドテックの取引相手はその点に気づきます。

活動に基づく連邦規制の上乗せ — まず確認すること：

この処理は、次のいずれかに該当しますか。

• 金融口座データ、または消費者に関する「非公開個人情報」（GLBA／Reg P）を扱いますか？該当する場合、DPA には次の内容が必要です。（a）15 U.S.C. § 6802(a)-(c) および Reg P に整合する NPI の共有制限（オプトアウト／オプトインなしに、非関連の第三者へのマーケティング目的の共有を認めない）、（b）Safeguards Rule（16 C.F.R. Part 314）に沿った保護措置に関する文言、（c）該当する場合に FTC／OCC の期限を満たすインシデント通知、（d）CCPA § 1798.145(e) の免除によって GLBA レベルの義務が誤って免除されないようにする明確な除外規定。
• 適用対象事業者または業務提携者が保有する保護対象保健情報（HIPAA プライバシールール／セキュリティルール）を扱いますか？該当する場合、DPA には次の内容が必要です。45 C.F.R. § 164.504(e) に従って DPA に追加するか、DPA に組み込んだ業務提携契約（BAA）、HITECH に沿った侵害通知期限（対象事業者への通知は 60 日以内、対象事業者から HHS への通知は 60 日以内、メディアへの通知は 500 人以上が対象となる場合）、許可される利用に関する条項、再委託先への BAA 義務の引き継ぎ。PHI に関する BAA 義務の引き継ぎがない商業用 DPA は不備です。
• 学校、または学校のために業務を行うサービスプロバイダーが保有する教育記録（FERPA）を扱いますか？該当する場合、DPA には次の内容が必要です。34 C.F.R. § 99.31 に沿った「学校関係者」／ディレクトリー情報に関する規定、保護者の同意義務の引き継ぎ、州の学生プライバシー法に相当する規制への対応（NY Ed Law 2-d、CA SOPIPA、IL SOPPA）。
• 13 歳未満の子どもから、子ども向けのオンラインサービスを運営する事業者、またはその事実を実際に認識している事業者が収集するデータ（COPPA）を扱いますか？該当する場合、DPA には次の内容が必要です。確認可能な保護者の同意義務の引き継ぎ、保存期間の制限、請求に応じた削除の仕組み、VPC がない場合の行動ターゲティング広告の禁止。
• その他の連邦分野別規制（動画視聴記録に関する VPPA、通信事業者データに関する CPNI、DMV 記録に関する DPPA、通話／SMS に関する TCPA／Shaken-Stir、ブローカーディーラーに関する GLBA Reg S-P、機微データに関する不公正または欺瞞的な慣行を規制する §5 FTC Act）の対象ですか？

いずれかに該当する場合、連邦規制の上乗せが定めるのは通常、州の消費者プライバシー法の適用除外だけではなく、実体的な制限です。現在有効な規定を調査し、引用してください。GLBA の適用対象であるため CCPA § 1798.145(e) に基づき「適用除外」となる DPA でも、GLBA の制限には引き続き従う必要があります。CCPA の適用除外は、適用される法的枠組みを移すものであり、その枠組み自体をなくすものではありません。GDPR／州のプライバシー法に関する不足と併せて、分野別規制への対応不足も取引上の重大な問題の一覧に挙げてください。

分野別規制の上乗せが適用されない場合は、「連邦規制の対象となるデータカテゴリーは特定されていません。分野別規制の上乗せは該当なし」と明記してください。確認を省略したのではなく、確認を行ったことがレビュー担当の弁護士に伝わります。

条項ごとの確認

中核条項（すべての DPA で確認）

すべての DPA について、各条項を一つずつ確認してください。具体的な数値基準および実質的な基準（通知期間、侵害対応の期限、許容可能／許容不可能な最低基準）は、~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## DPA playbook に記載されています。すべての DPA が満たすべき規制上の最低基準は一次法源に基づきます。各適用制度について現在有効な規則を調査し、最低基準を示す前に一次資料を引用してください。

黙って補足しないでください。 設定済みの法務リサーチツールで調査クエリを実行し、ある法域の侵害通知期間、移転メカニズム要件、再委託先変更ルール、その他の最低基準について、結果がほとんど、またはまったく返されなかった場合は、見つかった内容を報告して停止してください。許可を求めずに、ウェブ検索やモデルの知識で不足分を補ってはいけません。次のように伝えてください。「[tool] から [N] 件の検索結果が返されました。[regime / topic] に関する情報は少ないようです。次の選択肢があります：（1）検索クエリを広げる、（2）別のリサーチツールを試す、（3）ウェブを検索する――結果には [web search — verify] のタグを付け、依拠する前に一次資料と照合する、または（4）未検証としてフラグを付け、停止する。どれを希望しますか？」信頼性の低い情報源を受け入れるかどうかは、弁護士が判断します。

出典の帰属レベル分け。 レビュー内のすべての引用――規制上の最低基準、SCCのバージョン、十分性認定、規制当局のガイダンス、判例法――に出典を示すタグを付けてください。モデルの知識に基づく引用には、一律の「verify」タグではなく、次の3段階のいずれかを使用してください。

• [settled] — 変更される可能性が低い、安定した、広く知られている法令・規制の参照（例：GDPR Art. 28、Art. 33の72時間以内の侵害通知、番号によるSCC Decision 2021/914）。提出前には引き続き検証が必要ですが、優先度は低めです。
• [verify] — 実在するものの、検証が必要なモデル知識に基づく引用：特定の実施規則、規制当局のガイダンス、判例の判示、十分性認定、SCCのモジュールとバージョン、UK Addendum / IDTAの状況、しきい値、発効日。
• [verify-pinpoint] — ピンポイントの引用（特定の項目記号、SCC内の条項番号、段落番号、巻・ページの参照）は捏造されるリスクが最も高いため、必ず一次資料と照合してください。

ツールで取得した引用には出典タグ（[Westlaw]、[Commission / regulator site]、またはMCPツール名）を付けたままにします。ウェブ検索による引用には [web search — verify] を付けたままにし、ユーザー提供の引用には [user provided] を付けたままにします。このレベル分けにより、実際に必要な検証作業が明確になります。すべてを検証する人は、何も検証していないのと同じです。タグを削除したり、まとめたりしてはいけません。

用語	確認する内容	プレイブックの項目	よくある争点
役割	管理者／処理者の指定が明確で、実態と一致していること	—	相手方が実態と一致しない形で関係性にラベルを付けている（例：「共同管理者」）
処理の範囲	文書化された指示に限定され、目的が定義されていること	—	範囲を際限なく拡大する表現（「および関連する目的」など）
再委託先	最新のリストが開示され、変更の仕組みが定義されていること	再委託先の変更	一括承認か、拒否権か、通知のみか
セキュリティ対策	付属書で具体的な管理策や基準が参照されていること	セキュリティ基準	付属書がなく「適切な技術的および組織的対策」とだけ記載されている場合、何も約束していないのと同じ
侵害通知	定義された発動条件（「発見」か「確認」か）と期限	侵害通知	期限の厳しさ、起算点、「不当な遅延なく」という曖昧な表現
監査権	方法（報告書か現地監査か）、頻度、通知、費用負担の定義	監査権	通知期間が短い現地監査
国際移転	移転メカニズムが特定され、補完的措置と移転影響評価への言及があること	移転	古い、または欠落している移転メカニズム
削除／返却	契約終了後の期限、証明、バックアップの例外	契約終了時の削除	「商業上合理的な」削除＝？？？
責任	MSAの責任上限の範囲内か別枠か、適用除外の有無	データに関する責任	上限のないデータ侵害責任＝存亡に関わるリスク

当社が処理者である場合：防御的レビュー

顧客のDPAは、運用上の負担を当社に押しつけようとします。以下の各条項について、顧客の要求をプレイブックと照らし合わせてください。顧客の要求がプレイブックの範囲外であれば、チームの標準的な立場（設定のCLAUDE.mdに記載）を示して交渉し、許容可能な立場まで譲歩できるよう備えてください。

条項	リスク	調査／プレイブックの確認
サブプロセッサーの承認権（拒否権）	顧客ごとの承認なしではインフラを追加できません	サブプロセッサーの変更に関するプレイブックの立場を適用します
短い通知期間でのオンサイト監査	大規模運用では対応できません	監査権に関するプレイブックの立場を適用します
過度に厳しい侵害通知期限	何が起きたか判明する前の通知を求められることがよくあります	適用される各制度の規制上の最低要件を調査し（一次資料を引用）、プレイブックの立場と比較します
厳格なデータ所在地要件（単一の国／データセンター）	アーキテクチャに合わない可能性があります	データ所在地に関するプレイブックの立場を適用し、実際に確約できる内容を確認します
処理者の責任が上限なし	会社の存続を脅かします	データに関する責任について、プレイブックの立場を適用します
顧客が拘束力のある「指示」を出せる	運用管理が際限なく拡大します	指示を「本契約に記載されたもの、または書面で合意されたもの」と定義します
極めて短い期限での削除	バックアップとログの保持のため不可能です	契約終了時の削除に関するプレイブックの立場を適用し、バックアップのローテーションに関する例外を明記します

当社が管理者である場合：保護的レビュー

ベンダーのDPAは、当社にほとんど何も与えようとしません。以下の各条項について、管理者側のプレイブックと照らし合わせてください。

条項	不足点	調査／プレイブックの確認
サブプロセッサーの一覧がない	誰が当社のデータを取り扱うのかわかりません	プレイブックに従い、公開済みの最新一覧と事前通知を求めます
「業界標準のセキュリティ」	何も意味しません	具体的な管理策を定めた別紙、または名称のある標準（例：SOC 2、ISO 27001）への言及を求めます
侵害通知の期限がない	いつ通知されるかわかりません	適用される規制上の最低要件を調査し、プレイブックの立場を求めます
監査権が一切ない	何も検証できません	少なくともプレイブックに従い、独立した監査報告書を求めます
ベンダーが「サービス改善」のためにデータを使用できる	当社のデータを使ったトレーニングに利用されるおそれがあります	削除を求め、処理を当社へのサービス提供に限定します
国際移転の仕組みがない	適法な移転の仕組みがありません	該当する移転ルート（移転元／移転先の法域、適用される制度、十分性認定の有無、追加的措置）について、現在有効な移転の仕組みを調査します。一次資料を引用し、最新であることを確認します。
削除の確約がない	データが永久に残ります	プレイブックに従った削除と、請求に応じた証明を求めます

整合性チェック：プライバシーポリシー

締結するDPAがプライバシーポリシーに記載されていない内容を約束することはできません。その逆も同様です。

• DPAで目的X、Y、Zのみに処理を限定している場合、プライバシーポリシーにもその目的が記載されていますか？
• プライバシーポリシーに「当社はデータを決して販売しません」と記載されている場合、CCPA上の販売に該当するようなDPAの条項はありませんか？
• プライバシーポリシーに特定のサブプロセッサーのカテゴリが記載されている場合、DPAのサブプロセッサー一覧と一致していますか？

不一致があれば指摘してください。通常はDPAではなくプライバシーポリシーが古くなっていますが、どちらかを修正する必要があります。

レッドラインの粒度

編集は可能な限り最小の粒度で行ってください。 レッドラインは交渉のための成果物であり、書き直しではありません。条項を全面的に差し替えると、「相手方のドラフトをすべて破棄した」という印象を与えます。これは攻撃的で、相手方に条項全体を読み直させ、問題のなかったドラフト部分まで無駄にしてしまいます。単語の削除、語句の挿入、細分化された条項の再構成といったピンポイントのレッドラインは、「具体的な要望がある」という印象を与え、読むのも理解するのも受け入れるのもより簡単になります。

プレイブックの方針を実現するために必要な、最小限の編集を基本としてください。

• 語句を置き換える前に、まずは単語を置き換えます。（「twelve (12)」→「twenty-four (24)」）
• 文を置き換える前に、まずは句を置き換えます。（「paid by the Buyer」→「paid and payable by the Buyer」）
• 文を置き換える前に、まずは細分化された条項を再構成します。（複合条件を分割するため、「(a)」と「(b)」を追加します。）
• 条項全体を置き換える前に、まずは文を置き換えます。
• 条項全体を置き換えるのは、相手方の案がこちらの立場から大きくかけ離れており、ピンポイントの編集よりも新たにドラフトするほうが読みやすい場合に限ります。その場合は、送付状でその旨を伝えてください。「変更が広範囲に及ぶため、§8.2には修正を加えるのではなく、差し替えました。変更点について喜んでご説明します。」

迷ったら、より小さな編集にしてください。ピンポイントのレッドラインを受け取ったクライアントは、慎重に読んでもらえたと信頼します。全面的な差し替えを受け取ったクライアントは、そもそも読んでもらえたのかと疑問に思います。

出力

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.mdの## Outputsにある成果物ヘッダーを先頭に付けてください（ユーザーのロールによって異なります。「## Who's using this」を参照してください）。

[WORK-PRODUCT HEADER — per plugin config ## Outputs]

# DPA Review: [Counterparty]

**Direction:** [We are processor / We are controller]
**Reviewed:** [date]
**Attached to:** [MSA / standalone]

---

## Bottom line

[Two sentences. Can we sign? What has to change?]

**Issues:** [N]🟢 [N]🟡 [N]🟠 [N]🔴

---

## Term-by-term

[For each core term, use a standard deviation-memo format: what the
counterparty's DPA says, what our playbook says, the gap, the risk, and the
proposed redline language. Keep each term to a short self-contained block so a
reviewer can skim.]

---

## Privacy policy consistency

[🟢 Consistent | 🟡 Flags: list]

---

## Recommended redlines

[Consolidated — ready to send back]

---

## If they won't move

[For each issue: the fallback from the config CLAUDE.md, or escalation routing if no
fallback exists]

国際移転に関する注記

DPAが国境を越えるデータ移転を想定している場合、対象となる移転経路について、現在有効な移転メカニズムの要件を調査してください。 移転元と移転先の組み合わせごとに、適用される制度、十分性認定が有効かどうか、必要または利用可能な移転メカニズム（標準契約条項とその適用バージョン／モジュール、英国補遺またはIDTA、BCR、例外規定など）、移転影響評価または同等の評価が必要かどうか、必要となり得る補完的措置を特定してください。一次資料（規則、欧州委員会決定、監督機関のガイダンス、法的拘束力のある判例）を該当箇所を特定した引用とともに示し、最新性を確認してください。十分性認定、SCCのバージョン、必要な補完的措置は、新たな欧州委員会決定、裁判所の判決、監督機関のガイダンスによって変更される可能性があります。不確かな点は、弁護士による確認が必要であることを明示してください。

国際移転があるのに移転メカニズムが欠けている場合は、🔴です。適法な移転メカニズムがありません。

関門：DPAへの署名

DPAのレビューは調査です。DPAへの署名、または当社を代理して誰かに副署を指示することは、重大な結果を伴う行為です。

DPAに署名または副署する前（署名済みの版を返送する場合、相手方のプラットフォームでの自動締結に同意する場合、署名者に締結を指示する場合を含みます）： ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.mdの「## Who's using this」を確認してください。RoleがNon-lawyerの場合：

DPAへの署名は法律行為です。規制当局やデータ主体に対する具体的なデータ保護義務を会社に負わせることになります。弁護士と確認しましたか？確認済みであれば、続行してください。未確認であれば、弁護士に相談するための概要を以下にまとめてください。

［1ページの概要を作成してください。相手方、当事者の立場（当社が処理者／管理者のいずれか）、プレイブックから逸脱する条項とその解決方法、未決定の代替案、および締結前に弁護士に確認する3つの事項を含めてください。］

ご自身の管轄区域で資格を有する弁護士、ソリシター、バリスター、またはその他の認可された法律専門家を探す必要がある場合は、専門職規制機関の紹介サービスを利用するのが最も早い方法です（米国の州弁護士会、イングランドおよびウェールズのSRA／Bar Standards Board、スコットランド／NI／アイルランド／カナダ／オーストラリアのLaw Society、または管轄区域の同等機関）。

明示的な「はい」がない限り、この関門を先に進まないでください。

次のステップの決定ツリーで締めくくる

CLAUDE.md の ## Outputs に従って、次のステップの決定ツリーで締めくくります。このスキルで生成した内容に合わせて選択肢を調整します。デフォルトの5つの分岐（X の草案を作成する、エスカレーションする、事実をさらに確認する、状況を見守る、その他）は出発点であり、固定ではありません。成果物はこのツリーであり、選択するのは弁護士です。

このスキルで行わないこと

• DPA をゼロから作成することはありません。回答が「当社のテンプレートを使用する」であれば、設定 CLAUDE.md に記載されたシードドキュメントのパスからテンプレートを取得してください。
• Transfer Impact Assessment 自体は実施しません。必要な場合にその旨を示します。
• フォールバック以外の条項を受け入れるかどうかは判断しません。その場合は、エスカレーション表に従って振り分けます。