Box製品条項

Boxサービス利用規約の定義

「アカウント」とは、(a) ユーザーが自己のために、または本顧客がユーザーを代表してBoxサービスにアクセスおよび/またはBoxサービスを利用するために開設するユーザーアカウントを意味する。

「管理者」とは、本顧客が指定するユーザーであって、本顧客に結び付けられるアカウントの開設・管理を含む、Boxインスタンスを設定および管理するために管理コンソールを利用する権限を有する者を意味する。

「管理コンソール」とは、アカウントのユーザーアクセスおよびセキュリティ設定、その他管理機能を含むBoxインスタンスを設定および管理することを本顧客に許可するBoxサービス内の機能を意味する。

「本利用規約」とは、Boxおよび本顧客の間で締結されるこのBoxサービス利用規約（本利用規約に添付され、参照され、および/またはリンクにより組み込まれた条項を含む）ならびにすべての発注書および付属書を意味する。

「API」とは、Boxが提供する一定の機能にアクセスするために本顧客が使用するアプリケーションプログラミングインターフェースを意味する。

「Boxインスタンス」とは、Boxサービスの一部を構成する管理者によって管理される仮想環境を意味する。

「Boxサービス運用関係者」とは、Box従業員、代理人、コンサルタント、下請業者、サブプロセッサーを意味する。

「Box再販業者」とは、Boxと締結している契約に基づいてBoxから提供される製品/サービスを再販売する権限等を付与されており、該当する場合、特定のサービスを提供する事業体を意味する。

「Boxサービス」とは、Boxが提供するクラウド型のコンテンツコラボレーションSaaS（software-as-a-service）アプリケーション（いかなるBoxソフトウェアを含む）であって、本顧客が発注書に基づいて加入するアプリケーションを意味する。

「Boxソフトウェア」とは、ユーザーのデバイスにインストールするためにBoxが提供するオプションのソフトウェア、または本顧客またはユーザーのソフトウェア、ハードウェア、その他のデバイスからユーザーがアクセスするオプションのソフトウェアであり、ユーザーがBoxサービスの特性に関連して一定の機能を使用することを許可するものである。

「本顧客コンテンツ」とは、本顧客のBoxインスタンスに存在する電子ファイルオブジェクト（疑義を避けるために記述しておくが、システムデータおよびメタデータを除く）を意味する。

「本顧客ドメイン」とは、本顧客および/または本顧客が所有または支配する本顧客の関連会社により登録、所有あるいは管理されるすべてのドメイン（例：@acmeco.com）を意味する。

「データ保護法」とは、米国、日本、欧州連合や欧州経済地域、その加盟国、スイスおよび/または英国の法令で、一般データ保護規則2016/679を含み、本利用規約のもと行われる本顧客個人データの処理に適用される。

「外部ユーザー」とは、本顧客ドメインに関連付けられていない電子メールアドレスを使用して、本顧客コンテンツにアクセスしまたは本顧客コンテンツを保存、検索もしくは管理することを許されている者を意味する。

「公正利用ポリシー」とは、Boxサービスの技術的制限を概説し、サービスおよびシステムの公正な利用に関するBoxの期待事項を定めたポリシーを意味し、次のリンク先に規定されるものを意味する。https://legal.app.box.com/v/fairusepolicyJPN

「マルウェア」とは、ウイルス、ワーム、時限爆弾、トロイの木馬、その他の悪意あるコード、ファイル、スクリプト、エージェントまたはプログラムを意味する。

「管理対象ユーザー」とは、本顧客コンテンツにアクセスしまたは本顧客コンテンツを保存、検索もしくは管理することを許されている者で、本顧客の従業員であるか、またはその他、本顧客ドメインに関連する電子メールアドレスへのアクセス、保管または管理が認められている者を意味する。

「発注書」とは、作業明細書（SOW）を含む別個の発注文書であって、それに基づいて本顧客が本利用規約に従ってBox から提供される製品/サービスを購入し、両当事者が書面により合意したもの、または本顧客とBox再販業者の間で合意したものを意味する。

「個人データ」とは、特定された個人または識別可能な個人に関連する情報を意味する。

「処理（する）」とは、本顧客コンテンツおよび本顧客個人データを含む本顧客の情報に対する操作または一連の操作を意味し、それには収集、記録、編集、構成、保存、修正若しくは変更、復旧、参照、使用、送信による開示、配布、またはそれら以外に利用可能なものにすること、整列若しくは結合、制限、消去若しくは破壊が含まれ、それが自動的な操作か否かを問わない。

「プロダクションデータ」とは、本顧客のBoxインスタンスに保存されているすべてのテキストおよびファイル（すべてのコンテンツを含む）であって、(i) ユーザーによって電子的に送信されたもの、(ii) APIを介して本顧客のために送信されたもの、または (iii) ユーザーまたはAPIの指示により作成されたものを意味する。Boxのプロダクションデータには、本顧客のBoxインスタンスの外部に保存されているデータ、およびBoxサービスの運用および監視の結果として作成、編集またはその他の方法で収集されたデータ（「システムデータ」）は含まれない。疑義を避けるために記述しておくが、システムデータにはコンテンツまたはプロダクションデータは含まれないものとする。

「サービスレベルコミットメント」とは、サポートサービス規約を意味する。

「サブプロセッサー」とは、Boxサービスを提供する目的で、本顧客コンテンツを含む本顧客情報を処理するために、Boxおよび/あるいはその関連会社と契約する第三者を意味する。

「加入期間」とは、発注書において定められているサービス開始日に始まり、当該発注書において定められているサービス更新日または終了日まで続く、本顧客がBoxサービスに加入している有効期間を意味する。

「本サポートサービス」とは、サポートサービス条項に定める意味を有する。

「サポートサービス条項」とは、サポートサービス条項に記載されている、発注書に基づいて本顧客が受けることができるサポートサービスについて規定した文書を意味する

「契約期間」とは、第11.1条に定める意味を有する。

「ユーザー」とは、管理者、管理対象ユーザーまたは外部ユーザーの総称である。

「ユーザーガイド」とは、Boxサービスの機能を記載した公開文書のそのときどきにおける最新版を意味する。Boxは、顧客または利用者に対し、ユーザーガイドをユーザーガイドにおいて、広く利用可能にする。

追加製品に関する契約

第１条 適用性および統合

本追加製品に関する契約は、本契約の条件に従うものとし、本顧客が有効な発注書において下記に特定する適用製品を購入する際にのみ適用される。本契約に基づく「Boxサービス」への全ての言及は、購入された製品を含むものとみなされ、本追加製品に関する契約に別段の定めがある場合を除き、本契約の全ての条件が適用される。本追加製品に関する契約は、本追加製品に関する契約で定める主題に関する両当事者間の完全な合意を構成し、一切の従前の合意に優先するものとする。Platform製品に関しては、本追加製品に関する契約が本契約の矛盾する条件に優先するものとする。

第２条 Box Platform 

2.1 Platform 製品

2.1 (a) 定義

「月間アクティブユーザー」または「MAU」とは、アクティブなPlatformアプリケーションユーザーを意味する。Platformアプリケーションユーザーが「アクティブ」とみなされるのは、何らかのアプリケーションがBoxサービスを使用し、(Platformアプリケーションユーザーアカウントによって、またはPlatformアプリケーションユーザーアカウントのために行われた) APIコールを通じてPlatformアプリケーションユーザーにアクセスすることが、1暦月間に少なくとも1回発生している場合である。

「月間Platform APIコール」とは、1暦月間においてPlatformアプリケーションが (a) Platformアプリケーションユーザー (b) ユーザー、または (c) PlatformサービスアカウントのためにBoxサービスに対して行ったAPIコールの総数を意味する。該当する発注書に別段の定めがある場合を除き、APIコールのうち、(i) 該当する発注書の定めに従って本顧客がBoxサービスを購入したことによって許可された、サードパーティソフトウェアアプリケーション統合 (ii) Boxが提供するアプリケーション (Boxウェブアプリ、Boxデスクトップ、Box Notes、Box Captureなど) (iii) Boxが提供するサービス (Box Shuttleなど) (該当する場合) のために行われたものは、月間Platform APIコールから除外される。

「Platformアプリケーション」とは、本顧客によって、または本顧客のために使用されるアプリケーションであって、BoxサービスまたはBoxが提供する特定機能にアクセスすることを目的としてAPIを使用するものを意味する。

「Platformアプリケーションユーザー」とは、本顧客が作成およびプロビジョニングするユーザーであって、一意の識別子を持つものを意味する。当該ユーザーによるBoxサービス内の本顧客コンテンツへのアクセスは、本顧客によって、または本顧客のために構築された外部向けPlatformアプリケーションを通じて管理される。

「Platform製品」とは、PlatformアプリケーションからBoxサービスに対してプログラムを通じてアクセスするためのBox API、およびPlatform製品の各種の追加機能を意味する。該当する発注書の定めに従ってお客様により明示的に購入された場合、Platform製品には、Box Platform ViewとPlatformリソースが含まれる。

「Platformリソース」とは、該当する発注書にて指定されるリソース (月間Platformデータ、月間Platform APIコール、Platformストレージ、月間アクティブユーザーが含まれるが、これらに限定しない) を意味する。また、ここで定義したPlatformリソースには、本追加製品に関する契約に定めるAPIに関連したPlatformアプリケーションの開発またはPlatformアプリケーションとの統合のために提供されるBoxのAPI、ツールおよびサービスも含まれる。

「Platformサービスアカウント」とは、バックエンドシステムとBoxの直接接続に使用される一意の識別子を持つアカウントであって、本顧客によって、または本顧客のために作成およびプロビジョニングされたものを意味する。PlatformサービスアカウントによるBoxサービスの本顧客コンテンツへのアクセスは、Platformアプリケーションを通じて管理される。

「Platformストレージ」とは、すべてのPlatformアプリケーションユーザー、Platformサービスアカウントのほか、その他Boxが随時リリースするPlatform製品のユーザーによって、またはこれらのために保存された本顧客コンテンツの総量を意味する。Platformストレージには、管理対象ユーザーが保存した本顧客コンテンツの量は含まれない。

「Platform利用制限」とは、該当する発注書において指定された (または当該発注書に定められた該当するサブスクリプションレベルに応じた) (i) 月間Platformデータ転送量、月間Platform APIコール、Platformストレージ、および月間アクティブユーザー数、ならびに (ii) 本契約、公正利用ポリシー、または当該発注書に定められたその他の利用制限または制約を意味する。

2.1(b)     Platform利用許諾
本追加製品に関する契約の条件の遵守、および該当する発注書に基づく1つ以上のPlatform製品の購入を条件として、本顧客は、該当するサブスクリプション期間にわたり、該当する加入期間中、該当する発注書に基づき本顧客が加入するPlatform製品を利用する非独占的権利を有し、本顧客がサブスクリプションを購入したPlatform製品によって提供される特定機能に、API、関連ツールおよび関連サービスのみを通じてアクセスすることを唯一の目的として、APIをPlatformアプリケーションに組み込むものとする。本顧客は、Platform製品の使用が、該当する発注書 (Platform利用制限が含まれるが、これに限定されない)、本追加製品に関する契約、本契約および適用される法律に常に適合することを保証するものとする。

2.1(c)     Platform制限
本契約における本顧客コンテンツに対する本顧客の責任に適用される全ての条項には、PlatformアプリケーションユーザーおよびPlatformサービスアカウント経由で本顧客のBoxサービスインスタンスにアップロードされた本顧客コンテンツも含まれるものとする。本顧客は、下記の行為を行わない（および第三者に対して、下記の行為を推奨あるいは支援しない）。
(i) Platform製品を提供するため、もしくはPlatform製品にアクセスするためにBoxが使用もしくは頒布している、またはPlatform製品に含まれているAPIまたはソフトウェアの変更、改ざん、修繕、および二次的著作物の作成
(ii) Platform製品のリバースエンジニアリング、逆アセンブル、逆コンパイル、またはPlatform製品のソースコードを発見もしくは再現しようとする行為
(iii) Platform製品もしくはその機能に損害を与えたり、動作を停止させたり、過度な負担をかけたり、害を与えたりする可能性のある方法でPlatform製品を使用すること、Platform製品にそのような影響を及ぼすこと、ユーザーによるPlatform製品の利用に悪影響を及ぼしたり、当該利用を妨害したりすること、またはBoxウェブサイトのトラフィックの正常な流れを妨害すること (Platform製品に過剰な量のデータやコンテンツを送信することが含まれるが、これに限定されない)
(iv) Boxの事前の書面による同意なしにPlatform製品を促進および上市するためにBoxの商標、ロゴまたはその他の標章を利用すること
(v) 以下の目的のために、PlatformアプリケーションあるいはPlatform製品を利用すること/

• (a)    本契約に違反する本顧客コンテンツ（スパム、迷惑メール、チェーンレター、マルチ商法、スパイウェア、アドウェア、ウィルス、ワーム、その他悪質なコードを含むがこれらに限定されない）を送信すること
• (b)    ソフトウェアのうち、(i) Platformアプリケーションユーザーの同意なしに密かに活動するもの、(ii)Platformアプリケーションユーザーから明示的な許可を得ることなくPlatformアプリケーションユーザーのシステムを改ざんし、もしくは損害を与える可能性があるもの、(iii) 他のソフトウェアの隠しコンポーネントとしてダウンロードされるもの、または (iv) その全部もしくは一部がPlatformアプリケーションユーザーから明示的な同意を得ることなく自動的にダウンロードされるものをインストールすること
• (c)    他の個人または組織になりすましたり、他の個人または組織との関係を偽ったりすること
• (d)    Platformアプリケーションユーザーが自己の本顧客コンテンツに関して別途許可した場合を除き、Platform製品/Boxサービスに送信されたか、これらから取得されたか、またはこれらに保存された本顧客コンテンツのマイニングまたは分析を行うこと (スパイダー、ロボット、クローラー、データマイニングツール、スクレイパー、その他の自動化された手段、または当該手段を使用するサービスを通じて行う場合が含まれるが、これらに限定されない)
• (e)    セキュリティ対策またはコンテンツフィルタリング装置を迂回すること
• (f)    何らかの法律、規則、規制、または業界内で一般に認められている規格もしくはガイドライン (知的財産権、プライバシー、およびパブリシティに関する法律が含まれるが、これらに限定されない) に違反すること。

2.1(d)    オーバーレージ
加入期間中、Boxは、本顧客に対し、いつでも、本顧客の利用限度を超えたユーザー数（あるいはAPIコール、データ転送量、あるいは該当する場合、他の有償利用）を特定するレポートを提示することができる。Box (あるいは、該当する場合、Box再販業者)は、本顧客に対し、追加でBox製品の利用継続に必要な購入に関する発注書（以下「追加サービス発注書」）を提供することができる。本顧客は、速やかに（いかなる場合も当該追加サービス発注書を受領後30日以内に）、以下のいずれかを実行しなければならない。
(i) 追加サービス発注書を発行する。
(ii) 機能利用が可能な場合、Boxにより提供される代替の購入方法を通じて利用限度の内容を変更する。
(iii) 超過アカウント、あるいは他の該当するアクティビティを永続的に削除する。

2.1(e)    サポート
本顧客は、Platformアプリケーションをサポートする責任を負っており、Platformアプリケーションユーザーに当該サポートを直接提供するものとする。Boxは、Platformアプリケーションユーザーに対してサポートサービスを提供せず、ダウンタイム、問題、その他のパフォーマンスに関する問題点についても、それらがPlatformアプリケーションに起因する限りにおいて、一切責任を負わない。

第３条  Box Zones 

3.1    定義
「Box Zones」とは、顧客ファイルの保存場所を選択できるようになるBoxのインフラストラクチャ製品（ZonesまたはZones-Multi）を意味する。

「本サービスプロバイダー」とは、本顧客コンテンツの地域保存サービスを提供するサービスプロバイダーを意味する。

「保存場所」とは、該当する発注書においてあるいはその他の方法で本顧客に提供される、本顧客コンテンツが保存される場所として指定された主要な地理的場所を意味する。

3.2    Zones 利用許諾
本追加製品に関する契約の条件の遵守、および該当する発注書に記載された各ユーザーのためのBox Zonesアカウントの購入を条件として、Boxは、(a)本顧客がサービス開始日付で、該当する発注書に指定された保存場所を本顧客が利用可能にし、(b) 本顧客がBox Zonesを購入およびプロビジョニングした後に生成された本顧客コンテンツを、該当する発注書に定めた保存場所に保存し、(c) 本顧客が購入した製品に含まれる範囲で、管理者が加入期間中いつでも、管理コンソールを利用して、各管理対象ユーザーおよび管理者の保存場所を指定し、管理できるようにし、(d) 管理者が指定した後、商業的合理的な期間内に、当該ユーザーの全ての本顧客コンテンツを指定された保存場所に移行し（但し、サービス開始日以前に生成された本顧客コンテンツの移行には、両当事者が合意する1回限りの追加料金がかかる場合がある）、(e)管理者の指定後に生成されたユーザーの本顧客コンテンツを各保存場所に保存するものとする。

3.3.      コンテンツ保存場所
Box Zonesの本顧客コンテンツの保存および一部の処理は保存場所で行われるものの、一部の処理およびメタデータの保存は、引き続き米国から提供される場合がある。本追加製品に関する契約のいかなる規定も、ユーザーが保存場所以外からBoxサービス (本顧客コンテンツを含む) にアクセスすることを禁止していない。本追加製品に関する契約の条項は、本顧客コンテンツの保存場所および関連する管理に関する本契約のあらゆる条項に優先するものとする。保存場所は、Boxによる事前通知により変更されることがある。

3.4    サービスプロバイダー 
Boxは、サービスプロバイダー候補として新たなサブプロセッサーを追加する場合、本契約の条項に従い、本顧客に通知することに同意する。サービスプロバイダーのセキュリティ認証は、選択された保存場所により異なる場合があり、本契約の条件に従い、本顧客の要求に応じて提供することができる。

3.5    Zones 設定 
データの書類およびコンプライアンスに関連する義務に対処するため、BoxサービスおよびBox Zonesを設定し、適切に利用することは本顧客の責任である。複数の保管場所が存在する場合、本顧客は、加入期間中、常に各管理対象ユーザーおよび管理者が、保存場所にマッピングされていることを確認するものとする。上記にかかわらず、本顧客コンテンツの保管場所は、Boxインスタンス内の本顧客コンテンツが保存されているフォルダの所有権に従うものとする。

第４条  KeySafe KMS

4.1    KeySafe利用許諾
本追加製品に関する契約の条件の遵守、および該当する発注書に規定される各ユーザーに対するKeySafe KMの購入を条件として、BoxはBoxが管理しないセカンドレベルの暗号化を可能にするサードパーティデータホスティングパートナー（以下「ホスティングパートナー」）にBoxインスタンスを接続できるBox機能（かかるBox機能を「KeySafe KMS」という）を利用する権利を本顧客に付与する。疑義を避けるために記述しておくが、本顧客はBoxが承認するサードパーティホスティングパートナーからKeySafe KMS専用ライセンスのサブスクリプションを別途購入する必要がある。本顧客のホスティングパートナーとのサブスクリプションは、本顧客とホスティングパートナーが合意する条件に従うものとする。Boxは、ホスティングパートナーの製品またはサービスに関連して、メンテナンスやサポートを提供する責任を負わない。

4.2      本顧客の責任 
本顧客は、Boxにより有効化された暗号化制御機能（KeySafe KMS）を利用する期間全体にわたり、以下の責任を負う。

• (a) KeySafe KMSに適用される、その時点で最新のテクニカルドキュメントを遵守する
• (b) KeySafe KMSのセットアップとサポートを行えるようBoxに十分な情報 (暗号キーID、アクセスキー およびシークレットアクセスキーが含まれるが、これらに限定されない) を提供する
• (c) KeySafe KMSを利用するサブスクリプション期間中、本顧客は、Boxから拡張サポートサービスを購入する
• (d) KeySafe KMSの経験を有する適切な技術担当者 (以下「本顧客の技術担当者」) を設置し、本顧客のKeySafe KMSの利用に関して24時間365日、Boxとの間の技術窓口を提供することを保証し、適用される発注書の発行日に、本顧客の技術担当者の連絡先情報 (メール、電話番号など) をBoxに提供するとともに、当該情報に変更が生じた場合には、直ちにBoxに通知する
• (e) 必要に応じてBoxからプロフェッショナルサービスおよびトレーニングサービスを別途購入することを含め、KeySafe KMSの展開に適切な詳細なプロセス設計、計画、ガバナンス、サポートおよび追加トレーニングへの取り組みを実行する
• (f)  KeySafeの加入期間および本契約に記載される期間終了後アクセス権が適用される期間、KeySafe KMSを有効にするためにBoxサービスと統合されるアプリケーション (ホスティングパートナーが含むが、これに限定されない) に対する適切な権利、アクセス方法、サポートおよび許可を確保していることを表明および保証するものとする。

4.3.     ダウンタイム
本顧客が、KeySafe KMSに適用されるその時点で最新のテクニカルドキュメントに規定される要件を遵守しなかったことに起因するBoxサービスにアクセスできない期間、あるいはKeySafe KMSに必要なサードパーティソフトウェアのアップデートの結果生じるパフォーマンスの低下期間、あるいはホスティングパートナーに生じたダウンタイムは、ダウンタイムを最小限に抑える、またはサービスレベルクレジットを提供するコミットメントの対象外とする。

4.4.  　機能
本顧客は、KeySafe KMSのテクニカルドキュメントに記載されたとおりにKeySafe KMSを実装した結果として、Boxサービスの特定の機能が制限される可能性があることを了承するものとする。

4.5.      コンテンツコントロール
本顧客は、ウイルス、マルウェア、有害なコードを含むと Box が認識した本顧客コンテンツ、違法な本顧客コンテンツ、または Boxが本顧客コンテンツに対し有効な手続きに則った要請を受領した場合、Box から書面による通知により、合理的なサポートを提供し、適時に削除することに同意する。当該本顧客コンテンツが書面による通知から 48 時間以内に削除されない場合、Box は、特定のユーザー アカウントまたは本顧客のアカウントを停止または無効にする権利を有する。

4.6.      キーローテーション
Boxは、初期キーの実装時に本顧客を支援する場合がある。本顧客は、キーを変更する場合 (以下「キーローテーション」)にBoxと連携するが、当該キーローテーションについては、本顧客が単独で責任を負うものとする。本顧客は、キーローテーションを適切に管理しなかった場合、(a) 自らの本顧客コンテンツを復号したり、その他当該本顧客コンテンツにアクセスしたりすることができなくなる可能性があること、および (b) Boxは、当該本顧客コンテンツの復号その他本顧客が当該本顧客コンテンツにアクセスしようとする試みを支援することができないことを了承するものとする。いかなる場合でも、Boxは、キーローテーション、またはその影響について責任を負わない。

4.7    知的財産権
疑義を避けるために記述しておくが、本追加製品に関する契約により、KeySafe KMSの所有者としての権利が本顧客に移転することはない。本顧客は、KeySafe KMSの知的財産権がBoxに帰属することを了承するものとする。KeySafe KMS、ならびにBoxが本顧客に技術サービスを提供する過程で考案または開発したアイデア、ノウハウおよびプログラム (KeySafe KMSの強化および変更が含まれる) に関する権利、権原および権益の一切は、常にBoxまたはそのライセンサーに帰属するものとする。

4.8       保証の否認
本顧客は、ホスティングパートナー製品がBoxにより提供または販売されるものではないことを了承する。適用される法律で認められる最大限の範囲で、Boxは、本契約に定める責任の制限に加え、(A) 本顧客が、KeySafe KMSに関して本追加製品に関する契約に規定された自らの義務を履行しなかったこと、または (B) ホスティングパートナーの製品もしくはサービスに起因して生じた一切の損害 (本顧客コンテンツに対する侵害、本顧客コンテンツの消失または利用不能、およびダウンタイムが含まれるすが、これらに限定されない)につき、自らの責任を明確に否認する。

4.9    補償
本顧客は、本契約に基づく自らの補償義務に加え、(a) 自らがKeySafe KMSの技術要件を満たさなかったこと、または (b) 本顧客によるサードパーティ製品もしくはサービス (ホスティングパートナーの製品およびサービスが含まれるが、これらに限定されない) の使用に起因して生じた第三者の請求につき、Boxを防御し、補償し、免責するものとする。

第５条　Box Sign 

5.1 本顧客が Box の電子署名製品（「Box Sign」）の利用を選択した場合、本顧客 は、(a) ユーザーガイド に記載された Box Sign の機能が 本顧客のユースケースに適しているか、(b) 本顧客がBox Signを利用する際、当該利用を意図する文書および取引のカテゴリに特定の管轄の法律、規則、またはその他の要件が適用される可能性があるか、(c)本顧客のBox Signの設定および利用（デフォルトの開示の利用を含む）が当該法律、規則、またはその他の要件に準拠しているかどうかを判断する責任を単独で負うものとする。署名済みの合意書および署名ログは、最終受領者が署名依頼を正常に完了した後、Box Sign のプロセスにおいて作成される。本顧客は、当該署名済みの合意書および署名ログが適切に保管・管理されることについて、単独で責任を負うものとする。

第６条　Box AI 

6.1     所有権およびコントロール
本顧客は、本契約、適用されるBox AI Acceptable Use Policy & Guiding Principles、およびすべての適用法を遵守し、Box AIを利用したアウトプットの生成および保持について単独で責任を負うものとする。Box AIにより生成されるすべての出力は、(a)ユーザーの指示、および/または (b) 本顧客のワークフローの結果あるいはAPIコールにより行われ、ユーザーの単独の裁量で本顧客コンテンツ（またはその他のプロダクションデータ）に保存される。Box AIの出力は、人間が生成したものでも、人間がフィルタリングしたものでもなく、ユーザーが人間の作業成果物として表現することはできない。Boxは、出力の正確性もしくは偏り、またはBox AI出力への本顧客の依存について責任を負わない。Box AI のクエリおよび出力は、本顧客の秘密情報であるが、本顧客コンテンツではない。

6.2    処理
Box AI クエリを処理するためのユーザーの指示は、出力を生成する目的で機密情報の修正、集約、匿名化またはその他の処理を行うことに対する本顧客の同意とみなされる。上記にかかわらず、Box は明確な同意なしに本顧客のクエリ、出力または秘密情報を使用して Box AI をトレーニングすることはない。

6.3    機微情報
ユーザーが Box AI のクエリに個人データまたは規制監督の対象となるその他の機微情報を入力する場合、Box ではなく本顧客が、かかる処理について法的に適切なプライバシー通知を提供し、必要な同意を取得する単独の責任を負うものとする。

6.4    クエリおよび出力の利用に対する侵害
Boxは、第三者の所有権を侵害するクエリに依存するBox AIの利用、または第三者の所有権を侵害する方法での出力の使用について、一切の責任および義務を負わない。

第７条　Box Forms

7.1    定義
「Box Forms」とは、本顧客により設定されたフォーム駆動型のビジネスプロセスをユーザーが開始することを可能にするBox製品を意味する。

「Box Forms Data」とは、Box Formsを通じて送信されるテキストまたはその他のデータ（ファイルを除く）を意味する。

7.1 (a)  Box Formsデータ  Box Formsデータは本顧客の機密情報であり、本顧客のBoxサービスインスタンスに保存されるファイルというより、集中型データベースに保存されBoxにより処理されるデータである。本追加製品に関する契約またはBox技術文書に別段の記載がある場合を除き、Boxは、Box情報セキュリティ管理システム文書に記載されている他の同様のカテゴリーに属するシステムデータと一致する方法でBox Formsデータを処理する。本顧客は、当該仕組みがBox Formsデータの中の規制情報の処理に関する十分な保護措置であることに同意する。

7.2(b) 処理  EUおよびUK GDPR、または両当事者に適用されるその他のプライバシー法規の遵守を目的として、BoxはBox Formsデータの処理者であり、本顧客は管理者である。欧州経済地域および/またはその加盟国、スイスおよび/または英国からのデータ移転を目的として、Box Formsデータの合法的な移転メカニズムは、両当事者で合意されたEU標準契約条項（Controller-to-Processor; Module 2）およびUK標準契約条項（上記  7.1(a)のFormsデータの制限に従う ）、および/またはUK拡張DPF、スイス-US DPFを含む EU-USデータプライバシーフレームワークである。Box Formsデータは米国内で保管およびホストされるが、Boxにより米国外で処理される場合がある。

7.2 (c) 相互運用性  Box が書面で別途合意した場合を除き、Box サービスのその他の要素 (例：Box Governance、Box Shield、Box Zones、Box Keysafe 等) は Box Forms データと互換性があること、Box Forms データ 上で機能を実行することに関するいかなる保証および責任を否認するものとし、これらのサービス要素に依存する本顧客のコンプライアンス (例：CJIS または ITAR コンプライアンス、GxP、FINRA Broker-Dealer等) 実現達成に影響を与える可能性があり、これらのコンプライアンス実現に適用される契約条項は Box Forms データには適用されない。

Box セキュリティ・プラクティス

第１条：目的。本セキュリティ付属書は、Boxが本顧客のプロダクション・データを保持している間、本顧客のプロダクション・データプロダクション・データを不正な使用、アクセスまたは開示から保護するためにBoxが維持する情報セキュリティプログラムおよび情報セキュリティ運用方針について記載している。

第２条：情報セキュリティ管理システム。Boxは、(a)プロダクション・データを不正なアクセス、使用または開示から保護し、（b）本顧客のプロダクション・データのセキュリティあるいは完全性に対して予測される脅威あるいは危険から保護するために構築された管理上の、技術的および物理的安全措置を含む包括的情報セキュリティ管理システム（以下「ISMS」という）を、本利用規約の全契約期間にわたって維持する。  ISMSは、Boxに適用される業界標準の情報セキュリティ慣行ならびに法律上および規制上の要件の変更に基づき文書化および最新の状態にアップデートされる。

第３条：標準。BoxのISMSは、最低限、国際標準化機構の国際標準27001（ISO/IEC 27001）（もしくはこれに実質的に同等でありもしくはこれに取って代わる標準）または本利用規約に記載するその他の権威あるソース（例：SSAE 18、SOC1、SOC2）における情報セキュリティ慣行を遵守する。

第４条：独立評価。 Boxは、Boxの単独の裁量により、セキュリティ、可用性、処理の完全性、秘密保持および／またはプライバシーに関わりがある業務受託会社における内部統制に関する報告（SOC2タイプII）から成る独立評価、または、その他の同等の評価（例えばISO 27001、認証）を、1年に1度、相応の資格を有している独立の第三者機関に実施させ、本顧客の書面による求めにより、本顧客に対し当該評価の写しを提供する。  Boxは、また、少なくとも1年に1度、独立の相応の資格を有している第三者機関による定期的な侵入テスト（penetration test）を受ける。Boxは、本顧客の書面による求めにより、本顧客に対し、最新の侵入テストの要約を提供する。

第５条：情報セキュリティ方針。ISMSの一部として、Boxは、Boxサービスの提供に関連してプロダクション・データに直接または間接にアクセスを有するBoxサービス運用関係者（技術人員および非技術人員の両方を含む）の役割および責務について定めたBox社内の情報セキュリティ方針およびプライバシーポリシーを実施し、維持しかつ遵守する。Box情報セキュリティ方針は、(a) (以下に定義される)セキュリティ侵害を引き起こしうる内部および外部の脅威の特定、(b)プロダクション・データの特性を考慮し、当該脅威の可能性および潜在的損害の評価、および(c)リスクを管理するBoxの方針、手続き、情報システムおよびその他実施されている手順の十分性の評価を含むBoxサービスのセキュリティに対するリスクの継続的評価および再評価を規定する。

また、Box情報セキュリティ方針は、当該リスクに対し、適切な保護に取り組んでいる。Box情報セキュリティ方針は、最低限、以下を含む。

5.1 情報セキュリティの組織

5.2 資産管理

5.3 人材セキュリティ

5.4 物理的および環境的セキュリティ

5.5 通信および運用管理

5.6 アクセス制御

5.7 情報システムの取得

5.8 開発および維持

5.9 情報セキュリティインシデントマネジメント

5.10    事業継続マネジメント

第６条　情報セキュリティ運用。

6.1    アクセス制御。ISMSに従い、Boxは、該当する場合、以下を含む（物理的、技術的および管理上の）適切なアクセス制御を維持するものとする。 

6.1 (A) Boxサービスアクセス制御
6.1(A)(i) 物理的アクセス制御：Boxは、不正者が、プロダクション・データを処理するために使用されるデータ処理装置にアクセスするのを防ぐため、以下の適切な対策を実施する。

(a)  Boxサービス運用関係者およびサードパーティに対するアクセス許可
(b) キーカードおよびアクセス許可証
(c) 鍵に関する制限
(d) サードパーティに対する適切な要件
(e) アクセスを許可された者の特定
(f) 入口および出口の防御および制限
(g) セキュリティエリアの構築（配送、引渡向け）
(h) 建物の安全性確保（セキュリティ警報システム、警備員による監視）

6.1(A)(ii) 技術的アクセス制御：Boxは、データ媒体の不正な読み取り、コピー、改ざん、あるいは削除、メモリへの不正な入力、およびプロダクション・データの読み取り、改ざん、削除を防ぐため、以下の適切な対策を実施する。

(a) アクセス許可の要件
(b) Boxシステムにアクセスするワークステーション、および/あるいはユーザーの特定
(c) 複数回のパスワード誤入力後のユーザーIDの自動無効化
(d) （不正侵入の試みの監視を含む）事象と動作の記録
(e) 識別コードの発行および保護
(f) ユーザーに対する専用のワークステーション
(g) 許可された者に対する認証
(h) Boxにより適切とみなされる暗号の使用
(i) 本番および非本番環境の分離
(j)  30分を超える間、インアクティブなユーザーの自動セッション終了
(k) データ媒体が置かれるエリアの指定
(l) データ媒体の許可された取扱および削除を行うエリアにおける取扱者の指定
(m) データ媒体の削除の制御
(n) データ媒体が置かれるエリアの安全性確保
(o) 管理文書化されたデータ媒体の破壊

6.1(A)(iii) データアクセス制御：Boxは、Boxデータ処理システムの利用権限を有する従業員および下請業者が、各々のアクセス許可の範囲内でのみ、データにアクセスすることを誓約する。
以下のアクセス制御がなされる。

(a) ワークステーションの安全確保
(b) 必要に応じて実施されるユーザー認可の要件
(c) 適切な秘密保持義務
(d) 部門および業務範囲に基づき、区別化されたアクセス方針（例：部分的遮断）
(e) データ媒体の破壊に関する管理
(f) データ媒体を変更する前の残存データの削除
(g) バックアップコピーの作成を制御する方針

6.1(A)(iv) 通信制御：Boxは、Boxサービスの利用を通じて処理されるプロダクション・データを保護するため、以下の適切な対策を実施する。

(a) 許可された者の認証
(b) 秘密のデータ媒体の保護
(c) 転送と送受信
(d) 外部のオンライン通信の暗号化\

6.1(A)(v)入力制御：Boxは、Boxサービスにプロダクション・データを格納した時間および格納時のプロダクション・データを見直し、決定できる遡及的機能を提供する。

6.1(A)(vi)組織的制御：Boxは、ISMSの要件に合致する方法で、内部組織を維持するため、以下の適切な対策を実施する。

(a) 内部のデータ処理方針および手順、ガイドライン、指示書、および/あるいは開発、テストおよびリリースに関するプロセス概要の保持
(b) 緊急/バックアップ危機管理計画の実施
(c) 正式な事業持続および災害復旧計画の実施

6.1(A)(vii)コンテンツとプロダクション・データの分離制御：Boxは、異なる目的で収集されたプロダクション・データが、分離して処理されるための適切な方法を実施する。プロダクション・データは、ユーザーによって許可されない限り、いかなる第三者もアクセスできないよう分離されるものとする。本顧客コンテンツは、他の顧客のデータから論理的に分離されるものとする。

6.2 暗号化。Boxは、Boxサービスにおいて保存されているプロダクション・データを暗号化する際、他の業界でも、少なくとも最低256ビットの強度を標準とした暗号化と同じくらい安全と認められているAESアルゴリズムを使い、暗号化を実施している。Boxサービスへの、及び、Boxサービスからのプロダクション・データ転送については、本顧客が、暗号化をサポートしない送信方法や機能（暗号化されないFTP、電子メールなど）を用いるのでない限り、少なくともTLS1.2と同等に安全と認められている暗号化を提供する。 

6.3 ネットワークおよびホストのセキュリティ。Boxは、ネットワーク侵入探知策を導入している。ISMSに従い、Boxは、プロダクション・データとの関連があるBoxサービス用のオペレーティングシステムおよびアプリケーションが、Boxのパッチ管理プロセスおよび業界標準慣行に従って、パッチ適用またはセキュリティ強化されるよう、商業上合理的努力を払っている。

6.4 データ管理。ISMSに従い、Boxは、Boxサービスの提供のためにBoxが取得、移送および保持するプロダクション・データに関し、情報セキュリティインフラ制御を導入している。Boxは、セキュリティ方針およびプロセスに従い、(i) 本利用規約の終了あるいは満了に伴い、(ii)プロダクション・データを格納している保存媒体を処分しまたは当該保存媒体の用途を変更するときには、プロダクション・データを廃棄し、削除し、またはその他復元不能にする。

6.5 監査ログおよびモニタリング。Boxは、監査ログおよびモニタリングに関し、以下の制御を実施する。

6.5(A) 監査ログ：プロダクション・データを含むシステム上で、少なくとも、以下に定義されるセキュリティ関連事象を記録する監査ログを有効にしなければならない。
i. アカウントログオン（成功および失敗の両方を含む）およびログオフ
ii. 失敗したアクセスの試み
iii.アカウントロックアウト
iv. 特権の昇格（成功および失敗の両方を含む）および昇格された特権のあらゆる利用あるいは特権が昇格されている間に取られたアクション
v. 以下の作成、改変および削除（成功および失敗の両方を含む）
    a) アカウントあるいはログオン識別名
   b) グループに所属するユーザー
   c) アカウントおよびグループに対するアクセス権限と属性
   d) ユーザーの権利および許可
vi. アカウントあるいはログオン識別ステータスの変更（成功および失敗の両方を含む）
vii. セキュリティ設定、セキュリティ機能あるいは認証ポリシーに対する変更、あるいは変更しようとする不正な試み

6.5(B) 監査記録：監査記録は、少なくとも、以下に定義されるセキュリティ関連事象に関する情報を記録しなければならない。
i. 事象を引き起こすユーザー、システムあるいはプロセス識別名
ii. 事象の概要
iii. 事象が発生した日時（日時は、それが正確であることを保証するために、定期的に同期されなければならない）
iv. 事象を引き起こすシステム識別名（例：IPアドレス）
v.  事象に関連する認証情報

6.5(C) 監査記録保持：監査記録は少なくとも90日間、保持されなければならない。監査記録は、偶発的もしくは意図的改変、もしくは破壊から保護されなければならない。

6.6 物理的および環境的セキュリティ。Boxは以下を行うものとする。
A.    認証された者のみがBoxサービスを提供する施設への物理的アクセス権を得ることができることを保証する、物理的アクセス制御メカニズム（例：電子的アクセス制御、施錠）の実施
B.    データセンター、設備ルーム、配線室および設備の全てのアクセスを制御するために設置される施錠および/あるいは強度のアクセス制御の実装
C.    ハードウェアが、不正アクセス権を得るための改ざんあるいは迂回が容易にできないことを保証するために、システムの境界およびすべてのアクセス制御メカニズム検査の少なくとも年次の実施
D.    Boxの施設およびデータセンターにおける火災、洪水、地震、爆発、暴動、およびその他の自然災害あるいは人災から生じる損害から保護するためのプロトコルの設定
E.    施設内の個人が直ちに特定できることを要求（例：身分証明書、視覚認識あるいは別の手段による識別）
F.    プロダクション・データを含む施設において24時間x７日/週、セキュリティースタッフおよび/あるいは防犯カメラによるアクセス、退出ポイントの監視。防犯カメラの記録は、少なくとも60日間保管されなければならない。
G.    データセンターにおけるすべての訪問者に対し固有の登録の要求およびアクセス制御記録の保持。

6.7 設備のセキュリティ。Boxは、以下を行うものとする。
A.    環境的脅威および危険、ならびに不正アクセスの機会から生じるリスクを軽減するために、システムおよびその他の設備を保護する。
B.    停電、電圧の急激な変化および他の電気的な異常から、電力に依存している設備を保護する。
C.    不正アクセスおよび損害からすべての電力、通信およびネットワークケーブルを保護する。
D.    継続的可用性および完全性を保証するために、システムおよび他の設備を維持する。
E.    システムおよび他の設備の不正撤去を制御するため、撤去手順を実施する。

6.8 研修。Boxは、その役割に応じて適用される限りにおいて、セキュリティおよびプライバシー要請に関し、Boxサービス運用関係者に対し、定期研修を実施するものとする（あるいは定期研修を要請する）。当該研修は、初期雇用時、および、少なくとも年次で実施するものとする。

6.9 ユーザー制御。上記にかかわらず、本顧客は、本顧客がBoxサービス内のプロダクション・データに対して適切なアクセス権を付与することで、ユーザーに適切な役割を設定する責任を有することを了解する。Boxサービスは、本顧客が本顧客のBoxサービスインスタンスの設定を行うことを可能にする。本セキュリティ附属書にこれと異なる定めがあっても、本顧客のデバイスおよびシステムに係るアクセス制御およびセキュリティ制御を実施しかつ維持すべき責任は、本顧客が単独に負うことを、本顧客は了解する。

第７条 セキュリティ侵害管理。

7.1    通知。本利用規約において、「セキュリティ侵害」とは、悪意あるアクターが、Boxが管理するセキュリティ対策を回避したことによるプロダクション・データへの不正アクセスを意味する。 Boxは、確認された一切のセキュリティ侵害を本顧客に速やかに通知する。Boxは、そうしたセキュリティ侵害に関する情報の提供を求める本顧客の合理的要求に応じる。また、Boxは、セキュリティ侵害ならびに講じた調査措置および是正措置に関する最新情報を定期的に提供する。通知は、本顧客のBoxサービスアカウントの管理者（以下「通知用電子メールアドレス」）に対して送付される。本顧客は、本顧客のアカウントに関連する通知用電子メールアドレスが最新かつ有効であることを保証する単独の責任を負う。

7.2    改善。Boxがセキュリティ侵害を認識しておりまたはセキュリティ侵害を認識しているべき理由を有する場合、Boxは、Boxの費用負担で次の措置を取る。(a) 実際の、または発生が疑われるセキュリティ侵害を調査すること。(b) 本顧客の書面による求めにより、当該データ侵害への対処、インシデントの軽減および合理的な再発防止のための改善計画を本顧客に提出すること。(c) 当該セキュリティ侵害によって及ぼされる影響を、当該改善計画に従って軽減すること。ならびに (d) 本顧客との合理的協力をするとともに、当該セキュリティ侵害を調査する法執行機関または規制機関との合理的協力をすること。

7.3     ユーザー活動に起因する侵害。両当事者は、本第7.3条が、本顧客およびそのユーザーの管理下にあるセキュリティ対策の侵害により引き起こされる、セキュリティ侵害の試み、疑い、および／または実際のセキュリティ侵害が継続的に存在し発生していることについて、Boxから顧客への通知を構成することを認識し、同意する。これには、紛失した認証情報、フィッシング攻撃、クレデンシャルスタッフィング攻撃、安全ではないネットワーク、不適切な権限設定によるファイル共有、およびその他の関連する活動が含まれる。Boxは、かかるインシデントが不正アクセスをもたらすか否かにかかわらず、これらのインシデントごとに個別の通知を提供しない。Boxは、異常なユーザー活動を検知した場合、影響を受けたユーザーにパスワードリセットメールを送信する。Boxは、ユーザー活動に起因する侵害へのエクスポージャーを制限するため、顧客が多要素認証などのツールを実装することを推奨する。

第８条　事業継続性および災害復旧。Boxは、災害あるいは同様の事象が発生した場合、本顧客に対するBoxサービスの中断を最小限にとどめるための事業継続性および災害復旧体制を実施しかつ維持している。Boxは、一般に受け入れられている業界標準に従い、事業継続性および災害復旧計画を少なくとも年に1回見直し、必要に応じてかかる計画を更新するものとする。さらに、Boxは、事業継続性および災害復旧体制のテストを少なくとも年次で実施し（あるいは資格を有している第三者に実施させる）、本顧客からの書面による求めにより、前年に実施されたテスト関連の情報を含むBoxの事業継続性および災害復旧体制の概要を提示する。

第９条　サブプロセッサー。　Boxは、処理に従事する前に、サブプロセッサーがBoxセキュリティーおよびプライバシー標準を満たすことに合意する書面の契約書をBoxと締結しなければならないことを要請する。Boxの代理でサービス提供を行うことを許可されたサブプロセッサーは、本利用規約と同程度の適切な秘密保持義務に責任を負う。Boxは、ベンダー管理プログラムに従い、単独の裁量で、セキュリティおよびプライバシーに関する定期的なベンダー評価を実施する。Boxは、サブプロセッサーに対し、Boxサービスおよび関連サービスを提供するのにのみ必要なアクセス権を認める。Boxは、たとえBoxのサブプロセッサーにより履行される責任および義務であっても、本利用規約の条件に従い、Boxが負う全ての責任および義務に対して引き続き責任を負う。本顧客個人データを含むプロダクション・データを処理することが可能な現在のサブプロセッサーに関する情報はBoxサブプロセッサーの以下のウェブサイトにて入手可能である。

https://www.box.com/legal/subprocessors
サブプロセッサーリストは、Boxにより、随時更新されうる。本顧客およびユーザーは、サブプロセッサーウェブサイトのリストの更新情報受領を登録することができる。

第10条：バックグラウンドチェック。
法律および慣習に従い法的に許容される場合、Boxは以下のバックグラウンドチェックを行うものとする。

10.1  米国拠点の従業員: 採用の際、Boxのバックグラウンドチェックは以下を含む。SSN（社会保障番号）トレース、郡および連邦の犯罪歴チェック（７年の住所履歴）、複数州の即時犯罪照会システムによる犯罪歴チェック、全米性犯罪者登録簿チェック、OFACチェック、OIG/GSA合同チェックおよび学歴確認。Boxは、また、E-Verify（就労者チェックシステム）を使用し、すべての従業員に対し、様式I-9を通じ、雇用資格の確認を行う。

10.2  カナダ拠点の従業員：採用の際、Boxは、カナダの犯罪歴チェック（CPIC）を行う。

10.3  英国拠点の従業員：採用の際、Boxは、英国のID確認、犯罪歴チェック、信用調査、住所確認（６年間の住所）、雇用履歴チェック（最大５年間の雇用履歴あるいは前職２社）を行う。

10.4  ドイツ、ポーランドおよび日本拠点の従業員：法律上、バックグラウンドチェックは許容されておらず、Boxは、バックグラウンドチェックを行えない。

10.5  フランス及びオランダ拠点の従業員：採用の際、Boxは、法律および慣習に従い法的に許容される場合、ID確認、国際的犯罪歴チェック、信用調査、住所確認（最大６年までの住所）、学歴チェック、雇用履歴チェック（最大５年間の雇用履歴あるいは前職２社）を行う。

10.6  オーストラリア拠点の従業員：採用の際、Boxは、ID確認、国際的犯罪歴チェック、信用調査、住所確認（最大５年までの住所）、雇用履歴および身元照会（最大５年間の雇用履歴あるいは前職２社）を行う。

10.7  サブプロセッサー：Boxのポリシーは、適用法および慣習に従い、Boxサービスに直接関係する範囲内において、重要な下請業者が、Boxに業務を提供する自身の従業員に対するバックグラウンドチェックを行うことを要請する。
 

本サポートサービスおよびサービスレベルコミットメント

発注書に拡張サービスの購入が明記され、拡張サービスの内容が記載された個別のデータシートが発注書に組み込まれていない限り、下記の条件が適用される。

第１条：定義　大文字ではじまる語は、本利用規約上別段の定めがない限り、以下の意味を有する。
「ビジネス応答クレジット」とは、該当する発注書において、以下に定める応答時間に従い、ビジネスサービスに加入している本顧客が利用できるクレジットを意味する。

「ダウンタイム」とは、大半の本顧客ユーザーが本顧客コンテンツにアクセスすることを妨げるBoxサービス用システム全体にわたる本課題のために、本顧客がBoxサービスにアクセスできない時間であって、業界標準ツールを用いてBoxのネットワークで測定した時間を意味する。計画的ダウンタイムを明示的に除く。

「本課題」とは、本顧客にとってBoxサービスの機能に影響を及ぼす再現可能な単一の課題または問題を意味する。

「拡張応答クレジット」とは、該当する発注書において、以下に定める応答時間に従い、いずれかの拡張サポートサービスに加入している本顧客が利用できるクレジットを意味する。

「拡張SLCクレジット」とは、該当する発注書において、以下に定めるサービスレベルコミットメントに従い、いずれかの拡張サポートサービスに加入している本顧客が利用できるクレジットを意味する。

「サポートサービス」とは、本顧客からBoxに報告された問題を解決するための電話、メールまたはウェブベースのサポートを意味する。  利用可能なサポートサービスは、下記の通りとする。
「標準サポートサービス」 - 本顧客がBoxサービスを購入した際に含まれる。 
「ビジネスサービス」 - 本顧客によって購入され、該当する発注書で特定される。
「プレミアサービス」または「プラチナサービス」（合わせて拡張サポートサービス）- 本顧客によって購入され、該当する発注書で特定される。疑義を避けるために記述しておくが、拡張サポートサービスは、発注書に含まれる拡張サービスとは異なる。

「計画的ダウンタイム」とは、Boxサービスを利用できないことが予定されている時間、および実行可能な場合、本顧客への通知に基づきBoxサービスを利用できない時間を意味する。

「アップタイム率」とは、ある暦月における合計分数から当該暦月中に生じたダウンタイムの分数を差し引いて算出した数値を、当該暦月における合計分数で除して算出した数値を意味する。

第２条：サポートサービス

2.1. サポートサービス　加入期間中、Boxは本顧客に対し該当するサポートサービスを提供する。本顧客がビジネスサービスまたは拡張サポートサービスのいずれかを購入していない場合、標準サービスが提供される。本サポートサービスには以下の事項は含まれない。(a) Boxソフトウェアおよびユーザーガイドの物理的なインストールまたは削除(b) 本顧客の事業拠点への訪問(c) Boxサービスに関連するプロフェッショナルサービス（カスタム開発、データモデリング、コードレビュー、アプリケーションアーキテクチャ／インフラストラクチャ設計を含むが、これらに限定されない）(d) トレーニング、または (e) Boxサービスのセットアップ、コンフィギュレーションおよび利用 

Boxが負う義務は、本顧客に提供されるBoxサービスの継続的テストまたは継続的トレーニング、または、以下のいずれかの事項に起因するダウンタイム、本課題またはエラーには及ばない。
a)    第三者のハードウェアまたはソフトウェア 
b)    本利用規約の条項に違反するBoxサービスの利用、または
c)    ユーザーガイドまたはBoxの明示的な指示に従わないBoxサービスの利用
d)    本利用規約に定義される不可抗力事象
e)    Box KeySafeのユーザーの場合、KeySafe KMSに適用されるその時点で最新のテクニカルドキュメントに規定される要件を遵守しなかったことに起因するもので、必要なソフトウェアのアップデート、パフォーマンスの低下、あるいはホスティングパートナーに生じたダウンタイムを含む。

2.2. ケースの優先順位付

本顧客がサポートを求め、Boxに連絡する場合、本顧客は、下記に従い本課題に対して優先順位付をつける。Boxは、本顧客およびBoxサポート提供者に対し、報告された本課題の受領確認を行い、適用されるサポートレベルにて特定される目標応答時間（以下「本応答」という）内に応答を行う。本課題のレビューの結果、Boxの初動応答に従い、Boxは、下記概要に従いケースの優先順位付を変更することができる。

2.3. 標準サービスの応答時間 

本顧客が標準サポートサービスを契約している場合、Box は、以下に規定の目標応答時 間内に本応答を行うべく商業上合理的な努力を払う。

2.4. ビジネスサービスの応答時間 

本顧客がビジネスサービスを契約している場合、Boxは、以下の目標応答時間に従って本応答を行う。  Boxが応答時間内に本応答をしなかった場合、本顧客は以下のとおり応答時間のクレジットを受けることができる（「ビジネス応答時間クレジット」）。

2.5. 拡張サポートサービスの応答時間

本顧客が拡張サポートサービスのいずれかを契約している場合、Boxは、以下の目標応答時間に従って本応答を行う。  Boxが応答時間内に本応答をしなかった場合、本顧客は以下のとおり応答時間のクレジットを受けることができる（「拡張応答時間クレジット」）。下記の応答時間は英語で応答依頼があったケースに適用される。

2.6. ビジネスサービスおよび拡張サポートサービスの応答時間クレジット

本顧客がビジネスサービスまたは拡張サポートサービスのいずれかを契約しており、Boxがビジネスサービスまたは拡張サポートサービスに関連する応答時間内に本応答をしなかった場合、本顧客は以下のとおり応答時間のクレジットを受けることができる（「応答時間クレジット」）。
応答時間クレジット  以下に掲げるすべての要件が満たされている場合、本顧客は、応答時間クレジットの付与を受けることができる。

• (1) 本顧客がビジネスサービスまたは拡張サポートサービスのいずれかに契約している、
• (2) 本顧客が、ある本課題に係るサポートチケットを提出済みである、および
• (3) Boxが、レベル1およびレベル2の本課題に係るサポートチケットについて、当該月に3度にわたって応答時間内に本応答をしなかった。 

これらを総称して以下「応答クレジット事象」という。 

本顧客に対し応答クレジット事象が発生した場合、本顧客が支払ったビジネスサービスまたは拡張サポートサービスの当該暦月分料金の15パーセントに当たる応答クレジットが本顧客に付与される。  応答時間クレジットは、前払いされた料金について定額日割計算される。   別段のいかなる規定にもかかわらず、ある暦月に関する応答時間クレジットの合計額は、いかなる場合でも、本顧客によって支払われた当該暦月分のビジネスサービスまたは拡張サポートサービス料金を超えないものとする。  明確化のために記すと、応答時間クレジットでは、暦月は米国の太平洋標準時を基準として計算される。  
応答時間クレジットは、Boxサービスに関して本紙に定める応答時間遵守義務をBoxが履行しなかった場合に本顧客に与えられる唯一のかつ排他的な救済である。 
本顧客が未払いの延滞金がある期間中には、本顧客は、応答時間クレジットの付与を受けることができない。   
Boxを通じて発行された本顧客の発注書については、将来の料金請求サイクルへの充当という方法と
支払済み年間料金からのクレジット分の払戻しという方法のうち、Boxが単独の裁量で決定するいずれかの方法で、Boxが応答時間クレジットを発行する。  Box再販業者を通じて発行された本顧客の発注書については、本顧客と再販業者間の契約に定められているところに従って応答時間クレジットが発行される。

2.7. キーローテーション 

本顧客がKeySafe KMSを購入する場合、Boxは初期キーの実装時に本顧客を支援する場合がある。本顧客は、キーを変更する場合 (以下「キーローテーション」)にBoxと連携するが、当該キーローテーションについては、本顧客が単独で責任を負うものとする。本顧客は、キーローテーションを適切に管理しなかった場合、(a) 自らのコンテンツを復号したり、その他当該コンテンツにアクセスしたりすることができなくなる可能性があること、および (b) Boxは、当該コンテンツの復号その他本顧客が当該コンテンツにアクセスしようとする試みを支援することができないことを了承するものとする。いかなる場合でも、Boxは、キーローテーション、またはその影響について責任を負わない。

第３条：サービスレベルコミットメント

3.1 標準サポートサービス   本顧客が標準サポートサービスを契約している場合、Boxは、最低99.9パーセントのアップタイム率を達成すべく商業上合理的な努力を払う。

3.2 ビジネスサービス  本顧客がビジネスサービスを契約している場合、Boxは、最低99.9パーセントのアップタイム率を達成すべく商業上合理的な努力を払う。

3.3 拡張サポートサービス　本顧客が拡張サポートサービスを契約している場合、Boxは、最低99.9パーセントのアップタイム率を達成すべく商業上合理的な努力を払う。  Boxがアップタイム率を満たすことができなかった場合、本顧客は以下のとおり拡張SLCクレジットの付与を受ける。

以下に掲げる要件が満たされている場合、拡張サポートサービスのいずれかを購入した本顧客は、SLCクレジットの付与を受けることができる。
(1) ダウンタイム事象が生じた後15日以内にチケットをBoxのサポートチームに提出することにより、ダウンタイム事象に関連する問題を報告する
(2) 本顧客は、Boxからのアップタイム率の報告を受け、問題が発生した月のアップタイム率が99.9%未満であったことが確認された後15日以内に拡張SLCクレジットの付与を求める申請書をBoxに提出している 
ある暦月に関する拡張SLCクレジットの額は、本顧客によって支払われたBoxサービスの当該暦月分料金（前払いされた料金について定額日割計算した額）をSLCクレジット率に乗じて算出した積をもとに、当該ダウンタイム事象の影響を受けるユーザーの人数に基づいて按分計算した金額である。  別段のいかなる規定にもかかわらず、ある暦月に関する拡張SLCクレジットの合計額は、いかなる場合でも、本顧客が支払った当該暦月分のBoxサービス料金を超えないものとする。  明確化のために記すと、拡張SLCクレジットでは、暦月は米国の太平洋標準時を基準として計算される。  
拡張SLCクレジットは、Boxサービスに関して本紙に定めるサービスレベル遵守義務をBoxが履行しなかった場合に本顧客に与えられる唯一のかつ排他的な救済である。 
本顧客が未払いの延滞金がある期間中には、本顧客は、拡張SLCクレジットの付与を受けることができない。 
Boxを通じて発行された本顧客の発注書については、将来の料金請求サイクルへの充当という方法と、支払済み年間料金からのクレジット分の払戻しという方法のうち、Boxが単独の裁量で決定するいずれかの方法で、Boxが拡張SLCクレジットを発行する。  Box再販業者を通じて発行された本顧客の発注書については、本顧客と再販業者間の契約に定められているところに従って拡張SLCクレジットが発行される。