サービスレベル契約 (SLA)

2. 適用範囲

本SLAは、以下に適用される。

• 第3条に定める中核サービスの可用性
• 第8条に定めるサポート及びインシデント対応
• 別紙Bに定めるセキュリティ脆弱性の是正

本SLAは、以下には適用されない。

• 無料プラン、トライアルアカウント及び概念実証（PoC）環境
• ベータ版、プレビュー版、早期アクセス版又は実験的機能として指定された機能
• 本番環境以外の環境
• 顧客が本サービスに接続する第三者製品（Slack、Gong、Avoma、Outreach、Grain、Fireflies、Google Drive及びCRMシステムを含むがこれらに限られない）

3. 定義

「中核サービス」とは、Steveのウェブアプリケーション及びその認証付きAPIをいい、顧客はこれを通じて競合インテリジェンスデータ、バトルカード、プレイブック、通話分析及びレポーティングにアクセスする。

「利用不能」とは、所定の5分間の測定間隔において、中核サービスが、顧客からの適式かつ正当に認証されたリクエストに応答しない、又はこれに対してサーバー側エラーを返すことをいう。

「ダウンタイム」とは、暦月における中核サービスが利用不能であった合計分数をいい、連続する利用不能測定間隔の合計として算定し、第6条に列挙する各期間を除外する。

「月間稼働率」は、次のとおり算定する。

月間稼働率(%) = (当該月の総分数 − ダウンタイム) ÷ 当該月の総分数 × 100

「営業時間」とは、米国連邦祝日を除く月曜日から金曜日までの太平洋時間09:00から18:00までをいう。

「定期メンテナンス」とは、第7.2条に従い事前に通知された計画的なメンテナンスをいう。

「インシデント」とは、本サービスの予定外の中断又は品質の低下をいう。

「重大度」とは、第8.1条に基づきインシデントに割り当てられる分類をいう。

4. 可用性コミットメント

当社は、中核サービスについて、以下の月間稼働率をコミットするものとする。

これは目標ではなく、契約上のコミットメントである。これを満たさない場合、本SLAの違反となる。

可用性は、顧客ごとに暦月単位で測定及び報告される。

5. 測定

5.1 可用性は、当社の外部監視システムにより測定される。当該システムは、少なくとも地理的に異なる2か所の監視拠点から、5分を超えない間隔で、中核サービスのヘルスチェックエンドポイント及び代表的な認証済みトランザクションをポーリングする。

5.2 ある間隔が利用不能として記録されるのは、1か所を超える監視拠点から障害が観測された場合に限るものとし、これにより、単一の監視経路における不具合が当社の不利益に算入されないようにする。

5.3 当社は、エンタープライズ顧客からの書面による請求に応じ、四半期に1回を上限として、過去12か月分の可用性測定データを提供するものとする。

5.4 顧客自身の監視記録において、当社の監視では記録されなかったダウンタイムが記録されている場合、顧客は当該証拠を当社に提出することができる。当社は、これを誠実に検討するものとし、裏付けのある顧客の測定結果を不合理に拒否しないものとする。

6. 除外事由

ダウンタイムには、以下に起因する利用不能は含まれない。

a) 定期メンテナンス。第7.2条に従い通知されたもの、すなわち、エンタープライズ顧客に対しては少なくとも72時間前に、その他のすべての顧客に対しては少なくとも24時間前に通知されたものをいう。

b) 緊急メンテナンス。当社が実在するセキュリティ上の脅威に対応するために合理的に必要なものをいう。ただし、当社が実務上可能な限り速やかに、かつ、いかなる場合であってもその開始から4時間以内に顧客に通知することを条件とする。

c) 不可抗力。すなわち、天災、戦争、内乱、政府の行為及びインターネットインフラの大規模障害を含む、当社の合理的な支配を超える事象をいう。

d) 第三者サービスの障害。顧客が本サービスに接続した第三者サービスの障害、又は顧客側のシステム、ネットワーク若しくはデバイスの障害をいう。

e) インフラ再委託先の障害。別紙Cに記載する再委託先の障害であって、当該障害が当該再委託先に起因し、当社による設定又は運用に起因しないものである場合に限る。当社は、エンタープライズ顧客の請求に応じ、当該再委託先との間の契約に基づき利用可能な救済措置を追求するものとする。

f) 顧客の行為。誤用、無権限の改変、文書に定める利用制限の超過、又は文書及び本契約に従わない方法での本サービスの利用を含む。

g) 顧客アカウントの停止。本契約に従って行われるものをいい、未払いを理由とする場合を含む。

7. 定期メンテナンス

7.1 当社は、実務上可能な場合には、営業時間外に定期メンテナンスを実施するものとする。

7.2 当社は、利用不能を生じさせることが見込まれるメンテナンスについて、エンタープライズ顧客に対しては少なくとも72時間前に、その他のすべての顧客に対しては少なくとも24時間前に事前通知するものとする。

7.3 エンタープライズ顧客について、当社は、顧客の主たる業務拠点が日本にある場合、日本標準時09:00から18:00までの時間帯を避けてメンテナンスを実施するよう合理的な努力を行うものとする。

7.4 当社は、顧客が事前に事業上重要な凍結期間（フリーズウィンドウ）として指定した期間中は、緊急でない定期メンテナンスを実施しないものとする。ただし、当該期間は1暦年あたり4回を上限とする。

8. サポート及びインシデント対応

8.1 重大度分類

当社は、受領時に重大度を割り当てるものとする。顧客が当該割当てに異議を述べた場合、書面により紛争が解決されるまでの間、提案された2つの重大度のうちいずれか高い方を適用する。

8.2 対応及び復旧目標

時間は、経過時間として明記されている場合を除き、営業時間により測定する。

「初期対応」とは、当該インシデントに対応する権限を有する担当者による実質的な確認応答をいい、自動送信による受領通知を含まない。「復旧目標」とは、サービスの復旧又は重大な事業影響を除去する回避策の提供をいい、これは目標である。

P1対応は24時間365日体制で提供され、営業時間に限定されない。

8.3 サポートチャネル

8.4 インシデントに関するコミュニケーション

P1インシデントについて、当社は以下を行うものとする。

• a) インシデント宣言から4時間以内に、影響を受ける顧客に通知すること
• b) サービスが復旧するまで、少なくとも4時間ごとに状況の更新を提供すること
• c) 解決から10営業日以内に、書面による根本原因分析を提供すること

8.5 顧客の責任

顧客は、以下を行うものとする。

• a) 問題を再現及び診断するために十分な詳細を付して、第8.3条に掲げるチャネルを通じてインシデントを報告すること
• b) 主たる技術担当者を指名し、これを維持すること
• c) 診断情報に関する合理的な請求に応じること。なお、当社が顧客に対して合理的に請求した情報の提供を待っている期間については、当社の対応及び復旧目標の進行が停止するものと了解する
• d) そのシステムが文書に定める最低技術要件を満たすようにすること
• e) 本契約に従って本サービスを利用すること

9. セキュリティ及びコンプライアンス

9.1 独立した保証。当社は、セキュリティ、機密性及び可用性に関するトラストサービス規準を対象とするSOC 2 Type 2の証明（アテステーション）を維持している。最新の報告書は、Securance Pro Assurance PLLCにより2025年10月1日から2025年12月31日までの期間を対象として発行されたものであり、指摘事項のない無限定意見であった。当社は、エンタープライズ顧客からの書面による請求に応じ、12か月に1回を上限として、秘密保持契約（NDA）の下で当該報告書及びそれ以降の期間を対象とするブリッジレターを提供するものとする。

9.2 ペネトレーションテスト。当社は、少なくとも年1回、及びアーキテクチャに重要な変更があった場合に、独立した第三者によるアプリケーションのペネトレーションテストを委託している。最新のテストはBubba AI, Inc.により2025年11月30日に実施され、Critical、High又はMediumの指摘事項はなかった。概要は、NDAの下でエンタープライズ顧客に提供可能である。

9.3 脆弱性の是正。当社は、別紙Bに定めるSLAに従い、セキュリティ脆弱性を是正する。

9.4 暗号化。 データは、転送中はTLS 1.2又は1.3を用いて暗号化され（TLS 1.0及び1.1は拒否される）、保存時はすべてのサブシステムにおいてAES-256を用いて暗号化される。現時点では、顧客が提供する暗号鍵の使用には対応していない。

9.5 アクセス制御。すべての管理アクセス及びリモートアクセスについて、多要素認証が必須である。恒常的な本番環境の管理者アクセスは、最高技術責任者（CTO）に限定されている。一時的な権限昇格は、24時間以内に自動的に失効する。監査ログは、オンラインで少なくとも90日間、アーカイブで少なくとも1年間保持される。

9.6 セキュリティインシデントの通知。当社は、顧客データに影響を及ぼすセキュリティインシデントを確認した場合、データ処理契約（DPA）に従い、不当に遅滞することなく、いかなる場合であっても当該事実を知ってから48時間以内に、顧客に通知するものとする。

10. 事業継続及び復旧

10.1 当社は、文書化されたバックアップ、事業継続及び災害復旧ポリシーを維持し、少なくとも年1回、机上演習（tabletop exercise）を実施する。

10.2 本番データベースのバックアップは毎日取得され、ポイントインタイムリカバリが有効化されており、少なくとも30日間のオンライン保持期間が確保されている。バックアップはAES-256により暗号化され、地理的に離れた地域で保管される。

10.3 復旧テストは、重要なシステムについて、少なくとも四半期に1回実施される。

10.4 サブシステムごとの目標復旧時間（RTO）及び目標復旧時点（RPO）は、別紙Aに定める。

11. データ保護

11.1 データの所在地。顧客データは、北米において保存及び処理される。データの所在地に変更が生じる場合、これは重要なサービス変更に該当し、リージョンをまたぐデータ移転が行われる前に、本契約及びデータ処理契約に従って事前に通知されるものとする。

11.2 解約時の削除。解約又は契約期間満了時、当社は直ちに顧客のアクセスを無効化し、30日間の読み取り専用エクスポート期間を提供した上で、30日目に削除ランブックを実行し、削除完了の書面による確認を発行する。データの破棄は、NIST SP 800-88 Rev. 1に従って行う。

11.3 再委託先。当社の再委託先は、別紙Cに記載する。当社は、再委託先の追加又は交代について、少なくとも30日前に事前通知するものとし、顧客は、当該期間中、データ保護上の合理的な理由に基づき異議を述べることができる。

11.4 顧客データによるモデル学習の不実施。当社は、人工知能モデルの学習を行わない。当社は、顧客データを、いかなるモデルの学習、ファインチューニング、開発、改善、評価又はベンチマークのためにも使用せず、また顧客データを販売、賃貸又は共有することもない。再委託先として関与するすべてのAIプロバイダーは、契約上、データ保持を行わない（ゼロデータリテンション）こと、又は処理目的でのみ短期間保持することを義務付けられている。本コミットメントの変更には、顧客の事前の書面による同意及び更新されたデータ処理契約が必要である。

11.5 日本。顧客が日本に所在する場合、又は個人情報の保護に関する法律の適用を受ける個人情報を取り扱う場合、別紙Dが適用される。

12. 制限事項

本SLAは、以下に起因する不履行を対象としない。

• a) 当社のインフラストラクチャ外におけるインターネット接続
• b) 顧客自身のハードウェア、ソフトウェア、ネットワーク又は設定
• c) 顧客又はそのユーザーによる誤用又は無権限の改変
• d) 顧客の選択により統合された第三者サービス
• e) ベータ版、プレビュー版又は実験的機能
• f) 第6条に列挙する事項

13. 本SLAの変更

13.1 当社は、随時、本SLAを改定することができる。重要な変更については、その効力発生の少なくとも30日前までに通知するものとする。

13.2 重要な変更により第4条に定める可用性コミットメントが引き下げられる場合、エンタープライズ顧客は、通知から30日以内に、当該時点のサブスクリプション期間の残存期間について、変更前のバージョンを引き続き適用することを選択することができる。

13.3 現行バージョンは、https://www.hiresteve.ai/legal/slaにおいて公開されている。

14. 優先順位

抵触が生じた場合、以下の優先順位を適用する。締結されたマスターサービス契約又は注文書、個人データに関してはデータ処理契約、本SLA、利用規約の順とする。

15. 連絡先

トリッシーノ（Trissino Inc.）
1151 Walker Rd PMB 484, Dover, DE 19904, United States
サポート：gagan@trissinoai.com
セキュリティ（24時間365日監視）：tech@hiresteve.ai
プライバシー：tech@hiresteve.ai

16. 承諾

本サービスに加入し、これにアクセスし、又はその利用を継続することにより、顧客は、本SLAを読み、理解したことを確認し、本SLAの条件が全文記載されているのと同様にこれに拘束されることに同意するものとする。

別紙A：復旧目標

認証及びリアルタイムのプラットフォーム利用に係る最大許容中断期間（Maximum Tolerable Period of Disruption）は、4時間である。

別紙B：脆弱性是正SLA

是正の時計は、初回報告時ではなく、指摘事項が確認され重大度分類がなされた時点から起算する。自動化ツールによる検出については、当該ツールがアラートを発した時刻から起算する。重大度について争いがある場合であっても時計は停止せず、書面により解決されるまでの間、提案された重大度のうちより高い方を適用する。

Critical及びHighの指摘事項は、ホットフィックスのデプロイにより、通常のリリースサイクルとは別に是正される。Medium及びLowの指摘事項は、当該リリースがSLA期間内に出荷されることを条件として、次回の予定リリースに含めることができる。それ以外の場合は、通常のリリースサイクルとは別に切り出して対応するか、文書化された代替的統制（compensating control）により対応する。

第三者依存関係における脆弱性についても、上流の修正又は回避策が利用可能になった時点から、同じSLAが適用される。上流の修正が存在しない場合、当社はSLA期間内に代替的統制を適用し、毎月再評価を行う。

修正は、保護されたmainブランチにマージされ、本番環境にデプロイされ、回帰テストが追加されるか又は書面による例外申請がなされ、かつ、当初の検出元が当該問題を報告しなくなった時点で、初めて是正されたものとする。

確認された脆弱性が、顧客データへの無権限アクセスを生じさせた場合、又は生じさせた合理的な可能性がある場合、当社は、確認から72時間以内に、又は契約上より早期の通知が求められる場合にはそれより早期に、影響を受ける顧客に通知する。個人データが影響を受ける場合には、第9.6条の48時間以内の通知がこれに代わって適用される。

当社は、Critical及びHighの指摘事項の少なくとも95%、Medium及びLowの指摘事項の少なくとも90%について、SLA期間内の解消を目標とする。

別紙C：再委託先

すべての再委託先は、秘密保持、侵害通知、データ返還及び再移転に関する条項を含む、署名済みのデータ処理契約の下で業務を行う。AIプロバイダーである再委託先は、契約上、データ保持を行わない（ゼロデータリテンション）こと、又は処理目的でのみ短期間保持することを義務付けられている。