データ処理プロトコル

このデータ処理規約（以下「本規約」といいます）は、JIA 株式会社（以下「処理者」といいます） とお客様（以下「管理者」といいます）を規定するものであり、それぞれを「当事者」といい、併せて「両当事者」といいます。本規約は、JIAが本規約を変更する場合を除き、両当事者により締結されたマスターサービス契約（以下「本契約」といいます）の発効日（以下「発効日」といいます）より効力を有するものとします。

本規約は、本契約に基づき提供されるソフトウェアおよび/またはサービス（以下、総称して「本サービス」といいます）に関連して処理される（以下に定義する）個人データに適用されます。 本サービスは、第三者のクラウドプロバイダー（現在は Azure を提供する Microsoft Corporation）の利用を伴うものであり、本契約で指定された 3 つのカテゴリーのいずれかに分類されます：

[シナリオ1] プロセッサーがサードパーティクラウドプロバイダーの関係を調達し、管理する。 このシナリオでは、Controllerは、Controllerに代わって、および/またはControllerの利益のために、Processorがサードパーティクラウドプロバイダーと直接契約することを許可し、サードパーティクラウドプロバイダーはProcessorの下請け業者であり、このプロトコルではそのように開示されています。

[シナリオ2] コントローラーがサードパーティクラウドプロバイダーの関係を調達し、プロセッサーがサードパーティクラウドプロバイダーのコントローラーの使用を管理する。 このシナリオでは、Controllerはサードパーティクラウドプロバイダーと直接契約する責任があり（適用法で義務付けられているデータ処理契約を含むがこれに限定されない）、そのサードパーティーに関連するすべての義務に単独で責任を負う。 第三者のクラウドプロバイダーは、コントローラーのプロセッサーです。 プロセッサーは、このシナリオでは、コントローラーのみのプロセッサーです。

[シナリオ3］コントローラがサードパーティクラウドプロバイダの関係を調達し、管理する。 ただし、コントローラの調達および管理により、プロセッサーがコントローラに代わって個人データを処理することはない可能性があります。 ただし、コントローラがプロセッサーにサポートを提供するよう要求した場合、このプロトコルは必要となる可能性があります。

発効日以降、本議定書は本契約の一部となり、本契約に組み込まれるため、本契約の「本契約」という表記には本議定書が含まれます。 本議定書による変更を除き、本契約に変更はなく、完全な効力を有します。 本規約と本契約が矛盾する場合は、本規約が優先されます。

背景

(A) プロセッサーが、本契約に基づき、コントローラーのために、またはコントローラーの代理として、サービスを提供している、または提供する予定であること。

(B) 両当事者は、本サービスが、米国との間の個人データの送信および米国における個人データの保管を含むがこれに限定されない、米国における個人データ処理を伴う可能性があることを認め、これに同意する。

(C) 本議定書の目的は、適用データ保護法（以下に定義）に従い、個人のデータ保護権および自由が確実に保護されるよう、個人データ処理に適用されるデータ保護条件を定めることです。

同意する：

1.定義

このプロトコルでは

1.1「事業者」、「消費者」、「管理者」、「処理者」、「データ主体」、「個人データ」、 「処理」（および「プロセス」）、「サービス・プロバイダ」、および「特別カテゴリーのデータ」は、適用データ保護法で与えられる意味を持つものとする。 「個人情報」（適用データ保護法で使用される用語）は「個人データ」に含まれ、「消費者」は本議定書で使用される「データ主体」に含まれる。

1.2「適用されるデータ保護法」とは、GDPRおよびCCPA（いずれも以下に定義）を含むがこれに限定されない、本契約に基づく個人データの処理に関して、両当事者に随時適用されるプライバシーまたはデータ保護に関する法令を意味する。

1.3「権限を有する者」とは、各当事者に関して、データを処理する権限を当該当事者によっ て付与された者（当該当事者のスタッフ、代理人、および下請業者を含む）を意味します。

1.4 「CCPA」とは、カリフォルニア州消費者プライバシー法（California Civil Code Section 1798.100,etc）およびその施行規則を意味します。2023年1月1日以降、「CCPA」には、カリフォルニア州プライバシー権法およびその施行規則が含まれます。

1.5「EEA」とは、欧州経済領域（European Economic Area）を意味し、本議定書ではスイスを含むものとします。

1.6「GDPR」とは、一般データ保護規則（EU）2016/679を意味し、本議定書で使用される場合は、UK-GDPR（英国（以下「英国」）に関して）およびデータ保護に関する連邦法（スイスに関して）を含みます。

1.7「指示」および関連用語とは、データ処理に関するControllerの書面による指示（以下に定義）を意味し、本契約および本議定書の条項で構成される。

1.8「モデル条項」とは、該当するものを指す：

1.8.1 EEA法が適用されるデータ移転については、GDPRに従ってEEAから第三国へ個人データを移転するための標準契約条項であり、現在https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en（「EEAモデル条項」）に規定されているように、欧州委員会が決定（EU）2021/914に基づいて承認したもの。

1.8.2 英国法が適用されるデータ移転については、EEAモデル条項に加えて、現在https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf（「英国補遺修正条項」）に規定されているように、英国の情報コミッショナー事務局（「ICO」）が発行する承認済み補遺の必須条項が適用されます。

1.8.3 データ保護に関する連邦法（スイス）に準拠するデータ移転については、EEA モデル条項が適用されます。ただし、このような移転については、スイス連邦データ保護・情報コミッショナーによる監督を規定するように修正され、「加盟国」という用語は、スイスのデータ主体がスイスで権利を行使する可能性を排除するような形で解釈されないものとします。

1.9「許可された目的」は、第3条に規定された意味を有する。

2.両当事者の関係

コントローラーは管理者（および場合によっては処理者）であり、ここに処理者を処理者として任命し、添付の別表2に記載された個人データを処理させます。 かかる個人データを "データ"と呼ぶ。 

3.目的の制限

3.1 プロセッサーは、プロセッサーとして、サービスを実行するために必要な場合に限り、またコントローラーの文書化された指示（「許可された目的」）に従ってのみ、データを処理します（また、かかる処理活動の記録を保持します）。 さらに、該当する範囲において、両当事者は、(x)Controllerは「ビジネス」であり、ProcessorはCCPAで定義される「サービスプロバイダー」であること、(y)Processorのデータ処理は本サービスの提供に必要であること、(z)Controllerは、Processorのデータへのアクセスおよびデータ処理と引き換えに、Processorから金銭またはその他の価値のある対価を受け取らないことを認めます。 適用される法律がコントローラの文書化された指示と矛盾する場合、かかる通知が法律で禁止されていない限り、プロセッサーは処理前にその旨をコントローラに通知します。 いかなる場合においても、コントローラの書面による指示がプロセッサーに追加の要件を課す場合、両当事者はプロセッサーに支払われる料金を公平に調整するものとします。 上記を制限することなく、いかなる場合においても、プロセッサーは以下を行わないものとします：

(a)第三者へのデータの販売、貸与、公開、開示、配布、またはその他の利用を含む、自己または第三者の目的のためにデータを処理すること；

(b) データを処理する目的および方法を決定する責任を負うこと；

(c) 処理者に適用される法律により開示が要求される場合およびその範囲を除き、コントローラの事前の同意なく、第三者（許可された下請け業者を除く）にデータを開示すること。

(d) 適用されるデータ保護法に基づくコントローラの義務に違反するような方法でデータを処理すること。

3.2 コントローラーは、プロセッサーがデータを処理することを許可するために、合法的にデータを処理し、その他必要なすべての権利を有していることを確認する責任を負います。コントローラーは、そのような権利を所有していないデータへのアクセスをプロセッサーに提供しません。上記を制限することなく、コントローラーは、必要な通知を確実に提供し、データ主体の同意を確実に取得し、かかる同意の記録を確実に維持する責任を負います。データ主体によって同意が取り消された場合、コントローラーは、かかる取り消しの事実をプロセッサーに伝え、当該データのさらなる処理に関してプロセッサーを支援する責任を負うものとします。

3.3 管理者は、データの正確性および品質に責任を負うものとします。

3.4 コントローラーは、本サービスがオーストラリア、ブラジル、EEA、英国、またはアルゼンチンを発生源とする個人データの処理を伴うかどうかを判断するために最善の努力を払い、その場合は速やかにプロセッサーに通知するものとします。さらに、Controllerは、データがCCPAまたはGDPR以外の適用データ保護法の対象となる場合、Processorに通知し、当事者がかかる法律を遵守するために必要な追加の契約条項（もしあれば）を締結するための措置を講じることができるようにしなければなりません。

3.5 データにEEAまたは英国に由来する個人データが含まれる場合、処理者および管理者は、本議定書を締結することにより、以下の第11項で言及される該当するモデル条項に署名し、これを締結し、本議定書に組み込むものとします。

3.6 両当事者により使用されているデータ転送メカニズムが、その後修正、取り消し、または管轄の規制当局もしくはその他の政府当局により無効であるとされた場合、管理者および処理者は、当該メカニズムの下で行われている転送を終了させるか、または適切な代替メカニズムを追求するために誠意をもって協力するものとします。

4.処理の機密性

処理者は、許可された人物が守秘義務（契約上、法令上、その他を問わない）に従うことを保証し、そのような守秘義務のない人物にデータの処理を許可しないものとします。 処理者は、許可された目的のために必要な場合に限り、すべての許可された人物がデータを処理するようにします。

5.セキュリティ

5.1 処理者は、処理者の管理下にあるデータの偶発的または違法な破壊、紛失、改ざん、不正な開示、またはデータへのアクセスにつながる不正または違法なセキュリティ違反（以下、「セキュリティ事故」）からデータを保護するために、適切な技術的および組織的セキュリティ対策を実施し、維持するものとします。処理者の技術的および組織的なセキュリティ対策は、別表3に記載されており、随時更新される場合があります。

5.2 管理者は、データセキュリティに関連して処理者が提供する情報を確認し、処理者のセキュリティ対策が管理者の要件および適用データ保護法に基づく法的義務を満たしているかどうかについて、独自の判断を下す責任を負うものとします。

6.下請け

処理者は、Controllerの書面による事前の同意（この同意は、不合理に保留、条件付き、または遅延されない）なしに、データの処理を第三者の下請業者に下請けさせないものとします。 Controllerは、Processorがその関連会社およびその他の第三者の下請業者にデータ処理を委託することに同意するものとします： (i) 処理者は、下請業者の追加または削除（その下請業者が実行する、または実行する予定の処理の詳細を含む）について、少なくとも10日前に通知するものとし、その通知は、かかる追加または削除について電子メールでControllerに行うことができるものとします。 発効日現在の下請業者は、別表4に記載されています。 

7.協力とデータ主体の権利

処理の性質を考慮し、処理者は可能な限り速やかに管理者に通知し、管理者が対応できるように管理者に合理的な支援を（管理者の費用負担で）提供する： (i) 適用データ保護法に基づく権利（アクセス権、訂正権、異議申立権、消去権、およびデータポータビリティ権を含むがこれらに限定されない）の行使に関するデータ主体からの要求、および (ii) データの処理に関連してデータ主体、規制当局、またはその他の第三者から受領したその他の通信、照会、または苦情。 処理者は、法律で義務付けられている場合を除き、要求、通信、照会、または苦情に直接回答する責任を負いません。 

8.セキュリティ事件

8.1 プロセッサーは、セキュリティインシデントを認識した場合、過度の遅滞なくコントローラに通知します。ただし、セキュリティインシデントがControllerまたは本サービスに関連して保持される第三者によって引き起こされた場合、Processorはそのような義務を負わないものとします。

8.2 コントローラーは、コントローラー（または第三者）の過失、不作為、または本規約の違反に起因するセキュリティインシデントに関連する損失と費用（合理的な弁護士費用を含む）を負担するものとします。これには、(a)影響を受ける個人、および規制当局へのセキュリティインシデントの通知の提供、(b)コールセンターの設置、信用モニタリングまたは信用回復サービスの提供など、セキュリティインシデントによる実際の、または潜在的な損害または被害の改善、軽減にかかる費用が含まれますが、これらに限定されません。

9.データの譲渡、削除、返却

コントローラは、要求があり、かつコントローラの費用負担で、プロセッサーから、プロセッサーが所有するすべてのデータのコピーを受け取る権利を有します。 プロセッサーは、データの第三者への安全な引き渡しに関連して、コントローラーが合理的に要求したその他の支援を、コントローラーの費用負担で提供するものとします。 プロセッサーはまた、コントローラーからの要求があり、コントローラーの費用負担で、プロセッサーが所有するすべてのデータ（下請け業者が所有するデータを含むがこれに限定されない）を削除またはその他の方法で安全に破棄することに同意するものとします。 これらの要件は、処理者に適用される法律により、処理者がデータの一部または全部を保持することが要求される場合には適用されません。この場合、処理者は、かかる法律により要求される範囲を除き、データを隔離し、それ以上の処理から保護し、可能な限り速やかに返却または安全に破棄します。

10.監査

ただし、両当事者は、書面による質問書および報告書または証明書の写しを通じて、すべての監査義務を満たすために最善の努力を払うものとします。監査結果が書面による情報では得られない場合、検査も認められます。コントローラーは、（適用データ保護法に別段の定めがない限り）1暦年に1回に限り、本条に基づく監査を要求することができます。 すべての監査およびその他の文書および情報の提出は、コントローラーの費用負担で行われ、本契約の機密保持規定に従うものとします。 プロセッサーは、情報を受け取るすべての第三者が、すべての情報を機密として扱うことを書面で約束することを、本条に基づく遵守の条件とすることができる。   

11.データ転送の仕組み

11.1 本サービスの履行において、GDPR、またはEEAもしくは英国で適用される個人の保護もしくはプライバシーに関するその他の法律の対象となるデータが、EEAまたは英国から、適用データ保護法の意味において適切なレベルのデータ保護が確保されていない米国などの国に移転される場合、以下に列挙する移転メカニズムが当該移転に適用され、（適用データ保護法で認められている範囲で）両当事者が直接執行することができます：

11.1.1 管理者が管理者としての資格を有し、処理者が処理者としての資格を有するEEA転送の場合、EEAモデル条項モジュール2（管理者対処理者） - 本議定書の別表1の条項が適用されます；

11.1.2 管理者が処理者として行動し、処理者が管理者のサブ処理者として行動するEEA転送の場合、EEAモデル条項モジュール3（処理者間） - 本議定書の別表1の条項が適用されます；

11.1.3 英国における移管については、EEAモデル条項のモジュール2またはモジュール3（適切な場合）に英国補遺修正条項を加えたもの（本議定書の別表1の条項が適用される）。

11.1.4 スイスのデータ移転については、EEAモデル条項のモジュール2またはモジュール3（適切なもの）のいずれかを適用する。

12.責任の制限

本プロトコルから生じる、または本プロトコルに関連するプロセッサーおよびその関連会社の責任総額は、本契約に規定されている責任制限、保証制限、免責、およびその他の保証および責任の除外に従うものとします。 上記は、請求の性質（契約、不法行為、またはその他の責任理論のいずれであるかを問わない）に関係なく適用されます。

13.補償

コントローラーは、プロセッサー、その関連会社、下請業者、およびそれぞれの所有者、取締役、役員、管理者、メンバー、従業員、請負業者、および代理人を、(a) コントローラーまたはその代理人（本サービスに関連して委託された第三者を含むがこれらに限定されない）の過失、故意の違法行為、詐欺、(b) コントローラーが提供した指示、または (c) 本規約に基づくコントローラーの義務違反に起因する範囲において、あらゆる責任、損失、損害、または費用（弁護士費用を含む）から防御、補償、および免責するものとします。

14.その他

14.1 本議定書の節見出しおよびその他の見出しは、参照の便宜を図るためのものであり、本議定書の一部を構成するものではなく、本議定書の意味または解釈に影響を与えるものでもない。

14.2 本議定書の条項は分離可能である。条項の一部または全部が無効または執行不能である場合、かかる無効または執行不能はかかる条項のみに影響し、本議定書のその他の条項は完全な効力を有します。

14.3 本議定書が意図する通知、書簡、その他の連絡は、本契約の条項に従って提供されなければならない。

14.4 本議定書の規定は、両当事者ならびにそれぞれの承継人および譲受人の利益のために存続し、両当事者を拘束する。

14.5 本議定書は、適用されるデータ保護法により別段の定めがない限り、すべての点において本契約に定める準拠法および管轄権に関する規定に準拠し、それに従って解釈されるものとする。