標準契約条項

標準契約条項

第I節

第1条

目的および適用範囲

  1. 本標準契約条項の目的は、第三国への個人データ移転にあたり、欧州議会および理事会による2016年4月27日付（EU）2016/679規則（個人データの取扱いに関する自然人の保護および当該データの自由な移動に関する規則（一般データ保護規則））1の要件への適合を確保することです。
  2. 当事者：
    1. 附属書I.Aに記載のとおり、個人データを移転する自然人または法人、公的機関、機関、その他の団体（以下「事業体」）であり（以下、各当事者を「データ輸出者」という）、および
    2. 附属書I.Aに記載のとおり、データ輸出者から、直接または本条項の当事者でもある別の事業体を介して間接に、個人データを受領する第三国の事業体（以下、各当事者を「データ輸入者」という）、
    は、これらの標準契約条項（以下「本条項」）に合意しました。
  3. 本条項は、附属書I.Bに定める個人データの移転に関して適用されます。
  4. 本条項で参照される附属書を含む本条項の付録（Appendix）は、本条項の不可分の一部を構成します。

第2条

本条項の効力および不変性

  1. 本条項は、（EU）2016/679規則第46条(1)および第46条(2)(c)に基づき、執行可能なデータ主体の権利および実効的な法的救済を含む適切な保護措置を定めるものです。また、管理者から処理者への移転および／または処理者から処理者への移転に関しては、（EU）2016/679規則第28条(7)に基づく標準契約条項を定めるものです。ただし、適切なモジュールの選択、または付録に情報を追加・更新する場合を除き、改変されないことを条件とします。これは、当事者が本条項に定める標準契約条項をより広範な契約に含めること、および／または、本条項に直接または間接に矛盾せず、データ主体の基本的権利または自由を害さない限りにおいて、他の条項または追加の保護措置を追加することを妨げるものではありません。
  2. 本条項は、（EU）2016/679規則によりデータ輸出者が負う義務に影響を及ぼしません。

1 データ輸出者が（EU）2016/679規則の適用を受ける処理者であり、管理者としてのEUの機関または団体の代理として行動する場合、（EU）2016/679規則の適用を受けない別の処理者（サブ処理）を利用する際に本条項に依拠することにより、欧州議会および理事会による2018年10月23日付（EU）2018/1725規則（EUの機関、団体、部局および機関による個人データの取扱いに関する自然人の保護および当該データの自由な移動に関する規則）第29条(4)への適合も確保されます。これは、当該条項および（EU）2018/1725規則第29条(3)に基づき、管理者と処理者間の契約またはその他の法的行為に定められたデータ保護義務が整合している範囲において適用されます。特に、管理者および処理者が決定[…]に含まれる標準契約条項に依拠する場合がこれに該当します。

第3条

第三者受益者

  1. データ主体は、第三者受益者として、以下の例外を除き、データ輸出者および／またはデータ輸入者に対して本条項を援用し、執行することができます。
    1. 第1条、第2条、第3条、第6条、第7条；
    2. モジュール2：第8.1条(b)、第8.9条(a)、(c)、(d)および(e)；
    3. 第9条－モジュール2：第9条(a)、(c)、(d)および(e)；
    4. モジュール2：第12条(a)、(d)および(f)；
    5. 第13条；
    6. 第15.1条(c)、(d)および(e)；
    7. 第16条(e)；
    8. 第18条－モジュール2：第18条(a)および(b)。
  2. (a)項は、（EU）2016/679規則に基づくデータ主体の権利に影響を及ぼしません。

第4条

解釈

  1. 本条項において（EU）2016/679規則で定義される用語を使用する場合、当該用語は同規則における意味と同一の意味を有するものとします。
  2. 本条項は、（EU）2016/679規則の規定を踏まえて読み、解釈されるものとします。
  3. 本条項は、（EU）2016/679規則に定める権利および義務と抵触するように解釈されてはなりません。

第5条

優先順位

本条項と、本条項の合意時に存在する、またはその後に締結される当事者間の関連合意の規定との間に矛盾がある場合、本条項が優先します。

第6条

移転の説明

移転の詳細、特に移転される個人データのカテゴリおよび移転の目的は、附属書I.Bに定められています。

第7条－任意

ドッキング条項

  1. 本条項の当事者でない事業体は、当事者の合意により、付録（Appendix）を完成させ、附属書I.Aに署名することで、データ輸出者またはデータ輸入者として、いつでも本条項に加入することができます。
  2. 付録（Appendix）を完成させ、附属書I.Aに署名した時点で、加入する事業体は本条項の当事者となり、附属書I.Aにおける指定に従い、データ輸出者またはデータ輸入者としての権利および義務を有します。
  3. 加入する事業体は、本条項の当事者となる以前の期間に関して、本条項に基づく権利または義務を有しません。

第II節－当事者の義務

第8条

データ保護の保護措置

データ輸出者は、データ輸入者が適切な技術的および組織的措置の実施を通じて本条項に基づく義務を履行できることを判断するため、合理的な努力を尽くしたことを保証します。

モジュール2：管理者から処理者への移転

8.1 指示

  1. データ輸入者は、データ輸出者からの文書化された指示に基づく場合にのみ個人データを処理するものとします。データ輸出者は、契約期間中、いつでも当該指示を行うことができます。
  2. データ輸入者は、当該指示に従えない場合、直ちにデータ輸出者に通知するものとします。

8.2 目的の限定

データ輸入者は、データ輸出者から追加の指示がない限り、附属書I.Bに定める移転の特定目的のためにのみ個人データを処理するものとします。

8.3 透明性

要請があった場合、データ輸出者は、当事者が完成させた付録（Appendix）を含む本条項の写しを、データ主体に無償で提供するものとします。附属書IIに記載の措置および個人データを含む、営業秘密またはその他の機密情報を保護するために必要な範囲で、データ輸出者は、写しを共有する前に、本条項の付録（Appendix）の文言の一部を黒塗り等により削除することができますが、削除がなければデータ主体が内容を理解できない、または権利を行使できない場合には、実質的な要約を提供するものとします。要請があった場合、当事者は、削除された情報を開示せずに可能な範囲で、削除の理由をデータ主体に提供するものとします。本条は、（EU）2016/679規則第13条および第14条に基づくデータ輸出者の義務に影響を及ぼしません。

8.4 正確性

データ輸入者が、受領した個人データが不正確である、または古くなっていることを認識した場合、過度の遅延なくデータ輸出者に通知するものとします。この場合、データ輸入者は、データ輸出者と協力して当該データを消去または訂正するものとします。

8.5 処理期間およびデータの消去または返却

データ輸入者による処理は、附属書I.Bに定める期間に限り行われるものとします。処理サービスの提供終了後、データ輸入者は、データ輸出者の選択により、データ輸出者のために処理したすべての個人データを削除し、その旨をデータ輸出者に証明するか、または、データ輸出者のために処理したすべての個人データをデータ輸出者に返却し、現存する複製を削除するものとします。データが削除または返却されるまで、データ輸入者は引き続き本条項への適合を確保するものとします。データ輸入者に適用される現地法が個人データの返却または削除を禁止する場合、データ輸入者は、本条項への適合を引き続き確保し、当該現地法により必要とされる範囲および期間に限って処理を行うことを保証します。これは第14条に影響を及ぼすものではなく、特に第14条(a)の要件に合致しない法律または慣行の適用を受けている、または受けることになったと信じる理由がある場合に、契約期間中、データ輸入者が第14条(e)に基づきデータ輸出者へ通知する要件に影響を及ぼしません。

8.6 処理の安全性

  1. データ輸入者および、送信中はデータ輸出者も、偶発的または違法な破壊、喪失、改ざん、不正な開示またはアクセスを招くセキュリティ侵害（以下「個人データ侵害」）からデータを保護することを含め、データの安全性を確保するための適切な技術的および組織的措置を実施するものとします。適切な安全性の水準を評価するにあたり、当事者は、最新技術、実装コスト、処理の性質・範囲・状況および目的、ならびにデータ主体に係る処理上のリスクを十分に考慮するものとします。当事者は、特に、送信中を含め、処理目的がその方法で達成できる場合には、暗号化または仮名化の利用を検討するものとします。仮名化の場合、個人データを特定のデータ主体に帰属させるための追加情報は、可能な限りデータ輸出者の排他的管理下に置かれるものとします。本項の義務を履行するにあたり、データ輸入者は、少なくとも附属書IIに定める技術的および組織的措置を実施するものとします。データ輸入者は、これらの措置が引き続き適切な安全性の水準を提供していることを確保するため、定期的な確認を行うものとします。
  2. データ輸入者は、契約の実施、管理および監視に厳密に必要な範囲に限り、要員に個人データへのアクセスを付与するものとします。また、個人データの処理を許可された者が秘密保持を約束していること、または適切な法定の秘密保持義務を負っていることを確保するものとします。
  3. データ輸入者が本条項に基づき処理する個人データに関して個人データ侵害が発生した場合、データ輸入者は、その悪影響を軽減する措置を含め、侵害に対処するための適切な措置を講じるものとします。また、侵害を認識した後、過度の遅延なくデータ輸出者に通知するものとします。当該通知には、追加情報を得ることができる連絡窓口の詳細、侵害の性質の説明（可能な場合、影響を受けるデータ主体のカテゴリおよび概数、ならびに関係する個人データ記録のカテゴリおよび概数を含む）、想定される結果、ならびに侵害に対処するために講じたまたは提案する措置（該当する場合、想定される悪影響を軽減する措置を含む）を含めるものとします。同時にすべての情報を提供できない場合、当初の通知には当時入手可能な情報を含め、追加情報は入手でき次第、過度の遅延なくその後提供されるものとします。
  4. データ輸入者は、（EU）2016/679規則に基づくデータ輸出者の義務、とりわけ管轄監督当局および影響を受けるデータ主体への通知義務を履行できるよう、処理の性質およびデータ輸入者が利用可能な情報を考慮しつつ、データ輸出者に協力し、支援するものとします。

8.7 機微（センシティブ）データ

移転が、人種または民族的出自、政治的意見、宗教的または思想的信条、労働組合への加盟を明らかにする個人データ、遺伝データ、または自然人を一意に識別する目的での生体データ、健康に関するデータ、個人の性生活または性的指向に関するデータ、または犯罪の有罪判決および犯罪に関するデータ（以下「機微（センシティブ）データ」）を含む場合、データ輸入者は、附属書I.Bに記載の特別な制限および／または追加の保護措置を適用するものとします。

8.8 再移転

データ輸入者は、データ輸出者からの文書化された指示に基づく場合にのみ、個人データを第三者に開示するものとします。さらに、データは、欧州連合域外2（データ輸入者と同一国または別の第三国。以下「再移転」）に所在する第三者に対しては、当該第三者が適切なモジュールに基づき本条項に拘束される、または拘束されることに同意する場合、または次の場合に限り、開示されるものとします。

  1. 再移転先が、（EU）2016/679規則第45条に基づく十分性認定の恩恵を受ける国であり、当該十分性認定が再移転を対象としている場合。
  2. 第三者が、当該処理に関して、（EU）2016/679規則第46条または第47条に基づく適切な保護措置を別途確保している場合。
  3. 再移転が、特定の行政上、規制上または司法上の手続の文脈において、法的請求権の確立、行使または防御のために必要である場合。
  4. 再移転が、データ主体または他の自然人の重大な利益を保護するために必要である場合。

いかなる再移転も、特に目的の限定を含め、本条項に基づく他のすべての保護措置について、データ輸入者が遵守することを条件とします。

2 欧州経済領域協定（EEA協定）は、EUの域内市場をEEAの3か国（アイスランド、リヒテンシュタインおよびノルウェー）に拡張することを定めています。（EU）2016/679規則を含むEUのデータ保護法制はEEA協定の対象であり、同協定の附属書XIに組み込まれています。したがって、EEA域内に所在する第三者に対するデータ輸入者による開示は、本条項の目的において再移転には該当しません。

8.9 文書化および遵守

  1. データ輸入者は、本条項に基づく処理に関連してデータ輸出者から受けた照会に対し、速やかにかつ適切に対応するものとします。
  2. 当事者は、本条項への適合を立証できるものとします。特に、データ輸入者は、データ輸出者のために実施した処理活動に関する適切な文書を保持するものとします。
  3. データ輸入者は、本条項に定める義務への適合を立証するために必要なすべての情報をデータ輸出者に提供し、またデータ輸出者の要請により、合理的な間隔で、または不遵守の兆候がある場合に、本条項の対象となる処理活動の監査を許容し、これに協力するものとします。レビューまたは監査の決定にあたり、データ輸出者は、データ輸入者が保有する関連認証を考慮することができます。
  4. データ輸出者は、自ら監査を実施すること、または独立監査人に委任することを選択できます。監査には、データ輸入者の施設または物理的設備の現地検査を含めることができ、適切な場合には合理的な事前通知のうえ実施されるものとします。
  5. 当事者は、(b)および(c)項にいう情報（監査結果を含む）を、要請に応じて管轄監督当局に提供するものとします。

第9条

サブ処理者の利用

モジュール2：管理者から処理者への移転

  1. データ輸入者は、合意済みリストに基づくサブ処理者の利用について、データ輸出者の包括的な承認を得ています。データ輸入者は、当該リストへのサブ処理者の追加または入替えによる予定変更について、サブ処理者を利用する少なくとも10営業日前までに書面でデータ輸出者に具体的に通知し、データ輸出者が当該変更に対して異議を述べられる十分な時間を確保するものとします。データ輸入者は、データ輸出者が異議申立権を行使できるようにするために必要な情報を提供するものとします。
  2. データ輸入者が、特定の処理活動（データ輸出者のため）を実施するためにサブ処理者を利用する場合、データ輸入者は、本条項に基づきデータ輸入者を拘束するものと実質的に同等のデータ保護義務（データ主体の第三者受益者権を含む）を定める書面契約によりこれを行うものとします。3 当事者は、本条に従うことにより、データ輸入者が第8.8条に基づく義務を果たすことに同意します。データ輸入者は、サブ処理者が本条項に基づきデータ輸入者が負う義務を遵守することを確保するものとします。
  3. データ輸入者は、データ輸出者の要請に応じて、当該サブ処理者契約の写しおよび後続の改訂の写しをデータ輸出者に提供するものとします。営業秘密またはその他の機密情報（個人データを含む）を保護するために必要な範囲で、データ輸入者は、写しを共有する前に契約文言を黒塗り等により削除することができます。
  4. データ輸入者は、サブ処理者がデータ輸入者との契約に基づく義務を履行することについて、データ輸出者に対して引き続き全面的に責任を負うものとします。データ輸入者は、サブ処理者が当該契約に基づく義務を履行しない場合、その旨をデータ輸出者に通知するものとします。
  5. データ輸入者は、（データ輸入者が事実上消滅した、法律上存在しなくなった、または支払不能となった場合に）データ輸出者がサブ処理者契約を解除し、サブ処理者に対して個人データの消去または返却を指示する権利を有することを定める第三者受益者条項を、サブ処理者と合意するものとします。

3 この要件は、第7条に従い、サブ処理者が適切なモジュールに基づいて本条項に加入することにより満たすことができます。

第10条

データ主体の権利

モジュール2：管理者から処理者への移転

  1. データ輸入者は、データ主体から受領した要請について、速やかにデータ輸出者に通知するものとします。データ輸出者から権限を付与されない限り、データ輸入者は自ら当該要請に回答しないものとします。
  2. データ輸入者は、（EU）2016/679規則に基づく権利行使のためのデータ主体からの要請に対応するというデータ輸出者の義務の履行を支援するものとします。この点に関し、当事者は、処理の性質を考慮し、支援が提供されるための適切な技術的および組織的措置、ならびに必要な支援の範囲および程度を附属書IIに定めるものとします。
  3. (a)および(b)項に基づく義務を履行するにあたり、データ輸入者はデータ輸出者の指示に従うものとします。

第11条

救済

  1. データ輸入者は、苦情を取り扱う権限を有する連絡窓口について、個別通知または自社ウェブサイトを通じて、透明性があり容易にアクセスできる形式でデータ主体に情報提供するものとします。また、データ主体から受領した苦情に対し、速やかに対応するものとします。

モジュール2：管理者から処理者への移転

  1. 本条項への適合に関してデータ主体と当事者の一方との間に紛争が生じた場合、当該当事者は、適時に友好的に問題を解決するために最善の努力を尽くすものとします。当事者は、当該紛争について相互に情報共有し、適切な場合には、その解決に協力するものとします。
  2. データ主体が第3条に基づく第三者受益者権を援用する場合、データ輸入者は、データ主体が以下を選択する決定を受け入れるものとします。
    1. 通常居住地または就労地の加盟国の監督当局、または第13条に基づく管轄監督当局に苦情を申し立てること。
    2. 紛争を第18条にいう管轄裁判所に付託すること。
  3. 当事者は、データ主体が（EU）2016/679規則第80条(1)に定める条件の下で、非営利団体、組織または協会により代理され得ることを受け入れます。
  4. データ輸入者は、適用されるEU法または加盟国法の下で拘束力を有する決定に従うものとします。
  5. データ輸入者は、データ主体の選択が、適用法に従って救済を求めるデータ主体の実体的および手続的権利を害しないことに同意します。

第12条

責任

モジュール2：管理者から処理者への移転

  1. 各当事者は、本条項の違反により他の当事者に損害を生じさせた場合、その損害について他の当事者に対して責任を負うものとします。
  2. データ輸入者は、本条項に基づく第三者受益者権を侵害することによりデータ輸入者またはそのサブ処理者がデータ主体に与えた物的または非物的損害について、データ主体に対して責任を負い、データ主体は補償を受ける権利を有します。
  3. (b)項にかかわらず、データ輸出者は、本条項に基づく第三者受益者権を侵害することにより、データ輸出者またはデータ輸入者（またはそのサブ処理者）がデータ主体に与えた物的または非物的損害について、データ主体に対して責任を負い、データ主体は補償を受ける権利を有します。これは、データ輸出者の責任、およびデータ輸出者が管理者の代理として行動する処理者である場合には、（EU）2016/679規則または（適用に応じて）（EU）2018/1725規則に基づく管理者の責任に影響を及ぼしません。
  4. 当事者は、(c)項に基づきデータ輸出者がデータ輸入者（またはそのサブ処理者）によって生じた損害について責任を負うことになった場合、データ輸出者は、損害に対するデータ輸入者の責任に相当する補償部分について、データ輸入者に求償できることに同意します。
  5. 本条項の違反によりデータ主体に生じた損害について複数の当事者が責任を負う場合、責任を負うすべての当事者は連帯して責任を負い、データ主体はこれらの当事者のいずれに対しても裁判所に提訴することができます。
  6. 当事者は、(e)項に基づき一方の当事者が責任を負うことになった場合、当該当事者は、損害に対する他の当事者の責任に相当する補償部分について、他の当事者に求償できることに同意します。
  7. データ輸入者は、自己の責任を免れるためにサブ処理者の行為を援用することはできません。

第13条

監督

モジュール2：管理者から処理者への移転

  1. データ輸出者がEU加盟国に設立されている場合： 附属書I.Cに示されるとおり、当該データ移転に関して（EU）2016/679規則の遵守を確保する責任を有する監督当局が、管轄監督当局として行動するものとします。

    データ輸出者がEU加盟国に設立されていないが、（EU）2016/679規則第3条(2)に従い同規則の適用の territorial scope に該当し、かつ同規則第27条(1)に基づき代表者を任命している場合： 附属書I.Cに示されるとおり、（EU）2016/679規則第27条(1)にいう代表者が設立されている加盟国の監督当局が、管轄監督当局として行動するものとします。

    データ輸出者がEU加盟国に設立されていないが、（EU）2016/679規則第3条(2)に従い同規則の適用の territorial scope に該当する一方で、同規則第27条(2)により代表者を任命する必要がない場合： 附属書I.Cに示されるとおり、本条項に基づき個人データが移転されるデータ主体（当該データ主体に対する商品またはサービスの提供、または行動の監視に関連する）が所在する加盟国のいずれかの監督当局が、管轄監督当局として行動するものとします。

  2. データ輸入者は、本条項への準拠を確実にするためのあらゆる手続きにおいて、管轄の監督機関の管轄権に服し、かつ同機関に協力することに同意します。特に、データ輸入者は、照会への回答、監査への服従、および救済措置や補償措置を含む監督機関が採用した措置の遵守に同意します。また、必要な措置が講じられたことを示す書面による確認を監督機関に提供するものとします。

セクションIII － 公的機関によるアクセスの場合の現地法および義務

第14条

本条項の遵守に影響を及ぼす現地法および慣行

モジュール2：管理者から処理者への移転

  1. 両当事者は、データ輸入者による個人データの処理に適用される移転先第三国の法律および慣行（個人データの開示要件や公的機関によるアクセスを許可する措置を含む）が、データ輸入者による本条項に基づく義務の履行を妨げると信じる理由がないことを保証します。これは、基本的人権および自由の本質を尊重し、民主主義社会において規則（EU）2016/679第23条(1)に掲げられた目的のいずれかを守るために必要かつ均衡な範囲を超えない法律および慣行は、本条項に矛盾しないという理解に基づいています。
  2. 両当事者は、パラグラフ(a)の保証を提供するにあたり、特に以下の要素を正当に考慮したことを表明します。
    1. 処理チェーンの長さ、関与する主体の数、使用される送信チャネルを含む移転の特定の状況、予定されている再移転、受信者の種類、処理の目的、移転される個人データのカテゴリおよび形式、移転が行われる経済部門、移転データの保存場所。
    2. 移転の特定の状況に照らして関連する、移転先第三国の法律および慣行（公的機関へのデータの開示を要求するもの、または当該機関によるアクセスを許可するものを含む）、ならびに適用される制限および保護措置4。
    3. 送信中および移転先国での個人データの処理に適用される措置を含め、本条項に基づく保護措置を補完するために導入された、関連する契約上、技術上、または組織上の保護措置。
  3. データ輸入者は、パラグラフ(b)に基づく評価を実施する際、データ輸出者に関連情報を提供するために最善の努力を払ったことを保証し、本条項の遵守を確実にするために引き続きデータ輸出者と協力することに同意します。
  4. 両当事者は、パラグラフ(b)に基づく評価を文書化し、要請に応じて管轄の監督機関が利用できるようにすることに同意します。
  5. データ輸入者は、本条項に同意した後、契約期間中に、第三国の法律の変更や、実際にはパラグラフ(a)の要件に沿わない法律の適用を示す措置（開示要請など）があった場合を含め、パラグラフ(a)の要件に沿わない法律または慣行の対象となった、あるいは対象となる可能性があると信じる理由がある場合は、速やかにデータ輸出者に通知することに同意します。
  6. パラグラフ(e)に基づく通知があった場合、またはデータ輸出者がデータ輸入者はもはや本条項に基づく義務を履行できないと信じる理由が他にある場合、データ輸出者は、状況に対処するためにデータ輸出者および／またはデータ輸入者が採用すべき適切な措置（セキュリティと機密性を確保するための技術的または組織的措置など）を速やかに特定するものとします。データ輸出者は、当該移転に対して適切な保護措置を確保できないと判断した場合、または管轄の監督機関から指示された場合、データの移転を停止するものとします。この場合、データ輸出者は、本条項に基づく個人データの処理に関する限りにおいて、契約を解除する権利を有するものとします。契約に3名以上の当事者が関与している場合、当事者が別途合意しない限り、データ輸出者は関連する当事者に対してのみこの解除権を行使することができます。本条に基づき契約が解除された場合、第16条(d)および(e)が適用されるものとします。

4 本条項の遵守に対する当該法律および慣行の影響に関しては、総合的な評価の一環として、さまざまな要素を考慮することができます。そのような要素には、十分な代表性のある期間を対象とした、公的機関からの開示要請の過去の事例に関する関連性のある文書化された実務経験、またはそのような要請の不在が含まれる場合があります。これは特に、デューデリジェンスに従って継続的に作成され、上級管理職レベルで承認された内部記録またはその他の文書を指し、当該情報が合法的に第三者と共有できる場合に限られます。データ輸入者が本条項の遵守を妨げられないと結論付けるためにこの実務経験に依拠する場合、それは他の関連する客観的な要素によって裏付けられる必要があり、これらの要素が合わさって、この結論を裏付ける信頼性と代表性の観点から十分な重みを持つかどうかを慎重に検討するのは両当事者の責任です。特に、両当事者は、自らの実務経験が、同一セクター内での要請の有無や、判例や独立した監視機関による報告書など、公的に入手可能またはその他の方法でアクセス可能な信頼できる情報によって裏付けられており、矛盾していないかどうかを考慮しなければなりません。

第15条

公的機関によるアクセスの場合のデータ輸入者の義務

モジュール2：管理者から処理者への移転

15.1 通知

  1. データ輸入者は、以下の場合、速やかにデータ輸出者に、また可能な場合は（必要に応じてデータ輸出者の協力を得て）データ主体に通知することに同意します。
    1. 本条項に従って移転された個人データの開示について、移転先国の法律に基づき、司法機関を含む公的機関から法的拘束力のある要請を受けた場合。当該通知には、要請された個人データ、要請を行った機関、要請の法的根拠、および提供された回答に関する情報を含めるものとします。または、
    2. 移転先国の法律に従い、本条項に基づいて移転された個人データに対して公的機関が直接アクセスしたことを知った場合。当該通知には、輸入者が利用可能なすべての情報を含めるものとします。
  2. 移転先国の法律に基づき、データ輸入者がデータ輸出者および／またはデータ主体への通知を禁止されている場合、データ輸入者は、可能な限り多くの情報をできるだけ早く伝えるために、禁止の免除を得るよう最善の努力を払うことに同意します。データ輸入者は、データ輸出者の要請に応じて証明できるよう、その最善の努力を文書化することに同意します。
  3. 移転先国の法律で許可されている場合、データ輸入者は、契約期間中、定期的に、受け取った要請に関する可能な限り多くの関連情報（特に、要請の数、要請されたデータの種類、要請を行った機関、要請に対して異議申し立てが行われたかどうか、およびその結果など）をデータ輸出者に提供することに同意します。
  4. データ輸入者は、パラグラフ(a)から(c)に基づく情報を契約期間中保存し、要請に応じて管轄の監督機関が利用できるようにすることに同意します。
  5. パラグラフ(a)から(c)は、本条項を遵守できない場合に速やかにデータ輸出者に通知するという、第14条(e)および第16条に基づくデータ輸入者の義務を妨げるものではありません。

15.2 適法性の審査およびデータの最小化

  1. データ輸入者は、開示要請の適法性、特に要請を行った公的機関に与えられた権限の範囲内であるかどうかを審査し、慎重な評価の結果、移転先国の法律、国際法に基づく適用義務、および国際礼譲の原則に照らして要請が不法であると判断する合理的な根拠があると判断した場合には、要請に異議を申し立てることに同意します。データ輸入者は、同一の条件下で、上訴の可能性を追求するものとします。要請に異議を申し立てる際、データ輸入者は、管轄の司法機関が本案について決定を下すまで要請の効力を停止することを目的として、暫定措置を求めるものとします。データ輸入者は、適用される手続き規則に基づき要求されるまで、要請された個人データを開示してはなりません。これらの要件は、第14条(e)に基づくデータ輸入者の義務を妨げるものではありません。
  2. データ輸入者は、自らの法的評価および開示要請に対する異議申し立てを文書化し、移転先国の法律で許可されている範囲で、その文書をデータ輸出者が利用できるようにすることに同意します。また、要請に応じて管轄の監督機関も利用できるようにするものとします。
  3. データ輸入者は、開示要請に応じる際、要請の合理的な解釈に基づき、許容される最小限の情報を提供することに同意します。

第IV節 – 最終規定

第16条

本条項の不遵守および終了

  1. データ輸入者は、理由の如何を問わず、本条項を遵守できない場合は、直ちにデータ輸出者に通知するものとします。
  2. データ輸入者が本条項に違反している場合、または本条項を遵守できない場合、データ輸出者は、遵守が再び確保されるか契約が終了するまで、データ輸入者への個人データの移転を停止するものとします。これは第14条(f)を妨げるものではありません。
  3. データ輸出者は、本条項に基づく個人データの処理に関する限り、次の場合に契約を終了する権利を有するものとします。
    1. データ輸出者が(b)項に従ってデータ輸入者への個人データの移転を停止し、合理的な期間内、いかなる場合でも停止から1か月以内に本条項の遵守が回復されない場合。
    2. データ輸入者が本条項に対して重大または継続的な違反を行っている場合。
    3. データ輸入者が、本条項に基づく義務に関する管轄裁判所または監督当局の拘束力のある決定に従わない場合。
    これらの場合、データ輸出者は管轄の監督当局に当該不遵守について通知するものとします。契約に3名以上の当事者が関与する場合、当事者が別途合意しない限り、データ輸出者は関連する当事者に対してのみこの終了権を行使することができます。
  4. モジュール2の場合： (c)項に従った契約終了前に移転された個人データは、データ輸出者の選択により、直ちにデータ輸出者に返却されるか、または完全に削除されるものとします。データのコピーについても同様とします。

    データ輸入者は、データの削除をデータ輸出者に証明するものとします。データが削除または返却されるまで、データ輸入者は本条項の遵守を確保し続けるものとします。移転された個人データの返却または削除を禁止する現地法がデータ輸入者に適用される場合、データ輸入者は、本条項の遵守を確保し続けること、および当該現地法で義務付けられている範囲かつ期間に限りデータを処理することを保証します。

  5. いずれの当事者も、(i) 欧州委員会が、本条項が適用される個人データの移転を対象とする規則 (EU) 2016/679 第45条(3)に基づく決定を採択した場合、または (ii) 規則 (EU) 2016/679 が個人データの移転先国の法的枠組みの一部となった場合、本条項に拘束されることへの合意を撤回することができます。これは、規則 (EU) 2016/679 に基づき当該処理に適用される他の義務を妨げるものではありません。

第17条

準拠法

モジュール2：管理者から処理者への移転

本条項は、第三者の受益権を認めることを条件として、EU加盟国のいずれかの法律に準拠するものとします。当事者は、これがスペイン法であることに合意します。

第18条

裁判管轄および管轄権の選択

モジュール2：管理者から処理者への移転

  1. 本条項から生じる紛争は、EU加盟国の裁判所によって解決されるものとします。
  2. 当事者は、それがスペインの裁判所であることに合意します。
  3. データ主体は、自己の常居所がある加盟国の裁判所において、データ輸出者および／またはデータ輸入者に対して法的手続きを提起することもできます。
  4. 当事者は、当該裁判所の管轄権に服することに合意します。

付録

附属書 I

モジュール2：管理者から処理者への移転

A. 当事者リスト

データ輸出者： データ輸出者は、データ輸入者とサービス契約を締結したデータ管理者です。データ輸出者の名称および連絡先詳細は、本条項が拘束力のある一部を構成するサービス契約内に詳述されています。

データ輸入者：

名称：PEGASUS BUSINESS INTELLIGENCE LLP
住所：Two Lincoln Centre
5420 LBJ Freeway, Suite 900
Dallas, TX 75240
United States

データ輸入者は、米国に所在するホスピタリティ業界向けのB2B決済およびビジネスインテリジェンスソリューションの世界的な大手プロバイダーです。データ輸入者の連絡先詳細は、本条項が拘束力のある一部を構成するサービス契約内に詳述されています。

B. 移転の説明

モジュール2：管理者から処理者への移転

個人データが移転されるデータ主体のカテゴリー

ホテルの宿泊客およびデータ輸出者の連絡担当者。

移転される個人データのカテゴリー

ホテルの宿泊客の氏名および予約データ。

データ輸出者の連絡担当者の連絡先データ（メールアドレス、電話番号）。

移転される機密データ（該当する場合）、およびデータの性質と関連するリスク（例えば、厳格な目的制限、アクセス制限（専門的なトレーニングを受けたスタッフのみへのアクセスなど）、データへのアクセス記録の保持、転送の制限、または追加のセキュリティ対策など）を十分に考慮した適用制限または保護措置。

移転の頻度（例：データが単発で移転されるか、継続的に移転されるか）。

データは継続的に移転されます。

処理の性質ならびにデータ移転およびさらなる処理の目的

データ処理者が顧客のために展開する活動の文脈において、契約サービスを提供するためにアクセスが必要な場合、特定の個人データにアクセスすることがあります。

サービスの範囲は、データ輸入者とデータ輸出者の間で締結されたサービス契約に定められており、個人データは、それらのサービスを提供し、サービス契約および本条項の条件を遵守するために、データ輸入者によってデータ処理者として処理されます。

個人データが保持される期間、またはそれが不可能な場合は、その期間を決定するために使用される基準

個人データは、処理に関連する当該サービスの提供終了後、またはそれ以前に、データ管理者とデータ処理者の間で締結されたサービス契約に基づく当事者の義務を履行するためにデータ処理者による個人データの処理が不要になった時点で、データ輸出者の書面による要求に応じて削除または返却され、既存のコピーは安全に削除されます。

（再）処理者への移転については、処理の内容、性質、期間も指定してください

イタリアおよびインドで請求書を発行するために使用されるデータについて、データ処理者はSovosと連携し、すべての現地の規制要件が満たされていることを確認します。

Flexentialはデータセンタープラットフォームを提供し、クラウドベースのインフラストラクチャの一部ではないOnyxサービスに対してコロケーション災害復旧サービスを提供しています。米国の運用およびデータセンターはFlexentialによって完全に運営されており、EUベースのデータセンター施設はEquinixによって運営されています。

Amazon Web Services (AWS) は、プライベートクラウド環境 (VPC) でOnyxが提供するクラウド対応サービスの優先プラットフォームです。Microsoft Azureもクラウドサービスを提供していますが、InvoiceProサービスに限定されています。

上記の対象事項、性質、および期間について。

C. 管轄監督当局

モジュール2：管理者から処理者への移転

第13条に従って管轄監督当局を特定してください

スペインデータ保護局

附属書 II – データのセキュリティを確保するための技術的および組織的措置を含む、技術的および組織的措置

処理区域のアクセス制御

データ輸入者は、個人データが処理または使用されるデータ処理装置（ネットワーク機器、サーバー、および関連ハードウェア）に権限のない者がアクセスすることを防ぐために、以下を含む適切な措置を講じます。

  • セキュリティエリアの設置
  • アクセス経路の保護と制限
  • 従業員および第三者に対するアクセス権限の設定（それぞれの文書化を含む）
  • 個人データがホストされているデータセンターへのすべてのアクセスは、ログ記録、監視、および追跡されます。
  • 個人データがホストされているデータセンターは、セキュリティアラームシステムおよびその他の適切なセキュリティ対策によって保護されています。

データ処理システムへのアクセス制御

  • データ輸入者は、データ処理システムが権限のない者によって使用されることを防ぐために、以下を含む適切な措置を講じます。
  • 適切な暗号化技術の使用
  • データ輸入者／再処理者および処理システムに対する端末および／または端末ユーザーの識別
  • アイドル状態のままにされた場合のユーザー端末の自動一時ロックアウト、再開のための識別およびパスワードの要求
  • 誤ったパスワードが複数回入力された場合のユーザーIDの自動一時ロックアウト、イベントのログファイル、侵入試行の監視（アラート）。

データ処理システムの特定領域の使用に対するアクセス制御

データ輸入者／再処理者は、データ処理システムの使用を許可された者が、それぞれのアクセス許可（権限）の範囲内でのみデータにアクセスできること、および個人データが権限なしに読み取り、コピー、変更、または削除されないことを確約します。これは、以下を含む様々な措置によって達成されます。

  • 各従業員の個人データへのアクセス権に関する従業員ポリシーおよびトレーニング
  • 個人データを削除、追加、または変更する個人に関する監視機能
  • 差別化されたアクセス権とロールの割り当てを含む、権限のある者への限定的なデータの公開
  • 適切な暗号化技術の使用、およびファイルの制御、制御され文書化されたデータの破棄

可用性管理

データ輸入者は、個人データが偶発的な破壊や紛失から保護されることを確実にするために、以下を含む適切な措置を講じます。

  • インフラストラクチャの冗長化
  • バックアップは代替サイトに保存され、プライマリシステムの障害時に復元可能であること
  • フルサービスのフェイルオーバーのためのプライマリおよびセカンダリサイト

送信管理

データ輸入者は、個人データの送信中またはデータ媒体の輸送中に、権限のない第三者によって個人データが読み取られ、コピーされ、改ざんされ、または削除されることを防ぐために適切な措置を講じます。これは、以下を含む様々な措置によって達成されます。

  • データが通過するゲートウェイおよびパイプラインを保護するための、適切なファイアウォール、VPN、および暗号化技術の使用
  • 可能な限り、すべてのデータ送信はログ記録、監視、および追跡されます。

再処理者、ベンダーのアセスメント

データ輸入者は、すべての個人データがデータ輸入者のセキュリティポリシーに従って保護され、データ輸入者の情報セキュリティプログラムに準拠していることを確認するために、すべての再処理者およびベンダーを評価します。これには以下が含まれます。

  • リスクを特定するための年次のベンダーアセスメント
  • 認証を含むデータ保護措置

1. データセンターおよびネットワークセキュリティ

(a) データセンター

  • コロケーション (colo)：データ輸入者は、データセンター施設のホスティングに第三者を利用しています。コロケーションサービスは、インフラストラクチャを保護するための冗長化された電源および冷却リソースに加えて、安全な物理サーバーハウジングおよびネットワーク接続を提供します。
  • インフラストラクチャ：データ輸入者は、地理的に分散されたデータセンターを維持しています。データ輸入者は、すべての本番データを物理的に安全なデータセンターに保存します。
  • 冗長性：インフラストラクチャシステムは、単一障害点を排除し、予想される環境リスクの影響を最小限に抑えるように設計されています。デュアル回路、スイッチ、ネットワーク、またはその他の必要なデバイスが、この冗長性の提供を支援します。本サービスは、データ輸入者が中断することなく特定の種類の予防的および是正的なメンテナンスを実行できるように設計されています。すべての環境機器および施設には、メーカーの仕様または内部仕様に従った実施プロセスと頻度を詳述した、文書化された予防メンテナンス手順があります。
  • 電源：データセンターの電気系統は、継続的な運用に影響を与えることなく、24時間365日維持できるように冗長設計されています。ほとんどの場合、データセンター内の重要なインフラコンポーネントには、同等の容量を持つプライマリ電源と代替電源の両方が提供されます。バックアップ電源は、無停電電源装置 (UPS) バッテリーなどの様々なメカニズムによって提供され、商用電源の電圧低下、停電、過電圧、不足電圧、および許容範囲外の周波数状態において、一貫して信頼性の高い電力保護を提供します。商用電源が遮断された場合、バックアップ電源は、ディーゼル発電機システムが引き継ぐまで、フル容量でデータセンターに一時的な電力を供給するように設計されています。ディーゼル発電機は数秒以内に自動的に起動し、通常数日間、データセンターをフル容量で稼働させるのに十分な非常用電力を供給することができます。
  • 事業継続性：データ輸入者は、偶発的な破壊や紛失から保護するために、複数のシステムにデータを複製しています。データ輸入者は、事業継続計画／災害復旧プログラムを策定し、定期的に計画およびテストを行っています。

(b) ネットワークと送信

  • データ送信：データセンター間での安全かつ高速なデータ転送を提供するために、データセンターは通常、高速プライベートリンクを介して接続されています。これは、電子的な転送または輸送中に、権限なしにデータが読み取られ、コピーされ、改ざんされ、または削除されることを防ぐように設計されています。拠点とデータセンター間の専用リンクはSD-WANを使用して提供されます。データ輸入者はインターネット標準プロトコルを介してデータを転送します。
  • 外部攻撃面：データ輸入者は、外部攻撃面を保護するために、多層のネットワークデバイスと侵入検知を採用しています。データ輸入者は潜在的な攻撃ベクトルを考慮し、外部に面したシステムに適切な専用技術を組み込んでいます。
  • 侵入検知：侵入検知は、進行中の攻撃活動に関する洞察を提供し、インシデントに対応するための適切な情報を提供することを目的としています。データ輸入者の侵入検知には、予防措置を通じてデータ輸入者の攻撃面のサイズと構成を厳密に制御すること、およびデータ入力ポイントでインテリジェントな検知コントロールを採用することが含まれます。
  • インシデント対応：データ輸入者は、セキュリティインシデントについて様々な通信チャネルを監視しており、データ輸入者のセキュリティ担当者は既知のインシデントに対して迅速に対応します。
  • 暗号化技術：データ輸入者は、転送中のデータの暗号化にHTTPS暗号化（TLS接続とも呼ばれる）を利用可能にしており、業界のベストプラクティス構成（暗号）およびプロトコルが使用され、適切に構成されています。FTPを使用してデータが転送される場合は、安全なチャネル（SFTPまたはFTPS）が使用されます。
  • アプリケーションセキュリティ：データ輸入者は、Open Web Application Security Project (OWASP) および Microsoft Security Development Lifecycle に基づいた安全な開発プログラムを策定し、実施しています。完了後、機密性の高い製品開発は、アプリケーションセキュリティが徹底的かつ適切に対処されていることを確認するためにテストされます。
  • ペネトレーションテストによる脆弱性監視：データ輸入者は、認定された完全に独立した情報セキュリティ会社によって実施される情報セキュリティペネトレーションテストを、少なくとも年2回実施しています。データ輸入者は、サードパーティ製ツールを使用した脆弱性アセスメントスキャンを少なくとも月に1回、および本番環境における主要なインフラ変更後に実施しています。

2. アクセスおよびサイト管理

(a) サイト管理

  • オンサイトデータセンターセキュリティ運用：データ輸入者のデータセンターは、24時間365日、すべての物理的なデータセンターセキュリティ機能を担当するオンサイトセキュリティ運用を維持しています。オンサイトセキュリティ運用の担当者は、閉回路テレビ (CCTV) カメラおよびすべての警報システムを監視します。オンサイトセキュリティ運用の担当者は、データセンターの内部および外部のパトロールを定期的に行っています。
  • データセンターアクセス手順：データ輸入者は、データセンターへの物理的なアクセスを許可するための正式なアクセス手順を維持しています。データセンターは、電子カードキーによるアクセスを必要とする施設に収容されており、オンサイトセキュリティ運用にリンクされたアラームが設置されています。データセンターへのすべての入場者は、身元を明らかにするとともに、オンサイトセキュリティ運用に対して身分証明書を提示する必要があります。許可された従業員、請負業者、および訪問者のみがデータセンターへの入場を許可されます。許可された従業員および請負業者のみが、これらの施設への電子カードキーによるアクセスを要求することを許可されます。データセンターの電子カードキーによるアクセス要求は、電子メールで行う必要があり、データセンターマネージャーの承認が必要です。一時的なデータセンターアクセスを必要とするその他のすべての入場者は、(i) 訪問を希望する特定のデータセンターおよび内部エリアについて、データセンターマネージャーから事前に承認を得ること、(ii) オンサイトセキュリティ運用でサインインすること、および (iii) その個人が承認されていることを示す承認済みのデータセンターアクセス記録を参照すること、が必要です。
  • オンサイトデータセンターセキュリティデバイス：データ輸入者のデータセンターは、システムアラームにリンクされた電子カードキーおよびバイオメトリックアクセス制御システムを採用しています。アクセス制御システムは、各個人の電子カードキーと、外周ドア、出荷および受領、およびその他の重要なエリアにいつアクセスしたかを監視および記録します。不正な活動やアクセス試行の失敗は、アクセス制御システムによってログ記録され、必要に応じて調査されます。業務運営およびデータセンター全体にわたる許可されたアクセスは、ゾーンおよび個人の職責に基づいて制限されています。データセンターの防火扉にはアラームが設置されています。CCTVカメラはデータセンターの内外で稼働しています。カメラの配置は、外周、データセンタービルへのドア、出荷／受領などの戦略的なエリアをカバーするように設計されています。オンサイトセキュリティ運用の担当者が、CCTVの監視、記録、および制御機器を管理しています。データセンター全体の安全なケーブルがCCTV機器を接続しています。カメラはデジタルビデオレコーダーを介して、24時間365日オンサイトで記録しています。監視記録は、活動およびコンプライアンス要件に基づき、最低30日間保持されます。

(b) アクセス制御

  • インフラストラクチャセキュリティ担当者：データ輸入者は、その担当者のためのセキュリティポリシーを策定・維持しており、担当者のためのトレーニングパッケージの一部としてセキュリティトレーニングを義務付けています。データ輸入者のインフラストラクチャおよびセキュリティ担当者は、データ輸入者のセキュリティインフラストラクチャの継続的な監視、本サービスのレビュー、およびセキュリティインシデントへの対応を担当しています。
  • アクセス制御および特権管理：データ輸出者の管理者は、本サービスを管理するために、中央認証システムまたはシングルサインオンシステムを介して自身を認証する必要があります。
  • 内部データアクセスプロセスおよびポリシー：データ輸入者の内部データアクセスプロセスおよびポリシーは、権限のない個人および／またはシステムが個人データの処理に使用されるシステムにアクセスすることを防ぐように設計されています。データ輸入者は、(i) 許可された者のみがアクセスを許可されたデータにアクセスできるようにすること、および (ii) 処理中、使用中、および記録後に、個人データが権限なしに読み取り、コピー、改ざん、または削除されないことを確実にするようにシステムを設計しています。システムは、不適切なアクセスを検知するように設計されています。データ輸入者は、本番サーバーへの担当者のアクセスを制御するために集中型アクセス管理システムを採用しており、限られた数の許可された担当者にのみアクセスを提供しています。Active Directory、LDAP、および Kerberos は、データ輸入者に安全で柔軟なアクセス機能を提供するように設計されています。これらの機能は、サイトホスト、ログ、データ、および構成情報に対して、承認されたアクセス権のみを付与するように設計されています。データ輸入者は、不正なアカウント使用の可能性を最小限に抑えるために、一意のユーザーID、強力なパスワード、および必要に応じて二要素認証の使用を義務付けています。アクセス権の付与または変更は、許可された担当者の職責、許可されたタスクを実行するために必要な職務要件、および「知る必要性 (need to know)」の原則に基づいています。アクセス権の付与または変更は、データ輸入者の内部データアクセスポリシーおよびトレーニングにも従う必要があります。承認は、すべての変更の監査記録を維持するワークフローツールによって管理されます。システムへのアクセスは、説明責任のための監査証跡を作成するためにログ記録されます。認証にパスワードが使用される場合（例：ワークステーションへのログイン）、少なくとも業界標準の慣行に従ったパスワードポリシーが実施されます。これらの標準には、パスワードの再利用の制限や十分なパスワード強度が含まれます。

3. データの保管および廃棄

(a) データの保管

データ輸入者は、データ輸入者が管理する専用サーバー上のマルチテナント環境にデータを保管します。データおよびファイルシステムのアーキテクチャは、地理的に分散された複数のデータセンター間で複製されます。データ輸入者は保管中のすべてのデータを暗号化し、データ輸出者のデータを論理的に分離します。また、データ輸出者には特定のデータ共有ポリシーに対する制御権が与えられます。

(b) データの廃棄

データを含むディスクは、パフォーマンスの問題、エラー、またはハードウェアの故障が発生し、廃棄される場合があります。廃棄されるすべてのディスクは、再利用または破壊のためにデータ輸入者の敷地を離れる前に、一連のデータ破壊プロセスに付されます。廃棄ディスクは多段階のプロセスで消去され、完了が確認されます。消去結果は、追跡のために廃棄ディスクのシリアル番号によってログ記録されます。

4. 人的セキュリティ

データ輸入者の担当者は、機密保持、企業倫理、適切な使用、および専門的基準に関する会社のガイドラインに沿った方法で行動することが求められます。データ輸入者は、法的に許容される範囲内で、かつ適用される現地の労働法および法定規則に従って、合理的に適切なバックグラウンドチェックを実施します。

担当者は機密保持契約を締結する必要があり、データ輸入者のセキュリティおよびプライバシーポリシーの受領と遵守を認めなければなりません。担当者にはセキュリティトレーニングが提供されます。顧客データを扱う担当者は、その役割に応じた追加の要件を完了する必要があります。データ輸入者の担当者は、許可なく顧客データを処理することはありません。

5. 再処理者のセキュリティ

再処理者を採用する前に、データ輸入者は再処理者のセキュリティおよびプライバシー慣行の監査を実施し、再処理者がデータへのアクセスおよび提供を依頼されたサービスの範囲に適したレベルのセキュリティおよびプライバシーを提供していることを確認します。

附属書 III – 再処理者リスト

Sovos: Sovosは、イタリアおよびインドへのOnyx InvoicePro CTCプロセスの請求書発行を可能にしています。

Kurt D. Ring
Global Alliances Manager | Sovos Compliance
O: 978.527.1276 | M: 617.877.2115
200 Ballardvale Street, Building 1, 4th Floor, Wilmington MA 01887

Flexential: Flexentialはデータセンタープラットフォームを提供し、コロケーション災害復旧サービスを提供しています。

Derek Sieburg | Sr. Customer Success Manager | Flexential
O:720.354.3758|[email protected]|www.flexential.com [email protected]
宛先: Privacy & Security Officer, Flexential Corp., 8809 Lenox Pointe Drive, Suite G, Charlotte, NC 28273
https://www.flexential.com/flexential-gdpr-policy-statement

Equinix: Equinixは、Flexentialが提供するEU所在のサービス向けにデータセンター施設およびインフラストラクチャを提供しています。

[email protected] +1.866.977.3749
https://www.equinix.nl/about/legal/privacy

Amazon Web Services (AWS): AWSは、Onyxが提供するクラウド対応サービスの優先プラットフォームです。詳細については、AWSサービス規約に組み込まれているAWS GDPR DPAを参照してください。

https://aws.amazon.com/privacy/

Microsoft Azure: Azureは、Onyx InvoiceProフロントエンドをホストするためのクラウドサービスを提供しています。詳細については、Microsoftオンラインサービスデータ保護補足資料を参照してください。

Microsoft Corporation
宛先: Chief Privacy Officer
1 Microsoft Way
Redmond, WA 98052 USA

EU委員会標準契約条項への国際データ移転補足資料

第1部：表

表1：当事者

開始日 データ処理補足資料の発効日
当事者 輸出者（制限された移転を送信する者） 輸入者（制限された移転を受信する者）
当事者の詳細 付録1、附属書1、セクションAを参照 付録1、附属書1、セクションAを参照
主な連絡先 付録1、附属書1、セクションAを参照 付録1、附属書1、セクションAを参照
署名（第2条の目的で必要な場合） 発効日におけるデータ処理補足資料の締結は、本補足資料の締結とみなされます 発効日におけるデータ処理補足資料の締結は、本補足資料の締結とみなされます

表2：選択されたSCC、モジュールおよび選択された条項

補足資料EU SCC 本補足資料が添付されている承認済みEU SCCのバージョン（以下に詳述、付録情報を含む）：

日付：データ処理補足資料の発効日
参照（ある場合）：なし
その他の識別子（ある場合）：なし

表3：付録情報

「付録情報」とは、承認済みEU SCCの付録（当事者以外）に定められた選択されたモジュールに対して提供されなければならない情報を意味し、本補足資料については以下に定められています。

附属書 1A：当事者リスト：付録1、附属書1、セクションAを参照

附属書 1B：移転の説明：付録1、附属書1、セクションBを参照

附属書 II：データのセキュリティを確保するための技術的および組織的措置を含む、技術的および組織的措置：付録1、附属書IIを参照

附属書 III：再処理者リスト（モジュール2および3のみ）：付録1、附属書IIIを参照

表4：承認済み補足資料が変更された際の本補足資料の終了

承認済み補足資料が変更された際の本補足資料の終了 第19条に定められている通り、いずれの当事者が本補足資料を終了できるか：

☐ 輸入者
☐ 輸出者
☐ いずれの当事者も不可

第2部：義務的条項

本補足資料の締結

  1. 各当事者は、他方の当事者も本補足資料に拘束されることに合意することと引き換えに、本補足資料に定められた条件に拘束されることに合意します。
  2. 承認済みEU SCCの附属書1Aおよび第7条では当事者による署名が求められていますが、制限された移転を行う目的において、当事者は、当事者に対して法的拘束力を持ち、データ主体が本補足資料に定められた権利を行使できるような任意の方法で本補足資料を締結することができます。本補足資料を締結することは、承認済みEU SCCおよび承認済みEU SCCのいかなる部分に署名することと同じ効果を持ちます。

本補足資料の解釈

  1. 本補足資料において承認済みEU SCCで定義されている用語が使用されている場合、それらの用語は承認済みEU SCCと同じ意味を持つものとします。さらに、以下の用語は以下の意味を持ちます。
補足資料 補足資料EU SCCを組み込んだ本補足資料で構成される、この国際データ移転補足資料。
補足資料EU SCC 表2に定められている、付録情報を含む、本補足資料が添付されている承認済みEU SCCのバージョン。

補足資料EU SCCは、データ処理補足資料の付録1に含まれています。
付録情報 表3に定められている通り。
適切な保護措置 英国GDPR第46条(2)(d)に基づく標準データ保護条項に依拠して制限された移転を行う際に、英国データ保護法によって求められる、個人データの保護およびデータ主体の権利に関する保護基準。
承認済み補足資料 2018年データ保護法第119A条に従って2022年1月28日に議会に提出され、ICOによって発行された補足資料のテンプレート（第18条に基づき改訂されたものを含む）。
承認済みEU SCC 2021年6月4日の欧州委員会実施決定 (EU) 2021/914 の附属書に定められた標準契約条項。
ICO 情報コミッショナー。
制限された移転 英国GDPR第V章の対象となる移転。
英国 グレートブリテンおよび北アイルランド連合王国。
英国データ保護法 英国GDPRおよび2018年データ保護法を含む、英国で随時施行されている、データ保護、個人データの処理、プライバシーおよび／または電子通信に関するすべての法律。
英国GDPR 2018年データ保護法第3条で定義されている通り。
  1. 本補足資料は、常に英国データ保護法と整合し、適切な保護措置を提供するという当事者の義務を果たすように解釈されなければなりません。
  2. 補足資料EU SCCに含まれる規定が、承認済みEU SCCまたは承認済み補足資料の下で許可されていない方法で承認済みSCCを修正する場合、当該修正は本補足資料には組み込まれず、承認済みEU SCCの同等の規定がそれに代わるものとします。
  3. 英国データ保護法と本補足資料との間に矛盾または抵触がある場合は、英国データ保護法が適用されます。
  4. 本補足資料の意味が不明確であるか、複数の意味がある場合は、英国データ保護法に最も密接に一致する意味が適用されます。
  5. 法律（または法律の特定の規定）への言及は、時間の経過とともに変更される可能性のある当該法律（または特定の規定）を意味します。これには、本補足資料の締結後に当該法律（または特定の規定）が統合、再制定、および／または置換された場合が含まれます。

優先順位

  1. 承認済みEU SCCの第5条では、承認済みEU SCCが当事者間のすべての関連合意に優先すると定められていますが、当事者は、制限された移転については、第10条の優先順位が優先されることに合意します。
  2. 承認済み補足資料と補足資料EU SCC（該当する場合）との間に矛盾または抵触がある場合、補足資料EU SCCの矛盾または抵触する条項がデータ主体に対してより手厚い保護を提供する場合を除き、承認済み補足資料が補足資料EU SCCに優先するものとし、その場合は当該条項が承認済み補足資料に優先するものとします。
  3. 本補足資料に、一般データ保護規則 (EU) 2016/679 の対象となる移転を保護するために締結された補足資料EU SCCが組み込まれている場合、当事者は、本補足資料のいかなる内容もそれらの補足資料EU SCCに影響を与えないことを認めます。

EU SCCの組み込みおよび変更

  1. 本補足資料には、以下のようになるよう必要な範囲で修正された補足資料EU SCCが組み込まれています。
    1. データ輸出者によるデータ移転の際に英国データ保護法がデータ輸出者の処理に適用される範囲において、それらが一体となってデータ輸出者からデータ輸入者へのデータ移転のために機能し、それらのデータ移転に対して適切な保護措置を提供すること。
    2. 第9条から第11条が、補足資料EU SCCの第5条（優先順位）に優先すること。
    3. スコットランドまたは北アイルランドの法律および／または裁判所が当事者によって明示的に選択されていない限り、本補足資料（これに組み込まれた補足資料EU SCCを含む）は、(1) イングランドおよびウェールズの法律に準拠し、(2) これから生じる紛争はイングランドおよびウェールズの裁判所によって解決されること。
  2. 当事者が第12条の要件を満たす代替の修正に合意しない限り、第15条の規定が適用されます。
  3. 第12条の要件を満たすための修正を除き、承認済みEU標準契約条項（SCC）への修正は行われません。
  4. （第12条の目的において）補遺EU標準契約条項（SCC）に対して以下の修正が行われます。
    1. 「本条項」への言及は、補遺EU標準契約条項（SCC）を組み込んだ本補遺を意味します。
    第2条において、以下の文言を削除します。

    「および、管理者から処理者へのデータ転送、および／または処理者から処理者へのデータ転送に関しては、規則 (EU) 2016/679 第28条(7)に基づく標準契約条項」

    1. 第6条（転送の説明）は以下に置き換えられます。

    「転送の詳細、特に転送される個人データのカテゴリーおよび転送の目的は、当該転送を行う際のデータ輸出者の処理に英国データ保護法が適用される場合、附属書 I.B に規定されるものとします。」

    1. モジュール1の第8.7条(i)は以下に置き換えられます。

    「それが、その後の転送を対象とする英国GDPR第17A条に基づく十分性認定の恩恵を受ける国への転送である場合」

    1. モジュール2および3の第8.8条(i)は以下に置き換えられます。

    「その後の転送が、その後の転送を対象とする英国GDPR第17A条に基づく十分性認定の恩恵を受ける国への転送である場合」

    1. 「規則 (EU) 2016/679」、「個人データの処理に係る自然人の保護及び当該データの自由な移動に関する2016年4月27日の欧州議会及び理事会規則 (EU) 2016/679（一般データ保護規則）」、および「当該規則」への言及は、すべて「英国データ保護法」に置き換えられます。「規則 (EU) 2016/679」の特定の条文への言及は、英国データ保護法の対応する条文またはセクションに置き換えられます。
    2. 規則 (EU) 2018/1725 への言及は削除されます。
    3. 「欧州連合」、「連合」、「EU」、「EU加盟国」、「加盟国」、および「EUまたは加盟国」への言及は、すべて「英国」に置き換えられます。
    4. モジュール1の第10条(b)(i)における「第12条(c)(i)」への言及は、「第11条(c)(i)」に置き換えられます。
    5. 第13条(a)および附属書 I のパートCは使用されません。
    6. 「管轄監督当局」および「監督当局」は、いずれも「情報コミッショナー」に置き換えられます。
    7. 第16条(e)において、項(i)は以下に置き換えられます。

    「国務大臣が、これらの条項が適用される個人データの転送を対象とする、2018年データ保護法第17A条に基づく規則を制定する場合」

    1. 第17条は以下に置き換えられます。

    「本条項は、イングランドおよびウェールズの法律に準拠します。」

    1. 第18条は以下に置き換えられます。

    「本条項から生じる紛争は、イングランドおよびウェールズの裁判所によって解決されるものとします。データ主体は、英国のいずれかの国の裁判所において、データ輸出者および／またはデータ輸入者に対して法的訴訟を提起することもできます。当事者は、当該裁判所の管轄権に服することに同意します。」

    1. 脚注8、9、10、および11を除き、承認済みEU標準契約条項（SCC）の脚注は本補遺の一部を構成しません。

本補遺の修正

  1. 当事者は、スコットランドまたは北アイルランドの法律および／または裁判所に言及するように、補遺EU標準契約条項（SCC）の第17条および／または第18条を変更することに合意できます。
  2. 当事者が承認済み補遺の「パート1：表」に含まれる情報の形式を変更することを希望する場合、その変更が適切な保護措置を軽減しないことを条件として、書面による変更に合意することで変更できます。
  3. ICOは、随時、以下の目的で改訂された承認済み補遺を発行することがあります。
    1. 承認済み補遺の誤りの訂正を含む、承認済み補遺に対する合理的かつ均衡のとれた変更を行う。および／または
    2. 英国データ保護法の変更を反映する。
    改訂された承認済み補遺には、承認済み補遺への変更が有効になる開始日、および当事者が付録情報を含む本補遺を見直す必要があるかどうかが指定されます。本補遺は、指定された開始日から、改訂された承認済み補遺に定められた通りに自動的に修正されます。
  4. ICOが第18条に基づき改訂された承認済み補遺を発行した場合、表4「承認済み補遺が変更された際の本補遺の終了」で選択されたいずれかの当事者が、承認済み補遺の変更の直接的な結果として、以下において実質的、不均衡、かつ証明可能な増加を被る場合：
    1. 本補遺に基づく義務を履行するための直接的なコスト。および／または
    2. 本補遺に基づくリスク。
    かつ、いずれの場合も、当該当事者がまずそれらのコストまたはリスクを実質的かつ不均衡でない程度に軽減するための合理的な措置を講じた場合、当該当事者は、改訂された承認済み補遺の開始日前に、合理的な予告期間を定めて他方の当事者に書面で通知することにより、当該予告期間の終了時に本補遺を終了させることができます。
  5. 当事者が本補遺を変更するために第三者の同意を得る必要はありませんが、いかなる変更もその条項に従って行われなければなりません。

代替パート2 必須条項：

必須条項 承認済み補遺のパート2：必須条項。これは、ICOによって発行され、2022年1月28日に2018年データ保護法第119A条に従って議会に提出されたテンプレート補遺B.1.0であり、当該必須条項の第18条に基づいて改訂されたものです。