データ処理契約
このデータ処理契約（「DPA」）は、顧客とAdaptyの間で締結されるAdaptyサービス利用規約（以下に定義される）の一部を形成し、顧客の使用およびAdaptyのサービス提供を規定します。
顧客とAdaptyは、以下で「当事者」および個別に「当事者」と呼ばれます。当事者の詳細は、スケジュール1に記載されています。
Adaptyサービス利用規約の条項と矛盾または不一致がある場合、このDPAがそのような矛盾または不一致の範囲内で他の条項に優先します。
ここに定義されていない大文字の用語は、Adaptyサービス利用規約にて与えられた意味を持つものとします。
背景
このDPAは、すべてのスケジュールを含み、Adaptyが顧客を代表して処理する個人データに関する当事者のデータ保護義務を、スケジュール1に従って適用されるプライバシー法に基づいて特定します。
1. 定義
1.1. Adapty 利用規約とは、https://adapty.io/terms/ にある利用規約、または顧客とAdaptyの間の他の文書または電子契約を意味します。
1.2. 適用されるプライバシー法は、個人データの収集、使用、転送、開示を規制する政府機関によって発行されたすべての法律、法令、規則、条例、コード、ルール、ガイダンス、命令、またはその他の法的権利を意味します。
1.3. データ管理者とは、個人データの処理の目的および手段を決定する自然人または法人、または個人データの処理に関して意思決定を行う責任のある主体を意味します。
1.4. データ処理者とは、管理者の代理で個人データを処理する自然人または法人、または他の団体を意味します。
1.5. データ主体の要求は、このDPAの条項3.2で与えられた意味を持ちます。
1.6. データ主体とは、個人データが関連する直接または間接的に識別された、または識別可能な個人を意味します。
1.7. GDPRとは、個人データの処理に関する自然人の保護およびそのようなデータの自由な移動に関するEUの欧州議会および理事会の規則No. 2016/679を意味し、指令95/46/ECを廃止します。
1.8. UK GDPRとは、英国の法律の一部として形成される一般データ保護規則（(EU) 2016/679）（EU GDPR）の保持されたEU法バージョンを意味し、2018年の欧州連合（離脱）法のセクション3および2019年のデータ保護、プライバシーおよび電子通信（改正等）（EU離脱）規則（SI 2019/419）のスケジュール1によって修正されます。
1.9. 個人データとは、識別された、または識別可能な自然人に関連する情報であり、顧客が提供する適用されるプライバシー法によって規制され、識別された、または識別可能な個人に関する情報を含みます。
1.10 個人データの侵害は、このDPAの条項6.1で与えられた意味を持ちます。
1.11. 処理、プロセス、およびプロセスは、個人データの使用を含む任意の活動を意味するか、または適用されるプライバシー法によって処理、プロセス、またはプロセスと定義されるものを意味します。これには、個人データまたは個人データのセットに対して実行される任意の操作または操作のセットが含まれ、自動手段によるかどうかにかかわらず、収集、記録、組織、構造化、保存、適応または変更、検索、相談、使用、送信、配布、またはその他の方法での利用可能にすること、整合または結合、制限、削除、または破壊を含みます。処理には、個人データを第三者に転送することも含まれます。
1.12. 標準契約条項（SCC）とは、欧州委員会によって承認された標準契約条項を意味します（欧州委員会によって随時更新、改正、置き換え、または上書きされます）。欧州委員会が標準契約条項を改正または新しい標準契約条項で置き換えた場合、関連する監督機関がそのような改正または新しい標準契約条項の使用を承認する範囲内で、ここにおける「標準契約条項」への言及は、その改正または新しい標準契約条項を参照するものとして解釈されます。
1.13. サブプロセッサとは、Adaptyによって関与される第三者データ処理者を意味し、個人データにアクセスするか、または処理する可能性があります。
1.14. サブプロセッサ変更通知は、このDPAの条項4.1で与えられた意味を持ちます。
2. 個人データの処理
2.1. 当事者の役割。 当事者は、個人データの処理に関して、顧客がコントローラーであり、Adaptyがプロセッサーであることを確認し、同意します。
2.2. データ処理の詳細。 個人データの処理の対象、期間、性質および目的、ならびに個人データの種類とデータ主体のカテゴリは、スケジュール1に記載されています。
2.3. 処理の範囲。 Adaptyは、顧客の文書化された合理的かつ慣習的な指示に基づいて設定された範囲を超えた個人データの処理を控えなければなりません。これは、Adaptyのサービス利用規約またはこのDPAに記載されています。ただし、Adaptyが適用される法律により要求される処理は除きます。
2.4. 顧客の指示。 個人データの処理に関する顧客の指示は、適用されるプライバシー法に準拠する必要があります。顧客は、個人データの正確性、品質、および合法性に対して単独で責任を負うものとし、顧客が個人データを取得する手段についても責任を負います。制限なく、顧客は、Adaptyのサービス利用規約およびこのDPAの条件に従って個人データの処理を可能にするための適切な合法的根拠と権利を有していることを確認し、同意するものとします。顧客は、サービスの利用がいかなるデータ主体の権利を侵害しないことを特に認め、同意するものとします。
2.5. 処理の法的根拠。 顧客は、Adaptyのサービスが顧客によって取得される法的根拠に依存し、その法的根拠にAdaptyが依存することを確認し、同意します。顧客は、そのような合法的根拠が存在することを表明します。
2.6. 子供のプライバシー。 子供の個人データを処理する場合（適用されるプライバシー法に記載されている通り）、顧客は、子供を保護するために設計されたプラットフォームポリシー、規制、および適用されるプライバシー法によって定められた追加の要件に従う義務があります。これらの法律の中には、COPPAのように特に子供に焦点を当てたものと、GDPRおよび類似の地域法のように子供に対して特定の保護を含む幅広いものがあります。
3. データ主体のリクエスト
3.1. データ主体リクエストへの対応。 顧客は、適用されるプライバシー法に基づくデータ主体の権利を行使するリクエストに関する法的義務の遵守について単独で責任を負うものとします。両当事者は、Adaptyがデータ主体リクエストに応じる能力を持たないことを認めます。
3.2. データ主体のリクエスト。 Adaptyは、法的に許可される範囲で、データ主体からデータ主体の権利を行使するためのリクエストを受け取った場合、直ちに顧客に通知します（各々を「データ主体リクエスト」といいます）。
データ主体の権利の実施における協力。Adaptyは、顧客がデータに応じるために必要な適切な技術的および組織的措置を含む合理的かつ迅速な支援を提供します。
3.3. リクエストへの対応。 顧客がリクエストに応じるためにAdaptyに支援を依頼した場合、Adaptyは、法的に許可されている範囲内で、商業的に合理的な努力をもって顧客への支援を行います。
3.4. 費用。 法的に許可される範囲内で、顧客はAdaptyのそのような支援に関連する費用、追加機能の提供に関連する手数料を含めて責任を負うものとします。その場合、Adaptyはこれらの費用をあらかじめ顧客に通知します。
4. サブプロセッシング
4.1. サブプロセッサの任命。 顧客は、AdaptyがこのセクションおよびDPAの制限に従ってサブプロセッサを任命することを許可します。顧客は、Adaptyが顧客の事前の同意なしにサブプロセッサを採用できることを認識し、同意します。第三者のサブプロセッサに個人データを処理させることを許可する条件として、Adaptyは、各サブプロセッサとの間で、DPAにおける個人データと同等の保護レベルを提供するデータ保護義務を含む書面による契約を締結します。Adaptyは、サブプロセッサの追加または交換に関する意図された変更について、サブプロセッサの変更（「サブプロセッサ変更通知」）の前に顧客に書面で通知します。顧客は、DPAの条項4.2に基づいて、サブプロセッサの変更に異議を唱えることができます。
4.2. 現在のサブプロセッサリスト。 Adaptyが処理に関与する現在のサブプロセッサリストは、DPAの付属書3に提供されています。サブプロセッサの追加または交換に関する変更から10日以内に、AdaptyはDPAに対するサブプロセッサのリストを更新します。
4.3. 責任。 各サブプロセッサに関して、Adaptyは以下を行います: (i) DPAが要求する個人データの保護レベルを提供することにコミットしていることを確認するために、合理的な手段を講じ、(ii) サブプロセッサがその義務を果たさない場合、顧客に対してサブプロセッサのデータ保護義務の履行に完全に責任を負うものとします。
4.4. サブプロセッサへの異議権。 顧客は、サブプロセッサの追加または交換に関するAdaptyの意図された変更に合理的に異議を唱えることができます（例: サブプロセッサに個人データを提供することが適用されるデータ保護法に違反する可能性がある場合や、そのような個人データの保護が弱まる場合など）、サブプロセッサ変更通知を受け取った後10日以内にAdaptyに書面で迅速に通知することによって。顧客の通知には、異議の合理的な根拠を説明する必要があります。
顧客がその異議をAdaptyに通知した場合、当事者は誠実に問題を話し合い、商業上合理的な解決を目指します。もしそのような異議が15日以内に解決できない場合、適切に処理を続行できないため、AdaptyはこのDPAに基づくさらなる処理を拒否し、責任を負うことなくAdaptyのサービス利用規約を終了する権利を有します。
5. クロスボーダーの個人データの転送
5.1. EUからの移転。 個人データの処理がGDPRによって保護されている限り、当事者はここに、当該移転がSCCの適用を受けることに同意し、これは本DPAに参照として組み込まれ、不可欠な部分を構成します。SCCのオプションおよび付属書は、本DPAの付録4に基づいて記入されるものとします。
5.2. スイスからの移転。 個人データの処理が1992年6月19日のスイス連邦データ保護法（「FADP」）によって保護されている限り、当事者はここに、当該移転がSCCの適用を受け、SCCがスイスの法律に準拠し、したがってスイスから第三国へのデータ移転に対して適切な保護レベルを確保するために必要な適応を行うことに同意します。適応のリストは、個人データの不十分な保護レベルの国への移転の第4.3条に記載されています。これは、2021年8月27日付の標準契約条項およびモデル契約に基づくもので、連邦データ保護および情報委員会によって認められています（https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.htmlで利用可能）。ケース2のオプション2が適用されます。
5.3. 英国からの移転。 個人データの処理がUK GDPRによって保護されている限り、当事者はここに、国際データ移転のための欧州委員会の標準契約条項に対する国際データ移転附則の適用を受けることに同意します（https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdfにて入手可能な引用された、修正、または更新されたものとして、英国情報コミッショナー事務所、国会、または国務大臣によって採用された）。
6. 技術的および組織的措置
6.1. 技術的および組織的措置。 Adaptyは、適切なセキュリティ、機密性および個人データの整合性を確保するために、適切な技術的および組織的措置を実施し、維持します。これには、GDPRの第32条に記載されている措置が、必要に応じて適用され、このDPAのスケジュール2に記載されています。個人データを保護するための措置については、以下を含みます：
- 偶発的または不法な破壊、及び
- 損失、改変、無許可の開示、または個人データへのアクセス（これらは「個人データの侵害」と呼ばれます）。
6.2. コンプライアンスの管理。 Adaptyは、DPAのスケジュール2に提供された措置のコンプライアンスを定期的に監視します。6.3. コンプライアンス確保の支援。 処理の性質およびAdaptyに提供される個人データを考慮に入れ、Adaptyは顧客がGDPRの第32条から第36条に基づく義務を遵守するのを支援します。
7. 個人データの侵害
7.1. 個人データの侵害の通知。 Adaptyが個人データの侵害を認識した場合、Adaptyは法律で許可される範囲で、顧客の個人データに影響を与える個人データの侵害をAdaptyまたは任意のサブプロセッサが認識した際に、遅延なく顧客にメールで通知し、合理的な情報を提供します（Adaptyが合理的に所持または制御できる範囲内で）。
7.2. 協力。 Adaptyは、処理の性質および顧客がデータ主体やデータ保護当局に個人データの侵害を通知する義務を果たすのを助けるために、Adaptyが利用可能な情報を考慮して協力を提供します。 Adaptyはさらに、個人データの侵害の影響を修正または軽減するために合理的に必要な措置および行動を講じ、個人データの侵害に関連するすべての重要な進展について顧客に通知します。
8. 監査
8.1. 顧客の監査を実施する権利。 Adaptyは、このDPAに定められた義務への準拠を示すために合理的に必要なすべての情報を顧客に提供し、顧客または顧客から委任された他の監査人による監査の実施を許可し、そのために貢献します。
8.2. 監査の実施におけるAdaptyの協力。 Adaptyは、顧客またはその第三者監査人がそのような監査を実施するために合理的に必要なすべての情報、システムおよびスタッフを顧客に提供します、ただし、顧客が：
8.2.1. 監査の45日前の通知を行うこと; かつ
8.2.2. 通常の業務時間中に監査を実施すること; かつ
8.2.3. Adaptyの運営に不必要な中断を防ぐために合理的な手段を講じること。監査は、個人データの処理に関連する情報の範囲内で厳密に行われるものとします。
8.3. 監査のパラメーター。 両当事者は、監査または検査の範囲、タイミングおよび期間について相互に合意します。
8.4. 秘密保持。 このDPAに基づくすべての監査は、秘密保持義務の対象となります。顧客は、完全な監査報告書をAdaptyと共有し、秘密保持に拘束された会計士および法的アドバイザーを除く第三者と共有してはなりません。顧客は、その監査報告書をこのDPAに対するAdaptyの準拠を評価する目的以外で使用してはなりません。
8.5. コスト。 顧客は、両当事者が異なる合意をしない限り、そのような監査のコストを負担します。
8.6. 監査の頻度。 顧客は、12カ月のカレンダー期間内に監査権を行使することができない、ただし：
8.6.1. 有能なデータ保護当局の指示による場合; または
8.6.2. Adaptyまたは(または)サブプロセッサが受けた個人データ違反のために必要な場合。
9. 機密性
9.1. Adaptyは、個人データを処理する権限を持つスタッフの信頼性を確保するために、すべての合理的な手段を講じ、かつそのスタッフが適切な機密保持の義務を負い、常に適用されるプライバシー法に準拠して行動することを保証します。
10. 個人データの削除または返還
10.1. (i) このDPAの終了、または (ii) 顧客からの書面による要求、または (iii) AdaptyがAdapty利用規約およびこのDPAに基づく義務を履行するために個人データを処理する必要がなくなった場合、または (iv) このDPAの第4.4条に基づく処理をAdaptyが拒否した場合、Adaptyは顧客の裁量により、すべての個人データを顧客に削除、破棄、または返却し、既存のコピーを破棄または返却するものとします。ただし、Adaptyが適用されるプライバシー法に基づき、指定された期間に個人データのコピーを保持する必要がある場合を除きます。その保持期間が満了した場合、Adaptyは残りの個人データを直ちに削除または破棄します。
10.2. 個人データがサブプロセッサによって処理された場合、Adaptyは、特定のケースにおいて、そのサブプロセッサが保持しているすべての個人データを返却、削除、または破棄することを確実にするものとします。このセクションに定められた条件に従って。
カリフォルニア州の消費者のプライバシー権
11.1. 「個人情報」、「消費者」およびこの第11節におけるその他の大文字で始まる用語は、2018年のカリフォルニア州消費者プライバシー法（California Consumer Privacy Act of 2018）、Cal. Civ. Code §§ 1798.100 et. Seq の意味を有するものとします（随時改正されることがあります）(「CCPA」)。
11.2. 当事者間での個人データの共有は、ビジネス目的を達成するためのみに行われることに同意します。また、Adaptyはサービスの対価として個人データを受け取ったり処理したりすることはありません。
11.3. したがって、顧客はサービスの使用に関してCCPAを遵守することについて単独で責任を負います。サービスの過程で、データ主体の個人データの共有または移転が個人データの販売に該当するかどうかを判断するのは顧客の唯一の責任です。
11.4. Adaptyは、Adaptyの利用規約に指定されるサービスを提供する以外の商業目的で、個人データを保持、使用、または開示することはありません。
12. 条項
12.1. このDPAは、Adaptyのサービス利用規約の発効日から有効となります。このDPAは、Adaptyのサービス利用規約が有効である限り、効力を維持します。
13. 分離可能性
13.1. 本DPAのいかなる条項が全部または一部が無効、不効力、または強制不能となった場合、他の条項の有効性、有効性、及び強制力はこれにより影響を受けないものとします。
13.2. そのような無効、不効力、または強制不能な条項は、法律により許可される限り、その無効、不効力、または強制不能な条項の経済的意図及び目的を最もよく反映する有効で、効力があり、強制可能な条項に置き換えられるものとします。その内容、規模、時間、場所、及び適用範囲に関して。
13.3. 前述の規則は、本DPAにおいて存在するかもしれないギャップを埋めるために、相応に適用されるものとします。
14. 完全合意
14.1. 当事者は、このDPA（ここに言及されているスケジュールを含む）およびここに言及されている文書が当事者間の完全な合意を構成し、以前のドラフト、合意、約束、理解、条件、及び取り決めを優先して無効にすることを明示的に宣言します。このDPAの主題に関して、当事者間のいかなる性質の優先順位の相違があっても、文書であろうとなかろうと関係ありません。
15. 準拠法および管轄
15.1. DPAは、Adapty の利用規約に記載されている法律に従って管理されます。
15.2. 当事者は、契約に記載された管轄の選択に従い、DPAの下で発生するいかなる紛争や請求、およびその存在、妥当性、終了、または無効の結果に関する紛争を含むすべての紛争を提出します。
16. 雑多
16.1. 争いまたはあいまいさが生じた場合には:
16.1.1. DPAのいかなる規定とAdaptyのサービス利用規約のいかなる規定が対立する場合、DPAの規定が優先されます;
16.1.2. この契約のいかなる規定と実行されたSCCのいかなる規定が対立する場合、実行されたSCCの規定が優先されます。
スケジュール 1. データ処理パラメータ
i. 技術情報
このカテゴリには、エンドユーザーが顧客のデジタルサービス（たとえば、モバイルゲームやアプリ）にアクセスするために使用するデバイスに関連する技術データが含まれます。この情報には、たとえば、IPアドレス、デバイスモデル、オペレーティングシステム、および言語設定が含まれる場合があります。
ii. 識別子
このカテゴリには、エンドユーザーのデバイスまたはアプリケーションインスタンスに関連付けられたさまざまな識別子が含まれます。これらの識別子には、たとえば、Apple広告主向け識別子（IDFA）、ベンダー識別子（IDFV）、Google広告ID、およびその他の類似の識別子が含まれます。
iii. 使用データこのカテゴリは、エンドユーザーが顧客のサービスとどのように相互作用するかに関する情報を指します。これには、アプリ内イベント、顧客の広告をクリックするエンドユーザーの行動、顧客の広告の表示（インプレッション）、アプリのダウンロードおよびインストールのタイムスタンプ、アプリの起動、アプリ内購入（購入時間と金額を含む）、顧客がサービスの性質に基づいて追跡および分析することを選択した追加のイベントまたはインタラクションデータが含まれます。
iv. 連絡先情報
このカテゴリには、特定のエンドユーザーを直接識別する、または関連する個人データが含まれており、通信またはユーザー固有の機能に必要です。このデータには、たとえば、電子メールアドレス、名、姓、および顧客が意図的にAdaptyに送信するその他の属性が含まれる場合があります。
Adaptyは、お客様の個人データを販売しません。
スケジュール 2. データのセキュリティを確保するための技術的および組織的措置を含む技術的および組織的措置
はいの場合、具体的な詳細を提供してください。
• セキュリティの脆弱性を避けるためのオペレーティングシステム、ハードウェア、およびすべてのサードパーティソフトウェアの定期的な更新。
• Adaptyサーバーを制限し保護するためのファイアウォールおよび侵入防止システム（IPS）のシステムの使用。
• 多要素認証を使用したリモートアクセス通信の保護。
• 顧客データをデイリーバックアップし、ローテーションスケジュールで保管。
スケジュール 3. サブプロセッサーのリスト
スケジュール 4. SCCの条件
1. 契約に基づくEUからのコントローラーユーザーデータの転送に適用されるモジュールはモジュール2 - 「コントローラーからプロセッサーへ」です。
2. 次の選択肢があり、委員会実施決定(EU)2021/914がEU SCCsの条項でのオプションの選択を許可する場合に選択されます：
3. SCCの付録IAは次のように記入されたとみなされます：
- データエクスポーターはカスタマーであり、エクスポーターの詳細はDPAのスケジュール1（パートA）に記載されているものと同じです。
SCCに基づいて転送されるデータに関連する活動：データインポーターがAdaptyのサービス条件に基づいてサービスを提供できるようにするために、データインポーターに個人データを転送すること。 - データインポーターはAdaptyであり、Adaptyの詳細はDPAのスケジュール1（パートA）に記載されているものと同じです。
SCCに基づいて転送されるデータに関連する活動：Adaptyのサービス条件に基づいてサービスを提供するために、データエクスポーターから個人データを受け取ること。
4. SCCの付録IBはDPAに対するスケジュール1と同じです。さらに、付録IBを完成させるために、転送の頻度は継続的であるという以下の詳細が含まれます。
5. 付録ICは次のように記入されています：アイルランド共和国の監督当局。
6. SCCの付録IIはDPAに対するスケジュール2と同じです。
7. SCCの付録IIIはDPAに対するスケジュール3と同じです。
