データ処理契約

本データ処理契約（以下「本DPA」という。）は、顧客とAdaptyとの間のAdapty利用規約（以下に定義する。）の一部を構成し、同利用規約は、顧客によるAdaptyのサービスの利用及び提供を規律する。

顧客及びAdaptyを、以下総称して「両当事者」、個別に「当事者」という。両当事者の詳細は、別紙1に定める。

Adapty利用規約の条項との間に抵触又は不一致がある場合、当該抵触又は不一致の範囲において、本DPAがAdapty利用規約のその他の条項に優先する。

本DPAにおいて別段の定義がなされていない定義語は、Adapty利用規約に定める意味を有する。

本DPAは、すべての別紙を含め、本DPAの別紙1に記載するとおり、適用プライバシー法に従い、Adaptyが顧客に代わって処理する個人データに関する両当事者のデータ保護義務を定める。

1. 定義

1.1. Adapty利用規約とは、https://adapty.io/terms/で公開されている利用規約、又は顧客とAdaptyとの間のその他の書面若しくは電子的な契約をいう。

1.2. 適用プライバシー法とは、個人データの収集、利用、移転及び開示を規律する、政府当局が発するすべての法律、制定法、規則、条例、規範、規程、ガイドライン、命令その他の法的義務をいう。

1.3. データ管理者とは、個人データの処理の目的及び手段を決定し、又はその他個人データの処理に関する意思決定について責任を負う自然人又は組織をいう。

1.4. データ処理者とは、管理者に代わって個人データを処理する自然人若しくは法人又はその他の団体をいう。

1.5. データ主体要求は、本DPA第3.2項に定める意味を有する。

1.6. データ主体とは、個人データが関連する、直接的若しくは間接的に識別された又は識別可能な個人をいう。

1.7. GDPR とは、個人データの処理に係る自然人の保護及び当該データの自由な移転に関する、並びに指令95/46/ECを廃止する、欧州議会及び理事会の規則（EU）2016/679をいう。

1.8. UK GDPR とは、2018年欧州連合（離脱）法第3条によりイングランド及びウェールズ、スコットランド並びに北アイルランドの法の一部を構成し、かつData Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019（SI 2019/419）の附則1により改正された、EU一般データ保護規則（（EU）2016/679）（EU GDPR）の保持された版をいう。

1.9. 個人データとは、識別された又は識別可能な自然人に関連するあらゆる情報であって、処理のために顧客が提供する、適用プライバシー法により規律されるものをいい、識別された又は識別可能な個人に関連する情報を含む。

1.10. 個人データ侵害とは、個人データの偶発的若しくは違法な破壊、紛失、改変、無権限の開示又は個人データへの無権限のアクセスをもたらすセキュリティ侵害をいう。

1.11. 処理、処理する及び処理を行うとは、個人データの利用を伴うあらゆる活動、又は処理、処理する若しくは処理を行うことに関して適用プライバシー法が定めるところによるものをいう。これには、自動的な手段によるか否かを問わず、個人データ又は個人データの集合に対して行われるあらゆる操作又は一連の操作が含まれ、例えば、収集、記録、編成、構造化、保存、翻案若しくは改変、検索、参照、利用、送信による開示、拡布若しくはその他の方法で利用可能にすること、整列若しくは結合、制限、消去又は破壊がこれに当たる。処理には、第三者への個人データの移転も含まれる。

1.12. 標準契約条項（SCC） とは、欧州委員会が承認した標準契約条項（欧州委員会により随時更新、改正、置換又は廃止されたものを含む。）をいう。欧州委員会が標準契約条項を改正された又は新たな標準契約条項に置き換えた場合、関係する監督機関が当該改正された又は新たな標準契約条項の使用を承認する限りにおいて、本DPAにおける「標準契約条項」への言及は、当該改正された又は新たな標準契約条項への言及と読み替えるものとする。

1.13. サブプロセッサーとは、Adaptyが起用する第三者のデータ処理者であって、個人データへのアクセス権を付与され、若しくは個人データにアクセスする可能性があるもの、又は個人データを処理するものをいう。

1.14. サブプロセッサー変更通知は、本DPA第4.1項に定める意味を有する。

2. 個人データの処理

2.1. 両当事者の役割

両当事者は、個人データの処理に関し、顧客が管理者であり、Adaptyが処理者であることを確認し、これに同意する。

2.2. データ処理の詳細

個人データの処理の対象事項、期間、性質及び目的、並びに個人データの種類及びデータ主体の類型は、別紙1に定める。

2.3. 処理の範囲

Adaptyは、Adapty利用規約又は本DPAに定めるとおり顧客が定めた合理的かつ慣行的な指示を超えて、個人データを処理しないものとする。ただし、Adaptyが服する適用法により当該処理が要求される場合はこの限りでない。

2.4. 顧客の指示

個人データの処理に関する顧客の指示は、適用プライバシー法を遵守したものでなければならない。顧客は、個人データの正確性、品質及び適法性、並びに顧客が個人データを取得する方法について、単独で責任を負う。前記を制限することなく、顧客は、Adapty利用規約及び本DPAの条件に従って個人データを処理するための適切な法的根拠及び権利が存在することを確保することについて、単独で責任を負うものとする。顧客は、顧客による本サービスの利用がいかなるデータ主体の権利も侵害しないことを、特に確認し、これに同意する。

2.5. 処理の適法な根拠

顧客は、Adaptyの本サービスが、顧客が取得しなければならず、かつAdaptyが依拠する、証明された適法な根拠に依存し、これに基づくものであることを確認し、これに同意する。顧客は、かかる適法な根拠が存在することを表明する。

2.6. 児童のプライバシー

児童の個人データ（適用プライバシー法に定めるもの）を処理する場合、顧客は、プラットフォームのポリシー、規制及び適用プライバシー法が定める、児童の保護を目的とした追加の要件を遵守する義務を負う。これらの法律の一部は特に児童を対象としたもの（COPPA等）であり、その他はより広範であるものの児童に対する特別な保護を含むもの（GDPR及び同様の地域的な法律等）である。

3. データ主体要求

3.1. データ主体要求への対応

顧客は、適用プライバシー法に基づくデータ主体の権利行使の要求に関するあらゆる法的義務を遵守することについて、単独で責任を負う。両当事者は、Adaptyがデータ主体要求に対応することができないことに同意し、これを確認する。

3.2. データ主体要求

データ主体要求に関する顧客の責任及び取扱い。顧客は、適用プライバシー法に基づくデータ主体要求に関するあらゆる法定義務の遵守について、引き続き単独で責任を負うものとする。顧客は、Adaptyに対し、専ら顧客の文書化された指示に基づき、かつ顧客の処理者として行動して、メッセージ内で提供される配信停止の仕組みを通じて受信者から直接受領した配信停止の要求及びダイレクトマーケティングに対する異議を、関連する受信者を顧客の配信抑止リストに追加することを含め、自動的に処理し、実行することを許諾する。

本条に明示的に定める場合を除き、Adaptyは、顧客に代わってデータ主体要求に実質的に応答しないものとし、法的に許容される範囲において、データ主体を顧客に案内し、及び／又は本条に従って顧客に通知するものとする。

3.3. データ主体の要求

顧客が要求への対応についてAdaptyの支援を求めた場合、Adaptyは、実行可能な範囲で、Adaptyがそれを行う法的権利を有し、かつ当該要求への対応が適用プライバシー法により要求される限りにおいて、顧客による当該要求への対応を支援するために商業上合理的な努力を払う。

3.4. 費用

法律で許容される範囲において、顧客は、追加機能の提供に伴う料金を含め、Adaptyが当該支援を提供した結果として生じる一切の費用について責任を負う。この場合、Adaptyは、顧客に対し、当該費用を事前に通知する。

4. サブプロセッサーによる処理

4.1. サブプロセッサーの選任

顧客は、Adaptyが本条及び本DPAに定める制限に従ってサブプロセッサーを選任することを許諾する。顧客は、Adaptyが顧客の事前の同意なくサブプロセッサーを起用できることを確認し、これに同意する。第三者であるサブプロセッサーに個人データの処理を認めるための条件は、Adaptyが各サブプロセッサーとの間で、少なくとも本DPAと同等の水準の個人データの保護を確保するデータ保護上の約束を含む書面による契約を締結することとする。Adaptyは、サブプロセッサーの追加又は交代に関する変更案について、当該サブプロセッサーの変更に先立ち、書面により顧客に通知する（以下「サブプロセッサー変更通知」という。）。顧客は、本DPA第4.2項に従い、当該サブプロセッサーの変更に異議を述べることができる。

4.2. 現在のサブプロセッサーの一覧

Adaptyが処理のために起用している現在のサブプロセッサーの一覧は、本DPAの別紙3に定める。Adaptyは、サブプロセッサーの追加又は交代を伴う変更があった場合、その変更から三十（30）日以内に、本DPAにおけるサブプロセッサーの一覧を更新する。

4.3. 責任

Adaptyは、各サブプロセッサーに関して、(i)当該サブプロセッサーが本DPAで要求される個人データの保護水準を確保する義務を負うことを確保するための合理的な措置を講じ、かつ(ii)当該サブプロセッサーがそのデータ保護義務を遵守しなかった場合には、当該サブプロセッサーによる当該義務の遵守について、顧客に対して引き続き全面的に責任を負うものとする。

4.4. サブプロセッサーに対する異議申立権

顧客は、サブプロセッサーの変更の通知を受領してから三十（30）日以内に、書面により速やかにAdaptyに通知することにより、サブプロセッサーの追加又は交代を伴う変更案に対して合理的に異議を述べることができる（例えば、サブプロセッサーに個人データを提供することが、適用されるデータ保護法に違反し、又は当該個人データの保護を弱めるおそれがある場合）。顧客からの当該通知には、異議の合理的な根拠を記載しなければならない。
顧客がAdaptyに当該異議を通知した場合、両当事者は、商業上合理的な解決に達することを目指して、当該事項について誠実に協議する。当該サブプロセッサーの関与なしには処理を適切に継続することができないことを理由として、当該異議が十五（15）日以内に解決できない場合、Adaptyは、本DPAに基づくそれ以上の処理を拒否し、Adapty利用規約を解除する権利を有し、当該解除について責任を負わない。

5. 個人データの越境移転

5.1. EUからの移転

個人データの処理がGDPRにより保護される限りにおいて、両当事者は、当該移転がSCCに従うことにここに合意する。SCCは、参照により本DPAに組み込まれ、本DPAの不可分の一部を構成する。SCCの選択肢及び附属書は、本DPAの別紙4に基づいて記入されたものとみなす。

5.2. スイスからの移転

個人データの処理が1992年6月19日のデータ保護に関するスイス連邦法（以下「FADP」という。）により保護される限りにおいて、両当事者は、当該移転が、スイス法に準拠し、それによりFADP第6条第2項a号に従ったスイスから第三国へのデータ移転について十分な保護水準を確保するのに適したものとなるよう必要な調整を加えたSCCに従うことに、ここに合意する。調整の一覧は、連邦データ保護・情報コミッショナーの2021年8月27日付け標準契約条項及びモデル契約に基づく、データ保護水準が十分でない国への個人データの移転に関する第4.3項に示されている（https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.htmlで入手可能）。ケース2の例2が適用されるものとする。

5.3. 英国からの移転

個人データの処理がUK GDPRにより保護される限りにおいて、両当事者は、当該移転が、英国情報コミッショナー事務局、議会又は担当大臣により採択、改正又は更新される、国際データ移転に関する欧州委員会の標準契約条項に対する国際補遺（https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdfで入手可能）に従うことに、ここに合意する。

6. 技術的及び組織的措置

6.1. 技術的及び組織的措置

Adaptyは、個人データを以下から保護するため、本DPAの別紙2に定めるとおり、関連し適用される場合にはGDPR第32条に定める措置を含め、個人データのセキュリティ、機密性及び完全性について適切な水準を確保するための適切な技術的及び組織的措置を実施し、維持するものとする。

1. 偶発的又は違法な破壊、及び
2. 個人データの紛失、改変、無権限の開示又は個人データへの無権限のアクセス（以下、それぞれを「個人データ侵害」という。）。

6.2. 遵守状況の監視

Adaptyは、本DPAの別紙2に定める措置の遵守状況を定期的に監視する。

6.3. 遵守確保の支援

処理の性質及びAdaptyが入手可能な個人データを考慮し、Adaptyは、GDPR第32条から第36条までに基づく義務の遵守を確保することについて、顧客を支援する。

7. 個人データ侵害

7.1. 個人データ侵害の通知

Adaptyは、個人データ侵害を認識した場合、法律で許容される範囲において、Adapty又はいずれかのサブプロセッサーが顧客の個人データに関わる個人データ侵害を認識した後、不当な遅滞なく電子メールにより顧客に通知し、合理的な情報（Adaptyが合理的に知り得る及び／又は管理し得る範囲に限る。）を提供するものとする。

7.2. 協力

Adaptyは、処理の性質及びAdaptyが入手可能な情報を考慮して、適用プライバシー法に従いデータ主体又はデータ保護当局に個人データ侵害を通知する義務を顧客が遵守することを支援するため、協力を提供するものとする。また、Adaptyは、個人データ侵害の結果を除去し、又は軽減するために合理的に必要なあらゆる措置及び行動をとるものとし、個人データ侵害に関連するすべての重要な進展について、顧客に随時報告するものとする。

8. 監査

8.1. 顧客の監査実施権

Adaptyは、本DPAに定める義務の遵守を証明するために合理的に必要なすべての情報を顧客に提供し、本DPAに基づく義務の遵守に関して顧客又は顧客が授権した他の監査人が実施する、検査を含む監査に協力する。

8.2. 監査の実施におけるAdaptyの協力

Adaptyは、顧客又はその第三者監査人が当該監査を実施するために合理的に必要なすべての情報、システム及び人員を顧客に提供するものとする。ただし、顧客が次の各号を満たすことを条件とする。

8.2.1. 監査の四十五（45）日前に通知すること、

8.2.2. 通常の営業時間内に監査を実施すること、及び

8.2.3. Adaptyの業務に対する不必要な支障を防止するためにあらゆる合理的な措置を講じること。当該監査は、個人データの処理に関連する情報に厳格に限定されなければならない。

8.3. 監査の条件

両当事者は、監査又は検査の範囲、時期及び期間について相互に合意する。

8.4. 秘密保持

本DPAに基づくすべての監査は、秘密保持義務に服する。顧客は、監査報告書の全文をAdaptyと共有しなければならず、秘密保持義務を負う顧客の会計士及び法律顧問以外の第三者と共有してはならない。顧客は、当該監査報告書を、Adaptyによる本DPAの遵守状況を評価する以外のいかなる目的にも使用してはならない。

8.5. 費用

両当事者が別段の合意をしない限り、顧客は当該監査の費用を負担するものとする。

8.6. 監査の頻度

顧客は、次の場合を除き、いかなる十二（12）暦月においても一回を超えて監査権を行使することはできない。

8.6.1. 管轄権を有するデータ保護当局により要求された場合、その時点で、又は

8.6.2. Adapty及び／又はサブプロセッサーに生じた個人データのセキュリティ侵害に関連して必要な場合。

9. 秘密保持

9.1. Adaptyは、個人データの処理を授権された人員の信頼性を確保するためにあらゆる合理的な措置を講じ、当該人員が適切な秘密保持義務に服し、常に適用されるデータ保護法令に従って行動することを確保する。

10. 個人情報の削除又は返還

10.1 (i)本DPAが終了した場合、(ii)顧客が書面により要求した場合、(iii)AdaptyがAdapty利用規約及び本DPAに基づく義務を履行するために個人データを処理する必要がなくなった場合、又は(iv)Adaptyが本DPA第4.4項に従って処理を辞退した場合、Adaptyは、顧客の選択に従い、すべての個人データを削除し、破棄し、若しくは顧客に返還し、かつ既存の複製物を破棄し、又は返還する。ただし、適用プライバシー法により、Adaptyが特定の保存期間にわたり個人データの複製を保持することを要求される場合はこの限りでない。当該保存期間の満了時、Adaptyは、残存するすべての個人データを速やかに削除し、又は破棄する。

Adapty Mailの受信者プロファイルについては、削除は、プロファイル内の個人データを不可逆的に非識別化し、当該プロファイルを削除済みとしてマークすることにより行われる。その結果生じる記録は、Adaptyが単独で、又はAdaptyが入手可能な他の情報と組み合わせて、関連する受信者を識別し、又は再識別するために合理的に使用することができないものである。

バックアップは、Adaptyの標準的なバックアップローテーションのサイクルに従って保持され、上書きされる。

10.2. 個人データがいずれかの業務受託者により処理された場合、Adaptyは、当該業務受託者もまた、本条に定める条件に従い、保有するすべての個人データを返還し、削除し、又は破棄することを確保する。

11. カリフォルニア州消費者のプライバシー権

11.1. 本第11条における「個人情報」、「消費者」及びその他の定義語は、随時改正される2018年カリフォルニア州消費者プライバシー法（カリフォルニア州民法典第1798.100条以下）（以下「CCPA」という。）に定める意味を有する。

11.2. 両当事者間の個人データのやり取りは、専ら事業目的を遂行するためにのみ行われるものであり、Adaptyは、本サービスの見返りとして個人データを受領又は処理するものではないことを、ここに合意する。

11.3. したがって、顧客は、本サービスの利用に関するCCPAの遵守について単独で責任を負う。顧客は、本サービスの提供中におけるデータ主体の個人データのやり取り又は移転が個人データの販売に該当しないことを確保することについて、単独で責任及び義務を負う。

11.4. Adaptyは、Adapty利用規約に定める本サービスを提供する以外の商業目的で、個人データを保存、利用又は移転しない。

12. 有効期間

12.1. 本DPAは、Adapty利用規約に定める日から効力を生じる。本DPAは、Adapty利用規約が効力を有する限り、効力を存続する。

13. 分離可能性

13.1. 本DPAのいずれかの規定の全部又は一部が無効、効力を有しない若しくは執行不能である場合、又はそのように判断された場合でも、本DPAのその他の規定の有効性、効力及び執行可能性は影響を受けない。

13.2. 当該無効、効力を有しない又は執行不能な規定は、法律で許容される範囲において、その対象事項、時期、場所及び適用範囲に関して、当該無効、効力を有しない又は執行不能な規定の経済的意図及び目的を最もよく反映する、有効、効力を有し、かつ執行可能な規定に置き換えられたものとみなす。

13.3. 前記の規則は、本DPAに見出される欠缺を補充する場合にも準用される。

14. 完全合意

14.1. 両当事者は、本DPA（本DPAで言及する別紙を含む。）及び本DPAで言及する文書が、両当事者間の完全な合意を構成し、書面によるか否かを問わず、また相反する優先順位の定めにかかわらず、本DPAの対象事項に関する両当事者間のあらゆる種類の従前の草案、契約、約束、了解、条件及び取決めに優先することを明示的に宣言する。

15. 準拠法及び裁判管轄

15.1. 本DPAは、Adapty利用規約に定める条件に従った法に準拠する。

15.2. 両当事者は、本DPAの存在、有効性若しくは終了に関する紛争及びその無効の結果に関する紛争を含め、本DPAに基づいて生じるあらゆる紛争又は請求（その発生原因を問わない。）について、本DPAに定める裁判管轄の選択にここに服する。

16. 雑則

16.1. 以下の間に抵触又は不明確な点がある場合、

16.1.1 本DPAのいずれかの規定とAdapty利用規約のいずれかの規定との間では、本DPAの規定が優先する。

16.1.2. 本DPAのいずれかの規定と署名済みのSCCとの間では、署名済みのSCCの規定が優先する。

別紙1. データ処理に関する事項

パートA. 当事者の一覧

管理者

処理者

パートB. 処理の内容

別紙2. 技術的及び組織的措置（データセキュリティを確保するための技術的及び組織的措置を含む。）

別紙3. サブプロセッサーの一覧

顧客は、以下の追加の処理者の使用を許可している。

別紙4. SCCの条件

2021年6月4日付け欧州委員会実施決定（EU）2021/914の別添に定めるEU標準契約条項（以下「EU SCC」という。）の条項は、以下のとおり、参照によりデータ処理契約に組み込まれるものとする。

1. 適用されるモジュール

本契約に基づくEU域内を発信元とする管理者の個人データの移転に適用されるモジュールは、モジュール2「管理者から処理者へ」である。

2. 選択された選択肢

欧州委員会実施決定（EU）2021/914がEU SCCにおいて選択肢の選択を認めている場合、以下の選択肢が選択される。

3. SCCの附属書IAは、以下のとおり記入されたものとみなす。

• データ輸出者は顧客であり、データ輸出者のデータは、本DPAの別紙1（パートA）に指定されたものと同一である。
  SCCに基づく移転データに関連する活動：データ輸入者がデータ輸出者に代わって当該個人データを処理し、Adapty利用規約に従って本サービスを提供することを可能にするための、データ輸出者によるデータ輸入者への個人データの移転。
• データ輸入者はAdaptyであり、Adaptyのデータは、本DPAの別紙1（パートA）に指定されたものと同一である。
  SCCに基づき移転されるデータに関連する活動は、Adapty利用規約に従って本サービスを提供する目的でデータ輸出者から個人データを受領することである。

4. SCCの附属書IBは、本DPAの別紙1と同一とし、さらに附属書IBを完成させるために以下の情報を含める：送信頻度は継続的である。

5. 附属書ICは、以下のとおり記入される：アイルランド共和国監督機関。

6. SCCの附属書IIは、本DPAの別紙2と同一とする。

7. SCCの附属書IIIは、本DPAの別紙3と同一とする。