データ処理契約

発効日 : 2026-05-26 · バージョン 1.0

1. 定義

「個人データ」「処理」「管理者」「処理者」「データ主体」の各用語は、規則 (EU) 2016/679 (GDPR) に定める意味を有し、他の適用される個人情報保護法における同等の用語も対応する意味を有します。「サービス」「お客様素材」「提供者」「お客様」の各用語は、当社 EULA に定める意味を有します。

2. 対象事項および期間

提供者は、EULA に定めるサービスの提供のためにのみ、お客様に代わって個人データを処理します。本 DPA は、提供者がお客様に代わって個人データを処理する期間中適用され、終了後も EULA の終了処理条項により個人データが保持される期間は引き続き効力を有します。

3. 処理の性質および目的

処理は次の各活動から構成されます : お客様サイトのコンテンツの受領、選定したページのミラーリング、中国本土の訪問者に対する中国ミラーサイトの配信、運用ログおよび集計分析データの収集、ならびに法令で求められる規制対応のコミュニケーションを含む中国ミラーサイトの運営。

4. データ主体および個人データの種類

本サービスは静的な情報・マーケティングコンテンツを対象とします。処理する個人データは次に限定されます :

• 訪問者の IP アドレス、およびそこから推定される大まかな地域情報。
• 標準 HTTP ヘッダーに含まれるブラウザ・デバイス・OS の識別子。
• お客様またはその代理人がお客様サイトへのリンクに付加するアウトリーチコードおよび URL パラメータ (?biz=、?source=、?utm_* など)。
• お客様がミラー対象ページのコンテンツに自ら埋め込む個人データ (フッター内の担当者氏名など)。当該埋め込みの適法性についてはお客様が責任を負います。

本サービスは、特別な種類の個人データ (GDPR 第 9 条)、決済データ、認証情報、健康データ、生体データの処理を 意図しません。別途契約を締結しない限り、これらの種類のデータを本サービス経由で送信しないでください。

5. 処理者としての提供者の義務

提供者は次の事項を行います :

• お客様の文書化された指示のみに基づいて個人データを処理する。国際移転を含む。法令により処理が義務付けられる場合は除く。その場合、提供者は処理前にその義務についてお客様に通知します (当該法令が通知を禁じる場合を除く)。
• 守秘義務を確保する。 個人データの処理を許可された人員は守秘義務を負います。
• 適切な技術的・組織的措置を実施する。セキュリティページ に記載のとおり、最新技術の状況、実装コスト、データ主体に対するリスクを考慮します。
• お客様を支援する。データ主体の要求への対応というお客様の義務を、可能な範囲で適切な技術的・組織的措置によって支援します。
• 必要な情報を提供する。本 DPA への適合を示すために合理的に必要なすべての情報を提供し、お客様またはお客様が指定する監査人による監査 (現地検査を含む) に応じます (第 9 条に従う)。
• 不当な遅延なくお客様に通知する。お客様データに影響する個人データ侵害を認識後、確認から 72 時間以内に初回通知することを目指します。

6. 副処理者

お客様は、本サービスの提供に必要な範囲で提供者が副処理者を起用することを認めます。副処理者の最新一覧はお客様の要請に応じて提供し、重要な変更がある場合に更新します。提供者は次の事項を行います :

• 各副処理者に対し、本 DPA と同等以上の保護を伴う契約上の義務を課します。
• 各副処理者の義務の履行について、引き続きお客様に対し全責任を負います。
• 副処理者の追加または変更を行う場合は、合理的な事前通知 (通常 30 日) を行い、合理的な根拠に基づき異議を述べる機会をお客様に与えます。お客様が合理的に異議を述べた場合、提供者は商業上合理的な努力により実用的な代替案を提供し、それができない場合、お客様は当該理由により影響を受けるサービスを解約することができます。

7. 国際移転

提供者は中国本土に所在し、米国、EU、その他の地域に所在する副処理者を利用します。EEA、英国、スイスから提供者または十分性認定のない国への移転について、両当事者は欧州委員会が 2021/914 で採択した 標準契約条項 (Module 2 : 管理者から処理者) を、改訂後の版を含めて参照により取り入れます。該当する場合、英国 IDTA またはスイスの同等版が、対応する準拠法および監督機関とともに適用されます。

お客様は、本サービスの提供に中国本土でのホスティングが本質的に含まれることに同意します。お客様の管轄地で、お客様の訪問者について必要となる越境移転の開示、同意取得、届出は、引き続きお客様の責任となります。

8. データ主体の権利

提供者は、本 DPA に基づき処理する個人データについて、データ主体からの確認済みのアクセス・訂正・削除・制限・ポータビリティ要求に対応するお客様を、商業上合理的な条件かつ技術的に実現可能な範囲で支援します。データ主体からの要求はまずお客様に向けるものとし、お客様がデータ主体との主たる連絡窓口となります。

9. 監査

お客様は、12 か月に 1 回を超えず、少なくとも 30 日前の書面通知をもって、本 DPA に対する提供者の適合の書面証拠を請求することができます。提供者は、最新の第三者レポート (利用可能な場合)、標準質問票 (SIG / CAIQ など) への回答、または書面の表明を提供することにより本義務を履行できます。現地監査は、お客様の費用負担、通常業務時間内、合理的な範囲、秘密保持義務に従って行います。提供者は、他のお客様のデータが含まれる区域、または契約上アクセスを認められていない副処理者の施設へのアクセスを拒否することができます。その場合、提供者はお客様の合理的な懸念に対処するための代替手段を講じます。

10. 返還または削除

本サービスの終了時、お客様の書面による選択に従い、提供者は本 DPA に基づき処理したすべての個人データを 90 日以内に返還または削除します。ただし (a) 提供者が法令により保持を義務付けられる個人データは除き、その場合は引き続き本 DPA に基づき保護します。また (b) データ主体を識別できないよう匿名化または集計化されたデータは除きます。

11. 責任

本 DPA 上の各当事者の責任は、EULA に定める総責任の上限および間接損害の除外に従います。適用される法令が異なる配分を要求する範囲で、その法令は本条項に対して最小限の必要な範囲で優先します。

12. 不一致および優先順位

個人データの処理に関する事項について本 DPA と EULA の間に不一致がある場合、本 DPA が優先します。本サービスを参照するお客様個別の署名済み DPA と本 DPA の間に不一致がある場合、お客様個別の署名済み DPA が優先します。

13. 準拠法

本 DPA は EULA に定める法律に準拠します。データ主体の管轄地の強行的な個人情報保護法が本 DPA で変更できない権利を付与する場合、当該権利は引き続き適用されます。

署名の方法

ほとんどのお客様は紙面署名を必要としません。購買時に当社 EULA を承諾するか、当社に作業開始を指示された時点で、本 DPA は契約の一部となります。

署名済みの紙面または電子版 (DocuSign など) が必要な場合は、件名「DPA request」で chinasiteready@autoinfra.cn までメールをお送りください。ご希望のテンプレートがあれば添付してください。5 営業日以内に署名済み版をご返送します。本 DPA の締結に追加料金はかかりません。