データ保護に関する補遺

このデータ保護付録 (「DPA」）は、以下の間のマスター サブスクリプション契約の一部を形成します。 Aryaka および顧客（該当する場合、「契約」）その下で Aryaka サービスを顧客に提供します。 本 DPA で使用されているが定義されていない大文字の用語は、契約に規定されている意味を有するものとします。

• 1.DEFINITIONS
• 1.1"コントローラ" 単独または他者と共同で、個人データの処理の目的と手段を決定する組織を意味します。
• 1.2 「データ保護法」 それぞれの当事者による個人データの処理に適用されるすべての法律を意味します。
• 1.3 「データ主体」 「個人データが本 DPA に基づいて処理される可能性がある個人」を意味します。
• 1.4 "個人データ" 「顧客によってサービスに提供される、特定された、または特定可能な自然人に関連する情報」を意味します。
• 1.5 "プロセス" or "処理" 自動化された手段によるかどうかにかかわらず、収集、記録、整理、構造化、保管、適応または変更、検索、参照、使用、送信による開示など、個人データまたは個人データのセットに対して実行される操作または一連の操作を意味します。個人データの配布またはその他の方法での利用可能化、調整または組み合わせ、制限、消去、または破壊。
• 1.6 「プロセッサー」 データ管理者に代わって個人データを処理するエンティティを意味します。
• 2. 当事者間の関係。 お客様と Aryaka サービス契約を締結している。両当事者は、顧客が契約の目的上管理者であることを承認し、 Aryaka プロセッサです。両当事者は、契約および適用されるデータ保護法に従って個人データを処理します。
• 3. 顧客の義務。 お客様は、適切かつ関連性があり、合理的に必要な個人データのみを提供するものとします。 Aryaka サービスを実行するため。顧客は、個人データの収集と開示を表明し、保証します。 Aryaka 適用されるすべてのデータ保護法を遵守します。
• 4. 説明書。 。 Aryaka 個人データは、(i) 契約書に文書化され、付属書 IB に詳細に記載されている顧客の指示に従ってのみ処理されます。 (ii) 適用法を遵守するために必要な場合。 Aryaka は、（当社の合理的な意見によると）可能性のある顧客の指示に基づいて行動する必要はありません。 Aryaka) 原因 Aryaka 適用される法律に違反すること。 Aryaka 個人データ処理に関する顧客の指示が適用されるデータ保護法に違反すると思われる場合は、顧客に通知します。
• 5. セキュリティ。 Aryaka は、セキュリティ、機密性、完全性に対する予想される脅威や危険から個人データを保護するために設計された適切な技術的および組織的措置を導入するための合理的な措置を講じます。 Aryaka 個人データを処理する権限を与えられた人物が機密保持を約束しているか、または適切な法定の機密保持義務を負っていることを保証します。
• 6. データ侵害。 Aryaka いつでも不当な遅滞なくお客様に通知します Aryaka 処理された個人データ (それぞれ、「データ侵害」）、適用される法律で禁止されている場合、または法執行機関または監督当局による別の指示がない限り。処理の性質と利用可能な情報を考慮して、 Aryaka, Aryaka は、顧客の合理的な要求に応じて、適用法で義務付けられているデータ侵害に関する顧客の通知義務を遵守するために顧客を支援するための合理的な措置を講じます。 Aryaka は、要求された支援に対して合理的な料金をお客様に請求する権利を留保します。
• 7. リターンまたはDispオサル。 契約終了後 30 日以内に、お客様は次のことを要求できます。 Aryaka 適用法により個人データの保管が義務付けられている場合を除き、すべての個人データを破棄または顧客に返却します。 Aryaka.
• 8. 監査;お問い合わせ。 顧客の合理的な要求に応じて（監督当局によってより頻繁に要求されない限り、年に 1 回を超えて行使されないこと） Aryaka 証明するために必要な保有するすべての情報をお客様が速やかに利用できるようにします。 Aryakaは、この DPA に基づく義務を遵守し、合理的な監査を可能にし、これに貢献します。提供されるすべての情報は、 Aryakaの機密情報であり、無断で開示することはできません。 Aryaka適用法で義務付けられている場合を除き、事前の書面による同意。
• 9. 下請け。 顧客が許可する Aryaka 顧客にサービスを提供する目的で、個人データを副処理者に転送するため。 Aryaka サブプロセッサのリストを維持します。副処理者の現在のリストは付録 III に含まれています。 Aryaka は、このリストに副処理者を追加する場合は 14 日前に顧客に通知し、かかる追加に反対する機会を提供します。もし Aryaka 通知から 14 日以内に異議を受け取らなかった場合、副処理者は顧客によって受け入れられたものとみなされます。 Aryaka は、かかる副処理者と、本 DPA と同様のデータ保護条件を含む契約を締結します。
• 10. Aryaka 援助。 お客様の合理的な要求に応じて、処理の性質を考慮して、 Aryaka は、適切な技術的および組織的措置を講じることにより、適用法に基づく権利行使を求めるデータ主体の要求に応じるという顧客の義務を支援するための合理的な措置を講じます。処理の性質と利用可能な情報を考慮して、 Aryaka, Aryaka また、お客様の合理的な要請に応じて、データ保護影響評価の実施および監督当局との関連協議に関するコンプライアンス義務を果たすためのお客様を支援します。 Aryaka は、かかる要求された支援に対して合理的な料金を顧客に請求する権利を留保します。
• 11. カリフォルニア州消費者プライバシー法 (CCPA) の規定。
• 11.1 法的遵守。 Aryaka は、CCPA に基づいてお客様に要求されるのと同じレベルのプライバシー保護をカリフォルニア州居住者の個人データに提供します。 Aryaka 次の場合はお客様に書面で通知します Aryaka は、CCPA に基づく義務を履行できなくなったと判断します。お客様は、次の通知を行うことにより、権利を有します。 Aryaka、個人データの不正使用を停止し、是正するための合理的かつ適切な措置を講じること。 Aryaka は、CCPA 義務を履行できなくなったことをお客様に通知しました。
• 11.2 処理の制限。 いかなる場合でも、 Aryaka: (a) カリフォルニア州居住者の個人データを金銭またはその他の貴重な対価のために第三者に開示する、またはクロスコンテキスト行動広告のために個人データを第三者に開示する。 (b) カリフォルニア州居住者の個人データを商業的利益のために第三者に開示すること。 Aryaka または第三者。 (c) カリフォルニア州居住者の個人データを国外で保持、使用、または開示すること Aryaka顧客との直接の取引関係、または本契約で指定されたビジネス目的以外の商業目的、または適用される法律で許可されている商業目的。または (d) カリフォルニア州居住者の個人データと以下の個人情報を組み合わせる Aryaka 適用法で許可されている場合を除き、他の人から、または他の人に代わって受信するか、データ主体とのやり取りから収集します。 Aryaka は、前述の制限を理解し、遵守することを証明します。
• 12. データ転送
• 12.1 GDPR の対象となる個人データの制限された転送。 EU 標準契約条項 (モジュール 2 コントローラーからプロセッサー) ((EU) 2021/914) は、[www.aryaka.com/SCC2021-Controller-to-Processor/] (「EU SCC」) を参照し、添付の付録 I および II とともに参照により本明細書に組み込まれ、EU 一般データ保護の対象となる個人データの転送に適用されます。規制 ((EU) 2016/679) (「GDPR」)。上記にかかわらず、EU SCC は、移転が以下の対象となる範囲には適用されません。(i) 顧客を管轄する管轄当局が採択した、管轄区域が個人データの適切なレベルの保護を満たしていると宣言する決定 (「十分性決定」) ”）。
• 12.1.1 第 9 条では、当事者はセクション [2] (下請け) に従ってオプション 9 が適用されることに同意します。
• 12.1.2 第 11 条の任意の言語は除外されます。
• 12.1.3 第 17 条では、EU SCC はオランダの法律に準拠します。
• 12.1.4 第 18 条の任意の dispEU SCC から生じる問題はオランダの裁判所によって解決されます。
• 12.1.5 付属書 IC では、顧客の所在地のデータ保護当局が管轄監督当局となります。
• 12.2.スイスからの制限付き送金。 このセクションで修正された EU SCC は、スイス連邦データ保護法 (FADP) の対象となり、その他の十分性決定の対象とならない個人データの転送に適用されます。
• 12.2.1 「EU 加盟国」という用語は int であってはなりませんerp第 18 条 (c) に従って、スイスのデータ主体を常居所地 (スイス) で権利を訴える可能性から除外する方法で規定されています。
• 12.2.2 EU SCC における GDPR への言及は、FADP への言及として理解されるべきです。
• 12.2.3 第 17 条では、EU SCC はスイスの法律に準拠します。
• 12.2.4 付属書 IC では、スイス連邦データ保護情報委員が管轄監督当局となります。
• 12.3 からの制限された転送 United Kingdom. 個人データの転送が各国の法律の対象となる場合 United Kingdom (英国一般データ保護規則を含む) であり、その他の点で十分性決定の対象ではない場合、両当事者は以下に同意します。
• 12.3.1 1.0 年 21 月 2022 日から発効する、EU 委員会標準契約条項に対する英国国際データ転送補遺バージョン BXNUMX の規定は、以下で入手可能です。 https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf 第 2 部「必須条項」を含む (「英国補遺」) は参照により本明細書に組み込まれ、完全に適用されるものとします。
• 12.3.2 英国付録の表 1 において、当事者の名前、役割および詳細は、添付の付録 1 に記載されます。
• 12.3.3 英国付録の表 2 および表 3 では、添付付録に記載されている情報を含め、参照によりこの DPA に組み込まれる EU SCC のモジュール 2 が適用されます。そして
• 12.3.4.英国追加条項の表 4 では、いずれかの当事者が英国追加条項を終了することができます。
• 13. 紛争;強制力。 本 DPA のいずれかの条項が、管轄裁判所によって無効または法的強制力がないと判断された場合でも、その判断により、本 DPA の他の条項またはお客様とお客様との間のその他の契約が無効になったり、法的強制力がなくなったりすることはありません。 Aryaka。この DPA は契約を補足するものです。本契約とこの DPA の間に矛盾がある場合は、この DPA が管理します。本契約のその他の条項または本契約に基づく義務のうち、本 DPA の影響を受けないものは、引き続き完全に有効となります。この DPA、またはこの DPA の履行において取られる、または取られる予定の行動が、各当事者に適用される法律に基づくいずれかの当事者の義務を満たさない場合、または満たさない場合、両当事者は誠意を持って適切な修正について交渉するものとします。このDPA。