データ処理付属契約書（DPA）

改訂日：2026年7月14日

本データ処理付属契約書（以下「本DPA」という）は、以下の当事者間で締結される。

（1）クライアント：VDRサービスの提供に関して適用される発注書（またはこれに基づき発行され、クライアントが承諾したその他の注文書若しくは書面）（以下「発注書」という）において明示的に特定される、適用されるクライアントの契約当事者であり、データ管理者（コントローラー）として行動するもの（以下「クライアント」又は「管理者」という）。

（2）アイディールズ：適用される発注書において明示的に特定される、適用されるアイディールズの契約当事者であり、データ処理者（プロセッサー）として行動するもの（以下「アイディールズ」又は「処理者」という）。

組込みおよび優先順位

本DPAは、https://www.idealsvdr.com/terms-and-conditions/ に掲載されるアイディールズ利用規約（以下「利用規約」という）を補完し、その不可分の一部を構成する。本DPAは、アイディールズがサービスに関連してクライアントに代わり処理者として個人データを処理する範囲及び限度において適用される。クライアントは、利用規約を参照する発注書を締結すること、又はサービスにアクセスしもしくはこれを利用することにより、自己およびユーザーを代表して本DPAに拘束されることに同意する。

「アイディールズVDR契約」とは、利用規約及び適用される発注書を総称していう。アイディールズVDR契約及び本DPAを、本書において総称して「本契約」という。

本契約の各条項間に矛盾又は不整合がある場合、データ保護及び処理義務に関する限度において、以下の書面が優先順位の順に優先する：(a) 本DPA、及び(b) アイディールズVDR契約。本DPAにおいて特に修正される場合を除き、アイディールズVDR契約は変更されることなく引き続き完全な効力を有する。

1. 定義

「適用される移転メカニズム」とは、該当する場合、以下をいう：(i) 欧州委員会実施決定(EU)2021/914により採択されたEU標準契約条項（モジュール2－管理者から処理者への移転）、(ii) 英国国際データ移転補遺（IDTA。該当する場合）、(iii) スイスFDPIC補遺、並びに(iv) 該当する場合、EU-米国データプライバシーフレームワーク、EU-米国データプライバシーフレームワークの英国拡張及びスイス-米国データプライバシーフレームワーク（ただし、関連するデータ輸入者が有効な認証を維持していることを条件とする）。

「クライアント個人データ」とは、(i) クライアントがバーチャルデータルーム（以下「VDR」という）にアップロードする個人データ、及び(ii) アイディールズVDR契約に基づくサービスの提供に関連してアイディールズがクライアントに代わりその他の方法により処理する個人データをいう。

「データ管理者」とは、クライアントをいう。

「データ処理者」とは、アイディールズをいう。

「データ保護法令」とは、該当する場合、EU一般データ保護規則（GDPR）及びその国内実施法令、英国GDPR及び2018年英国データ保護法、スイス連邦データ保護法（改正FADPを含む）、ブラジルの一般データ保護法（LGPD）、日本の個人情報の保護に関する法律（以下「個人情報保護法」という）並びに日本の個人情報保護委員会の適用あるガイドライン、決定又は拘束力のある要求事項、インドのデジタル個人データ保護法（DPDP法）及びその施行規則（施行されている場合において、適用される範囲に限る）、処理者・サービスプロバイダー契約を規律する米国州プライバシー法（CCPA/CPRA及び実質的に類似する州法を含む）、並びにその他適用あるプライバシー・データ保護法令及び管轄当局の拘束力のある指針・決定をいう。

「データプライバシーフレームワーク」とは、EU-米国データプライバシーフレームワーク（DPF）、並びに該当する場合、EU-米国DPFの英国拡張及びスイス-米国DPF（米国商務省が管理するもの）をいう。

「データ保護責任者（DPO）」とは、アイディールズが選任するデータ保護責任者をいい、連絡先はprivacy@idealscorp.comである。

「EU個人データ」とは、EU GDPRにより規律される個人データをいう。

「個人データ」とは、(a) 特定の個人を識別、連絡又は特定するために使用され得る情報（クライアントがVDRにアップロードすることを選択したデータを含む）、(b) 特定の個人を識別、連絡又は特定するために使用され得る他の情報と組み合わせることができる情報、又は(c) 識別可能な個人に関する情報の収集、利用、保存若しくは開示に関する適用法令若しくは規則により「個人データ」又は「個人情報」と定義される情報をいう。

「個人データ侵害」とは、クライアント個人データの偶発的又は違法な破壊、喪失、変更、無権限の開示又はこれへのアクセスをいう。

「処理」及びその派生語は、自動的な手段によるか否かを問わず、個人データ又は個人データの集合に対して行われる操作又は一連の操作（収集、記録、編成、構造化、保存、翻案若しくは変更、検索、閲覧、利用、送信による開示、普及その他の方法による利用可能化、整合若しくは組み合わせ、制限、消去又は破壊等）をいう。

「再委託先」とは、アイディールズによるクライアントに代わる処理の遂行を助けるため、アイディールズに処理サービスを提供する事業者をいう。

「監督機関」とは、管轄権を有するEU監督機関、英国ICO、スイスFDPIC、ブラジルANPD、日本の個人情報保護委員会（PPC）、又はその他該当する管轄当局をいう。

「米国州プライバシー法」とは、該当する場合、カリフォルニア州CCPA/CPRA及びサービスに適用される限度における実質的に類似する米国州プライバシー法（CPA、VCDPA、CTDPA、UCPA等）をいう。

2. 個人データ処理の性質、範囲及び目的

各当事者は、VDRにアップロードされた文書に含まれる個人に関する個人データ及びその他のデータ管理者の個人データを含め、本契約に基づき受領する個人データを、本契約に定める目的のためにのみ処理することに合意する。

さらに、アイディールズは、クライアントから受領した指示がデータ保護法令に違反すると考える場合には、その旨をクライアントに通知するものとし、これによりクライアントが当該指示を検討し、必要に応じて修正できるようにする。

3. 法令遵守

両当事者は、適用されるすべてのデータ保護法令に基づくそれぞれの義務を遵守するものとする。

4. クライアントの義務

クライアントは、以下に同意する：

4.1 本契約に従い、アイディールズに対して指示を与え、クライアント個人データの処理の目的及び一般的な手段を決定すること。及び

4.2 以下により、データ保護法令がデータ管理者に対して定める保護、セキュリティその他の義務を遵守すること：

A. クライアントに代わって処理されるクライアント個人データの本人が有する権利の行使のための手続を確立し、維持すること。

B. クライアントがVDRへのアップロードを許可されているデータのみをアップロードし、処理すること。並びに

C. クライアントに代わりクライアント個人データにアクセスし又はこれを利用する自己の職員又は第三者による本契約の遵守を確保すること。

5. アイディールズの義務

5.1 処理要件。アイディールズは以下を行う：

A. 本DPA及び別紙IIに記載する適切な技術的・組織的セキュリティ措置を用いて、(i) アイディールズのサービスの提供、サポート及び改善（分析結果その他のレポートの提供を含む）の目的のためにのみ、かつ(ii) クライアントから受領した指示に従って、クライアント個人データを処理すること。アイディールズは、それ以外の目的のためにクライアント個人データを利用又は処理しない。サービスの改善、インサイトの生成又はその他の報告に関連する活動は、もっぱら、GDPR、英国GDPR又はFADP（及び他の適用法令における同等の概念）上もはや個人データに該当しない匿名化されたデータに対してのみ行われる。

B. アイディールズに代わって業務を行う者が本契約の条件を遵守するよう商業上合理的な措置を講じ、当該者に本契約の遵守を義務付け、クライアント個人データの秘密性の遵守を確認させ、これを遵守させること。

C. 本契約に基づく義務を履行するため、又は処理業務の全部若しくは一部を再委託先に委託するために再委託先を利用しようとする場合、当該再委託先がアイディールズの指示に従って行動する限りにおいて、データ保護に関する再委託先の作為または不作為についてクライアントに対し引き続き責任を負うこと。

D. 書面による要請があった場合、アイディールズのプライバシー及びセキュリティ方針の概要をクライアントに提供すること。

E. アイディールズが独立したデータ管理者として個人から個人データを収集する場合（例えば、アカウント管理、請求、セキュリティ、コンプライアンス、不正防止その他クライアントに代わらない事業運営に関するもの）、当該処理についてアイディールズはデータ管理者（又は同等の地位）となるものとし、本DPAは当該処理には適用されない。

F. データ保護責任者（DPO）。アイディールズは選任されたデータ保護責任者を置き、要請に応じてクライアント及び管轄当局にその連絡先を提供する。

5.2 クライアントへの協力。アイディールズは、以下に関して合理的な協力をクライアントに提供する：

A. アイディールズがクライアントのために処理するクライアント個人データに関して、クライアントのデータ主体から寄せられる、アクセス、開示、利用目的の通知、訂正、追加、消去、制限、ポータビリティ、処理の停止、利用停止、第三者提供の停止又は削除等の要請への対応。データ主体が当該要請を直接アイディールズに送付した場合、アイディールズは速やかに当該要請をクライアントに送付する。

B. 個人データ侵害の調査、並びに当該個人データ侵害に関する監督機関及びクライアントのデータ主体への通知。アイディールズは、いかなる場合であっても、個人データ侵害を認識した後、不当に遅滞することなくクライアントに通知するものとし、クライアントが自らの法的義務を果たすことができるよう十分な情報及び協力を提供する。

C. 必要な場合のデータ保護影響評価の作成、及び、必要な場合の監督機関との協議の実施。

5.3 必要な処理

アイディールズが、本契約に記載されたサービスの提供以外の理由でクライアント個人データを処理することをデータ保護法令その他の適用法令により要求される場合、アイディールズは、当該処理をクライアントに通知することが適用法令上の秘密保持義務等により法的に禁止されている場合を除き、処理に先立って当該要件をクライアントに通知する。

6. セキュリティ

6.1 アイディールズは、クライアント個人データの不正な又は偶発的なアクセス、喪失、変更、開示又は破壊を防止するため、合理的な管理上、技術上及び物理上のセキュリティ措置（職員、施設、ハードウェア及びソフトウェア、保存及びネットワーク、アクセス制御、監視及びログ記録、脆弱性及び侵害の検知、インシデント対応、並びに送信中及び保存中のクライアント個人データの暗号化に関するものを含む）を実施している。

6.2 アイディールズは、クライアント個人データに関するアイディールズの全職員のセキュリティ、プライバシー及び秘密保持の保護措置の十分性について責任を負い、当該職員による本DPAの条件の不履行について責任を負う。

6.3 アイディールズは、そのすべての職員が本DPAの要件に沿ってクライアント個人データのセキュリティ、プライバシー及び秘密性を保護していることを確認するため、合理的な措置を講じた。

6.4 アイディールズが実施する技術的および組織的措置の一覧は、本DPA及び別紙IIに記載する。

6.5 アイディールズは、アイディールズにより個人データの処理を承認された者が秘密保持義務を負っていること、又は適切な法令上の秘密保持義務を負っていることを表明する。

7. 監査

7.1 クライアントによる監査及び保証。クライアントは、12か月間に1回を超えない範囲で（又は確認された個人データ侵害の発生後、正当な理由がある場合にはこれを超えて）、本DPAに対するアイディールズの遵守状況を監査することができる。アイディールズはまず、その時点で有効な第三者保証報告書（ISO/IEC 27001認証、SOC 2 Type II等）、侵入テストの要約及び関連文書を提供する。これらの資料が遵守を合理的に証明しない場合、クライアントは、秘密保持契約（NDA）の下、30日前の書面による事前通知の上、通常の営業時間内に、他のクライアントのデータ又はアイディールズの独自のテストツールにアクセスすることなく、対象を絞った監査を実施することができる。

7.2 規制当局による監査。アイディールズは、管轄監督機関による監査又は照会に協力する。

7.3 費用。クライアントは、クライアントが開始したオンサイト監査に直接起因するアイディールズの合理的な実費を償還する。

8. データ移転

8.1 両当事者は、十分なレベルの保護を確保しない国へのクライアント個人データの移転について、適用される移転メカニズムに依拠する。アイディールズが有効なデータプライバシーフレームワーク認証を維持している場合、両当事者は、当該データプライバシーフレームワークが関連する個人データについての適法な移転メカニズムとして機能することに合意する。アイディールズの認証がいつでも失効し、撤回され、又は関連するフレームワークが無効化され、若しくは利用できなくなった場合、本DPAに組み込まれたSCC／英国補遺／スイス補遺が、両当事者による追加の措置を要することなく自動的にフォールバックとして適用される。

8.2 EU/EEA移転（EU SCC）。EU/EEA域内又は十分性認定国以外の法域においてアイディールズが処理を行うためのEU個人データの移転については、両当事者は、実施決定(EU)2021/914により採択されたEU SCC（管理者から処理者へ、モジュール2）を、本DPAの別紙I～IIIを用いて完成させた上で、参照により組み込む。EU SCCの本文は別紙I（Schedule I）として添付する（又は契約書一式に添付されている場合は参照により組み込む）。

8.3 英国移転（英国補遺／IDTA）。英国GDPRに基づく制限移転については、両当事者は、EU SCCに対する英国国際データ移転補遺（発注文書において合意された場合はIDTA）を、別紙II（Schedule II）の表を用いて完成させた上で、参照により組み込む。

8.4 スイス移転（スイス補遺）。スイスFADPが適用される、十分性のない法域への移転については、両当事者は、本DPAの関連する附属書を用いて完成させたスイスFDPIC補遺（別紙III（Schedule III）に規定するもの）を参照により組み込む。

8.5 補完的措置。アイディールズは、適用される移転影響評価の要件に対応するため、適切な技術的および組織的措置（送信中及び保存中の強力な暗号化、アクセス制御並びに厳格なアクセスログを含む）を実施し、これを維持する。

8.6 指示としてのクライアント主導のサポートアクセス。クライアントがサポートアクセスを有効化し、又は書面若しくはチケットによりこれを要請した場合、当該行為は、(i) アイディールズのサポート担当者による限定的なリモートアクセス、及び(ii) 当該サポートの提供に本質的に必要な国境を越えた移転について、文書化された指示を構成する。範囲及び期間は特定のチケット又はセッションに限定され、監査ログに記録される。

8.7 日本の個人情報保護法に基づく移転。クライアント個人データの処理が個人情報保護法の適用を受ける場合、日本国外に所在する者へのクライアント個人データの国境を越えたアクセス、提供その他の移転は、サービスの提供に必要な範囲内において、かつ本契約、本DPA及び適用ある個人情報保護法上の要件に従ってのみ行うものとする。

個人情報保護法第28条が適用される場合、当該国境を越えたアクセス、提供その他の移転は、個人情報保護法上の適用ある移転メカニズム又は例外に基づくものとする。これには、該当する場合、以下が含まれ得る：(i) 個人情報保護法上要求される情報をクライアントが提供した上で取得する本人の事前の同意、(ii) 個人情報保護委員会が日本と同等の水準にあると認める個人情報の保護に関する制度を有する外国として指定する国若しくは地域への提供、又は(iii) アイディールズ（及び各関連する再委託先）が、個人情報保護法上の個人情報取扱事業者に求められるものと同等の水準の保護を確保するため、個人情報保護委員会規則で定める基準に継続的に適合する体制を整備すること。本DPAは、アイディールズ及び各関連する再委託先が当該基準に拘束される、適切かつ合理的な方法を構成するものとする。

アイディールズは、秘密保持義務、アクセス制御、ログ記録及び別紙IIに記載する技術的・組織的措置を含め、当該国境を越えたアクセス、提供その他の移転に適切な保護措置を適用する。適用されるホスティングの所在地、再委託先及び処理場所については、別紙III（Annex III）にさらに記載する。

9. データの返還及び削除

クライアントからprivacy@idealscorp.com宛て（又はアイディールズVDR契約に定める方法）による合理的な書面での要請に基づき、アイディールズは、データ保護法令によりクライアント個人データの全部若しくは一部の返還又は破棄が妨げられる場合を除き、クライアントの選択に従い、すべてのクライアント個人データ及びその複製をクライアントに返還し、又はこれらを安全に破棄するものとし、要請があった場合にはその完了を証明する。法令により保存が義務付けられる場合、アイディールズは、処理を必要最小限の目的及び期間に制限する。

10. 第三者データ処理者

10.1 クライアントは、サービスの提供にあたり、アイディールズがクライアント個人データを再委託先に移転し、その他再委託先と関わりを持つ場合があることを了承する。

10.2 再委託先の一覧は、本DPAの別紙III（Annex III）に定める。

11. 準拠法、裁判管轄及び管轄裁判所

本DPAは、アイディールズVDR契約に定める準拠法及び紛争解決条項に準拠し、これに従って解釈される。ただし、以下を除く：

(a) 本条は、EU SCCに基づく条項17／18（準拠法／法廷地の選択）を変更しない。

(b) 英国移転については、該当する場合、英国補遺／IDTAが適用される。並びに

12. 有効期間

本DPAは、アイディールズVDR契約が有効である限り、その効力を有する。

附属書0（SCHEDULE 0）

A. 適用される監督機関の参照情報（情報提供目的）

EU/EEA：GDPRに基づく管轄監督機関（クライアントの設立地・主たる事業所を基準とする）。

英国：ICO（英国GDPRが適用される場合）。

スイス：FDPIC（スイスFADPが適用される場合）。

ブラジル：ANPD（LGPDが適用される場合）。

カリフォルニア：CPPA（カリフォルニア州CCPA/CPRAが適用される場合）

インド：施行されている法令に基づく管轄当局・機関。

日本：個人情報保護法が適用される場合の個人情報保護委員会（PPC）。

本附属書は情報提供のみを目的として提供されるものであり、EU SCCに基づき特定される管轄監督機関を修正又は代替するものではない。EU SCCの目的（条項13）については、管轄監督機関はGDPRに基づいてのみ決定され、別紙I（C）において特定される。

附属書I（SCHEDULE I）

標準契約条項

第I部

条項1　目的及び適用範囲

(a) 本標準契約条項の目的は、第三国への個人データの移転に関して、自然人の個人データの処理に係る保護及び当該データの自由な移動に関する2016年4月27日の欧州議会及び理事会規則(EU)2016/679（一般データ保護規則）の要件の遵守を確保することにある。

(b) 当事者：

(i) 別紙I.Aに記載される、個人データを移転する自然人若しくは法人、公的機関又はその他の団体（以下それぞれ「団体」といい、以下「データ輸出者」という）、及び

(ii) 別紙I.Aに記載される、データ輸出者から直接又は本条項の当事者である他の団体を介して間接的に個人データを受領する第三国内の団体（以下それぞれ「データ輸入者」という）

は、本標準契約条項（以下「本条項」という）に合意した。

(d) 本条項に付属する付録（本条項が言及する別紙を含む）は、本条項の不可分の一部を構成する。

条項2　条項の効力及び不変性

(a) 本条項は、規則(EU)2016/679第46条(1)及び第46条(2)(c)、並びに管理者から処理者へ及び／又は処理者から処理者へのデータ移転に関しては同規則第28条(7)に基づく標準契約条項に従い、実効的なデータ主体の権利及び効果的な法的救済を含む適切な保護措置を定めるものであり、付録における情報の追加又は更新を除き修正されないことを条件とする。これは、両当事者が本条項に定める標準契約条項をより広範な契約に含めること、及び／又は本条項に直接的若しくは間接的に矛盾せず、データ主体の基本的な権利若しくは自由を害しない限度において他の条項若しくは追加の保護措置を追加することを妨げるものではない。

(b) 本条項は、データ輸出者が規則(EU)2016/679（GDPR）に基づき負う義務を害するものではない。

条項3　第三受益者

(a) データ主体は、以下を除き、第三受益者として、データ輸出者及び／又はデータ輸入者に対して本条項を援用し、これを執行することができる：

(i) 条項1、条項2、条項3、条項6、条項7

(ii) 条項8－条項8.1(b)、8.9(a)、(c)、(d)及び(e)

(iii) 条項9－条項9(a)、(c)、(d)及び(e)

(iv) 条項12－条項12(a)、(d)及び(f)

(v) 条項13

(vi) 条項15.1(c)、(d)及び(e)

(vii) 条項16(e)

(viii) 条項18－条項18(a)及び(b)

(b) (a)項は、規則(EU)2016/679に基づくデータ主体の権利を害するものではない。

条項4　解釈

(a) 本条項において、規則(EU)2016/679で定義される用語が使用される場合、当該用語は同規則における意味と同一の意味を有するものとする。

(b) 本条項は、規則(EU)2016/679の規定に照らして解釈されるものとする。

条項5　優先順位

本条項と、本条項が合意された時点で存在し、又はその後締結される両当事者間の関連契約の規定との間に矛盾がある場合、本条項が優先する。

条項6　移転の内容

移転の詳細（移転される個人データの区分及び移転の目的を含む）は、別紙I.Bに定める。

条項7　ドッキング条項

(a) 本条項の当事者でない団体は、両当事者の合意を得て、データ輸出者又はデータ輸入者のいずれかとして、付録を完成させ、別紙I.Aに署名することにより、いつでも本条項に加入することができる。

(b) 付録を完成させ別紙I.Aに署名した加入団体は、本条項の当事者となり、別紙I.Aにおける指定に従い、データ輸出者又はデータ輸入者としての権利及び義務を有するものとする。

第II部　当事者の義務

条項8　データ保護のための保護措置

データ輸出者は、適切な技術的および組織的措置の実施を通じて、データ輸入者が本条項に基づく義務を履行することができることを確認するため、合理的な努力を行ったことを保証する。

8.1　指示

(a) データ輸入者は、データ輸出者からの文書化された指示に基づいてのみ個人データを処理するものとする。データ輸出者は、契約期間を通じて当該指示を与えることができる。

(b) データ輸入者は、当該指示に従うことができない場合、直ちにデータ輸出者に通知するものとする。

8.2　目的の制限

データ輸入者は、データ輸出者からの更なる指示がある場合を除き、別紙I.Bに定める移転の特定の目的のためにのみ個人データを処理するものとする。

8.3　透明性

データ輸出者は、要請に応じて、両当事者が完成させた付録を含む本条項の写しを、データ主体に無償で提供するものとする。データ輸出者は、営業秘密その他の秘密情報（別紙IIに記載される措置及び個人データを含む）を保護するために必要な範囲において、写しを共有する前に本条項の付録の一部を非開示とすることができるが、その場合、データ主体が内容を理解し又は権利を行使できなくなるときは、意味のある要約を提供しなければならない。要請に応じて、両当事者は、非開示とした情報を明らかにすることなく可能な範囲において、非開示とした理由をデータ主体に提供するものとする。本条項は、規則(EU)2016/679第13条及び第14条に基づくデータ輸出者の義務を害するものではない。

8.4　正確性

データ輸入者は、受領した個人データが不正確であること又は古くなったことを知った場合、遅滞なくデータ輸出者に通知するものとする。この場合、データ輸入者は、当該データを消去又は訂正するためデータ輸出者に協力するものとする。

8.5　処理期間並びにデータの消去又は返還

データ輸入者による処理は、別紙I.Bに定める期間においてのみ行われるものとする。処理サービスの提供終了後、データ輸入者は、データ輸出者の選択により、データ輸出者に代わって処理したすべての個人データを消去し、その旨をデータ輸出者に証明するか、又はデータ輸出者に代わって処理したすべての個人データをデータ輸出者に返還し、既存の複製を消去するものとする。データが消去又は返還されるまでの間、データ輸入者は引き続き本条項の遵守を確保するものとする。データ輸入者に適用される現地法が個人データの返還又は消去を禁止する場合、データ輸入者は、本条項の遵守を引き続き確保し、当該現地法上必要とされる範囲及び期間においてのみこれを処理することを保証する。これは条項14、特にデータ輸入者が条項14(a)の要件に合致しない法令又は慣行の適用を受けている又は受けるに至ったと信じる理由がある場合に、契約期間を通じてデータ輸出者に通知する条項14(e)に基づく義務を害するものではない。

8.6　処理のセキュリティ

(a) データ輸入者は、送信時にはデータ輸出者も、偶発的又は違法な破壊、喪失、変更、無権限の開示又はアクセス（以下「個人データ侵害」という）につながるセキュリティ侵害からの保護を含め、データのセキュリティを確保するための適切な技術的および組織的措置を実施するものとする。適切なセキュリティレベルを評価するにあたり、両当事者は、技術水準、実施費用、処理の性質、範囲、状況及び目的、並びにデータ主体に対する処理に伴うリスクを十分に考慮するものとする。両当事者は、特に、処理の目的がそのような方法で達成され得る場合には、送信中を含め、暗号化又は仮名化の利用を検討するものとする。仮名化の場合、個人データを特定のデータ主体に帰属させるための追加情報は、可能な限りデータ輸出者の排他的な管理下に置かれるものとする。本項に基づく義務を履行するにあたり、データ輸入者は、少なくとも別紙IIに定める技術的および組織的措置を実施するものとする。データ輸入者は、これらの措置が引き続き適切なセキュリティレベルを提供していることを確認するため、定期的な点検を実施するものとする。

(b) データ輸入者は、契約の実施、管理及び監視のために厳密に必要な範囲においてのみ、その職員に個人データへのアクセスを許可するものとする。データ輸入者は、個人データの処理を許可された者が秘密保持義務を負うか、又は適切な法令上の秘密保持義務を負っていることを確保するものとする。

(c) 本条項に基づきデータ輸入者が処理する個人データに関して個人データ侵害が発生した場合、データ輸入者は、その悪影響を軽減するための措置を含め、当該侵害に対処するための適切な措置を講じるものとする。データ輸入者はまた、当該侵害を認識した後、遅滞なくデータ輸出者に通知するものとする。当該通知には、詳細情報を得られる連絡窓口、侵害の性質に関する説明（可能な場合、影響を受けるデータ主体の区分及びおおよその人数並びに個人データの記録の区分を含む）、その予想される影響、及び講じられた又は提案された対応措置（適切な場合、悪影響を軽減するための措置を含む）を含めるものとする。すべての情報を同時に提供することができない場合、初回の通知にはその時点で入手可能な情報を記載し、その後入手可能となった情報は遅滞なく順次提供されるものとする。

(d) データ輸入者は、データ輸出者が規則(EU)2016/679に基づく義務（特に、管轄監督機関及び影響を受けるデータ主体への通知）を遵守できるよう、処理の性質及びデータ輸入者が有する情報を考慮の上、データ輸出者に協力し、これを支援するものとする。

8.7　機微データ

移転が、人種若しくは民族的出自、政治的意見、宗教的若しくは思想的信条、労働組合への加盟を明らかにする個人データ、遺伝データ、自然人を一意に識別するための生体データ、健康に関するデータ若しくは性生活若しくは性的指向に関するデータ、又は有罪判決及び犯罪に関するデータ（以下「機微データ」という）を含む場合、データ輸入者は、別紙I.Bに記載する特定の制限及び／又は追加の保護措置を適用するものとする。

8.8　更なる移転

データ輸入者は、データ輸出者からの文書化された指示に基づく場合に限り、個人データを第三者に開示するものとする。さらに、当該データは、当該第三者が本条項に拘束される又は拘束されることに同意する場合に限り、欧州連合域外に所在する、データ輸入者と同一の国又は他の第三国の第三者に開示することができる（以下「更なる移転」という）：

(i) 更なる移転が、規則(EU)2016/679第45条に基づく十分性認定の対象であり、かつ当該更なる移転を対象とする決定の対象となる国への移転である場合

(ii) 第三者が、当該処理に関して規則(EU)2016/679第46条又は第47条に基づく適切な保護措置を別途確保している場合

(iii) 更なる移転が、特定の行政上、規制上又は司法上の手続の文脈における法的請求の確立、行使又は防御のために必要である場合、又は

(iv) 更なる移転が、データ主体又は他の自然人の重大な利益を保護するために必要である場合

いかなる更なる移転も、本条項に基づくその他すべての保護措置（特に目的の制限）へのデータ輸入者による遵守を条件とする。

8.9　文書化及び遵守

(a) データ輸入者は、本条項に基づく処理に関するデータ輸出者からの照会に速やかかつ適切に対応するものとする。

(b) 両当事者は、本条項の遵守を証明できるものとする。特に、データ輸入者は、データ輸出者に代わって行われる処理活動に関する適切な文書を保持するものとする。

(c) データ輸入者は、本条項に基づく義務の遵守を証明するために必要なすべての情報をデータ輸出者に提供するものとし、データ輸出者の要請に応じて、合理的な間隔で又は不遵守を示す兆候がある場合には、本条項の対象となる処理活動の監査を可能にし、これに協力するものとする。監査の実施を判断するにあたり、データ輸出者は、データ輸入者が保有する関連する認証を考慮することができる。

(d) データ輸出者は、自ら監査を実施するか、又は独立した監査人にこれを委任することを選択することができる。監査には、データ輸入者の施設又は物理的設備における実地検査を含めることができ、適切な場合には合理的な事前通知の上で実施されるものとする。

(e) 両当事者は、(b)及び(c)項に定める情報（監査の結果を含む）を、要請に応じて管轄監督機関に提供するものとする。

条項9　再委託先の利用

(a) 一般的な書面による事前授権　データ輸入者は、合意されたリストからの再委託先の起用について、データ輸出者から一般的な授権を得ている。データ輸入者は、再委託先の追加又は交代によるリストの変更予定について、再委託先の起用に先立ちデータ輸出者が異議を述べることができるよう十分な時間を確保するため、少なくとも30日前に書面によりデータ輸出者に具体的に通知するものとする。データ輸入者は、データ輸出者が異議を述べる権利を行使できるよう、必要な情報をデータ輸出者に提供するものとする。

(b) データ輸入者が特定の処理活動を行うため（データ輸出者に代わって）再委託先を起用する場合、データ輸入者は、本条項の下でデータ輸入者を拘束するものと実質的に同一のデータ保護義務（データ主体のための第三受益者としての権利を含む）を定める書面による契約により、これを行うものとする。両当事者は、本条項を遵守することにより、データ輸入者が条項8.8に基づく義務を履行するものとすることに合意する。データ輸入者は、再委託先が、本条項に基づきデータ輸入者が服する義務を遵守することを確保するものとする。

(c) データ輸入者は、データ輸出者の要請に応じて、当該再委託契約及びその後の修正の写しをデータ輸出者に提供するものとする。データ輸入者は、営業秘密その他の秘密情報（個人データを含む）を保護するために必要な範囲において、写しを共有する前に当該契約の内容を非開示とすることができる。

(d) データ輸入者は、データ輸入者との契約に基づく再委託先の義務の履行について、データ輸出者に対し全面的な責任を負い続けるものとする。データ輸入者は、再委託先による当該契約上の義務の不履行について、データ輸出者に通知するものとする。

(e) データ輸入者は、データ輸入者が事実上消滅し、法律上存在しなくなり、又は支払不能となった場合に、データ輸出者が再委託契約を終了させ、再委託先に対して個人データの消去又は返還を指示する権利を有する旨の第三受益者条項を、再委託先との間で合意するものとする。

条項10　データ主体の権利

(a) データ輸入者は、データ主体から受領した要請について、速やかにデータ輸出者に通知するものとする。データ輸入者は、データ輸出者から授権されない限り、自ら当該要請に応答してはならない。

(b) データ輸入者は、規則(EU)2016/679に基づく権利の行使に関するデータ主体からの要請に応答するデータ輸出者の義務の履行を支援するものとする。この点に関し、両当事者は、処理の性質を考慮の上、当該支援が提供される適切な技術的および組織的措置、並びに必要とされる支援の範囲及び程度を別紙IIに定めるものとする。

条項11　救済

(a) データ輸入者は、苦情を取り扱う権限を有する連絡窓口について、個別の通知又はそのウェブサイトにより、透明かつ容易にアクセス可能な形式でデータ主体に通知するものとする。データ輸入者は、データ主体から受領した苦情に速やかに対応するものとする。

(b) 本条項の遵守に関してデータ主体と一方の当事者との間に紛争が生じた場合、当該当事者は、適時に友好的に問題を解決するため最善の努力を尽くすものとする。両当事者は、当該紛争について互いに情報提供を行い、適切な場合には解決に協力するものとする。

(i) その常居所若しくは勤務地の加盟国の監督機関、又は条項13に基づく管轄監督機関に苦情を申し立てること

(ii) 条項18の意味における管轄裁判所に紛争を付託すること

(d) 両当事者は、規則(EU)2016/679第80条(1)に定める条件の下で、非営利団体、組織又は協会がデータ主体を代理することができることを認める。

(e) データ輸入者は、適用されるEU法又は加盟国法の下で拘束力を有する決定に従うものとする。

(f) データ輸入者は、データ主体が行った選択が、適用法令に従って救済を求めるデータ主体の実体的及び手続的権利を害しないことに同意する。

条項12　責任

(a) 各当事者は、本条項の違反により他の当事者に生じさせた損害について、当該他の当事者に対し責任を負うものとする。

(b) データ輸入者は、本条項に基づく第三受益者の権利の侵害によりデータ主体に生じさせた財産的又は非財産的損害について、データ主体に対し責任を負うものとし、データ主体は当該データ輸入者又はその再委託先から損害賠償を受ける権利を有する。

(c) (b)項にかかわらず、データ輸出者は、本条項に基づく第三受益者の権利の侵害によりデータ輸出者又はデータ輸入者（若しくはその再委託先）がデータ主体に生じさせた財産的又は非財産的損害について、データ主体に対し責任を負うものとし、データ主体は損害賠償を受ける権利を有する。これは、データ輸出者の責任、及びデータ輸出者が管理者に代わって行為する処理者である場合における規則(EU)2016/679又は規則(EU)2018/1725に基づく管理者の責任を害するものではない。

(d) 両当事者は、データ輸出者が(c)項に基づきデータ輸入者（又はその再委託先）に起因する損害について責任を負う場合、データ輸出者は、当該損害についてのデータ輸入者の責任に相当する部分の賠償をデータ輸入者から求償する権利を有することに合意する。

(e) 本条項の違反の結果としてデータ主体に生じた損害について複数の当事者が責任を負う場合、責任を負うすべての当事者は連帯して責任を負うものとし、データ主体はこれらの当事者のいずれに対しても裁判上の請求をする権利を有する。

(f) 両当事者は、一方の当事者が(e)項に基づき責任を負う場合、当該当事者は、その責任に相当する部分の賠償を他の当事者から求償する権利を有することに合意する。

(g) データ輸入者は、自己の責任を免れるために再委託先の行為を援用することはできない。

条項13　監督

(a) 別紙I.Cに示す、データ移転に関して規則(EU)2016/679の遵守を確保する責任を有する監督機関が、管轄監督機関として行動するものとする。

(b) データ輸入者は、本条項の遵守を確保することを目的とするあらゆる手続において、管轄監督機関の管轄権に服し、これに協力することに同意する。特に、データ輸入者は、照会に応答し、監査に応じ、監督機関が採用する是正措置及び補償措置を含む措置を遵守することに同意する。データ輸入者は、必要な措置が講じられたことを監督機関に書面で確認するものとする。

第III部　現地法及び公的機関によるアクセスの場合の義務

条項14　本条項の遵守に影響を及ぼす現地の法令及び慣行

(a) 両当事者は、データ輸入者による個人データの処理に適用される移転先の第三国の法令及び慣行（個人データの開示要件又は公的機関によるアクセスを認める措置を含む）が、データ輸入者による本条項に基づく義務の履行を妨げると信じる理由がないことを保証する。これは、基本的な権利及び自由の本質を尊重し、民主的社会において規則(EU)2016/679第23条(1)に列挙する目的の一つを保護するために必要かつ比例的な範囲を超えない法令及び慣行は、本条項と矛盾しないという理解に基づく。

(b) 両当事者は、(a)項の保証を行うにあたり、特に以下の要素を十分に考慮したことを表明する：

(i) 処理の連鎖の長さ、関与する主体の数及び使用される送信経路を含む移転の具体的な状況、意図される更なる移転、受領者の種類、処理の目的、移転される個人データの区分及び形式、移転が行われる経済分野、移転されるデータの保存場所

(ii) 公的機関へのデータの開示を要求し、又は当該機関によるアクセスを認める法令を含む、移転先の第三国の法令及び慣行であって、移転の具体的な状況に照らして関連するもの、並びに適用される制限及び保護措置

(iii) 本条項に基づく保護措置を補完するために講じられた、送信時及び移転先国における個人データの処理時に適用される措置を含む、関連する契約上、技術上又は組織上の保護措置

(d) 両当事者は、(b)項に基づく評価を文書化し、要請に応じて管轄監督機関に提供することに合意する。

(e) データ輸入者は、本条項に合意した後、契約期間中に、第三国の法令の変更又は(a)項の要件に沿わない当該法令の実際の適用を示す措置（開示要請等）に従い、(a)項の要件に沿わない法令若しくは慣行の適用を受けている又は受けるに至ったと信じる理由がある場合には、速やかにデータ輸出者に通知することに同意する。

(f) (e)項に基づく通知の後、又はデータ輸出者がその他の理由によりデータ輸入者が本条項に基づく義務をもはや履行できないと信じる理由がある場合、データ輸出者は、状況に対処するためにデータ輸出者及び／又はデータ輸入者が講じるべき適切な措置（セキュリティ及び秘密性を確保するための技術的又は組織的措置等）を速やかに特定するものとする。データ輸出者は、当該移転について適切な保護措置が確保され得ないと考える場合、又は管轄監督機関から指示された場合には、データの移転を停止するものとする。この場合、データ輸出者は、本条項に基づく個人データの処理に関する限度において契約を終了する権利を有する。契約が三者以上の当事者を含む場合、データ輸出者は、両当事者が別段の合意をしない限り、関連する当事者についてのみ当該終了権を行使することができる。本条項に基づき契約が終了する場合、条項16(d)及び(e)が適用される。

条項15　公的機関によるアクセスの場合のデータ輸入者の義務

15.1　通知

(a) データ輸入者は、以下の場合には、（必要な場合はデータ輸出者の助力を得て）速やかにデータ輸出者及び、可能な場合にはデータ主体に通知することに同意する：

(i) 本条項に基づき移転された個人データの開示について、移転先国の法令に基づき、司法当局を含む公的機関から法的拘束力のある要請を受領した場合。当該通知には、要請された個人データ、要請を行った当局、要請の法的根拠及び行われた対応に関する情報を含めるものとする。

(ii) 移転先国の法令に従い、本条項に基づき移転された個人データへの公的機関による直接のアクセスを認識した場合。当該通知には、データ輸入者が入手可能なすべての情報を含めるものとする。

(b) データ輸入者が移転先国の法令によりデータ輸出者及び／又はデータ主体への通知を禁じられている場合、データ輸入者は、可能な限り多くの情報を可能な限り速やかに伝達することを目的として、当該禁止の適用免除を得るため最善の努力を尽くすことに同意する。データ輸入者は、データ輸出者の要請に応じてこれを証明できるよう、その最善の努力を文書化することに同意する。

(c) 移転先国の法令上許容される場合、データ輸入者は、契約期間中、定期的な間隔で、受領した要請に関する可能な限り関連性のある情報（特に要請の件数、要請されたデータの種類、要請を行った当局、要請に対して異議を申し立てたか否か及びその結果等）をデータ輸出者に提供することに同意する。

(d) データ輸入者は、(a)から(c)項に基づく情報を契約期間中保存し、要請に応じて管轄監督機関に提供することに同意する。

(e) (a)から(c)項は、データ輸入者が本条項を遵守できない場合に速やかにデータ輸出者に通知する条項14(e)及び条項16に基づくデータ輸入者の義務を害するものではない。

15.2　適法性の審査及びデータの最小化

(a) データ輸入者は、開示要請の適法性（特に、要請を行った公的機関に付与された権限の範囲内にあるか否かを含む）を審査し、慎重な評価の結果、移転先国の法令、適用ある国際法上の義務及び国際礼譲の原則に基づき当該要請が違法であると考える合理的な根拠があると判断した場合には、当該要請に異議を申し立てることに同意する。データ輸入者は、同様の条件の下で、不服申立ての可能性を追求するものとする。要請に異議を申し立てる場合、データ輸入者は、管轄司法当局が実体的判断を行うまでの間、要請の効力を停止するための暫定的な措置を求めるものとする。データ輸入者は、適用される手続規則に基づき開示が求められるまで、要請された個人データを開示してはならない。これらの要件は、条項14(e)に基づくデータ輸入者の義務を害するものではない。

(b) データ輸入者は、その法的評価及び開示要請に対する異議申立てについて文書化することに同意し、移転先国の法令上許容される範囲において、当該文書をデータ輸出者に提供するものとする。データ輸入者はまた、要請に応じて管轄監督機関にこれを提供するものとする。

第IV部　最終規定

条項16　本条項の不遵守及び終了

(a) データ輸入者は、いかなる理由であれ本条項を遵守できない場合、速やかにデータ輸出者に通知するものとする。

(b) データ輸入者が本条項に違反し、又は本条項を遵守できない場合、データ輸出者は、遵守が回復されるまで、又は契約が終了するまで、データ輸入者への個人データの移転を停止するものとする。これは条項14(f)を害するものではない。

(i) データ輸出者が(b)項に基づきデータ輸入者への個人データの移転を停止し、合理的な期間内に、いかなる場合であっても停止から1か月以内に本条項の遵守が回復されない場合

(ii) データ輸入者が本条項に対して重大な違反又は継続的な違反をしている場合、又は

(iii) データ輸入者が本条項に基づく義務に関する管轄裁判所又は監督機関の拘束力のある決定を遵守しない場合

これらの場合、データ輸出者は当該不遵守について管轄監督機関に通知するものとする。契約が三者以上の当事者を含む場合、データ輸出者は、両当事者が別段の合意をしない限り、関連する当事者についてのみ当該終了権を行使することができる。

(d) (c)項に基づく契約終了前に移転された個人データは、データ輸出者の選択により、直ちにデータ輸出者に返還されるか、又はその全部が消去されるものとする。当該データの複製についても同様とする。データ輸入者は、データの消去をデータ輸出者に証明するものとする。データが消去又は返還されるまでの間、データ輸入者は引き続き本条項の遵守を確保するものとする。データ輸入者に適用される現地法が移転された個人データの返還又は消去を禁止する場合、データ輸入者は、本条項の遵守を引き続き確保し、当該現地法上必要とされる範囲及び期間においてのみデータを処理することを保証する。

(e) いずれの当事者も、(i) 欧州委員会が、本条項が適用される個人データの移転を対象とする規則(EU)2016/679第45条(3)に基づく決定を採択した場合、又は(ii) 規則(EU)2016/679が個人データの移転先国の法制度の一部となった場合には、本条項に拘束されることへの同意を撤回することができる。これは、当該処理について規則(EU)2016/679の下で適用されるその他の義務を害するものではない。

条項17　準拠法

本条項は、データ輸出者が設立された国の法に準拠する。当該法が第三受益者の権利を認めていない場合、本条項は第三受益者の権利を認めるEU加盟国の法に準拠するものとする。両当事者は、これをマルタの法とすることに合意する。

条項18　法廷地及び管轄の選択

(a) 本条項から生じるいかなる紛争も、EU加盟国の裁判所により解決されるものとする。

(b) 両当事者は、当該裁判所をマルタの裁判所とすることに合意する。

(d) 両当事者は、当該裁判所の管轄に服することに合意する。

附属書II（SCHEDULE II）

EU標準契約条項に対する英国国際データ移転補遺

本英国補遺（「補遺」）は、本データ処理付属契約書（「DPA」）の附属書I（Schedule I）として添付される標準契約条項（「SCC」）の一部を構成する。

本英国補遺は、英国政府による十分性認定の対象とならない英国外の国への個人データの移転に適用することを意図するものである。

第1部：表

表1：当事者

開始日	本補遺に基づきクライアント個人データの最初の制限移転が行われる日。
当事者	輸出者（制限移転を行う者）／輸入者（制限移転を受領する者）
当事者の詳細	本契約に組み込まれたSCCの別紙I.Aに定めるとおり（輸出者及び輸入者ともに）。
主要連絡先	本契約に組み込まれたSCCの別紙I.Aに定めるとおり（輸出者及び輸入者ともに）。

表2：選択されたSCC、モジュール及び選択条項

本補遺が付属する承認済みEU SCCのバージョン（付録情報を含む）：付録情報を含む承認済みEU SCCであって、本補遺の目的のために効力を有するモジュール、条項又は任意規定を以下のとおりとするもの。

モジュール	モジュール2
運用中のモジュール	適用（X）
条項7（ドッキング条項）	適用
条項11（オプション）	適用
条項9a（事前授権又は一般的授権）	一般的授権
条項9a（期間）	30日
輸入者から受領した個人データは輸出者が収集した個人データと組み合わされるか	いいえ

表3：付録情報

「付録情報」とは、承認済みEU SCCの付録に定める、選択されたモジュールについて提供されなければならない情報（当事者に関する情報を除く）をいい、本補遺については以下に定める。

別紙I.A：当事者の一覧	本契約に組み込まれたSCCの別紙I.Aに定めるとおり。
別紙I.B：移転の内容	本契約に組み込まれたSCCの別紙I.Bに定めるとおり。
別紙II：技術的および組織的措置（データのセキュリティを確保するための措置を含む）	本契約に組み込まれたSCCの別紙IIに定めるとおり。
別紙III：再委託先の一覧（モジュール2及び3のみ）	本契約に組み込まれたSCCの別紙IIIに定めるとおり。

表4：承認済み補遺の変更に伴う本補遺の終了

承認済み補遺の変更に伴う本補遺の終了

第19条に定める、本補遺を終了させることができる当事者：いずれの当事者も終了させることはできない（X）。

第2部：必須条項

必須条項：2022年2月2日付けで2018年データ保護法第119A条に従いICOにより発行され議会に提出された補遺様式B.1.0による承認済み補遺の第2部（必須条項）を、当該必須条項の第18条に基づき改訂された場合はその改訂後の内容とともに、本補遺に組み込む。

附属書III（SCHEDULE III）

EU標準契約条項に対するスイス補遺（FADP）

当事者：本スイス補遺（「スイス補遺」）は、以下の当事者間に組み込まれた欧州委員会実施決定(EU)2021/914により採択されたEU標準契約条項（「EU SCC」）の当事者間で締結される：

・データ輸出者（スイス）：管理者

・データ輸入者：処理者

1）目的及び適用範囲

1.1 本スイス補遺は、スイス連邦データ保護法（改正FADPを含む。以下「FADP」という）の適用を受ける個人データの、十分な保護水準を有しない国へのスイスからの移転のために、EU SCCを適応させるものである。

2）解釈上の調整

FADPの適用を受ける移転にEU SCCを適用する目的上：

2.1 「GDPR」への言及は、該当する場合、FADP及びその施行規定を含むものと解釈する。

2.2 「EU加盟国」及び「加盟国」への言及は、スイスのデータ主体が第三受益者の権利を享受するために必要な場合には、スイスを含むものと解釈する。

2.3 「監督機関」への言及は、スイスのみに関する移転については、スイス連邦データ保護・情報コミッショナー（FDPIC）を含むものと解釈する。

2.4 「個人データ」、「データ主体」、「処理」その他のGDPR上の用語は、FADPが適用される場合、FADP上の同等の概念と整合的に解釈するものとする。

2.5 本スイス補遺は、FADPに整合させるために本補遺に明示的に定める場合を除き、EU SCCの本文を変更するものではない。矛盾が生じた場合には、FADPに基づきデータ主体を最も保護する解釈が優先する。

3）管轄当局（EU SCC別紙I（C））

3.1 データが専らFADPの適用を受ける場合、「管轄監督機関」及び「監督機関」への言及はFDPICを指すものとし、データ移転がFADP及びGDPRの双方に規律される場合には、FDPIC及びEUの管轄監督機関の双方を指すものとする。これには、EU SCCの条項13(a)及び別紙IのC部を含む。

4）準拠法及び法廷地（EU SCCの条項17及び18）

4.1 スイスのみに関する移転：

・条項17（準拠法）：両当事者はスイス法を選択する。

・条項18（法廷地及び管轄）：両当事者はスイス国ルツェルンの裁判所を選択する。両当事者は、本スイス補遺により適応されたEU SCCに基づく紛争について当該管轄に服する。

4.2 EU及びスイス双方に関する並行移転：条項17及び18は、EU SCCに基づきGDPRについて選択されたとおり存続する。これは、FADPにより認められる場合にスイスのデータ主体がスイスにおいて請求を行うことを妨げるものではない。

5）更なる移転及び第三受益者の権利

5.1 EU SCCが条項の執行に関するデータ主体の権利に言及する場合、当該権利は、FADPに基づくスイスのデータ主体を含むものとみなす。

5.2 EU SCC中の、スイスのデータ主体を除外する結果となり得る言及は、そのように解釈してはならない。

6）現地法令及び公的機関によるアクセス（条項14－15）

6.1 EU SCCが現地の法令・慣行の評価並びに公的機関によるアクセスに関する義務を要求する場合、両当事者は、スイスのみに関する移転についてはFADPを参照し、EU及びスイス双方にわたる並行移転についてはFADP及びGDPRの双方を参照して、当該評価を実施するものとする。

6.2 データ輸入者は、FADPの文脈における評価を完了するために合理的に必要な情報をデータ輸出者に提供する。

7）別紙及び完成手続

7.1 両当事者間で完成されたEU SCCの別紙I～IIIは、本スイス補遺に参照により組み込まれ、FADPの適用を受ける移転に準用されるものとする。

7.2 本スイス補遺が、スイスのみに関する移転について別紙I（C）（管轄当局）又は条項17～18に基づく選択の変更を必要とする場合、当該選択は、EU SCC本文を再締結する必要なく、上記第3.1項及び第4.1項に定めるとおり修正されたものとみなす。

8）優先順位

8.1 本スイス補遺とEU SCCとの間に不整合がある場合、本スイス補遺は、FADPを遵守するために必要な限度においてのみ優先する。

8.2 本スイス補遺と本契約／DPAとの間に不整合がある場合、本スイス補遺は、FADPの適用を受ける移転について優先する。

付録

本別紙は本条項の一部を構成し、両当事者により完成及び署名されなければならない。

別紙I

標準契約条項の別紙I

A．当事者の一覧

データ輸入者

処理者

VDR契約において特定される、適用されるアイディールズの契約当事者

連絡先：privacy@idealscorp.com

本条項に基づき移転されるデータに関連する活動：アイディールズVDR契約に基づくサービスの提供

データ輸出者

管理者

VDR契約において特定される、適用されるクライアントの契約当事者及び連絡先

本条項に基づき移転されるデータに関連する活動：アイディールズVDR契約に基づくサービスの提供

B．移転の内容

個人データが移転される本人の区分：VDRにアップロードされる文書に情報が含まれるすべての個人。

移転される個人データの区分：VDRにアップロードされるすべての区分の個人データ。

移転される機微データ（該当する場合）並びにデータの性質及び関連するリスクを十分に考慮した制限又は保護措置（例えば、厳格な目的の制限、アクセス制限（専門的な研修を受けた職員のみへのアクセスを含む）、データへのアクセス記録の保持、更なる移転の制限又は追加のセキュリティ措置）：アップロードされた内容に基づきクライアントが決定する。アイディールズは別紙IIに記載する保護措置を適用する。

移転の頻度（例えば、データが一回限りで移転されるか継続的に移転されるか）：継続的。

処理の性質：アイディールズVDR契約に基づくサービスの提供。

データ移転及び更なる処理の目的：アイディールズVDR契約に基づくサービスの提供。

個人データが保存される期間、又はこれが不可能な場合には当該期間を決定するための基準：アイディールズVDR契約に定めるとおり。

再委託先への移転については、処理の主題、性質及び期間も明記すること：アイディールズVDR契約に基づくサービスの提供。

C．管轄監督機関

条項13に従い管轄監督機関を特定すること：

条項13に基づく管轄監督機関は、データ輸出者の設立地、主たる事業所その他GDPR上適用される基準に基づき決定される、規則(EU)2016/679（GDPR）に基づきデータ輸出者について管轄権を有する監督機関とする。

別紙II

技術的および組織的措置（TOM）

アイディールズ・グループは、一般データ保護規則、各国のデータ保護法令、一般データ保護規則を施行するあらゆる下位法令及び規則、並びにすべてのプライバシー法令に従って処理される個人データの保護を確保するため、以下の技術的および組織的措置を実施する。

アイディールズ・グループは、以下のセキュリティ及びプライバシーに関する文書を作成し、維持する：

・データ処理付属契約書（DPA）

・技術的および組織的措置（TOM）

・秘密保持契約（NDA）

・再委託契約（必要な場合）

・EU標準契約条項（欧州委員会実施決定(EU)2021/914）（モジュール2）

1．機密性

技術的措置	組織的措置
ID・アクセス管理。全職員・管理者アクセスに対するSSO及びアダプティブMFA、最低12文字以上のパスフレーズ強度又は同等の基準、連続失敗後のアカウントロック、セッション強化（アイドルロック、機微操作時の再認証）。	アクセスガバナンス。文書化されたアクセス及びユーザー権限方針、入退社・異動時の手続、定期的なアクセスレビュー、管理者権限付与における職務分掌。
ロールベースアクセス制御（RBAC）及び最小権限の原則。職務に応じたきめ細かなロール、部分的・範囲限定的な権限、期間限定かつログ記録される特権アクセス。	秘密保持義務。従業員及び契約者とのNDA、職務及び現地法に応じた身元確認。
テナント分離及び論理的隔離。テナントごとのデータ名前空間、アプリケーションレベルの認可チェック、クロステナントアクセスを防止するサービス側ACL。	第三者・サプライヤーのデューデリジェンス。契約者・再委託先のリスクベースの審査（認証、照会、DPA）。
ネットワークセキュリティ。セグメンテーション（VPC／サブネット／セキュリティグループ）、WAF、IDS/IPS、ネットワーク監視、レート制限及び送信制御。	情報の取扱い。データ分類・取扱方針、安全な媒体の取扱い及び廃棄・無害化手続、該当する場合のBYOD規程。
エンドポイントセキュリティ。フルディスク暗号化、EDR／マルウェア対策、ホストファイアウォール、MDM・エンドポイント管理により実施されるUSB／ポート制御方針。
暗号技術。強力なアルゴリズム及び管理された鍵による保存時暗号化、すべての外部及び内部サービス間のTLS1.3による送信時暗号化、環境ごとの鍵の分離、可能な場合の仮名化・トークン化。
鍵管理。暗号化データとは別に専用のKMS／Key Vaultに保存・管理される鍵、実施されるローテーション及びアクセスログ。
データ損失防止（DLP）。エンドポイント及びコラボレーションツールにおけるDLPルール、機微データの持出し試行に対する隔離・正当化ワークフロー。
電子署名。契約及びリリースプロセスのための承認済み電子署名メカニズム、記録される署名検証。

2．完全性

技術的措置	組織的措置
安全な通信及びインターフェース。TLS1.2以上、HSTS、強力な暗号スイート、署名付きトークン・鍵によるAPI認証。	変更及びリリース管理。必要に応じた変更管理委員会（CAB）を含む正式な変更管理、承認、職務分掌、ロールバック試験。
監査可能性。データアクセス、管理操作、設定変更に関する改ざん不能・監査可能なログ及びデータ入力ログ、時刻同期（NTP）。	セキュアSDLC。脅威モデリング、コードレビュー、依存関係の健全性確認（SCA）、シークレット管理、リリース前セキュリティゲート。
アプリケーション及びデータ管理。サーバー側検証、参照整合性、チェックサム／ハッシュ、必要に応じたバージョン管理。	方針及び手続。情報セキュリティ方針、データ保護方針、及びデータの物理的な移送に関する例外時のみの規則。
セッション制御。機微操作に対する強制タイムアウト及び再認証。	処理の必要性の原則。承認された職員のみが個人データを処理し、職務及び責任が文書化される。
脆弱性及びパッチ管理。継続的な脆弱性スキャン、SLAに基づくパッチ適用、ドリフト検知を伴う設定基準（CIS）。
エンドポイント／ポート制御。OS／EDRレベルでのUSB・ポートの遮断及びデバイス制御。

3．可用性及び回復力

技術的措置	組織的措置
冗長性及び耐障害性。重要なサービスに対するマルチAZ構成、負荷分散、オートスケーリング。	BCP／DRP。RTO／RPOを伴う文書化された事業継続計画及び災害復旧計画、危機対応連絡手順。
バックアップ及び復旧。自動化された定期バックアップ、複数の保存階層、可能な場合のバージョン管理・改ざん防止、定期的な復元試験。	バックアップガバナンス。バックアップスケジュール方針、保存期間、暗号化、保存場所の承認、定期的なエビデンスレビュー。
監視及び警告。集中ログ管理・SIEM、ヘルスチェック、容量・使用率の監視、実用的なアラート。	インシデント対応。定義されたインシデント対応計画、プレイブック、事後レビュー及び是正措置。
障害への耐性強化。DDoS対策、レート制限、サーキットブレーカー、グレースフルデグラデーションパターン。	危機・緊急事態管理。発動手続、役割及びエスカレーション経路、定期的な訓練及び手順の評価。
追跡可能な移送。送信・移送中の無許可の読み取り・複製・変更・削除を防止する管理、宛先の検証及び整合性チェック。

4．定期的な試験、評価及び査定のためのプロセス

技術的措置	組織的措置
セキュリティ試験。年次の独立した侵入テスト、継続的なバグバウンティ・責任ある開示制度、定期的な自動スキャン（SAST／DAST／クラウド）。	管理体制及び保証。有効なISO/IEC 27001 ISMS、SOC2 Type II監査、統制の証明及是正管理の追跡。
統制のテレメトリー。セキュリティ指標、統制の健全性ダッシュボード、自動化された方針遵守チェック。	ガバナンス及び文書化。方針・TOMの中央リポジトリ、文書化された管理者・処理者間の役割分担、責任の正式な割当て。
	研修及び意識向上。役割に応じた定期的なデータ保護・セキュリティ研修、フィッシング訓練、セキュアエンジニアリング研修。
	BYOD・デバイス管理。書面によるBYOD及び資産取扱規則、MDMによる実施。
	定期的な見直し。少なくとも年1回のTOMの実効性レビュー、重大な変更・インシデント・リスク評価後の更新。

5．プライバシーガバナンス及びデータライフサイクル管理

技術的措置	組織的措置
データの最小化及びマスキング。フィールドレベルでの最小化、非本番環境におけるマスキング・仮名化、機微なペイロードを避ける選択的なログ記録。	DPIA／TRA。新規・変更処理に関するリスクベースのDPIA、処理記録（RoPA）。
保存及び削除の自動化。方針に基づく保存期間管理及び自動削除ジョブ、実行可能な場合のバックアップの消去確認。	再委託先管理。契約上のDPA・SCC、移転影響評価、継続的なモニタリング。
	データ主体からの請求への対応。権利行使請求に関する定義された手続及びSLA、本人確認手続。

別紙III

アイディールズは、クラウドホスティング及びインフラサービスの再委託先として、Amazon Web Servicesの各社（以下「AWS」という）を利用する。すべてのデータ処理は、クライアントがデータルームの設定時に選択した所在地に対応するAWSの事業体により行われる。

現在利用可能なサーバー所在地には、ドイツ、フランス、スペイン、英国、米国、ブラジル、中国、シンガポール、インド、日本及びオーストラリアが含まれ、アイディールズが地域別提供内容を更新するのに伴い変更される場合がある。

データ処理の所在地は、クライアントの事前の書面による同意なく変更されない。

オプションの高度な全文翻訳機能－DeepL

クライアントがアイディールズのオプションである高度な全文翻訳機能を有効化した場合、アイディールズは、当該機能を通じて提出された文書内容を翻訳する限定された目的のために、DeepL SEを再委託先として利用することがある。

本機能は任意のものであり、初期設定では有効化されない。DeepLによる処理は、欧州連合、米国又は日本において行われる場合があり、そのためデータルームの主たるホスティング所在地と異なる場合がある。

アイディールズは、クライアントの適用ある契約上の義務、有効化された地域制限、又はアイディールズが認識するその他の文書化された法令上の要件と抵触する場合には、本機能を有効化しない。DeepLは、要請された翻訳の実施のためにのみ起用されるものであり、サービスの一般的なホスティングのためには起用されない。オプションの高度な全文翻訳機能を利用するか否かについては、クライアントが引き続き責任を負う。

補遺I

CCPA/CPRA及び米国州プライバシー法条項

1．役割。アイディールズは、クライアント個人データに関して「サービスプロバイダー」及び／又は「処理者」として行為する。

2．制限。アイディールズは、以下を行わない：

(a) クライアント個人データを販売し、又は共有すること。

(b) 本契約に定める事業目的以外の目的のためにこれを保持し、利用し、又は開示すること。

(d) クライアントとの直接的な取引関係の範囲外でクライアント個人データを利用すること。

補遺II

日本の個人情報保護法条項

1．適用範囲。本補遺IIは、本契約に基づくクライアント個人データの処理が日本の個人情報の保護に関する法律（以下「個人情報保護法」という）の適用を受ける場合において、その適用を受ける範囲においてのみ適用される。

2．委託。個人情報保護法上、当該処理が個人データの取扱いの委託に該当する場合、クライアントを委託者とし、アイディールズを受託者とする。アイディールズは、サービスの提供の目的のためにのみ、かつクライアントの文書化された指示に従ってのみ、クライアントに代わって個人データを取り扱うものとし、独自の目的のためにこれを取り扱わない。

3．安全管理措置、監督、再委託先並びに返還又は消去。安全管理措置、従業者の秘密保持及びアクセス制限、クライアントによる監督及び監査、再委託先の起用、並びに日本個人データの返還又は消去に関するアイディールズの義務は、それぞれ本DPAの第6条、第7条、第10条及び第9条に定めるとおりとする。これらの義務は、サービスの性質、範囲、背景及び目的を考慮の上、個人情報保護法上求められる必要かつ適切な安全管理措置及び委託先の監督に関する要件とともに、日本個人データについて適用されるものとする。念のため付言すると、委託に係る取扱いに関するクライアントの監督権は、第7条に定める保証、情報提供、協力及び監査の仕組みを通じて行使される。

5．漏えい等及びインシデント対応への協力。アイディールズは、日本個人データについて、漏えい、滅失若しくは毀損又は無権限の開示若しくはアクセスを認識した後、不当に遅滞することなくクライアントに通知するものとし、クライアントが個人情報保護法上の報告義務又は通知義務（必要な場合の個人情報保護委員会及び影響を受ける本人への通知を含む）を評価し、これを遵守することができるよう、アイディールズが利用可能な合理的な情報及び協力を提供する。

6．独自の判断の不要。本補遺IIのいかなる規定も、クライアントが明示的に指示した場合又は適用法令上要求される場合を除き、クライアントが個人情報保護委員会若しくは影響を受ける本人に通知する義務を負うか否かをアイディールズが独自に判断すること、又は本人からの請求に直接対応することを、アイディールズに義務付けるものではない。

7．抵触。本補遺IIと本DPA本文との間に抵触がある場合、本補遺IIは、日本個人データに関する個人情報保護法固有の義務に対応するために必要な限度においてのみ適用される。本DPAのその他の部分は変更されることなく存続する。

AI in M&A 2026

Sell-side report best practices & examples

データ処理付属契約書（DPA）

3．可用性及び回復力