データ処理規約
本規約は、PLOTEGO サービスの提供にあたり欧州委員会により採択された標準契約条項を含む個人情報の処理に関する条件等を定め、株式会社ペンシル（以下「当社」という）と当社が提供するPLOTEGO サービスの契約者との間で適用および反映される契約に関して規定する。本規約は、PLOTEGO 利用規約の補正書であり、本規約および PLOTEGO
利用規約を合わせて契約者に適用される条件等を定め、本規約により追加または修正された規定は、PLOTEGO 利用規
約と一体として PLOTEGO 利用規約の一部を構成するものとする。なお、本規約における用語は、PLOTEGO 利用規約に従うものとし、本規約にない用語については、PLOTEGO 利用規約における意味と同様のものとする。

本規約は、次の各号の定めを含むものとする。
１．別紙１：標準契約条項および次に掲げる事項を定めるものとする。
（１）データ輸出者からデータ輸入者に移転されるデータに関する詳細事項を含む標準契約条項の附属書１（２）データ輸入者による技術的および組織的なデータ保護対策の概要を含む標準契約条項の附属書２
２．別紙２：復処理者を定めるものとする。

第１条 定義本規約における用語の定義は、次の各号に掲げるものとする。
（１）「管理者」とは、個人データ処理の目的および手段を決定する自然人、法人または公的機関であって、単独または一体として活動するものを意味する。
（２）「データ保護法」とは、データ保護およびプライバシーに関して適用されるすべての法律を意味し、欧州連合データ保護指令（９５／４６／EC）、
および、
これらのいずれかを修正または置換する現地の法規（GDPR を含む）、
ならびにEU 加盟国またはその他の適用される国において、国内法として施行され、随時修正、廃止、統合、または他の法律に代替される法律を意味する。なお、「処理する」、「処理」、「処理される」という表現は、当該法律に準じた意味で解釈されるものとする。
（３）「データ主体」とは、個人データに関連する個人を意味するものとする。
（４）「GDPR」とは、２０１６年４月２７日に制定された、個人情報の処理およびその自由な流通に関する欧州議会
および欧州理事会が定めた規則（EU２０１６／６７９）を意味するものとする。
（５）「指示」とは、管理者から処理者に書面または文書で発行された個人情報に関する特定の行動を指示するものを意味し、データの匿名化、ブロック、消去、提供を含むが、それに限らない。
（６）「個人データ」とは、顧客データに含まれる、個人を特定可能なあらゆる情報を意味し、適用されるデータ保護法における個人情報として同様に保護されうる情報をいう。
（７）「個人データの侵害」とは、処理、保存もしくは移転された個人データの偶発的もしくは違法な手段による破壊、喪失、改変、不正開示もしくはアクセスを意味するものとする。
（８）「処理」とは、個人データの移転、拡散もしくはその他の方法による提供、連携、統合、制限もしくは抹消による、個人データに関連して行われる収集、記録、組織化、構造化、保存、翻案もしくは改変、回復、協議、利用、開示の単独または複数の行為をいう。

（９）「処理者」とは、管理者の代理として個人データを処理する自然人、法人、公的機関もしくはその他の団体であって、単独または一体として活動するものを意味する。
（10）「標準契約条項」とは、欧州委員会による２０１０年２月５日の決定（C（２０１０）５９３）に従い、データ保護に関して十分なレベルを保証することができない第三国で設立された処理者への個人データの移転に関する標準契約条項を意味し、別紙１として添付された条項をいう。

第２条 処理の詳細
本規約における個人データの処理の詳細は、次の各号に定めるとおりとする。
（１）データ主体の分類：次の各号に定める管理者の接触者またはエンドユーザーを含むが、この限りではない。
（a）管理者の見込み客、顧客、取引先もしくは供給業者（b）管理者の見込み客、顧客、取引先もしくは配給業者の従業員または担当者（c）管理者の従業員、代理人またはアドバイザー（d）ウェブサイトの訪問者等、サービスを利用するための権限を管理者から与えられた利用者（２）個人データの種類：管理者の自由裁量により決定または管理される範囲の個人データをいい、次の各号を含むがこの限りではない。
（a）氏名
（b）役職
（c）会社名（d）メールアドレス、電話番号および会社住所（e）ID データ（f）行動データ（g）閲覧データ（h）機器データ（３）処理の内容と性質： 処理者による個人データの処理内容は、個人データの処理を含む管理者への役務提供であり、個人データはPLOTEGO 利用規約等により定められた処理の対象となるものとする。
（４）処理の目的：個人データは、定められた役務の提供もしくはPLOTEGO 利用規約等において合意されたサービスの提供を目的として処理されるものとする。
（５）処理の期間：個人データは、本規約第４条に従い、PLOTEGO 利用規約で定める期間内において処理されるものとする。

第３条 顧客の責任
PLOTEGO 利用規約およびサービス利用の範囲内において、管理者は、データ保護およびプライバシーに関連する法的要件、特に個人データの処理者への開示ならびに移転または個人データの処理に関連し、当該要件に従うことについて単独で責任を負うものとする。疑義を避けるため、個人データの処理に関する管理者からの指示は、デー
タ保護法に従うものとする。本規約は、個人データに関連する顧客の完全かつ最終的な当社への指示であり、本規約に規定のない指示の追加は、当事者間における事前の書面による合意を必要とするものとする。初期の指示は、PLOTEGO 利用規約において定められるものとし、時間経過に伴い、個別の指示として、管理者による書面の指示

により修正、詳説または置換される場合があるものとする。管理者は、個人データの処理に関する法規条項に関連する誤りや不整について、不当な遅延なくかつ包括的に、処理者に通知するものとする。

第４条 処理者の義務処理者の義務は、次の各号に定めるとおりとする。
（１）指示の遵守：当事者は、顧客が個人データの管理者であり、当社は当該データの処理者であることを認識し、同意するものとする。処理者は、管理者の指示の範囲内で、個人データを収集、処理および利用するものとする。
処理者は、管理者の指示がデータ保護法に違反するおそれがあると判断した場合、その旨を速やかに管理者に通知するものとする。適用可能な欧州連合法または加盟国の国内法に基づく法的要件によって、処理者が管理者の指示に従って個人データを処理することができない場合、処理者は、データ保護法によって認められる範囲に関連する処理を行う前に、管理者に対し当該法的要件を速やかに通知し、加えて、影響を受けた個人データの保護のための単なる保存および維持を除き、処理者が従うことができる新たな指示を管理者が発行するまで、全ての処理を停止するものとする。前文の規定を実施する場合、処理者は、管理者による処理に関する新たな指示が出るまでの間、PLOTEGO 利用規約におけるサービスの不履行の責任を管理者に対して負わないものとする。
（２）安全対策：処理者は、標準契約条項の附属書２に規定される個人データの偶発的もしくは違法な個人データの破壊、喪失、改変、不正開示もしくはアクセスに対する適切な保護のため、技術的かつ組織的な対策をとるものとする。当該対策は次の各号を含むが、この限りではない。
（a）権限のない者による個人データ処理システムへのアクセスの防止（物理的アクセス制御）（b）権限のない者による個人データ処理システムの利用の防止（論理的アクセス制御）（c）個人データ処理システムへのアクセス権を持つ者が権限のある個人データのみにアクセス可能であること、また、個人データの処理もしくは利用の過程および保存後において、権限なしに当該個人データの読み取り、複製、修正もしくは消去の防止を保証（データアクセス制御）（d）個人データの電磁的手段による移転、通信または記録メディアによる保存時における権限のない者の読み取り、複製、修正または消去の防止、また、データ通信装置による個人データ移転の対象事業者の確立と認証の保証（データ通信制御）

次の各号は、データアクセス要請ならびにセキュリティポリシーの対象とする：（e）個人データ処理システムへのアクセス、また、個人データの修正または消去の有無を記録する監査証跡の確立を保証（エントリー制御）（f）個人データが指示のみに従って処理されることの保証（指示制御）（g）個人データの偶発的な破壊または喪失からの保護の保証（可用性制御）

管理者の要請により、処理者は、次に掲げる処理に関連する直近の個人データの保護およびセキュリティ対策を提出するものとする：
処理者は、個人データに関する安全対策の実施に対する管理者の義務（適用可能なGDPR 第３２条から第３４条に規定する管理者の義務を含む）の遵守を促進するため、附属書２に基づく安全対策を実施もしくは維持し、第４条第（４）号の規定（個人データの侵害）に従い、または、第５条（監査）の規定に関連し、処理に関する情報を管理者に提供するものとする。
（３）機密保持：処理者は、個人データについて、処理者を代表して個人データを処理する権限を付与した者が機密保持義務を果たすことを保証し、権限を有する行為の終了後もこの保証は継続するものとする。
（４）個人データの侵害：処理者は、個人データに影響を与える個人データの侵害について認識した場合、速やかに管理者に通知するものとする。管理者の要請により、処理者は速やかに管理者に対し必要となる全ての合理的な支援を提供し、データ保護法により管理者が必要とされる場合、管理者が所轄官庁またはデータ主体に対して個人
データの侵害を通知できるようにするものとする。
（５）データ主体からの要請：処理者は、管理者が個人データについてデータ保護法に基づく権利を行使しようとする
データ主体からの法的に認められた範囲における要請（適用される場合は、個人データのアクセス、訂正、制限、消去、またはポータビリティを含む）に対応できるよう、処理の性質を考慮し、十分な技術的および組織的な手段を含む、合理的な支援を管理者に提供するものとする。その様な要請が処理者に直接なされた場合、処理者は速やかに管理者に通知し、データ主体に対し、管理者に当該要請を提出するよう通知するものする。管理者は、
データ主体からの要請の対応に関し、単独で責任を負うものとし、当該支援により処理者に発生した費用を処理者に対し弁済するものとする。
（６）復処理者：処理者は、管理者の書面による同意を得た場合に限り、PLOTEGO 利用規約に定義する処理者の義務を再委託させることができるものとする。本目的のために、管理者は、別紙２に掲げる処理者の提携会社および第三者である復処理者の関与に同意するものとする。疑義を避けるため、前述の同意は、標準契約条項第11条の規定において、処理者による再委託に対する管理者の事前の書面による事前の同意に相当するものとする。

処理者が別紙２に掲げる復処理者以外の第三者に再委託を行う場合、処理者は、管理者に対し書面により通知し（処理者が管理する管理者のアカウント情報に記録された電子メールアドレスへの電子メールの送信で足りる）、
当該第三者への再委託に関する異議について判断する期間として通知後３０日の期間を与えるものとする。管理者による異議は、当該第三者の個人データの保護に不十分な点があると証明できる場合等、合理的な理由を必要とするものとする。管理者および処理者は、当該異議を解決できない場合、一方当事者から他方当事者への書面による通知によりPLOTEGO 利用規約を解約できるものとする。管理者は、当該解約後、事前に支払った未使用の費用に限り、返金を受けることができるものとする。

処理者が再委託する場合、処理者は、本規約において処理者に適用される義務と同等の義務を復処理者に課す契約を締結するものとし、復処理者がデータ保護義務を履行することができない場合、処理者は、復処理者による当該義務の不履行につき、管理者に対して責任を負うものとする。

復処理者が従事する場合、管理者は、本規約およびデータ保護法に従い、復処理者の行為を調査および監視する権利が与えられるものとし、契約内容および再委託におけるデータ保護義務の履行について、書面による要請に基づく処理者から管理者への情報提供および必要とされる場合は関連する契約書類の調査を含むものとする。

本条において定める規定は、処理者が、欧州経済領域（以下「EEA」という）圏外にあり、欧州委員会が個人データの保護に関して十分なレベルを保証することができないと認定した国の復処理者に再委託する場合において、相互に適用されるものとする。本規約の履行において、PLOTEGO が EEA 圏外の復処理者に個人データを移転する場合、当該移転に先立たって、PLOTEGO に処理において十分な保護レベルに達するための法的仕組みが整っていることを保証する。
（７）データ移転：管理者は、PLOTEGO 利用規約に基づくサービス提供と関連し、個人データが日本に登記する当社もしくはアメリカ合衆国に登記する Cybba, Inc.（以下「Cybba」という）に提供されることを認識し、同意するものとする。標準契約条項の別紙１は、データ保護法に規定されるとおり、直接的もしくは転送移転である
かに関わらず、EEA 圏外の欧州委員会が個人データの保護に関して十分なレベルを保証することができないと認定した国に個人データが移転される場合においても適用されるものとする。
（８）個人データの消去および復旧：PLOTEGO 利用規約の終了または期間満了後、データ保護法に従い必要とされる範囲において、処理者は、本規約に従い全ての個人データ（その写しを含む）を消去するものとする。技術的その他の理由により処理者が個人データを消去することができない場合、処理者は、さらなる処理ができないよう個人データが遮断されていることを保証するための対策をとるものとする。

管理者は、PLOTEGO 利用規約の終了または期間満了に伴い、指示を発行することにより、処理者が設定した期間内において、保存された個人データを消去する合理的な対策を要請するものとする。PLOTEGO 利用規約の終了または期間満了後における個人データの消去に関して発生した費用は管理者が負担するものとする。

第５条 監査管理者は、処理の開始前および処理開始後定期的に、処理者が講じた技術的かつ組織的な対策を監査できるものとする。当該目的において、管理者は、処理者からの情報提供または独立した専門家による現存する証明書もしくは認定書の管理者への提出を要請できるものとする。また、合理的かつ時宜にかなった事前合意に基づき、処理者の競業他社でない資格のある第三者による、処理者の業務を阻害することなく、処理者の営業時間内であることを条件とした処理者の業務の立入検査の実施を行うことができるものとする。

処理者は、管理者の書面による要請におよび合理的な期間に基づき、処理者の管理下にあり、適用可能な法令、機密保持義務、またはその他第三者に対して負う義務を妨げない範囲内において、管理者による当該監査に必要な情報を提供するものとする。

第６条 一般規定
本規約の更新および変更については、PLOTEGO 利用規約における「本規約等の変更」の規定が適用されるものとする。規定に矛盾がある場合は、本規約は、PLOTEGO 利用規約に優先して適用されるものとする。本規約の規定の一部が無効または実施不能である場合においても、本規約の有効および実施可能な規定に影響を与えないものとする。

PLOTEGO 利用規約への本規約の統合においては、第７条（本規約の当事者）に定める当事者は、適用可能な場合、標準契約条項およびすべての附属書に同意するものとする。本規約と附属書１における標準契約条項に矛盾もしくは不一致がある場合、標準契約条項が優先されるものとする。

PLOTEGO は、サービス提供に直接的に適用される GDPR の規定に従って個人データを処理するものとする。

第７条 本規約の当事者
本規約は、PLOTEGO 利用規約の補正書であり、その一部を構成するものとする。PLOTEGO 利用規約への本規約の統合においては、管理者および当社ならびにCybba がPLOTEGO 利用規約の当事者であるときは、本規約のそれぞれの当事者であるものとし、当社ならびにCybba がPLOTEGO 利用規約の当事者ではない範囲においては、
本規約の標準契約条項、本条ならびに標準契約条項自体に関連する同意のみについて、当社ならびに Cybba は本規約の当事者であるものとする。

当社およびCybba がPLOTEGO 利用規約の当事者ではない場合、
PLOTEGO 利用規約における責任制限の規定は、管理者と当社ならびに Cybba 間で適用されるものとし、PLOTEGO への言及は、PLOTEGO 利用規約の当事者である当社を含むものとする。

管理者として本規約に同意する法的主体は、本規約に同意する権限を持ち、管理者として単独で本規約に同意するものとする。

別紙１ 標準契約条項（処理者用）
データ保護に関して十分なレベルを保証することができない第三国に設立された処理者への個人データの移転に関する
欧州連合データ保護指令（９５／４６／EC）第２６条第（２）項を目的として、PLOTEGO 利用規約において定義される顧客（以下「データ輸出者」という）および当社（住所：福岡県福岡市中央区天神 1-3-38 天神 121 ビル 5F）ならびに
Cybba（住所：580 Harrison Ave, Boston, MA 02118, USA）
（以下、当社および Cybba を合わせて「データ輸入者」という）は、附属書１に定める個人データのデータ輸出者からデータ輸入者への移転に対して、プライバシーの保護、個人の基本的権利および自由に関して十分な保護を明示するために、次に定める契約条項（以下「本条項」という）に同意する。

第１条 定義本条項における用語の定義は次の各号に定めるとおりとする。
（１）「個人データ」、「特別カテゴリーデータ」、「処理」、「管理者」、「処理者」、「データ主体」および「監督機関」は、個人データの処理および自由な流通に関する個人の保護について欧州議会および欧州理事会が１９
９５年１０月２４日に定めた欧州連合データ保護指令（９５／４６／EC）と同様の意味を持つものとする。
（２）「データ輸出者」は、個人データを移転する管理者を意味する。
（３）「データ輸入者」は、データ輸出者からの指示および本条項に従い、データ輸出者の代理としてデータ輸出者からデータを受信後に処理することを目的として、個人データを受信することに同意した処理者を意味する。
（４）「復処理者」とは、データ輸入者の指示、本条項および書面による再委託契約に従い、データ輸入者の代理としてデータの処理を行うことのみを目的としてデータ輸入者から業務を委託された処理者、また、データ輸入者の復処理者から業務を委託され、データ輸入者もしくはその他の復処理者から個人データを受信することに同意した復処理者を意味する。
（５）「適用されるデータ保護法」は、個人データの処理に関連し、個人の基本的権利および自由、特に、プライバシーに関する権利を保護し、データ輸出者が設立された EU 加盟国においてデータ管理者に適用される法令を意味する。
（６）「技術的および組織的なセキュリティ対策」とは、特にネットワークを通じた送信による処理が行われる場合の偶発的もしくは違法な破壊、偶発的な喪失、改変、不正開示もしくはアクセス、および、その他のあらゆる違法な処理形態から個人データを保護するための対策を意味する。

第２条 移転の詳細
データの移転、特に、該当する場合は特別カテゴリーデータの移転の詳細は、附属書１に定めるものとし、本条項の不可分のものとして構成する。

第３条 第三受益者
１．データ主体は、第三受益者として、データ輸出者に対し、本条、第４条第（２）号乃至第（９）号、第５条第（１）号乃至第（５）号ならびに第（７）号乃至第（10）号、第６条、第７条、第８条第２項、および第９条乃至第１２条を執行することができるものとする。

２．データ主体は、データ輸出者が事実上消滅し、または法律上存在しなくなった場合、データ輸入者に対し、本条、第５条第（１）号乃至第（５）号ならびに第（７）号、第６条、第７条、第８条第２項、および第９条乃至第１２項の権利を行使できるものとするが、データ輸出者の義務を契約もしくは法令によって承継した結果、データ輸出者の権利と義務を承継者が引き継いだ場合は、当該承継者に対して権利を行使できるものとする。
３．データ主体は、データ輸出者およびデータ輸入者が事実上消滅し、法律上存在しなくなった場合、または支払不能に陥った場合、復処理者に対し、本条、第５条第（１）号乃至第（５）号ならびに第（７）号、第６条、第７条、第８条第２項、および第９条乃至第１２項の権利を行使できるものとするが、データ輸出者の義務を契約もしくは法令によって承継した結果、データ輸出者の権利と義務を承継者が引き継いだ場合は、当該承継者に対して権利を行使できるものとする。復処理者の対第三者責任は、本条項に基づく自身の処理業務に限定されるものとする。
４．当事者は、データ主体が希望し、または国内法により認められる場合、協会またはその他の機関がデータ主体を代理することに異議を申し立てないものとする。

第４条 データ輸出者の義務
データ輸出者は、次の各号に定める内容について同意し、保証するものとする。
（１）個人データの移転を含む個人データの処理が、適用されるデータ保護法の関連する規定に従い実施されてきたこと、および、今後も引き続き当該規定に従って実施していくこと、（また、該当する場合は、データ輸出者が設立された EU 加盟国の関係当局に通知を行っていること）、さらに、当該加盟国の関連条項に違反しないこと。
（２）データ輸入者に対し、移転された個人データの処理を、適用されるデータ保護法および本条項に従い、当該データ輸出者のためにのみ行うよう指示していること、また、個人データ処理サービスの継続期間を通じて、かかる指示を行うこと。
（３）データ輸入者が、本条項の附属書２に定める技術的および組織的なセキュリティ対策に関して、十分な保証を提供すること。
（４）適用されるデータ保護法要件の評価に従い、セキュリティ対策が、特にネットワークを通じた送信による処理が行われる場合の偶発的または違法な破壊、偶発的な喪失、変更、不正開示またはアクセス、およびその他のあらゆる違法な処理形態から個人データを保護するのに適切なものであり、また、これらの対策が、最新の技術と対策実施費用を考慮した上で、処理およびデータの本質により生じるリスクを回避できるよう適切なレベルのセ
キュリティを確保するものであること。
（５）セキュリティ対策の確実な遵守を図ること。
（６）移転に特別カテゴリーのデータが含まれる場合、データ主体に対し、当該データ主体のデータが欧州連合デー
タ保護指令（９５／４６／EC）の意義の範囲で個人データの保護に関して十分なレベルを保証することができないと認定された国に移転される可能性がある旨を通知済みであること、もしくは事前に通知すること、または事後に可能な限り速やかに通知すること。
（７）第５条第（２）号および第８条第３項に基づき、データ輸入者または復処理者から受領した通知を、データ保護監督機関に転送すること。ただし、データ輸出者が、移転の継続または移転の一時停止を解除する旨を決定した場合に限る。
（８）要請に基づき、データ主体に対し、附属書 2 を除く本条項のコピー１部、およびセキュリティ対策の概要、ならびに本条項に従って締結された再委託に関する契約書のコピー１部を提供すること。ただし、本条項または再委託契約に商業上の情報が含まれる場合、データ輸出者は、当該情報を除外することができるものとする。
（９）再委託が行われる場合、当該処理業務が、データ主体の個人データおよび権利に対し、少なくとも本条項におけるデータ輸入者と同レベルの保護を提供する復処理者により、第 11 条に整合的に実施されること。
（10）第４条第（１）号乃至第（10）号の遵守を確保すること。

第５条 データ輸入者
データ輸入者は、次の各号に定める内容について同意し、保証するものとする。
（１）個人データの処理を、データ輸出者のためにのみ、データ輸出者の指示および本条項に従って実施すること。
何らかの理由により前述の内容を遵守することができない場合、データ輸入者は、速やかにデータ輸出者に通知することに同意するものとし、この場合、データ輸出者は、データ移転を一時停止する権利および／または
本契約を解除する権利を有する。
（２）データ輸入者に適用される法令により、データ輸出者からの指示の遂行および本契約に基づく自身の義務の履行が妨げられると信じる理由が存在しないこと。当該法令に、本条項に規定された保証および義務に実質的に悪影響を及ぼすおそれのある変更が行われた場合、データ輸入者は、当該変更を認識した後、データ輸出者に対して速やかに当該変更を通知するものとし、この場合、当該データ輸出者は、データ移転を一時停止する権
利および／または本契約を解除する権利を有する。
（３）移転された個人データの処理を行う前に、附属書２で定める技術的および組織的セキュリティ対策を講じていること。
（４）次の各号について、データ輸出者に速やかに通知すること。
（a）刑法に基づく法執行機関の捜査の秘密性を維持するために通知が禁止されている場合等を除き、法執行機関
から、法的拘束力を有する個人データの開示要請を受けた場合。
（b）偶発的または不正アクセス。
（c）データ主体から直接受けた要請。ただし、対応することが認められている場合を除き、通知以前に要請への対応を行わないものとする。
（５）移転対象である個人データの処理に関するデータ輸出者からの全ての質問を迅速かつ適切に処理すること。また、移転されたデータの処理に関する監督機関からの助言に従うこと。
（６）データ輸出者の要請に基づき、データ輸出者、また該当する場合、監督機関との合意によりデータ輸出者により選定された、独立性および必要とされる専門的資格を有し、機密保持義務に拘束されるメンバーにより構成された検査機関が実施する、本条項の対象となる処理活動の監査のためにデータ処理設備を提供すること。
（７）要請に基づき、データ主体に対し、本条項またはデータの再委託に関する既存の契約書のコピー１部を提供すること。ただし、本条項または再委託契約に商業上の情報が含まれる場合は、当該情報を除外することができるものとし、附属書２は、データ主体がそのコピーをデータ輸出者から入手できない場合は、セキュリティ対策の概要で代替するものとする。
（８）再委託によるデータの復処理が行われる場合、事前にデータ輸出者に通知し、書面による同意を得ること。
（９）復処理者による処理が、本条項の第11 条に従い実施されること。
（10）本条項に基づき締結されたデータの再委託契約書のコピー１部を、速やかにデータ輸出者に送付すること。

第６条 法的責任
両当事者は、当事者のいずれかまたは復処理者が本条項の第３条または第 11 条に違反したことにより損害を被った
データ主体が、当該損害について、データ輸出者から賠償を受ける権利を有することに同意する。

データ輸出者が事実上消滅し、もしくは法律上存在しなくなったこと、または支払不能に陥ったために、データ主体
が、データ輸入者または復処理者が第３条または第11 条に基づく義務に違反したことに起因する本条第１段に基づく賠償請求をデータ輸出者に対して行うことができない場合、データ輸入者は、データ主体が、データ輸入者がデータ輸出者であるものとして、データ輸入者に対して請求を行うことができることに同意する。ただし、データ輸出者の承継者が、契約または法律により、データ輸出者の法的義務を全て引き受けた場合を除く。この場合、当該データ主体は、当該承継者に対して権利を行使することができる。

データ輸入者は、復処理者により違反が行われたという事実に依拠して自身の法的責任を回避することはできない。

データ輸出者およびデータ輸入者の双方が事実上消滅し、もしくは法律上存在しなくなった場合、またはこれらの双方が支払不能に陥ったために、データ主体が、復処理者が第３条または第 11 条に規定された義務に違反したことに起因する請求について、本条第１段および第２段に規定されたデータ輸出者またはデータ輸入者に対する請求を行うことができない場合、復処理者は、データ主体が、本条項に基づく自己の復処理に関して、復処理者がデータ輸出者またはデータ輸入者であるものとして、復処理者に対して請求を行うことができることに同意する。ただし、データ輸出者またはデータ輸入者の承継者が、契約または法律により、データ輸出者またはデータ輸入者の法的義務を全て引き受けた場合を除く。この場合、データ主体は、当該承継者に対して自身の権利を行使することができる。復処理者の法的責任は、本条項に基づく自身の処理業務に限定されるものとする。

第７条 調停および裁判管轄
１．データ輸入者は、データ主体が本条項に基づきデータ輸入者に対して第三受益者としての権利を行使し、および／または損害賠償請求を行った場合、データ主体による以下の決定に従うことに同意する。
（１）当該紛争を、独立した第三者、または該当する場合は監督機関による調停に付託すること。
（２）当該紛争を、データ輸出者が設立された EU 加盟国の裁判所に付託すること。
２．両当事者は、データ主体が前述の選択を行った場合においても、データ主体が国内法または国際法の他の条項に従い救済を求める実体的権利または手続的権利を損なわないことに同意する。

第８条 監督機関との協力
１．データ輸出者は、監督機関が要請した場合、または適用されるデータ保護法に基づき必要とされる場合、本契約書のコピー１部を監督機関に預けることに同意する。
２．両当事者は、監督機関がデータ輸入者および復処理者の監査を行う権利を有することに同意し、当該監査は適用されるデータ保護法に基づくデータ輸出者に対する監査と同じ範囲の監査であり、監査に適用される条件と同一の条件に服するものとする。

３．データ輸入者は、本条第２項に基づくデータ輸入者または復処理者の監査の実施を妨げる、データ輸入者または復処理者に適用される法律が存在する場合、データ輸出者に速やかに通知するものとする。この場合、データ輸出者は、第５条（２）号で想定される措置を講じる権利を有するものとする。

第９条 準拠法
本条項は、データ輸出者が設立された EU 加盟国の法律に準拠するものとする。

第 10 条 契約の変更
両当事者は、本契約の変更または修正を行わないものとする。ただし、両当事者が、本条項と矛盾しない限度で、必要に応じて商取引上の条項を追加することを妨げるものではない。

第 11 条 復処理
１．データ輸入者は、データ輸出者の事前の書面による同意がある場合を除き、本条項に基づきデータ輸入者がデータ輸出者のために履行する処理業務を再委託しないものとする。データ輸入者が、データ輸出者の同意を得て本条項に基づく自身の義務を再委託する場合、データ輸入者は、本契約に基づきデータ輸入者に課される同一の義務を復処理者に課す契約を書面で締結することによってのみ、かかる処理の再委託を行うものとする。復処理者が、かかる書面による契約に基づくデータ保護義務の履行を怠った場合、データ輸入者は、当該契約に基づく復処理者の義務の履行について、データ輸出者に対し完全に責任を負うものとする
２．データ輸出者またはデータ輸入者が事実上消滅し、もしくは法律上存在しなくなった場合、またはこれらの双方が支払不能に陥った場合で、かつ契約または法律によりデータ輸出者またはデータ輸入者の法的義務を全て引き受ける承継者が存在しないため、データ主体が第６条第１段に規定された損害賠償の請求をデータ輸出者またはデータ輸入者に対して行うことができない場合に備え、データ輸入者と復処理者との間の事前の書面による契約には、第３条に定められている第三受益者条項を規定するものとする。かかる復処理者の第三者に対する法的責任は、本条項に基づく自身の処理業務に限定されるものとする
３．本条第１項で言及される、契約に基づく再委託におけるデータ保護の観点に関する規定は、データ輸出者が設立された EU 加盟国の法律に準拠するものとする。
４．データ輸出者は、本契約に基づき締結され、第５条（10）号に基づきデータ輸入者から通知された再委託契約のリス
トを保管するものとする。同リストは、少なくとも１年に１回の更新が行われるものとし、データ輸出者のデータ保護監督機関も入手することできるものとする。

第 12 条 個人データ処理サービス終了後における義務
１．両当事者は、データ処理サービスの提供が終了した際、データ輸入者および復処理者が、データ輸出者の選択に従い、移転された全ての個人データおよびそのコピーをデータ輸出者に返却するか、または全ての個人データを破棄し、データ輸出者に対して破棄を行った旨を証明することに同意する。ただし、データ輸入者に適用される法律により、データ輸入者が移転されたデータの全部または一部の返還または破棄することが防止されている場合を除く。この場合、データ輸入者は、移転された当該個人データの秘密を保証することおよび当該個人データの処理を積極的に行わないことを保証する。

２．データ輸入者および復処理者は、データ輸出者および／または監督機関の要請に応じ、本条第１項に規定された措置の監査のため、データ処理設備を提供することに同意する。

標準契約条項に対する附属書１
本附属書は、本条項の一部を構成する。EU 加盟国は、国内における手続きに従い、本附属書に含めるべき必要な追加情報を補完または記載するものとする。

１．データ輸出者
データ輸出者は、PLOTEGO 利用規約において定義する顧客であるものとする。

２．データ輸入者
データ輸入者は、当社およびCybba であり、両者はデジタル広告およびデジタルマーケティングソリューションの提供者であるものとする。

３．データ主体
データ主体のカテゴリーは、データ処理規約第２条に定めるとおりとする。

４．データのカテゴリー
個人データのカテゴリーは、データ処理規約第２条に定めるとおりとする

５．特別カテゴリーのデータ（該当する場合）
両当事者は、特別カテゴリーに該当するデータの移転を予定していない。

６．処理業務
処理業務は、データ処理規約第２条に定めるとおりとする。

標準契約条項に対する附属書２
本附属書は、本条項の一部を構成する。

別紙１標準契約条項第４条（４）号および第５条（３）号（もしくは、添付された書面／法令）に従ってデータ輸入者が実施する技術的および組織的なセキュリティ対策の概要：

データ輸入者は、現在、本附属書２において規定するセキュリティ対策を遵守する。これとは異なる規定がデータ輸出者
によって定められていたとしても、データ輸入者は、自身の裁量により当該対策を変更または更新することができるものとする。ただし、当該変更または更新がセキュリティ対策の低下につながらない場合に限るものとする。本附属書において別途定義される用語以外は、全て PLOTEGO 利用規約における用語の定義と同じものであるものとする。

第１条 アクセス制御
１．不正アクセスの防止
外部ベンダーによる処理：データ輸入者は、サービスのホスティングにあたり、外部のクラウドインフラプロバイダ
ーを利用する。加えて、データ輸入者は、データ処理規約に従い、サービス提供を目的として、ベンダーと契約関係を持つものとする。データ輸入者は、当該ベンダーにより処理されたもしくは保存されたデータの保護を目的として、契約条項、プライバシーポリシー、および、ベンダーのコンプライアンスプログラムに準拠する。

物理的および環境的セキュリティ：データ輸入者は、製品インフラのホスティングにあたり、外部のマルチテナント
型インフラプロバイダーを利用する。物理的および環境的セキュリティ管理は、SSAE-16 およびその他の保証基準により検査されるもとする。

認証：データ輸入者は、顧客に提供する製品に対し、一律のパスワードポリシーを採用するものとする。ユーザーイ
ンタフェースを通じて当該製品に関わる顧客は、非公開の顧客データにアクセスする前に、信用性を認証しなければならないものとする。

権限付与：顧客の個人データは、顧客がアクセス可能なマルチテナント型のシステムに、アプリケーションユーザー
インタフェースおよびアプリケーションプログラミングインターフェースのみを通じて保存されるものとする。顧客は、根本のアプリケーション構造に直接アクセスすることはできないものとする。データ輸入者の各製品に関する権
限付与モデルは、適切に任命された者のみが関連する機能、閲覧、カスタム設定にアクセスできること保証するために設計される。データセットに対する権限付与は、データセットに関連付けられた属性に対するユーザーの権限認証
を通じて実施される。

アプリケーションプログラミングインターフェース（API）によるアクセス：公開された製品 API は、API キーの利用または権限付与を通じてアクセスすることができるものとする。

２．不正な製品利用の防止
データ輸入者は、製品を支えるための内部ネットワークに対し、業界標準のアクセス制御および検出機能を実装する
ものとする。

アクセス制御：ネットワークアクセス制御の仕組みは、不正なプロトコルを利用したネットワークトラフィックが製品インフラに達することを防止するために設計される。実装される技術的対策は、インフラプロバイダーにより異なり、仮想プライベートクラウド（VPC）の実装、セキュリティグループの割り当て、および従来のファイアウォール
ルールを含むものとする。

不正侵入検出および防止：データ輸入者は、ホスティングしている顧客のウェブサイトおよびその他インターネット
を通じてアクセス可能なアプリケーションを保護するため、ウェブアプリケーションファイアウォール（WAF）を実装するものとする。WAF は、公開されているネットワークサービスに対する攻撃を識別し、防止するために設計される。

第３条 権限の制限および条件
製品アクセス：データ輸入者の従業員の一部は、製品および制御されたインターフェースを通じて顧客データにアクセスすることができるものとする。データ輸入者の一部の従業員に対するアクセス権付与は、質の高いカスタマーサ
ポートの提供、潜在的な問題の解決、セキュリティ事故の検出もしくはその対応、および、データセキュリティの実装を目的とする。従業員は、役割に基づきアクセス権を付与される。アクセスは、アクセス要請に基づき有効となり、当該要請の全ては記録されるものとする。

身元確認：データ輸入者の全ての従業員は、適用される法令に従い、雇用契約の締結に優先して第三者による身元確認を受けるものとする。全ての従業員は、会社ガイドライン、機密保持義務および職業倫理に則した態様の振る舞いが要求される。

第２条 通信制御
送信時：データ輸入者は、全てのログインインターフェースおよびデータ輸入者の製品でホスティングされた全ての顧客ウェブサイトに無償でHTTPS による暗号化（SSL もしくは TLS とも呼ばれる）を提供する。データ輸入者の
HTTPS 実装は、業界標準のアルゴリズムおよび証明書を利用するものとする。

第３条 入力制御
検出：データ輸入者は、システム動作、受信したトラフィック、システム認証、およびその他のアプリケーション要
請に関し、幅広い情報を記録するインフラを設計する。内部システムは、ログデータとアラートを収集し、悪意のある、想定外の、または異常な挙動を従業員に警告する。セキュリティ、運用、およびサポート人員を含むデータ
輸入者の従業員は、既知の事故に対して速やかに対応するものとする。

対応および追跡：データ輸入者は、既知の事故の概要、関連する挙動の日付、および性質を含む当該事故の記録を保存するものとする。検出および確認されたセキュリティ事故は、セキュリティ、運用、またはサポート人員により調査され、この場合、適切な解決手段をつきとめ、書面化するものとする。データ輸入者は、確認されたあらゆる事故に対し、製品および顧客の被害ならびに不正開示を最小化するために適切な措置を講じるものとする。

コミュニケーション：データ輸入者は、製品に保存された顧客データに対する不正アクセスを認識した場合、事故による影響を受ける顧客に対して通知し、事故を解決するためにデータ輸入者が講じる対策の概要を提供し、また、
データ輸入者が必要と判断する場合、顧客の連絡先に対して状況を報告するものとする。事故の通知がある場合は、データ輸入者が選択した顧客の１つもしくはそれ以上の連絡先に伝えられ、E メールまたは電話による通知を含むものとする。

第４条 可用性制御
インフラの可用性：インフラプロバイダーは、最低でも 99.95%のシステム稼働率を保証するために、商業的に合理的な努力をするものとする。プロバイダーは、電力、ネットワーク、HVAC サービスに対し、最低でもN+1 冗長性を維持するものとする。

フォールトトレランス（耐障害性）：バックアップおよびレプリケーションは、重大な処理障害における冗長性およびフェイルオーバー保護を保証するために設計される。顧客データは、複数の恒久性のあるデータ保存装置によりバックアップされ、複数のアベイラビリティゾーンにレプリケーションされるものとする。

オンラインのレプリカおよびバックアップ：実現可能な場合、本番データベースは、１つ以上のプライマリデータベ
ースと１つ以上のセカンダリデータベース間でデータをレプリケーションするように設計される。全てのデータベ
ースは、少なくとも業界標準の方法でバックアップおよび維持されるものとする。

データ輸入者の製品は、冗長性および円滑なフェイルオーバーを保証するように設計される。製品をサポートするサーバーインスタンスは、単一障害点の防止を目的として設計される。当該設計は、ダウンタイムを抑制しながら、データ輸入者による製品アプリケーションおよびバックエンドの維持ならびに更新に活用される。

別紙２ 復処理者のリスト

AddShoppers, Inc.
AdAction Interactive
Adacado Inc.
AppNexus Inc.
AppsFlyer Ltd.
Datorama Inc.
Facebook Inc.
Google, Inc.
HostGator
Hubspot, Inc.
Instagram Inc.
Kochava Inc.
LinkedIn Corporation
Liquidweb
Oplytic
Oracle Moat
Pocket MediaSalesforce.com, Inc.
SparkPost Inc.
Tune, Inc.
Twitter, Inc.
その他、Cybba に従属する組織