UK 一般データ保護規則条件
本 UK 一般データ保護規則条件（以下、「本条件」といいます）において、Smart Data Platform サービス（以下、「本サービス」といいます）の提供における契約者および当社の間で行われるデータ処理に関して、両当事者の義務を定めます。なお、本条件は、契約者が個人データの管理者であり、当社が処理者の場合に適用されるものとします。
第 1 章 定義
1 本条件において使用される以下の用語は、以下に定める意味を有します。なお、Smart Data Platform サービス利用規約において定義され、使用されているすべての用語は、別段の定めがない限り、本条件において同様の意味を有します。
1.1 「関連会社」とは、ある事業体との関係で、当該事業体に支配されるか、当該事業体を支配するか、当該事業体と共通の支配下にある他の事業体をいいます。
1.2 「当社設備」とは、本サービス提供のために当社により所有、リース、または提供される設備をいいます。
1.3 「支配」とは、ある事業体の経営及び方針を、議決権又は契約等により、指示する権能をいいます。
1.4 「（データ）管理者」とは、単独でまたは共同して個人データの処理の目的および手段を決定する者をいいます。
1.6 「契約者データ」とは、当社が提供・管理するソフトウェアまたはシステムにより本サービスの一部として提供する当社の設備上に契約者が保管するデータをいいます。
1.7 「データ保護影響評価（Data Protection Impact Assessments）」および「データ主体(Data Subject)」とは、UK GDPR に定める意味を有します。
1.8 「データ保護法」とは、UK GDPR を含む UK の個人情報の保護に関する法令をいいます。
1.9 「UK」とは、グレート・ブリテンおよび北アイルランド連合王国（United Kingdom of Great Britain and Northern Ireland）をいいます。
1.10「エンドユーザ」とは、契約者を通じて本サービスを使用するか、契約者に対して提供された本サービスにアクセスする者をいいます。
1.12「UK GDPR」とは、個人情報の処理とデータの自由な移転に関して個人を保護する目的で 2016 年 4 月 27 日に欧州議会および作業部会により制定された規則（EU）2016/679 が、the Data Protection, Privacy and Electronic Communications(Amendments etc) (EU Exit) Regulations 2019 (as amended by the Data Protection, Privacy and ElectronicCommunications (Amendments etc)(EU Exit) Regulations 2020 によって、UK 国内法化されたものをいいます。
1.13「個人データ」とは、名前、職務、肩書、連絡先（email アドレス及び住所を含む。）などの識別子を参照することによって直接的または間接的に特定することができる、識別された、または識別され得る自然人に関する全ての情報をいいます。
1.15「処理」または「処理する」とは、取得、記録、編集、構造化、保存、修正または変更、復旧、参照、利用、移転による開示、周知またはその他周知を可能なものにすること、整列または結合、制限、消去または破壊することなど、自動的な手段であるか否かにかかわらず、個人データまたは個人データの集合に対して行われるあらゆる作業または一連の作業をいいます。
1.16「（データ）処理者」とは、管理者のために、個人データを処理する者をいいます。
1.17「セキュリティインシデント」とは、当社が保持する暗号化されていない個人データの不適切または不正な取得を誘発し、個人データのセキュリティまたは機密性を危険にさらす可能性が高いインシデントをいいます。
1.18「再委託先」とは、当社が個人データの処理を委託する、当社の直接支配下にない他の処理者をいいます。

第 2 章. 当社が行う個人データの処理に関する条件
2 処理の目的
2.1 当社は本条件に基づき個人データを処理する場合、データ保護法を遵守するものします。当社は、本契約に定められた当社設備の利用、ヘルプデスク、メンテナンスサービスの提供を含む本サービスの提供に必要な範囲で契約者の指示によってのみ、個人データを処理するものとします。当社は契約者が提供する個人データの内容を把握しておりません。
3 当社のデータ保護義務
3.1 データ処理者として、当社は以下の義務を遵守します。
3.2 契約者からの書面による指示（書面によるか電磁的方法によるかを問いません。）に基づいてのみ個人データを処理または移転します。
3.3 契約者に要求された場合、データ保護法に定められた契約者自身が負う以下の義務を果たすために十分な支援を行います。
（i） 処理のセキュリティを確保するために必要な技術的組織的安全管理措置を行うこと。
（ii）求められた場合、個人データの違反に関する当局への通知、及び個人データに関係するデータ主体への通知を行うこと。
（iii）データ保護影響評価を行い、当局へ報告すること。
契約者は当社が上記を実施するためにかかる合理的な費用を負担するものとします。
3.4 当社は、従業員または代理人またはその他個人データを処理するものが、機密を遵守し、機密情報に関する適切な法令義務を負うことを保証します。
3.5 本契約における個人データの処理の性質を考慮し、当社は可能な限り適切な技術的組織的安全管理措置により、契約者がデータ保護法における権利を行使するデータ主体の要求にこたえるための支援を行うものとします。契約者は支援にかかる合理的な費用を負担するものとします。
4. 当社のデータセキュリティに関する義務
4.1 当社は個人データの処理において、生じうるリスク（偶発的または違法な破壊、毀損、改ざん、転送・保管・処理される個人情報の不正な開示またはアクセス）に見合った適切な技術的組織的対策を実施コストやサービスの本質を考慮した上で実施します。技術的組織的対策には以下の内容を含みます。
4.1.1 必要かつ適切な場合、個人データの仮名化及び暗号化
4.1.2 現行の機密性、完全性、可用性並びに当社設備及び本サービスの復旧を確実にする能力。
4.1.3 物理的又は技術的事故の場合に時宜を得た方法で可用性を復旧し、個人データにアクセスする能力。
4.1.4 取扱いの安全を確実にするため技術的組織的対策の効果を定期的に点検、審査及び評価するプロセス。
4.1.5 その他、データ保護法を順守するために必要な措置。
4.2 当社は個人データに関するセキュリティインシデントを把握した場合すみやかに契約者に通知を行います。
5 契約終了時の個人データの取扱い
本規約または法令等において定めがない限り、本サービスの終了に伴い、当社が保管する個人データを削除します。
6 個人データの UK 域外移転
本章第 5 条および第 6 条 3 項は個人データの UK 域外への保管・UK 域外からのアクセスがある場合に適用されます。
本章第 6 条に関わらず、本サービスの利用による UK 個人データの UK から日本への移転は、UK GDPR 第 45 条に基づく十分性認定に依拠して行うものとします。
7 再委託先の利用
7.1 当社が個人データを取り扱う再委託先を追加することに対し、契約者は合意するとともに、必要に応じてエンドユーザーの合意を取得します。当社はすべての再委託先のリストを維持し、当社のサービスサイト（https://sdpf.ntt.com/docs/files/itakul.pdf）
で開示します。当社は新しい再委託先を追加する予定がある場合には、新しい再委託先との契約の有効日の 30 日前までに当社のサービスサイト（http://sdpf.ntt.com/）に掲載します。契約者はリストを定期的に確認し、当社からの再委託先追加の通知から15 日以内に本サービスに係る契約のうち新しい再委託先に関するメニュー等のみを解約することで当該再委託先追加に異議を唱えることができます。当該解約は新しい再委託先追加に関する契約者の唯一の救済手段とします。
7.2 当社は個人データの処理に関し、個人データを処理する再委託先と書面による契約または UK の法律に基づいた手段を有していることを保証します。当該契約またはかかる手段は、本条件の第 2 章に定められた処理者に課せられるデータ保護に関する義務と同等の条件を再委託先に課すものとし、再委託先が適切な技術的組織的安全措置を講じることを保証します。
7.3 当社が本サービス及び本規約基づきストレージ、ヘルプデスク、メンテナンスサービス、またはその他のサービスを提供するために再委託先を利用する場合で、その再委託先が欧州委員会が保護に関して十分なレベルの保証をしている旨を決定していない UK 域外の地域に位置する場合、契約者（契約者自身または管理者である契約者の関連会社、エンドユーザまたは顧客）は、当社が個人情報保護法第 24 条に準拠して UK 個人データを再委託先に取り扱わせることに合意します。
8 監査と情報8.1 契約者は当社及び関連会社、またはそのいずれか一方（または、当社及び関連会社、またはそのいずれか一方が選んだ第三者監査人）に、当社が UK GDPR 第 28 条に定められた当社の義務を遵守していることを証明するための監査を実施することを委任します。契約者の求めに応じて、当社及び関連会社は、監査を実施したことを書面により（当社または第三者を通して）証明します。かかる監査は本章第 3 条に定めた技術的組織的安全措置の検査を含みます。
8.2 契約者は監査に関する全ての費用を負担するものとします。
8.3 当社は、契約者に代わって行った処理について以下の項目を含む記録（書面によるか電磁的方法によるかを問いません）を保持します；
8.3.1 当社と契約者の氏名および連絡先情報、（選任されている場合には）データ保護責任者
8.3.2 （該当する場合には）個人データの第三国への移転情報

8.3.3 可能であれば、処理のセキュリティを担保するための技術的組織的安全管理措置の概要
9 損害賠償9.1 契約者は、全てのデータ保護法に準拠し、関連会社及び顧客から、本条件に定める必要な許可及び委任に関する権限を受けていることを保証します。
9.2 当社は本章に定める義務を遂行するため合理的な努力をします。当社は契約者が被った損害について以下の場合を除き責任を負わないものとします；(i)個人データの処理における当社の故意・重過失による場合(ii)契約者の合法的な指示に基づかない、または反する行為によって当社がデータ保護法に違反した場合(iii)当社の過失による死亡もしくは身体損傷(iv)詐欺または詐欺的不実表示への責任(v)その他法令上、除外することのできない責任第 3 章 一般条項
10 契約者の責任
契約者が本条件またはデータ保護法に違反したことに起因して発生した第三者（データ主体及び監督当局を含みます。）からのクレームに関しては、契約者が責任を負うものとし、当社に対して補償し、当社が損害を被らないよう保護するものとします。
11 .期間と契約終了
本条件は本サービス提供期間と同じ期間有効です。
12 準拠法12.1 本条件は日本法に準拠します。
12.2 契約者及び当社は、本条件に関して生じた全ての紛争は専属的な管轄権を有する東京地方裁判所に付すことにします。