Master Purchase Agreement for Japan

マスター購入契約 (日本)

[Updated September 29, 2023][更新日: 2023 年 9 月 29 日]

This Master Purchase Agreement (“Agreement”) is
between Gen Digital Inc. and its affiliates as identified in
any Order (“Gen”) and the seller or provider of any
Solutions as identified in such Order (“Provider”). This
Agreement and all terms referenced herein are effectiveon the earlier of Provider’s written, electronic, clickthrough or similar acceptance of this Agreement, or on
Provider’s provision of any Solutions to Gen which
provision shall be deemed to be and relied on as
Provider’s affirmative acceptance of this Agreement as
the governing and superseding document, in satisfactionof all contractual and legal requirements. Capitalized
terms have the meaning as defined herein.

このマスター購入契約 (これ以降は「本契約」と表記) は、注文に関する Gen Digital Inc.およびその関連会社 (これ以降は「Gen」と表記) と、当該注文に関係するソリューションの販売者またはプロバイダ(これ以降は「プロバイダ」と表記) との間で締結される契約です。本契約と本契約内のすべての条項
は、プロバイダが本契約を何らかの方法 (書面、電子的方法、クリックスルーなど) で承諾した時点、またはプロバイダが Gen に対するソリューションの提供を行った時点のいずれか早い時点により効力を発生します。ソリューションの提供は、本契約について、プロバイダーが契約上の要件および法律上の要件をすべて満たした優先的な契約文書であることに同意したものとみなされます。太字で記載されている用語は、本契約で定義された意味を有することとします。

1. Performance. This Agreement exclusively governs
Provider’s provision of products, services, deliverables,
licenses, subscriptions, support or other offering to Gen(individually and collectively, “Solutions”), which will be
provided as set forth in each mutually executed orderform or statement of work between the parties, orcorresponding purchase order issued by Gen in lieu of anorder form or statement of work (“Order”). Provider is
responsible and liable for the acts, omissions, andbreaches by its employees, contractors, suppliers andother third parties engaged by or for Provider(individually and collectively, “Personnel”). In addition,
Provider (and not Gen) is responsible for all fees,
reimbursement, compensation, benefits, taxes and otheramounts due to its Personnel or to a third party (including
without limit government bodies) on account of its
Personnel.
2. Payment. Undisputed fees are due within sixty (60)days of receipt of invoice. Invoices must include therespective purchase order number and line-item
descriptions and must be submitted to Gen no later thansixty days (60) following the date when such amounts andexpenses are incurred. Orders and Solutions may only be
renewed or extended if and as agreed in a subsequent
renewal Order together with Gen’s issuance ofcorresponding purchase order, and not by automatic
renewal. Expenses will be reimbursed only if and up to
the amount specified in an Order, and only in compliancewith Gen’s Travel and Expense Policy atwww.nortonlifelock.com/us/en/procurement/suppliertravel-and-expense-policy/ which terms are fully
incorporated herein. Notwithstanding anything to thecontrary, Provider may not provide Solutions, or incur or
invoice any amounts, unless and until an Order has been
fully executed for the Solutions and Gen has delivered acorresponding purchase order for such amounts.
Provider may not invoice or collect any amounts notincurred or invoiced in compliance with this Section. Gen
will pay all taxes assessed against or due in connection
with this Agreement (excluding those due on Provider’s

Gen 社外秘第 1 条 - 履行: 本契約は専ら、プロバイダが Gen に対して提供する製品、サービス、成果物、ライセン
ス、サブスクリプション、サポートなど (これ以降は「ソリューション」と総称) を規定するための契約です。ソリューションは、両当事者が相互に締結した注文書/作業明細書、またはこれらの注文書/作業明細書の代わりに Gen が発行する注文書 (これ以降は「注文書」と総称) に従って提供されることとします。プロバイダは、プロバイダの社員、請負業
者、サプライヤー、プロバイダが委任した第三者(これ以降は「担当者」と総称) による行為、不作為、違反に対して責任を負うものとします。また、プロバイダは、プロバイダの担当者または第三者(行政機関など。ただし、これだけに限定されるもの
ではありません) に対して発生するすべての手数
料、償還金、報酬、利益、税金などの金額について責任を負うものとします。Gen がこれらの金額に対して責任を負うことはありません。
第 2 条 - 支払い: 料金に異議がない場合は、請求書を受領してから 60 日以内に支払う必要があります。
請求書には発注番号と明細を記載し、請求金額と費用が発生した日から 60 日以内に Gen に提出する必要があります。注文書とソリューションは、その後の更新注文で合意された場合に限り、Gen が発行する発注書とともに更新され、自動的に更新されることはないものとします。費用は、Gen の交通費および
経
費
ポ
リ
シ
ー
(www.nortonlifelock.com/us/en/procurement/suppliertravel-and-expense-policy/) に該当する場合にのみ、注文書に記載されている金額を上限として払い戻されることとします (Gen の交通費および経費ポリシーのすべての条項が、本契約に組み込まれます)。 本条項と矛盾することがあっても、プロバイダは、ソリューションに関する注文が完全に成立し、Gen が当

income). If Gen pays withholding taxes in connection withthis Agreement, it may deduct such amount fromamounts otherwise due hereunder (with the net
payment constituting payment in full) and, on Provider’srequest, will provide payment documentation sufficientfor Provider to request a credit for such amount.
3. Confidentiality. “Confidential Information” means all(a) Personal Data (defined below) and (b) non-public
information, data, content and materials (in any form orformat) about a party and/or their business, including
without limit their Personnel, customers and other third
parties, products, services, software, processes or
security, or their marketing, financial and other businessplans or information, and any other information, data,
content and materials identified at the time of disclosure
as confidential or proprietary, or which otherwise one
would reasonably expect to be confidential or
proprietary. To avoid doubt, Gen’s requirements and all
Deliverables are Gen’s Confidential Information.
Confidential Information may only be used by a recipientin performance under this Agreement and the applicable
Order, and with at least a reasonable degree of care. As
between the parties, all right, title and interest in and to
Confidential Information will remain solely with thediscloser. Neither party may allow a third party to accessor use the other party’s Confidential Information except
for their respective Personnel who have a need to know
and are under binding obligations of non-disclosure thatare substantially as protective of such Confidential
Information as are this Agreement. Provider will notify
Gen immediately and in reasonable detail if it believes
that Gen’s Confidential Information has been subject tounauthorized use or access and will take corrective action
as appropriate, and as reasonably requested by Gen. On
termination of an Order or at a party’s earlier request, therecipient shall promptly return (and destroy, if
requested) the discloser’s Confidential Information at nocost. Confidential Information does not include
information that the recipient can demonstrate became
publicly available through no fault, act or omission by therecipient, or that was independently developed by therecipient or rightfully received from a third party with no
obligation of nondisclosure. In addition, a recipient may
disclose Confidential Information to the extent requiredby law, provided that it must promptly notify thediscloser (unless legally prohibited) and cooperate withthe discloser’s request to limit or re-direct the request, at
discloser’s cost. If Gen is legally compelled to produce
Gen Confidential Information that is hosted by, orotherwise within Provider’s possession or control,
Provider will promptly and reasonably cooperate toproduce such information in a timely manner. Where theburden on Provider for such cooperation is no longer
reasonable the parties will negotiate an appropriate
allocation of cost in good faith, and not as a contingency
to cooperation.
4. Personal Data. If Provider processes Personal Data foror on behalf of Gen as part of its provision of Solutions,the terms of the Gen Data Processing Agreement

該金額に関する発注書を発行するまでは、ソリュー
ションの提供や金額の請求を行うことはできません。プロバイダは、本条項を遵守しない金額の請求や徴収を行うことはできません。Gen は、本契約で規定され、または支払い義務を負うすべての税額(プロバイダの収益に対する税額を除く) を支払うものとします。Gen が本契約に従って源泉徴収税を支払う場合、Gen は本契約に基づき本来支払われるべき金額から源泉徴収額を控除できることとします(控除後の金額が正味の支払額になります)。プロバ
イダから要請があった場合は、税額控除の金額を示す支払書類を提出するものとします。
第 3 条 - 機密保持: 「機密情報」とは、(a) 個人デー
タ (以下に定義)、(b) 開示時に機密情報または専有情報として分類される (または、合理的な理由によって機密情報または専有情報として判断される)、当事者または当事者のビジネス (あるいはその両方) に関する非公開の情報、データ、コンテンツ、資料 (形式は問わない) のことを指します。例としては、人事、顧客、第三者、製品、サービス、ソフトウェ
ア、プロセス、セキュリティ、マーケティング、財務、事業計画などに関する非公開の情報、データ、
コンテンツ、資料などがあります (ただし、これらだけに限定されるものではありません)。 Gen の要
求とすべての成果物は、Gen の機密情報です。機密情報の受領当事者は、本契約および該当する注文書に従い、少なくとも合理的な注意を払うことを条件として機密情報を使用できることとします。受領当事者以外が機密情報を使用することはできません。
機密情報に関するすべての権利、権原、利益は、機密情報の開示当事者にのみ帰属します。いずれの当事者も、第三者 (機密情報の保護について、本契約と同様の拘束力を持つ守秘義務を負っている担当者のうち、機密情報を知る必要がある担当者を除く)に相手方当事者の機密情報にアクセスまたは使用させることはできません。Gen の機密情報が不正にアクセスまたは使用されたと考えられる場合、プロバ
イダはその詳細をただちに Gen に報告し、Gen からの合理的な要請に従って適切な是正措置を講じることとします。注文の終了時に (または、機密情報の開示当事者から事前に要請があった場合に)、受領当事者は、開示当事者の機密情報を無償ですみやかに返却することとします (開示当事者から破棄を要請された場合は、無償ですみやかに破棄することとします)。次に示す情報は、機密情報とはみなされません: (a) 受領当事者の過失、作為、不作為が原因で公開情報になったのではないことを受領当事者が証明できる情報、(b) 受領当事者が独自に作成した情報、(c) 守秘義務を負っていない第三者から正当な方法で受領した情報。受領当事者は、法律で規定されている範囲内で機密情報を開示することができます。ただし、機密情報を開示する場合は、開示当事者に対してすみやかに通知を行う必要があります (法律で禁止されている場合を除く)。また、開示当事者から依頼を受けた場合は、開示当事者の費用負担により、開示当事者と協力して依頼内容を制限または別(“DPA”) attached as Exhibit A apply in addition to thisAgreement and are fully incorporated herein. If Provider
uses or provides tracking technologies (including without
limit pixels, tags or web beacons) in the provision of
Solutions, Provider must: (i) notify Gen about the type of
tracking technology used and the information collected,(ii) collect information and use information gained
exclusively to provide the Solutions; and (iii) enable (orallow Gen to enable) appropriate mechanisms for data
subjects to opt-in and opt-out of such tracking
technologies, and provide accurate and complete
disclosures prior to the collection of information inaccordance with applicable laws. “Personal Data” has themeaning assigned in the DPA.
5. Data Security. Provider will maintain, at a minimum,
the technical and organizational measures and controls
specified in Gen’s Master Provider Security
Requirements (“MPSR”) attached as Exhibit B whichterms are fully incorporated herein, and Provider will
update those with equivalent or more protective
measures and controls as needed to remain compliant at
all times with then-current industry standard practices.
6. Designated Solutions. If Provider Personnel provide
Solutions on Gen designated premises or access Gen’s
Confidential Information or networks (individually andcollectively ‘Designated Solutions”), the following terms
apply:
a.
Provider Personnel will comply with Gen’s work
rules and policies as provided by Gen, and shall not copy
or remove Gen materials, data or property from Gen’s
premises or networks without first obtaining Gen’s
express consent.
b.
On Gen’s request, Provider will promptly replace
individual Personnel who are working on Gen designatedpremises with appropriately skilled and qualified
individuals. Gen will not be invoiced or obligated to pay
an increased rate for the replacement Personnel or for
any time or expenses incurred to train and familiarize
such replacement with the applicable engagement.
c.
Before Provider Personnel perform DesignatedSolutions, Provider warrants that: (i) to the extent
permitted by local law, it will perform (and will obtainappropriate consent to perform) appropriate backgroundinvestigations, including without limit as may be set forthin Gen’s Master Provider Security Requirements, (ii) no
information was discovered in such investigation(s) that
could be reasonably construed to negatively impact
performance or result in breach of this Agreement, and(iii) Provider will confirm (in writing) its compliance withthis section on Gen’s request. Gen reserves the right torefuse access to its premises and network(s) at any time,
for any lawful reason.
7. No Publicity; Trademarks. Provider shall not make any
direct or implied reference to Gen or use Gen’s names,
logos or trademarks for any sales, marketing, or publicity
purposes. If Gen requires that Provider use any Gen
trademarks as part of its provision of Solutions, Provider
will fully comply with Gen’s branding and trademark useの当事者への再依頼を行う必要があります。プロバ
イダがホスト、または所有/管理している Gen の機密情報を、Gen が法律に従って提出しなければならな
い場合、プロバイダは Gen と協力して、当該情報をすみやかに提出するための合理的な努力を払うこととします。こうした協力におけるプロバイダの費用負担が合理的なものではない場合、両当事者は、偶発事故として扱うのではなく誠意をもって協力し適切な費用配分について話し合うこととします。
第 4 条 - 個人データ: プロバイダがソリューション
提供の一環として Gen に代わって個人データを処理する場合、本契約の条項のほかに、別紙 A の Gen データ処理契約 (DPA) に規定されている条件が適用されます (DPA のすべての条件が本契約に組み込まれます)。プロバイダがソリューションを提供する際に、トラッキング技術 (ピクセル、タグ、Web ビーコンなど。ただし、これらだけに限定されるものではありません) を使用または提供する場合、プロバイダ
は次の条件に従う必要があります: (i) 使用するトラッキング技術の種類と収集する情報について Gen に通知すること、(ii) ソリューションを提供する目的でのみ、情報を収集して使用すること、(iii) トラッキ
ング技術のオプトインおよびオプトアウトを行うための適切なメカニズムを有効にし (または、当該メカニズムの有効化を Gen に対して許可し)、該当する
法律に従い、情報を収集する前に正確で完全な開示を行うこと。「個人データ」の定義は、DPA に記載されています。
第 5 条 - データセキュリティ: プロバイダは少なく
とも、別紙 B の Gen のマスタープロバイダセキュリ
ティ要件 (MPSR) に記載されている技術的な対策と組織的な管理体制を維持することとします (MPSR のすべての条件が本契約に組み込まれます)。プロバイ
ダは、その時点における最新の業界標準に常に準拠することを目的として、MPSR と同等か MPSR よりも厳格な保護対策と管理体制を随時更新するものとします。
第 6 条 - 指定ソリューション: プロバイダの担当者
が、Gen が指定する施設内でソリューションを提供する場合、または Gen の機密情報やネットワークにアクセスする場合 (これ以降は「指定ソリューション」と総称)、以下の条件が適用されます。
a.
プロバイダの担当者は、Gen の就業規則と各種ポリシーを遵守し、Gen の明示的な同意を事前に得ることなく、Gen の資料、データ、資産を Genの施設やネットワークからコピーしたり削除したりしないこととします。
b.
Gen か ら 要 請 が あ っ た 場 合 、 プ ロ バ イ ダ
は、Gen が指定する施設内で作業を行っている各担
当者を、適切な技能を有する有資格者とすみやかに交代させるものとします。なお、Gen はこうした担当者の配置転換に伴って発生する追加の費用や、トレーニングに必要な時間または費用を負担することはないものとします。

guidelines
https://www.nortonlifelock.com/us/en/legal/trademark-policies/ which terms are fully incorporated herein, andas otherwise explicitly specified in an applicable Order.
Gen reserves to itself all other rights not specified
therein.
8. Acceptance. If Solutions or any portion thereof are
subject to acceptance review by Gen as indicated in theapplicable Order or otherwise explicitly agreed by theparties in writing, the following terms apply:a.
Unless otherwise agreed in the applicable Order,
Provider will notify Gen when Solutions are ready for
Gen’s review. Gen will within 15 days of its receipt, inform
Provider of whether it accepts, rejects (with a descriptionof the non-compliance), or needs additional time toreview.
b.
If Gen rejects, Provider will modify and resubmit
the Solutions within 15 days (or as otherwise expressly
agreed) to comply with applicable specifications andacceptance criteria. If the Solutions remain noncompliant, Gen may provide its rejection in whole or inpart and/or terminate the applicable Order on noticewith no further cure period and, in either case, Gen will
have no obligation to pay for (and Provider will promptly
refund any amount paid for) the rejected Solutions andother Solutions whose use or value is, in Gen’s good faithjudgment, materially degraded as a result of the rejected
Solutions.
9. Software and SAAS License and Additional Terms. If
Solutions include software, whether available on-premiseor as a subscription, service or otherwise, (i) Provider
grants Gen and its authorized users a non-exclusive,
worldwide, irrevocable, royalty-free, right and license toaccess and use such software during the term as specified
in the applicable Order, (ii) Gen may not (nor permit any
third party to): (a) disassemble, decompile, reverse
engineer or otherwise attempt to discover the underlying
algorithms of any software Solutions, except to theextent permitted by applicable law; or (b) lease, rent ortimeshare the software Solutions, and (iii) Gen’s
Software and SAAS Terms attached as Exhibit C apply tothe software Solutions and are fully incorporated herein.
10. Ownership and License to Pre-Existing Works. As
between the parties, and unless otherwise explicitly
negotiated and agreed in an Order, (i) Gen owns its
Confidential Information which, for clarity, includes
Deliverables as defined below, and (ii) Provider owns its
Confidential Information and its products, software,materials, tools, technology and know-how, and all
intellectual property rights therein, that are
independently created or obtained by Provider otherthan for Gen (collectively, “Pre-Existing Works”). For any
Pre-Existing Works provided to Gen, and for any
Deliverables where ownership does not fully vest with
Gen for any reason, Provider hereby grants Gen aworldwide, royalty free, fully paid, irrevocable right andunrestricted license in and to such Pre-Existing Works andDeliverables for Gen’s business purposes, and withoutc.
プロバイダの担当者が指定ソリューション
を実行する前に、プロバイダは次の事項を保証する
ものとします: (i) 現地の法律で許可される範囲において、Gen の MPSR に規定されている条件などに従い (ただし、これらだけに限定されるものではありません)、事前に同意を得た上で適切な身元調査を実施すること、(ii) 当該調査において、業務に悪影響をおよぼす (または、本契約に違反する) と合理的に判断できる情報が見つかっていないこと、(iii) Gen の要請に応じて、本条項の遵守を書面によって確認すること。Gen は、法的な根拠に基づき、Gen の施設やネットワークへのアクセスをいつでも拒否できる権限を有しています。
第 7 条 - 商標の使用に関する制限事項: プロバイダ
は、直接的か暗黙的かにかかわらず、Gen について言及したり、Gen の社名、ロゴ、商標を、販売目
的、マーケティング目的、宣伝目的で使用したりしないものとします。ソリューション提供の一環として、Gen がプロバイダに対して Gen の商標を使用することを要請した場合、プロバイダは、Gen のブラ
ン ド と 商 標 の 使 用 ガ イ ド ラ イ ン(https://www.nortonlifelock.com/us/en/legal/trademark-policies/) を完全に遵守することとします (このガイドラインのすべての条件が本契約に組み込まれ、該当する注文内で明示的に指定されることとします)。
このガイドラインに記載されていないその他すべての権利は、Gen に帰属します。
第 8 条 受け入れ: ソリューションまたはソリューシ
ョンの一部が、Gen による受け入れ検査の対象であることが注文書で指定されている場合、または両当事者が書面で明示的に合意している場合、以下の条件が適用されます。
a.
該当する注文書で別段の合意が行われていない限り、プロバイダは、ソリューションの検査準備が整った時点で、Gen に通知することとします。
Gen は、通知を受け取ってから 15 日以内に、ソリューションを受け入れるか、違反事項を説明して拒否するか、さらに時間をかけて詳細な検査を行うかど
うかをプロバイダに通知します。
b.
Gen がソリューションを拒否した場合、プ
ロバイダは 15 日以内に (または、両当事者間で明示的に合意した期間内に)、該当する仕様と受け入れ基
準を満たすようにソリューションを修正して再提供するものとします。再提供されたソリューションが必要な基準を満たしていない場合、Gen は、そのソリューションのすべてまたは一部を拒否できるものとします。また、追加の修正期間を設けることな
く、通知によって該当する注文を終了できるものとします。Gen はいずれの場合も、拒否したソリュー
ションと、そのソリューションが原因で価値が大きく低下したと Gen が合理的に判断したその他のソリューションについて、料金の支払い義務を負うことはありません (プロバイダは、当該ソリューション
に対して受け取った金額をすみやかに返金するものとします)。

accounting or obligation of any kind to Provider.
“Deliverables” means all work product and results ofservices that are created or generated for or on behalf of
Gen in the course of providing Solutions to Gen, including
without limit all Gen data, information, and content as
input, processed and output by any software Solutions
and any reports and analysis based thereon and otherresults that reveal or embody such information.
11. Intellectual Property Assignment. If Provider isengaged to develop, design, improve, or otherwise workon software, code, or any other technology Solutions ordeliverables for or on behalf of Gen, then Provider agrees
to the Intellectual Property Agreement (“IPA”) attached
as Exhibit D which terms are fully incorporated herein.
12. Warranty. In relation to this Agreement andperformance hereunder or under any Order, Provider
hereby represents and warrants to Gen all the following:a.
Provider will comply with applicable laws andregulations including without limit those regarding
privacy and personal information, export and import,anti-corruption laws, non-discrimination, the Foreign
Corrupt Practices Act, U.K. Bribery Act 2010 and laws of
the U.S. Department of the Treasury, Office of Foreign
Assets Control; and will further obtain and maintain in
effect all required licenses, permits, authorizations andconsents to perform under this Agreement and each
Order and to provide Solutions, Deliverables, andinformation to Gen.
b.
Provider will conduct its business in an ethical,
professional and workmanlike manner consistent with,and no less strict than, the Gen Code of Conduct available
at https://www.nortonlifelock.com/legal/code-conduct.
c.
Provider will cooperate with Gen Personnel asreasonably requested by Gen’s project contacts
designated within the Order or Gen’s Procurement
organization.
d.
Solutions that are not subject to Section 8(Acceptance) will comply with Provider’s publisheddocumentation and with any additional specifications
under each Order. For such Solutions that do not comply,
Provider will at its sole cost and expense, and at Gen’s
option: (i) promptly modify or replace the Solutions to becompliant; or (ii) refund the relevant fees paid for such
deficient Solutions and other Solutions whose use orvalue to Gen is materially degraded as a result of the noncompliant Solutions.
e.
Provider will not provide any software Solutions
without first using at least commercially reasonable tools
and practices to detect, remove and destroy viruses,
trojan horses, back-doors, spyware and other maliciousor harmful code, and confirm such removal anddestruction.
13. Insurance. Provider will maintain and comply withthose insurance terms and requirements attached as
Exhibit E.
14. Indemnity.

第 9 条 - ソフトウェアと SaaS のライセンスと追加の
規約: ソリューションにソフトウェアが含まれている場合、そのソフトウェア (これ以降は「ソフトウェアソリューション」と表記) の提供方法 (オンプレ
ミス、サブスクリプション、サービスなど) にかか
わらず、次の条件が適用されます: (i) プロバイダ
は、Gen とその許可ユーザーに対して、該当する注文書で指定された期間にわたり、当該ソフトウェア
ソリューションにアクセスして使用するための非排他的、世界的、取消不能、使用料なしの権利およびライセンスを付与することとします。(ii) Gen は、次に示す事項を行うことはできないものとします (第三者に対して、次の事項を許可することもできない
ものとします): (a) 逆アセンブル、逆コンパイル、リバースエンジニアリングなどの方法で、ソフトウェ
アソリューションの基本アルゴリズムを把握しようとすること (該当する法律で許可される範囲を除く)、(b) ソフトウェアソリューションのリース、レンタル、タイムシェア、(iii) ソフトウェアソリュー
ションには、別紙 C の Gen のソフトウェアと SaaS に関する規約が適用されます (これらの規約は、すべて本契約に組み込まれます)。
第 10 条 - 既存の著作物の所有権とライセンス: 両当事者による協議の後、別段の合意が注文書に明示的に記載されている場合を除き、次の条件が適用されることとします: (i) Gen は、以下に記載する成果物な
どの機密情報を所有し、(ii) プロバイダは、プロバイ
ダの機密情報、プロバイダが独自に作成/取得した製品、ソフトウェア、資料、ツール、技術、ノウハ
ウ、およびすべての知的財産権 (これ以降は「既存の著作物」と総称) を所有することとします。Gen に提供された既存の著作物と、何らかの理由で所有権が完全には Gen に帰属していない成果物について、プロバイダは、Gen がビジネスを行うことを目的として、プロバイダに対するいかなる会計報告または責任も必要としない、世界的、全額支払済み、取消不能、使用料なしの権利と無制限のライセンスを
Gen に付与することとします。「成果物」とは、Gen にソリューションを提供する過程において、Gen のために (または Gen に代わって) 作成/生成されたすべての製品とサービスのことを指します。成果物の例としては、任意のソフトウェアソリューショ
ン、レポート、解析機能によって入力、処理、出力される Gen のすべてのデータ、情報、コンテンツな
どがあります (ただし、これらだけに限定されるものではありません)。
第 11 条 - 知的財産の譲渡: プロバイダが Gen のために (または Gen に代わって)、ソフトウェア、コード、技術的なソリューション、成果物について、開発、設計、改良などの作業を行う場合、プロバイダ
は、別紙 D の知的財産契約 (IPA) に同意することとします (IPA のすべての条件が本契約に組み込まれます)。

a.
Provider will defend, indemnify and hold Gen
and its employees, officers and directors harmless fromand against any third party claims, actions or
determinations (and resulting damages, costs, expenses,
reasonable attorneys’ fees and court costs) that (i) any
Solutions infringe or misappropriate the intellectual
property rights of a third party, (ii) arise from Provider’s
breach of Section 3 (Confidentiality), Section 5 (Data
Security) or the DPA, or (iii) a relationship other thanindependent contractor was established between Gen
and Provider or Provider’s Personnel including without
limit any claim under the Transfer of Undertakings(Protection of Employees) Regulations 2006, or under theAcquired Rights Directive or other broadly similar
legislation.
b.
Gen will (i) notify Provider in a timely manner of
any indemnifiable claim, (ii) grant Provider control of the
defense and settlement of the claim and (iii) provide
Provider with reasonable assistance and information asreasonably needed for Provider to fulfill its obligations
hereunder. Provider will engage reputable reasonably
skilled legal counsel in the defense of claims and may not
obligate or make an admission on behalf of anindemnified party without the indemnified party’s
express written consent.
c.
If use of Solutions is enjoined due to an
infringement claim, Provider will at its expense promptly
take at least one of the following actions: (i) obtain theright for Gen to continue using the Solutions under thisAgreement; or (ii) replace or modify the infringing
Solutions to be non-infringing and substantiallyequivalent in function, performance, and security as theenjoined Solutions. If neither option can be accomplisheddespite reasonable efforts, Provider will at Gen’s option
terminate Gen's rights and payment obligations
hereunder with respect to such Solutions, and Provider
will refund amounts paid by Gen in connection with the
Solutions and any other Solutions whose use or value to
Gen is materially degraded as a result of suchtermination. Gen will have a reasonable time to cease useof replaced/terminated Solutions.
15. LIMIT OF LIABILITY. NEITHER PARTY WILL BE LIABLE
UNDER OR IN RELATION TO THIS AGREEMENT FOR ANY(I) AMOUNTS IN EXCESS OF THE AMOUNTS PAID BY OR
PAYABLE BY GEN TO PROVIDER IN THE TWELVE MONTHPERIOD PRECEDING THE EVENTS GIVING RISE TO THE
LIABILITY, (II) SPECIAL, INDIRECT, CONSEQUENTIAL OR
PUNITIVE DAMAGES EVEN IF ADVISED OF THE
POSSIBILITY OF SUCH DAMAGES; OR (III) LOSS OF
PROFITS, BUSINESS, REVENUES OR GOODWILL, OR
WASTED MANAGEMENT AND STAFF TIME. THE
FOREGOING LIMITS AND EXCLUSIONS WILL NOT APPLYTO OBLIGATIONS UNDER OR BREACHES OF SECTION 3(CONFIDENTIALITY) OR SECTION 14 (INDEMNITY), OR TO
EITHER PARTY'S LIABILITY FOR WILLFUL MISCONDUCT OR
FRAUD, OR TO DEATH OR PERSONAL INJURY CAUSED BY
A PARTY.

第 12 条 - 保証: プロバイダは、本契約と任意の注文書に基づく履行に関して、以下に示すすべての事項
を Gen に対して表明して保証することとします。
a.
プロバイダは、適用される法令 (プライバシ
ー、個人情報、輸出入に関する法律、腐敗防止法、差別禁止法、外国腐敗行為防止法、英国贈収賄法
2010、米国財務省外国資産管理局の法律など。ただし、これらだけに限定されるものではありません)
を遵守し、本契約と各注文書に従い、ソリューショ
ン、成果物、情報を Gen に提供するために必要なす
べてのライセンス、許可、認可、同意を取得して適切に管理することとします。
b.
プ ロ バ イ ダ は 、 Gen の 行 動 規 範(https://www.nortonlifelock.com/legal/code-conduct) を基準とし、倫理的かつ専門的な方法でビジネスを行うこととします。
c.
プロバイダは、注文書または Gen の調達部門で指定された Gen のプロジェクト責任者から合理的な方法で依頼を受けた場合、Gen の担当者に協力することとします。
d.
第 8 条に記載されている受け入れ検査の対象にならないソリューションは、各注文に基づいてプロバイダが作成する文書と追加の仕様書に準拠するものとします。これらの文書に準拠しないソリューションについては、プロバイダは自身の費用負担
により、Gen の選択に従って次の事項を行うこととします: (i) 該当する文書に準拠するように、ソリューションをすみやかに修正または交換する、(ii) 該当する文書に準拠していないソリューション、およびそのソリューションが原因で Gen にとっての価値が大きく低下したその他のソリューションに対して支払われた金額を返金する。
e.
プロバイダは、ウイルス、トロイの木馬、
バックドア、スパイウェア、各種の有害なコードの検出および削除を行い、検出および削除を確認するための合理的なツールを最初に使用することなく、
いかなるソフトウェアソリューションも提供しない
ものとします。
第 13 条 - 保険: プロバイダは、別紙 E に記載されている保険の条件と要件を遵守することとします。
第 14 条 - 補償:a.
プロバイダは次の場合に、第三者による申し立て、訴訟、または判決（そしてこれから生じる損害、費用、経費、合理的な弁護士費用及び訴訟費用を含む）から、Gen、Gen の社員、Gen の経営幹部
を防御、補償、および免責することとします: (i) ソ
リューションが第三者の知的財産権を侵害 (または不正に使用) している場合、(ii) プロバイダが、本契約第 3 条 (機密保持)、本契約第 5 条 (データセキュリティ)、または DPA に違反したことが原因となっている場合、(iii) 独立した請負契約以外の関係が、Gen とプロバイダ (またはプロバイダの担当者) との間で構築されている場合で、請負業務の移転に関する申し立て(2006 年事業譲渡 (雇用保護) 規則や既得権益指16. Notices. Notices to Gen will be sent tovendormanagement@gendigital.com, with a copy tosecurity@gendigital.com in the event of a known orsuspected breach of Personal Data. In addition, notices
regarding breach or termination will be sent to 487 E
Middlefield Rd, Mountain View, CA 94043 U.S.A. to theattentionofLegal/Procurement
andtolegal.department@gendigital.com. Hardcopy notices
sent by either party must be delivered via nationallyrecognized delivery service, with delivery confirmation.
Notices to Provider will be sent to Provider’s contact
address indicated in the respective Order, or such otherNotices address as Provider may notify Gen.
17. Governing Law. These Terms are governed
exclusively by the laws of Japan and all claims anddisputes under or in connection with this Agreement shallbe brought exclusively in Tokyo District Court, to which
the parties hereby consent to without regard to principles
of conflicts of law and hereby waive objections topersonal jurisdiction therein. The English language
version of these Terms will prevail in all circumstances.
18. Termination.
a.
Provider may terminate this Agreement on 30
days’ notice if no Orders are active or in effect. Provider
may terminate any Order if Gen has materially breachedsuch Order and failed to cure within 30 days following
written notice by Provider reasonably detailing the breach.
b.
Gen may terminate this Agreement, any
Order(s), and/or purchase order(s) in whole or part on
written notice to Provider, without or without cause, inwhich case Gen will remain obligated to pay for only
those Solutions provided up to the date of termination(excluding rejected Solutions). If Gen terminates any
subscription-based Solutions without cause, Gen will not
be entitled to a refund or credit of pre-paid subscription
fees for the then-current annual term (or shorter term as
may be provided in the appliable Order).
c.
Termination of this Agreement by either party
shall result in termination of all Orders issued under thisAgreement.
d.
On termination of this Agreement or any Order byeither party, Provider will (i) at no charge either deliver all
Gen Confidential Information and Deliverables to Gen in areasonable format within 10 business days and/or make
Gen Confidential Information and Deliverables available
for Gen’s retrieval through reasonable means, including
without limit through the use of Provider’s tools, for aperiod of at least 60 days, and (ii) as requested by Gen, andwithout limiting (i) above, provide additional transition
assistance at rates as agreed in good faith by the parties.
19. Trade Compliance. Each party will comply with export
laws and regulations applicable to such party. Provider
shall not export or re-export, or request Gen to export orre-export, any Solutions, including all Solutions and/or
technical data received from Gen or any direct productthereof, directly or indirectly, to any country, entity or
person prohibited by the U.S. Government or other

令などの法律に基づく申し立てや訴訟などを含む
が、これらだけに限定されるものではありません)。
b.
Gen は、次の事項を行うものとします: (i) 補償の対象となる申し立てについて、プロバイダに適時に通知する、(ii) 申し立てに対する防御および解決について、プロバイダに制御権を与える、(iii) 本契
約上の義務を履行するために必要な支援および情報をプロバイダに提供する。 プロバイダは、申し立てに対する防御において、有能で評価の高い法律事務所と契約を締結することとします。また、被補償当事者から書面による明示的な同意を得ない限り、被補償当事者に代わって義務を負ったり承認を行ったりすることはできないものとします。
c.
権利侵害の申し立てによってソリューションの使用が差し止められた場合、プロバイダは自身の費用負担により、次に示す措置のうち、1 つ以上の措
置をすみやかに行うこととします: (i) Gen が本契約に基づいて引き続きソリューションを使用するための権利を取得する、(ii) 権利侵害しているソリューシ
ョンを権利侵害のないソリューションに交換または変更する (機能面、性能面、セキュリティ面において同等のソリューションに交換または変更する)。合理的な努力を払ったにもかかわらず、いずれの措置も実施できない場合、プロバイダは Gen の決定に従い、当該ソリューションに関する Gen の権利および支払義務を終了することとします。これに伴い、当該ソリューションおよびその他のソリューションについて Gen が受け取るべき価値が大幅に低下した場
合、プロバイダは、それらのソリューションに対して Gen がそれまでに支払った金額を返金するものとします。Gen は、交換または使用差し止めになった
ソリューションの使用を停止するにあたり、合理的な猶予期間を持つこととします。
第 15 条 - 責任の制限: 本契約に基づき、いずれの当事者も、次に示す事項の責任を負うことはないものとします: (I) 責任の原因となる事象が発生する前の12 カ月間に GEN がプロバイダに支払った金額 (または支払うべき金額) を超える金額、(II) 特殊な損害、間接的な損害、派生的な損害、懲罰的な損害 (当該損害の可能性について通知があった場合であっても)、(III) 利益/事業/収益/営業権の損失、または経営/社員に関する時間の浪費。上記の制限および免責
は、本契約の第 3 条 (機密保持) および第 14 条 (補償)で規定されている義務もしくは違反、故意の違法行
為もしくは詐欺行為に対するいずれかの当事者の責任、またはいずれかの当事者による死亡事故または人身傷害には適用されないものとします。
第 16 条 - 通 知 : Gen に 対 す る 通 知 は 、vendormanagement@gendigital.com に送信することとします。個人データの侵害が発生した場合は (または、侵害が疑われる場合は)、通知のコピーをsecurity@gendigital.com に送信することとします。違反や終了に関する通知は、Gen の法務/調達部門 (487
E Middlefield Rd, Mountain View, CA 94043 U.S.A.) および legal.department@gendigital.com に送付することとoverseeing country or government body with authority
over the matter. Provider acknowledges that compliancewith U.S. export laws may cause delays in shipments
and/or prohibit Provider from exporting certain Solutions
to certain countries and entities for certain uses. In no
event shall Gen be liable for any such delays or
prohibition.
20. Verification. Upon Provider’s request or inquiry
regarding Gen’s use of Solutions, which may not occur
more than once in any twelve-month period, Gen willconduct an internal effort to verify its use of Solutions inaccordance with purchased quantities and otherentitlements. If Gen’s actual use exceeded purchased
quantities and other entitlements, Gen may cease theexcess use at no cost or purchase appropriate quantities at
the rates or per-unit fees previously paid by Gen for the
relevant Solutions (or discount equivalent if not like-forlike Solutions). No other fees, penalties or retroactive
amounts will be due andGen shall not be deemed to have infringed or
misappropriated any intellectual property rights or to haveotherwise breached this Agreement. Any additionalverification or audit effort will be performed if and as
agreed in good faith by the parties at such time, andunder additional terms of confidentiality specific to theeffort.
21. Miscellaneous. Notwithstanding anything to thecontrary:a.
The parties are independent contractors
engaged on a non-exclusive basis. Neither party has
authority to bind or make any representation, warranty,
or commitment on behalf of the other party.
b.
This Agreement, along with terms incorporated
herein by reference, and each Order comprise the entire
agreement and understanding between the parties
regarding the subject matter herein and no other terms,
quotes, agreements, or understandings between theparties shall be valid or enforceable unless agreed to in
the form of a mutually executed amendment to thisAgreement or change order to an Order. Notwithstanding
the preceding sentence, Gen may update this Agreement
and the terms incorporated herein by reference, fromtime to time, provided that the terms posted on the dateof any Order shall continue to govern such Order.
c.
This Agreement will supersede and control in
the event of any conflict or inconsistency with the termsof any Order, including without limit any conflicting orderof precedence provisions and any Provider terms
incorporated into such Order by URL or other reference.
In the event of any conflict between this Agreement andany Order, this Agreement will control.
d.
Neither party may transfer, novate, or assign
this Agreement or any Order without the other party’s
express written consent, except to their respective
affiliates, and to their successors in the event of merger,
acquisition, or asset sale. All other attempts to transfer,novate or assign shall be deemed to be null and void. If
Provider assigns this Agreement or any Order to a

します。いずれかの当事者がハードコピーによる通知を送付する場合は、全国的に認知された配送サー
ビスを利用して、配達証明付きで送付する必要があります。 プロバイダに対する通知は、各注文書に記載されたプロバイダの連絡先住所、またはプロバイ
ダが Gen に連絡したその他の住所に送付されるものとします。
第 17 条- 準拠法: 本条項は日本の法律にのみ準拠
し、本契約に関連するすべての申し立ておよび紛争の管轄裁判所は東京地方裁判所とします。両当事者
は、法の抵触の原則に関係なく、人的管轄権に対する異議申し立てを放棄するものとします。すべての状況において、本契約の英語版が優先されるものとします。
第 18 条 - 契約の終了:
a.
有効な注文がない場合、プロバイダは 30 日
前通知により、本契約を終了することができます。
また、Gen が注文に対して重大な違反を犯し、その違反について合理的に詳述された書面をプロバイダから受け取ってから 30 日 以内に違反を是正しなかった場合、プロバイダは当該注文を終了することができます。
b.
Gen は、プロバイダに対して書面での通知を行うことにより、理由の有無にかかわらず、本契約、注文書、発注書のすべてまたは一部を終了できることとします。その場合 Gen は、終了日までに提供されたソリューション (拒否されたソリューショ
ンを除く) についてのみ支払義務を負うものとします。Gen が理由なくサブスクリプション型ソリュー
ションを終了した場合、Gen は、その時点における年間サブスクリプション (それよりも短い期間が対象となる注文書で指定されている場合は、その期間)の支払済み料金の払い戻しを受けることはできない
ものとします。
c.
いずれかの当事者が本契約を終了した場
合、本契約に基づいて発行されたすべての注文が終了することとします。
d.
いずれかの当事者が本契約または注文を終了した場合、プロバイダは次の事項を行うこととします: (i) 10 営業日以内に、Gen のすべての機密情報および成果物を合理的な形式で Gen に無償で提供す
るか、60 日間以上にわたり、合理的な方法で (プロバイダのツールを使用するなど)、Gen の機密情報および成果物を Gen が入手できるようにする、(ii) Genから要請があった場合、上記 (i) を制限しない形で、両当事者が合意した合理的な費用負担で追加のサポートを行う。
第 19 条- 貿易規制への準拠: 各当事者は、本契約に関連して適用される貿易法令を遵守するものとします。プロバイダは、Gen から受け取ったすべてのソ
リューション、直接的な製品、技術データを、直接的か間接的かを問わず、米国政府、その他の主権
国、政府機関が禁止する国、団体、人物に輸出/再輸出したり、Gen に対して輸出/再輸出を要請したりすcompetitor of Gen that is named in its then-most recent
10-K SEC filing, Gen may terminate this Agreement andany Order (and its obligations thereunder) on written
notice.
e.
If any provision of this Agreement is found to beillegal or unenforceable in whole or in part, suchprovision shall be enforced to the maximum extent
permissible, and the legality and enforceability of theother provisions of this Agreement shall remain in fullforce and effect.
f.
The provisions of this Agreement which, by theirnature, are on-going will survive termination of thisAgreement, for example and without limit confidentiality,
ownership, indemnification, limit of liability, and thisSection 21 (Miscellaneous).
g.
The parties agree that this Agreement areagreed between sophisticated parties and thus any
principle of construction, legal doctrine or rule of law thatprovides for construction against the drafter under any
circumstance, shall not apply to this Agreement.
h.
A party’s failure or delay to exercise any right or
require performance under this Agreement or any Ordershall not be deemed a waiver of any further such right or
performance.
i.
Gen is a participant in the United Nations Global
Compact (“Global Compact”), an international initiative
working to advance ten universal principles in the areasof human rights, local labor laws, environmental and anticorruption. Gen encourages Provider to conduct its
business pursuant to the Global Compact’s Ten Principles
https://www.unglobalcompact.org/what-isatgc/mission/principles. Visit www.unglobalcompact.org
for more information.
j.
Gen’s
DeliveryTermslocatedatwww.nortonlifelock.com/us/en/procurement/deliveryterms/ are fully incorporated herein and apply to
Solutions that are physically delivered to Gen.
k.
Except as expressly provided under the Standard
Contractual Clauses to the DPA there are no third-party
beneficiaries to this Agreement or any Order.

ることはできません。プロバイダは、米国の輸出法を遵守することによって出荷が遅延する可能性があることに同意するものとします。また、米国の輸出法により、特定のソリューションを特定の国および組織に特定の用途で輸出できない場合があることに同意するものとします。いかなる場合においても、
こうした出荷の遅延または禁止について Gen が責任を負うことはありません。
第 20 条 - 検証: Gen によるソリューションの使用についてプロバイダから検証の要請を受けた場合 (こうした要請の回数は、12 カ月間に 1 回以下とします)、Gen はソリューションの購入数量および他のライセンス形態に基づき、ソリューションの使用状況を検証するための内部的な努力を行うものとします。 Gen が実際に使用しているソリューションの数が購入数量および他のライセンス形態を超えている
場合、Gen は無償で超過分のソリューションの使用を中止するか、該当するソリューションに対して
Gen がそれまでに支払った料金または単価 (同種のソリューションでない場合は割引相当額) で適切な数のソリューションを購入することとします。その他の料金、違約金、または遡及的な金額は発生しない
ものとします。
また、Gen は、知的財産権の侵害、不正使用、本契約への違反を行ったとはみなされないものとします。両当事者が合意した場合、追加の機密保持条項に従って追加の検証や監査を実施することとします。
第 21 条 - その他: 本契約内に異なる規定があったとしても、以下の条件が適用されることとします。
a.
両当事者は、非独占的に事業を行う独立した契約者です。いずれの当事者も、相手方当事者を拘束する権限、または相手方当事者に代わって表
明、保証、もしくは契約を行う権限を有していません。

b.
本契約は、各注文および参照によって本契約に組み込まれる条件とともに、本契約に基づく主題に関する当事者間の完全な合意および理解を含むものです。当事者間のその他の条項、見積、合意、
理解については、両当事者が本契約に対する修正について相互に合意しない限り (または、特定の注文に対する変更命令という形で相互に合意しない限り)、有効であるとはみなされません。Gen は、上記にかかわらず、本契約、および参照によって本契約に組み込まれる条件を随時更新できるものとします。ただし、対象となる注文書で指定された条件が随時適用されます。
c.
注文書に記載されている条件 (優先順位の矛
盾、および URL またはその他の参照によって注文に組み込まれたプロバイダの条件など。ただし、これらだけに限定されるものではありません) に矛盾がある場合は、本契約が優先されるものとします。本
契約と特定の注文書との間に矛盾がある場合も、本契約が優先されます。
d.
いずれの当事者も、他方当事者から書面による明示的な同意を得ることなく、本契約または注文書の譲渡、変更、または移転を行うことはできません。ただし、各当事者の関連会社 (合併、買収、または資産売却が発生した場合は、各当事者の事業後継者も含む) に対する譲渡、変更、または移転を除きます。それ以外の譲渡、変更、または移転につ
いては、すべて無効なものとみなされます。プロバ
イダが本契約または任意の注文書を、その時点における最新のフォーム 10-K に記載されている Gen の競合他社に譲渡した場合、Gen は書面で通知を行うことにより、本契約および当該注文を終了できるものとします (それに伴い、本契約と当該注文に基づく義務も終了します)。
e.
本契約内のいずれかの条項の一部またはすべてが法律に違法している場合 (または法的強制力がない場合)、その条項は許容される最大限の範囲内で履行され、本契約で規定されているその他の条項については、完全な法的強制力を有しているものとみなされます。
f.
本契約の条項のうち、継続的な性質を持つ
条項については、本契約の終了後も存続することとします。こうした条項としては、機密保持、所有権、補償、責任の制限に関する条項や、本契約第 21
条 (雑則) で規定されている条項などがありますが、これらだけに限定されるものではありません。
g.
両当事者は、本契約が両当事者間の入念な交渉の結果であることに同意するものとします。また、いかなる状況においても、本契約書の作成者の意図に反する法的な解釈や法規上の原則は当該条項には適用されないことに同意するものとします。
h.
いずれかの当事者が、本契約または特定の注文書に基づく権利の行使または義務の履行を怠った場合 (または、遅延した場合)、当該当事者が今後もその権利を放棄したり義務の履行を怠ったりするとはみなされません。
i.
Gen は、人権、現地労働法、環境保護、腐敗防止の各分野における普遍的的な 10 原則を推進す

るための国際的な取り組みである国連グローバルコ
ンパクト (これ以降は「グローバルコンパクト 」と表記) に参加しています。Gen は、プロバイダがグロ
ー バ ル コ ン パ ク ト の
10 原 則(https://www.unglobalcompact.org/what-isgc/mission/principles ) に従って事業を行うことを推奨します。 グローバルコンパクトの詳細は、
www.unglobalcompact.org に記載されています。
j.
Gen の す べ て の 納 品 規 約(www.nortonlifelock.com/us/en/procurement/deliveryterms/) が本契約にすべて組み込まれ、Gen に対して物理的に納品されるソリューションに適用されることとします。
k.
DPA の標準契約条項で明示的に規定されている場合を除き、本契約または特定の注文書に対する第三者受益者は存在しません。

Exhibit A
Data Processing Agreement (DPA)

別紙 A
データ処理契約 (DPA)

This Data Processing Agreement (“DPA”) is made between Gen
Digital Inc. and its affiliates as identified in any Order (“Gen”)
and the seller, supplier or provider of any Solutions as identified
in such Order (“Provider”).

このデータ処理契約 (これ以降は「DPA」と表記) は、注文書に記載されている Gen Digital Inc. とその関連会社 (これ以降は併せて「Gen」と表記) と、当該注文書で指定されているソリューションの販売者、サプライヤー、またはプロバイダ (これ以降は「プロバイダ」と表記) との間で締結される契約です。

Gen and Provider are each a “Party” or the “Parties” to this DPA.
WHEREAS in this context:
Gen has procured from Provider certain products and/or
services under the Master Purchase Agreement (the “MPA”)
that requires the processing of Personal Data. This DPA issupplemental to the MPA and sets out the terms that apply tothe extent that the Provider Processes or causes to be Processed
any Personal Data.
The Parties agree as follows:1.

Definitions. Capitalized terms used in this DPA and nototherwise defined in this DPA will shall have the meaning
as ascribed to them in the MPA. If any definitions in the
MPA or this DPA conflict with statutory definitions
provided in any Data Protection Law, the definition in theapplicable Data Protection Law shall control.
“Controller” means the party which, alone or jointly withothers, determines the purposes and means of theProcessing of Personal Data.
Data Protection Law” means the Japan Act on theProtection of Personal Information and any other dataprotection laws which may be applicable to the Personal
Data Processed under the MPA. ““Gen Personal Data” means Personal Data that theProvider Processes under the MPA.
“Personal Data” means any information related to any
identified or identifiable natural person (“Data Subject”),
an identifiable natural person is one who can be identified,directly or indirectly, in particular by reference to an
identifier such as a name, an identification number,
location data, an online identifier or to one or more factors
specific to the physical, physiological, genetic, mental,
economic, cultural or social identity of that natural person,or as defined by the Data Protection Law.
“Personal Data Breach” means a breach of security leading
to the accidental or unlawful destruction, loss, alteration,
unauthorized disclosure of, or access to, Personal Datatransmitted, stored, or otherwise Processed.
“Process” means any operation or set of operations which is
performed on Personal Data or on sets of Personal Data,
whether or not by automated means, such as collection,
recording, organization, structuring, storage, adaptation oralteration, retrieval, consultation, use, disclosure bytransmission, dissemination or otherwise making available,alignment or combination, restriction, erasure or
destruction.

Gen およびプロバイダは、本 DPA の「当事者」になります。
本 DPA の内容を以下に示します。
Gen は、マスター購入契約 (これ以降は「MPA」と表記) に従い、個人データの処理が必要な製品やサービスをプロバイダから調達します。本 DPA は、MPA を補足するための契約です。本 DPA には、プロバイダが個人データを処理する場合に適用される条件が記載されています。
両当事者は、以下のとおりに合意するものとします。
1.

定義: 本 DPA 内で太字で記載されている用語のうち、
本 DPA で別途定義されていない用語については、
MPA に記載されている意味を有するものとします。
本 DPA に記載されている用語の定義が、該当するデータ保護法で規定されている定義と矛盾する場合
は、データ保護法の定義が優先されるものとしま
す。
「管理者」とは、個人データを処理する目的および処理方法を単独で (または他者とともに) 決定する当事者のことを指します。
「データ保護法」とは、個人情報の保護に関する日本の法律と、MPA に基づいて処理される個人データに適用されるその他のデータ保護法のことを指します。
「Gen 個人データ」とは、MPA に従ってプロバイダが処理する個人データのことを指します。
「個人データ」とは、特定の自然人 (データ主体) を識別するための情報のことを指します。この場合の「自然人」とは、氏名、識別番号、位置情報デー
タ、オンライン ID などの情報によって直接的もしくは間接的に特定可能な個人、肉体的、生理的、遺伝
子的、精神的、経済的、文化的、社会的な側面において、1 つ以上の要素によって直接的または間接的に特定可能な個人、またはデータ保護法で定義される個人のことを指します。
「個人データの侵害」とは、転送された個人デー
タ、保管された個人データ、処理された個人データにおいて、偶発的または不正な破損、損失、改ざん、開示、アクセスにつながるセキュリティ違反のことを指します。

“Processor” means a natural or legal person, publicauthority, agency, or other body which Processes personal
data on behalf of the Controller.

この場合の「処理」とは、手動的な方法であるか自動的な方法であるかを問わず、個人データまたは個
人データのセットに対して実行する特定の操作や一連の操作のことを指しています。これらの操作には、個人データの収集、記録、編成、構造化、保管、適合、変更、取得、参照、使用、開示、転送、配布、有効化、調整、統合、制限、消去、削除などがあります。

“Services” means the services as described in MPA.
2.

Subject of the DPA
a.

b.

3.

With respect to Processing of Gen Personal Data inconnection with the MPA, Gen shall act as theController and Provider as the Processor.
Detailed specification of Gen Personal Data
Processed, including the subject-matter, the natureand purpose of the Processing, the type of personal
data and categories of data subjects are provided in
the Order.

c.

The subject-matter of the Processing of Personal
Data is the provision of Services under the MPA.

d.

The nature of the Processing of Personal data may
include but is not limited to: collection, recording,organization, storage, use, disclosure, erasure,augmentation, enrichment and transmission inconnection with provision of the Services.

「処理者」とは、管理者に代わって個人データを処理する自然人、法人、公的機関、代理店、またはその他の組織のことを指します。
「サービス」とは、MPA に記載されているサービスのことを指します。
2.

本 DPA の適用対象
a.

MPA に関連する Gen 個人データの処理において、Gen は「管理者」として行動し、プロバイ
ダは「処理者」として行動するものとします。

b.

処理対象の Gen 個人データの詳しい仕様は (処理の主題、処理の種類、処理の目的、個人デー
タの種類、データ主体のカテゴリなど)、注文書で指定することとします。

c.

個人データを処理する主題は、MPA に従ってサービスを提供することです。

d.

サービス提供を目的とした個人データ処理の種
類には、個人データの収集、記録、整理、保管、使用、開示、消去、拡張、送信などがありますが、これらだけに限定されるものではありません。

Compliance with Laws and Processing Instructions.
a.

b.

Each Party will comply with the Data Protection Law
as applicable to it. To the extent required by any Data
Protection Law, the Parties agree to negotiate ingood faith and execute any such additional,
supplemental or revised documents pertaining to theProcessing of Gen Personal Data as reasonably
necessary for the provision of Services under the
MPA.
The Provider shall Process the Gen Personal Data only
on documented instructions from Gen, including withregard to transfers of Personal Data to a third country
or an international organization, unless required to
do so under applicable Data Protection Law; in suchcase, the Provider shall inform Gen of that legal
requirement before Processing of the Gen Personal
Data, unless that law prohibits such information on
important grounds of public interest. Provider shallimmediately inform Gen if, in its opinion, an
instruction infringes on any Data Protection Law.

c.

Provider shall Process Gen Personal Data solely forthe purposes set out in the MPA and cannot Process
Gen Personal Data for any other purposes to be
determined by the Provider.

d.

With respect to Processing of Gen Personal Data,
the Provider may only use such employees,
members of its corporate bodies or other similar
persons who are sufficiently trained, familiar with all
the Gen’s instructions and Provider’s internal
guidelines.

e.

The Provider shall Process Gen Personal Data for as
long as it is necessary to fulfill its obligations underGen´s instructions. After the termination or expiry of
the MPA, the Provider shall, without undue delay,
destroy or remove all Gen Personal Data that it has

3.

法律と処理規則の遵守:
a.

各当事者は、該当するデータ保護法を遵守する
こととします。 両当事者は、データ保護法で規定されている範囲において、誠意をもって交渉を行い、MPA に従ってサービスを提供するために必要な個人データの取り扱いに関する追加の文書、補足文書、改訂文書を作成することに同意するものとします。

b.

プロバイダは、該当するデータ保護法で規定されている場合を除き、第三国または国際機関に対する個人データの転送などについて、Gen から受け取った文書による指示にのみ従い、Gen
個人データを処理するものとします。その際、公共の利益を保護するという重要な理由で個人
データの処理が法律によって禁止されていない
限り、プロバイダは Gen 個人データを処理する
前に、該当する法的要件を Gen に通知する必要があります。プロバイダは、データ処理に関する指示がデータ保護法に違反していると判断した場合、ただちに Gen に通知するものとします。

c.

プロバイダは、MPA に記載されている目的でのみ Gen 個人データを処理するものとします。プ
ロバイダが規定する別の目的で Gen 個人データを処理することはできません。

not returned Gen. This does not apply if the Provider
has legitimate reasons to further Process Gen
Personal Data under Data Protection Law.
4.

プロバイダは、Gen 個人データの処理を行う担
当者を、Gen の指示とプロバイダの社内ガイド
ラインについて詳しく理解している自社の社
員、関連会社の社員、その他の同等の担当者だ
けに制限する必要があります。

e.

プロバイダは、Gen の指示に従って義務を履行するために、必要な期間にわたって Gen 個人データを処理するものとします。MPA が終了した
ら (または期間満了になったら)、プロバイダはすみやかに、Gen に返却されていないすべてのGen 個人データを破棄/削除するものとします。
ただし、プロバイダが Gen 個人データをさらに処理するためのデータ保護法上の正当な理由がある場合は、この限りではありません。

Security
a.

5.

d.

The Provider hereby represents and warrants to Gen
that it has implemented appropriate technical andorganizational measures to ensure the security of the
Gen Personal Data, including protection against a
breach of security leading to a Personal Data Breach.
In particular, the Provider hereby represents andwarrants that it has, taking into account the state of
the art, the costs of implementation and the nature,
scope, context and purposes of Processing, as well as
the risk of varying likelihood and severity for therights and freedoms of natural persons, implemented
appropriate technical and organizational measures toensure a level of security appropriate to the risk,
including (i) internal policies and practices forprotection of Personal Data, including for training
and supervision of its staff, especially where crossborder transfers and Processing are concerned, and(ii) the technical and organizational measures
explicitly specified in the MPA. The Provider shallcarry out regular checks to ensure that thesemeasures continue to provide an appropriate level of
security.

b.

The Provider shall encrypt the Gen Personal Data andshall (i) keep the encryption key separately from the
Gen Personal Data and (ii) not provide to any publicauthority an encryption key to the Gen Personal Dataor assist the public authority in any other way inobtaining the Gen Personal Data, unless required to
do so by applicable law.

c.

The Provider shall grant access to the Gen Personal
Data to members of its personnel only to the extent
strictly necessary for the implementation,
management and monitoring of the MPA. It shallensure that persons authorized to Process the Gen
Personal Data have committed themselves toconfidentiality or are under an appropriate statutory
obligation of confidentiality.

4.

セキュリティ
a.

プロバイダは、Gen 個人データのセキュリティを確保するために、適切な技術的措置と組織的措置 (個人データの漏洩につながるセキュリテ
ィ侵害の防止措置など) を講じていることを Genに対して表明し、それを保証するものとします。プロバイダは、自然人の権利と自由に関するさまざまな可能性やリスクだけでなく、デー
タ処理に関する現在の状況、データ処理のコス
ト、種類、範囲、目的などを考慮し、リスクに見合ったセキュリティレベルを確保するため、次に示す技術的措置と組織的措置を実施していることを表明して保証するものとします: (i) 個人
データの保護に関する内部的な方針と対策の導入 (海外へのデータ転送や国外でのデータ処理を行う場合は、担当者のトレーニングを実施するなど)、(ii) MPA に明記されている技術的な措
置と組織的な措置の実施。プロバイダは、定期的に確認作業を行い、これらの措置において適切なセキュリティレベルが継続的に確保されていることを確認する必要があります。

b.

プロバイダは、Gen 個人データを暗号化し、次の条件に従うこととします: (i) 暗号化キーを Gen
データとは別に保管すること、(ii) 該当する法律で規定されている場合を除き、Gen 個人データの暗号化キーを公的機関に提供したり、Gen 個
人データの入手を援助したりしないこと。

c.

プロバイダは、厳密に MPA の履行、管理、監視に必要な範囲で、Gen 個人データへのアクセスを、データ処理を行う担当者だけに制限する必要があります。また、Gen 個人データの処理を行う担当者に、該当する法的な守秘義務を履行させる必要があります。

Personal Data Breach Notification and Remediation.
a.

Provider will promptly, but not later than 24 hours
from becoming aware of the Personal Data Breach,notify Gen of the occurrence or possible occurrenceof the Personal Data Breach affecting Gen Personal
Data. Provider shall send all notifications of Personal
Data Breaches to: security@gendigital.com. Such
notification shall contain, at least: (i) description of
the nature of the Personal Data Breach (including,where possible, the categories and approximate
number of Data Subjects and data records
concerned); (ii) its likely consequences and themeasures taken or proposed to be taken to address
the Personal Data Breach, including to mitigate its
possible adverse effects; and (iii) the details of acontact point where more information concerning
the Personal Data Breach can be obtained.

5.

個人データの侵害に関する通知と修復措置:a.

個人データの侵害が見つかった場合、プロバイ
ダは 24 時間以内に、Gen 個人データに影響を与えるデータ侵害が発生したことを (またはデー
タ侵害が発生した可能性があることを) Gen にす
みやかに通知することとします。その際、個人データの侵害に関するすべての通知をsecurity@gendigital.com に送 信する こと と しま

6.

b.

In case of the Personal Data Breach, the Provider
shall provide reasonable cooperation to Gen in
informing the affected Data Subjects.

c.

Except and only to the extent expressly required bylaw, Provider agrees that it will not inform any third
party that Gen Personal Data has been involved in a
Personal Data Breach without Gen’s prior writtenconsent. If Provider is compelled by law to provide
public/third-party notification of a Personal Data
Breach, Provider will not identity Gen (directly or
indirectly) and will use commercially reasonable
efforts to obtain Gen’s prior approval regarding thecontent of such disclosure to minimize any adverse
impact to Gen, and its respective customers and/or
employees.

す。これらの通知には、少なくとも次の情報が記載されている必要があります: (i) データ侵害の性質 (可能であれば、関係するデータ主体とデータ記録のカテゴリとおおよその数を含む)、(ii) データ侵害による考えられる結果と、データ侵害による悪影響を軽減するために実施した措
置または実施すべき措置、(iii) データ侵害に関する詳細情報を入手するための連絡先情報。
b.

個人データの侵害が発生した場合、プロバイダ
は、影響を受けるデータ主体に対する通知において、合理的な方法で Gen に協力することとします。

c.

法律で明示的に規定されている場合を除き、プ
ロバイダは、Gen から書面による同意を事前に得ることなく、Gen が個人データの侵害に関与したことを第三者に通知することはできません。 法律に従って個人データ侵害の事実を公表
または第三者に通知する必要がある場合、プロバイダは、直接的であるか間接的であるかを問
わず、データ侵害の当事者として Gen を特定しないこととします。また、Gen、Gen の顧客、
Gen の社員に対する悪影響を最小限に抑えるた
め、商業的に合理的な努力を払い、データ侵害に関する通知内容について、Gen から事前に承認を得ることとします。

Processing carried out by other personsa.

Gen generally authorizes the Provider to engage
other Processors (sub-processors) listed in the Order.
The Provider shall inform Gen of any intended
changes concerning the addition or replacement of
sub-processors together with the informationnecessary for Gen to assess the sub-processor inquestion without undue delay (at least 30 businessdays prior to the engagement of the sub-processor inquestion), thereby giving Gen the opportunity toobject to such changes. If Gen does not object tochanges in sub-processors within 30 business days of
the receipt of the notification of change, the change
is considered as approved. A list of sub-processors
approved by Gen as at the date of this DPA is includedin the Order.

b.

In relation to the Processing of Gen Personal Data,the sub-processors shall maintain confidentiality, i.e.
they shall not disclose the Gen Personal Data or makeit available to any other person without Gen'sconsent. This does not apply to the legal obligation todisclose Personal
Data to entities authorized toreceive such data by law. The confidentiality
obligation is not limited and shall apply even aftertermination of the MPA.

c.

The Provider shall ensure by way of a contract that
sub-processors comply with the obligations to which
the Provider is subject pursuant to the DPA and under
Data Protection Law. At Gen’s request, the Provider
shall provide a copy of its sub-processor agreements
and any subsequent amendments to Gen. To theextent necessary to protect business secrets or otherconfidential information, including Personal Data,
the Provider may redact the text of the sub-processor
agreements prior to sharing the copy.

d.

e.

The Provider shall remain fully responsible to Gen forthe performance of the sub-processor’s obligations inaccordance with the DPA. The Provider shall notify
Gen, without undue delay, of any failure by the subprocessor to fulfil its contractual obligations.
The Provider shall agree a third party beneficiaryclause with the sub-processor whereby - in the event
the Provider has factually disappeared, ceased toexist in law or has become insolvent - Gen shall havethe right to terminate the sub-processor agreement6.

別の処理者によるデータ処理a.

通常の場合、プロバイダは、注文書に記載された別の処理者 (サブ処理者) にデータ処理を委任することができます。プロバイダは、サブ処理者の配置や割り当てなどを意図的に変更する場
合、Gen が当該サブ処理者を評価するために必要な情報とともに、当該サブ処理者が業務に関与する 30 営業日前までに Gen に通知する必要があります。この期間内に、Gen が変更内容を検討し、必要に応じて異議を申し立てることになります。Gen が変更通知を受け取ってから 30 営
業日以内にサブ処理者の変更に異議を申し立てなかった場合、その変更は承認されたものとみなされます。本 DPA の日付時点で Gen が承認しているサブ処理者の一覧は、注文書に添付されます。

b.

サブ処理者は、Gen 個人データの処理において、データの機密性を確保する必要があります。Gen から同意を得ることなく、Gen 個人データを開示したり、他者に Gen 個人データへのアクセスを許可したりすることはできません。
ただし、個人データの受領が法律によって許可されている組織の場合は、この限りではありません。秘密保持義務は、MPA の終了後も適用されるものとします。

c.

プロバイダは、サブ処理者と契約 (サブ処理契約) を締結することにより、本 DPA とデータ保
護法に従い、プロバイダに適用される義務をサ
ブ処理者に遵守させる必要があります。Gen から要請を受けた場合、プロバイダは、サブ処理
契約書とその後の改正内容の写しを Gen に提供するものとします。プロバイダは、サブ処理契約書の写しを共有する前に、個人データを含む

and to instruct the sub-processor to erase or return
the Gen Personal Data.
7.

Cooperation and assistance
a.

b.

8.

9.

各種の機密情報を保護するために必要な範囲において、サブ処理契約書の内容を編集できるものとします。

The Provider shall deal promptly and adequately withinquiries from Gen about the Processing of Gen
Personal Data in accordance with this DPA andprovide Gen with the necessary assistance to comply
with the applicable Data Protection Law, inparticular:
i. with the handling of Data Subjects´ requests;
andii. when carrying out data protection impact
assessment and consulting with the dataprotection authorities.
In case the Provider receives a Data Subjects´ request
relating to the Gen Personal Data Processed under
the MPA, the Provider shall promptly, but not later
than within two business days, forward such request
to Gen. The Provider shall not respond to such arequest without Gen’s prior written consent.

7.

d.

プロバイダは、本 DPA に基づくサブ処理者の義務の履行について、Gen に対してすべての責任を負うものとします。サブ処理者が契約上の義務を履行しなかった場合、プロバイダは過度な遅滞なく Gen に通知するものとします。

e.

プロバイダは、「プロバイダが事実上消滅した
場合、法律上存在しなくなった場合、または支
払不能な状態になった場合、Gen は、サブ処理契約を終了し、Gen 個人データを消去/返却する
ようサブ処理者に指示する権限を有する」という内容の第三者受益条項をサブ処理者と締結することに同意するものとします。

協力と支援
a.

プロバイダは本 DPA に従い、Gen 個人データの処理に関する Gen からの問い合わせに迅速かつ適切に対処し、適用されるデータ保護法を遵守するために必要な支援を Gen に提供するものとします。
i. データ主体からの依頼に対応する場合の支援ii. データ保護の影響を評価し、データ保護当局と協議を行う場合の支援b.

プロバイダは、MPA に基づいて処理される Gen
個人データについてデータ主体から何らかの依頼を受けた場合、その依頼を 2 営業日以内にGen に転送するものとします。プロバイダは、Gen から書面による同意を事前に得ることな
く、データ主体からの依頼に応じることはできません。

Control and audita.

The Provider is obliged to allow Gen to check theProvider's compliance with all obligations under this
DPA and Data Protection Law.

b.

The Provider shall upon Gen´s request, without
undue delay, submit documents proving that theProvider Processes Gen Personal Data in accordancewith this DPA and Data Protection Law and enable
the audit to be carried out by Gen or a person
authorized by it to perform it. Gen shall notify theProvider about its intent to perform an audit
reasonably in advance.

c.

If a control or an audit is carried out at the Provider´splace by public authorities, the Provider shallimmediately notify Gen about such control or audit
and provide relevant documents, unless prohibitedfrom doing so under applicable law.

8.

管理と監査
a.

プロバイダは、プロバイダが本 DPA とデータ保
護法に基づくすべての義務を遵守していることを Gen が確認できるようにする必要があります。

b.

Gen から要請があった場合、プロバイダは過度な遅滞なく、プロバイダが本 DPA とデータ保護法に従って Gen 個人データを処理していることを証明する書類を Gen に提出し、Gen による監査 (または Gen から権限を付与された担当者による監査) を実施できるようにするものとします。Gen は、監査の実施について、合理的な方法で事前にプロバイダに通知することとします。

c.

公的機関による管理または監査をプロバイダの施設内で実施する場合、プロバイダは、該当する法律で禁止されている場合を除き、当該管理/監査についてすみやかに Gen に通知し、関連書類を提出するものとします。

International Transfers of Personal Data
Provider and its sub-processors shall only transfer Gen
Personal Data from its country of origin in accordance with
the Data Protection Law.

10. Order of Precedence.
If there is a conflict between the MPA and this DPA, theterms of this DPA will control including the terms of theStandard Contractual Clauses.

9.

個人データの海外転送プロバイダとサブ処理者は、データ保護法に従い、Gen 個人データを本国からのみ転送するものとします。

10. 優先順位
MPA と 本 DPA との間に矛盾がある場合、標準契約条項を含め、本 DPA の条項が優先されるものとします。

Exhibit B
Master Supplier Security Requirements

1

SECURITY REQUIREMENTS

Provider shall operate in compliance with: (i) the requirements
set forth in this document, (ii) industry best practices andstandards; and iii) any applicable legal and regulatory
requirements, whichever is the stricter, higher, or more
protective standard.
Nothing herein is intended or shall be construed to limit any ofProvider’s obligations under the Agreement or other applicableterms between Provider and Gen (“Terms”). In the event of any
conflict between such provisions and this Master Provider
Security Requirements, the stricter, higher, or more protective
standard shall govern unless otherwise expressly agreed to inwriting and signed by both parties.
DEFINITIONS

2“Gen Data” means Any Gen data, content, and information that
Provider is provided, or has access to.
“Gen Restricted Data” meanso Highly sensitive Gen Data limited to very few individuals
and shared only on a need-to-know basis.
o Applies to Gen Data that must be protected due to legal
or regulatory requirements; may give Gen a competitive
advantage.
o Any Gen Data containing Nonpublic Personal Information(NPI), Personally Identifiable Information (PII), or
Protected Health Information (PHI) is considered Gen
Restricted Data.
o Unauthorized disclosure impact will be severe.
Unauthorized access, use, or disclosure is expected tohave a major reputational, regulatory, or financial impact.
o The business impact of loss or modification will be severe
and is expected to have a major adverse effect on
operations, assets, or individuals.
“Gen Confidential Data” means:o Sensitive Gen Data limited to small groups (e.g., project
teams) and shared only on a need-to-know basis.
o Applies to company secrets, proprietary code, and otherdata that would give Gen a competitive advantage.
o Any Gen Data that is not expressly classified under thisSection 2 as either Gen Restricted Data, or Internal Use
Only is Gen Confidential Data.
o Unauthorized disclosure impact will be severe tomoderate. Unauthorized access, use, or disclosure may
have a major reputational or financial impact but is notexpected to have a regulatory impact.
o The business impact of loss or modification will be severe
to moderate and may have a major adverse effect on
operations, assets, or individuals.

Gen 社外秘別紙 B
プロバイダのマスターセキュリティ要件

1.

セキュリティ要件

プロバイダは、 (i) 本書で規定する要件、(ii) 業界のベスト
プラクティスと標準、(iii) 適用される法律のうち、より制限が厳しいものを遵守することとします。
ここに記載されている要件は、本契約またはプロバイダと
Gen との間で適用されるその他の規約 (これ以降は「規約」と表記) に基づくプロバイダの義務を制限することを意図するものではなく、そのように解釈されるものでもありません。関連する規約と本マスターセキュリティ要件で規定されている要件が矛盾している際には、両当事者が署名した書面で明示的に合意されている場合を除き、より制限が厳しい条件が適用されるものとします。
2.

定義「Genデータ」とは、Gen がプロバイダに提供する (またはアクセス権を付与する) すべてのデータ、コンテンツ、情報を指します。
「制限付きGenデータ」には、下記のデータが含まれま
す。
o
o
o
o

o

アクセスがごく少人数だけに制限され、内容を知る必要がある場合にのみ共有される非常に機密性の高いGen データ。
法的要件や規制上の要件に従って保護する必要がある
Gen データであり、Gen が競争上の優位性を得る可能性のあるデータ。
非公開の個人情報 (NPI)、個人を特定できる情報(PII)、または保護対象保険情報 (PHI) が含まれている
Gen データ。
これらの情報を許可なく開示した場合、非常に大きな影響があります。制限付き Gen データへの不正なア
クセス、使用、開示を行った場合、Gen に対する評価、法的な責任、財務面において大きな影響が発生することが予想されます。
事業機会の損失や事業体制の変更などの大きな影響が発生し、事業の運営、資産、各社員にも大きな悪影響が及ぶことが予想されます。

「Gen 機密データ」とは、下記のデータが含まれます。
o アクセスがプロジェクトチームなどの小規模グループだけに制限され、内容を知る必要がある場合にのみ共有される機密性の高い Gen データ。
o 社外秘データや独自のコードなど、Gen が競争上の優位性を得る可能性のあるデータ。
o 本条項で、制限付き Gen データや Gen 社外秘データとして分類されていないデータ。
o 機密データを許可なく開示した場合、非常に大きな影響があります。Gen 機密データへの不正なアクセス、
使用、開示を行った場合、Gen に対する評価と財務面において大きな影響が発生する可能性がありますが、法的な影響が発生することは予想されません

事業機会の損失や事業体制の変更などの大きな影響が発生
し、事業の運営、資産、各社員にも大きな悪影響がおよぶことが予想されます。

“Gen Internal Use Only” means:o Non-sensitive Gen Data used for conducting company
business.
o Applies to data commonly available within Gen and used
for daily operations.
o Unauthorized disclosure impact will be minimal.
Unauthorized access, use, or disclosure is not expected tohave a reputational, regulatory, or financial impact.
o The business impact of loss or modification will beminimal and may have a limited adverse effect on
operations, assets, or individuals.

「Gen 社外秘データ」とは、下記のデータが含まれます。
o 事業を行うために使用される機密性の低い Gen デー
タ。
o Gen の日常業務で一般的に使用されるデータ。
o このデータを許可なく開示した場合の影響は非常に限定的です。Gen 社外秘データへの不正なアクセス、使用、開示を行った場合、Gen に対する評価、法的な責
任、財務面に対して影響が発生することは予想されません。
o 事業機会の損失や事業体制の変更などによる影響は最小限で、事業の運営、資産、各社員に対する悪影響も非常に限定的です。

“Handle (or “handle”)” means any processing operation(s)performed upon Gen Data, whether by automatic means or not,such as collecting, recording, using, accessing, copying,
reproducing, retaining, storing, disclosing, modifying, altering,transferring, transmitting, deleting, destroying or otherwise
disposing of, selling, assigning, licensing, or marketing.

「処理」とは、Gen データに対して実行される処理を指します。自動的な方法かどうかに関係なく、収集、記録、使用、アクセス、コピー、複製、保持、保管、開示、変更、改変、転送、送信、削除、破棄、処分、販売、譲渡、ライセンス供与、マーケティング活動などが「処理」に該当します。

“Personnel” means Provider’s employees, contractors,
subcontractors, and/or third parties engaged by or on behalf ofProvider that provide services to Gen and/or handle Gen
information.
“Gen Information Assets” means Gen assets including end user
computing devices, networks, infrastructure, data repositories.
3

INFORMATION SECURITY POLICIES

3.1

Management Direction for Information Security

3.1.1

Provider shall maintain an Information Security Policy(ISP) that is reviewed and approved at least annually atthe executive level. Provider shall ensure that all
Personnel have access and comply with the ISP.

4

ORGANIZATION OF INFORMATION SECURITY

4.1

Internal Organization

4.1.1

Provider shall adopt physical, technical andorganizational security measures in accordance withindustry best practices and standards and be incompliance with all applicable legal and regulatory
requirements as they apply to the Provider’s services
being provided to Gen.

5

HUMAN RESOURCE SECURITY

5.1

Prior to employment

5.1.1

Provider shall, when and to the extent legallypermissible, perform background verification checks incompliance with the Gen policies for all Personnel who
may have access to Gen Restricted Data or Gen
Confidential Data and/or Gen Information Assets. Suchbackground checks shall be carried out in accordancewith and as permitted under applicable regulation andlaw and shall include the following regional equivalent
items: SSN Trace, Global Blacklist Search, Criminal
County Search (5-Year Address History), Criminal「担当者」とは、プロバイダの社員、請負業者、下請業者を指します。また、プロバイダと契約し、プロバイダに代わって Gen に対してサービスを提供したり、Gen の情報を取り扱う第三者も「担当者」として分類されます。
「Gen 情報資産」とは、エンドユーザーのコンピューティ
ングデバイス、ネットワーク、インフラストラクチャ、データリポジトリなどの Gen 資産を指します。
3.

情報セキュリティポリシー
3.1 情報セキュリティの管理方針
3.1.1 プロバイダは 1 年に 1 回以上、経営幹部レベ
ルで情報セキュリティポリシー (ISP) のレビ
ューと承認を行うこととします。また、すべての担当者について ISP に準拠させること
とします。

4.

情報セキュリティの組織
4.1 内部組織
4.1.1 プロバイダは、業界のベストプラクティスと標準に従い、物理的、技術的、組織的なセキュリティ対策を採用し、Gen に提供するプロバイダのサービスに適用されるすべての法的要件と規制上の要件に準拠するもの
とします。

5.

2

人事セキュリティ
5.1 採用前5.1.1 プロバイダは、法的に許容される範囲内で、制限付き Gen データ、Gen 機密データ、Gen 情報資産にアクセスするすべての担当者について、Gen
ポリシーに基づいて身元調査を実施することとします。この身元調査は、該当する法令に従って実施する必要があります。次に示す調査に相Federal Search (5-Year Address History), and Financial
Sanctions Search.
5.2

During employment

5.2.1

Provider shall provide security awareness training
based on industry best practices and standards to all
Personnel at least annually.

5.2.2

Additional Training

5.2.3

Provider shall complete and implement additional
training as may be required by Gen from time to time.

5.3

Termination and change of employment

5.3.1

Provider shall implement effective user termination /transfer controls that include access removal /disablement immediately upon termination or transfer
of Personnel or when such Personnel no longer require
handling of Gen Data as part of their job duties for
Provider.

6

ASSET MANAGEMENT

6.1

Responsibility for assets

6.1.1

Providers that use Gen Information Assets shall strictly
adhere to the most current version of Gen’s Acceptable
Use Standard.

6.1.2

Gen Information Assets may not be modified in any
way or used to provide services to any other parties
other than by prior express written agreement with
Gen.

6.2

Media handling

6.2.1

Destruction Requirements and Compliance Evidence

6.2.1.1

Any and all Gen Data is and shall remain the soleproperty of Gen, and Provider shall not acquire any
rights or licenses therein except as expressly set forthin the relevant Terms. Provider shall return to Gen (orat Gen’s option, destroy) any and all Gen Data and anyother information and materials that contain such Gen
Data (including all copies in any form) immediately
upon Gen’s request, or upon the earlier of thecompletion of services or termination of the relevantTerms.

6.2.1.2

Provider shall ensure secure disposal of systems andmedia to render all Gen Data contained therein as
undecipherable or unrecoverable prior to final disposal
or release from Provider’s possession. This shall be
undertaken in accordance with U.S. National Instituteof Standards and Technology (NIST) approved
standards and within ten (10) days following Gen’srequest, Provider shall provide Gen with a written
certificate of destruction.

6.2.2

Removable Media

6.2.2.1

Use of removable media is prohibited. All ports for USB
and external drives must be disabled on all
workstations that handle Gen Data.

7

ACCESS CONTROL

7.1

Business requirements of access control

当する調査を該当地域で実施する必要があります。社会保障番号追跡調査、グローバルブラッ
クリスト調査、郡犯罪歴調査委 (5 年間の住所履歴)、連邦犯罪歴調査 (5 年間の住所履歴)、金融制
裁調査。
5.2 雇用期間中
5.2.1 プロバイダは、業界のベストプラクティスと標準に従い、すべての担当者を対象として、セキュリティ意識向上トレーニングを 1 年に 1 回以上実施することとします。
5.2.2 追加のトレーニング
5.2.3 Genから随時要請があった場合、プロバイダは追加のトレーニングを実施することとします。
5.3 退職と人事異動
5.3.1 社員退職や異動が発生した場合、または担当者
がプロバイダの職務として Gen データを処理する必要がなくなった場合、プロバイダはそれらの社員や担当者について、ただちにアクセス権の削除や無効化などを行い、Gen データの制御権を適切に管理することとします。

3

6.

資産管理
6.1 資産に対する責任
6.1.1 Gen 情報資産を使用するプロバイダは、Gen の利
用規定のうち、最も制限が厳しいバージョンの利用規定に従うものとします。
6.1.2 いかなる方法であっても、Gen から書面による合意を事前に得ることなく、Gen 情報資産を変更したり、別の当事者にサービスを提供する目
的で Gen 情報資産を使用したりすることはできません。
6.2 メディアの取り扱い
6.2.1 すべての Gen データは Gen の独占的資産であり、プロバイダは、該当する合意で明示的に規定されている場合を除き、これらのデータについていかなる権利やライセンスも保有しないものとします。プロバイダは Gen からの要請に応じて (または、該当する合意とサービスのいずれかが終了したときに)、すべての Gen データと、
Gen データが含まれている情報や資料をすみや
かに Gen に返却することとします (または、Genが廃棄を指示することもあります。その場合もGen の指示に従うこととします。
6.2.2 リムーバブルメディア
6.2.2.1 リムーバブルメディアの使用は禁止されています。Gen データを処理するすべてのワークステーションで、USB と外部ドライブ用のポートをすべて無効にする必要があります。

7.

アクセス制御7.1 アクセス制御のビジネス要件
7.1.1 プロバイダは、強力なアクセス制御の仕組みを導入し、制限付き Gen データまたは Gen 機密データを処理するシステムのオペレーティングシ
ステム構成へのアクセスを、適切な権限を持つ
許可された担当者だけに制限する必要があります。
7.1.2 モバイルデバイスと在宅勤務

7.1.1

Provider shall implement strong access control andrestrict access to operating system configurations toauthorized, privileged personnel for systems handling
Gen Restricted Data or Gen Confidential Data.

7.1.2

Mobile devices and teleworking

7.1.2.1

Provider shall require that all Personnel who are able
to access to Gen Data must use a Provider issued
device, excluding mobile devices.

7.1.2.2

Provider shall not allow (and shall restrict) Personnel toaccess Gen Data via a mobile device.

7.1.3

User access management

7.1.2.1 プロバイダは、Gen データにアクセスできるすべての担当者について、プロバイダが貸与するデバイス (携帯電話を除く) を使用させることとします。
7.1.2.2 プロバイダは、担当者が携帯電話を使用して Gen データにアクセスすることを禁止する必要があります。
7.1.3 ユーザーアクセス管理
7.1.3.1 プロバイダは、プロバイダのシステム (ネットワーク、ホスティング、アプリケー
ション) が最小権限の原則に従って設計されていることを確認するものとします。
7.1.3.2 プロバイダは、以下のように、すべてのプロバイダシステム (ネットワーク、ホスティング、アプリケーション) で強力なパスワードを使用することとします。
•
長さが 10 文字以上のパスワード•
次の文字のうち、3 つ以上の文字が含まれているパスワード: 大文字、小文字、数字、ア
ルファベット以外の文字•
すべてのシステムで有効期間が 90 日に設定されたパスワード•
ハードコーディングされたり、ファイルに保存されたり、平文で保存されたり、平文で送信されたりすることがないパスワード
7.1.3.3 ソフトウェア製品とハードウェア製品内で使用されているベンダーのデフォルト
パスワードは、インストール前またはイ
ンストール時にすべて変更する必要があります。
7.1.4 ユーザーの責任
7.1.4.1 管理者アカウントと、システムへのリモートアクセスが許可されているアカウン
トの場合、プロバイダは、多要素認証の実行、パスワードの長さの増加、パスワ
ードの有効期間の短縮、ユーザーの制限
付きホワイトリストの使用など、制限の厳しい制御手段を使用して、管理者アカウントへのアクセスを制限することとします。
7.1.5 システムとアプリケーションのアクセス制
御7.1.5.1
プロバイダは、制限付き Gen データまたは Gen 機密データを処理するアプリケー
ションについて、関連するアプリケーシ
ョン、アーキテクチャ、プロセスフロ
ー、データフロー図、セキュリティ機能に関するドキュメントの維持管理を行う
こととします。

7.1.3.1 Provider shall ensure that the Provider’s system(network, hosting and application) is designed incompliance with the least privilege principle.
7.1.3.2 Provider shall enforce the use of strong passwords for
all Provider systems (network, hosting, andapplication) as follows:••••

Passwords are at least ten (10) characters long;
Contain at least three of the following: Uppercase letters, lower-case letters, numbers, nonalphabetic characters;
Expire after 90 days for all systems; andAre never hard-coded, stored in files, or stored
or transmitted in clear text

7.1.3.3 All vendor default passwords within software andhardware products must be changed before or during
installation
7.1.4

User responsibilities

7.1.4.1 For administrative accounts and for any accounts thatallow remote access to systems, Provider shall use
multi-factor authentication or other positive controls
such as increased password length, shorter password
life or restrictive white lists of users to restrict accessto administrative accounts.
7.1.5

System and application access control

7.1.5.1

Provider shall maintain documentation on theapplicable application, architecture, process flows
and/or data flow diagram, and security features forapplications handling Gen Restricted Data or Gen
Confidential Data.

8

CRYPTOGRAPHY

8.1

Cryptographic controls

8.1.1

Provider shall use NIST or PCI approved encryption andhashing standards (e.g. SSH, SSL, TLS) for transmission
and storage of Gen Restricted Data and Gen
Confidential Data.

8.1.1.1

Where necessary to be stored on a portable device, thedevice shall be protected by full disk encryption.

8.1.2

Gen Restricted Data or Gen Confidential Data stored
on archive or backup systems shall be subject to atleast the same protection measures used in the live
environment.

8.

4

暗号技術
8.1
暗号制御
8.1.1 プロバイダは、制限付き Gen データと Gen
機密データの送信や保存を行う場合に、NISTまたは PCI によって承認された暗号化標準とハッシュ標準 (SSH、SSL、TLS など) を使用することとします。
8.1.1.1 Gen データをモバイルデバイスに保管する必要がある場合、そのデバイスのディスク

9を完全に暗号化して Gen データを保護する必要があります。
8.1.2 少なくともアーカイブシステムまたはバッ
クアップシステムに保存された制限付き
Gen データと Gen 機密データについては、実際の環境で使用されているデータと同じ保護手段で保護する必要があります。

PHYSICAL AND ENVIRONMENT SECURITY

9.1

Secure areas

9.1.1

Provider shall ensure the physical and environmental
security of all areas containing Gen Restricted Data or
Gen Confidential Data, including but not limited todata centers and server room facilities, are designed
to:9.1.1.1

Protect information assets from unauthorized physicaland logical access based on role, duties, grade level,
geographical location for all Personnel.

9.1.1.2

Manage, monitor, and log movement of Personnel intoand out of such facilities and all other applicable areas
including, but not limited to, badge access control,
locked cages, secure perimeter, cameras, monitored
alarms, and enforced use provisioning controls, when
and to the extent legally permissible.

9.1.1.3

Guard against environmental hazards such as heat, fire
and water damage.

9.1.1.4

Security Personnel deployed to supervise the access topremises, and strict policies to ensure Gen Data is notremoved from the premises.

9.1.2

In regards to the data centers, contact centers andserver facilities, Provider shall logicaly or physicallysegregate Gen Data from other customer or tenant’s
data.

10

OPERATIONS SECURITY

10.1

Operational procedures and responsibilities

10.1.1

Provider shall implement operating system hardening
for hosts and infrastructure handling Gen Restricted
Data or Gen Confidential Data. Operating systemhardening includes, but is not limited to, the following
configurations and practices:
•
•
•
•
•
•
•

9.

Strong password authentication, at least as
secure as set out in Section 7.1.3.2 above.
Inactivity time-out
Disabling unused ports/services
Log management
Disabling or removal of unnecessary or expired
accounts
Changing default account passwords andwhere possible default account names
Timely patching and updates to firmware, OSand system, application and database levelsoftware10.2

Protection from malware

10.2.1

Provider shall employ and maintain comprehensive
anti-malware solutions configured to download
signatures at least daily and a firewall solution (orother threat protection technologies) for end user
computing devices which connect to the Gen networkor handle Gen Restricted Data or Gen Confidential
Data.

10.2.2

Provider shall prohibit and disable the use of external
devices for storing or carrying, or in use with machines

物理的なセキュリティと環境的なセキュリティ
9.1
施設の安全確保
9.1.1 プロバイダは、制限付き Gen データまたは Gen
機密データが使用されるすべての施設 (データセ
ンターやサーバールームなど。ただし、これらだけに限定されるものではありません) について、物理的なセキュリティと環境的なセキュリ
ティを確保するものとします。プロバイダは、
以下の要件に従う必要があります。
9.1.1.1 すべての担当者を対象として、役割、職務、スキルレベル、地理的な場所に基づき、不正な物理的アクセスと論理的アクセスから情報資産を保護すること。
9.1.1.2 対象となる施設とその他すべての該当エ
リアや設備 (バッジアクセスによって入退室が制御されている部屋、常時鍵がかかっている部屋、セキュリティ対策が導入されている施設、防犯カメラ、モニターアラー
ムなど。ただし、これらだけに限定されるものではありません) について、法律で許可されているときおよび範囲において、担当者による入退室などの動作を管理、監視、記録すること。
9.1.1.3 熱、火災、水害などの環境災害から Gen
データを保護すること。
9.1.1.4 施設への出入を監視するためのセキュリ
ティ担当者を配置し、Gen データが施設内から持ち出されないようにするための厳格なポリシーを適用すること。
9.1.2 データセンター、コンタクトセンター、サーバ
ーでは、Gen データを他の顧客データやテナン
トデータから論理的または物理的に分離する必
要があります。

10. 運用セキュリティ
10.1 運用手順と責任
10.1.1 プロバイダは、制限付き Gen データまたは Gen
機密データを処理するホストとインフラストラ
クチャについて、オペレーティングシステムの強化策を導入することとします。オペレーティ
ングシステムの強化策としては以下の方法が考えられますが、これらだけに限定されるものではありません。
• 第 7.1.3.2 条に記載されている以上に強力なパス
ワード• アイドルタイムアウト• 使用されていないポート/サービスの無効化• ログ管理• 不要なアカウントと期限切れアカウントの無効化または削除• アカウントのデフォルトパスワードの変更と、アカウントのデフォルト名の変更 (可能な場合)
5

handling Gen Restricted Data or Gen Confidential Data.
External devices include without limit: flash drives,
CDs, DVD, external hard drives and other mobile
devices.
10.3

Logging and Monitoring

10.3.1

Provider shall ensure system audit or event logging
and related monitoring procedures are implemented
and maintained to proactively record user access andsystem activity for routine review. All log files shall be
retained for at least twelve (12) months and access
restricted to authorized personnel only.

10.3.2

Providers who have physical access to Gen Restricted
Data or Confidential Data shall maintain logs for all
entry points from CCTV, badge readers and sign-in
sheets. All log files shall be retained for at least twelve(12) months and access restricted to authorized
Personnel only, unless appliable data protection laws
require a shorter retention period.

10.4

Vulnerability Scanning

10.4.1

Providers who handle Gen Restricted Data or Gen
Confidential Data, or host internet accessible sites onbehalf of Gen (either directly or through third parties),shall:•

ファームウェア、OS、システム、アプリケーシ
ョン、データベースレベルのソフトウェアに対するタイムリーなパッチ適用とアップデート
10.2 マルウェアからの保護
10.2.1 プロバイダは、1 日 1 回以上署名をダウンロード
するように設定された包括的なマルウェア対策
ソリューションと、Gen ネットワークに接続するエンドユーザーコンピューティングデバイ
ス、または制限付き Gen データや Gen 機密デー
タを処理するエンドユーザーコンピューティン
グデバイス用のファイアウォールソリューショ
ン (またはその他の脅威保護技術) を導入し、維持管理を行うこととします。
10.2.2 プロバイダは、制限付き Gen データまたは Gen
機密データを処理するマシンでこれらの Gen データの使用、保存、持ち運びを行う場合に、外部デバイスの使用を禁止することとします。こうした外部デバイスには、フラッシュドライ
ブ、CD、DVD、外付けハードドライブ、その他のモバイルデバイスなどがありますが、これらだけに限定されるものではありません。
10.3 ロギングとモニタリング
10.3.1 プロバイダは、システム監査またはイベントロ
ギングと、それに関連する監視手順を実施して維持管理を行い、定期的なレビューを行う目的
で、ユーザーアクセスとシステムアクティビテ
ィを記録することとします。すべてのログファ
イルを 12 カ月間以上保存し、適切な権限を持つ担当者以外はログファイルへのアクセスを禁止する必要があります。
10.3.2 制限付き Gen データまたは Gen 機密データに物理的にアクセスできるプロバイダは、CCTV、バッジリーダー、サインインシートのすべてのエントリポイントのログを維持管理することとします。該当するデータ保護法でより短い期間が規定されている場合を除き、すべてのログファ
イルを 12 カ月間以上保存し、適切な権限を持つ担当者以外はログファイルへのアクセスを禁止する必要があります。
10.4 衰弱性スキャン
10.4.1 制限付き Gen データまたは Gen 機密データを取り扱うプロバイダと、直接的であるか第三者経由であるかを問わず、インターネットからアクセス可能なサイトを Gen に代わってホストするプロバイダは、以下の要件に従う必要があります。
10.4.1.1 業界標準のスキャンツールを使用して、ネットワーク、ホスト、アプリケーションの脆弱性を特定すること。
10.4.1.2 ネットワーク、ホスト、アプリケーショ
ンについて、内部脆弱性スキャンを毎月
1 回以上実行すること。
10.4.1.3 ネットワーク、ホスト、アプリケーショ
ンを実稼動環境にリリースする前と、ネットワーク、ホスト、アプリケーションの変更を行った後に、脆弱性スキャンを実行して脆弱性を特定すること。
10.4.1.4 CVSS スコアリングに従い、重大レベル、高レベル、中レベルの脆弱性をすべて修正してから、ネットワーク、ホスト、ア

10.4.1.1 Utilize industry standard scanning tools to identify
network, host and application vulnerabilities.
10.4.1.2 Perform at least monthly internal vulnerability scans of
network(s), host(s) and application(s).
10.4.1.3 Perform ad-hoc vulnerability scanning to identify
network, host, and application vulnerabilities prior torelease to production and after more than minorchanges.
10.4.1.4 Remediate all critical, high and medium vulnerabilities
according to CVSS scoring, prior to release to
production and thereafter according to the following
vulnerability remediation timeframes:•••

Critical/High – 30 days
Medium – 60 days
Low – 90 days or prior to the next testing time
period

10.4.1.5

For critical zero-day vulnerabilities, recommended
remedial risk mitigation actions are implemented
without undue delay in no event later than thetimeframe specified for critical vulnerabilities in thissection. Provider shall promptly implement
recommended remedial risk mitigation action, suchas applying a software patch, software upgrades,
application configuration modifications, or othercompensating security preventative control methods,
no later than twelve (12) business days after therecommended remedial action has been published,tested and determined safe for installation and use.

10.5

Penetration Testing

10.5.1

Providers who handle Gen Restricted Data or Gen
Confidential Data, or have access to the Gen network
shall:
6

10.5.1.1 Utilize an independent third-party to perform an atleast annual penetration test of network(s), host(s) andapplication(s).

プリケーションを実稼動環境にリリースすること。また、以下に示す期間に従い、次回の脆弱性のテストと修正を行うこと。
• 重大/高レベルの脆弱性 - 30 日以内• 中レベルの脆弱性 - 60日以内• 低レベルの脆弱性 - 90 日以内
10.4.1.5 重大なゼロデイ脆弱性が見つかった場合
は、本条項の重大レベルの脆弱性で規定されている期間 (30 日) 以内に、推奨されるリスク軽減措置を実施すること。プロ
バイダは、推奨されるリスク軽減措置(リスクソフトウェアパッチの適用、ソフ
トウェアのアップグレード、アプリケー
ション設定の変更、その他の補正的なセキュリティ管理方法) が公開され、安全にインストールして使用できるということがテストで実証されてから 12 営業日
以内に、そのリスク軽減措置をすみやかに実施することとします。
10.5 侵入テスト
10.5.1 制限付き Gen データまたは Gen 機密データを取り扱うプロバイダと、Gen ネットワークにアクセスするプロバイダは、以下の要件に従う必要があります。
10.5.1.1 独立した第三者により、ネットワーク、
ホスト、アプリケーションの侵入テスト
を 1 年に 1 回以上行うこと。
10.5.1.2 ネットワーク、ホスト、アプリケーショ
ンを実稼動環境にリリースする前と、ネットワーク、ホスト、アプリケーションの大幅な変更を行ってから 30 日以内に、独立した第三者によって侵入テストを実施すること。
10.5.1.3 侵入テストで見つかった重大レベル、高レベル、中レベルの脆弱性をすべて修正してから、ネットワーク、ホスト、アプ
リケーションを実稼動環境にリリースすること。また、以下に示す期間に従い、次回の脆弱性のテストと修正を行うこと• 重大/高レベルの脆弱性 - 30 日以内• 中レベルの脆弱性 - 60 日以内• 低レベルの脆弱性 - 90 日以内
10.5.1.4 第三者によるネットワーク、ホスト、ア
プリケーション侵入テストの概要を Genに提出すること。
10.5.1.5 制限付き Gen データまたは Gen 機密デー
タを取り扱う、または Gen に代わってプ
ロバイダのインターネットアクセス可能
サイトをホストし、その使用状況を Genに通知する、Gen に指名された下請業者
または第四者の侵入テストレポートを確認すること。
10.5.1.6 Gen は、制限付き Gen データまたは Gen
機密データを取り扱うプロバイダのネッ
トワーク領域、Gen ネットワークに接続するプロバイダのネットワーク領域、またはインターネットからアクセス可能なサイトをホストするプロバイダのネット
ワーク領域で、Gen が個別に第三者を指10.5.1.2 Utilize an independent third-party to perform ad-hoc
penetration tests prior to release to production and noless than thirty (30) days after significant changes.
10.5.1.3 Remediate all critical, high and medium vulnerabilities
discovered by the pen-tester , prior to release to
production and thereafter according to the following
vulnerability remediation timeframes:•••

Critical/High – 30 days
Medium – 60 days
Low – 90 days (or prior to the next testing time
period

10.5.1.4 Provide to Gen the executive summary portion of thethird party penetration test relating to the network(s),host(s) and application(s).
10.5.1.5 Review the penetration test reports for any appointed
subcontractor or fourth party to Gen, who handles Gen
Restricted Data or Gen Confidential Data, or hosts
internet accessible sites for Provider on behalf of Gen
and notify Gen of their use.
10.5.1.6 Gen reserves the right to independently or utilize an
authorized third-party to perform a network
penetration test on the area(s) of the Provider’s
network that handles Gen Restricted Data or Gen
Confidential Data, connects to the Gen network, or
hosts internet accessible sites on behalf of Gen.
11

COMMUNICATIONS SECURITY

11.1

Network-Level Requirements

11.1.1

Provider shall use firewall(s) to protect networks that
handles Gen Restricted Data or Gen Confidential Dataor host internet accessible sites on behalf of Gen. The
firewall(s) shall be able to effectively perform thefollowing functions: stateful inspection, logging,support for all IPSec standards and certificates,
support for strong encryption and hashing, ICMP and
SNMP based monitoring and anti-spoofing. Provider
shall have network-based security monitoring (i.e.,
syslog, security information and event management(SIEM) software or host-based intrusion detection
systems) for the segment(s) which handles Gen
Restricted Data or Gen Confidential Data.

11.1.2

Provider is not permitted to use a dynamic DNS service
for their external facing website IP address. If a static
IP address cannot be provided, then a non-internetbased method of interaction/communication shall be
used.

11.2

Hosting-Level Requirements

11.2.1

Provider shall not use or change a cloud environment
in any capacity (i.e., IaaS, PaaS, SaaS, process, transmit,
access and store data) without obtaining express priorwritten consent from Gen. If Gen provides such7

permission, the Provider shall logically segregate all
Gen Restricted Data and Confidential Data.
11.3

Information transfer

11.3.1For data originating from a Gen U.S. entity: Provider
shall not access, store, process and/or use any Gen
Data in a location outside the United States without
Gen’s prior explicit approval. Additionally, Provider
shall ensure that all Personnel who have access to Gen
Data are located in the United States. If access orhandling is performed outside of the United States
additional terms or agreements may be appropriate
and Provider agrees to promptly and in good faith
enter into such additional terms or agreements as Gen
may require from time to time.

11.3.2For data orignating from a Gen EU entity or otherwise
governed under EU and UK data protection laws:
Provider shall not access, store, process and/or use any
Gen Data in a location outside the European Union
without Gen’s prior explicit approval. Additionally,
Provider shall ensure that all Personnel who haveaccess to Gen Data are located in the European Union.
If access or handling is performed outside of theEuropean Union additional terms or agreements may
be appropriate and Provider agrees to promptly and ingood faith enter into such additional terms oragreements as Gen may require from time to time.

12
SYSTEM
MAINTENANCE

ACQUISITION,

DEVELOPMENT

名してネットワーク侵入テストを実行させる権利を有していることに同意すること。
11. 通信セキュリティ
11.1 ネットワークレベルの要件
11.1.1 プロバイダはファイアウォールを使用して、制限付き Gen データまたは Gen 機密データを処理するネットワークを保護するか、インターネッ
トからアクセス可能なサイトを Gen に代わってホストする必要があります。このファイアウォ
ールでは、ステートフルインスペクション、ロ
ギング、すべての IPSec 標準と証明書のサポー
ト、強力な暗号化機能とハッシュのサポート、
ICMP ベースおよび SNMP ベースの監視機能とス
プーフィング防止機能を効率的に実行できる必要があります。プロバイダは、制限付き Gen データまたは Gen 機密データを処理するセグメン
トに対して、ネットワークベースのセキュリティモニタリングツール (syslog、セキュリティ情報とイベント管理 (SIEM) ソフトウェア、ホスト
ベースの侵入検知システム) を導入することとします。
11.1.2 プロバイダは、外部に公開された Web サイトのIP アドレスで動的 DNS サービスを使用することはできません。静的 IP アドレスを使用できない
場合は、インターネット以外の方法で対話/通信を行うものとします。
11.2 ホスティングレベルの要件
11.2.1 プロバイダは、いかなる方法であっても (IaaS、
PaaS、SaaS、データの処理、送信、アクセス、保存など)、Gen から書面による明確な同意を事前に得ることなく、クラウド環境を使用したり変更したりすることはできません。Gen がクラウ
ド環境の使用や変更を許可した場合、プロバイ
ダはすべての制限付き Gen データと Gen 機密データを論理的に分離することとします。
11.3 情報の転送
11.3.1 米国に所在する Gen 事業体から提供されたデー
タは、以下のように取り扱うこととします。プ
ロバイダは、Gen の明示的な同意を事前に得ることなく、米国以外の場所で Gen データへのア
クセス、保存、処理、使用を行わないこととします。また、プロバイダは、Gen データにアクセスするすべての担当者が米国に居住していることを確認するものとします。Gen データへのアクセスや処理を米国以外の場所で行う場合
は、追加の条件や合意が必要になることがあります。その場合プロバイダは、Gen が随時要請する可能性がある追加の条件や合意を迅速かつ誠実に締結することに同意するものとします。
11.3.2 欧州に所在する Gen 事業体から提供されたデー
タと、欧州と英国のデータ保護法が適用される
データは、以下のように取り扱うこととします。プロバイダは、Gen の明示的な同意を事前に得ることなく、欧州以外の場所で Gen データ
へのアクセス、保存、処理、使用を行わないこととします。また、プロバイダは、Gen データにアクセスするすべての担当者が欧州に居住していることを確認するものとします。Gen デー
タへのアクセスや処理を欧州以外の場所で行う

AND

12.1

Security in development and support processes

12.1.1

Providers that develop source code for Gen, handle
Gen source code (including without limit any Gen
product or service source code), or develop andmaintain applications that handle Gen Restricted Dataor Gen Confidential Data shall:

12.1.1.1 Deliver at least annual secure code training to all
Personnel in-scope for delivering such services to Gen.
Developers shall be proficient in the OWASP Top 10
and the CWE/SANS Top 25 vulnerabilities and theirappropriate remediation techniques. Provider shallprovide Gen with this initial evidence of compliancewithin thirty (30) days from the effective date of therelevant Terms between Gen and Provider andannually thereafter.
12.1.1.2 Maintain and evidence an annual review of adocumented change management process andsoftware development lifecycle (SDLC), which includes:•
Independent secure code reviews;•
Secure programming guidelines and protocols fordeveloping applications;•Threat model methodology to identify the key
risks to applications and/or source code; and•Application security testing (testing may include
static application security testing (SAST), dynamic
application security testing (DAST) and third-party
penetration testing)
12.2

Test Data8

12.2.1 Provider may never use Gen Data for any testing
scenarios.
13

PROVIDER RELATIONSHIPS

13.1

Information security in supplier relationships

13.1.1

Providers that either connect to any Gen network,
handle Gen Restricted Data or Gen Confidential Data
and/or develop or host internet assessable sites onbehalf of Gen, shall ensure that they maintain an
applicable SOC 2 Type 2 attestation and/or,
ISO/IEC27001 certification. Provider shall provide Gen
with a copy of the SOC 2 Type 2 report, and/or
ISO27001 Statement of Applicability with certificate.

13.1.2

Providers who cannot provide an applicableattestation or certification as stated above, arerequired to undertake a Gen’s security risk assessment(SRA) or provide a SIG LITE as requested by Gen on anannual basis.

13.1.3

Gen is a PCI Level 1 merchant. Any Provider who
handles credit card data on behalf of Gen, shall at all
times remain in compliance with the most recent
version of Payment Card Industry Data Security
Standard (PCI DSS) to the extent PCI DSS is applicableto the services provided under the Terms (e.g., if
Provider accesses, collects, uses, retains, processes,
discloses or transfers any cardholder data as defined
under PCI DSS or any other data protected or subject
to PCI DSS (collectively, “PCI Data”), or if any part ofsuch services impacts the security of the PCI Data
environment). Upon request by Gen, Provider shallpromptly provide sufficient proof, as determined by
Gen in its sole discretion, of compliance with PCI-DSS
to Gen. If Provider has knowledge of a potential
violation of PCI DSS, Provider shall notify Gen
promptly, but no later than 48 hours or a shorter priod
where required under PCI DSS, after obtaining suchknowledge and come into compliance with PCI DSS
within the time frame specified by Gen, but no later
than 30 days, after Provider obtains knowledge of such
violation. Provider shall ensure that all of its Personnel
comply with the same obligations that apply to
Provider under the Terms and remain liable to Gen forcompliance with the Terms by its Personnel. Provider
shall provide Gen with this initial evidence ofcompliance (PCI AoC) within thirty (30) days from theeffective date of the relevant Terms between Gen andProvider and annually thereafter.

13.1.4

Where Provider or its Personnel have a reasonable
belief that Gen Data may have been compromised,
including without limit any unauthorized handling,
Provider shall notify Gen thereof without undue delay
after becoming aware, and Gen may conduct an SRA
on three (3) days’ notice at the Provider’s expense.
Provider shall provide prompt, full and good faithcooperation in the performance of the SRA.

13.1.5

Provider and its Personnel shall fully cooperate withany Gen or Gen appointed third party auditors,
including any regulatory investigation of Gen or its
affiliates, and shall allow access to any (i) Personnel
involved in performance of the services or handling of

場合は、追加の条件や合意が必要になることがあります。その場合プロバイダは、Gen が随時要請する可能性がある追加の条件や合意を迅速かつ誠実に締結することに同意するものとします。
12. システムの取得、開発、保守
12.1 開発プロセスとサポートプロセスのセキュリティ12.1.1 Gen 向けソースコード (Gen 製品や Gen サービスのソースコードなど。ただし、これらだけに限定されるものではありません) の開発や処理を行うプロバイダと、制限付き Gen データまたは
Gen 機密データを処理するアプリケーションの開発と保守を行うプロバイダは、以下の要件に従う必要があります。
12.1.1.1 該当するサービスを Gen に提供する目的
で、対象となるすべての担当者に対して、セキュアなコードを記述するためのトレーニングを 1 年に 1 回以上実施する必要があります。開発者は、OWASP Top
10 と CWE/SANS Top 25 の脆弱性と、それらの脆弱性の適切な修正技術に精通している必要があります。プロバイダは、Gen との間で合意を締結してから 30 日以
内に、これに準拠していることを示す証
明書類を Gen に提出し、その後毎年同様の証明書類を提出することとします。
12.1.1.2 文書化された変更管理プロセスとソフト
ウェア開発ライフサイクル (SDLC) の年次レビューを行い、それを証明する書類をGen に提出する必要があります。この年
次レビューでは、以下のレビューを行います。
• 個別のセキュアコードレビュー• アプリケーションを開発するためのセキュアプ
ログラミングのガイドラインとプロトコルのレビュー• アプリケーションやソースコードに対する主要なリスクを特定するための脅威モデルメソドロ
ジーのレビュー
• アプリケーションセキュリティテストのレビュー (このテストには、静的アプリケーションセキュリティテスト (SAST)、動的アプリケーションセ
キュリティテスト (DAST)、第三者による侵入テストが含まれる場合があります)12.2 テストデータ
12.2.1 プロバイダは、いかなるテストシナリオにおいても、Gen データを使用することはできません。
13. プロバイダの関係
13.1 プロバイダとの関係における情報セキュリティ
13.1.1 Gen ネットワークに接続するプロバイダ、制限付き Gen データまたは Gen 機密データを取り扱うプロバイダ、インターネットからアクセス可
能なサイトの開発やホスティングを Gen に代わって行うプロバイダは、該当する SOC 2 Type 2 認証または ISO/IEC27001 認証 (あるいはこれら両方) の維持管理を行うこととします。また、SOC
2 Type 2 報告書または ISO27001 適用宣言書 (ある9Gen Data, (ii) premises where the services are being
performed; (iii) applications and systems used toperform the services; (iv) data and records kept orcreated with respect to the services or any agreementin place between Provider and Gen and/or Provider
and its Personnel.
13.1.6Gen Restricted Data or Gen Confidential Data shall not
be shared with any other third party without priorwritten agreement from Gen.

13.2

Right to Audit

13.2.1

In addition to Gen’s inspection and audit rights as set
forth in any relevant Terms (inclduing any dataprocessing agreement), Gen reserves the right torequire the Provider to undertake a Gen Security Risk
Assessment at least annually. If Provider fails tocomply with such request within a reasonable
timeframe, or if the security questionnaire raises Gen
security concerns that are not addressed by Provider
to Gen’s satisfaction, Gen reserves the right (inaddition to any other audit or other rights it may have)to conduct, or engage a reputable third party auditor
to conduct an SRA.

14

INFORMATION SECURITY INCIDENT MANAGEMENT

いはこれら両方) を証明書とともに Gen に提出することとします。
13.1.2 上記の証明書類を提出できないプロバイダは、Gen が実施するセキュリティリスク評価 (SRA) を受けるか、SIG LITE を提供する必要があります。
いずれも、Gen の要請に応じて毎年 1 回実施する
こととします。
13.1.3 Gen は、PCI レベル 1 のマーチャントです。Genに代わってクレジットカードデータを取り扱う
プロバイダは、規約に基づいて提供されるサービスに対してペイメントカード業界データセキ
ュリティ基準 (PCI DSS) が適用される範囲において、常に最新バージョンの PCI DSS に準拠することとします (たとえば、PCI DSS で定義されている
カード所有者データや、PCI DSS の保護対象となるその他のデータ (「PCI データ」と総称) について、アクセス、収集、使用、保持、処理、開示、転送などを行う場合や、いずれかのサービスが PCI データ環境のセキュリティに影響する場合など)。プロバイダは、Gen から要請があった
場合に、PCI-DSS に準拠していることを証明するための書類をすみやかに Gen に提出することとします (この証明書類は、Gen が独自の裁量で決定することとします)。PCI DSS に対する潜在的な違反が発生していることにプロバイダが気付いた場合、プロバイダは、そうした違反に気付いてから 48 時間以内に (または、PCI DSS で 48 時間
よりも短い時間が指定されている場合は、その時間内に) Gen に通知し、Gen が指定する期間内(遅くとも、違反に気付いてから 30 日以内) にその違反を是正し、PCI DSS に準拠する必要があります。プロバイダは、自社のすべての担当者について、本条項でプロバイダへの適用が規定されているすべての義務を負うことと、規約を遵守する責任を Gen に対して負うことを保証する
ものとします。プロバイダは、Gen との間で規約を締結してから 30 日以内に、これに準拠していることを示す証明書類 (PCI AoC) を Gen に提出
し、その後毎年同様の証明書類を提出することとします。
13.1.4 合理的な理由により、プロバイダまたはプロバ
イダの担当者が、Gen データが侵害された可能性があると判断した場合 (許可されていない方法
で Gen データが処理された場合など。ただし、これらだけに限定されるものではありません)、
プロバイダは過度な遅滞なく Gen に通知することとします。Gen はプロバイダに対し、 3 日前通
知をもって、プロバイダの費用負担で SRA を実施できるものとします。SRA を実施する場合、プ
ロバイダはすみやかに、誠実で全面的なサポートを提供することとします。
13.1.5 プロバイダとプロバイダの担当者は、Gen また
は Gen が任命する第三者監査人 (Gen や Gen の関
連企業の規制調査機関など) と全面的に協力し、Gen または第三者監査人が次の項目にアクセスすることを許可するものとします: (i) サービスの実行または Gen データの取り扱いに関与する担当者、(ii) サービスが実行されている施設、(iii) サービスを実行するためのアプリケーションとシ
ステム、(iv) サービスに関して作成または保存さ

14.1
Management of information security incidents andimprovements
14.1.1

Provider shall notify Gen immediately, and in no event
later than twenty-four (24) hours (unless applicabledata protection law or the Terms requires a shorter
notice period), if there is a reasonable basis to believethat Gen Restricted Data or Confidential Data may
have been compromised, including without limit any
unauthorized handling.

14.1.2

Provider shall inform Gen of the following:

14.1.2.1 A description of the nature of the incident including,where possible, the categories and approximate scaleof the incident;
14.1.2.2 The name and contact details of the Provider contactfrom whom more information can be obtained; and14.1.2.3 A description of the measures taken or proposed to betaken to address the incident including, whereappropriate, measures to mitigate its possible adverse
effects.
14.1.3

Provider shall work with Gen promptly and in goodfaith as required to resolve the incident, and in
conjunction with any associated investigations.

15
INFORMATION SECURITY ASPECTS OF BUSINESSCONTINUITY MANAGEMENT
15.1

Information security continuity

15.1.1

Provider agrees to maintain a Business Continuity Plan
(BCP) and Disaster Recovery Plan (DRP) (the “Plans”)
with respect to the services being performed for Gen.

10

15.1.2
The Plans must be tested at least annually, a copy may
be requested by Gen, and all findings shall be remediated.

れたデータとレコード、またはプロバイダと
Gen またはプロバイダとプロバイダ担当者 (あるいはこれら両方) との間で締結された合意に従って作成または保存されたデータとレコード。
13.1.6 書面による同意を Gen から事前に得ることな
く、制限付き Gen データや Gen 機密データを他の第三者と共有することはできません。
13.2 監査権
13.2.1 Gen は、関連する規約 (データ処理契約など) に記載されている Gen の調査権と監査権のほかに、プロバイダに対して Gen のセキュリティリ
スク評価を 1 年に 1 回以上実施するように要請する権利を有しています。プロバイダが妥当な期間内にこうした要請に応じなかった場合、またはセキュリティに関する調査の結果、Gen のセキュリティの問題への対処について、Gen が要求するレベルをプロバイダが満たしていない
ことがわかった場合、Gen は、他の監査権やその他の権利のほかに、信頼できる第三者監査人に SRA の実施を依頼する権利を有しています。

15.1.3 At a minimum the Provider’s Plans must include thefollowing requirements:
15.1.3.1 Business Continuity Plan (BCP). Provider must maintaina BCP for their essential business functions. A BCP must
contain the information necessary to plan for therecovery of each essential business functions. BCPs
must document the requirements necessary to
execute the recovery strategy. BCPs must include
strategies to achieve the essential business function
recovery timelines determined in the associatedBusiness Impact Analysis. The BCP must include thefollowing information:
•
•
•
•
•
•
•
•
•
•
•
•

Executive Summary:Plan Overview, including the plan specific
recovery objectives
Scope
Assumptions
Business Impact Assessment (BIA)
Recovery Strategy Details and Recovery
Procedures for each of the following effects:
Loss of Facility
Loss of Critical Personnel
Loss of Core Dependencies
Notification, Escalation and Plan Activation
Procedures
Calls Lists
Recovery Resource Requirements

14. 情報セキュリティインシデント管理
14.1 情報セキュリティインシデントの管理と改善
14.1.1 合理的な根拠により、制限付き Gen データまたは Gen 機密データが不正に処理された可能性があると判断した場合 (許可されていない方法でデータが処理された場合など。ただし、これらだけに限定されるものではありません)、プロバイ
ダは 24 時間以内に (または、該当するデータ保
護法や規約で 24 時間よりも短い時間が指定されている場合は、その時間内に) Gen に通知することとします。
14.1.2 プロバイダは、以下の情報を Gen に通知することとします。
14.1.2.1 インシデントのカテゴリとおおよその規模など、インシデントの概略的な情報
14.1.2.2 詳細な情報を知っているプロバイダ担当者の氏名と連絡先
14.1.2.3 インシデントに対して実施する措置またはその提案 (インシデントによる悪影響を軽減するための措置など)
14.1.3 プロバイダは必要に応じて、すみやかに Gen と協力して関連する調査を行い、インシデントの解決に誠実に取り組むこととします。

15.1.3.2 Disaster Recovery Plan (DRP). Except to the extent
superseded by more stringent standards included in
the Terms, the following shall apply:••

Provider shall provide Gen with a DRP relevant toany site, network, system, and/or application
used to host Gen websites and data within thirty(30) days of the request.
DRPs shall include procedures to achieve a
Recovery Time Objective (RTO) of four (4) hours
or less and Recovery Point Objective (RPO) of no
more than one (1) hour.

15.1.3.3 Internet Service Providers. Provider shall maintain atleast two Internet Service Providers (“ISPs”) withmultiple paths into the building and traffic shall
automatically be rerouted to another carrier.

15. 事業継続性管理における情報セキュリティ
15.1 情報セキュリティの継続
15.1.1 プロバイダは、Gen に対して実行されるサービスについて、事業継続計画 (BCP) と災害復旧計画(DRP) (「計画」と総称) の維持管理を行うことに同意するものとします。
15.1.2 計画のテストを 1 年に 1 回以上実施する必要があります。Gen は、テスト結果のコピーの提出を要請する場合があります。プロバイダは、Genが指摘したすべての項目を修正することとします。
15.1.3 プロバイダの計画には、少なくとも以下の要件が含まれている必要があります。
15.1.3.1 事業継続計画 (BCP)。プロバイダは、重要な事業について BCP を確保する必要が15.1.3.4 Fire. Provider’s facilities shall contain an automatedfire suppression system that will not affect any of theequipment or systems but will immediately extinguisha fire.
15.1.3.5 Bandwidth. Provider shall maintain two identicalrouters and an alternate firewall server. The backup
router and firewall shall be pre-configured and able tobe brought online immediately.
15.1.3.6 Power. Provider’s service facilities shall have multiple
sources of power including heavy-duty utility feed,
extensive uninterrupted power supply (UPS) battery
backup, surge protectors between power feed and
UPS, and a back-up generator.
11

15.1.3.7 Server Failure. Provider’s system shall be redundant toa reasonable degree necessary to meet up time andmaintenance requirements.

あります。BCP には、重要な各事業の復旧を計画するために必要な情報が含まれている必要があります。復旧方法を実行するための要件を、BCP として文書化する必要があります。BCP には、関連する
ビジネス影響度分析で定義された、重要な事業の復旧タイムラインを達成するための方法を含める必要があります。BCPには、以下の情報を含める必要がありま
す。
•
概要：
•
計画の概要(具体的な復旧目標など)
•
範囲
•
想定条件
•
ビジネス影響度分析（BIA）•
以下に示す各影響に対する詳しい復旧方
法と復旧手順
•施設の損失•重要な担当者の損失•核となる依存関係の損失•
通知、エスカレーション、計画をアクテ
ィブ化する手順•
連絡先リスト•
リソース復旧の要件
15.1.3.2 災害復旧計画 (DRP)。DRP では、以下の要件が適用されます。ただし、以下の要件よりも厳格な要件が規約に記載されている場合は、その要件が適用されます。
•
プロバイダは、Gen からの要請に応じて、Gen の Web サイトとデータをホストするためのサイト、ネットワーク、シス
テム、アプリケーションに関する DRP を
30 日以内に Gen に提出することとします。
•
提出する DRP には、4 時間以内の目標復旧時間 (RTO) と 1 時間以内の目標復旧時
点 (RPO) を達成するための手順が記載されている必要があります。
15.1.3.3 インターネットサービスプロバイダ: プ
ロバイダは、2 社以上のインターネット
サービスプロバイダ (ISP) と契約して、自社の建物への通信経路を複数確保することにより、トラフィックが自動的に別のISP に転送されるようにする必要があります。
15.1.3.4 火災: プロバイダの施設には、機器やシステムに影響を与えることなく、すみや
かに消火できる自動消火システムが導入されている必要があります。
15.1.3.5 帯域幅: プロバイダは、2 つの同じルーターと代替ファイアウォールサーバーを使用することとします。バックアップ用のルーターとファイアウォールは、即時にオンライン状態に移行できるように設定されている必要があります。
15.1.3.6 電源: プロバイダのサービス施設では、ヘビーデューティユーティリティフィー
ド、大規模な無停電電源装置 (UPS) バッ
テリバックアップ、電源と UPS 間のサージ防護機器、バックアップジェネレータ
12

ーなど、複数の電源を確保する必要があります。
15.1.3.7 サーバー障害: プロバイダのシステムでは、稼働時間と保守の要件を満たすために必要な合理的な冗長性を確保する必要があります。
プロバイダは、計画上で定義された災害が発生したと判断した場合、ただちに Gen に通知し、計画に従って担当する活動を開始することとします。プロバイダが、本条項で規定されている災害復旧サービスの実施義務に重大な違反をし、その結果として、Gen の事業運営に不可欠なサービスを所定の期間内に開始できなかった場合、Gen は、災害が継続している期間にわたり、規約に基づく Gen の権利のほかに、プロバイダの費用で第三者に当該サービスの実
施を依頼する権利を有することとします。災害が停止した
ら、プロバイダは合理的な範囲で可能な限りすみやかに、
災害の理由と、災害を解決するためにプロバイダが講じたすべての措置が詳しく記載されたインシデントレポートを
Gen に提出することとします。

Upon Provider's determination of a disaster as defined in thePlan, Provider shall immediately notify Gen and commence theactivities for which it is responsible under the Plan. If Provider
materially breaches its obligations to provide disaster recovery
services in accordance with this Section, and, as a result thereof,
fails to commence performance of services critical to theoperation of Gen’s business within the proscribed period, Genshall have, in addition to any other rights of Gen hereunder, theright to retain a third party to provide such services for so longas the disaster continues, at Provider's expense. Upon cessationof a disaster, Provider shall as soon as reasonably practicable,
provide Gen with an incident report detailing the reason for thedisaster and all actions taken by Provider

13

Exhibit C
Software and SAAS Terms

別紙 C
ソフトウェアと SaaS に関する規約

1. Software terms. Unless otherwise specified in theapplicable Order, the Software license grant will be deemed tobe perpetual and Gen and its authorized users may at no
additional cost:a. copy and use Software for non-production purposes(including without limit testing, development, training) andfor back-up, archival, disaster recovery, high availability,
and temporary migration (including bursting) purposes,b. allow its third-party contractors, agents andoutsourcers to install, use and/or access Software solely onbehalf of and for the benefit of Gen, and Gen will be
responsible for such third parties’ compliance with theAgreement,c. adapt, customize, configure, extend, localize, and/ortranslate the Software,d. move or transfer Software licenses from any computeror platform to any other computer or platform(s).

1. ソフトウェアに関する規約: 該当する注文書に別段の規定がない限り、ソフトウェアのライセンス付与は永続的なものとみなされ、Gen と Gen の許可ユーザーは、追加費用を支払うことなく、以下の事項を行うことができるものとします。
e. ソフトウェアを非生産的な目的 (テスト、開発、
トレーニングなど。ただし、これらだけに限定されるものではありません) でコピーして使用したり、次のことを目的としてソフトウェアをコピーして使用する: バックアップ、アーカイブ、災害復旧、高可用性の確保、一時的な移行 (バーストを含む)。
f. 第三者の請負業者、代理人、委託業者に対して、Gen に代わって Gen のためにソフトウェアをインストール、使用、アクセスすることを許可する (Gen は、
この第三者が本契約を遵守することに対して責任を負うものとします)。
g. ソフトウェアのカスタマイズ、設定、拡張、ロー
カライズなどを行う。
h. ソフトウェアのライセンスを、パソコン間またはプラットフォーム間で移動/転送する。

Future Software releases will be backwards compatible and will
not result in material degradation of the performance,
functionality, or security of such Software. Software
documentation will accurately reflect the operation andrequirements of the Software. No terms, conditions ordisclaimers included in any Software or Software-support
documentation (or similar Provider materials) that are in
addition to or inconsistent with the terms of this exhibit or the
Agreement shall be effective unless expressly agreed to by Gen
in a mutually executed amendment to these Terms or applicable
Order. Quantity-based user licenses will be deemed to be
concurrent users unless expressly stated otherwise in theapplicable Order, and any named user Software licenses andentitlements may be transferred from any individual user(s) to
any other individual user(s) from time to time.

ソフトウェアの新しいリリースを開発する場合は、後方互換性を確保し、ソフトウェアの性能、機能、セキュリティが大きく低下することがないようにします。ソフトウェアのドキュメントには、ソフトウェアの操作と要件が正確に記載されている必要があります。ソフトウェアに関するドキュメント (または、プロバイダが作成する同様の資料)に、本別紙や本契約の条件に矛盾する条項、条件、免責事
項が記載されている場合、Gen が明示的に同意しない限
り、これらの条項、条件、免責事項は無効であるとみなされます。数量ベースのユーザーライセンスは、該当する注文で別段の明記がない限り、同時使用ユーザーライセンスとみなされます。指定されたユーザーのソフトウェアライ
センスと権利は、随時、特定の個別ユーザーから別の個別ユーザーに譲渡できるものとします。

2. Software Support. Unless specified in the applicable Order,
technical support and maintenance for all Software (“Support”)
is included at no charge as part of the applicable Software fee.
Notwithstanding anything to the contrary, Support includes
without limit (and Gen will be entitled to receive):

2. ソフトウェアサポート: 該当する注文書に明記されていない限り、すべてのソフトウェアの技術サポートとメン
テナンスサービス (これ以降は「サポート」と表記) は、該
当するソフトウェアの一部として無償で提供されることとします。本条項と矛盾することがあっても、「サポート」には以下の項目が含まれるものとします (Gen は、これらの項目をサポートとして受ける権利を有することとします)。

(a) all Software releases that become generally available fora new platform or language,(b) all error corrections, workarounds, bug fixes, patches,modifications, enhancements and other updates andupgrades which are released to Provider’s other supported
customers. Upon request, Provider shall provide a listing of
all available updates currently available to the Provider’s
supported customers. Provider shall deliver to Gen each
update as soon as it is generally available in production
release,(c) all replacement products for any discontinued Software,(d) a toll-free telephone hotline and/or email account,which shall be staffed on a continuous basis twenty four(24) hours per day and seven (7) days per week throughout
the Support period, by individuals skilled in Software
technical support matters;(e) access to a Provider website that provides diagnostics
tools, web-based case submission, answers to frequently
asked questions, access to technical support news groups,(a) 新しいプラットフォームまたは言語向けに公開されるすべてのソフトウェアリリース。
(b) プロバイダのサポート対象顧客向けにリリースされるすべてのエラー修正プログラム、回避策、バグ修
正プログラム、パッチ、修正プログラム、機能拡張、更新プログラム、アップグレード。プロバイダは、プ
ロバイダのサポート対象顧客から依頼を受けた場合、使用可能なすべてのアップデートリストを提供するものとします。プロバイダは、各アップデートが製品リ

14

descriptions of the Provider’s internal support procedures
and operations necessary for Gen to fully utilize theProvider’s Support capabilities and other web resources
offered to the Provider’s supported customers; and(f) email notification services for general Support issues.

リースで使用可能になった時点で、そのアップデート
を Gen に提供することとします。
(c) 取り扱い中止になったソフトウェアのすべての代
替製品(d) フリーダイヤルの電話ホットライン、または電子
メールアカウント (あるいはその両方) - サポート対応
時間は 24 時間 365 日で、ソフトウェアの技術サポートに精通したスタッフが対応すること(e) 診断ツール、Web ベースのケース提出機能、FAQ
に対する回答、テクニカルサポートニュースグループ
へのアクセス、Gen がプロバイダのサポート機能を十分に活用するための、プロバイダの内部サポート手順と操作に関する説明、プロバイダのサポート対象顧客に提供するその他の Web リソース(f) サポートに関する一般的な問題に対応するためのメール通知サービス

Should Gen allow the Provider to directly or remotely access
Gen’s network(s) during the course of performance of any
Support, Provider may be required to agree to additional terms
for secure network access.
3.
Support Procedure and Classification. Gen shall have theright to contact the Provider’s Support organization inaccordance with the procedures specified herein. Initial calls
into the Provider’s Support organization will be: (i) serviced by aSupport employee within fifteen (15) minutes or placed directly
into an expedited Support queue, (ii) logged into the Provider’scall tracking system, and (iii) assigned a case number. Gen shallclassify each Support request in accordance with the Severity
levels specified below and the Provider shall take the following
actions as specified below. All responses shall at a minimum beprovided by the Provider in English and/or any other language
specified by Gen to the extent that skilled Support staffing isavailable with the requested language capabilities.
•

Gen が、サポートを提供するプロバイダに対して、Gen のネットワークに直接またはリモートでアクセスすることを許可した場合、プロバイダは、安全なネットワークアクセ
スに関する追加規約への同意を求められることがあります。
3.
サポートの手順と分類: Gen は、以下に記載されている手順に従い、プロバイダのサポート部門に連絡できる
ものとします。 プロバイダのサポート部門に対する最初の連絡は、次のように処理されます: (i) 最初の連絡を受けてから 15 分以内にサポート担当者が対応するか、連絡がサポートキューに直接格納される、(ii) 連絡がプロバイダの問い合わせトラッキングシステムに記録される、(iii) 連
絡にケース番号が割り当てられる。 Gen は、各サポート
依頼を以下に示す重大度に従って分類し、プロバイダは、以下に示す対応を行うものとします。 問い合わせに対するすべての回答は、英語または Gen が指定するその他の言
語 (あるいはその両方) により、プロバイダが提供することとします。指定された言語でサポートを提供できるだけの能力を有するサポート担当者が、回答を行う必要があります。

Severity 1 Errors:
Definition: A problem has been identified that makes
the continued use of one or more functions impossible(or severely restricted) on a critical system andprevents continued production or severely risks criticalbusiness operations. Problem may cause loss of data
and/or restrict data availability and/or causesignificant financial impact to Gen.
Response Commitment: A Support engineer will
respond to a call within one (1) hour of a problem
report. Provider will promptly assign Provider Support
engineers to investigate the problem report and notify
the Provider a Severity 1 Error has been reported andof the steps being taken to correct such error. Provider
shall provide Gen with at a minimum reports every
three (3) hours on the status of the investigation.
Provider shall initiate work to provide Gen with aworkaround or fix. If a workaround or fix is notavailable within four (4) hours, the problem reportshall be escalated to the Provider’s productdevelopment organization. Provider and its personnel
shall provide uninterrupted continuous effort on a
365x24x7 basis until a Severity 1 Error is corrected or aworkaround acceptable to Gen is implemented.

••

Severity 2 Errors:
Definition: A problem has been identified that severely
affects or restricts major functionality. The problem isof a time sensitive nature and important to long-term
productivity but is not causing an immediate work
stoppage. No workaround is available and operation
can continue in a restricted fashion.

重大度 1 のエラー:
定義: 重要なシステムにおいて問題が発生し、1つ以上の機能が継続的に使用できない状態 (または、機能が大きく制限されている状態) になっており、重要な業務に対して重大なリスクが発生している場合は、重大度 1 のエラーとして分類されます。この問題により、データの損失やデータの可用性の制限が発生したり、Gen が大きな財務的影響を受けたりする可能性があります。
対応: サポートエンジニアは、問題の報告を受けてから 1 時間以内に電話対応を行います。 プロ
バイダは、すみやかにサポートエンジニアを割り当てて問題を調査し、重大度 1 のエラーの報告を受けたことと、当該エラーを修正するための措置を講じていることを Gen に通知します。 プロバ
イダは Gen に対して、少なくとも 3 時間ごとに調査の状況について報告を行うこととします。プロ
バイダは、Gen に回避策/修正方法を提供するための作業を行うこととします。4 時間以内に回避策/修正方法が見つからなかった場合は、プロバ

Response Commitment: A Support engineer will
respond to a call within two (2) hours of a problem
report. Provider will promptly assign Provider Support
engineers to investigate the problem report. Provider
shall initiate work to provide Gen with a workaround15

or fix. If a workaround or fix is not available withintwenty-four (24) hours, the problem report shall beescalated to Provider Development.
•

イダの製品開発部門に問題をエスカレーションすることとします。 プロバイダとプロバイダの担
当者は、重大度 1 のエラーが修正されるか、Genが許容する回避策が導入されるまで、24 時間 365
日体制で継続的な努力を払うこととします。

Severity 3 Errors:
Definition: A minor problem that does not have major
effect on business operations or a major problem forwhich a Gen acceptable Workaround exists.
•

Response Commitment: A Support engineer will
respond to a Gen call within two (2) business days of aproblem report. Provider will promptly assign Provider
Support engineers to investigate the problem report.
Provider shall initiate work to provide Gen with aworkaround or fix. If a workaround or fix is notavailable, Provider may include a fix for the error in a
future Releases.

対応: サポートエンジニアは、問題の報告を受けてから 2 時間以内に電話対応を行います。 プロ
バイダは、すみやかにサポートエンジニアを割り当て、問題の調査を行います。プロバイダは、Gen に回避策/修正方法を提供するための作業を行うこととします。24 時間以内に回避策/修正方
法が見つからなかった場合は、プロバイダの製品開発部門に問題をエスカレーションすることとします。

4. Support Renewal and Cancellation. For any Software
where Support is not included as part of the Software fee:a. Gen shall have the right, in its discretion and withoutobligation, to renew Support in whole or in part and in any
quantities,
b. Support fees (whether for the Software product or for
any individual Software licenses) may not increase by morethan two percent (2%) per year over those Support fees
charged in the immediately preceding year for such
Software product or any individual Software licenses,
c. Provider shall notify Gen in writing of any Support
renewal pricing at least sixty (60) days prior to the
expiration of the then-current Support period. If Provider
fails to notify Gen within such period, any purchased
Support will be provided at the same rate or net per unit
cost as the immediately preceding year.
d. Gen may renew or reinstate any lapsed Support
without any back-charge or additional charge other thanthe payment of the applicable annual Support fees mutuallyagreed upon by the parties for the renewal Support period(provided that the Support fee, whether for the Software
product or any individual Software license, may not haveincreased by more than 2% per year since Support for the
Software was last made available to Gen),e. Gen may cancel Support in part or in whole on not lessthan 30 days’ notice to Provider, in which case Provider will
refund to Gen any remaining, unused prepaid Support fees
for the applicable cancelled Support period, pro-rated on amonthly basis.

•

重大度 3 のエラー:
定義: 業務には大きく影響しない軽微な問題や、重大な問題ではあるが、Gen にとって許容可能な回避策が存在する問題は、重大度 3 のエラーとして分類されます。
対応: サポートエンジニアは、問題の報告を受けてから 2 時間以内に電話対応を行います。プロバ
イダは、すみやかにサポートエンジニアを割り当て、問題の調査を行います。 プロバイダは、Genに回避策/修正方法を提供するための作業を行う
こととします。回避策/修正方法が見つからなかった場合、プロバイダは、将来のリリースにエラ
ーの修正プログラムを組み込むことができます。

4.
サポートの更新と解約: ソフトウェア料金にサポートが含まれていない場合、以下の条件が適用されます。
a. Gen は自身の裁量により、一切の義務を負うことなく、サポートのすべて、サポートの一部、サポートの数量を更新する権利を有するものとします。
b. 対象となるソフトウェア製品/個々のソフトウェ
アライセンスのサポート料金は、直前の年のサポート料金と比較して、年 2% を超える増加率で請求することはできないものとします。
c. プロバイダは、現在のサポート期間が終了する
60 日前までに、サポートの更新価格について Gen に書面で通知するものとします。プロバイダが当該期間内に Gen に通知しなかった場合、すでに購入したサポートについては、直前の年と同じ料金で提供されるものとします。
d. Gen は、更新後のサポート期間について両当事者間で相互に合意した年間サポート料金以外には一切料

5.
SAAS and Hosted Software. For Software made available
as a service or otherwise hosted in whole or in part by or on
behalf of Provider, Provider makes the following additionalterms, representations, and commitments:a. Account Management. Provider will appoint a service
level account manager to be the central point of contact for
all service levels (“SLA”), general account information andmanagement including Provider’s performance against thisSLA,b.

重大度 2 のエラー:
定義: 主要な機能に重大な影響を与える問題や、主要な機能が大きく制限される問題は、重大度 2のエラーとして分類されます。この問題が長期間継続すると生産性に影響しますが、ただちに業務が停止するというわけではありません。 即時に実行できる回避策はなく、制限された状態で業務を継続することになります。

Software Up-Time:(i) “Minimum Up Time” means that Software will beavailable for a minimum of 99.9% Up Time (as definedin the following subsection) each month.
16

(ii) “Up Time” means (i) the total number of minutes
during a calendar month in which the Services areavailable and usable, excluding time spent on
Approved Maintenance, (ii) divided by the total
number of minutes during the calendar month.
(iii) “Approved Maintenance” shall mean notified andscheduled maintenance performed during scheduled
maintenance windows.
(iv) “Downtime” means the total number of minutes
during calendar month in which the Services are notavailable and usable, excluding unavailability due toApproved Maintenance or caused by Gen or its third
parties (other than compliance with Provider’s
instructions).
c.

金を支払うことなく、失効したサポートを更新/復活
できるものとします (ただし、サポート料金は、対象となるのがソフトウェア製品か個々のソフトウェアラ
イセンスかに関係なく、サポートが Gen に対して提供された最後の年と比較して、年 2% を超える増加率を設定することはできません)。
e. Gen は、30 日以上前にプロバイダに通知することにより、サポートの一部またはすべてを解約できることとします。その場合、プロバイダは、解約された該
当サポート期間中の未使用分の前払いサポート料金を月割りで Gen に返金することとします。
5.
SaaS とホスト型ソフトウェア: プロバイダが提供する (またはプロバイダに代わって提供される) サービスとしてのソフトウェア (SaaS) またはホスト型ソフトウェアの場
合、ソフトウェアのすべてを提供するか一部を提供するかにかかわらず、プロバイダは、以下の追加条件、表明、成約に従うこととします。

Failure to maintain the Minimum Up Time. For eachmonth, and for each impacted Software, where there
is a failure to maintain Up Time of 99.9%, Provider shallissue Gen a credit in the following amounts (or prorata equivalent if fees are not billed or calculated on amonthly basis):a. アカウント管理: プロバイダは、すべてのサービ
スレベル契約 (SLA) に関する情報、一般的なアカウン
ト情報、SLA に対するプロバイダの実績管理情報など、各種管理情報の一次連絡先となるサービスレベル
アカウントマネージャーを任命するものとします。

• 0 – 1 hour Downtime = no credit• 61 minutes - 3 hours Downtime = 5% of all fees billed
or due for the applicable month• 3 hours and 1 minute - 10 hours Downtime = 25% of
all fees billed or due for the applicable month• 10 hours and 1 minute - 15 hours Downtime = 50%of all fees billed or due for the applicable month• Over 15 hours Downtime = 100% of all fees billed or
due for the applicable monthb.

ソフトウェアのアップタイム:(i)「最小アップタイム」とは、ソフトウェアの最小アップタイム (アップタイムについては以下で説明) のことを指します。最小アップタイムとして、毎月最低 99.9% が保証されています。
(ii)「アップタイム」とは、(i)歴月一か月のうち、サービスが使用可能な状態であった合計分数 (承認されたメンテナンス時間を除く) を (ii) 1 カ月間の総分数で除算した値のことを指します。
(iii)「承認されたメンテナンス」とは、定期メン
テナンス期間内に実施される、事前にスケジュー
ルされて通知される定期メンテナンスのことを指します。
(iv)「ダウンタイム」とは、承認されたメンテナンス、または Gen または Gen の第三者による使用不能状態の期間 (プロバイダの指示によって使用不能になった場合を除く) を除き、歴月一か月の間にサービスが使用不能な状態が続いた総分数のことを指します。

d.

最小アップタイムを維持できなかった場合: アップタイムが 99.9% に達しなかった場合、プロバイ
ダは影響を受けた各ソフトウェアについて、以下の月額 (金額が月単位で計算されていない場合
は、日割り計算での金額) に相当するクレジットを Gen に対して発行するものとします。

The above Downtime periods are cumulative during theentire month and not limited to a single instance. The credit
will be applied to the following month’s invoice. For clarity,in the event Services are pre-paid or if no amounts areotherwise owed to Provider then, in lieu of any credit
hereunder, Provider shall refund the amount of theapplicable credit to Gen within thirty (30) days of the end of
the month in which the credit accrued. In addition, Provider
shall within ten (10) business days of notice from Gen
perform a root cause analysis to identify the cause of such
failure, provide a remedy plan and implement such plan in
an agreed upon time frame.
d. Maintenance. All scheduled maintenance requiring
downtime will be performed between the hours of 12:00
a.m. until 11:59 pm U.S. Central time on Saturdays andSundays (“Maintenance Windows”) and require less than
12 hours. Provider shall provide written notification to Gen
at least 7 business days in advance of such maintenance.
Any major maintenance or upgrades that will impact theavailability of the Services outside the MaintenanceWindows must be discussed and expressly approved inwriting by Gen in advance.

•
ダウンタイムが 0 ～ 1 時間の場合: クレ
ジットなし•
ダウンタイムが 61 分～ 3 時間の場合: 該
当月の合計請求額の 5%•
ダウンタイムが 3 時間 1 分～ 10 時間の場合: 該当月の合計請求額の 25%•
ダウンタイムが 10 時間 1 分～ 15 時間の場合: 該当月の合計請求額の 50%

e. Unscheduled Downtime. In the event of a system failure,
Provider will “fail-over” to an alternate system within 15
minutes and shall bring up the entire infrastructure and theServices from a cold boot in a maximum of one hour. In theevent of such a system failure, Provider will notify Gen of
the unscheduled downtime and the status of the event via

17

a telephone conversation. Provider will escalate the issue
within Gen until live human contact is made.

•ダウンタイムが 15 時間超の場合: 該当月の合計請求額の 100%

f. Catastrophic Failure. In the event of multiple catastrophic
system failures, Provider shall find a working solution or
switch to a backup server in a maximum of twenty-fourhours. In the event of such a catastrophic system failure,
Provider will notify Gen of the unscheduled downtime andthe status of the event via a telephone conversation.
Provider will escalate the issue within Gen until live humancontact is made.

上記のダウンタイムは 1 カ月間の累積時間であり、1つの事象だけのダウンタイムではありません。 クレジットは、該当月の翌月に請求されます。 サービスの料金が前払いである場合、またはプロバイダに対する未払額が存在しない場合、プロバイダは、クレジットが発生した月の末日から 30 日以内に、該当するク
レジット額を Gen に払い戻すこととします。また、プ
ロバイダは、Gen から障害に関する通知を受け取ってから 10 営業日以内に、その障害の根本原因を特定するための分析を実施して改善計画を提示し、両当事者が合意した期間内に当該計画を実施するものとします。
d. メンテナンス: ダウンタイムを伴うすべての定期メ
ンテナンスは、土曜日と日曜日の正午から午後 11 時
59 分 (米国中部標準時) までの間に、12 時間未満で実施されます。 プロバイダは、定期メンテナンスの 7
営業日前までに、Gen に書面で通知するものとします。 定期メンテナンス以外に、サービスの可用性に影響を与える大規模なメンテナンスやアップグレードを実施する場合、プロバイダは Gen と協議を行い、Gen から書面による明示的な承認を事前に得る必要があります。
e. 予定外のダウンタイム: システム障害が発生した場
合、プロバイダは 15 分以内に代替システムにフェイ
ルオーバーし、1 時間以内にコールドブートでインフ
ラ全体とサービスを起動することとします。 このようなシステム障害が発生した場合、プロバイダは、予定外のダウンタイムが発生したことと現在の状況を電話で Gen に通知することとします。 プロバイダは、実際の担当者と連絡が取れるまで、Gen 内で問題をエ
スカレーションさせることとします。
f. 致命的な障害: 致命的なシステム障害が複数発生した場合、プロバイダは、24 時間以内に解決策を見つけるか、バックアップサーバーに切り替えることとします。 このような致命的なシステム障害が発生した
場合、プロバイダは、予定外のダウンタイムが発生したことと現在の状況を電話で Gen に通知することとします。 プロバイダは、実際の担当者と連絡が取れるまで、Gen 内で問題をエスカレーションさせることと
します。

18

Exhibit D

別紙 DIntellectual Property Agreement

知的財産契約This Intellectual Property Agreement (the “IPA”) is entered into
by and between Gen Digital Inc. and its affiliates as identified in
any Order (“Gen”) and the seller or provider of any Solutions as
identified in such Order (“Provider”) if the Provider is engaged
to develop, design, improve, or otherwise work on software,code, or any other technology Solutions for or on behalf of Gen.
This IPA shall be effective as of the effective date of the Master
Purchase Agreement (“MPA”) by and between Gen and theProvider, the execution of such MPA shall be deemed to be, andrelied on, as Provider’s affirmative acceptance of this IPA and the
MPA as the governing and superseding document, in satisfactionof all contractual and legal requirements (the “Effective Date”).
Capitalized terms have the meaning as defined herein or in the
MPA. In the event of any conflict or inconsistency between this
IPA and the MPA, the terms of the MPA will govern and control.

この知的財産権契約 (これ以降は「IPA」と表記) は、Gen
Digital Inc. と注文書で指定されている Gen の関連会社 (これ以降は「Gen」と総称) と、注文書で指定されているソリューションの販売者またはプロバイダ (これ以降は「プロバイダ」と表記) との間で締結される契約です (プロバイダ
が Gen のためにまたは Gen に代わって、ソフトウェアやコードなどの技術的ソリューションの開発、設計、改善、その他の作業を行う場合)。本 IPA は、Gen とプロバイダとの間で締結されるマスター購入契約 (これ以降は「MPA」と表記) の発効日に有効になります。プロバイダは MPA を締結することにより、本 IPA と MPA が契約上の要件と法律上の要件をすべて満たしていること、本 IPA と MPA が優先的な文書として取り扱われることに同意したものとみなされます。 太字で記載されている用語は、MPA 内で定義された意味を有することとします。 本 IPA と MPA との間に矛盾がある場合、MPA の条項が優先されることとします。

1.

Intellectual Property(a) Developments. Provider understands and agrees that,to the extent permitted by law, all work, papers, reports,
documentation, drawings, images, product or service ideas,
computer programs including their source code and object
code, rights in databases, prototypes and other materials(collectively,“Developments”),
including,
without
limitation, any and all such Developments generated andmaintained on any form of electronic media, that Provider
generates, either alone or jointly with others, under its MPA
with Gen will belong to Gen, including any and all copyrights
in any and all such Developments. In the event that any
portion of the Developments should be deemed not to beowned by Gen, Provider hereby assigns, conveys, transfersand grants to Gen all of its right, title, and interest in and to
the Developments and any copyright therein, and agrees tocooperate with Gen in the execution of appropriate
instruments assigning and evidencing such ownershiprights. Provider hereby waives (in favor of Gen and its
successors, assigns and licensees) and agrees never toassert against Gen or its licensees any claim or right undermoral rights to object to Gen’s copyright in or use of theDevelopments or use of any Pre-Existing Works or Personal
Invention licensed to Gen under this IPA.

1. 知的財産(a) 開発物: プロバイダは、法律で認められている範囲において、プロバイダと Gen との間で締結した
MPA に基づき、プロバイダが単独で (または他者と共同で) 生成したすべての成果物、書類、報告書、文書、図面、画像、製品やサービスのアイデア、コンピュータプログラム (ソースコードやオブジェクトコー
ドなど)、データベースの権利、試作品 (これ以降は「開発物」と総称) と、電子メディアの形式で生成された開発物のすべての著作権が Gen に帰属することに同意するものとします。開発物の一部が Gen の所有物でないとみなされるべき場合、プロバイダは、当該開発物に関するすべての権利、権原、利益、著作権をGen に譲渡/移転/付与し、Gen と協力して、権利に関する譲渡および証明を行う適切な契約文書を履行することとします。プロバイダは、本 IPA に基づき、Genにライセンス供与された開発物、既存の成果物、個人の発明品の使用における Gen の著作権や使用権に異議を唱えるいかなる申し立ても、Gen、Gen の後継者、Gen の譲渡人、Gen のライセンシーの利益になるような形で放棄し、Gen や Gen のライセンシーに対して一切の申し立てを行わないことに同意するものとします。

Inventions. Provider hereby assigns and agrees toassign to Gen all of its right, title, and interest in and to any
device, method, process, discovery or other invention, andany improvements thereon (each an “Invention”), whether
patentable or not, that Provider or its Personnel make,conceive or suggest, either alone or jointly with others,
while providing services to Gen (“Assigned Inventions”).
Any Assigned Invention and any information pertaining
thereto not generally known to the public shall be deemed
Confidential Information, as that term is defined in the
MPA, and shall be subject to the use and disclosure
restrictions therein.
(b)

(b)

発明品: プロバイダは、Gen に対するサービスの提供において、特許の取得が可能かどうかにかかわらず、プロバイダまたはプロバイダの担当者が単独で(または他者と共同で) 作成/考案/提案したすべての装置、方法、プロセス、発見、発明、改良 (これ以降は「発明品」と総称) に対するすべての権利、権原、利益を Gen に譲渡することに同意するものとします (これ以降は「譲渡発明品」と表記)。譲渡発明品とそれに関連する一般に公開されていない情報は、MPA の条項に従って機密情報とみなされ、その使用と開示において制限事項が適用されます。

Pre-Existing Works. Provider owns its Confidential
Information and its products, software, materials, tools,
technology and know-how, and all intellectual property
(c)

(c)

19

既存の著作物: プロバイダの機密情報と、プロバ

rights therein, that are independently created or obtainedby Provider other than for Gen (collectively, “Pre-Existing
Works”). For any Pre-Existing Works provided to Gen, andfor any Developments where ownership does not fully vest
with Gen for any reason, Provider hereby grants Gen aworldwide, royalty free, fully paid, irrevocable right andunrestricted license in and to such Pre-Existing Works andDevelopments for Gen’s business purposes, and without
accounting or obligation of any kind to Provider.
“Developments” means all work product and results ofservices that are created or generated for or on behalf of
Gen in the course of providing Solutions to Gen, including
without limit all Gen data as input and output by any
software Solutions, and any reports or analysis that contain
Gen Confidential Information.

イダが Gen のためではなく独自に作成/取得した製品、ソフトウェア、資料、ツール、技術、ノウハウ(これらの知的財産権を含む) の所有権は、プロバイダに帰属します (これ以降は「既存の著作物」と総称)。
Gen に提供された既存の著作物と、何らかの理由で所有権が完全には Gen に帰属していない開発物について、プロバイダは、Gen がビジネスを行うことを目的として、プロバイダに対するいかなる会計報告または責任も必要としない、世界的、全額支払済み、取消不能、使用料なしの権利と無制限のライセンスを Gen に付与することとします。「開発物」とは、Gen にソリューションを提供する過程において、Gen のために
(または Gen に代わって) 作成/生成されたすべての製品とサービスのことを指します。開発物の例としては、任意のソフトウェアソリューション、レポート、解析機能によって入力出される、Gen 機密情報が含まれているすべての Gen データなどがあります (ただし、これらだけに限定されるものではありません)。

Personal Inventions. Inventions that Provider or its
Personnel develop entirely on its or their own time without
using Gen’s equipment, supplies, facilities, or proprietary
information, and that do not relate to Gen’s business or
result from work performed for Gen under the MPA(“Personal Inventions”), do not belong to Gen. If Provider
believes it or its Personnel have created Personal
Inventions during term of the MPA with Gen, Provider must
inform Gen. Provider hereby agrees not to incorporate, or
permit to be incorporated, Personal Inventions in any
Assigned Inventions, Developments or Gen product orservice in the course of performance of the MPA.
Notwithstanding the foregoing, if, in the performance ofthe MPA with Gen, a Personal Invention is incorporated into
any Assigned Invention, Developments, or Gen product orservice, then you hereby grant to Gen, under all applicable
intellectual property rights, an irrevocable, perpetual,worldwide, transferable, royalty-free, fully paid-up license
to make, have made, modify, use, offer to sell, sell, import,
export, reproduce, prepare derivative works of, perform,
display, distribute and otherwise exploit such Personal
Invention, including the right to sublicense these rights toothers.
(d)(d)

個人の発明品: プロバイダまたはプロバイダの担
当者が、Gen の機器、消耗品、施設、専有情報を使用することなく、完全に自らの時間でのみ開発した発明品のうち、Gen の事業には関係のない発明品と、MPAに基づいて Gen のために開発されたものではない発明品の所有権は、Gen には帰属しません (これ以降は「個人の発明品」と表記)。Gen と締結した MPA の有効期間内に、プロバイダまたはプロバイダの担当者が個人の発明品を開発したと考えられる場合、プロバイ
ダはその旨を Gen に通知する必要があります。プロバ
イダは MPA の履行において、個人の発明品を、譲渡
発明品、開発物、Gen の製品/サービスに組み込まな
いこと (または、組み込みを許可しないこと) に同意するものとします。上記にかかわらず、プロバイダと
Gen との間で締結された MPA の履行において、個人の発明品が譲渡発明品、開発物、Gen の製品/サービ
スに組み込まれた場合、プロバイダは、適用されるす
べての知的財産権に基づき、個人発明品の作成、修正、使用、販売の提案、販売、輸入、輸出、複製、派生物の作成、表示、配布などを行うための、取消不能、永続的、世界的、使用料無料、全額支払済みのラ
イセンスを Gen に付与するものとします (これらの権利を他者にサブライセンスする権利を含みます)。

Disclosure of Inventions. Provider hereby agrees todisclose promptly all Inventions to Gen and to perform,
during and after the MPA, all acts deemed necessary or
desirable by Gen to permit and assist it, at its expense, inobtaining and enforcing the full benefits, enjoyment, rights
and title throughout the world in the Inventions. This
includes getting any necessary acts, licenses, assignments
or other documentation from Provider’s Personnel orcontractors. Such acts may include, without limitation, theexecution and delivery of documents and the provision ofassistance or cooperation in legal proceedings. In addition,
Provider hereby irrevocably designates and appoints Gen
and its duly authorized officers and agents as its agent andattorney in fact, to act for and in Provider’s behalf and stead
to execute and file any such applications and to perform allother lawfully permitted acts to further the securing ofGen’s rights in and to the Inventions.
(e)

(e)

発明品の開示: プロバイダは本契約に従い、すべての発明品を Gen に対してすみやかに開示し、MPAの有効期間中と MPA の終了後において、発明品に伴うすべての利益、権利、権原を世界中で取得して行使することを支援するために、Gen の費用負担により、Gen が必要であると判断したすべての措置を講じることに同意するものとします。こうした措置の例としては、プロバイダの担当者や請負業者から協力を得ること、ライセンスを取得すること、譲渡を受けること、文書を入手することなどが挙げられます。 さらに、契約文書の締結と配布、法的手続における支援や協力などが挙げられますが、これらだけに限定されるもの
ではありません。プロバイダは本契約に従い、Gen、
正当な権限を持つ Gen の役員、正当な権限を持つ Genの代理人を、プロバイダの事実上の代理人として取消不能な形で任命することとします。任命された代理人

Independent Contractor Status. Provider acknowledges
and agrees that its relationship, and that of any of Provider’s
Personnel, with Gen is that of an independent contractor. This
IPA does not constitute a contract of employment with Gen, does2.

20

not state or imply that Provider’s Personnel are entitled to any
employment benefits, and does not obligate Gen to engage
Provider’s Personnel for any particular period of time.

は、プロバイダに代わって発明品の出願を行い、発明品に対する Gen の権利を確保するために、法律で許可されたすべての措置を講じるものとします。

Notification. Provider hereby authorizes Gen, during andafter termination of the MPA with Gen, to notify third parties,
including, but not limited to, actual or potential customers or
employers, of the terms of this IPA and Provider’s responsibilities
hereunder.

3.

2.

独立した契約者としての関係: プロバイダは、プロバ
イダとプロバイダの担当者と Gen との関係が、独立した契約者としての関係であることに同意するものとします。本
IPA は、Gen との雇用契約を規定するものではなく、プロバイダの担当者が雇用上の利益を受ける権利を有することを表明/示唆するものでもなく、特定の期間にわたり、プ
ロバイダの担当者を雇用する義務を Gen が負うことを規定するものでもありません。

Remedies. This IPA is intended to supplement, and not todiminish, any rights Gen may have in law or equity with respect
to the protection of its trade secrets and other intellectual
property rights. The meaning, effect, and validity of this IPA will
be governed by the laws of the applicable jurisdiction specified
in the MPA. You recognize that a threatened or actual breach ofthis IPA will cause Gen irreparable harm and, therefore, in theevent of any violation or threatened violation of this IPA by you,in addition to other remedies Gen may have, Gen will have theright to seek an immediate injunction and the right to recover its
reasonable attorney’s fees and court costs incurred to enforce
this IPA.
4.

通知: プロバイダは、Gen と締結した MPA の有効期間
中と終了後において、Genに対して、本 IPA の条項と本 IPAに基づくプロバイダの責任を第三者 (既存の顧客、見込み
客、経営者など。ただし、これらだけに限定されるものではありません) に通知する権限を付与することとします。

3.

4. 救済措置: 本 IPA は、Gen が企業秘密と知的財産権の保護に関して法律上または衡平法上有する権利を補完するためのものであり、これらの権利を減少させるためのもの
ではありません。本 IPA の意味、効果、有効性は、MPA に記載された司法管轄区の法律に準拠します。プロバイダ
は、本 IPA に対する違反 (または違反の可能性) が Gen に回復不能な損害を与えることを認識するものとします。プロ
バイダによる本 IPA への違反 (または違反の可能性) があった場合、Gen は、Gen が有する救済措置に加えて、即時差止命令を求める権利、本 IPA の履行において発生した合理的な弁護士費用や裁判費用を回収するための権利を有する
ものとします。

5. Survival. Provider must continue to abide by certain termsof this IPA and MPA even after the termination of the MPA.
Those terms are contained in sections 1, 3, 4, 5, and 6 of this
IPA, and sections 3 (Confidentiality), 7 (No Publicity;
Trademarks), 9 (Software and SAAS License and Additional
Terms), 10 (Ownership and License to Pre-Existing Work), 14(Indemnity), 15 (Limit of Liability), and 21 (Miscellaneous) of the
MPA, which shall survive termination of this IPA for any reason
whatsoever.
6. General. No waiver of any right or remedy relating to this
IPA will be binding on Gen unless in writing and signed by anauthorized representative of Gen. This IPA may not be modified
or changed except in a writing signed by Provider and an
authorized representative of Gen. In the event one or more
provisions of this IPA are held to be unenforceable underapplicable law, such provisions shall be excluded from this IPA
and the remainder of the IPA shall be interpreted as if suchprovision were so excluded and shall be enforceable inaccordance with its terms. This IPA contains all the terms ofProvider’s understanding with Gen regarding the subject matterherein and supersedes any previous oral or written
communications with Gen regarding the same. Except asotherwise provided in this IPA, this IPA, and the rights andobligations of the parties hereunder, will bind and benefit theparties and their respective successors, assigns, heirs,
executors, administrators, and legal representatives. Gen may
assign any of its rights and obligations under this IPA. Provider
is not entitled to assign or delegate this IPA or any of its rights
or obligations hereunder, whether voluntarily or by operationof law, except with the prior written consent of the Gen.

第 5 条 - 条項の存続: プロバイダは MPA の終了後も、本IPA と MPA の特定の条項を引き続き遵守する必要があります。これらの条項は、本 IPA の第 1 条、第 3 条、第 4 条、第 5 条、第 6 条、MPA の第 3 条 (機密保持)、第 7 条 (商標の使用に関する制限事項)、第 9 条 (ソフトウェアと SaaS のライセンスと追加の規約)、第 10 条 (既存の著作物の所有権とライセンス)、第 14 条 (補償)、第 15 条 (責任の制限)、
第 21 条 (その他) に記載されています。これらの条項は理由の如何を問わず、本 IPA の終了後も存続するものとします。
第 6 条 - 一般条項: 本 IPA に関連するいかなる権利の放棄や救済措置の放棄も、Gen の代表者が書面に署名しない
限り、Gen を拘束するものではありません。プロバイダとGen の代表者が書面に署名した場合を除き、本 IPA を修正することはできません。本 IPA の 1 つ以上の条項が適用法に従って履行できない場合、当該条項は本 IPA から除外され、本 IPA の残りの条項は、履行不能な条項が除外されたことを前提として、履行可能な条項とみなされるものとします。本 IPA には、本 IPA の主題についてプロバイダとGen が理解すべきすべての条項が規定されています。本
IPA は、Gen との間でこれまでに同じ内容について口頭や書面でやり取りしていた内容に取って代わるものです。本
IPA に別段の規定がある場合を除き、本 IPA と、本 IPA に基づく両当事者の権利と義務は、両当事者とその後継者、譲受人、相続人、遺言執行者、管財人、法定代理人を法的Provider has read and understands and accepts the obligations
provided herein without reservation. Provider understands this
IPA is entered into as a condition of the MPA with Gen if Provider
is engaged to develop, design, improve, or otherwise work on
software, code, or any other technology Solutions ordevelopments for or on behalf of Gen under the MPA.
21

に拘束するものです。Gen は、本 IPA に基づく権利と義務を譲渡することができます。プロバイダは、Gen から書面による同意を事前に得た場合を除き、自らの意思であるか
法律に従ってかを問わず、本 IPA または本 IPA に基づく権
利/義務を譲渡したり委任したりすることはできません。
プロバイダは、本 IPA を読んでその内容を理解し、本 IPAで規定されている義務を留保することなく受け入れるものとします。プロバイダは、プロバイダが MPA に基づいてGen のために (または Gen に代わって)、ソフトウェア、コード、技術的なソリューション、開発物の設計、開発、改良などの作業を行う場合、本 IPA が Gen と締結した MPA の条件として組み込まれることに同意するものとします。

22

Exhibit E
Gen Insurance Requirements

別紙 E
Gen の保険要件

1.
The following insurance requirements apply to theProviders who provide Solutions to Gen entities:

1.
Gen 事業体にソリューションを提供するプロバイ
ダに適用される保険要件

Provider will maintain the following insurance coverage (orforeign equivalent to the US dollar amounts for Providers outsideof the US):

プロバイダは、以下の保険に加入するものとします (米国
外のプロバイダについては、米ドル金額に相当する外国の保険に加入するものとします)。

Commercial general liability insurance (including
contractual liability coverage), or regional equivalent, on an
occurrence basis for bodily injury, death, “broad form”
property damage, and personal injury, with coverage limits
of not less than One Million Dollars ($1,000,000) per
occurrence and Two Million dollars ($2,000,000) generalaggregate for bodily injury and property damage;(ii) Auto liability insurance covering all owned, non-owned
and hired vehicles, with coverage limits of not less than One
Million Dollars ($1,000,000) per occurrence for bodily injury
and property damage;(iii) Worker’s compensation insurance as required by law
in the state where the services will be performed, including
employer’s liability coverage for injury, disease and death,with coverage limits of not less than One Million Dollars($1,000,000) per accident and employee;(iv) Umbrella liability insurance on an occurrence form, forlimits of not less than Three Million Dollars ($3,000,000) per
occurrence and in the aggregate; and(v) Professional liability (Errors & Omissions) on an
occurrence or claims-made form, for limits of not less thanTwo Million Dollars ($2,000,000) annual aggregate.
(vi) If Provider will process Personal Data or PCI, Cyber
Liability on an occurrence or claims-made form, for limits of
not less than Two Million Dollars ($2,000,000) annual
aggregate. If coverage is on a claims made form, the policy
will be continued for at least one year after the expirationof this agreement. The applicable Gen entity is to be named
as an additional insured and coverage is primary without
right of contribution of any insurance carried by Gen
insurance policies. To the extent permitted by law, Provider
will have its insurer provides a waiver of subrogation infavor of the applicable Gen legal entity.
(i)(vii) 人身傷害事故、死亡事故、広範囲にわたる物損事

故を補償する企業総合賠償責任保険 (契約上の賠償を含む)、または、それに相当する地域限定保険 - 1 回の事故につき最高補償額が 100 万ドル ($1,000,000) 以
上、人身傷害事故と物損事故が同時に発生した場合の最高補償額が 200 万ドル ($2,000,000) 以上であること。
(viii) すべての所有車両、非所有車両、レンタル車両を対象とする自動車賠償責任保険 - 1 回の人身傷害事故
または物損事故につき、最高補償額が 100 万ドル($1,000,000) 以上であること。
(ix) 傷害、疾病、死亡に対する雇用者の賠償責任補償が含まれている労働者補償保険 (該当地域の法律によって規定されている場合) - 1 回の事故と社員 1 人につき、最高補償額が 100 万ドル ($1,000,000) 以上であること。
(x) 企業包括賠償責任保険 - 1 回の賠償案件につき、最高合計補償額が 300 万ドル ($3,000,000 ドル) 以上であること。
(xi) 専門職業人賠償責任保険 (E&O 保険) - クレームフ
ォーム 1 件につき、年間合計の最高補償額が 200 万ドル ($2,000,000) 以上であること。
(xii) サイバー保険 (プロバイダが個人データまたは PCIを処理する場合) - クレームフォーム 1 件につき、年間合計の最高補償額が 200 万ドル ($2,000,000) 以上であること。補償額がクレームフォームに記載されている場合、本契約の満了後少なくとも 1 年間は、保険契約が継続されます。Gen の保険証券で規定されている補償内容を適用する権限がない場合は、該当する Gen 事業体が追加の被保険者として指定され、保険会社が発行する企業総合賠償責任保険証券が一次保険になります。 法律で許可される範囲において、プロバイダは保険会社に、該当する Gen 事業体に有利な求償権放棄
特約を付帯させることとします。

Insurance carriers shall be rated A-1 or better by A.M. Best
Company. The Gen entity issuing the corresponding purchaseorder is to be added as an additional insured on the Commercial
General Liability policy with a waiver of subrogation in favor of
the applicable Gen legal entity. Licensor’s Commercial General
Liability policy shall be considered primary without right ofcontribution of any insurance carried by Gen insurance policies.
Policies shall contain a Severability of Interests clause. Policies
shall provide thirty (30) days written notice prior to cancellation,
except in the event of non-payment, which shall require at leastten (10) days’ notice.

A.M. Best Company による信用格付けが A-1 以上の保険会社が提供する保険に加入する必要があります。該当する発注書を発行する Gen 事業体は、該当する Gen 事業体に有利な代位弁済の放棄を伴う企業総合賠償責任保険証券の被保険者として追加されることになります。 Gen の保険証券で規定されている補償内容を適用する権限がない場合は、保険会社が発行する企業総合賠償責任保険証券が一次保険になります。保険証券には、利害の分離条項が記載されていることとします。取り消しを行う場合は、取り消しの 30
日前までに書面で通知する必要があります。支払いを行わない場合は、10 日前までに通知する必要があります。

In no event shall the foregoing coverage limits affect or limit inany manner Provider’s contractual liability for indemnification.
Provider shall be solely responsible for ensuring that its
23subcontractors maintain insurance coverage at levels no lessthan those required of Provider under this Section. All ofProvider's activities under these Terms shall be at Provider's own
risk, and Provider's employees and agents shall not be entitledto any benefits under the policies of insurance maintained by
Gen.

いかなる場合においても、前述の補償範囲の制限により、プロバイダの契約上の補償責任が影響を受けることはありません。プロバイダが請負業者と契約している場合、プロバイダ自身の責任において、本条項に記載されている条件を満たす保険に請負業者を加入させる必要があります。本
契約に基づくプロバイダの行動は、すべてプロバイダ自身の責任において行われることとし、プロバイダの社員や代理店は、Gen が加入している保険による補償などは一切受けることができないものとします。

The Gen entity issuing the corresponding purchase order shall be
added as an additional insured to Provider’s policies. To theextent permitted by law, Provider will have its insurers provide a
waiver of subrogation in favor of the applicable Gen legal entity.

該当する発注書を発行する Gen 事業体は、被保険者としてプロバイダの保険証券に追加されることになります。法律で許可される範囲において、プロバイダは保険会社に、該当する Gen 事業体に有利な求償権放棄特約を付帯させることとします。

Provider’s coverage shall be considered primary without right ofcontribution of Gen’s insurance policies. In no event shall theforegoing coverage limits affect or limit in any manner Provider’scontractual liability for Indemnification. Provider shall be solely
responsible for ensuring that its subcontractors maintaininsurance coverage at levels no less than those required ofProvider under this Section. All of Provider's activities underthese Terms shall be at Provider's own risk, and Provider'semployees and agents shall not be entitled to any benefits under
the policies of insurance maintained by Gen.

Gen の保険証券で規定されている補償内容を適用する権限がない場合は、プロバイダが契約する保険が一次保険とみなされます。 いかなる場合においても、前述の補償範囲の制限により、プロバイダの契約上の補償責任が影響を受けることはありません。 プロバイダが請負業者と契約している場合、プロバイダ自身の責任において、本条項に記載されている条件を満たす保険に請負業者を加入させる必要があります。 本契約に基づくプロバイダの行動は、すべてプロバイダ自身の責任において行われることとし、プ
ロバイダの社員や代理店は、Gen が加入している保険による補償などは一切受けることができないものとします。

24