コントローラー間DPA
マスターライセンス契約の付則（コントローラー間）
はじめに
本データ保護補遺（以下「本DPA」という）は、STATS Perform（当事者間で締結された作業指示書に記載されるもの）とライセンシー（当事者間で締結された作業指示書に記載されるもの）との間の基本ライセンス契約（以下「MLA」という）に組み込まれ、その一部を構成する。MLAと本DPA、または作業指示書と本DPAとの間に矛盾が生じた場合、本DPAが優先する。 本付帯契約において定義されていない大文字で表記された用語は、すべてMLAに定められた意味を有するものとします。
適用範囲
本DPAは、STATS Performまたはその関連会社が、EEAまたは英国から、EEA域外の管轄区域における処理のために個人データをライセンシーに移転または提供する場合に適用され、 かつ、当該管轄区域が欧州委員会による「十分性認定」の対象となっておらず、またはデータ保護法規制の要件を満たす他の適法な移転メカニズムの対象となっていない場合（本DPAにおいて、「関連データ移転」という）に適用される。 本DPAは、適切なデータ保護水準が確保されていない第三国への個人データの移転に関する標準契約条項（Standard Contractual Clauses、以下「SCC」）について、2004年12月27日の欧州委員会の決定に基づき、その内容を規定し、これを組み込むものである。
SCCは変更できず、交渉の余地もなく、関連するデータ移転を行う際にはデータ保護法によりその締結が義務付けられています。
したがって、当事者は、関連するデータ移転がデータ保護法に準拠していることを確保するため、本DPAを締結する。
ここに、以下の通り合意する。
- 管理者間標準契約条項
共同体から第三国への個人データの移転に関する標準契約条項（管理者の間での移転）
データ移転契約
～の間
STATS Perform（作業指示書に記載の通り）
作業指示書に記載されているSTATS Performの住所および設立国
以下「データ輸出者」という
そして
ライセンシー（作業指示書に記載された者）
作業指示書に記載されたライセンシーの住所および設立国
以下「データ輸入者」
それぞれを「当事者」といい、総称して「当事者ら」という。
定義
本条項において：
- 「個人データ」、「特別な種類のデータ／機微なデータ」、「処理」、「管理責任者」、「処理者」、「データ主体」および「監督当局／当局」という用語は、1995年10月24日の指令95/46/ECまたは適用されるデータ保護法における定義と同様の意味を有する（ここで、「当局」とは、データ輸出者が設立されている地域における管轄のデータ保護当局を意味する）。
- 「データ提供者」とは、個人データを移転する管理者することをいう。
- 「データ輸入者」とは、本条項の条件に従い、さらなる処理のためにデータ輸出者から個人データを受け取ることに同意し、かつ、適切な保護を確保する第三国の制度の対象となっていない管理者をいう。
- 「条項」とは、本契約条項を意味し、これらは独立した文書であり、当事者が別途の商業的取り決めに基づいて定めた商業上の取引条件はこれに含まれない。
本条項の不可分の一部を構成する別紙2に、移転の詳細（および対象となる個人データ）が明記されています。
1 データ輸出者の義務
データエクスポーターは、以下の事項を保証し、かつ約束する。
- 個人データは、データ輸出者に適用される法令に従って収集、処理、および移転されています。
- データ輸入者が本条項に基づく法的義務を履行できることを確認するために、合理的な努力を払った。
- データ輸出者が、データ輸入者からの要請があった場合、データ輸出者が所在する国の関連するデータ保護法、またはそれらへの参照情報（該当する場合に限る。なお、法的助言は含まない）の写しを提供する。
- データインポーターによる個人データの処理に関して、データ主体および監督当局から問い合わせがあった場合、データインポーターがこれに対応することに当事者間で合意している場合を除き、データエクスポーターがこれに対応する。データインポーターが対応を望まない、または対応できない場合でも、データエクスポーターは、合理的に可能な範囲内で、かつ合理的に入手可能な情報に基づき、引き続き対応を行う。回答は、合理的な期間内に行われるものとする。
- データ輸出者は、第3条に基づく第三者受益者であるデータ主体からの請求があった場合、当該条項の写しを提供しなければならない。ただし、当該条項に機密情報が含まれている場合は、当該情報を削除することができる。情報を削除する場合、データ輸出者は、削除の理由およびデータ主体が当該削除について当局に申し立てを行う権利があることを、データ主体に書面で通知しなければならない。 ただし、データ主体が削除された機密情報の機密性を尊重することに同意している限り、データ輸出者は、データ主体による条項の全文へのアクセスに関する当局の決定に従わなければならない。また、データ輸出者は、必要に応じて、当局に対し条項の写しを提供しなければならない。
2 データ輸入者の義務
データ輸入者は、以下の事項を保証し、かつ約束する。
- 当該事業者は、個人データが偶発的または違法な破壊、偶発的な紛失、改ざん、不正な開示またはアクセスから保護されるよう、適切な技術的および組織的措置を講じ、かつ、当該処理に伴うリスクおよび保護対象となるデータの性質に見合ったセキュリティレベルを確保するものとします。
- 当社は、処理業者を含む、個人データへのアクセスを許可された第三者が、個人データの機密性および安全性を尊重し、維持するよう、適切な措置を講じるものとする。データ輸入者の権限の下で行動する者（データ処理業者を含む）は、データ輸入者からの指示に基づいてのみ個人データを処理する義務を負う。ただし、法令に基づき個人データへのアクセスが許可または義務付けられている者については、この規定は適用されない。
- 当該当事者は、本条項を締結する時点で、本条項に基づき提供される保証に重大な悪影響を及ぼすような現地の法律が存在すると信じる理由はない。また、そのような法律の存在を知った場合には、データ輸出者に通知する（データ輸出者は、必要に応じて当該通知を当局に伝達する）。
- 当社は、別紙2に記載された目的のために個人データを処理し、本条項に定める保証を提供し、かつ約束を履行する法的権限を有しています。
- データインポーターは、個人データの処理に関する照会に応答する権限を有する組織内の連絡窓口をデータエクスポーターに通知し、かかる照会について、データエクスポーター、データ主体および当局と誠実に協力し、合理的な期間内にこれに対応する。データエクスポーターが法的に解散した場合、または当事者間でその旨合意した場合、データインポーターは第1条(e)項の規定の遵守に関する責任を負うものとする。
- データ輸出者の要請に応じて、データ輸出者に対し、第3条に基づく責任を履行するのに十分な財源があることを示す証拠（保険による補償を含む場合がある）を提供する。
- データ輸出者からの合理的な要請があった場合、データ輸入者は、本条項における保証および誓約の遵守を確認するため、データ輸出者（またはデータ輸出者が選定し、かつデータ輸入者が合理的な理由なく異議を唱えない独立かつ公平な検査機関もしくは監査人）による審査、監査および／または認証を受けるべく、合理的な事前通知の上、通常の営業時間内に、データ処理施設、データファイル、および処理に必要な文書を提示するものとします。 当該要請は、データ受領者の所在国の規制当局または監督当局による必要な同意または承認を条件とするものとし、データ受領者は、当該同意または承認を適時に取得するよう努めるものとする。
- 当社は、別紙1に定めるデータ処理原則に従い、自らの判断により個人データを処理する。以下の各データ輸入者は、下記に署名することにより、当該原則を遵守することに同意する旨を表明する。
当事者は、作業指示書に署名および日付を記入することにより、本第2条(h)項に同意し、これを承諾するものとします。
- 欧州経済領域（EEA）域外に所在する第三者のデータ管理者に対して、個人データを開示または移転することはありません。ただし、当該移転についてデータ輸出者に通知し、かつ
- 当該第三者のデータ管理者が、第三国が十分な保護水準を提供していると認定した欧州委員会の決定に基づき、個人データを処理する場合、または
- 当該第三者データ管理者が、本条項、またはEUの所管当局により承認された別のデータ移転契約の署名者となる場合、または
- データ主体は、データの移転の目的、受領者の区分、およびデータが移転される国々において異なるデータ保護基準が適用される可能性があることについて通知を受けた後、異議を申し立てる機会を与えられている、または
- 機微なデータの第三者への転送に関しては、データ主体は当該転送について明確な同意を与えている
3 責任および第三者の権利
-
- 各当事者は、本条項の違反により生じた損害について、他の当事者に対して責任を負うものとする。当事者間の責任は、実際に被った損害に限定される。懲罰的損害賠償（すなわち、当事者の著しく非道な行為を懲罰することを目的とした損害賠償）は、明示的に除外される。 各当事者は、本条項に基づく第三者の権利の侵害により生じた損害について、データ主体に対し責任を負うものとする。これは、データ輸出者がそのデータ保護法に基づき負う責任に影響を及ぼすものではない。
- 当事者は、データ主体が、本条項および第1条(b)、第1条(d)、第1条(e)、第2条(a)、第2条(c)、 2(d)、2(e)、2(h)、2(i)、3(a)、5、6(d) および 7 条を、データ輸入者またはデータ輸出者に対し、自身の個人データに関する契約上の義務の違反について、第三者受益者として執行する権利を有することに合意し、この目的のためにデータ輸出者の設立国における管轄権を受け入れる。 データ輸入者による違反の申し立てが関与する事例においては、データ主体はまず、データ輸出者に対し、データ輸入者に対して自身の権利を行使するための適切な措置を講じるよう要請しなければならない。データ輸出者が合理的な期間（通常は1ヶ月）内にそのような措置を講じない場合、データ主体はデータ輸入者に対して直接権利を行使することができる。 データ主体は、データ輸入者が本条項に基づく法的義務を履行できるかどうかを判断するために合理的な努力を尽くさなかったデータ輸出者に対して、直接措置を講じる権利を有する（データ輸出者は、合理的な努力を尽くしたことを立証する責任を負う）。
4 本条項に適用される法律
本条項は、データ輸出者が事業所を置く国の法律に準拠するものとする。ただし、第2条(h)項に基づくデータ輸入者による個人データの処理に関する法令については、当該条項に基づきデータ輸入者がその適用を選択した場合に限り、当該法令が適用されるものとする。
5 データ主体または監督当局との紛争の解決
-
- データ主体または当局から、個人データの処理に関して当事者のいずれか一方または双方に対して紛争または請求が提起された場合、当事者は、かかる紛争または請求について相互に通知し、速やかに友好的に解決するよう協力する。
- 当事者は、データ主体または当局によって開始された、一般に利用可能な拘束力のない調停手続に対し、これに応じることに合意する。当事者が当該手続に参加する場合、遠隔（電話その他の電子的手段など）による参加を選択することができる。また、当事者は、データ保護に関する紛争のために設けられたその他の仲裁、調停、またはその他の紛争解決手続への参加を検討することに合意する。
- 各当事者は、データ輸出者の設立国の管轄裁判所、または最終的な決定を下し、それ以上の上訴が認められない当局の決定に従わなければならない。
6 契約の解除
-
- データ受入者が本条項に基づく義務に違反した場合、データ提供者は、当該違反が是正されるか、または契約が解除されるまで、データ受入者への個人データの移転を一時的に停止することができる。
- 以下の場合：
- データ輸出者が、(a)項に基づき、データ輸入者への個人データの移転を1か月を超えて一時的に停止している場合；
- データ輸入者がこれらの条項を遵守した場合、輸入先の国における法的または規制上の義務に違反することになる；
- データ受入者が、本条項に基づき自ら行った保証または誓約に、重大かつ継続的な違反を犯した場合；
- データ輸出者の設立国における管轄裁判所、または当局が、データ輸入者もしくはデータ輸出者による本条項の違反があったと判断し、かつ、これに対してこれ以上の上訴が認められない最終決定がなされた場合；または
- データ輸入者に対し、個人または事業主としての立場にかかわらず、その管理または清算を求める申立てがなされ、かつ当該申立てが適用法に基づく却下期間内に却下されなかった場合、清算命令が発せられた場合、その資産のいずれかについて管財人が選任された場合、データ輸入者が個人の場合は破産管財人が選任された場合、当該データ輸入者により会社自主再建手続が開始された場合、またはいかなる法域においてもこれらに相当する事象が発生した場合
その場合、データ輸出者は、データ輸入者に対して有するその他の権利を損なうことなく、本条項を解除する権利を有する。この場合、必要に応じて当局に通知しなければならない。上記(i)、(ii)または(iv)に該当する場合、データ輸入者も本条項を解除することができる。
- 以下のいずれかの事由が生じた場合、いずれの当事者も本条項を解除することができる。
- データが転送され、データ輸入者によって処理される国（またはその特定の分野）に関して、指令95/46/EC（またはこれに代わるいかなる法令）第25条第6項に基づく欧州委員会の適格性認定決定が下されている場合、または
- 指令95/46/EC（またはこれに代わるいかなる文書）は、当該国において直接適用される。
- 当事者は、本条項がいつ、いかなる状況下で、いかなる理由により終了した場合であっても（第6条(c)に基づく終了を除く）、移転された個人データの処理に関する本条項に基づく義務および／または条件から免除されるものではないことに合意する。
7. 本条項の変更
当事者は、別紙2に記載された情報を更新する場合を除き、本条項を変更してはならない。なお、更新を行う場合は、必要に応じて所管当局に通知するものとする。ただし、これによって、当事者が必要に応じて追加の商事条項を付加することを妨げるものではない。
8 譲渡の概要
移転および個人データの詳細については、別紙2に規定されている。当事者は、別紙2に機密の事業情報が含まれている場合があることに同意し、法令により要求される場合、管轄の規制当局または政府機関からの要請に応じる場合、または第1条(e)項の規定に基づく場合を除き、これを第三者に開示しないものとする。 当事者は、追加の移転を対象とする追加の別紙を作成することができ、必要に応じて当該当局に提出するものとします。あるいは、別紙2を複数の移転を対象とするように作成することも可能です。
当事者は、本作業指示書に署名し日付を記入することにより、以下を含むSCCに拘束されることに同意し、これを受け入れることに合意する。 別紙1 および 別紙2を含むSCCに拘束されることに同意し、これを受け入れることに合意する。
- （データ処理の原則）
- 利用目的の限定：個人データは、別紙2に記載された目的、またはデータ主体によって事後に承認された目的のためにのみ、処理され、その後利用または第三者に提供されるものとする。
- データの質と比例性：個人データは正確でなければならず、必要に応じて最新の状態に保たれなければならない。個人データは、その移転およびその後の処理の目的に照らして、適切かつ関連性があり、かつ過剰であってはならない。
- 透明性：データ主体に対し、公正な処理を確保するために必要な情報（処理の目的や移転に関する情報など）を提供しなければならない。ただし、データ輸出者がすでに当該情報を提供している場合はこの限りではない。
- セキュリティおよび機密性：データ管理者は、処理に伴う偶発的または違法な破壊、偶発的な紛失、改ざん、不正な開示またはアクセスなどのリスクに適切に対応するため、技術的および組織的なセキュリティ対策を講じなければならない。データ管理者の権限の下で行動する者（処理者を含む）は、データ管理者の指示がない限り、データを処理してはならない。
- アクセス権、訂正権、削除権および異議申立権：指令95/46/EC第12条の規定に基づき、データ主体は、直接または第三者を通じて、組織が保有する自身に関する個人情報を提供されなければならない。ただし、明らかに濫用的である請求、不合理な間隔や回数に基づく請求、あるいは反復的または体系的な性質を有する請求、またはデータ輸出国の法令に基づきアクセスを許可する必要がない請求については、この限りではない。 なお、監督当局が事前に承認した場合、アクセスを許可することがデータ輸入者またはデータ輸入者と取引を行う他の組織の利益に重大な損害を与えるおそれがあり、かつ、当該利益がデータ主体の基本的権利および自由の利益に優先しない場合にも、アクセスを許可する必要はない。個人データの出所については、合理的な努力をもってしても特定することが不可能な場合、または当該個人以外の者の権利が侵害される場合には、特定する必要はない。 データ主体は、自身に関する個人情報が不正確である場合、または本原則に反して処理されている場合、その訂正、修正、または削除を求めることができる。請求の正当性に疑いを抱くやむを得ない理由がある場合、組織は、訂正、修正、または削除を行う前に、さらなる正当化の根拠を求めることができる。データの開示先である第三者に対する訂正、修正、または削除の通知は、それが不釣り合いな労力を要する場合、行う必要はない。 また、データ主体は、自身の特定の状況に関連する説得力のある正当な理由がある場合、自身に関する個人データの処理に異議を申し立てることができる。拒否の立証責任はデータ輸入者にあり、データ主体はいつでも当局に対してその拒否に異議を申し立てることができる。
- 機密データ：データ輸入者は、第2条に基づく義務に従い、当該機密データを保護するために必要な追加措置（セキュリティに関する措置など）を講じなければならない。
- マーケティング目的で使用されるデータ：ダイレクトマーケティングの目的でデータが処理される場合、データ主体がいつでも当該目的でのデータの利用を「オプトアウト」できる効果的な手続きが設けられているべきである。
- 自動化された決定：本規定において、「自動化された決定」とは、データ輸出者またはデータ輸入者による決定のうち、データ主体に対して法的効果を生じさせるもの、またはデータ主体に重大な影響を及ぼすものであり、かつ、当該データ主体に関する特定の個人的側面（職務遂行能力、信用力、信頼性、行動など）を評価することを目的として、個人データの自動処理のみに基づいて行われるものをいう。データ輸入者は、以下の場合を除き、データ主体に関するいかなる自動化された決定も行ってはならない。
(a) (i) 当該決定が、データ受領者がデータ主体との間で契約を締結し、またはその契約を履行する際に行われるものであり、かつ
(a) (ii) データ主体に対し、当該自動決定の結果について、その決定を行った当事者の代表者と協議する機会、または当該当事者に対して意見を述べる機会が与えられること。
または
(b) データ輸出者の法に別段の定めがある場合。
別紙2（処理情報）
1 データ主体
移転される個人データは、以下のカテゴリーのデータ主体に関するものです：
ライセンス対象資料（MLAに定義されるもの）に含まれる個人データ。これには、スポーツ選手、アスリート、および関連するスポーツ専門家に関する情報が含まれる。
2 譲渡の目的
本移転は、以下の目的のために行われます。すなわち、データ受領者が、作業指示書およびMLAに定められた目的のために個人データを利用するためです。
データの3つのカテゴリー
転送される個人データは、以下のデータカテゴリーおよび随時追加されるその他のカテゴリーに該当します：
| データのカテゴリー（すべてスポーツ関連） |
| データ（試合のパフォーマンスおよび試合イベントのデータを含む） |
| 動画および音声コンテンツ |
| 編集記事 |
4名の受取人
転送された個人データは、以下の受領者または受領者のカテゴリーに対してのみ開示されるものとします：
作業指示書および／またはMLAで認められた受領者。
5 データ保護：データ輸出者の登録情報
ご要望に応じてご提供いたします。
6 その他の役立つ情報
なし。
データ保護に関するお問い合わせ先（7か所）
連絡先については、作業指示書をご確認ください。
