マスターライセンス契約 – データ管理者とデータ処理者間のデータ処理に関する付則

STATS PERFORM – コントローラーからプロセッサーへのデータ処理に関する「チームパフォーマンス・マスター・ライセンス契約」の付則

本「管理者と処理者間のデータ処理補足契約」（以下、本契約に添付される付録、別紙およびスケジュール（以下、総称して「DPA」）を含む。適用される場合）は、Team Performanceマスターライセンス契約（「MLA」） 作業指示書および／または（該当する場合）その他の契約（以下、総称して「本契約」）の一部を構成し、これに含まれるものとします。本契約は、お客様に提供されるプラットフォーム経由サービス（作業指示書およびMLAで言及されるもの）の特定のサービスに関連するものであり、お客様（以下、「ライセンシー」または「お客様」または「お客様の」）に対し、本契約に基づき提供されるプラットフォーム経由サービス（ワークオーダーおよびMLAで言及されるもの）の特定のサービスに関連して、お客様がデータ管理者であり、本契約の当事者であるPerform Content Limitedまたは関連する関連会社（当該当事者を「Stats Perform」または「当社」、「私たち」または「当社の」といいます）がデータ処理者としての役割を果たす場合、本DPAは、本契約の一部を構成し、本契約に組み込まれます。

MLAの条項と本DPAの条項との間に矛盾がある場合、本DPAの条項が優先する。これを条件として、MLAはその他の点において引き続き完全に効力を有する。

ここに、以下の通り合意する。

1. 定義

1.1. 本DPAにおいて、大文字で表記された用語は、以下に定める意味、または場合によっては本契約の他の箇所に定める意味を有するものとします。

1.2.「データ主体」、「個人データ」、「処理」およびその派生語、ならびに「管理者」および「処理者」という用語は、データ保護法において定義される意味を有するものとします。

2. 予約

2. 1. Stats Performがライセンシーに本サービスを提供する過程において、ライセンシーは、処理のためにライセンシー個人データを本サービスに提供または入力する場合があります。 かかる目的において、ライセンシーはデータ管理者となり、Stats Performはデータ処理者となり、本DPAは当該状況に適用される。Stats Performがライセンシーに代わって行うライセンシー個人データの処理の対象（性質、目的、期間、その他の側面を含む）は、本DPAの別紙に規定されている。

2.2. ライセンシー個人データには、ライセンシーの関連会社がデータ管理者である個人データが含まれる場合があります。ライセンシーは、本サービスに関連してStats Performがライセンシー個人データを処理することに関して、ライセンシーの関連会社を代表して、Stats Performに対し指示その他の要件を伝達する権限を有することを確認するものとします。

2.3. Stats Performは、本サービスの提供に必要な範囲、または当事者間で書面により別途合意された範囲において、ライセンシーおよび／またはライセンシーの関連会社（状況に応じて）に代わってライセンシーの個人データを処理するため、ライセンシーにより任命される。

2.4. ライセンシーは、自身およびその関連会社（以下「関連会社」という）が、データ保護法に従い、以下の事項を保証する唯一の責任を負うことを認め、かつ、以下を保証し表明する。 ライセンシー個人データのいかなる処理も適切な法的根拠に基づいて行われ、当該データの処理に際して適切な通知が関連するデータ主体に提供され、ライセンシー個人データが正確かつ最新のものであり、かつ当該データに関して適切なデータ保存期間が定義され実施されていることを保証し、表明する。

3. 期間

本DPAは発効日から適用され、本契約または本サービスの終了または満了（以下「契約期間」という）まで、その効力を維持するものとします。

4. データ保護コンプライアンス

4.1. 契約期間中、処理者としての立場においてライセンシーの個人データを処理するにあたり、法令に別段の定めがある場合を除き、Stats Performは以下の事項を遵守することに同意する：

4.1.1. ライセンシーの個人データの処理に関して、適用されるデータ保護法を遵守すること；

4.1.2. ライセンシーの個人データは、本サービスの提供に関連して必要とされる場合に限り、本サービスの文脈においてライセンシーが随時合理的に与える文書化された適法な指示に従い、また匿名化されたデータの社内ビジネス分析のためにのみ処理するものとします。 Stats Performは、それ以外の場合においても、自らが従うべき適用法令に基づきライセンシーの個人データを処理することを求められる場合があり、その場合は、当該法令が公共の利益という重要な理由によりそのような情報の提供を禁止している場合を除き、処理に先立ち、その法的要件をライセンシーに通知するものとする。ライセンシーは、その指示がStats Performを法令違反の状態に陥らせないことを継続的に保証し、表明する。

4.1.3. 指示がデータ保護法に違反すると判断した場合、ライセンシーにその旨を通知するものとし、Stats Performは当該指示を無視する権利を有する。

4.1.4. Stats Performよりライセンシーの個人データの処理を許可されたすべての担当者が、守秘義務を遵守することを確約しているか、または適切な法的守秘義務を負っていることを確保すること；

4.1.5. 保護すべきライセンシー個人データの性質および（以下に定義する）セキュリティ侵害から生じうる損害のリスクを考慮し、当該個人データを適切に保護するため、（本DPAの別紙に定める措置に従い）適切な技術的および組織的措置を講じるものとする。

4.1.6. データ保護法に基づき受領したデータ主体からの請求、またはライセンシーの個人データに関連する規制当局もしくは法執行機関からの要請について、遅滞なくライセンシーに通知する。Stats Performは、各データ主体からの請求について受領確認を行うことができる。 ライセンシーとの合意がある場合、Stats Performは、データ保護法に基づくデータ主体からの請求に対応するというライセンシーの義務を履行するため、可能な範囲において、適切な技術的および組織的措置を講じ、ライセンシーを支援することができる（その費用はライセンシーが負担する）。

4.1.7. ライセンシーの費用負担において、データセキュリティ、データ漏洩の通知、データ保護影響評価、およびプライバシーおよびデータ保護に関する事項を管轄する監督当局との事前の協議に関して、ライセンシーがデータ保護法を遵守できるよう、ライセンシーが合理的に必要とする支援を提供すること。

4.1.8. サービスの提供終了後、ライセンシーの選択および費用負担により、ライセンシー個人データを削除するか、またはすべてのライセンシー個人データをライセンシーに返却し、正当な事業目的のために保持される匿名化されたライセンシーデータ、または適用法令に基づき継続的な保存が求められるライセンシー個人データを除き、すべてのライセンシー個人データの既存のコピーを削除すること；および

4.1.9. ライセンシーの費用負担において、Stats Performが本DPAを遵守していることを立証するために合理的に必要な情報をライセンシーに提供し、かつ、当事者間で合意する合理的な事前通知に基づき、独立した第三者による監査および検査を許可する。 本条項に基づき監査権を行使する場合、ライセンシーは、かつ監査を実施する当事者に対し、第5条に従い、以下を遵守させるものとする：(a) 監査は、監査が実施されるStats Performまたはその関連会社の所在地の通常の営業時間内にのみ実施すること； (b) 監査の実施に際しては、業務運営に支障を来さないようあらゆる合理的な注意を払い、特に他のクライアントの環境に対するリスク（例：サービスレベルへの影響、データの可用性、機密性に関する側面）を回避または軽減するよう確保すること；(c) 適用されるデータ保護法の規定およびStats Performの合理的な要求事項を遵守すること； (d) 本サービスの複雑性、本サービスから生じるリスク、本サービスの重要度、および本サービスがライセンシーの事業継続に及ぼす潜在的な影響を考慮し、監査権限を比例原則に従って行使すること； (e) 関連する、一般に認められた国内外の監査基準を遵守すること；(f) 自社の従業員または第三者監査人が、監査を実施するために適切かつ関連する技能および知識を有していることを確保すること；および(g) 本項に基づき共有されるすべての情報を機密情報として扱うこと。

5. 監査

上記の第4.1.9条に関し、Stats Performは、そのサブ処理者に対して、（EU GDPRまたはUK GDPR（該当するもの）の第28条(3)(h)の要件を満たすことを前提として）監査権を行使するものとする。ただし、これはサブ処理者との合意に基づくものとする。 Stats Perform は、その独自の裁量により、かつライセンシーの法的義務を十分に考慮した上で、当該情報が Stats Perform の事業にとって機密性が高い場合、または当該情報を開示することにより Stats Perform が法的または契約上の義務に違反することになる場合、情報の開示を差し控える権利を有する。 特に、Stats Performは、合意された検査の目的のために厳密に必要ではない、Stats Performのライセンシーに関するデータや情報、Stats Performのコストに関するデータや情報、品質および契約管理報告書、またはその他のいかなる情報についても、ライセンシーにアクセスを許可しないものとします。

6. 委託先

6.1. Stats Performは、本DPAに基づきライセンシーの個人データの処理に関与する下請業者（以下、それぞれ「下請処理者」という）を、本第6条に従って選定する。

6.2. 本DPAに基づく特定のデータ処理業務の遂行のためにライセンシーの個人データの処理に従事する現在のサブプロセッサーの一覧は、別紙（随時更新されるもの）に記載されている。発効日をもって、ライセンシーは、ライセンシーの個人データに関して、これらのサブプロセッサーの利用に同意する。

6.3. Stats Performは、別紙に記載された下請け処理業者のリストと異なり、かつライセンシーの個人データの処理に影響を及ぼす、新規または代替の下請け処理業者について、ライセンシーに適切に通知するものとします。ライセンシーが合理的な理由に基づきかかる変更に異議を唱える場合は、本条項に従いStats Performから通知を受けた日から14日以内にStats Performに通知しなければならず、そうでない場合、当該変更は承諾されたものとみなされます。 本条項に従い合理的な根拠に基づき異議が申し立てられた場合、当事者は誠意をもって協議を行い、代替措置について合意するものとします。ただし、Stats Performの合理的な判断において、かかる代替措置について合意に至らなかった場合、Stats Performは、当該サブプロセッサーの変更に関連する本サービスを終了する権利を有するものとします。

6.4. サブ処理業者を起用する場合、Stats Performは以下の措置を講じるものとする：

6.4.1. 合理的なデューデリジェンスを実施すること；

6.4.2. ライセンシーの個人データの処理に関して適切な保護措置を講じるため、可能な限り本DPAの条項と実質的に同等の条件で契約を締結すること。これには、必要に応じて国際データ移転条項（またはこれに類するもの）を含めることができる。

6.4.3. サブ処理者が本DPAに基づくデータ処理義務を履行することについて、ライセンシーに対し全面的な責任を負うものとする。

7. セキュリティインシデント

7.1.「セキュリティ侵害」とは、Stats Perform によって送信、保存、またはその他の方法で処理されたライセンシーの個人データについて、偶発的または違法な破壊、紛失、改ざん、不正開示、または不正アクセスを招くセキュリティ上の侵害をいう。

7.2. Stats Performは、セキュリティ侵害を認識した場合は、遅滞なくライセンシーに通知するものとします。実行可能な場合、Stats Performは段階的な通知を行うものとします。

7.3. Stats Performは、セキュリティ侵害を調査し、その原因を特定し、防止し、その影響を軽減するために合理的な措置を講じるものとする。Stats Performは、データ保護法に準拠するためにライセンシーが合理的に要請する追加措置を、ライセンシーの費用負担において講じるものとする。

7.4. データ保護法の要件に従うことを条件として、ライセンシーは、Stats Performの事前の書面による承認なしに、セキュリティ侵害に関するいかなる提出書類、通信、通知、プレスリリース、または報告書も公表または公開してはならない。なお、かかる承認は、不当に保留されることはないものとする。

8. 国際的なデータ転送

8.1. ライセンシーは、Stats Performがライセンシーの個人データを国外へ移転する場合があることを了承する。Stats Performは、国外移転が行われる場合、適用されるデータ保護法に基づく適切な保護措置を講じるものとし、必要に応じて、当該輸入者との間で適切な国際移転条項（または代替となる標準契約条項）を締結する。

8.2. ライセンシーがEU一般データ保護規則（GDPR）の適用対象であり、欧州経済領域（EEA）外での処理を目的としてライセンシー個人データをStats Performに提供する場合において、当該提供が国際的なデータ移転に該当し、かつEU一般データ保護規則（GDPR）第45条に規定される十分性認定に基づくものでないときは、当事者は、本DPAに組み込まれ、その一部を構成するとみなされるEU標準契約条項（SCC）のモジュール2（または、該当する場合は モジュール3）のEU標準契約条項（EU SCCs）を遵守するものとする。当該条項は、本DPAに組み込まれ、その一部を構成するものとみなされ、以下の通り作成される：

8.2.1. EU標準契約条項（SCC）の第7条（ドッキング条項）は適用されない。

8.2.2. 別紙に「合意されたリスト」が記載されており、期間が14日間である場合、EU標準契約条項の第9条(a)項については、選択肢2が適用される。

8.2.3. EU標準契約条項（SCC）第11条(a)項に基づく任意の救済条項は適用されない；

8.2.4. 該当する場合、EU標準契約条項（SCC）の第13条に基づく管轄監督当局は、アイルランドデータ保護委員会とする。

8.2.5. EU標準契約条項の第17条に関しては、選択肢2が適用され、準拠法はアイルランド共和国とする。

8.2.6. EU標準契約条項（SCC）第18条(b)項に基づく裁判地および管轄裁判所は、アイルランド共和国の裁判所とする。

8.2.7. EU標準契約条項（SCC）の付属書IおよびIIには、以下の別表に記載された情報が記載されているものとみなされる。

8.3. ライセンシーが英国GDPRの適用を受け、英国国外での処理を目的としてライセンシー個人データをStats Performに移転する場合において、当該移転が国際移転であり、かつ英国GDPR第45条に規定される十分性認定に基づくものではないときは、 その場合、上記第8.2条に従いEU標準契約条項（EU SCCs）が適用され、かつ、ICO UK付則に規定される通り修正されたものとみなされる。当該ICO UK付則は、当事者によって締結されたものとみなされ、本DPAに組み込まれ、その一部を構成するものとする。本第8.3条に従いICO UK付則が適用される場合：

8.3.1. ICO UK 補遺の第1部の表1および表3は、EU標準契約条項（SCC）の付録および（したがって）以下の別表に記載された関連情報をもって、記入済みとみなされるものとする。

8.3.2. 第1部の表2において、「付録 EU SCCs」とは、（上記の第8.2条に従い）本DPAに組み込まれたEU SCCs（ICO UK付録で定義される付録情報を含む）とみなされる。

8.3.3. 第1部の表4は、「いずれの当事者も該当しない」を選択することで記入済みとみなされる。

8.3.4. EU標準契約条項（SCC）の条項とICO UK補遺の条項との間に矛盾が生じた場合は、ICO UK補遺の第9条、第10条および第11条に従って解決されるものとする。

8.4. 国際データ移転条項が適用される場合、その各規定は、本DPAにおけるStats Performのデータ処理義務（第4条から第7条に規定されるものを含む）に優先する。国際データ移転条項の規定と本DPAまたは本契約の規定との間に矛盾が生じた場合、国際データ移転条項が優先する。 本契約の条項および本DPAの条項は、国際データ移転条項をいかなる形でも変更するものではなく、またその意図も有しない。

9. 損害賠償

9.1. 本契約における責任の免除または制限、あるいは本契約の規定にかかわらず、ライセンシーは、Stats Perform およびその関連会社ならびにそれらの役員、従業員、代理人および下請業者（以下、それぞれを「補償対象者」）に対し、本契約および本DPAに従ってライセンシー個人データを処理したことに起因または関連して生じた第三者の請求、執行措置、またはその他の手続の結果として、いかなる補償対象者が被った請求、損失、要求、訴訟、責任、罰金、違約金、合理的な費用、損害賠償および和解金（合理的な弁護士費用および訴訟費用を含む）について、補償を行うものとし、ここにその旨に同意する。

9.2. 第9.1条および第10.2条の規定に従い、本DPAに基づくいずれの当事者の責任についても、本契約における責任制限条項が適用されるものとする。

10. その他

10.1. 本DPAにおける条項のタイトルおよびその他の見出しは、参照の便宜を図るためのものに過ぎず、本DPAの一部を構成するものではなく、また、本DPAの意味または解釈に影響を及ぼすものではない。

10.2. 本DPAのいかなる規定も、適用法令により制限または免除することができない当事者の責任を排除または制限するものではない。前項を条件として、(i) 本DPA（あらゆる別紙、付属書および付録を含む）は、本契約の目的事項に関する当事者間の完全な合意を構成し、当該目的事項に関連する当事者間の過去のすべての合意、了解、交渉および協議に優先する。 かつ（ii）本DPAの締結に際し、いずれの当事者も、本DPAに明示的に規定されているものを除き、過失によるか否かを問わず、いかなる陳述、表明または保証にも依拠しておらず、また、これらに基づくいかなる権利または救済手段も有しないものとする。

10.3. ライセンシーは、本DPAに基づきライセンシーの費用負担で履行される義務に関連して、Stats Performおよび／またはその関連会社が負担した費用および経費（合理的な弁護士費用、ならびに書面の作成および送付にかかる費用を含むが、これらに限定されない）を、請求書発行日から30日以内にStats Performに支払うものとする。

10.4. 契約の解除または契約違反に関する通知はすべて、英語で書面により、相手方の主な連絡担当者および法務部門宛てに行うものとする。通知は、有効な受領証または電子ログにより確認された受領時に、送達されたものとみなされる。郵便による通知は、書留郵便の発送日から48時間経過した時点で受領されたものとみなされる。

10.5. 本DPAの各条項は分離可能である。いかなる文言、条項または規定が、その全部または一部において無効または執行不能である場合でも、その無効または執行不能は当該文言、条項または規定のみに影響を及ぼし、本DPAの残りの部分は引き続き完全に効力を有する。

10.6. 本DPAは英国法に準拠し、当事者は、本DPAに関するいかなる紛争（契約上のものか契約外のものかを問わない）についても、救済のための代替的裁判地を定める第8条に起因する紛争を除き、英国の裁判所の専属的管轄権に服する。ただし、いずれの当事者も、その財産、知的財産権または機密情報を保護するために、差止命令その他の救済措置を求めて、いかなる裁判所にも申し立てを行うことができる。

スケジュール

データ処理に関する詳細