Haikuデータ処理契約

定義

本DPAにおいて、以下の用語は以下の意味を有するものとし、本書で別途定義されていない用語は本規約と同一の意味を有するものとします。

• 「関連会社」とは、主契約の当事者を直接的または間接的に支配し、当該当事者に支配され、または当該当事者と共通の支配下にある法人を意味し、「支配」とは当該法人の議決権株式、持分または議決権の過半数を所有することを意味します。
• 「適用データ保護法令」とは、本DPAに基づく管理者データの処理に関連するすべての適用法令および規制を意味し、これには以下が含まれますが、これらに限定されません（該当する場合）。(i) 一般データ保護規則(EU) 2016/679（以下「GDPR」）、(ii) 2018年英国データ保護法（以下「UK DPA」）および2019年データ保護・プライバシー・電子通信（修正等）（EU離脱）規則により改正されたDPAにより定義される英国一般データ保護規則（DPAと合わせて「UK GDPR」）、(ii) 2018年カリフォルニア州消費者プライバシー法（改正後）(Cal. Civ. Code §§ 1798.100 to 1798.199)、CCPA規則(Cal. Code Regs. tit. 11, §§ 7000 to 7600)、およびカリフォルニア州司法長官が提供する関連規則またはガイダンス（総称して「CCPA」）。
• 「管理者データ」とは、本規約に基づきまたはこれに関連して、処理者が管理者に代わって処理する個人データを意味します。
• 「管理者から処理者への条項」とは、(i) GDPRの対象となる個人データの移転については、2021年6月4日付欧州委員会決定2021/914に規定された第三国への個人データ移転に関する標準契約条項のモジュール2（管理者から処理者へ）、(ii) UK GDPRの対象となる個人データの移転については、英国情報コミッショナーが発行したEU委員会標準契約条項に対する国際データ移転補遺（バージョンB.1.0）を意味し、いずれの場合も随時修正、更新または置き換えられるものとします。
• 「データ処理契約またはDPA」とは、本DPAおよび本書に添付されたすべての付属書類（本書に従い随時修正されるもの）を意味します。
• 「個人データ」とは、識別された、または識別可能な自然人（「データ主体」）に関するあらゆる情報を意味します。識別可能な自然人とは、特に氏名、識別番号、位置データ、オンライン識別子などの識別子を参照することにより、直接的または間接的に識別できる者、または適用データ保護法令において「個人情報」「個人を識別可能な情報」もしくは類似の用語で定義されるものを意味します。
• 「個人データ侵害」とは、処理、送信、保存またはその他の方法で処理された管理者データの偶発的もしくは違法な破壊、紛失、改ざん、不正な開示またはアクセスにつながるセキュリティの侵害を意味します。
• 「処理者から処理者への条項」とは、該当する場合、(i) GDPRの対象となる個人データの移転については、2021年6月4日付欧州委員会決定2021/914に規定された第三国への個人データ移転に関する標準契約条項のモジュール3（処理者から処理者へ）、(ii) UK GDPRの対象となる個人データの移転については、英国情報コミッショナーが発行したEU委員会標準契約条項に対する国際データ移転補遺（バージョンB.1.0）を意味し、いずれの場合も有効であり、随時修正、更新または置き換えられるものとします。
• 「サブプロセッサー」とは、管理者に代わって管理者データに関する処理を行うためにWalkMeが委託する処理者を意味します。
• 「第三国」とは、(i) GDPRの対象となる個人データの移転については、欧州経済領域のデータ保護法の適用範囲外の国（欧州委員会が随時個人データの十分な保護を提供すると承認した国を除く）、(ii) UK GDPRの対象となる個人データの移転については、英国のデータ保護法の適用範囲外の国（英国の関連する所管当局が随時個人データの十分な保護を提供すると承認した国を除く）を意味します。

GDPRで認識されている「管理者」「データ主体」「処理」「処理者」「処理すること」「監督機関」などの用語は、本DPAにおいて大文字で表記されていない場合であっても、GDPRに規定された意味を有するものとします。

管理者データの処理

2.1 各当事者は、常に適用データ保護法令を遵守するものとします。

2.2 処理者は、管理者にサービスを提供するために必要な範囲においてのみ、管理者データを処理するものとします。

2.3 処理者は、本DPA、本規約に基づく管理者の文書化された指示に従い、かつ適用データ保護法令に従ってのみ管理者データを処理することに同意します。

2.4 管理者は、現在および将来の関連する時点において、指示を与える正当かつ有効な権限を有し、継続して有することを保証し表明するものとします。管理者は、管理者データの正確性、品質および適法性、ならびに管理者データの取得方法について単独で責任を負うものとします。本DPAおよび本規約は、管理者データの処理に関する管理者から処理者への完全かつ最終的な指示です。追加または代替の指示は、両当事者の権限ある代表者間で別途書面にて合意される必要があります。

2.5 処理者は、本DPAに基づく義務を履行できない場合、または管理者が与えた管理者データの処理に関する指示が適用データ保護法令に違反すると判断した場合、適用データ保護法令により管理者への通知が禁止されている場合を除き、直ちに管理者に通知するものとします。

2.6 処理者は、監督機関が処理者が管理者に代わって処理する管理者データへのアクセスを要求した場合、監督機関により禁止されている場合を除き、直ちに管理者に書面で通知するものとします。

CCPA

3.1 両当事者は、WalkMeがサービスプロバイダーに該当する可能性があることを認め、これに同意します。本第3条は、管理者が「事業者」であり、WalkMeが有効な事業目的のためおよびサービスを実行するために個人情報を処理する範囲において適用されます。本条と本DPAの他の規定との間に矛盾がある場合、本条の要件が優先するものとします。

3.2 WalkMeは、管理者が個人情報へのアクセスを提供または許可する事業目的、またはCCPAにより別途許可される目的のためにのみ、個人情報を収集、使用、保持または開示するものとし、CCPAが要求するのと同等のプライバシー保護を提供するものとします。両当事者は、個人情報の収集、使用、保持または開示にあたり、CCPAの適用されるすべての要件を遵守するものとします。WalkMeは、管理者の合理的な要求に応じて、サービスプロバイダーに適用されるCCPAの規定への準拠を実証するために必要な情報を提供し、WalkMeがCCPAに基づく義務を履行できなくなったと判断した場合は管理者に通知するものとします。管理者の合理的な書面による通知に基づき、かつ当該通知で提起された合理的な懸念を是正する機会をWalkMeに提供することを条件として、管理者は、WalkMeがCCPAに基づく管理者の義務と整合する方法で個人情報を使用し、個人情報の不正使用を停止および是正するよう確保するための合理的かつ適切な措置を講じる権利を有するものとします。

3.3 WalkMeは以下を行わないものとします：

1. 3.3.1 個人情報を販売または共有すること。
2. 3.3.2 WalkMeと管理者間の直接的な事業関係の範囲外で、またはサービスの実行という特定の目的もしくはCCPAにより別途許可される目的以外のために、個人情報を保持、使用または開示すること。
3. 3.3.3 管理者から受領した個人情報を、個人情報が関連する個人とのWalkMeの独自のやり取りまたはその他の情報源から収集された個人情報と結合すること。

3.4 WalkMeが非識別化された情報を受領する範囲において、WalkMeは(i) 当該情報が識別された、または識別可能な個人と関連付けられないよう商業的に合理的な措置を講じ、(ii) 当該情報を非識別化された形式でのみ維持・使用することを公にコミットし、(iii) 当該情報の再識別を試みないものとします。

3.5 処理の性質を考慮し、処理者は(i) 管理者から要求の通知を受け、要求に応じるために必要な情報の提供を受けた場合にCCPAに基づく権利行使の要求に応じること、および(ii) 本DPAを締結することにより、管理者を支援するものとします。

3.6 本第3条において、「事業者」「事業目的」「非識別化」「個人情報」「販売」「共有」および「サービスプロバイダー」は、CCPAに規定された意味を有するものとします。

セキュリティ対策

4.1 処理者は、処理される管理者データを個人データ侵害から保護するために、適切な技術的および組織的措置を実施するものとします。

4.2 処理者は、https://gethaiku.ai/trust-centerに詳述されている、またはその他処理者が合理的に利用可能にした、ISO 27001、SOC 2 type II およびISO27799医療セキュリティ管理等に準拠したセキュリティ管理および監査を維持するものとします。処理者はこれらの安全対策への準拠を定期的に監視します。処理者は、本規約の期間中、サービスの全体的なセキュリティを実質的に低下させないものとします。

人員；機密保持

5.1 処理者は、管理者データにアクセスする可能性のある処理者の従業員、代理人または請負業者（以下「人員」）の信頼性を確保するための合理的な措置を講じるものとし、各場合において、主契約の目的のために厳密に必要な範囲で関連する管理者データを知る必要がある/アクセスする必要がある人員にのみアクセスを厳格に制限し、かつ当該人員の処理者に対する職務の範囲内で適用データ保護法令を遵守するものとします。

5.2 処理者は、管理者データを処理する人員に対し、機密保持、データ保護およびデータセキュリティに関する関連義務を含む適切な契約上の義務を課すものとします。処理者は、従事する人員が管理者データの機密性について通知され、各自の責任に関して適切な研修を受けていることを確保するものとします。

5.3 処理者は、適用データ保護法令により当該任命が要求される場合、データ保護責任者を任命しています。任命された担当者にはprivacy@gethaiku.aiにてご連絡いただけます。

サブプロセッサー

6.1 管理者は、サブプロセッサーページに記載されたサブプロセッサーの委託について、処理者に対し包括的な書面による承認を付与するものとします。

6.2 管理者は、サブプロセッサーポータルを通じてサブプロセッサーの変更に関する通知を受け取るよう登録することができます。

6.3 処理者は、新たなサブプロセッサーの任命または既存のサブプロセッサーの交替について、サブプロセッサーポータルを更新し、サブプロセッサーポータル上の仕組みまたはメールを通じて管理者に当該変更の通知を提供することにより、当該サブプロセッサーが実行する処理活動の関連する詳細を含め、少なくとも30日前に管理者に事前通知するものとします。

1. 6.3.1 管理者が当該通知の受領後7日以内に、管理者データの保護に関する任命に対する合理的な異議を処理者に書面で通知した場合（以下「管理者通知」）、処理者は管理者の異議に対処するための合理的な措置が講じられるまで当該任命を延期するものとします。これには、(i) 当該サブプロセッサーを使用せずにサービスを提供する代替手段の提案、(ii) 処理者が当該サブプロセッサーに関するサービスの特定の部分の提供を中止するか、管理者がその使用を行わないことに同意すること、または(iii) 管理者と協力して商業的に合理的な補足措置を講じることが含まれます。異議の通知はprivacy@gethaiku.aiにお送りください。
2. 6.3.2 かかる措置が管理者の異議を解消するために合理的に十分でないか利用可能でなく、管理者通知の受領後30日以内に相互に合意可能な代替的解決策に達することができない場合、当該サブプロセッサーの使用を必要とするサービスに関する範囲において、いずれの当事者も相手方への書面による通知により、該当する注文書および/または主契約を解除することができます。この場合、処理者は自らの裁量により、該当する注文書に基づく未使用の前払い料金の按分部分（解除日と注文書の当初の期間との残余期間から算出）を返金することができます。
3. 6.3.3 管理者が適時に管理者通知を行わなかった場合、当該サブプロセッサーは承認されたものとみなされ、処理者は当該サブプロセッサーの使用を開始することができます。

6.4 サブプロセッサーがデータ保護義務を履行しなかった場合、処理者は当該サブプロセッサーの義務の履行について管理者に対し全面的な責任を負うものとします。

6.5 各サブプロセッサーの任命に先立ち、(i) 処理者は、当該サブプロセッサーが主契約および本DPAで要求される管理者データの保護水準を提供する能力を有することを確認するための適切なデューデリジェンスを実施し、(ii) 処理者とサブプロセッサー間の取り決めが、本DPAと実質的に同等の義務を規定する書面による契約に基づくものであることを確保するものとします。

関連会社

7.1 処理者の義務の一部は、サブプロセッサーポータルに記載されているとおり、処理者の関連会社によって履行される場合があります。管理者は、処理者の関連会社が主契約に基づくサービスを提供するために、処理者に代わって管理者データを処理する場合があることを了承します。

7.2 処理者は、主契約に基づきサービスを自ら提供した場合と同等の範囲で、関連会社の作為および不作為について責任を負うものとします。

7.3 管理者は、本第7条の条件に従い、サービスの提供において処理者が処理者の関連会社を使用することに同意するものとします。

個人データ侵害

8.1 個人データ侵害が発生した場合、処理者は不当な遅滞なく、遅くとも個人データ侵害を認識してから48時間以内に、管理者に当該個人データ侵害を通知するものとします。

8.2 処理者は、個人データ侵害を認識した後、速やかに以下を行うものとします：

1. 個人データ侵害の範囲、性質および起こり得る結果を判断するために調査を開始すること。
2. 個人データ侵害の潜在的な悪影響を軽減し、これに起因する損害を最小限に抑えるために適切な是正措置を講じること。

8.3 処理者は、管理者が適用データ保護法令に基づく義務を遵守するために合理的に必要とする個人データ侵害に関する詳細を、速やかに管理者に提供するものとします。

8.4 本第8条の義務は、管理者または管理者のユーザーに起因するインシデントには適用されないものとします。

データ主体の権利

9.1 処理者は、法的に許容される範囲において、データ主体からアクセス権、訂正権、処理の制限、消去、データポータビリティ、または処理への異議申し立ての権利を行使する要求（各々「データ主体の要求」）を受けた場合、速やかに管理者に通知するものとします。処理者は、管理者から許可された場合、適用データ保護法令に基づき要求される場合、または監督機関の指示による場合を除き、当該要求に応じないものとします。

9.2 第9.3条に従い、処理者は、適用データ保護法令に規定されたデータ主体の権利行使の要求に応じる管理者の義務を履行するために、適切な技術的および組織的措置を講じることにより、管理者に商業的に合理的な支援を提供するものとします。適用データ保護法令で禁止されている場合を除き、管理者は当該支援の提供に関連する処理者の費用および経費を補償するものとします。

9.3 管理者は、処理者がデータ主体の要求への対応において管理者を支援するために、特定の識別情報（例：IPアドレスおよび処理者のサーバーへの情報アップロードの日時）を処理者に提供するものとします。

監査

10.1 処理者は、管理者の事前の書面による要求に応じて、本DPAに規定された義務の遵守を合理的に実証するために必要なすべての関連情報を管理者に提供するものとします。

10.2 処理者は、個人データ侵害の発生後を除き各暦年1回を超えない範囲で、かつ通常の営業時間内に、その施設の検査を含む監査を許可し、これに協力するものとします。監査は、管理者、または管理者が委任した第三者監査人によって実施することができます。ただし、当該第三者監査人は十分な機密保持義務に服するものとします。管理者は、監査権を行使する少なくとも14日前に処理者に通知するものとします。

10.3 各当事者は当該監査に関する自己の費用を負担するものとします。ただし、管理者が第三者監査人に代理として監査を行わせた場合、管理者は当該第三者監査人の費用を負担するものとします。

データ影響評価；協議

処理者は、管理者の要求に応じて、管理者が本DPAの対象となる管理者データの処理に関連して、適用データ保護法令に基づくデータ保護影響評価（以下「DPIA」）および関連する監督機関との事前協議を、該当する場合に実施する義務を履行するために必要な情報を提供するものとします。

移転

12.1 処理者が第三国において管理者データを処理し、データ輸入者として行動する範囲において、処理者は管理者から処理者への条項に規定されたデータ輸入者の義務を遵守するものとし、当該条項は本DPAに組み込まれ、その一部を構成するものとします。管理者は当該管理者から処理者への条項におけるデータ輸出者の義務を遵守するものとします。また、

1. 1) 当該管理者から処理者への条項の別紙Iまたは第1部（該当する場合）の目的上、本DPAおよび別紙1（処理の詳細）に規定された当事者および処理の詳細が適用され、開始日は本DPAの日付とします。
2. 2) 該当する場合、当該管理者から処理者への条項の第1部の目的上、関連するAddendum EU SCC（当該管理者から処理者への条項で定義される用語）は、本第11条により本DPAに組み込まれた2021年6月4日付欧州委員会決定2021/914に規定された第三国への個人データ移転に関する標準契約条項（モジュール2）とします。
3. 3) 当該管理者から処理者への条項の別紙IIまたは第1部（該当する場合）の目的上、本DPAの第4条に規定された技術的および組織的セキュリティ対策が適用されるものとします。
4. 4) 該当する場合、以下の目的上：(i) 当該管理者から処理者への条項の第9条については、オプション2（「包括的書面による承認」）が選択されたものとみなし、本DPAの第6.3条に規定された通知期間が適用されるものとします。(ii) 当該管理者から処理者への条項の第11条(a)については、独立した紛争解決に関する任意の文言は省略されたものとみなします。(iii) 第13条および別紙I.Cについては、管轄の監督機関はオランダデータ保護機関（Authoriteit Persoonsgegevens）とします。(iv) 第17条については、オプション1が選択されたものとみなし、準拠法はオランダ法とします。(v) 第18条については、管轄裁判所はオランダの裁判所とします。(vi) 当該管理者から処理者への条項の第1部については、輸入者としての処理者は当該管理者から処理者への条項の第19条に基づき管理者から処理者への条項を解除することができます。

12.2 管理者は、処理者が第三国において管理者データを処理するために関連会社またはサブプロセッサーを任命する場合があることを了承し、これに同意するものとします。この場合、処理者は管理者に代わって任命する関連のサブプロセッサー（関連会社を含む）との間で処理者から処理者への条項を締結するものとします。

削除；返却

処理者は、主契約の終了後90日以内に、または管理者の要求に応じて速やかに、管理者データのすべてのコピーを削除または返却するものとします。ただし、適用データ保護法令に従って当該コピーの保持が要求される場合はこの限りではなく、処理者はすべての当該管理者データの機密性を確保するものとします。管理者の事前の書面による要求に応じて、処理者は本条に基づく義務を遵守したことを証明する書面を提供するものとします。

一般条項

14.1 本DPAの両当事者は、適用データ保護法令の遵守のもとで本DPAに想定される管理者データの処理を処理者が継続するために変更が必要な場合、または適用データ保護法令の法的解釈に対応するために、本DPAの修正を誠実に交渉することに同意するものとします。これには、(i) 適用データ保護法令の各規定の解釈に関するガイダンスへの準拠、(ii) 標準契約条項またはその他のメカニズムもしくは十分性認定の無効化もしくは修正、または(iii) 欧州連合もしくは欧州経済領域における国の加盟状況の変更により当該修正が必要となる場合が含まれます。

14.2 本DPAの両当事者は、本DPAに基づき生じる紛争または請求（その存在、有効性、終了またはその無効の結果に関する紛争を含む）について、主契約に規定された管轄裁判所の選択に服するものとします。

14.3 本DPAのいずれかの規定が無効または執行不能である場合でも、本DPAの残りの部分は有効に存続するものとします。無効または執行不能な規定は、(i) 両当事者の意図を可能な限り維持しつつ、その有効性および執行可能性を確保するために必要な範囲で修正されるか、またはそれが不可能な場合は、(ii) 当該無効または執行不能な部分が当初から含まれていなかったものとして解釈されるものとします。