データ処理契約（Data Processing Addendum）

本付属契約は、CloudEffects LLC（以下「処理者」）とお客様（以下「管理者」）との間の利用規約の一部を構成します。

お客様は、エンドカスタマーおよびユーザーに関する個人データ（以下「お客様個人データ」）の管理者であり、個人情報の保護に関する法律（以下「個人情報保護法」）上の個人情報取扱事業者です。CloudEffects は、お客様の処理者、個人情報保護法上の委託先、およびカリフォルニア州消費者プライバシー法その他これに類する米国の州法（以下「米国州プライバシー法」）上のサービス提供者としてのみ、お客様個人データを処理します。

CloudEffects は、本サービスの提供（第 3 条に記載した事業目的）のためにのみ、かつお客様の文書化された指示（本サービスの設定、AI の提案の承認、委任状の付与による指示を含みます）に従ってのみ、お客様個人データを処理します。CloudEffects は次のことを行いません。

• 米国州プライバシー法上の意味で、お客様個人データを販売または共有すること
• その他の目的（商業目的を含みます）のために、またはお客様との直接の取引関係の外で、保持・利用・開示すること
• 米国州プライバシー法がサービス提供者に認める場合を除き、他から受け取った個人データや自ら取得した個人データと組み合わせること
• 第 6 条の再委託先、および第 11 条に定める法令上の要請の場合を除き、第三者に開示すること
• AI モデルの学習に使用すること

CloudEffects は、指示が適用法令に違反すると考える場合、お客様に知らせます。

アクセスする担当者は秘密保持義務を負い、個人データの取扱いについて指示を受け、業務に必要な範囲でのみアクセスできます。

CloudEffects は、テナントの分離や保存した認証情報の暗号化を含む、セキュリティのページに記載した技術的・組織的措置を維持します。

お客様は、委託先一覧に記載した再委託先を承認します。CloudEffects は新しい再委託先を 30 日以上前にお知らせし、お客様は合理的な理由がある場合に異議を述べることができます。CloudEffects は、各再委託先に対し、第 2 条の制限を含め本付属契約と同等以上の保護義務を書面の契約で課し、再委託先についてお客様に責任を負います。

CloudEffects は、データ主体・消費者からの請求（開示・訂正・削除・利用停止など）への対応、および必要な場合は影響評価について、お客様に協力します。CloudEffects が請求を直接受けた場合は、お客様に転送し、お客様の指示がない限り自ら回答しません。

CloudEffects は、お客様個人データに影響する侵害を知った後、不当な遅滞なく、かつ 72 時間以内にお客様へ通知します。通知には、侵害の内容、影響を受けたデータと人、講じた措置について CloudEffects が把握している事項を含め、お客様が自らの報告・通知の義務（個人情報保護法第 26 条によるものを含みます）を果たせるようにします。

利用規約の終了時、CloudEffects はお客様個人データをエクスポートできる状態にした後、利用規約の定めに従って削除します。ただし、法令により CloudEffects に保存が義務付けられるもの、または裁判所の命令、公的機関からの保全要請その他の法的義務により保全しなければならないものは除きます。この場合、CloudEffects は必要な範囲のものを、必要な期間に限り保存し、本 DPA に従って保護し、それ以外の目的で取り扱いません。

CloudEffects は、年 1 回および合理的な請求があったときに、本付属契約の遵守を示すために合理的に必要な情報（措置の実施状況と、お客様個人データを処理する国の法令のうち措置に影響しうる変更を含みます）をお客様に提供します。お客様は、通知のうえで、CloudEffects がお客様個人データを本付属契約に沿って利用していることを確認するため、および無権限の利用を停止・是正するために、合理的かつ適切な措置をとることができます。

お客様個人データは米国（AWS 米国西部・オレゴンリージョン）で処理されます。EEA または英国のお客様個人データには、標準契約条項および英国補遺を適用します。 公的機関からお客様個人データの開示を求められた場合、CloudEffects は法令で禁じられない限りお客様に通知し、法的に開示が義務付けられる範囲でのみ開示します。

個人情報保護法の適用を受けるお客様個人データについて、CloudEffects は外国にある第三者であり、本付属契約は、CloudEffects が個人情報取扱事業者の講ずべき措置に相当する措置を講ずるための取決めです（同法第 28 条第 1 項、同法施行規則第 16 条）。CloudEffects は特に次のことを行います。

1. 第 2 条の目的の範囲内でのみ取り扱い、違法または不当な行為を助長・誘発するおそれのある方法で利用しないこと
2. 指示に従って正確に保ち、不要になったときは削除すること（第 9 条）
3. 安全管理措置を講じ（第 5 条）、担当者（第 4 条）と再委託先（第 6 条）を監督すること
4. 漏えい等を報告すること（第 8 条）
5. 第 2 条と第 6 条で認める場合を除き、第三者（外国にある第三者を含みます）に提供しないこと
6. 本人からの請求への対応に協力すること（第 7 条）

お客様の義務のための情報. お客様が措置の実施状況を確認し、本人の求めに応じて情報を提供できるよう（同法第 28 条第 3 項）、CloudEffects は次を提供します。処理する国（米国）、その国の個人情報保護制度の概要（包括的な連邦の個人情報保護法はなく、分野ごとの連邦法とカリフォルニア州消費者プライバシー法などの州法によって保護されています）、本条の措置、および第 10 条の年 1 回の情報。CloudEffects がこれらの措置を講じられなくなった場合は遅滞なくお客様に通知し、お客様はデータの提供を停止し、影響を受ける本サービスを解約できます。

CloudEffects は、米国州プライバシー法がサービス提供者に課す義務を遵守し、同法が求める水準のプライバシー保護を提供します。CloudEffects は、それらの義務を果たせなくなったと判断した場合、お客様に通知します。お客様は、CloudEffects が対応すべき消費者からの請求を CloudEffects に伝え、CloudEffects は第 7 条のとおり対応します。CloudEffects は、第 2 条の制限を理解し、これを遵守することを証明します。