データ処理補足契約（DPA）

本データ処理補足契約（以下「DPA」）は、本契約に組み込まれ、本契約の締結日をもって締結されます。このDPAの日本語版は情報提供のみを目的として共有されており、以下のリンクからアクセスできる英語版が常に優先されます： https://www.meltwater.com/en/privacy/dpa。本DPAの目的上、お客様はコントローラーであり、Meltwaterはプロセッサー（または適用される場合はサービスプロバイダー）です。

1. 解釈

本DPAに定める用語および表現は、以下の意味を有するものとします：

「契約」とは、Meltwaterとお客様との間で締結された、プラットフォームの購入サブスクリプションに関する契約を意味します；

「データコントローラー」、「データプロセッサー」および「処理」は、適用プライバシー法において定められた意味を有するものとします；

「個人データ」とは、本DPAに従いデータコントローラーに代わってデータプロセッサーが処理する、個人に関するすべてのデータを意味します；

「適用プライバシー法」とは、本DPAに基づいて処理される個人データに適用される、あらゆる法域のプライバシー、データセキュリティ、およびデータ保護に関する法律、指令、規制、およびルールを意味し、適用される範囲において、一般データ保護規則、規則（EU）2016/679（「GDPR」）、2020年12月31日以降の英国GDPR、および2018年英国データ保護法（総称して「英国プライバシー法」）、スイス連邦データ保護法、米国州データ法（本契約に定義される）を含みますが、これらに限定されません；

「DPF」とは、EU・米国データプライバシーフレームワーク、EU・米国データプライバシーフレームワークへの英国拡張、およびスイス・米国データプライバシーフレームワークを意味します；

「個人データ」とは、本DPAに従いコントローラーに代わってプロセッサーが処理する、個人に関するすべてのデータを意味します；

「プラットフォーム」とは、契約においてプラットフォームまたはMeltwaterサービスとして定められた意味を有します；

「SCC」とは、2021年6月4日付欧州委員会実施決定（EU）2021/914の附属書に定める標準契約条項を意味します；また、

「サブプロセッサー」とは、プロセッサーがプラットフォームを提供するためにプロセッサーに代わって個人データを処理するために契約する第三者を意味します。

その他の定義済み用語はすべて、契約において定められた意味を有するものとします。

2. DPAの対象となる個人データのカテゴリー

2.1. コントローラーがメディアインテリジェンス（Meltwater）プラットフォームを使用する場合：プラットフォームに許可されたユーザーとして追加されたコントローラーの従業員の連絡先情報（氏名、メールアドレス、および場合によっては電話番号を含む）、ならびにプラットフォームへのログインに使用されたIPアドレス。

2.2. コントローラーが以下のMeltwaterサービスのいずれかを使用する場合：ニュースレター、プロセッサーによるメディアリレーションサービス。処理される個人データのカテゴリーには、コントローラーがプラットフォームにアップロードするデータ主体の氏名、メールアドレス、場合によっては電話番号、役職、雇用主、およびSNSアカウント名も含まれます。

2.3. コントローラーがMeltwaterエンゲージを使用する場合、処理される個人データのカテゴリーには以下も含まれる場合があります：（i）コントローラーがプラットフォームと同期するSalesforce環境内のデータ主体の氏名、メールアドレス、場合によっては電話番号、SNSアカウント名、および（ii）Meltwaterエンゲージを通じて管理されるダイレクトメッセージに含まれる個人データ。コントローラーは、適用プライバシー法により定義される、個人データと比較してさらなる保護措置を必要とする機微な個人データをアップロードしてはなりません。

2.4. コントローラーがインフルエンサーマーケティングプラットフォームを使用する場合：コントローラーの従業員の連絡先情報（氏名またはメールアドレスを含むがこれらに限定されない）およびサインアップ/ログイン情報、コントローラーがプラットフォームに追加・保存するインフルエンサーまたはコントローラーの顧客に関するその他の個人データ（メモ、契約書等）、ならびにコントローラーが自社ウェブサイトに設置したピクセルを通じて取得したコンバージョンデータおよび情報。

2.5. コントローラーがコンシューマーインサイトまたはコンテンツキュレーションプラットフォームを使用する場合：プラットフォームに許可されたユーザーとして追加されたコントローラーの従業員の連絡先情報（氏名、メールアドレス、および場合によっては電話番号を含む）、プラットフォームへのログインに使用されたIPアドレス、ソーシャルネットワーク情報、およびプロフィール画像の可能性。

2.6. コントローラーがセールスインテリジェンスプラットフォームを使用する場合：メールアドレス、役職、および雇用主名。

3. 個人データの処理および利用

3.1. プロセッサーは、コントローラーから受領した個人データを、（a）本DPAに定めるコントローラーの指示に従い、（b）専ら契約に定められたプラットフォームの提供目的のために、または（c）契約の有効期間中にコントローラーからプロセッサーに対して契約の通知条項に従って書面で別途通知された目的のためにのみ処理するものとします。

3.2. プロセッサーは常に適用プライバシー法を遵守し、コントローラーが適用プライバシー法に基づく適用義務に違反することとなるような方法で本DPAまたは契約に基づく義務を履行してはなりません。

3.3. プロセッサーは、本DPAに基づく義務が随時施行される適用プライバシー法に従って満足のいく形で履行されるようにするためにコントローラーが求める合理的な措置に従うことに同意します。

4. 個人データのセキュリティ

4.1. プロセッサーは、リスクに見合ったセキュリティレベルで個人データのセキュリティを保護するための技術的および組織的措置を含む適切な情報セキュリティプログラムを実施・維持することに同意します；特に、不正または違法な処理、ならびに偶発的な損失、破壊、損害、改変または開示に対してかかる措置の詳細は附属書IIに含まれます。

4.2. プロセッサーは、コントローラーから要請された場合、保有する個人データのセキュリティを保護し、組織的なシステムの詳細を提供し、不正アクセスを防止するものとします。

4.3. コントローラーからプロセッサーに提供された、またはコントローラーとの業務過程においてプロセッサーが取得したすべての個人データは機密情報であり、コントローラーの明示的な承認なしに、いかなる方法によっても複製、開示、または処理されてはなりません。

5. サブプロセッサーおよび従業員

5.1. プロセッサーがコントローラーに代わって個人データを処理する場合（物理的または電子的記録の形式で保存されているかどうかにかかわらず）、すべての従業員およびサブプロセッサーの信頼性を確保するための合理的な措置を講じます。

5.2. プロセッサーは、関連するプライバシー法令およびデータセキュリティについて従業員に通知し訓練するための合理的な措置を講じ、守秘義務を負うことを約束していること、または適用される法令上の適切な守秘義務の遵守を確保するものとします。さらに、すべての従業員およびサブプロセッサーに対し、個人データが機密性を有していることを周知し、本DPAに基づくプロセッサーの義務ならびに適用されるプライバシー法に基づく個人の義務および責任を認識させるものとします；

5.3. コントローラーは、https://www.meltwater.com/en/privacy/subprocessorsに記載されたサブプロセッサーの利用を承認します。プロセッサーは、サブプロセッサーが個人データにアクセスする前に、新たなサブプロセッサーについてコントローラーに書面で通知するものとします（コントローラーがhttps://www.meltwater.com/en/privacy/subprocessorsにて当該通知を購読している場合に限ります）。コントローラーは、上記の通知を受領してから10営業日以内に、新たなサブプロセッサーの指定が適用プライバシー法に準拠していないと判断した場合、合理的な理由をもって異議を申し立てることができます。

5.4. プロセッサーは、プロセッサーが：（i）当該サブプロセッサーとの間で、本DPAによりプロセッサーに課されるものと実質的に同等のデータ保護義務（適切な技術的および組織的措置の実施を含む）を含む書面による契約を締結し、かつ（ii）個人データの処理に関するサブコントラクターの義務不履行について、プロセッサー自身が当該義務を履行しなかった場合と同様に責任を負う場合を除き、個人データをサブプロセッサーに開示、移転、またはアクセスさせてはなりません。

6. 監査

プロセッサーは、合理的な通知かつ少なくとも30日前の事前通知を条件として、かつ暦年に最大1回、コントローラーが承認した者が、コントローラーからプロセッサーに提供された個人データが処理されるプロセッサーの施設に立ち入り、本契約に準拠していることを確認するためにプロセッサーのシステムを検査することを認めるものとします。監査権の年間制限は、第7条に定めるセキュリティインシデントの対象となった個人データには適用されません。コントローラーは、本条に基づくプロセッサーの義務が、適切な情報、記録、ならびに信頼できる独立した第三者が発行した認証書および監査報告書をコントローラーに提供することによって全部または一部充足される場合があることを認めます（ただし、認証または監査報告書の発行以降、プロセッサーが使用するコントロールに重大な変更がなかった場合に限ります）。

7. 個人データへのアクセスおよびセキュリティインシデント

7.1. プロセッサーは、データ主体からその個人データへのアクセス要求、または適用プライバシー法に基づくコントローラーの義務に関する苦情もしくは要求を受けた場合、コントローラーに通知するものとします。

7.2. プロセッサーは、苦情または要求の詳細をコントローラーに提供すること、および適用プライバシー法に定める関連する期間内にコントローラーのデータアクセス要求に対応することを含め、受けた苦情または要求に関してコントローラーに全面的な協力および支援を提供するものとします；

7.3. プロセッサーが個人データの不正なまたは違法な処理、個人データの損失もしくは破壊、損傷、破損もしくは使用不能、またはセキュリティ侵害を認識した場合、プロセッサーは自己の費用負担において、不当な遅滞なく（いかなる場合においても48時間以内に）コントローラーに通知（以下「通知」）し、セキュリティ侵害への対応、ならびにセキュリティ、侵害通知、影響評価、監督当局または規制当局との協議に関する適用プライバシー法に基づく義務の遵守において、合理的に実行可能な限り速やかにコントローラーに全面的に協力し支援するものとします。

7.4. 通知には、プロセッサーが通知時点で入手可能な範囲において、a）インシデントの性質の説明（可能な場合は影響を受けるデータ主体のカテゴリーおよび概数を含む）、b）インシデントの潜在的な悪影響の説明、およびc）プロセッサーがインシデントに対処するために講じた、または講じる予定の措置の説明を含めるものとします。

8. 国際データ移転

8.1. 個人データがコントローラーの所在国の外部でプロセッサーによってアクセスまたは移転される範囲において、当該移転はDPFおよびGDPR第5章が定めるその他の仕組みを含む適用プライバシー法の要件に従って行われるものとします。

8.2. Meltwater News US Inc.（「Meltwater US」）はDPFに参加し、DPFへの準拠を認証します。DPFの要求に従い、Meltwaterは（i）DPFの原則が求めるものと少なくとも同水準のプライバシー保護を提供し、かつ（ii）DPFへの参加を継続しない、またはDPFの原則が求めるものと同水準の保護を提供する義務を果たしていないと判断した場合、SCCへの依拠などにより処理を是正するための合理的かつ適切な措置を講じるものとします。

8.3. 個人データにEUおよびEEAからの個人データが含まれ、十分な保護がない第三国に移転される範囲において、契約および本DPAに署名することにより、両当事者は本DPAに添付されたSCC（その附属書を含む）に署名したものとみなされます。

8.3.1. SCCが締結される範囲において、SCCのモジュール2について以下のオプションが採用されるものとします：

8.3.1.1. 第7条。任意のドッキング条項は適用されません。

8.3.1.2. 第9条。サブプロセッサーの利用オプション2：一般的な書面による承認方式を採用しており、サブプロセッサー変更は少なくとも30日前に事前通知されるものとします（コントローラーがhttps://www.meltwater.com/en/privacy/subprocessorsにて当該通知を購読している場合に限ります）。

8.3.1.3. 第11条。任意の文言は適用されません。

8.3.1.4. 第17条。オプション2が選択され、両当事者はこれが契約の準拠法となることに同意します。

8.3.1.5. 第18条（b）。両当事者は、本条項から生じる紛争は、契約において合意された国の裁判所によって解決されることに同意します。

8.3.1.6. 第13条。すべての角括弧内の内容はこれにより削除されます；

8.3.1.7. 本DPAの附属書Iには、SCCの附属書Iに必要な情報が含まれます；

8.3.1.8. 本DPAの附属書IIには、SCCの附属書IIに必要な情報が含まれます；および

8.3.1.9. 本DPAの附属書IIIには、SCCの附属書IIIに必要な情報が含まれます。

8.4. 個人データにスイスからの個人データが含まれる範囲において、第8.3条が適用され、SCCをスイス法に適応させるために以下が適用されます：

8.4.1. 両当事者は、すべてのデータ移転についてGDPR基準を採用します。ただし、スイス法の基準がより高い場合はその基準を適用します。

8.4.2. 両当事者は、SCCにおけるGDPRの規定への言及は、紛争が生じた時点で適用されるスイス連邦データ保護法の対応する規定への言及として解釈されることに同意します。

8.4.3. SCCにおいて使用される「加盟国」という用語は、スイスにも適用されます。データ主体が常居所を有する場所において権利を求めて訴訟を提起する権利を有します。

8.4.4. 第13条および附属書I（C）：第13条および附属書I（C）に基づく管轄当局は、連邦データ保護・情報コミッショナーおよび上記で特定されたEEA加盟国当局です（同時に管轄）。

8.4.5. 第17条：両当事者は、GDPRに基づく請求については、データエクスポーターが設立されている加盟国の法律が、スイス連邦データ保護法に基づく請求についてはスイスの実体法が準拠法となることに同意します。

8.4.6. 第18条：本条項から生じる紛争はスイス・チューリッヒの裁判所によって解決されるものとします。データ主体は、データエクスポーターおよび/またはデータインポーターに対して、自己の常居所を有する加盟国の裁判所において法的手続きを提起することもできます。両当事者は、かかる裁判所の管轄権に服することに同意します。

8.4.7. 両当事者は、改正スイス連邦データ保護法が施行されるまでの間、「データ主体」には法人も含まれるものとしてSCCを解釈することに同意します。

8.5. 個人データに英国からの個人データが含まれる範囲において、SCCを英国法に適応させるために、両当事者は以下に同意します：

8.5.1. 両当事者は、SCCが英国から第三国へのデータ移転に機能し、英国GDPRの第46条に従った適切な移転の保護措置を提供するために必要な範囲で修正されたとみなされることに同意します。なお、GDPRへの言及は、英国GDPRへの言及に変更され、EU加盟国への言及は、英国への言及に変更されます。

8.5.2. 英国附属書は、英国GDPRによって保護される英国個人データの移転に関しては、以下をもって完成されるものとします：

（a）表1は、本DPAの附属書Iの関連情報をもって完成されます；

(b) 表2は、本DPAの第8.3条で特定されたEU SCCの選択されたモジュールおよび条項をもって完成されます。

(d) 表4において、データエクスポーターおよびデータインポーターの双方は、英国補遺の条件に従い英国補遺を終了させることができます。

8.6. 米国各州プライバシー法。コントローラーまたはそのデータ主体がカリフォルニア州、バージニア州、コロラド州、コネチカット州またはユタ州の居住者である場合、プライバシーに関するお客様の権利についての情報は、当社の米国各州プライバシー法補遺をご覧ください。

9. 返還または廃棄

プロセッサーは、コントローラーの要求に応じて、すべての個人データを廃棄するか、またはコントローラーに移転するものとします。当該移転は、コントローラーからプロセッサーに対して書面で通知されたフォーマット、時期および要件に従って行われるものとします。コントローラーの個人データは、契約の満了または終了後、遅くとも6ヶ月以内に廃棄されるものとします。セールスインテリジェンスプラットフォームについては、許可されたユーザーは契約終了後もフリーミアムユーザーとして継続利用する選択肢があります。

10. 一般条項

10.1. 独立した管理者および匿名化データ。Meltwaterは、本DPAの範囲外において、例えば顧客管理目的のためにデータ管理者として顧客に関連する個人データを処理し、また個人データを匿名化された形式で製品開発目的のために使用することがあります。

10.2 抵触。契約の条項と本DPAの条項との間に抵触がある場合は、本DPAの条項が優先されるものとします。

10.3. 準拠法および紛争解決。本DPAは、契約を規律する法律に準拠するものとします。本DPAに起因またはこれに関連して生じるすべての紛争は、契約において合意された紛争解決機関に従って解決されるものとします。

10.4. 有効性。本DPAは、契約が有効である限り、効力を有するものとします。

附属書 I

A. 当事者一覧

データエクスポーター：

名称：契約において定義されるお客様

住所：契約において定義されるお客様の住所

担当者の氏名、役職および連絡先：契約において定義されるお客様の担当者

本条項に基づき移転されるデータに関連する活動：契約において定義されたプラットフォームの利用

役割（コントローラー／プロセッサー）：コントローラー

データインポーター：

名称：契約において定義されたMeltwaterの契約当事者

住所：契約において定義されたMeltwaterの契約当事者の住所

担当者の氏名、役職および連絡先：契約において定義されるMeltwaterの契約当事者の担当者

本条項に基づき移転されるデータに関連する活動：契約において定義されるプラットフォームの提供

役割（コントローラー／プロセッサー）：プロセッサー

B. 移転の説明

個人データが移転されるデータ主体のカテゴリー：プラットフォームの使用を承認されたコントローラーの従業員、およびコントローラーがプラットフォームにアップロードした個人データのデータ主体。

移転される個人データのカテゴリー：DPAの第2条において定義されたとおり。

移転される機微データ（該当する場合）およびデータの性質と関連するリスクを十分に考慮した制限または保護措置（例えば、目的の厳格な制限、アクセス制限（専門的な研修を受けたスタッフのみのアクセスを含む）、データへのアクセス記録の保持、二次的移転の制限または追加的なセキュリティ対策など）：機微データの移転は行われません。

移転の頻度（例：データが単発または継続的に移転されるかどうか）：継続的な移転。

処理の性質：移転、複製、利用、削除、修正、調整。

データ移転およびその後の処理の目的：個人データは、データプロセッサーがメディアモニタリングSaaSサービスを提供するために、コントローラーからデータプロセッサーへ移転されます。

C. 管轄監督機関

第13条に従い、管轄監督機関を特定すること。

データプロセッサーの主たる事業所はオランダにあります。オランダ監督当局が管轄機関となります。

附属書 II

技術的および組織的措置

最新の技術的および組織的措置は、以下のリンクよりご覧いただけます：https://www.meltwater.com/en/privacy/dpa-toms 。

附属書 III

サブプロセッサー一覧

データコントローラーは、以下に記載されたサブプロセッサーの使用を承認しています：https://www.meltwater.com/en/privacy/subprocessors。