データ取扱契約（DPA）

1. 目的、範囲および契約体系

本契約の目的。本契約は、nullbotサービスの提供に関連して、処理者が管理者のために付属書1に記載された個人データの処理業務を行うことを約する条件を定めることを目的とします。本契約は、RGPD第28条、および、より広く個人データの保護に関する適用法令に照らした両当事者それぞれの義務および権利を明確にするものです。

法的枠組み。本契約は、GDPR、特にその第28条(委託処理)、第32条(処理の安全性)、第33条および第34条(データ侵害)、第35条(影響評価)、第36条(事前協議)ならびに第44条以下(第三国へのデータ移転)、および情報処理、ファイルおよび自由に関する1978年1月6日付改正法律第78-17号の枠組みに位置づけられます。

契約上の位置付けおよび文書間の優先順位。本契約は、両当事者間で締結されたサービス契約の付属書を構成し、その不可分の一部をなす。本契約は、個人データの取扱いに関する事項に限り、他の契約文書中のこれに矛盾するいかなる定めにも優先する。本契約と販売条件（CGV）、利用規約（CGU）またはプライバシーポリシーとの間に矛盾が生じた場合、個人データの保護に関する事項についてのみ、本契約の定めが優先する。

承諾。本サービスへの申込みおよびその利用は、管理者としての顧客による本契約の全面的かつ完全な承諾を意味します。

2. 定義

以下の用語は、本契約において大文字で使用される場合、次の意味を有するものとします。「個人データ」、「処理」、「管理者」、「処理者」、「データ主体」および「個人データ侵害」の概念は、RGPD第4条の意味において理解されるものとします。

• 「サービス」とは、処理者がSaaS形式で提供するnullbotソフトウェアを意味し、その人工知能エージェント、インターフェース、機能及び関連コンポーネントを含みます。
• 「エージェント」とは、顧客が定めた設定および指示に従い、顧客に代わってタスクおよびアクションを実行するために本サービス内で実装される、あらゆる人工知能エージェントを意味します。
• 「顧客コンテンツ」とは、顧客がエージェントに提出し、またはサービスに組み込む、個人データを含むあらゆるデータ、ファイル、指示、リクエスト、文書及び情報の総体をいう。
• 「個人データ」とは、本契約に基づき、管理者に代わって処理者が処理する、識別された又は識別可能な自然人に関するあらゆる情報を意味します。
• 「処理」とは、収集、記録、整理、構造化、保存、翻案、変更、抽出、参照、利用、開示、突合、制限、消去または破棄など、個人データに対して行われるあらゆる操作または一連の操作をいいます。
• 「管理者」または「データ処理管理者」とは、処理の目的および手段を決定する顧客をいいます。
• 「処理者」とは、管理者に代わって個人データを処理するMARA LABSを意味する。
• 「再委託先」とは、処理者が管理者のために特定の取扱い活動の全部または一部を実施させるために利用する第三者をいいます。
• 「データ主体」とは、処理される個人データが関係する、識別された、または識別され得る自然人をいいます。
• 「個人データ侵害」または「侵害」とは、送信、保存またはその他の方法で処理される個人データの偶発的もしくは違法な破壊、喪失、改変、不正な開示、または当該データへの不正アクセスをもたらすセキュリティの侵害をいう。
• 「CCT」とは、第三国への個人データ移転を規律する、2021年6月4日付欧州委員会実施決定(EU)2021/914により採択された標準契約条項(Clauses Contractuelles Types)を意味します。
• 「RGPD」とは、2016年4月27日の規則(EU)2016/679をいいます。

3. 当事者の地位および役割

顧客の地位。 顧客は、GDPR第4条7号の意味における管理者としての地位で行動します。顧客は、本サービスの利用に際して実施される取扱いの目的および手段を単独で決定します。したがって、顧客は、処理者に委託する取扱いの適法性を確保する責任を負い、特にGDPR第6条の意味における適切な法的根拠を有すること、該当する場合には第9条に定める保護措置を講じること、および本人に対する情報提供義務を履行していることを確保しなければなりません。

処理者としての地位。MARA LABSは、GDPR第4条8号の意味における処理者として行動します。処理者は、本契約に従い、管理者に代わってのみ、かつその文書化された指示に基づいて個人データを処理します。

処理受託者の保証。処理受託者は、GDPR第28条第1項に従い、処理がGDPRの要求事項を満たし、データ主体の権利保護を保証するよう、適切な技術的および組織的措置の実施に関して十分な保証を提示することを表明します。

顧客固有の責任。 顧客は、以下について単独で責任を負うものとします。

• 本サービスを通じて実施する取扱いの適法性、公正性および透明性について。
• エージェントに提出される顧客コンテンツの正確性、品質および妥当性について。
• 情報提供義務の遵守及び、該当する場合には、データ対象者からの同意取得。
• データの適切な保存期間の設定、および本サービスに提供されるデータの最小化について。
• エージェントの設定および監督、ならびに顧客に代わってエージェントが実行する行動について。

4. 取扱いの内容及び範囲

範囲。 処理者は、本契約の付属書1に定める範囲及び方法に従い、本サービスの提供に必要な個人データを管理者のために処理することを認められます。同付属書は、RGPD第28条第3項に従い、処理の性質及び目的、その期間、対象となる個人データの種類、並びに対象となる本人のカテゴリーを明記します。

管理者による決定。 処理の正確な範囲は、顧客が本サービス内で実施する構成、設定および利用方法、ならびに顧客がエージェントに提出する顧客コンテンツに起因します。管理者は、受託者が顧客の選択により提出されるデータの内容を管理する立場にないことを踏まえ、当該範囲を定義し限定することが自らの責任であることを認めます。

更新。 附属書1は、サービスまたは顧客の利用状況の変化を反映するため、補足または更新されることがあります。ただし、この更新によって、両当事者間で合意されたサービスの提供に必要な範囲を超えて取り扱いが拡張されることはありません。

5. 管理者の文書化された指示

文書化された指示に基づく処理。 RGPD第28条3項a号に従い、処理者は、第三国または国際機関への個人データの移転に関するものを含め、管理者の文書化された指示に基づいてのみ個人データを処理します。ただし、処理者が服する連合法または加盟国法により処理を義務付けられている場合はこの限りではありません。その場合、処理者は、当該法律が重要な公益の理由により当該通知を禁止していない限り、処理前にその法的義務について管理者に通知します。

指示の形式。 管理者による文書化された指示とは、本契約及びその付属書、サービス契約、顧客が本サービス内で行った設定、エージェントに提出された顧客コンテンツ、並びに書面(電子メールまたは本サービスのインターフェースを通じたものを含む)により正式化され、処理者宛に送付されたその他の追加指示をいいます。

明白に違法な指示。 受託者は、ある指示がGDPRまたはデータ保護に関するその他のEU法もしくは加盟国法に違反すると判断した場合、直ちに管理者に通知するものとします。この場合、受託者は、管理者による当該指示の確認または修正がなされるまで、その実行を停止する権利を有します。

自己目的での利用の禁止。 処理者は、本契約の履行および本サービスの提供に必要な目的以外の目的で個人データを処理すること、特に自己または第三者の勘定でこれを利用することを禁止されます。

6. 取扱いを許可された者の守秘義務

秘密保持の誓約。GDPR第28条第3項(b)に従い、処理者は、個人データを処理する権限を有する者が秘密保持を遵守することを誓約するか、または適切な法的秘密保持義務に服することを確保するものとします。

権限付与およびアクセス制限。 受託者は、個人データへのアクセスを、その業務の遂行のためにアクセスする必要がある自らの従業員および権限を有する者に厳密に限定し、知る必要性の原則および最小権限の原則に従うものとします。

意識向上および教育。 処理者は、個人データの処理を認められた者が、個人データ保護および情報セキュリティに関する必要な教育および意識向上を受けられるよう配慮します。

義務の存続。守秘義務は、対象者の職務終了後及び本契約の終了後も存続します。

7. セキュリティ対策(第32条)

セキュリティ義務。GDPR第28条第3項(c)及び第32条に従い、処理者(Sous-traitant)は、技術水準、実施費用、並びに取扱いの性質、範囲、状況及び目的、さらには自然人の権利及び自由に対するリスクを考慮した上で、リスクに見合った適切な水準のセキュリティを確保するため、適切な技術的及び組織的措置を実施します。

評価基準。実施される措置は、必要に応じて以下を考慮する。

• 個人データの仮名化および暗号化。
• 処理システム及びサービスの機密性、完全性、可用性及び継続的なレジリエンスを確保するための手段;
• 物理的または技術的な事故が発生した場合に、適切な期間内に個人データの可用性およびそれらへのアクセスを回復するための手段;
• 取扱いの安全性を確保するための技術的および組織的措置の有効性を定期的にテスト、分析および評価する手続について。

措置の詳細。処理者が実施する技術的および組織的措置は、本契約の付属書2に記載されています。これらの措置は、セキュリティレベルが低下しないことを条件として、時間の経過とともに変更される場合があります。

責任の分担。 管理者は、自らの管理領域に属するセキュリティ対策の実施について引き続き責任を負うものとし、これには特に、利用者の認証情報及び権限の管理、自社の情報システムのセキュリティ、並びに本サービスに提供するデータの最小化が含まれます。

8. 再委託先の利用

包括的な許可。 RGPD第28条2項および4項に従い、管理者は、本サービスの提供に必要な特定の処理活動を実行するために処理者が再委託処理者を利用することを包括的に許可します。本契約締結日時点で許可されている再委託処理者の一覧は、付属書3に記載されています。

事前通知および異議申立権。 処理者は、後続の再委託先の追加または変更に関する予定された変更について、適切な方法(特に別紙3の更新の公開ならびにサイトまたは本サービス内での告知を含む)により管理者に通知し、これにより管理者が合理的な期間内にこれらの変更に異議を申し立てる機会を確保します。管理者による正当かつ理由のある異議がある場合、両当事者は解決策を見出すよう努めるものとします。解決策が得られない場合、管理者は、契約に定める条件に従い、問題となる後続の再委託先の利用に関わる本サービスの部分を解約することができます。

再委託先に課される義務。RGPD第28条4項に従い、処理者が再委託先を利用する場合、処理者は契約またはその他の法的行為により、本契約に定められたものと同一のデータ保護義務、特に適切な技術的および組織的措置の実施に関して十分な保証を提示する義務を、当該再委託先に課すものとします。

責任。処理者は、再委託先によるデータ保護に関する義務の履行について、管理者に対して全面的な責任を負い続ける。再委託先がその義務を履行しない場合であっても、処理者は、再委託先による当該義務の履行について、管理者に対して全面的な責任を負い続ける。

9. データ主体の権利行使に対する支援

支援義務。 GDPR第28条3項e号に従い、処理者は、適切な技術的および組織的措置により、可能な限り、本人がその権利を行使するために提出する請求に対応する義務を管理者が履行できるよう支援します。

対象となる権利。本支援は、RGPD第3章に定めるすべての権利、特にアクセス権、訂正権、消去権、処理の制限を求める権利、データポータビリティの権利、および異議を申し立てる権利を対象とする。

請求の伝達。データ主体が、データ管理者に代わって行われる処理に関する権利行使の請求をデータ処理者に直接提出した場合、データ処理者は、データ管理者からの別段の指示がない限り、遅滞なく当該請求をデータ管理者に伝達し、自らこれに回答することを控えるものとする。

提供される手段。本サービスが許す限りにおいて、処理者は、本人からの要求に対応できるよう、管理者に対して機能およびツールを提供します。

10. セキュリティ、侵害、DPIA及び事前協議に関する支援

一般的な支援義務。RGPD第28条第3項(f)に従い、処理者は、取扱いの性質および処理者が保有する情報を考慮のうえ、RGPD第32条から第36条に定める義務の遵守を管理者が確保できるよう支援します。

取扱いの安全性(第32条)。処理者は、RGPD第32条に定めるセキュリティ要件への適合について管理者を支援するものとし、特に実施している技術的および組織的措置に関する情報を管理者に提供します。

侵害の通知(第33条および第34条)。処理受託者は、本契約の「個人データ侵害の通知」の項に定める条件に従い、監督機関への個人データ侵害の通知義務、および必要に応じてデータ主体への当該侵害の通知義務を処理管理者が履行するにあたり、これを支援します。

影響評価(第35条)。 処理者は、必要な場合において、自らが有する情報の範囲内で、本サービスを通じて行われる取扱いに関するデータ保護影響評価(DPIA)の実施について管理者を支援します。

事前協議(第36条)。処理受託者は、必要な場合、GDPR第36条に定める監督機関への事前協議において、処理管理者を支援します。

支援の費用。本項に定める支援は、処理の性質および処理者が利用可能な情報を考慮して提供されます。支援の要請が本サービスに合理的に含まれる範囲を超える場合、処理者は事前に通知の上、これに関して要した合理的な費用を管理者に請求することができます。

11. 個人データ侵害の通知

管理者への通知。処理者は、個人データ侵害を認知した後、可能な限り速やかに管理者へ通知するものとします。これにより、管理者がRGPD第33条に定める72時間以内の監督機関への通知義務を、必要な場合に履行できるようにします。

通知の内容。 処理者は、自ら保有する情報の範囲内で、必要に応じて段階的に、管理者に対して以下を伝達します。

• 違反の性質に関する説明(可能な場合、影響を受ける本人のカテゴリー及びおおよその人数、並びに関連する記録の件数を含む)。
• 違反により生じる可能性のある結果;
• 当該侵害に対処するために講じられた、または提案された措置、および必要に応じてその悪影響を軽減するための措置。
• 追加情報を入手できる連絡窓口の連絡先。

協力。処理者は、管理者と協力し、違反の調査、抑制および解決を支援するために合理的な措置を講じるものとします。法令上別段の義務がある場合を除き、処理者は、管理者からの明示的な指示がある場合を除き、管理者に代わって監督機関または本人への通知を行わないものとします。

12. 欧州連合域外への移転

原則。処理者は、管理者に通知し、かつGDPR第V章に定める適切な保護措置を講じることなく、欧州連合域外の第三国または国際機関へ個人データを移転しないものとします。

適切な保証措置。処理者が利用する一部の再委託先は、欧州経済領域外、特に米国に所在しています。これらの再委託先への移転は、欧州委員会が2021年6月4日付実施決定(EU)2021/914で採択した標準契約条項(SCC)、および該当する場合には有効と認められるその他の移転メカニズム(十分性認定または認定されたデータ保護枠組みに基づく認証等)によって管理されます。

追加的措置。 必要な場合、処理者は、欧州連合域内で保証されるものと実質的に同等の水準の個人データ保護を確保するため、適切な追加的措置(技術的、組織的および契約上の措置)を実施し、または関係する再委託先に実施させるものとします。

管理者への情報提供。 処理者は、要請に応じて、データ移転を規律するために設けられた保証措置に関する情報を管理者に提供します。再委託先処理者の一覧およびその所在地は附属書3に記載されています。

13. 監査及び検査

情報の提供。 GDPR第28条3項h号に従い、処理者は、GDPR第28条に定める義務の遵守を証明するために必要なすべての情報を管理者に提供し、管理者またはその委任を受けた他の監査人による、検査を含む監査の実施を可能にし、かつこれらの監査に協力します。

監査の実施方法。 管理者は、自己の費用負担で、以下の条件に従い、本契約に基づく処理者の義務遵守状況について監査を実施させることができます。

• 監査は、合理的な期間の書面による事前通知に基づいて実施されるものとし、当該通知期間は暦日で30日を下回らないものとする。ただし、データ違反が確認された場合、または監督機関からの要請がある場合はこの限りではない。
• 監査は、営業時間および営業日中に、処理者の業務を過度に妨げない方法で実施されること。
• 監査は、12か月の期間につき1回に限られる。ただし、例外的な事情（違反が判明した場合、監督機関からの要請があった場合等）を除く。
• データ管理者が委任する監査人は、データ処理者の競合他社であってはならず、守秘義務を負うものとする。
• 監査の際に得られた所見及び情報は、厳格に秘密として取り扱われるものとする。

文書及び認証。 処理者は、自らが保有する関連文書、監査報告書、証明書または認証を管理者に提供することにより、それらの要素が義務の遵守を合理的に証明できる場合には、コンプライアンスを証明する義務を果たすことができます。

費用。監査の実施に関連する費用は管理者が負担するものとします。処理者が監査の支援および同行のために合理的に費やした時間が、本サービスに合理的に含まれる範囲を超える場合には、事前の通知の後、管理者に請求することができます。

14. 取扱終了時のデータの取扱い

管理者の選択。RGPD第28条3項(g)に従い、取扱いに関する役務提供の終了時に、受託者は、管理者の選択に応じて、すべての個人データを削除しもしくは管理者に返還し、既存の複製を破棄する。ただし、連合法または加盟国法が個人データの保存を義務付ける場合はこの限りではない。

期限。管理者は、返還または削除の選択を行使するために合理的な期間を有するものとし、その期間は役務提供の終了から起算して暦日30日を下回ってはならない。当該期間の満了時に管理者からの指示がない場合、処理者は個人データを削除するものとする。

返還方法。 返還の場合、データは、本サービスのエクスポート機能の範囲内で、構造化された一般的に使用されている形式で管理者に返還されます。

削除。 削除は、関連する再委託処理者を含め、合理的な期間内に行われ、既存のすべての複製を対象とします。ただし、法的な保存義務、および所定のローテーションに従って自動的に消去されるバックアップについてはこの限りではありません。

証明。 管理者の要求に応じ、処理者は個人データの実際の削除を書面により証明する。

15. 責任、保証及び当事者間の分担

責任の原則。各当事者は、GDPR第82条に従い、自らに特に課されたGDPR上の義務を遵守しなかった場合、または処理管理者の適法な指示の範囲外で、もしくはこれに反して行動した場合、処理により生じた損害について責任を負います。

処理者の責任。処理者は、本契約に基づく自己の義務違反、またはGDPRの意味における処理者として自らに特に課される義務の違反に起因する処理により生じた損害についてのみ責任を負うものとします。

処理管理者の責任。処理管理者は、処理の適法性、データ主体への情報提供、法的根拠、データの最小化、およびエージェントに提供される顧客コンテンツの適法性に関する義務など、処理管理者自身の義務違反に起因する、データ主体および監督機関を含む第三者からのあらゆる請求、訴訟または要求について、処理受託者を補償するものとします。

責任の制限。販売一般条件に定める責任の制限および免責は、適用法令が認める範囲において、かつデータ主体が被った損害の賠償に関するGDPRの強行規定を留保して、本契約に適用されます。

16. 契約の期間および解除

期間。 本契約は、顧客による承諾の日に効力を生じ、処理者が管理者のために個人データを取り扱うサービス契約の全期間にわたって効力を有します。

付随的性質。本契約は、サービス契約に付随するものです。本契約は、取扱いの終了時におけるデータの取扱いに関する規定、および性質上本契約の終了後も存続する義務(特に秘密保持義務)を害することなく、サービス契約の終了時に自動的に終了します。

一部の義務の存続。 秘密保持義務、データの削除もしくは返還義務、および監督機関からの要請があった場合の協力義務は、その履行に必要な期間、本契約の終了後も存続するものとします。

17. その他の規定

文書の優先順位。 本契約の規定と、個人データの取扱いに関するその他の契約書類の規定との間に矛盾がある場合、本契約の規定が優先します。データ保護に関しない事項については、販売一般条件(CGV)および利用規約(CGU)が引き続き適用されます。

一部無効。本契約の一または複数の条項が無効、違法または適用不能と宣言された場合であっても、その他の条項はその効力および範囲を完全に維持するものとします。当事者は、無効となった条項を、同等の目的を追求する有効な条項に置き換えるよう努めるものとします。

変更。 処理者は、特に適用法令の変化、監督機関のガイドライン、または本サービスの変化を考慮するため、本契約を更新することがあります。管理者はこれについて適切な方法で通知を受けます。

準拠法および管轄。 本契約はフランス法および欧州連合法に準拠します。本契約の解釈または履行に関するあらゆる紛争は、販売条件に従って定められる裁判所の管轄に服するものとします。ただし、特にデータ主体を保護する強行的な管轄規定がある場合はこの限りではありません。

18. 附属書1 — 処理の説明

本附属書は、GDPR第28条3項が求める取扱いの要素を明記するものです。取扱いの実際の範囲は、顧客の利用方法および設定、ならびにエージェントに提出される顧客コンテンツによって異なります。

19. 附属書2 — 技術的および組織的セキュリティ対策

処理者は、GDPR第32条に従い、以下の技術的及び組織的措置を実施します。これらの措置は、セキュリティレベルを低下させることなく、変更されることがあります。

管理者は、自らの識別情報の管理および自己のシステムのセキュリティを含め、自らの領域に属するセキュリティ対策について引き続き責任を負うものとします。

20. 附属書3 — 承認済みの再委託処理者一覧

管理者は、本契約の締結日時点において、以下の再委託先の利用を承認します。本リストの変更は、事前に管理者に通知されるものとし、管理者は本契約に定める条件に従って異議を申し立てる権利を有します。

再委託先及び移転を規律する保証に関する追加情報については、管理者は処理者の本社宛てに郵便で照会することができます。専用の連絡先メールアドレスは、ドメインの開設後速やかに開設され、本欄に公表されます。