Zonosデータ処理契約におけるCustomerの義務は何ですか？

DPAの範囲内およびServicesの利用において、Customerは、Personal DataのProcessingにおけるControllerとしてのData Protection Laws上の義務、およびZonosに発行するProcessing指示に従うことに同意します。Customerは、ZonosがPersonal Dataを処理し、Principal Agreementおよび本DPAに従ってServicesを提供するために、Data Protection Lawsの下で必要なすべての同意および権利を通知し、取得した（または取得する）ことを表明します。

データ処理契約におけるZonosの義務は何ですか？

DPAの範囲内およびServicesの利用において、Zonosは、Personal DataのProcessingにおけるProcessorとしてすべての適用されるData Protection Lawsを遵守する責任を負い、Customerの文書化された指示以外の方法でCustomerのPersonal DataをProcessしないものとします。Zonosは、Personal Dataにアクセスする可能性のある従業員、代理人、または請負業者の信頼性を確保するための合理的な措置を講じ、各場合においてアクセスを、Principal Agreementの目的に厳密に必要な関連Personal Dataを知る/アクセスする必要のある個人に厳密に限定し、当該個人のContracted Processorに対する義務の文脈でApplicable Lawsを遵守し、すべての当該個人が秘密保持義務または職業上または法定上の秘密保持義務の対象となることを確保します。

Servicesの無効化または終了時にPersonal Dataはどうなりますか？

Servicesの無効化または終了時、すべてのPersonal Dataは削除されます。ただし、Zonosが適用法によりPersonal Dataの一部または全部を保持する必要がある場合、またはバックアップシステムにアーカイブしたPersonal Dataについては、この要件は適用されません。当該Personal DataはZonosが安全に隔離し、適用法により要求される場合を除き、さらなるProcessingから保護します。

ホーム法的文書 Zonosデータ処理契約

Zonosデータ処理契約

Q: Zonosデータ処理契約（DPA）とは何ですか？

本データ処理契約（「DPA」）は、iGlobal Exports, LLC, DBA Zonos（「Zonos」）とCustomer（「Customer」）との間のZonos利用規約およびプライバシーポリシー（「Principal Agreement」）への付属契約として機能します（両者を総称して「Parties」）。

本データ処理契約（「DPA」）は、iGlobal Exports, LLC, DBA Zonos（「Zonos」）とCustomer（「Customer」）との間のZonos 利用規約およびプライバシーポリシー（「Principal Agreement」）への付属契約として機能します（両者を総称して「Parties」）。

WHEREAS:

A. CustomerはData Controllerとして行動します。

B. Customerは、個人データの処理を伴う特定のServicesを、ProcessorとしてZonosに再委託することを希望します。

C. Partiesは、データ処理に関する現行の法的枠組みの要件、および自然人の個人データの処理ならびに当該データの自由な移動に関し、指令95/46/ECを廃止する2016年4月27日の欧州議会および理事会規則(EU) 2016/679（個人データ保護に関する一般データ保護規則）に準拠したDPAを実施することを求めています。

D. Partiesは、各自の権利および義務を定めたいと考えています。

本DPAには、本文末尾で参照される付属書および付録が含まれ、参照により組み込まれます。本DPAで定義されていないすべての大文字表記の用語は、Principal Agreementで定められた意味を有します。

当事者は以下のとおり合意します：

1. 定義

本DPAで別段定めがない限り、本DPAで使用される大文字表記の用語および表現は、以下の意味を有します。

「Contracted Processor」はSub-processorを意味します。
「Data Protection Laws」はEU Data Protection Lawsおよび、適用される範囲で、その他の国のデータ保護またはプライバシー法を意味します。
「Data Transfer」は以下を意味します。
1. CustomerからContracted ProcessorへのPersonal Dataの移転；または
2. Contracted ProcessorからSubcontracted ProcessorへのPersonal Dataのさらなる移転、またはContracted Processorの2つの拠点間の移転。いずれの場合も、当該移転がData Protection Laws（またはData Protection Lawsのデータ移転制限に対応するために締結されたデータ移転契約の条項）により禁止される場合；
「DPA」は本データ処理契約およびすべてのSchedulesを意味します。
「EEA」は欧州経済領域を意味します。
「EU Data Protection Laws」はEU指令95/46/EC（各Member Stateの国内法に移植され、GDPRおよびGDPRを実施または補完する法律により随時改正、置換、または代替されるもの）を意味します。
「GDPR」はEU一般データ保護規則2016/679を意味します。
「Personal Data」は、Principal Agreementに基づきまたは関連してContracted ProcessorがCustomerに代わってProcessするすべてのPersonal Dataを意味します。
「Services」は、Principal Agreementに基づき、かつPrincipal Agreementでより詳細に記述されるとおり、ZonosがCustomerに提供するすべての製品またはサービスを意味します。
「Sub-processor」は、DPAに関連してCustomerに代わってPersonal Dataを処理するために、Zonosにより、またはZonosに代わって任命されるすべてのProcessorを意味します。
「Controller」、「Data Subject」、「Member State」、「Personal Data」、「Personal Data Breach」および「Processing」の用語は、GDPRと同じ意味を有し、関連する用語も同様に解釈されます。

2. Customerの義務

法令の遵守。
1. DPAの範囲内およびServicesの利用において、Customerは、Personal DataのProcessingにおけるControllerとしてのData Protection Laws上の義務、およびZonosに発行するProcessing指示に従うことに同意します。
2. Customerは、ZonosがPersonal Dataを処理し、Principal Agreementおよび本DPAに従ってServicesを提供するために、Data Protection Lawsの下で必要なすべての同意および権利を通知し、取得した（または取得する）ことを表明します。
Controllerの指示。Partiesは、Principal Agreement（本DPAを含む）と、Principal Agreementに従ったZonos ServicesのCustomerの利用が、Personal DataのProcessingに関するCustomerからZonosへの完全かつ最終的な指示を構成することに合意します。指示の範囲外の追加指示は、CustomerとZonosの間の事前の書面合意を必要とします。

3. Zonosの義務

法令の遵守。DPAの範囲内およびServicesの利用において、Zonosは以下を行います。
1. Personal DataのProcessingにおけるProcessorとして、すべての適用されるData Protection Lawsを遵守する責任を負います。
2. Customerの文書化された指示以外の方法でCustomerのPersonal DataをProcessしません。
Zonos担当者。Zonosは、Personal Dataにアクセスする可能性のある従業員、代理人、または請負業者の信頼性を確保するための合理的な措置を講じ、各場合においてアクセスを、Principal Agreementの目的に厳密に必要な関連Personal Dataを知る/アクセスする必要のある個人に厳密に限定し、当該個人のContracted Processorに対する義務の文脈でApplicable Lawsを遵守し、すべての当該個人が秘密保持義務または職業上または法定上の秘密保持義務の対象となることを確保します。
セキュリティ。
1. 技術の現状、実施コスト、Processingの性質、範囲、文脈、目的、ならびに自然人の権利と自由に対するリスクの可能性と重大性を考慮し、ZonosはPersonal Dataに関して、当該リスクに見合うレベルのセキュリティを確保するための適切な技術的および組織的措置を実施します。適切な場合、GDPR第32条(1)で言及される措置を含みます。
2. 適切なセキュリティレベルの評価において、Zonosは、特にPersonal Data Breachから生じるProcessingのリスクを考慮します。
サブ処理。Customerにより要求または承認されない限り、ZonosはSub-processorを任命（またはPersonal Dataを開示）しません。
Data Subjectの権利。
1. Processingの性質を考慮し、Zonosは、可能な範囲で、Zonosが合理的に理解するData Protection Lawsの下でのZonosの義務の履行のために、適切な技術的および組織的措置を実施することによりCustomerを支援します。
2. Zonosは以下に合意します。
  1. Personal Dataに関してData Protection Lawの下でData Subjectからリクエストを受け取った場合、Customerに速やかに通知すること。
  2. Customerの文書化された指示に基づく場合、またはZonosが従うApplicable Lawsにより要求される場合を除き、当該リクエストに応答しないこと。この場合、ZonosはApplicable Lawsで許可される範囲で、Contracted Processorがリクエストに応答する前にCustomerに当該法的要件を通知します。
Personal Data Breach。
1. Zonosは、Personal Dataに影響を与えるPersonal Data Breachを認識した時点で、不当な遅延なくCustomerに通知し、CustomerがData Protection Lawsの下でPersonal Data Breachを報告またはData Subjectsに通知する義務を果たすのに十分な情報を提供します。
2. ZonosはCustomerと協力し、Customerが指示する合理的な商業上の措置を講じ、各Personal Data Breachの調査、軽減、および修復を支援します。
データ保護影響評価及び事前協議。Zonosは、CustomerがGDPR第35条または第36条、またはその他のData Protection Lawの同等条項により合理的に必要と判断するデータ保護影響評価および監督当局またはその他の管轄データプライバシー当局との事前協議について、Contracted ProcessorsによるPersonal DataのProcessingに関連し、Processingの性質およびContracted Processorsが利用可能な情報を考慮して、合理的な支援を提供します。
データの返却又は削除。Servicesの無効化または終了時、すべてのPersonal Dataは削除されます。ただし、Zonosが適用法によりPersonal Dataの一部または全部を保持する必要がある場合、またはバックアップシステムにアーカイブしたPersonal Dataについては、この要件は適用されません。当該Personal DataはZonosが安全に隔離し、適用法により要求される場合を除き、さらなるProcessingから保護します。
セキュリティレポート。Zonosはセキュリティ基準の記録を維持します。Customerの書面によるリクエストに応じて、ZonosはCustomerが（合理的に）本DPAへのZonosのコンプライアンスを確認するために必要と判断するすべての合理的な情報リクエスト（情報セキュリティおよび監査アンケートへの回答を含む）に（秘密保持の下で）応答します。ただし、Customerはこの権利を年1回を超えて行使しません。
Data Transfer。Customerは、Principal Agreementに従ってServicesを提供するために必要な範囲で、ZonosがグローバルにPersonal Dataにアクセスし処理すること、特にPersonal Dataが米国およびZonosのSub-processorsが事業を行うその他の管轄区域に移転され処理されることを承認し同意します。Zonosは、EU承認の個人データ移転標準契約条項へのコンプライアンスを含め、Data Protection Lawsの要件に従って当該移転が行われることを確保します。
California Personal Informationに関する追加規定。
1. 本条第11条は、California Personal Informationに関してのみ適用されます。
2. Customerの指示に従ってCalifornia Personal Informationを処理する際、Partiesは、Customerが事業者であり、ZonosがCCPAの目的上サービス提供者であることを承認し同意します。
3. Partiesは、ZonosがPrincipal Agreementの下でのServicesの履行という目的のためにのみservice providerとしてCalifornia Personal Informationを処理することに合意します。ZonosはZonos Privacy Policyに従い、サービスデータを自社の正当な事業目的に使用します。Partiesは、Zonosが以下を行わないことに合意します。
  1. California Personal Informationを販売すること（CCPAで定義されるとおり）；
  2. 事業目的またはCCPAにより別途許可される場合を除き、商業目的でCalifornia Personal Informationを保持、使用、または開示すること；または
  3. CustomerとZonosの間の直接の事業関係外でCalifornia Personal Informationを保持、使用、または開示すること。
4. Zonosは、第11条(c)に定める制限を理解し遵守することを証明します。

4. 一般条項

秘密保持。各Partyは、本DPAおよび本DPAに関連して相手方について受け取る情報（「Confidential Information」）を秘密に保持し、相手方の事前の書面同意なしに当該Confidential Informationを使用または開示してはなりません。ただし以下の場合を除きます。
1. 法令により開示が要求される場合；
2. 関連情報が既に公知である場合。
通知。本DPAに基づくすべての通知および通信は書面で行われ、本DPAの見出しに記載された住所またはメールアドレスに個人的に配達、郵送、またはメールで送信されます。Partiesが住所変更を通知した場合は、当該他の住所に送信されます。

5. 準拠法および管轄

本DPAは、Data Protection Lawsにより別途要求されない限り、Principal Agreementの法律および管轄条項に準拠します。\

付属書A. Zonos Sub-processorsの一覧

リクエストに応じて提供

付属書B. セキュリティ対策