本データ保護補足条項（すべての付録を含む）（以下「DPA」といいます）は、Stellar Cyber​​ Inc.（以下「Stellar Cyber​​」といいます）とクライアントとの間のエンドユーザー契約および該当する注文書（以下「本契約」といいます）から構成される契約の一部を構成します。両当事者は、本DPAが、クライアントによる成果物の使用に関連するクライアントデータの処理およびセキュリティに関する両当事者の義務を規定するものであることに同意します。

1 概要

本データ処理契約は、Stellar Cyber​​（Stellar Cyber​​のサブプロセッサーを含む）が管理する環境におけるクライアントデータの処理にのみ適用されます。これには、成果物によってStellar Cyber​​に送信されるクライアントデータが含まれますが、クライアントの施設内またはクライアントが選択した第三者の運用環境に残るデータは含まれません。本データ処理契約は、契約の発効日に発効し、クライアントデータの処理およびセキュリティに関して以前に適用されていたすべての条項に取って代わります。本データ処理契約で使用されているが定義されていない大文字で始まる用語は、契約で定義されている意味を持ちます。

2. 定義

2.1. 「適用されるデータ保護法」とはクライアントデータ（これに含まれる個人データを含む）の処理に適用される、国、連邦、欧州連合、州、地方、またはその他のプライバシー、データ保護、またはデータセキュリティに関する法律または規制。

2.2. 「クライアントデータ」は、本契約で定義されていない場合、 クライアントのエンドポイントから取り込まれたデータ、またはクライアントが成果物を使用することにより、クライアント自身またはクライアントに代わってStellar Cyber​​に提供されたデータ（システムデータを除く）。

2.3. 「顧客個人データ」とは クライアントデータに含まれる個人データ。これには、適用されるデータ保護法で定義されている特別なカテゴリの個人データまたは機密データが含まれます。

2.4. 「EU GDPR」とは 2016 年 4 月 27 日の欧州議会及び理事会規則 (EU) 2016/679 は、個人データの処理に関する自然人の保護及び当該データの自由な移動に関するものであり、指令 95/46/EC を廃止するものである。

2.5. 「セキュリティ侵害」とは Stellar Cyber​​のセキュリティ侵害により、クライアントデータが偶発的または違法に破壊、紛失、改ざん、不正開示、または不正アクセスされること。

2.6. 「サブプロセッサ」とは 本DPAに基づき、成果物を提供するためにクライアントデータを処理する別の処理者として承認された第三者。

2.7 「システムデータ」とは 成果物の運用、パフォーマンス、セキュリティ、または使用によって生成される、またはそれらに関連する技術的、運用的、診断的、使用状況、テレメトリ、パフォーマンス、構成、脅威インテリジェンス、および類似のデータ。ただし、クライアントの個人データは除く。

2.8. 本DPAで使用される「個人データ」、「データ主体」、「管理者」、「処理者」という用語は、適用されるデータ保護法によって定義される意味を持ち、そのような定義や法律がない場合は、EU GDPRによって定義される意味を持つ。

2.9. 適用されるデータ保護法で要求されるとおり、「個人データ」、「データ主体」、「管理者」、「処理者」という用語には、それぞれ「個人情報」、「消費者」、「事業者」、「サービスプロバイダー」が含まれます。

3．法令遵守および管轄区域固有の条件

3.1. 当事者の役割 Stellar Cyber​​はデータ処理者であり、クライアントは該当する場合、クライアントデータの管理者または処理者です。

3.2. 法令遵守 各当事者は、適用されるデータ保護法に基づき、顧客データの処理に関する義務を遵守するものとします。

3.3. 管轄区域固有の条項 顧客データの処理が付録3（管轄区域別データ保護法）に記載されている適用データ保護法の対象となる場合、付録3の該当条項も適用されます。本データ処理契約の一般条項と付録3との間に矛盾が生じた場合は、付録3が優先されます。

4. 顧客データの処理

4.1. 処理の概要 顧客データの処理に関する主題および詳細は、付録1（顧客データの処理の詳細）に記載されています。

4.2. ステラ社のサイバーセキュリティ義務。 Stellar Cyber​​ は、(a) 本契約 (本 DPA に規定されているもの、および本 DPA の付録 1 に記載されているものを含む) および適用法に従って成果物を提供する以外の目的でクライアント データを処理しないこと (「許可された目的」)、および (b) Stellar Cyber​​ の意見において、適用データ保護法が Stellar Cyber​​ による許可された目的の遵守を禁止している場合、または Stellar Cyber​​ がその他の理由で許可された目的を遵守できない場合は、直ちにクライアントに通知するものとします。

4.3. 顧客への指示と義務 クライアントはここに、(a) Stellar Cyber​​ に対して、許可された目的のためにクライアント データを処理するよう指示します。(b) クライアントは、関連するすべての時点において、各クライアント データ管理者に代わって、本契約に定める指示を与える権限を正当かつ有効に保持していることを保証および表明します。(c) クライアント データ管理者は、本契約に基づき Stellar Cyber​​ にクライアント データを提供するために、適用されるデータ保護法によって要求されるすべての通知を行い、すべての同意を得ていることを保証および表明します。

5。 SECURITY

5.1. セキュリティ対策。 Stellar Cyber​​は、付録2（セキュリティ対策）（以下「セキュリティ対策」という）に定める技術的および組織的対策を実施し、維持するものとします。Stellar Cyber​​は、成果物のセキュリティまたは本契約に基づくStellar Cyber​​の義務の安全性を低下させない限り、セキュリティ対策を随時更新することができます。

5.2. クライアントのセキュリティに関する責任 Stellar Cyber​​ が第 5.1 項 (セキュリティ対策) および本契約の他の箇所で負う義務を損なうことなく、クライアントは成果物の使用について責任を負い、これには以下が含まれます。(a) クライアントデータに対するリスクに見合ったレベルのセキュリティを確保するために成果物を使用すること。(b) クライアントが成果物にアクセスするために使用する認証資格情報、システム、およびデバイスを保護すること。(c) クライアントデータを適切にバックアップすること。

5.3. クライアントのセキュリティ評価 クライアントは、Stellar Cyber​​が実装および維持する成果物およびセキュリティ対策が、クライアントデータに対するリスクに見合ったレベルのセキュリティを提供することに同意します。

5.4.守秘義務。 Stellar Cyber​​は、顧客データの処理に携わる従業員が、(a)顧客からの指示または本データ処理契約に記載されている方法に従ってのみ当該データを処理すること、および(b)業務終了後も当該データの機密性とセキュリティを維持する義務を負うことを保証するものとします。Stellar Cyber​​は、適用されるデータ保護法および業界標準に従い、従業員に対し、定期的かつ義務的なデータプライバシーおよびセキュリティに関する研修と啓発活動を実施するものとします。

5.5. セキュリティ侵害。

5.5.1. 通知。 Stellar Cyber​​は、セキュリティ侵害を認識した場合、速やかに、いかなる場合でも72時間以内にクライアントに通知し、損害を最小限に抑え、クライアントのデータを保護するために速やかに合理的な措置を講じるものとします。

5.5.2. 通知の詳細。 Stellar Cyber​​ によるセキュリティ侵害の通知には、以下の事項が記載されます。(a) 影響を受けたクライアントのリソースを含む、セキュリティ侵害の性質。(b) セキュリティ侵害に対処し、潜在的なリスクを軽減するために Stellar Cyber​​ が講じた、または講じる予定の措置。(c) セキュリティ侵害に対処するためにクライアントが講じるべき措置 (ある場合)。(d) 詳細情報を入手できる連絡先の詳細。これらの情報をすべて同時に提供できない場合は、Stellar Cyber​​ の最初の通知にはその時点で入手可能な情報が含まれ、追加情報は入手可能になり次第、遅滞なく提供されます。

5.5.3. 過失または責任の否認。 本条項に基づくStellar Cyber​​によるセキュリティ侵害の通知または対応は、Stellar Cyber​​がセキュリティ侵害に関して何らかの過失または責任を認めたものとは解釈されないものとします。

6. 後処理

6.1. 個別同意。 クライアントは、本データ処理契約の発効日時点で第6.2項（サブプロセッサーの詳細）に記載されている事業体をサブプロセッサーとして起用することを、Stellar Cyber​​に明示的に承認します。さらに、第6.3項（新規サブプロセッサーの起用）を損なうことなく、クライアントは、その他の第三者（それぞれ「新規サブプロセッサー」）をサブプロセッサーとして起用することを一般的に承認します。

6.2. サブプロセッサの詳細 サブプロセッサに関する情報（機能や設置場所を含む）は、第6.3項に記載されています（Stellar Cyber​​社は、本DPAに従って随時更新する場合があります）。

6.3. 新しいサブプロセッサの導入。 本DPAの有効期間中に新たなサブプロセッサーが起用される場合、Stellar Cyber​​は、新たなサブプロセッサーが行う処理の詳細を含め、新たなサブプロセッサーの起用について少なくとも30日前に書面でクライアントに通知するものとします。クライアントが、当該通知の受領後30日以内に、提案されたサブプロセッサーの任命に対する異議を書面でStellar Cyber​​に通知し、さらに、当該新たなサブプロセッサーがクライアントのデータを適切に保護できないことを理由とする、当該異議に対する商業的に合理的な正当化理由を提示した場合、次のようになります。(a) Stellar Cyber​​は、クライアントと誠意をもって協力し、新たなサブプロセッサーに関するクライアントの異議に対処するものとします。(b) クライアントの懸念が、Stellar Cyber​​がクライアントからの通知を受領してから30日以内に解決できない場合、本契約のいかなる規定にもかかわらず、クライアントは、Stellar Cyber​​に即時効力のある書面による通知を行うことにより、新たなサブプロセッサーを使用せずにStellar Cyber​​が提供できない部分のみについて注文を解除することができます。

6.4. サブプロセッサーのデューデリジェンス要件。 Stellar Cyber​​は、各サブプロセッサーに関して、以下の事項を実施するものとします。(a) サブプロセッサーがクライアントデータを初めて処理する前に、サブプロセッサーが契約（本DPAを含む）に従って委託された義務を履行できることを確認するために、適切なデューデリジェンスを実施すること。(b) サブプロセッサーが契約（本DPAを含む）に従って委託された義務を履行できる状態を維持していることを確認するために、定期的にサブプロセッサーを再評価すること。(c) サブプロセッサーによるクライアントデータの処理が、本DPAに規定されているものと同等以上のクライアントデータ保護に関する条項を含む書面による契約によって規定されていること、および本DPAに規定されている適用可能なデータ保護義務がサブプロセッサーに課せられていること。(d) サブプロセッサーに委託されたすべての義務、およびサブプロセッサーのすべての行為と不作為について、引き続き全責任を負うこと。

7. 協力

7.1. 個人の権利 処理の性質を考慮し、ステラサイバーは、クライアントが合理的に理解するところの、適用されるデータ保護法に基づく個人の権利行使の要求に対応するというクライアントの義務を履行するために、可能な限り適切な技術的および組織的措置を実施することにより、クライアントを支援するものとします。

7.2. 個別のご要望 Stellar Cyber​​ は、次の事項を行うものとします。(a) Stellar Cyber​​ が、適用されるデータ保護法に基づき、クライアント データに関して個人から要求を受けた場合、その要求がクライアントに関連するものであると認識した範囲で、速やかにクライアントに通知するものとします。(b) Stellar Cyber​​ は、クライアントの文書による指示がある場合、または適用法で義務付けられている場合を除き、その要求に応答しないものとします。この場合、Stellar Cyber​​ は、適用法で認められる範囲で、要求に応答する前に、その法的要件をクライアントに通知するものとします。

7.3. 影響評価と協議 適用されるデータ保護法によってステラサイバーが要求される範囲において、ステラサイバーは（処理の性質およびステラサイバーが入手可能な情報を考慮して）第7.4項（監査および記録）に従って情報を提供することにより、クライアントがデータ保護規制当局と行う影響評価または協議に関して合理的な支援を提供するものとします。

7.4. 監査および記録。 Stellar Cyber​​ は、以下の手順に従って、適用されるデータ保護法および本 DPA への準拠を証明するために必要な情報をクライアントの要求に応じて提供するものとします。(a) Stellar Cyber​​ は、セキュリティ対策の有効性を定期的にテスト、評価、および検証するために Stellar Cyber​​ が取得した最新の認証および/または概要監査レポートをクライアントに提供します。(b) Stellar Cyber​​ は、クライアントがセキュリティ対策をよりよく理解できるように、セキュリティ対策に関する入手可能な追加情報を提供することにより、クライアントと合理的に協力します。(c) クライアントが、自身または他の管理者の監査義務または管轄監督当局の要求に従うためにさらに情報が必要な場合、クライアントは Stellar Cyber​​ に通知し、両当事者は必要な情報の内容と提供について誠実に協議するものとします。

8. データ処理場所

8.1. データホスティング場所。 Stellar Cyber​​は、Stellar Cyber​​が提供するリージョン、またはクライアントが注文時に選択したリージョン、もしくはクライアントが納品物を通じて別途設定したリージョン（「ホスティング場所」）にのみ、クライアントの保存データをホストします。

8.2. データ処理場所 本データ処理契約に規定された保護措置を考慮し、クライアントデータは、米国またはStellar Cyber​​もしくはその下請け業者が事業を展開するその他の国で処理される場合があります。

9. データ削除

9.1. 契約終了時の削除。 Stellar Cyber​​は、適用法で保管が義務付けられている場合を除き、クライアントデータの処理を伴う成果物の提供の終了日（「終了日」）から60日以内に、いかなる場合でも速やかにクライアントデータのすべてのコピーを削除するものとします。

9.2. 削除の証明。 Stellar Cyber​​は、クライアントから当該証明書の受領を求める書面による要請を受けてから10日以内に、本条項を遵守したことを示す書面による証明書をクライアントに提供するものとする。

10. 一般条件

10.1. 解釈。 本DPAの対象事項に関して、本DPAの規定と当事者間のその他の契約（本契約を含む。また、（当事者を代表して署名された書面で明示的に別段の合意がなされた場合を除き）本DPAの日付以降に締結された、または締結されたとみなされる契約を含む）との間に矛盾が生じた場合、本DPAの規定が優先するものとする。

10.2. 責任。 本データ処理契約の不遵守に関連する一切の責任は、本契約に規定されている責任制限条項に従うものとします。

10.3. 無効または執行不能な条項。 本データ処理契約のいずれかの条項が無効または執行不能となった場合でも、本データ処理契約の残りの条項は有効かつ効力を有するものとします。無効または執行不能となった条項は、(a) 当事者の意図を可能な限り維持しつつ、その有効性および執行可能性を確保するために必要な修正を行うか、それが不可能な場合は、(b) 無効または執行不能となった部分が当初から存在しなかったものとして解釈するものとします。

以上の証として、本契約の当事者は、本契約の発効日をもって、正当に権限を与えられた役員または代表者により、このステラサイバーデータ保護補足契約を締結させた。

付録1:

顧客データの処理に関する詳細

処理対象と処理期間

Stellar Cyber​​は、本契約に基づき成果物を提供するためだけに、顧客データ（個人データを含む）を処理します。これには、顧客が特定の成果物に対して購入した保持期間も含まれます。処理期間は、本契約の満了または終了までとし、その後、Stellar Cyber​​は第9条（データ削除）に従って顧客データを削除します。

処理の性質と目的

Stellar Cyber​​は、許可された目的のためにのみクライアントデータを処理します。

データのカテゴリ

Stellar Cyber​​が処理するクライアントデータの具体的な性質は、クライアントが購入する成果物によって異なりますが、概ね以下のカテゴリのデータに該当します。

成果物の作成を目的としてクライアントからStellar Cyber​​に提供されるAPIを通じて取得された、アプリケーションからのログデータおよび非構造化データ。

エンドポイントおよびエンドポイントログデータ（例：デバイス名、OS情報、ユーザー名、IPアドレス、プロセス名、アプリケーション名、ログおよびイベント）。

ネットワークおよびネットワーク使用状況データ（例：IPパケット内のIPアドレス、URL、証明書情報、ユーザー名、メールアドレス、パケットサイズを含む5タプル）。

ファイルデータ（ファイル名、ファイルハッシュ、ファイルタイプ、ファイルサイズなど）

ユーザーデータ（例：ユーザー名、メールアドレス）

特別なデータカテゴリ

成果物は、特別な種類の個人データを処理することを意図したものではなく、また、成果物をクライアントに提供するために特別な種類の個人データは必要ありません。ただし、クライアントがStellar Cyber​​に送信するデータを管理している場合、または特定のサービス契約（例えば、基礎となるデータの分析を必要とするフォレンジック調査）においては、Stellar Cyber​​はクライアントに代わって特別な種類の個人データを処理する場合があります。転送される特別な種類の機密性の高い個人データの性質および範囲は、処理が行われるまで不明な場合がありますが、人種または民族的出自、政治的意見、宗教的または哲学的信念、労働組合への加入、遺伝子データ、生体認証データ、健康に関するデータ、または自然人の性生活または性的指向に関するデータを示す個人データが含まれる可能性があります。

データ主体

データ主体には、クライアントが成果物を通じて（またはクライアントの指示により）Stellar Cyber​​にデータを提供する個人が含まれ、クライアントの従業員、代理人、アドバイザー、請負業者、コンサルタント、クライアントのチャネルパートナーおよびベンダーの連絡担当者、顧客、見込み客、ビジネスパートナー、および成果物がインストールされているクライアントのエンドポイントまたは成果物のその他の承認済みユーザーが含まれる場合があります。

付録2:

セキュリティ対策

Stellar Cyber​​は、クライアントデータの機密性、完全性、可用性を保護するために設計された情報セキュリティプログラム（以下「Stellar Cyber​​情報セキュリティプログラム」）を維持しています。Stellar Cyber​​情報セキュリティプログラムは組織全体で実施され、Stellar Cyber​​が適用されるデータ保護法を遵守することを保証するように設計されています。発効日以降、Stellar Cyber​​は、この付録2に記載されているセキュリティ対策を実施および維持します。これには、データの継続的な機密性、完全性、可用性を確保し、データの不正アクセス、使用、変更、または開示を防止するための以下の対策が含まれますが、これらに限定されません。

付録3:

管轄区域固有のデータ保護法

本付録3の各モジュールに記載されている条項は、該当する法律が顧客データの処理に適用される場合にのみ適用されます。

モジュール1：欧州データ保護法

1. 追加の定義

1.1. 「適切な国」とは: (a) EU GDPR の対象となるデータについては、EEA 内の国、または EU GDPR の第 45 条 (1) に基づく欧州委員会による十分性決定の対象となっている国または地域。 (b) UK GDPR の対象となるデータについては、英国、または UK GDPR の第 45 条 (1) および 2018 年データ保護法第 17A 条に基づく十分性規制の対象となっている国または地域。および/または (c) スイス FDPA の対象となるデータについては、スイス、または (i) スイス連邦データ保護情報委員会が公表する、法律が十分なレベルの保護を保証する国のリストに含まれている国または地域、または (ii) スイス FDPA に基づくスイス連邦評議会による十分性決定の対象となっている国または地域。

1.2. 「代替移転メカニズム」とは SCC以外のメカニズムで、欧州データ保護法に従って個人データを第三国へ合法的に移転することを可能にするもの（例えば、EU-米国データプライバシーフレームワーク（EU-米国データプライバシーフレームワークの英国拡張版およびスイス-米国データプライバシーフレームワークを含む）、または参加主体が適切なレベルの保護を提供することを保証すると認められているその他のフレームワーク）。

1.3. 「欧州データ保護法」とは該当する場合：（a）EU GDPR、（b）英国 GDPR、または（c）スイス FDPA。

1.4. 「欧州法」とは該当する場合：(a) EUまたはEU加盟国の法律（EU GDPRが顧客データの処理に適用される場合）、(b) 英国または英国の一部地域の法律（英国GDPRが顧客データの処理に適用される場合）、または(c) スイスの法律（スイスFDPAが顧客データの処理に適用される場合）。

1.5. 「制限付き譲渡」とは 顧客の個人データを、十分な保護水準を満たしていない国へ、または当該国において移転または処理すること。

1.6. 「SCCs」とは 該当する場合は、SCC（コントローラ-プロセッサ間）またはSCC（プロセッサ-プロセッサ間）を使用します。

1.7. 「SCC（コントローラ・プロセッサ間）」とは 本DPAの付録4に記載されている、モジュール2（管理者から処理者へ）に基づいて運用されるEU標準契約条項。

1.8. 「SCC（プロセッサ間）」とは 本DPAの付録4に記載されている、モジュール3（処理者間）に基づいて運用されるEU標準契約条項。

1.9. 「スイスFDPA」とは 1992年6月19日制定のスイス連邦データ保護法（改正または置き換えを含む）。

1.10. 「英国GDPR」とは 改正され、2018年英国欧州連合（離脱）法に基づき英国法に組み込まれたEU一般データ保護規則（GDPR）、および同法に基づいて制定された適用可能な二次法令。

1.11. 「UK IDTA」とは 本DPAの付録6に記載されている、英国情報コミッショナーが発行したEU委員会標準契約条項の国際データ転送補足条項。

2. 遵守状況の通知

Stellar Cyber​​ は、DPA の第 4.3 項 (クライアントの指示および義務) に基づく義務、または本契約に基づくいずれかの当事者のその他の権利または義務を損なうことなく、Stellar Cyber​​ の意見により、欧州法によって通知が禁止されていない限り、以下のいずれかに該当する場合、直ちにクライアントに通知します。(a) 欧州法により Stellar Cyber​​ が指示に従うことが禁止されている場合、(b) 指示が欧州データ保護法に準拠していない場合、または (c) Stellar Cyber​​ がその他の理由で指示に従うことができない場合。クライアントが処理者である場合、クライアントは、本項に基づき Stellar Cyber​​ から提供された通知を直ちに該当する管理者に転送します。

3.データ転送

3.1. 制限付き移転；主要なメカニズム。 顧客の個人データの処理が制限付き移転に該当する場合、Stellar Cyber​​は、まず代替移転メカニズムに依拠して、当該制限付き移転の法的根拠を確立します。ただし、当該メカニズムがStellar Cyber​​によって採用されており、かつ当該制限付き移転に対して利用可能かつ有効である場合に限ります。Stellar Cyber​​は、顧客からの要請に応じて、依拠する代替移転メカニズムに関する情報を提供します。

3.2. フォールバックとしてのSCC。 制限付きデータ転送に関して、代替転送メカニズムが利用、採用、または有効でない場合（Stellar Cyber​​が依拠していた代替転送メカニズムが無効または停止された場合、あるいはその他の理由で制限付きデータ転送の法的根拠を提供しなくなった場合を含む）、SCCは（クライアントが管理者および／または処理者であるかどうかに応じて）Stellar Cyber​​とクライアント間の当該制​​限付きデータ転送に適用されます。英国GDPRが制限付きデータ転送に適用される場合、SCCは付録6に記載されている英国IDTAによって補足および修正されます。スイスFDPAが制限付きデータ転送に適用される場合、SCCは付録4の末尾に記載されているスイスの修正によって補足されます。

3.3. 制限付き譲渡に関する情報 Stellar Cyber​​は、DPAの第7.4項（監査および記録）に記載されている制限付きデータ移転に関連する情報をクライアントに提供します。

3.4. SCCsの監査。 本モジュール1のセクション3.2に記載されているとおりSCCが適用される場合、Stellar Cyber​​は、クライアントまたはクライアントが任命した独立監査人が、当該SCCに記載されているとおりに監査を実施すること、および監査中に当該SCCで要求されるすべての情報を、DPAのセクション7.4（監査および記録）に従って提供することを許可します。

3.5. SCCの変更なし。 本契約（この付録3を含む）のいかなる条項も、標準契約条項（SCC）を変更または矛盾させることを意図するものではなく、また、欧州データ保護法に基づくデータ主体の基本的権利または自由を損なうものでもありません。

3.6. SCCの優先順位。 SCCが適用される範囲において、SCCと本契約の残りの部分（本付録を含む）との間に矛盾または不一致がある場合は、SCCが優先するものとします。

モジュール2：米国各州のデータ保護法

1. 追加の定義

1.1. 「CCPA」とは 2018年カリフォルニア州消費者プライバシー法（改正後）、2020年カリフォルニア州プライバシー権法による改正を含む、およびすべての施行規則。

1.2. 「CPA」とは コロラド州プライバシー法（コロラド州改正法典第6-1-1301条以下）およびすべての施行規則。

1.3. 「CTDPA」とは コネチカット州データプライバシー法およびすべての施行規則。

1.4. 「UCPA」とは ユタ州消費者プライバシー法、ユタ州法典第13-61-101条以下、およびすべての施行規則。

1.5. 「VCDPA」とは バージニア州消費者データ保護法（バージニア州法典第59.1-575条以下）およびすべての施行規則。

1.6. 「米国データ保護法」とは該当する場合、CCPA、CPA、CTDPA、UCPA、VCDPA、および米国で随時施行されるデータ保護、個人データの処理、プライバシー、および/または電子通信に関連するその他すべての法律および規制。

2. 禁止事項

DPAの第4.3項（クライアントの指示および義務）に基づくStellar Cyber​​の義務を損なうことなく、CCPAに従ってクライアントデータを処理するにあたり、Stellar Cyber​​は、米国データ保護法で許可されている場合を除き、次の行為を行いません。(a) クライアントデータを販売または共有すること。(b) 契約およびDPAで指定された目的以外の目的でクライアントデータを保持、使用、または開示すること。(c) 契約およびDPAで指定された事業目的以外の商業目的（別の事業のサービス提供を含む）でクライアントデータを保持、使用、または開示すること。(d) Stellar Cyber​​とクライアント間の直接的な事業関係外でクライアントデータを保持、使用、または開示すること。(e) Stellar Cyber​​が第三者から、または第三者に代わって受け取る、または消費者とのやり取りから収集するその他の個人情報とクライアントデータを結合または更新すること。

3. 遵守状況の通知

DPAの第4.3項（クライアントの指示および義務）に基づくStellar Cyber​​の義務、または本契約に基づくいずれかの当事者のその他の権利または義務を損なうことなく、Stellar Cyber​​は、適用法によりそのような通知が禁止されていない限り、Stellar Cyber​​が米国データ保護法に基づく義務を履行できないと判断した場合、クライアントに通知します。

4. 匿名化データ

クライアントデータに匿名化データが含まれている場合、Stellar Cyber​​は、(a) 情報が消費者と関連付けられないように合理的な措置を講じ、(b) 匿名化データを匿名化された形式でのみ処理し、情報の再識別を試みないことを公に約束し、(c) 匿名化データの受領者に対し、上記の要件および米国データ保護法を遵守することを契約で義務付けます。

5. クライアントの救済措置

Stellar Cyber​​は、クライアントに対し、合理的な通知を行った上で、クライアントデータのあらゆる不正使用を停止および是正するための合理的かつ適切な措置を講じる権利を付与します。

付録4:

EU標準契約条項

セクションI

第1条

目的と範囲

これらの標準契約条項の目的は、個人データの第三国への移転に関して、個人データの処理に関する自然人の保護および当該データの自由な移動に関する2016年679月27日の欧州議会および理事会の規則 (EU) 2016/XNUMX (一般データ保護規則) の要件に準拠することを保証することです。

当事者：（i）付属書IAに記載されている個人データを移転する自然人または法人、公的機関、代理店またはその他の団体（「エンティティ」）（それぞれ「データ輸出者」）、および（ii）付属書IAに記載されている、データ輸出者から直接または本条項の当事者である他のエンティティを介して間接的に個人データを受け取る第三国のエンティティ（それぞれ「データ輸入者」）は、これらの標準契約条項（「条項」）に同意した。

これらの条項は、附属書 IB に規定されている個人データの転送に関して適用されます。

本条項で参照されている付属書を含む本条項の付録は、本条項の不可欠な部分を形成します。

第2条

本条項の効果と不変性

これらの条項は、規則（EU）2016/679の第46条(1)および第46条(2)(c)に従い、執行可能なデータ主体の権利および効果的な法的救済を含む適切な保護措置を規定するものであり、管理者から処理者および／または処理者から処理者へのデータ移転に関しては、規則（EU）2016/679の第28条(7)に従い、適切なモジュールを選択するか、付録に情報を追加または更新する場合を除き、変更されない標準契約条項を規定するものである。ただし、当事者は、これらの条項に規定された標準契約条項をより広範な契約に含めること、および／または他の条項または追加の保護措置を追加することを妨げるものではない。ただし、これらの条項と直接的または間接的に矛盾せず、データ主体の基本的権利または自由を侵害しないことを条件とする。

これらの条項は、規制 (EU) 2016/679 に基づいてデータ輸出者が課せられる義務を損なうものではありません。

第3条

第三者受益者

データ主体は、第三者受益者として、データ輸出者および／またはデータ輸入者に対して、以下の例外を除き、これらの条項を発動および執行することができます。(i) 条項 1、条項 2、条項 3、条項 6、条項 7。(ii) 条項 8 — モジュール 1: 条項 8.5(e) および条項 8.9(b)。モジュール 2: 条項 8.1(b)、8.9(a)、(c)、(d) および (e)。モジュール 3: 条項 8.1(a)、(c) および (d) および条項 8.9(a)、(c)、(d)、(e)、(f) および (g)。モジュール 4: 条項 8.1(b) および条項 8.3(b)。(iii) 条項 9 — モジュール 2: 条項 9(a)、(c)、(d) および (e)。モジュール 3: 条項 9(a)、(c)、(d) および (e)。(iv) 条項 12 — モジュール 1: 条項 12(a) および (d)。モジュール 2 および 3: 条項 12(a)、(d) および (f)。(v) 条項 13。(vi) 条項 15.1(c)、(d) および (e)。(vii) 条項 16(e)。(viii) 条項 18 — モジュール 1、2 および 3: 条項 18(a) および (b)。モジュール 4: 条項 18。

パラグラフ (a) は、規則 (EU) 2016/679 に基づくデータ主体の権利を侵害するものではありません。

第4条

解釈

本条項で規則 (EU) 2016/679 で定義されている用語が使用されている場合、それらの用語はその規則と同じ意味を有するものとします。

これらの条項は、規則 (EU) 2016/679 の規定に照らして解釈されるものとします。

これらの条項は、規則 (EU) 2016/679 に規定されている権利および義務に矛盾する方法で解釈されることはありません。

第5条

階層

本条項と、本条項が合意された時点、またはその後締結された時点で存在する両当事者間の関連協定の規定との間に矛盾がある場合には、本条項が優先するものとします。

第6条

転送の説明

転送の詳細、特に転送される個人データのカテゴリおよび転送の目的は、付属書 IB に規定されています。

第7条 ― 任意

ドッキング句

本条項の当事者ではない事業体は、データ輸出者またはデータ輸入者として、両当事者の同意を得て、付録に記入し、付録 IA に署名することにより、いつでも本条項に同意することができます。

付属書を完成させ、付属書 IA に署名すると、加入主体はこれらの条項の当事者となり、付属書 IA の指定に従ってデータ輸出者またはデータ輸入者の権利と義務を有するものとします。

加入主体は、当事者になる前の期間から本条項に基づいて生じる権利または義務を持たないものとします。

第II部 ― 当事者の義務

第8条

データ保護セーフガード

データ輸出者は、データ輸入者が適切な技術的および組織的手段の実施を通じて、本条項に基づく義務を果たすことができると判断するために合理的な努力を払ったことを保証します。

モジュール 1: コントローラーからコントローラーへの転送

8.1 目的の制限

データ輸入者は、附属書IBに定める移転の特定の目的のためにのみ個人データを処理するものとする。他の目的で個人データを処理することができるのは、(i) データ主体の事前の同意を得ている場合、(ii) 特定の行政、規制または司法手続きの文脈において法的請求の確立、行使または防御のために必要な場合、または (iii) データ主体または他の自然人の生命に関わる利益を保護するために必要な場合に限られる。

8.2透明性

データ主体が第10条に基づく権利を効果的に行使できるようにするため、データ輸入者は、直接またはデータ輸出者を通じて、データ主体に対し、その身元および連絡先、処理される個人データの種類、本条項の写しを入手する権利、ならびに個人データを転送する意図がある場合は、第8.7条に基づく転送先の受領者または受領者の種類、転送の目的およびその根拠を通知しなければならない。ただし、データ主体が既に当該情報を保有している場合、または当該情報の提供が不可能であるか、もしくは過大な労力を要する場合には、この義務は適用されない。この場合、データ輸入者は、可能な限り当該情報を公開しなければならない。両当事者は、要請に応じて、企業秘密その他の機密情報を保護するための適切な編集を施した上で、データ主体に対し本条項の写しを無償で提供しなければならない。これらの条項は、規則（EU）2016/679の第13条および第14条に基づくデータ輸出者の義務を損なうものではありません。

8.3 精度とデータ最小化

各締約国は、個人データが正確であり、必要に応じて最新の状態に保たれていることを確保し、不正確なデータが遅滞なく消去または訂正されるようあらゆる合理的な措置を講じるものとする。締約国は、移転または受領した個人データが不正確または古いものであることに気づいた場合、遅滞なく相手方締約国に通知するものとする。データ輸入者は、個人データが処理の目的に照らして適切かつ関連性があり、必要最小限のものであることを確保するものとする。

8.4 ストレージ容量の制限

データ輸入者は、個人データを処理目的のために必要な期間を超えて保持してはならず、保持期間終了時にデータの消去または匿名化およびすべてのバックアップの消去を含む、この義務の遵守を確保するための適切な技術的または組織的措置を講じなければならない。

8.5 処理のセキュリティ

データ輸入者、および送信中はデータ輸出者も、最新技術、実施コスト、処理の性質、範囲、状況および目的、ならびにそれに伴うリスクを十分に考慮し、個人データのセキュリティを確保するため、個人データ侵害に対する保護を含む適切な技術的および組織的措置を実施しなければならない。締約国は附属書IIに定める措置に合意しており、データ輸入者は、適切なレベルのセキュリティが引き続き提供されるよう、定期的なチェックを実施しなければならない。データ輸入者は、個人データの処理を許可された者が守秘義務を負うことを確保しなければならない。個人データ侵害が発生した場合、データ輸入者は、これに対処するための適切な措置を講じなければならず、それが自然人の権利および自由に対するリスクをもたらす可能性が高い場合は、第13条に従って、データ輸出者および管轄監督機関に、条項で要求される情報とともに遅滞なく通​​知しなければならない。高いリスクをもたらす可能性が高い場合は、軽減措置が適用されていない限り、影響を受けるデータ主体にも通知しなければならない。データ輸入者は、侵害に関連するすべての事実を文書化しなければならない。

8.6 機密データ

機密データを含むデータ転送の場合、データ輸入者は、データの性質および関連するリスクに応じて、特定の制限および／または追加の保護措置を適用しなければならない。

8.7 移籍先

データ輸入者は、当該第三者が適切なモジュールに基づき本条項に拘束されるか、または拘束されることに同意する場合、もしくは承認されたEU標準契約条項の第8.7条(i)～(vi)に規定される条件のいずれかが適用される場合（十分な保護を有する国への移転、第46条または第47条に基づく適切な保護措置、同等の保護を保証する拘束力のある文書、法的請求の必要性、生命に関わる利益の保護、またはデータ主体の明示的な同意を含む）を除き、欧州連合域外に所在する第三者に個人データを開示してはならない。いかなる転送も、データ輸入者が本条項に基づくその他のすべての保護措置、特に目的制限を遵守することを条件とする。

8.8 データ輸入者の権限に基づく処理

データ輸入者は、処理者を含め、その権限の下で行動する者がその指示に従ってのみデータを処理することを保証するものとします。

8.9 文書化とコンプライアンス

各締約国は、本条項に基づく義務の遵守を証明できなければならない。特に、データ輸入者は、自らの責任の下で行われた処理活動に関する適切な文書を保管し、管轄の監督当局からの要請に応じて当該文書を提供しなければならない。

モジュール2: コントローラからプロセッサへの転送

8.1命令

データ輸入者は、データ輸出者からの文書による指示に基づいてのみ個人データを処理するものとする。データ輸出者は、契約期間中、かかる指示を与えることができる。データ輸入者は、当該指示に従うことができない場合は、直ちにデータ輸出者に通知しなければならない。

8.2 目的の制限

データ輸入者は、データ輸出者からのさらなる指示がない限り、付録 IB に規定されている転送の特定の目的のためにのみ個人データを処理するものとします。

8.3透明性

データ輸出者は、要請に応じて、当事者が記入した付録を含む本条項の写しを、適​​切な編集を施した上で、データ主体に無償で提供するものとする。本条項は、規則（EU）2016/679の第13条および第14条に基づくデータ輸出者の義務を損なうものではない。

8.4精度

データ輸入者は、受領した個人データが不正確である、または古くなっていることに気づいた場合、遅滞なくデータ輸出者に通知しなければならない。この場合、データ輸入者はデータ輸出者と協力して、データの消去または訂正を行わなければならない。

8.5 データの処理期間、消去または返却

データ輸入者による処理は、附属書IBに規定された期間のみ行われるものとします。処理サービスの提供終了後、データ輸入者は、データ輸出者の選択により、データ輸出者のために処理されたすべての個人データを削除し、削除したことを証明するか、または当該個人データをすべて返却し、既存のコピーを削除するものとします。データが削除または返却されるまで、データ輸入者は本条項の遵守を引き続き確保するものとします。現地法が返却または削除を禁止している場合、データ輸入者は、遵守を引き続き確保し、当該現地法で要求される範囲および期間のみデータを処理するものとします。

8.6 処理のセキュリティ

データ輸入者、およびデータ送信中はデータ輸出者も、最新技術、コスト、処理の性質、範囲、状況および目的、ならびにそれに伴うリスクを十分に考慮して、データのセキュリティを確保するための適切な技術的および組織的措置を実施しなければならない。データ輸入者は、少なくとも附属書IIに規定された措置を実施し、定期的なチェックを実施しなければならない。データ輸入者は、厳密に必要な範囲でのみ、従業員に個人データへのアクセスを許可し、機密保持義務を負わせなければならない。個人データ侵害が発生した場合、データ輸入者は、侵害を認識した後、遅滞なく、条項で要求される情報とともにデータ輸出者に通知しなければならない。すべての情報が一度に入手できない場合は、遅滞なく段階的に提供することができる。データ輸入者は、データ輸出者が規則(EU) 2016/679に基づく義務、特に管轄監督機関および影響を受けるデータ主体への通知義務を遵守できるよう、データ輸出者と協力し、支援しなければならない。

8.7 機密データ

機密データを含むデータ転送の場合、データ輸入者は附属書IBに記載されている特定の制限および／または追加の保護措置を適用しなければならない。

8.8 移籍先

データ輸入者は、データ輸出者からの文書による指示に基づいてのみ、個人データを第三者に開示するものとする。さらに、当該データは、当該第三者が適切なモジュールに基づき本条項に拘束されるか、または拘束されることに同意する場合、もしくは条項8.8(i)～(iv)のいずれかの条件（十分性、第46条または第47条に基づく適切な保護措置、法的請求の必要性、または生命に関わる利益の保護）が適用される場合に限り、欧州連合域外に所在する第三者に開示することができる。いかなる転送も、データ輸入者が本条項に基づくその他のすべての保護措置、特に目的制限を遵守することを条件とする。

8.9 文書化とコンプライアンス

データ輸入者は、本条項に基づく処理に関するデータ輸出者からの問い合わせに迅速かつ適切に対応しなければならない。両当事者は、本条項の遵守を証明できなければならず、データ輸入者は適切な文書を保管しなければならない。データ輸入者は、遵守を証明するために必要なすべての情報をデータ輸出者に提供し、合理的な間隔で、または不遵守の兆候がある場合に、監査を許可し、監査に協力しなければならない。データ輸出者は、自ら監査を実施するか、独立した監査人を任命することができ、データ輸入者が保有する関連認証を考慮に入れることができる。両当事者は、監査結果を所轄の監督当局の要請に応じて提供しなければならない。

モジュール3: プロセッサからプロセッサへの転送

8.1命令

データ輸出者は、データ輸入者に対し、自身が管理者の指示に基づいて処理者として行動することを通知しており、データ輸出者は処理前に当該管理者の指示をデータ輸入者に提供するものとします。データ輸入者は、データ輸出者から伝達された管理者の文書化された指示、および管理者の指示と矛盾しないデータ輸出者からの追加の文書化された指示に従ってのみ個人データを処理するものとします。データ輸入者は、これらの指示に従うことができない場合は、直ちにデータ輸出者に通知するものとします。データ輸出者は、管理者とデータ輸出者との間の契約またはその他の法的行為に定められたものと同じデータ保護義務をデータ輸入者に課していることを保証します。

8.2 目的の制限

データ輸入者は、データ管理者（データ輸出者から通知されたもの）またはデータ輸出者からの更なる指示がない限り、附属書IBに定める移転の特定の目的のためにのみ個人データを処理するものとする。

8.3 – 8.4 透明性と正確性

データ輸出者は、要請に応じて、適切な編集を施した上で、本条項の写しをデータ主体に無償で提供するものとする。データ輸入者は、個人データが不正確または古いことに気づいた場合、遅滞なくデータ輸出者に通知し、データの修正または消去に協力するものとする。

8.5 データの処理期間、消去または返却

処理は、附属書IBに規定された期間のみ行われるものとします。処理サービスの提供終了後、データ輸入者は、データ輸出者の選択により、管理者のために処理されたすべての個人データを削除または返却し、既存のコピーを削除し、データが削除または返却されるまで、これらの条項の遵守を引き続き確保するものとします。現地法が返却または削除を禁止している場合、データ輸入者は、引き続き遵守を確保し、当該現地法で要求される範囲および期間のみデータを処理するものとします。

8.6 処理のセキュリティ

両当事者は、最新技術、費用、処理の性質、範囲、状況および目的、ならびにそれに伴うリスクを十分に考慮し、データのセキュリティを確保するための適切な技術的および組織的措置を実施するものとする。データ輸入者は、少なくとも附属書IIに定める措置を実施し、必要最小限の範囲でのみ職員のアクセスを許可し、機密性を確保し、個人データ侵害が発生した場合は、適切な措置を講じ、条項で要求される情報を遅滞なくデータ輸出者（および、適切かつ実行可能な場合は管理者）に通知するものとする。データ輸入者は、管理者が管轄の監督機関および影響を受けるデータ主体に通知できるよう、データ輸出者と協力し、支援するものとする。

8.7 – 8.8 機密データおよびその転送

移転に機密データが含まれる場合、データ輸入者は附属書IBに規定される特定の制限および／または追加の保護措置を適用しなければならない。データ輸入者は、データ輸出者から伝達された管理者からの文書化された指示に基づいてのみ、また、当該第三者が適切なモジュールの下でこれらの条項に拘束されるか、または拘束されることに同意する場合、もしくは十分性、第46条または第47条に基づく適切な保護措置、法的請求の必要性、または生命に関わる利益の保護が適用される場合に限り、欧州連合外の第三者に個人データを開示しなければならない。いかなる再移転も、これらの条項に基づく他のすべての保護措置、特に目的制限の遵守を条件とする。

8.9 文書化とコンプライアンス

データ輸入者は、データ輸出者または管理者からの問い合わせに迅速かつ適切に対応し、適切な文書を保管し、コンプライアンスを証明するために必要なすべての情報をデータ輸出者に提供し（データ輸出者はこれを管理者に提供する）、データ輸出者による監査（管理者の指示によるものを含む）を、適切な間隔で、またはコンプライアンス違反の兆候がある場合に、許可し、協力しなければならない。データ輸出者は、自ら監査を実施するか、独立した監査人を任命することができる。両当事者は、監査結果を所轄の監督当局の要請に応じて提供するものとする。

モジュール4: プロセッサをコントローラに転送する

8.1命令

データ輸出者は、データ管理者として行動するデータ輸入者からの文書化された指示に基づいてのみ個人データを処理するものとし、当該指示に従うことができない場合（規則（EU）2016/679またはその他のEUもしくは加盟国のデータ保護法に違反する場合を含む）は、直ちにデータ輸入者に通知するものとする。データ輸入者は、データ輸出者が規則（EU）2016/679に基づく義務を履行することを妨げるいかなる行為も控えるものとする。処理サービスの提供終了後、データ輸出者は、データ輸入者の選択により、データ輸出者に代わって処理されたすべての個人データを削除または返却し、既存のコピーを削除するものとする。

8.2 – 8.3 処理の安全性と機密性

両当事者は、データ送信時を含め、データのセキュリティを確保するために適切な技術的および組織的措置を実施するものとする。データ輸出者は、データ輸入者が適切なセキュリティを確保できるよう支援し、自らが処理するデータに関する個人データ侵害が発生した場合は、遅滞なくデータ輸入者に通知し、その対処を支援するものとする。データ輸出者は、個人データの処理を許可された者が守秘義務を負うことを保証するものとする。

第9条

サブプロセッサの使用

モジュール2とモジュール3

オプション2：包括的な書面による承認。データ輸入者は、合意されたリストからサブプロセッサーを雇用するための、データ輸出者（モジュール2）または管理者（モジュール3）の包括的な承認を得ている。データ輸入者は、サブプロセッサーの追加または変更による当該リストの変更予定について、少なくとも30日前までにデータ輸出者（モジュール3の場合は管理者）に書面で具体的に通知し、サブプロセッサーの雇用前に異議を申し立てる十分な時間を与え、異議申し立ての権利を行使するために必要な情報を提供するものとする。承認されたサブプロセッサーのリストは附属書IIIに記載されており、両当事者はこれを最新の状態に保つものとする。

データ輸入者がサブプロセッサーを利用する場合、データ輸入者は、本条項に基づきデータ輸入者に課せられるデータ保護義務と実質的に同一の義務（データ主体の第三者受益権を含む）を規定する書面による契約を締結しなければならない。データ輸入者は、本条項を遵守することにより、第8.8条に基づく義務を履行するものとする。データ輸入者は、サブプロセッサーがデータ輸入者に課せられる義務を遵守することを確保しなければならない。

データ輸入者は、データ輸出者（または、モジュール3の場合は、データ輸出者もしくはデータ管理者）の要請に応じて、適切な編集を施した上で、サブプロセッサー契約書およびその後の修正版の写しを提供するものとする。

データ輸入者は、サブプロセッサーの義務履行に関してデータ輸出者に対して全責任を負い、サブプロセッサーが義務を履行しなかった場合には、データ輸出者にその旨を通知しなければならない。

データ輸入者は、サブプロセッサーとの間で第三者受益者条項に合意するものとし、これにより、データ輸入者が事実上消滅した場合、法律上存在しなくなった場合、または破産した場合、データ輸出者はサブプロセッサーとの契約を解除し、サブプロセッサーに対し個人データの消去または返却を指示する権利を有するものとする。この要件は、サブプロセッサーが第7条に従い、該当するモジュールの下でこれらの条項に同意することにより満たされるものとする。

第10条

データ主体の権利

モジュール2: コントローラからプロセッサへの転送

データ輸入者は、データ主体から受け取った要求について速やかにデータ輸出者に通知しなければならず、データ輸出者から許可を得ない限り、その要求に自ら対応してはならない。

データ輸入者は、データ輸出者が規則（EU）2016/679に基づくデータ主体の要求に応じる義務を履行するのを支援するものとする。締約国は、附属書IIにおいて、支援を提供するための適切な技術的及び組織的措置、ならびに必要とされる支援の範囲及び程度を定めるものとする。

データ輸入者は、その義務を履行するにあたり、データ輸出者からの指示に従わなければならない。

モジュール3: プロセッサからプロセッサへの転送

データ輸入者は、データ主体から受け取った要求について、データ輸出者および必要に応じてデータ管理者に速やかに通知するものとし、データ管理者から許可を得ない限り、応答してはならない。

データ輸入者は、データ輸出者と適切な協力のもと、データ管理者がデータ主体の要求に応じる義務を履行できるよう支援するものとする。締約国は、附属書IIにおいて、適切な措置及び必要な支援の範囲及び程度を定めるものとする。

データ輸入者は、その義務を履行するにあたり、データ輸出者から伝えられた管理者からの指示に従わなければならない。

第11条

救済

データ輸入者は、データ主体に対し、個別の通知または自社のウェブサイトを通じて、透明性があり容易にアクセスできる形式で、苦情処理の権限を有する連絡先を通知し、苦情に迅速に対応しなければならない。データ主体と当事者との間で、本条項の遵守に関して紛争が生じた場合、当該当事者は、問題を友好的に、かつ適時に解決するために最大限の努力を払い、両当事者は互いに情報を提供し、協力しなければならない。データ主体が第三者受益者の権利を行使する場合、データ輸入者は、データ主体が管轄の監督機関に苦情を申し立てるか、または第18条の意味において管轄裁判所に紛争を付託するという決定を受け入れなければならない。データ主体は、規則(EU) 2016/679第80条(1)に基づく非営利団体、組織または協会によって代表されることができる。

第12条

負債

モジュール2とモジュール3

各当事者は、本条項の違反によって他方の当事者に生じた損害について、他方の当事者に対して責任を負うものとします。

データ輸入者はデータ主体に対して責任を負い、データ主体は、データ輸入者またはその副処理者が第三者受益者の権利を侵害することによってデータ主体に引き起こした重大または非物質的損害について、補償を受ける権利を有するものとします。本条項に基づき。

前項の規定にかかわらず、データ輸出者は、データ輸出者またはデータ輸入者（またはその下請け処理者）が第三者の受益者の権利を侵害することによって引き起こした物的または非物的損害について、データ主体に対して責任を負うものとする。ただし、データ輸出者（および、管理者のために行動する処理者である場合、管理者）の規則（EU）2016/679に基づく責任は損なわれない。

データ輸出者がデータ輸入者（またはその下請け業者）の行為によって生じた損害について責任を負う場合、データ輸出者はデータ輸入者に対し、賠償金のうち該当する部分を請求する権利を有する。複数の当事者が責任を負う場合、責任を負うすべての当事者は連帯責任を負い、各当事者間で求償権を有する。データ輸入者は、下請け業者の行為を理由として、自らの責任を免れることはできない。

第13条

監督

管轄監督機関は附属書ICに記載されています。データ輸入者は、本条項の遵守を確保することを目的としたあらゆる手続きにおいて、管轄監督機関の管轄権に服し、協力することに同意し、照会への対応、監査への協力、監督機関が採用した措置の遵守を含め、必要な措置が講じられたことを書面で確認するものとします。

第III章 ― 公的機関によるアクセスがあった場合の現地法規および義務

第14条

本条項の遵守に影響を与える現地の法律および慣行

当事者は、データ輸入者による個人データの処理に適用される第三国における法令および慣行（個人データの開示要件または公的機関によるアクセスを許可する措置を含む）が、データ輸入者が本条項に基づく義務を履行することを妨げるとは考えられないことを保証する。この保証を提供するにあたり、当事者は特に、移転の具体的な状況、当該状況に照らして関連する第三国における法令および慣行、適用される制限および保護措置、ならびに本条項に基づく保護措置を補完するために講じられた関連する契約上、技術上または組織上の保護措置を十分に考慮した。データ輸入者は、データ輸出者に対し関連情報を提供するために最善を尽くし、今後も協力し続けることを保証する。当事者は、評価を文書化し、管轄監督当局の要請に応じて提供することに合意する。データ輸入者は、本要件に合致しない法令または慣行の対象となっている、または対象となったと信じるに足る理由がある場合、速やかにデータ輸出者に通知することに同意する。当該通知を受けた場合、またはデータ輸出者がデータ輸入者がもはや義務を履行できないと信じるに足る理由がある場合、データ輸出者は速やかに適切な措置を特定し、適切な保護措置が確保できない場合（または管轄の監督機関から指示を受けた場合）、データ移転を停止し、本条項に基づく個人データの処理に関する限り契約を解除することができる。

第15条

公的機関によるアクセスがあった場合のデータ輸入者の義務

15.1通知

データ輸入者は、本条項に基づき移転された個人データの開示を求める法的拘束力のある公的機関からの要請を受けた場合、または公的機関による直接アクセス（本条項に規定された情報を含む）を認識した場合、速やかにデータ輸出者および可能な限りデータ主体に通知することに同意する。通知が禁止されている場合、データ輸入者は、禁止の免除を得るために最大限の努力を払い、その努力を文書化することに同意する。データ輸入者は、許可されている場合、定期的に、受け取った要請に関する関連情報をデータ輸出者に提供し、契約期間中、当該情報を保管し、管轄の監督機関からの要請に応じて提供するものとする。

15.2 合法性およびデータ最小化の検討

データ輸入者は、開示請求の合法性を審査し、合理的な根拠に基づいて違法であると判断した場合は異議を申し立て、控訴の可能性を追求し、暫定措置を求め、適用される手続き規則に基づいて開示が義務付けられるまで要求された個人データを開示しないことに同意する。データ輸入者は、法的評価および異議申し立てを文書化し、許容される範囲で、データ輸出者および管轄の監督機関に提供することに同意する。データ輸入者は、合理的な解釈に基づき、要求への対応において許容される最小限の情報を提供することに同意する。

第4章 ― 最終規定

第16条

条項の不遵守と終了

データ輸入者は、本条項を遵守できない場合は、速やかにデータ輸出者に通知しなければならない。データ輸入者が違反した場合、または遵守できない場合、データ輸出者は、遵守が再び確保されるか、契約が解除されるまで、データ移転を停止しなければならない。データ輸出者は、本条項に基づく個人データの処理に関する限り、以下のいずれかに該当する場合、契約を解除することができる。(i) データ移転を停止し、合理的な期間内、かつ停止後1か月以内に遵守が回復されない場合。(ii) データ輸入者が重大な違反または継続的な違反を犯している場合。(iii) データ輸入者が管轄裁判所または監督機関の拘束力のある決定に従わない場合。契約解除前に移転された個人データは、データ輸出者の選択により、コピーを含め、完全に返却または削除され、データ輸入者は削除を証明するものとする。欧州委員会が当該移転に関する十分性決定を採択した場合、または規則（EU）2016/679がデータ移転先の国の法的枠組みの一部となった場合、いずれの当事者も拘束される合意を取り消すことができる。

第17条

準拠法

本条項は、第三者受益者の権利を認めるEU加盟国の法律に準拠するものとする。両当事者は、本条項がオランダの法律に準拠することに同意する。

第18条

法廷地と管轄権の選択

本条項から生じる紛争は、EU加盟国の裁判所によって解決されるものとし、当事者は、当該裁判所がオランダの裁判所であることを合意する。データ主体は、データ輸出者および／またはデータ輸入者に対し、自己の常居所地を有する加盟国の裁判所において訴訟を提起することもできる。当事者は、当該裁判所の管轄権に服することに同意する。

標準契約条項の付録

付属文書IA ― 締約国一覧

データ輸出者：契約書に記載されているクライアント。データ輸入者：契約書に記載されているStellar Cyber​​ Inc.。

別添IB ― 譲渡内容の説明

データ主体のカテゴリ：データ輸出者のすべての従業員、代理人、アドバイザー、下請業者、またはクライアントのチャネルパートナー、顧客、見込み客、ビジネスパートナー、ベンダーの連絡担当者、および成果物がインストールされているクライアントのエンドポイントのその他のユーザー、または成果物のその他の承認済みユーザー。

転送される個人データのカテゴリ:

顧客企業の詳細、顧客担当者の役職、メールアドレス、電話番号、氏名、請求情報、事業情報、および顧客が成果物またはその他の手段を通じてStellar Cyber​​に提供することを決定したその他のデータまたは情報。

ユーザーおよびエンドポイントデータ：エージェントID、エンドポイント名、Active DirectoryユーザーID、ユーザー名、インストール済みアプリケーション（インストール日時、サイズ、発行元、バージョン）、SMTPユーザー名、およびActive Directory統合に関連する構成データ。

ファイルのフルパス（クライアントが指定したファイル名に個人データが含まれている場合にのみ、個人データが含まれます）。

ネットワーク データ (内部ネットワーク IP アドレス、パブリック IP アドレス、MAC アドレス)。

再構築されたファイル: ネットワーク経由で再構築されたファイル。

管理コンソールから受信したシステム設定（ユーザー名、メールアドレス、電話番号）。

脅威情報（ファイルパス、侵入検知シグネチャ。これにはユーザー名、IPアドレス、ファイル名が含まれる場合がある）。

ライブ ネットワーク監視 (URL、URL ヘッダー、タイムスタンプ)。

クライアントが成果物の機能をトリガーし、クライアントまたはクライアントの管理者が、分析のためにファイルを取得、収集、またはStellar Cyber​​に送信することを可能にする場合。

転送される機密データ: 付録 1 (クライアントデータの処理の詳細)、「特別なカテゴリのデータ」を参照してください。転送の頻度: 契約期間中継続的。データ転送およびさらなる処理の目的: Stellar Cyber​​ はクライアントに成果物を提供するために雇用されており、成果物の提供および契約とこの DPA の遵守に必要な個人データの処理が含まれます。保持期間: 処理の期間は契約の満了または終了までであり、その後、クライアントデータは第 9 項 (データの削除) に従って削除されます。サブプロセッサーへの転送: Stellar Cyber​​ は、インフラストラクチャ環境、電気通信およびネットワーク、データストレージおよびコンテンツ配信をサポートするためにサブプロセッサーを使用します。個人データは、関連する Stellar Cyber​​ サービス契約または注文書の目的および期間のためにサブプロセッサーによって処理されます。サブプロセッサーのリストは、付録 III を参照してください。

送金頻度：契約期間中は継続的。

付属書IC ― 管轄監督機関

規則（EU）2016/679に基づくデータ転送に関する事項については、オランダの個人データ保護庁（https://www.autoriteitpersoonsgegevens.nl/en）にお問い合わせください。

附属書II ― 技術的及び組織的措置

データ輸入者が実施する技術的および組織的措置は、本データ処理契約の付録2（セキュリティ対策）に記載されているものと同様です。サブプロセッサーへのデータ移転に関しては、Stellar Cyber​​は、サブプロセッサーに対し、Stellar Cyber​​が採用しているものと実質的に同等の技術的および組織的措置を遵守することを義務付けています。

付属書III ― サブプロセッサ一覧

コントローラは、第6.3項に記載され更新されているサブプロセッサの使用を承認しています。

スイスサプリメント

以下の条項は、1992年6月19日連邦データ保護法（スイス）の対象となるデータ転送に関して標準契約条項が適用される場合に限り、かつその範囲においてのみ、標準契約条項を補足するものです。「加盟国」という用語は、スイスのデータ主体が、本条項の第18条(c)に従って、その常居所地（スイス）において本条項に基づく権利を行使できるように解釈されます。

付録5:

英国国際データ転送補足条項

この補足条項は、制限付き移転を行う当事者向けに情報コミッショナーによって発行されたものです。情報コミッショナーは、この補足条項が法的拘束力のある契約として締結された場合、制限付き移転に対する適切な保護手段が提供されると考えています。

パート 1: テーブル

表1（当事者）：輸出者（制限付き移転を行う者）および輸入者（制限付き移転を受け取る者）とその詳細は、協定に規定されているとおりです。開始日：協定の発効日。

表2（選択されたSCC、モジュールおよび選択された条項）：この補遺が添付されている承認済みEU SCCのバージョン（付録情報を含む）は、このDPAの付録4に記載されているバージョンです。

表3（付録情報）：「付録情報」とは、承認されたEU標準契約条項（当事者を除く）の付録に記載されている、選択されたモジュールに対して提供しなければならない情報を意味し、この補遺については、このDPAの付録4にある標準契約条項の付属文書に記載されています。

表4（承認された追加条項が変更された場合、この追加条項を終了する）：輸入者または輸出者は、必須条項の第19条に定めるとおり、この追加条項を終了することができます。

パート2: 必須条項

各当事者は、相手方当事者が本追加条項に拘束されることに同意することを条件として、本追加条項に定める条件に拘束されることに同意するものとします。承認済みEU標準契約条項の附属書1.A.および第7条は当事者の署名を必要としますが、制限付きデータ移転を行う目的で、当事者は、本追加条項が当事者に対して法的拘束力を持ち、かつデータ主体が本追加条項に定める権利を行使できるような方法で、本追加条項を締結することができます。本追加条項を締結することは、承認済みEU標準契約条項およびその一部に署名することと同じ効果を有します。

この補遺の解釈

この補遺で承認済みEU標準契約条項で定義されている用語を使用する場合、それらの用語は承認済みEU標準契約条項と同じ意味を持つものとします。さらに、次の用語は、それぞれ次の意味を持ちます。「補遺」とは、補遺EU標準契約条項を組み込んだこの国際データ転送補遺を意味します。「補遺EU標準契約条項」とは、付録情報を含め、この補遺が添付されている承認済みEU標準契約条項のバージョンを意味します。「適切な保護措置」とは、英国GDPR第46条(2)(d)に基づく標準データ保護条項に依拠して制限付き転送を行う際に、英国データ保護法によって要求される個人データおよびデータ主体の権利に対する保護の基準を意味します。「承認済み補遺」とは、2022年2月2日にデータ保護法2018の第119A条に基づいてICOが発行し議会に提出されたテンプレート補遺（第18条に基づいて改訂済み）を意味します。 「承認済みEU SCC」とは、2021年6月4日の欧州委員会実施決定（EU）2021/914の付属書に規定されている標準契約条項を意味します。「ICO」とは、情報コミッショナーを意味します。「制限付き移転」とは、英国GDPR第V章の対象となる移転を意味します。「英国」とは、グレートブリテンおよび北アイルランド連合王国を意味します。「英国データ保護法」とは、英国GDPRおよび2018年データ保護法を含め、英国で随時施行されているデータ保護、個人データの処理、プライバシーおよび/または電子通信に関連するすべての法律を意味します。「英国GDPR」は、2018年データ保護法第3条に規定されている意味を持ちます。

本補遺は、常に英国のデータ保護法に準拠し、当事者が適切な保護措置を提供する義務を果たすように解釈されなければなりません。補遺のEU標準契約条項のいずれかの規定が、承認済みEU標準契約条項または承認済み補遺で認められていない方法で承認済みEU標準契約条項を修正する場合、その修正は組み込まれず、承認済みEU標準契約条項の同等の規定がその代わりとなります。英国のデータ保護法と本補遺との間に矛盾または抵触がある場合は、英国のデータ保護法が適用されます。また、意味が不明確な場合は、英国のデータ保護法に最も近い意味が適用されます。法令への言及は、時間の経過とともに変更される可能性のある当該法令を意味します。

承認済みEU標準契約条項の第5条では、承認済みEU標準契約条項が関連するすべての契約に優先すると規定されていますが、当事者は、制限付きデータ移転については、強制条項の第10項に定める優先順位が優先することに同意します。承認済み追加条項と追加条項EU標準契約条項との間に矛盾または抵触がある場合は、承認済み追加条項が追加条項EU標準契約条項に優先します。ただし、追加条項EU標準契約条項の矛盾する条項がデータ主体に対してより大きな保護を提供する場合は、その条項が承認済み追加条項に優先します。

EU SCCの導入と変更

この補遺は、補遺EU標準契約条項を組み込んでおり、以下のとおり必要な範囲で修正されています。(a) データ輸出者からデータ輸入者へのデータ転送について、英国のデータ保護法がデータ輸出者の処理に適用される範囲で、両者が連携して機能し、当該転送に対する適切な保護措置を提供します。(b) 強制条項の第9条から第11条は、補遺EU標準契約条項の第5条（階層）に優先します。(c) この補遺はイングランドおよびウェールズの法律に準拠し、この補遺から生じる紛争は、当事者がスコットランドまたは北アイルランドの法律および／または裁判所を明示的に選択した場合を除き、イングランドおよびウェールズの裁判所によって解決されます。

補遺EU SCCsに対する以下の修正が行われる： 「条項」への言及は、補遺EU SCCsを組み込んだこの補遺を意味する。第2条において、「および、管理者から処理者および／または処理者から処理者へのデータ転送に関しては、規則（EU）2016/679第28条(7)に基づく標準契約条項」という語句が削除される。第6条は、「転送の詳細、特に転送される個人データのカテゴリおよび転送の目的は、当該転送を行う際にデータ輸出者の処理に英国データ保護法が適用される場合、附属書IBに規定されているとおりである」に置き換えられる。モジュール1の第8.7(i)および第2モジュールと第3モジュールの第8.8(i)は、英国GDPR第17A条に基づく十分性規制の恩恵を受ける国を参照するように置き換えられる。 「規則 (EU) 2016/679」および「当該規則」への言及は「英国データ保護法」に置き換えられ、特定の条項への言及は英国データ保護法の同等の条項または節に置き換えられます。規則 (EU) 2018/1725 への言及は削除されます。「欧州連合」、「連合」、「EU」、「EU 加盟国」、「加盟国」および「EU または加盟国」への言及は「英国」に置き換えられます。モジュール 1 の条項 10(b)(i) の「条項 12(c)(i)」への言及は「条項 11(c)(i)」に置き換えられます。条項 13(a) および附属書 I のパート C は使用されません。「管轄監督機関」および「監督機関」は「情報コミッショナー」に置き換えられます。第16条(e)項(i)は「国務長官は、2018年データ保護法第17A条に基づき、本条項が適用される個人データの移転を対象とする規則を制定する」に置き換えられ、第17条は「本条項はイングランドおよびウェールズの法律に準拠する」に置き換えられ、第18条は「本条項から生じる紛争は、イングランドおよびウェールズの裁判所によって解決される。データ主体は、英国のいずれかの国の裁判所において、データ輸出者および／またはデータ輸入者に対して訴訟を提起することもできる。当事者は、かかる裁判所の管轄権に服することに同意する」に置き換えられる。承認されたEU標準契約条項の脚注は、脚注8、9、10および11を除き、補遺の一部を構成するものではない。

この補遺の修正

当事者は、EU SCC 補遺の第 17 条および/または第 18 条をスコットランドまたは北アイルランドの法律および/または裁判所を参照するように変更することに合意することができ、また、適切な保護措置を低下させない限り、書面による合意によりパート 1: 表の情報形式を変更することができます。 ICO は、合理的かつ比例的な変更を行い、かつ/または英国のデータ保護法の変更を反映する改訂版承認補遺を随時発行することがあります。この補遺は、指定された開始日から、改訂版承認補遺に記載されているとおりに自動的に修正されます。改訂版承認補遺により、表 4 で選択された当事者が、補遺に基づく直接費用および/またはリスクを大幅かつ不均衡かつ明白に増加させる場合 (まず、それらを削減するための合理的な措置を講じた後)、当該当事者は、改訂版承認補遺の開始日前に書面による通知を行うことにより、合理的な通知期間の終了時にこの補遺を終了することができます。当事者は、本追加条項を変更するにあたり、第三者の同意を必要としないが、いかなる変更も本追加条項の条項に従って行われなければならない。

スケジュール6.3