最終更新日：2018年5月23日
本データ保護契約（以下「DPA」という）は、利害関係者およびGumGum（以下「GumGum」という）の間で締結された当該契約の現行版を修正するものである。両者をそれぞれ「当事者」、総称して「当事者ら」という。 本DPAは、当該文書および注文書、作業明細書、その他それに付随する適用される補遺（以下、総称して「主契約」という）など、当事者間の関連する契約文書に適用され、矛盾が生じた場合には本DPAが優先する。
当事者およびGumGumは、ここに以下の通り合意する。
1. 定義
1.1 「適用法令」とは、いかなる政府機関（国内外、超国家、州、郡、市、地方、準州、その他の政府機関を含み、適用される範囲において、指令95/46/EC、指令2002/58/EC、 欧州委員会の決定およびガイダンスを含む）を、各加盟国またはその他の国の国内法に組み込まれたもの、および随時改正、置換、または置き換えられたもの（GDPRおよびGDPRを実施または補完する法律を含む）ならびに、本サービスの提供または受領が行われる場所または地域において適用される、個人データの処理または通信の傍受、記録、監視に関連する業界の自主規制原則をいう。
1.2 「本契約」とは、利害関係者およびGumGumとの間で締結された、GumGumが本サービスを提供し、かつ当該サービスの提供に関連して、データ管理者に代わってデータ主体の個人データの処理を行うことを内容とするあらゆる契約をいう。
1.3 「GDPR」（一般データ保護規則）とは、個人データの処理および当該データの自由な移動に関する自然人の保護ならびに指令95/46/ECの廃止に関する、2016年4月27日付の欧州議会および理事会規則（EU）2016/679をいう。「管理者」、「処理者」、「データ主体」、「加盟国」、「個人データ」 または 「データ」、「個人データ漏洩」、「処理」、および「監督当局」という用語は、GDPRにおけるものと同一の意味を有し、これらに関連する用語もそれに応じて解釈されるものとする。
1.4 「EUモデル条項」とは、第三国に設立された処理者または管理者への個人データの移転に関する標準契約条項として欧州委員会により承認されたもの（ただし、当該決定において欧州委員会が任意と指定した契約条項は除く）をいい、欧州委員会により随時改正または置き換えられるものとする。
1.5 「興味・関心に基づく広告」とは、(i) 収集されたデータから判明または推測される嗜好や興味に基づき、プロファイリングを行い、広告を配信することを目的として、複数のデジタルプロパティまたはその他の情報源にわたってデータを収集すること、および (ii) あるデジタルプロパティまたは情報源におけるユーザーの行動に関するデータを、別のデジタルプロパティにおいて、そのデータに基づいてプロファイリングを行い、広告を配信することを目的として収集すること、のいずれかを指す。
1.6 「利害関係者」とは、本契約の当事者であり、GumGumが当該利害関係者またはその顧客の個人データを、データ主体、第三者、あるいは当該利害関係者から提供されたものであるかを問わず、当該利害関係者のために処理する者をいう。
1.7 「サービス」とは、利害関係者およびGumGum間の基本契約において定義されるサービスを指す。
1.8 「下請け処理者」とは、本契約に関連して、データ処理者の指名により、またはデータ処理者に代わって、利害関係者のために個人データを処理する第三者（データ処理者の関連会社を含む）をいう。
2. GumGumの義務
GumGumは、以下の事項を履行するものとします：
2.1 本契約に基づく個人データを、本契約に定める目的のみに限り、かつ発行者の文書化された指示（本契約に定義される指示および／または本契約と整合するその他の書面による指示）に従って処理すること；
2.2 GumGumが、ある指示が適用法令に違反すると判断した場合、直ちに当該関係者にその旨を通知するものとする。
2.3 本契約に基づき処理されるデータの機密性を保持すること；および
2.4 データの処理に従事する従業員、関連会社、下請業者、または代理人（以下「関係者」という）の信頼性を確保するために、合理的な措置を講じるものとする。GumGumは、同社がアクセス権を有するいかなるデータについても、以下の条件を満たす関係者のみがアクセスできることを確認する。(i) 当該データへのアクセスが必要であること、および (ii) 当該個人データに関して、プライバシー、セキュリティ、および機密保持に関する契約上の義務を負っていること。
3. データ主体の同意および情報開示請求権
3.1 各当事者は、データが収集されるウェブサイトやアプリなどを含むデジタル資産の運営者である場合、以下の事項を確認する：
a. 当該当事者は、本契約に規定された手段および目的による個人データの収集について、適切な同意を得るための仕組みを整備しており、そのことを立証できること。また、データ主体がオプトアウトできる、使い勝手の良い仕組みへの明確かつ曖昧さのないリンクを掲載していること。これには、該当する場合、データ主体が興味・関心に基づく広告からオプトアウトできる機能も含まれる。
b. 当該当事者は、適用法令に準拠したプライバシーに関する通知を整備することを確保する。
3.2 各当事者は、第三者が運営するデジタル資産からのデータの提供を支援する場合、以下の事項を確認する：
a. 当該当事者は、本契約に規定される利害関係当事者による当該データの利用に必要な手段および目的に関して、当該第三者が適切な同意を取得すること、および当該当事者が当該同意の証拠を相手方当事者に提示できるようにすることを義務付ける、法的に強制力のある義務を当該第三者に対して課さなければならない。GumGumは、データが生成されるデジタル資産を運営する当該第三者向けに用意された関連情報を、利害関係当事者に提供する責任を負うものとする。また、
b. 当該当事者は、契約上、その関連する契約当事者に対し、各関連デジタル資産について、適用法令に準拠したプライバシーに関する通知が掲載されるよう確保することを義務付けるものとする。
3.3 GumGumが利害関係者のデータ提供者である場合：
a. GumGumは、自社が利害関係者と個人データを共有するすべてのデータ主体について、（該当する場合）適切な同意の証拠を有していることを確認する。また、いかなる場合においても、当該データ主体には、明確かつ曖昧さのないオプトアウトの選択肢が、使いやすい仕組みを通じて提供されており、これには（該当する場合）データ主体が興味関心に基づく広告をオプトアウトできる機能も含まれる。
b. GumGumは、同社が利害関係者に提供する個人データ（以下「サプライヤーデータ」という）を収集または受領するすべての当事者が、適用法令に準拠し、サプライヤーデータの収集、提供および利用について、利害関係者による該当する興味関心に基づく広告のためのデータ収集に関する説明を含め（ただしこれに限定されない）、明確かつ曖昧さのない形で開示したプライバシー通知を有し、かつ、データ主体がGumGumまたはそのデータソースが提供するサービスを通じてオプトアウト（該当する場合、興味関心に基づく広告からのオプトアウトを含む）を行えるよう、利用しやすい-データ主体が、GumGumまたはそのデータソースが提供するサービスを通じてオプトアウト（該当する場合は、データ主体が興味関心に基づく広告からオプトアウトする能力を含む）できる、使いやすい仕組みを提供していることを保証する。
3.4 GumGumは、アクセス可能かつ最新の プライバシーポリシー を常に利用しやすく、最新の状態に保つよう努めます。
4. データ主体の権利
GumGumは、データ主体の権利（特に、アクセス権、訂正権、消去権、異議申立て権、処理の制限権、データポータビリティ権、自動化された個別決定（プロファイリングを含む）の対象とならない権利）の行使を求める要請に応じるという義務の履行について、可能な範囲で利害関係者を支援するものとします。
GumGumは、GumGumによって処理されている個人データに関して、利害関係者がデータ主体からの合理的な要請（GDPR第12条から第22条に基づく権利に関連するもの）に応じることができるよう、その手段を有しており、あらゆる合理的な措置を講じることを確認します。
5. セキュリティ侵害の管理および通知
GumGumは、本契約に基づくデータが関与する個人データ漏洩が発生した場合、GumGumは以下の措置を講じることを確認します：
a. 個人データ漏洩の根本的な原因を是正するために、必要かつ適切な是正措置を速やかに講じ、当該個人データ漏洩が再発しないよう、商業的に合理的な努力を払うこと；
b. 関係当事者に遅滞なく通知し、かつ、当該個人データ漏洩により、関係当事者が適用法令に基づきデータ漏洩通知を行う必要性が合理的に見込まれる場合には、いかなる場合でも48時間以内に、当該個人データ漏洩の詳細およびデータ主体に及ぼす可能性のある影響について、合理的な詳細情報を提供しなければならない。 当該通知には、必要に応じて、利害関係者が当該漏洩を管轄監督当局に通知できるよう、必要な書類（特に、GDPR第33条第3項に規定される情報および措置）を添付しなければならない。
c. 適用法令で要求される措置、および／または利害関係者の合理的な要請に基づく措置を講じる。
利害関係者の要請があり、かつその費用負担のもと、GumGumは、利害関係者の名義および代理として、個人データ漏洩について遅滞なくデータ主体に通知するものとします。 当該通知の内容は、当事者間の合意により決定されるものとし、当該通知には、個人データ漏洩の性質が明確かつ平易な言葉で説明され、かつ、少なくともGDPR第33条第3項(b)、(c)および(d)に規定される情報および措置が含まれるものとされる。
6. データ保護影響評価
GumGumは、利害関係者が、GDPR第35条および／または第36条、あるいはその他の適用法の同等の規定により必要であると合理的に判断する、データ保護影響評価、ならびに監督当局またはその他の管轄データ保護当局との事前の協議について、利害関係者に合理的な支援を提供するものとする。ただし、いずれの場合も、GumGumによる利害関係者データの処理にのみ関連するものとし、 また、当該処理の性質および重要度、ならびにGumGumが入手可能な情報を考慮に入れるものとする。
7. セキュリティ対策
GumGumは、ベストプラクティスに従い、個人データのセキュリティ（不正または違法な処理、ならびに偶発的または違法な破壊、紛失、改ざん、損傷、不正開示、または不正アクセスからの保護を含む）、機密性および完全性を保護するために設計された、管理上、技術的、物理的および組織的な措置を実施し、維持することを約束します。
8. データの取り扱い
GumGumは、その保有する利害関係者のデータについて、当該データのサービス提供の履行にもはや必要でなくなった場合、または法令に基づきGumGumによる当該データの保持が別途認められている場合を除き、利害関係者の選択および要請に応じて、当該データを利害関係者に返還するか、または破棄することを保証します。
9. データ保護責任者および処理活動の分類に関する記録
9.1 データ保護責任者。
GumGumは、個人データの適法な管理およびGumGumにおける関連するすべての事項を統括する、正式に任命されたデータ保護責任者（DPO）を置いていることを確認します。当該DPOは、データ主体または管轄の監督当局からデータに関する問い合わせがあった場合、関係者に速やかに支援を提供します。GumGumのDPOへのお問い合わせは、gdpr@gumgum.com までご連絡ください。
GumGumは、関係当事者がGDPRに基づく義務を履行できるよう支援するため、関係当事者データに関して、関係当事者が合理的に要求しうる支援および情報を、適時に提供する旨を確認する。
9.2 処理活動の種類の記録。
GumGum社は、利害関係者のために実施されるあらゆる種類の処理活動について、GDPR第30条第2項で要求される情報を含む書面による記録を保持していると述べている。
10. 文書化および監査
GumGumは、本契約に関連する個人データの処理に関して、すべての適用法令に基づく義務を遵守します。
GumGumは、データの処理に関して利害関係者からなされる合理的な情報提供の要請に対し、全面的に協力することを確認します。 関係当事者が適用法令に基づく義務を履行するために必要な範囲において、GumGumは、関係当事者が本条および適用法令への準拠状況について監査を行うことを許可する。当該監査は、本契約の有効期間中、暦年につき1回を上限として、通常の営業時間内に、かつ関係当事者がGumGumに対し、少なくとも10営業日前に書面による通知を行った上で実施されるものとする。
11. 再委託処理業者
GDPR第28条に規定される以下の条項および条件に従い、GumGumは、特定の処理業務を行うために、別の処理者（以下「再委託処理者」という）を起用することができる。
この場合、GumGumは、他の処理者の追加または交代に関する変更の予定について、事前に書面により利害関係者に通知するものとし、利害関係者は、当該通知を受領した日から二十一（21）日以内に、これに異議を申し立てることができる。かかる下請けは、利害関係者が合意された期間内に異議を申し立てなかった場合に限り、可能となる。
下請け処理業者は、利害関係当事者に代わって、かつその指示に基づき、本契約に基づく義務を遵守する義務を負うものとする。
各サブ処理業者について、GumGumは以下の措置を講じるものとする：
a. サブ処理者がパブリッシャーデータを初めて処理する前に、当該サブ処理者が、適用法令および本契約で要求される利害関係者データに対する保護水準を提供できることを確保するため、適切なデューデリジェンスを実施すること。
b. サブ処理者が、本条に規定されるものと同等以上の保護水準を利害関係者のデータに提供し、かつ適用法令の要件を満たす条項を含む書面による契約を締結することを確保すること；
c. 合理的な要請があった場合、サブ処理業者との契約書の写し（本条項の要件と関連のない機密の商業情報を削除するために一部黒塗りされている場合がある）を、利害関係者に提供し、その確認を受けるものとする。
d. 各サブ処理業者の作為および不作為について、本条項の規定に基づきGumGumが各サブ処理業者のサービスを直接提供する場合と同等の範囲で責任を負うものとする。GumGumは、各サブ処理業者による義務の履行について、利害関係者に対し引き続き全面的な責任を負う。
12. データの移転
GumGumは、利害関係者のデータについて、それが提供された国から国外へ転送しないことを確認し、また、いかなる下請け処理業者に対しても同データの国外転送を行わせないことを保証します。ただし、(a) 欧州経済領域（「EEA」）の加盟国間での転送、または (b) 利害関係者からの書面による指示に基づく転送は、この限りではありません。
さらに、GumGumが、GumGumが従うべきEU法または加盟国の法律に基づき、第三国または国際機関へデータを移転する義務を負う場合、当該法律が公共の利益上の重要な理由によりそのような情報の提供を禁止していない限り、GumGumは、処理を行う前に、当該法的要件について利害関係者に通知しなければならない。