データ処理契約

1. 適用範囲

本附属書は、データ保護規制（下記に定義）により必要とされる場合に、VoyraCloud が処理者として、お客様に VoyraCloud のサービスを提供する過程で、お客様のメンバーコンテンツに含まれる、またはこれに関連する個人データ（以下「データ」）をお客様に代わって処理する範囲においてのみ適用されます。

本附属書は、VoyraCloud の利用規約、またはお客様による VoyraCloud サービスの利用に関するお客様と VoyraCloud の間のその他の同等の契約（以下「本契約」）の一部を構成します。

ここで定義されていない大文字で始まる用語は、本契約で与えられた意味を有します。本契約のその他の条項（附属書を含みます）、またはデータに関してお客様が VoyraCloud との間で締結しているその他の契約と、本附属書との間に矛盾がある場合は、本附属書が優先します。

2. 定義

本附属書において：

「管理者」「データ主体」「処理」「処理者」「監督当局」は、いずれも GDPR において与えられた意味、または適用されるデータ保護規制における同等の用語の意味を有します。

「データ保護法」とは、（該当する場合）お客様および/または VoyraCloud によるデータの処理に適用され、これらを拘束するすべての法律および規制を意味し、(i) GDPR、(ii) 2018 年欧州連合（離脱）法第 3 条により英国法に保持された GDPR（以下「英国 GDPR」）、(iii) シンガポール個人情報保護法 2012（以下「PDPA」）を含みますが、これらに限られません。また、いずれの場合も、プライバシーおよびデータ保護に関する関連する国内法、規則、規制を含みます。明確にするため、データ保護法への言及には、随時改正、修正、拡張、再制定、統合、または置き換えられたデータ保護法への言及が含まれます。

「GDPR」とは、規則 (EU) 2016/679 を意味します。

「個人データ」とは、個人データ、個人情報、個人を特定できる情報、またはその他の同等の用語（いずれもデータ保護規制で定義されたもの）を意味します。

「制限された移転」とは、(i) 適用される GDPR の場合、欧州経済領域から欧州経済領域外の国、地域、または組織への個人データの移転で、当該移転が欧州委員会の十分性認定の対象となっていないもの、および (ii) 適用される英国 GDPR の場合、英国から他の国、地域、または組織への個人データの移転で、当該移転が英国データ保護法 2018 第 17A 条に定める十分性の規定に基づいていないものを意味します。

「標準契約条項」とは、(i) データが GDPR により保護されている場合、欧州議会および理事会の規則 (EU) 2016/679 に基づく第三国への個人データの移転に関する標準契約条項についての 2021 年 6 月 4 日付欧州委員会実施決定 (EU) 2021/914 の附属書に記載された標準契約条項（以下「EU SCC」）、および (ii) データが英国 GDPR により保護されている場合、データ保護法 2018 第 119A 条 (1) に基づき情報コミッショナーが発行した「欧州委員会の標準契約条項に対する国際データ移転追補」（以下「英国追補」）を意味します。標準契約条項の写しは、https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc から、または voyracloud@gmail.com までご連絡いただくことで入手できます。

3. 処理の内容

本附属書において、お客様は（管理者または処理者として）VoyraCloud をお客様の処理者に指定し、VoyraCloud サービスを提供し、適用される法律を遵守する目的（以下「許可された目的」）で、本契約の期間中にデータを処理させるものとします。

4. データの処理

本契約に従ってデータを処理する際、VoyraCloud は、その保有または管理の範囲内で、次のことを行うものとします。

(a) 適用される法律で別段の定めがある場合を除き、お客様の書面による指示に基づいてのみ、データを処理すること。

(b) VoyraCloud を通じてデータを処理することを許可されたすべての担当者が、適切な守秘義務を遵守することを確保すること。

(c) 次のことを目的として、適切な技術的および組織的なセキュリティ対策（アクセス管理を含みます）を実施および維持すること、またはその他の合理的なセキュリティ上の取り決めを行うこと：(i) VoyraCloud のセキュリティ上の脆弱性に起因する、権限のないまたは偶発的なアクセス、処理、削除、紛失、または使用から、VoyraCloud のデータを保護すること。VoyraCloud はこれらの対策を随時変更することがありますが、保護のレベルを、データ保護規制が要求する必須の最低水準（該当する場合）を下回るものにすることはありません。確認されたセキュリティイベントが発生した場合、データ保護規制の範囲内で：(1) VoyraCloud は、お客様に速やかに通知し、お客様が適用されるデータ保護法に基づくデータ侵害の報告義務を（そのスケジュールに従って）履行できるよう、合理的な情報と協力を提供するものとします。(2) VoyraCloud は、さらに、セキュリティイベントの影響を軽減するために合理的に必要な措置と行動をすべて講じ、セキュリティイベントに関連するすべての重要な進展をお客様に随時報告するものとします。セキュリティイベントには、適用されるデータ保護法で定義される「個人データ侵害」またはこれと同等の用語が含まれるものとみなされます。

(d) お客様は、データを処理する目的で第三者の下請業者を委託することについて、一般的な承認を与えます。ただし、VoyraCloud が (i)（お客様が下記第 5 条の規定を遵守することを条件として）あらゆる下請業者について全責任を負うこと、および (ii) VoyraCloud に代わってデータを処理するために指定されたあらゆる下請業者に対し、適用されるデータ保護法または本附属書（両者のうちより厳格な方）の遵守を求めるデータ保護条項を課すことを条件とします。お客様は、VoyraCloud がそのような下請業者を任命または交代させる前に、その任命または交代に異議を述べることができます。ただし、その異議はデータ保護に関する合理的な理由に基づくものでなければなりません。その場合、VoyraCloud は関連する下請業者を任命または交代させないものとし、それが不可能な場合は、お客様は関連する VoyraCloud サービスおよび本附属書（VoyraCloud サービスの範囲内）を終了することができますが、そのような終了に関連して発生した料金または費用について返金を受ける権利を有せず、またそのような終了は、お客様に提供されるその他のサービス、または関連する料金もしくは費用に影響しません。

(e) お客様の VoyraCloud サービスの利用に沿って、VoyraCloud のサービスの範囲および処理者としての VoyraCloud の役割の範囲内で、お客様がデータに直接アクセス、訂正、削除、制限、またはエクスポートできるようにする技術的措置を提供することにより、お客様が、適用されるデータ保護法に基づくデータ主体の権利行使の請求に対応することを支援すること（お客様は、処理の性質を考慮し、この条項が VoyraCloud によるそのような支援の能力を反映していることに同意します）。データ主体、監督当局、またはその他の当事者が VoyraCloud に直接データを請求した場合、VoyraCloud は直ちにお客様に通知するか、お客様に連絡するようその者に通知するものとします。

(f) VoyraCloud によるデータの処理が、データ主体のデータ保護に関する権利および自由に高いリスクをもたらしうると VoyraCloud が考える、または認識している場合、直ちにお客様に通知し、適用されるデータ保護法に基づくデータ保護影響評価および/または事前協議について、お客様の費用負担で、合理的な協力および/または協議を提供すること。

(g) お客様の裁量により、本契約の終了時に、VoyraCloud が所有または管理するすべてのデータを削除または返却すること。ただし、VoyraCloud は、そのような削除または返却に関連して発生した費用について責任を負いません。適用される法律が、VoyraCloud にデータの一部もしくは全部、またはバックアップシステムにアーカイブされたデータの保持を要求または許可している場合、この要件は適用されません。その場合、VoyraCloud は、次の場合を除き、さらなる処理を防ぐためにそのようなデータを隔離し保護するものとします：(i) 法律の要件の範囲内で、そのようなデータを削除できるようになるまで、または (ii) そのようなデータに個人データが含まれなくなった場合。

(h) VoyraCloud は、（適切な定期的な間隔で）自社のセキュリティ対策の妥当性を検証するための合理的なセキュリティ上の取り決めを行うこと。

(i) データ保護法に反しうる方針または行為を実施または行わないこと。

お客様に監査権が付与されている場合（標準契約条項または適用されるデータ保護法に基づく場合など）、お客様は、本条項に従って VoyraCloud に監査を実施するよう指示することにより、その監査権を行使することに同意します。この指示を変更したい場合は、書面による請求により、または標準契約条項の規定に従って変更することができ、そのような変更は書面で行うものとします（明確にするため、上記のいかなる内容も、VoyraCloud の他の顧客に関するデータ、資料、または情報の提供を VoyraCloud に要求するものではありません）。

疑義を避けるために付言すると、上記のいかなる内容も、そのような情報の開示に関する法律または職業行為規則に基づいて付与された権利、特権、または免責の開示を VoyraCloud に要求するものではありません。

5. お客様の責任

お客様は、次のことに同意します。

(a) お客様に関して、(i) VoyraCloud サービスを使用して個人データを処理すること、(ii) 本附属書に基づき当社をお客様の処理者に指定すること、(iii) VoyraCloud サービスに含まれる個人データを処理することに関する、適用されるデータ保護法に基づくすべての義務を遵守すること。

(b) 本附属書、本契約、お客様と VoyraCloud の間のその他の適用される契約、およびお客様による VoyraCloud サービスの設定と利用は、全体として、データ処理に関する VoyraCloud への、お客様の完全かつ最終的な書面による指示を構成すること。

(c) お客様の処理者としての VoyraCloud に対し、適用されるデータ保護法その他の適用される法律もしくは規制に違反しうる、または VoyraCloud もしくはその関連会社が適用されるデータ保護法もしくは規制に違反しうるような指示を行わず、またそのような方法で VoyraCloud サービスを使用しないこと。これらの条件の一般性を損なうことなく、お客様は、VoyraCloud に個人データを開示する際、次のことを行うことに同意し、認めます：(i) 適用される法律に基づき、当該データ主体の個人データを処理し、収集、利用および/または開示の目的で VoyraCloud に開示するために、関連するデータ主体から同意を取得すること、または取得したものとすること（VoyraCloud による当該個人データの処理に関する他の法的根拠に影響しません）。かつ、その同意が撤回されていないこと。または (ii) 同意が不要な法律の範囲においては、本附属書に基づき VoyraCloud サービスを提供する目的で、個人データを処理し VoyraCloud に開示するために、データ保護法に基づく必要な法的根拠をすべて取得していること。

(d) お客様のデータの正確性に責任を負い、それが最新の状態に保たれるようにし、データ主体からの請求または苦情に対応すること。

6. 国際的な移転

6.1 お客様は、お客様のデータを保管する場所（以下「指定リージョン」）を決定できます。お客様は、データを指定リージョンに保管すること、およびデータを指定リージョンに移転することに同意します。お客様のデータの処理に指定リージョン外への移転が含まれる場合、VoyraCloud は、処理者として、そのような移転が適用されるデータ保護規制に準拠することを確保するために必要な措置を講じるものとします。

6.2 お客様が VoyraCloud に制限された移転に該当するデータを移転する場合、お客様は、標準契約条項が、本附属書を参照することにより、お客様（データ輸出者として）と VoyraCloud（データ輸入者として）の間で、次のとおり締結されたものとみなされることに同意します。

6.2.1 GDPR により保護されるデータについては、EU SCC は次のとおり適用されます。

(a) お客様がデータモジュールの管理者である場合は第 2 の規定が適用され、お客様がデータモジュールの処理者である場合は第 3 の規定が適用されます。いずれの場合も、次のとおりです。

(i) 第 7 条では、任意のアクセス条項が適用されます（ただし、EU SCC に加入する新たな当事者は、VoyraCloud の事前の書面による同意を条件とします）。

(ii) 第 9 条のオプション 2 が適用され、下請業者の変更に関する通知期間は、本附属書第 4 条(d)の規定に従います。

(iii) 第 11 条のオプション 1 が適用され、EU SCC はオランダ法に準拠します。

(iv) 第 17 条ではオプション 1 が適用され、EU SCC はオランダ法に準拠します。

(v) 第 18 条(b)の紛争は、オランダの裁判所の管轄に服します。

(vi) EU 標準仕様の附属書 I は、本附属書および/または本附属書の附属書 I の完全な内容を含むものとみなされ、EU 標準仕様の附属書 C は、EU 標準仕様第 13 条に基づき、欧州標準仕様委員会によって決定されます。

(vii) EU 標準契約条項の附属書 II は、第 4 条(c)のリンクされたファイルの附属書 C に記載された情報を含むものとみなされます。

(b) EU 標準条項には、次の明確化が適用されます。

(i) お客様は、本附属書第 4 条(h)の規定を適用し、その要件を遵守することにより、EU 標準条項に基づく監査権を行使することができます。

(ii) VoyraCloud は、本附属書第 4 条(d)の規定に基づき下請業者を任命することができ、お客様は、本附属書第 4 条(d)の規定に基づき下請業者を拒否する権利を行使することができます。

(iii) 第 4 条(g)は、本契約の終了後に移転されたデータの削除または返却に適用されます。

(iv) 疑義を避けるために付言すると、VoyraCloud サービスの性質を考慮し、お客様は、データの正確性およびデータ収集の適法性について全責任を負い、VoyraCloud は、送信されたいかなるデータの正確性も確認する義務を負いません。

(c) お客様は、取引時の標準的な専門サービス料金を VoyraCloud に支払うものとし、また、EU SCC に基づき VoyraCloud に移転されたデータの利用に関連して VoyraCloud が負担した合理的な費用（データ主体の請求の処理に関する通知もしくは支援、またはデータ主体の請求への対応、ならびにお客様による移転されたデータの削除もしくは訂正への協力を含みますが、これらに限られません）を VoyraCloud に償還するものとします。

6.2.2 英国 GDPR により保護されるデータについては、英国追補が次のとおり適用されます。

(a) 第 6.2.1 条で記入された EU 標準条項が適用され、英国追補（本附属書の(b)項で記入されたもの）に従って修正されるものとします。

(b) 英国追補の表 1 から表 3 は、上記のとおり EU SCC の情報を含んで記入されたものとみなされ、表 4 の「輸出者」と「輸入者」のオプションが選択されたものとみなされます。英国追補の開始日（表 1 に記載）は、本附属書の日付とします。

6.2.3 GDPR および英国 GDPR の適用範囲外のデータについては、そのような管轄区域が EU SCC の使用を認めている場合（関連するデータ保護法に準拠するよう修正される場合があります）、EU SCC の規定が適用され、関連する管轄区域の関連データ保護規制に準拠するために必要な修正が行われるものとします。

6.2.4 PDPA により保護されるデータについては、VoyraCloud は、お客様の個人データが少なくとも PDPA に定める基準で引き続き保護されるよう、合理的に必要な措置を講じるものとします。これには、受領者との間で、契約条項、拘束力を有する社内規則、その他のデータ保護契約を含む書面による契約を締結することが含まれる場合があります。

6.3 下請業者へのさらなる移転については、VoyraCloud は、データ保護規制に完全に準拠している場合にのみ、そのようなデータ移転（制限された移転を含みます）に関与するものとします。

6.4 本附属書のいずれかの規定が、標準契約条項と直接的または間接的に矛盾する場合は、標準契約条項が優先します。

6.5 本附属書の明示的な規定に従うことを条件として、お客様は、(a) お客様がある管轄区域から別の管轄区域にデータを移転する場合、および/または (b) お客様が（お客様の処理者としての）VoyraCloud にある管轄区域から別の管轄区域にデータを移転するよう指示する場合において、次の点でデータ保護規制を遵守する責任を負うことに同意し、認めます。これらの条件の一般性を損なうことなく、お客様は、移転されるデータの保護レベルが、データ保護規制が要求するものと一致していることを確保するために、当該移転に関して適用されるデータ保護規制（当該移転に関連してお客様に適用されうる、適用されるデータ保護法に基づく義務を含みますが、これに限られません）により要求される場合を除き、いかなる個人データも、いかなる国または地域にも移転するよう当社に指示せず、また移転させないことに同意し、認めます。

7. その他

(a) 明確にするため、本契約および/または本附属書および/または標準契約条項から生じる、またはこれらに関連する事項について、VoyraCloud およびその関連会社、従業員、代理人、子会社、代表者、またはこれらを代理して行動する代表者が負う責任の累計総額は、VoyraCloud 利用規約第 11.6 条に基づく VoyraCloud の最大責任額を超えないものとします。

(b) VoyraCloud は、データ保護法を遵守するため、または情報コミッショナー事務局、欧州委員会、またはデータ保護法に基づくその他の監督当局が採択した標準契約条項を実施するためなどに、本附属書の条件を変更することがありますが、そのような変更により、お客様に提供される保護のレベルが、データ保護法が要求する必須の最低水準（該当する場合）を下回ることはありません。VoyraCloud が本附属書の条件を変更する場合、本附属書は VoyraCloud プラットフォーム上の改訂・再制定版となり、VoyraCloud は、附属書の重要な改訂について、少なくとも 15 日前までに書面で（VoyraCloud プラットフォームへの掲載、またはお客様の VoyraCloud アカウントでの表示により行う場合があります）お客様に通知するものとします。そのような書面による通知を受けた後に関連する製品またはサービスを引き続き利用した場合、お客様は、改訂・再制定された附属書に拘束されることに同意したものとみなされます。

附属書 1

A. 当事者一覧

データ輸出者：

名称：VoyraCloud 利用規約で「お客様」として特定される事業体。

住所：お客様の VoyraCloud アカウントに関連付けられたお客様の住所、またはデータ処理附属書もしくは VoyraCloud 利用規約で指定されたその他の住所。

担当者の氏名、役職、連絡先：お客様アカウントの連絡先、またはデータ処理附属書もしくは VoyraCloud 利用規約で指定されたその他の連絡先。

本条項に従って送信されるデータに関連する活動：データ処理附属書の第 3 条および第 4 条に定めるとおり。

署名および日付：お客様がアカウント登録時に「同意する」ボタンをクリックしたことは、同日に、利用規約およびデータ処理附属書をお客様が確認し、署名し、承諾したことを表します。

役割（管理者/処理者）：データ処理附属書に定めるとおり、管理者または処理者。

データ輸入者：

名称：VoyraCloud 利用規約に記載された「VoyraCloud」。

住所：VoyraCloud 利用規約で指定された VoyraCloud の住所。

担当者の氏名、役職、連絡先：附属書または VoyraCloud 利用規約で指定された VoyraCloud の連絡先。

本条項に従って送信されるデータに関連する活動：データ処理附属書の第 3 条および第 4 条に定めるとおり。

署名および日付：お客様がアカウント登録時に「同意する」ボタンをクリックしたことは、同日に、利用規約およびデータ処理附属書をお客様が確認し、署名し、承諾したことを表します。

役割（管理者/処理者）：処理者

B. 移転の内容

移転される個人データのデータ主体の区分：データ主体には、お客様の顧客、従業員、サプライヤー、エンドユーザーが含まれる場合があります。

移転される個人データの区分：ここで定義されていない大文字で始まる用語は、VoyraCloud 利用規約で与えられた意味を有します。個人データには、メンバーコンテンツに含まれる、またはこれに関連する、電子形式のあらゆる情報、コンテンツ、資料、データが含まれる場合があります。

機微データの送信（該当する場合）、および厳格な目的の制限、アクセス制限（特定の方法で訓練を受けた従業員のみがアクセスできることを含みます）、データへのアクセス記録の保持、後続の移転の制限、追加のセキュリティ対策など、そのようなデータを制限または保護するために講じられる措置：お客様は、特別な種類の個人データを VoyraCloud サービスにアップロードすることがあります。これには、（お客様の選択により）人種的または民族的出身、政治的見解、宗教的または哲学的信条、労働組合への加入、遺伝データ、自然人の一意な識別に関するデータ、健康に関するデータ、自然人の性生活または性的指向に関するデータ、および/または犯罪の有罪判決や犯罪、もしくは関連する保安措置に関するデータを明らかにするものが含まれる場合があります。機微データをアップロードする前に、お客様は、VoyraCloud の技術的および組織的措置が、お客様がアップロードすることを選択した機微データを取り扱うのに十分であることを、評価し確認する必要があります。

送信の頻度（たとえば、データが一回限りで送信されるのか、継続的に送信されるのか）：データは、VoyraCloud サービスの提供および本契約のその他の規定のために、随時または継続的に送信されることがあります。

処理の性質：当社は、VoyraCloud サービスの提供および本契約のその他の規定のために、個人データを処理および送信するものとします。

データ送信およびさらなる処理の目的：当社は、VoyraCloud サービスの提供および本契約のその他の規定のために、個人データを処理および送信するものとします。

個人データの保管期間（確定できない場合は標準）：データは、本契約の期間中に処理および送信されるものとします。

副処理者への移転については、処理の対象、性質、期間は、副処理者へのそのような移転にも適用されます。

C. 監督当局

監督当局：EU GDPR については、監督当局は EU SCC 第 13 条に従って解釈されるものとし、英国 GDPR については、監督当局は情報コミッショナー事務局とします。