データ処理補足契約

1. 役割と範囲

本補遺はサービス利用規約の一部を構成します。クライアントワークスペース内、クライアントの広告アカウント、タグマネージャー、アナリティクス内、および当社に提供されたCRMのエクスポートにおいて処理される個人データ（「クライアント個人データ」）について、クライアントは管理者であり、THEFOCUS LTDは処理者です。処理の内容は附属書1に記載しています。クライアント自身が他の管理者のための処理者である場合、当社は同一の条件でその再処理者として行為します。

本補遺は、UK GDPR第28条、および適用される場合はEU GDPR第28条と、当社の対応市場におけるその他のデータ保護法の処理者に関する規定を満たすものです。

2. 処理者としての当社の義務

• 法令に別段の定めがある場合を除き、契約およびクライアントによるアプリケーションの利用を含む、クライアントの文書化された指示に基づいてのみ、クライアント個人データを処理します。法令に別段の定めがある場合、当社は、法令により禁止されていない限り、処理の前にクライアントに通知します。当社は、指示がデータ保護法に違反すると考える場合、その旨をクライアントに伝えます。
• 処理を許可されたすべての者が守秘義務を負うようにします。
• 附属書2に定める技術的および組織的措置を講じます。
• 再委託先は、第3条に定めるところに従ってのみ利用します。
• 処理の性質を考慮したうえで、データ主体からの請求への対応、ならびにセキュリティ、侵害の通知、影響評価、規制当局との事前協議に関するクライアントの義務について、クライアントを支援します。
• クライアント個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、かつ48時間以内に、クライアントが自らの報告義務を果たすために必要な情報とともにクライアントに通知します。
• サービスの終了時には、法令により保存が義務づけられている場合を除き、クライアントの選択に従って30日以内にクライアント個人データを削除または返却し、既存の複製を削除します。
• コンプライアンスを証明するために必要な情報を提供し、30日前の通知により、守秘義務のもとで、侵害または規制当局の要請がある場合を除き年1回を上限として、クライアントまたはクライアントが選任した監査人による監査を受け入れます。

3. 再委託先

クライアントは、当社の再委託先のページに記載された再委託先について一般的な承認を与えます。最新の名称一覧は、クライアントダッシュボードで確認でき、ご要望に応じて提供します。当社は、新たな再委託先について、アプリケーションを通じて少なくとも30日前に通知します。クライアントは、データ保護上の合理的な理由に基づいて異議を述べることができ、当社がその異議を解決できない場合、クライアントは違約金なしで影響を受けるサービスを終了できます。当社は、各再委託先に対し本補遺と同等以上の保護水準のデータ保護条項を課し、その履行について引き続き責任を負います。

4. 国際移転

当社は、英国の十分性規則、EU-USデータプライバシーフレームワークの英国拡張、ICOの国際データ移転契約、またはEU標準契約条項に対する英国補遺に基づく場合に限り、クライアント個人データを英国外に移転します。

クライアントがEEAに所在する場合、当社への移転は、英国に関する欧州委員会の十分性認定に依拠します。当該認定が適用されなくなった場合は、EU標準契約条項（モジュール2、またはクライアントが処理者である場合はモジュール3）が参照により組み込まれ、当該条項に限りアイルランド法を準拠法とし、アイルランドを紛争解決地とします。クライアントがスイスに所在する場合は、スイス向けの修正を加えた同条項が適用されます。その他の市場については、ご要望に応じて、トルコのKVKKや中国のPIPLに基づく標準契約など、クライアントの所在国の法律が求める移転条項に署名します。

5. 特別な種類のデータと機微なターゲティング

クライアントは、特別な種類のデータ（健康データなど）、犯罪に関するデータ、子どものデータをアプリケーションにアップロードしてはならず、機微な属性に基づくターゲティングを指示してはなりません。

6. 責任と期間

本補遺に基づく責任は、サービス利用規約に定める制限に服します。本補遺は、当社がクライアント個人データを処理する期間中、効力を有します。

附属書1：処理の内容

• 対象事項と期間：契約期間および30日間の終了移行期間におけるサービスの提供。
• 性質と目的：キャンペーンの計画と運用、クライアントのキャンペーンへのリアルタイムの最適化シグナル、測定と計測の設定、レポート、サポート。
• データ主体：クライアントのスタッフであるユーザー、ならびに広告、アナリティクス、CRMのデータに含まれるクライアントの見込み客と顧客。
• データの種類：クライアントのユーザーの氏名と業務上の連絡先、オンライン識別子、プラットフォームのコンバージョン照合に使用するハッシュ化された連絡先データ、集計されたキャンペーン指標、CRMのリードステージ。
• 保存期間：プライバシーに関する通知および第2条に定めるとおり。

附属書2：技術的および組織的措置

• すべてのアカウントで多要素認証を必須とし、使い捨てのリカバリーコードはハッシュとしてのみ保存します。
• スタッフには役割に基づく最小権限のアクセスを付与し、役割の変更時に見直します。
• クライアントワークスペース間の分離を、アプリケーションとデータベースの両方のレイヤーで徹底します。
• 通信は最新のTLSで暗号化し、データベース、ファイル、バックアップは保存時に暗号化します。
• 125か国以上にわたる、分散かつ暗号化されたサービス提供。
• セキュリティに関わる操作について、追記専用の監査ログを記録します。
• 広告アカウントのパスワードは保存しません。アクセスはプラットフォームのユーザー権限またはパートナー権限を通じてのみ行います。
• Webhookとデータ取り込みには署名とリプレイ攻撃対策を施します。
• すべてのリリースの前に、シークレットの自動スキャンとテストを実施します。
• エスカレーションとクライアントへの通知を定めたインシデント対応手順。