发布商数据处理协议 (DPA)
本发布商数据处理附录（“DPA”）通过引用方式纳入 Almedia 发布商条款与条件（“条款”）以及适用的投放订单或订单表格（“订单表格”），由 Almedia GmbH（地址：Koppenstr. 8, 10243 Berlin, Germany，“控制者”或“Almedia”）与订单表格中确定的发布商实体（“处理者”或“发布商”）共同签署。
订单表格、条款及本 DPA 共同构成了控制者与处理者之间完整的数据处理协议（“协议”）。本 DPA 中未定义的术语具有订单表格或条款中赋予的含义。
1. 定义
1.1 “适用法律”指所有适用的数据保护和隐私法律，包括《通用数据保护条例》（GDPR）、《英国通用数据保护条例》（UK GDPR）、《加州消费者隐私法案》（CCPA，如适用），以及所有根据本协议规范个人数据处理的法律。
1.2 “个人数据”指处理方根据本协议代表控制方所处理的任何个人数据。
1.3 “数据保护法律”指欧盟数据保护法律，以及在适用范围内，任何其他适用国家的数据保护或隐私法律，包括《英国通用数据保护条例》（UK GDPR）以及适用的《加州消费者隐私法案》（CCPA）。
1.4 “欧盟数据保护法律”指欧盟第 95/46/EC 号指令，及其在各成员国国内立法中的转化，以及不时修订、替换或废止后的版本，包括《通用数据保护条例》（GDPR）及其实施或补充法律。
1.5 “GDPR”指《欧盟通用数据保护条例》（EU 2016/679）。
1.6 诸如“个人数据”、“处理”、“控制方”，以及“处理者”，以及“数据主体”，以及“子处理者”，以及“监管机构”均具有 GDPR 中赋予的含义。
1.7 “服务”指协议中所述的广告、归因、分析、欺诈检测、计费、优化及相关发布商服务。
2. 双方角色
2.1 Almedia 担任控制者。广告主根据本协议担任处理者。
2.2 控制者指示处理者：(i) 处理个人数据；以及 (ii) 特别是，将个人数据传输至任何国家或地区，所有这些操作均为提供服务所必需，且符合本协议及适用法律。
2.3 处理者应仅为履行服务之目的，并根据控制者的书面指示处理个人数据。
2.4 控制者保证并声明，在所有相关时间及处理者合法处理个人数据的整个期间内，其均已并将持续获得充分且有效的授权，以发出第 2.2 节中规定的指示以及根据本协议发出的任何额外书面指示。
2.5 GDPR 第 28 条第 (3) 款所要求的个人数据处理详情载于附表 1（处理详情）中，该附表构成本数据处理协议 (DPA) 不可分割的一部分。
3. 处理者义务
3.1 除非法律另有规定，处理者仅应根据控制者的书面指示处理个人数据。
3.2 处理者应确保获准处理个人数据的人员承担可强制执行的保密义务。
3.3 处理者应根据《通用数据保护条例》（GDPR）第32条的要求，采取适当的技术和组织措施。
3.4 除适用法律要求或允许，或为确立、行使或抗辩法律主张、执行本协议、防止欺诈及保护服务安全所必需的情况外，处理者不得将个人数据的保留时间超过提供服务所需的期限。在此类情况下，处理者应将处理范围限制在上述目的内，并实施适当的访问控制。
3.5 处理者不得为自身目的处理个人数据。处理者仅可保留和使用不构成个人数据的汇总或匿名化形式的数据。
4. 子处理者
4.1 在遵守本第4条的前提下，控制者授权处理者仅在提供服务所必需的范围内，且仅在附件2所列的处理类别内聘用子处理者。
4.2 处理者应确保所有子处理者均受书面协议约束，该协议应规定与本数据处理协议（DPA）实质等同且符合适用法律要求的数据保护义务。
4.3 处理者应维护一份参与提供服务的当前子处理者最新名单，包括其身份、所在地及处理目的，并应在控制者要求时提供该名单。
4.4 在委任或更换任何对个人数据处理活动有重大影响的子处理者之前，处理者应通过电子邮件提前通知控制者。
4.5 控制者仅可基于合理且有据可查的数据保护理由，对委任新子处理者提出异议。处理者应与控制者诚信合作，以解决此类异议。
4.6 若无法达成双方均可接受的解决方案，控制者可暂停受影响的服务，或通过书面通知终止服务。此类暂停或终止应为控制者针对子处理者异议所能采取的唯一且排他的补救措施。
5. 跨境传输
5.1 在法律允许且具备适当保障措施的前提下，处理者可将个人数据传输至欧洲经济区（EEA）/英国境外。
5.2 获准的保障措施可包括欧盟标准合同条款（SCC）、英国补充条款/国际数据传输协议（IDTA）或任何后续机制。
5.3 处理者应确保接收传输的子处理者实施了充分的保障措施。
6. 数据主体权利
6.1 控制者负责响应数据主体的请求。
6.2 处理者应为控制者响应数据主体请求提供合理协助。
6.3 除非法律要求或受控制者指示，处理者不得直接回复数据主体。
7. 个人数据泄露
7.1 处理方在获悉影响个人数据的个人数据泄露事件后，应立即通知控制方。
7.2 处理方应提供合理可用的信息，以协助控制方履行其通知义务。
7.3 处理方应就补救措施与控制方进行配合。
8. 数据保护影响评估与审计
8.1 在数据保护法律要求的范围内，处理方应为数据保护影响评估（DPIA）及与监管机构的磋商提供合理协助。
8.2 控制方可由独立且信誉良好的审计师进行审计或检查，但须遵守以下条件：(a) 提前 30 天发出书面通知；(b) 每 12 个月内审计次数不得超过一次，除非法律另有规定或发生已确认的事件；(c) 所有相关费用由控制方承担；(d) 审计应在正常营业时间内进行，且不得造成不当干扰。
8.3 若第三方认证或审计报告足以证明合规性，处理方可通过提供此类文件来履行审计义务。
9. 数据归还与删除
9.1 在遵守第 9.2 条的前提下，处理方应在涉及个人数据处理的任何服务终止之日起六十 (60) 日内，根据控制方的书面指示，及时删除、去标识化或归还所有个人数据副本，但适用法律要求处理方保留的副本除外。
9.2 在遵守本协议及适用法律的前提下，处理方可在法律要求或授权的范围内保留个人数据，前提是处理方须确保此类个人数据的机密性，并仅将其用于保留所必需或授权的目的。
10. 责任
本协议中规定的责任限制和免责条款同样适用于本数据处理协议（DPA）。
11. 适用法律与管辖权
本数据处理协议受本协议中规定的适用法律和管辖权条款管辖。
12. 优先顺序
12.1 若本数据处理协议与本协议的其他部分发生冲突，且该冲突涉及个人数据处理或对数据保护法律的遵守，则以本数据处理协议为准。
12.2 在遵守第 12.1 条的前提下，若订单中明确说明，则订单的效力优先于条款及本数据处理协议。
附表 1：处理详情
标的： 归因、分析、欺诈检测、账单验证以及广告活动的优化。
处理期限： 协议有效期内及法律要求的留存期。
处理性质： 接收、收集、结构化、匹配、分析、去标识化、传输、存储及删除控制者个人数据。
处理目的：
- 通过移动监测平台（MMP）进行归因与匹配
- 点击、展示、安装及事件的衡量
- 欺诈检测与防范
- 结算与账单验证
- 广告活动优化与报告
- 技术支持
数据主体：
- 与广告素材互动的终端用户
- 拥有平台访问权限的广告主人员
个人数据类别：
- 终端用户数据（应用/网页）：广告标识符（IDFA/GAID）、IP地址、用户代理（User-Agent）、操作系统版本、设备型号、安装时间戳、点击时间戳、粗略地理位置信息、安装后事件、欺诈分析信号。
- 广告主人员数据：姓名、电子邮箱、登录活动。
敏感及特殊类别个人数据： 广告主不得向处理者发送数据保护法所定义的任何敏感或特殊类别个人数据。
附表 2：子处理者
处理方仅可在以下处理类别范围内，且仅在提供服务所必需的限度内聘用子处理方：
- 云托管和基础设施提供商（包括服务器、存储、内容分发及相关基础设施服务）
- 数据分析、归因和衡量支持工具（包括用于接收、处理或验证归因信号的技术工具）
- 欺诈检测和流量质量供应商（包括用于分析设备、行为或技术信号以进行欺诈预防的系统）
- 安全、日志记录和监控提供商（包括用于访问控制、异常检测、事件监控和威胁预防的工具）
- 客户支持和通信服务（包括用于与控制方人员进行互动的工单、电子邮件和通信平台）
- 备份、冗余和业务连续性提供商
- 内部开发、审计和运营工具（仅用于支持处理方的内部运营及服务交付）
处理方维护一份最新且权威的当前所有子处理方名单，包括其身份、所在地和处理目的，该名单也将告知控制方。
此名单将根据本数据处理协议（DPA）第 4 条的规定持续更新。
パブリッシャー データ処理契約 (DPA)
【参考訳／便宜的翻訳（日本語）】
※本日本語訳は参考目的のみで作成されたものであり、法的拘束力はありません。
※英語正文と日本語訳の間に齟齬がある場合には、英語正文が優先されます。
本パブリッシャー向けデータ処理補遺（以下「本DPA」といいます。）は、Almedia GmbH（所在地：Potsdamer Str. 125, 10783 Berlin, Germany。以下「管理者」または「Almedia」といいます。）と、該当するインサーションオーダーまたはオーダーフォーム（以下「オーダーフォーム」といいます。）においてパブリッシャーとして特定される事業体（以下「処理者」または「パブリッシャー」といいます。）との間で締結される、Almedia パブリッシャー利用規約（以下「規約」といいます。）および該当するオーダーフォームに組み込まれ、これらに参照により統合されるものとします。
オーダーフォーム、規約および本DPAは、管理者および処理者間におけるデータ処理に関する完全な合意（以下「本契約」といいます。）を構成するものとします。本DPAにおいて定義されていない大文字表記の用語は、オーダーフォームまたは規約において付与された意味を有するものとします。
1. 定義
1.1「適用法令（Applicable Laws）」とは、GDPR、UK GDPR、CCPA（該当する場合）を含む、本契約に基づく個人データの処理を規制するすべての適用されるデータ保護およびプライバシー関連法令をいいます。
1.2「個人データ（Personal Data）」とは、本契約に基づき、処理者が管理者のために処理するすべての個人データをいいます。
1.3「データ保護法令（Data Protection Laws）」とは、EU データ保護法令および、該当する範囲において、UK GDPR および（該当する場合）CCPA を含む、その他の国のデータ保護またはプライバシー関連法令をいいます。
1.4「EU データ保護法令（EU Data Protection Laws）」とは、EU 指令 95/46/EC（各加盟国の国内法に移行されたもの）ならびに、GDPR および GDPR を実施または補完する法律を含め、随時改正、置換または廃止される法令をいいます。
1.5「GDPR」とは、EU 一般データ保護規則（EU 2016/679）をいいます。
1.6「個人データ」「処理」「管理者」「処理者」「データ主体」「サブプロセッサー」「監督当局」等の用語は、GDPR において与えられた意味を有するものとします。
1.7「サービス（Services）」とは、本契約に記載された、広告、アトリビューション、分析、不正検知、請求、最適化および関連サービスをいいます。
2. 当事者の役割
2.1 Almedia は、本契約に基づく個人データの処理に関して Controller として行動し、Advertiser は Processor として行動します。
2.2 管理者は、サービス提供に合理的に必要であり、本契約および適用法令に従う範囲で、(i) 個人データを処理すること、ならびに (ii) 個人データをいかなる国または地域にも移転することを、処理者に指示します。
2.3 処理者は、管理者の文書化された指示に従い、サービス提供の目的に限って個人データを処理するものとします。
2.4 管理者は、第 2.2 条に定める指示および本契約に基づく追加の文書化された指示を行う正当な権限を有し、処理者が適法に個人データを処理する期間中、当該権限を維持することを表明し、保証します。
2.5 GDPR 第 28 条第 3 項に基づき要求される個人データ処理の詳細は、別紙 1（処理の詳細）に定められ、本 DPA の不可欠な一部を構成します。
3. 処理者の義務
3.1 Processor は、法令により別途求められる場合を除き、Controller からの文書化された指示に基づいてのみ個人データを処理するものとします。
3.2 処理者は、個人データを処理する権限を有する者が、強制力のある守秘義務を負うことを確保します。
3.3 処理者は、GDPR 第 32 条に従い、適切な技術的および組織的安全管理措置を実施します。
3.4 処理者は、サービス提供に必要な期間を超えて個人データを保持しません。ただし、適用法令により保持が要求または許容される場合、法的請求の確立・行使・防御、契約の履行確保、不正防止またはサービスの安全確保のために必要な場合を除きます。この場合、処理者は当該目的に限定して処理を行い、適切なアクセス制御を実施します。
3.5 処理者は、自己の目的のために個人データを処理しません。処理者は、個人データに該当しない集計または匿名化されたデータのみを保持および利用することができます。
4. サブプロセッサー
4.1 本第 4 条に従い、管理者は、サービス提供に必要な範囲に限り、かつ別紙 2 に定める処理カテゴリの範囲内でのみ、処理者がサブプロセッサーを利用することを承認します。
4.2 処理者は、すべてのサブプロセッサーが、本 DPA および適用法令に基づき要求されるものと実質的に同等のデータ保護義務を課す書面契約に拘束されていることを確保します。
4.3 処理者は、本サービスの提供に関与するすべての現行のサブ処理者について、その名称、所在地および処理目的を含む最新かつ正式な一覧を維持管理し、管理者からの要請があった場合には、当該一覧を管理者に提供するものとします。
4.4 処理者は、個人データに重大な影響を及ぼすサブプロセッサーの新規任命または変更に先立ち、事前通知を行います。
4.5 管理者は、合理的かつ文書化されたデータ保護上の理由に限り、新たなサブプロセッサーの任命に異議を述べることができます。
4.6 相互に受け入れ可能な解決策が得られない場合、管理者は、影響を受けるサービスを停止または書面通知により終了することができ、これがサブプロセッサーに関する唯一かつ排他的な救済手段となります。
5. 国際データ移転
5.1 処理者は、法令により許容され、かつ適切な保護措置が講じられている場合、EEA／UK 域外へ個人データを移転することができます。
5.2 適切な保護措置には、EU 標準契約条項、UK 追加条項／IDTA またはそれらの後継制度が含まれます。
5.3 処理者は、移転を受けるサブプロセッサーが適切な保護措置を実施していることを確保します。
6. データ主体の権利
6.1 データ主体からの請求への対応は、管理者の責任とします。
6.2 処理者は、管理者の費用負担により、当該請求への対応について合理的な支援を行います。
6.3 処理者は、法令により要求される場合または管理者の指示がある場合を除き、データ主体に直接対応しません。
7. 個人データ侵害
7.1 処理者は、個人データ侵害を認識した場合、遅滞なく管理者に通知します。
7.2 処理者は、管理者の通知義務履行を支援するため、合理的に入手可能な情報を提供します。
7.3 処理者は、是正対応について管理者と協力します。
8. データ保護影響評価および監査
8.1 処理者は、データ保護影響評価および監督当局との協議について、データ保護法令により必要な範囲で合理的な支援を行います。
8.2 管理者は、一定の条件の下、独立かつ信頼性のある監査人による監査または検査を実施することができます。
8.3 処理者は、十分なコンプライアンスを示す第三者認証または監査報告書の提供により、監査義務を充足することができます。
9. データの返却および削除
9.1 第9.2条を条件として、Processor は、個人データの処理を伴うサービスが終了した日から速やかに、かついかなる場合でも六十（60）日以内に、Controller の文書化された指示に従い、すべての個人データの写しを削除、仮名化、または返却するものとします。ただし、適用法令に基づき Processor が保持することを義務付けられている個人データの写しについては、この限りではありません。
9.2 本契約および適用法令に従い、処理者は、法令により要求または許容される範囲で個人データを保持することができます。この場合、処理者は、当該個人データの機密性を確保し、保持が要求または許容される目的に限って処理するものとします。
10. 責任
本契約に定める責任制限および免責は、本 DPA にも同様に適用されます。
11. 準拠法および管轄
本 DPA は、本契約に定める準拠法および管轄に従うものとします。
12. 優先順位
12.1 本 DPA と本契約の他の条項との間に齟齬がある場合、個人データの処理またはデータ保護法令の遵守に関する限り、本 DPA が優先されます。
12.2 第 12.1 条に従い、明示的に定められている場合には、オーダーフォームが利用規約および本 DPA に優先します。
別紙 1：処理の詳細
処理対象：広告キャンペーンのアトリビューション、分析、不正検知、請求検証および最適化
処理期間：本契約期間および法令上必要な保存期間
処理の性質：取得、収集、構造化、照合、分析、仮名化、移転、保存および削除
処理目的：
MMP を通じたアトリビューションおよび照合
クリック、インプレッション、インストールおよびイベントの測定
不正検知および防止
精算および請求検証
キャンペーン最適化およびレポーティング
技術サポート
データ主体：
広告素材と接触するエンドユーザー
プラットフォームにアクセスする広告主担当者
個人データの種類：
エンドユーザーデータ（IDFA／GAID、IP アドレス、ユーザーエージェント、OS バージョン、デバイスモデル、インストール時刻、クリック時刻、概算位置情報、インストール後イベント、不正分析信号）
広告主担当者データ（氏名、メールアドレス、ログイン活動）
特別カテゴリーの個人データ：広告主は、データ保護法令に定義される特別カテゴリーの個人データを処理者に提供してはなりません。
別紙 2：サブプロセッサー
Processor は、本契約に基づく Services の提供に必要な範囲においてのみ、以下の処理カテゴリに該当するサブプロセッサーを利用することができます。
- クラウドホスティングおよびインフラストラクチャ提供事業者
（サーバー、ストレージ、コンテンツ配信、その他関連するインフラサービスを含みます） - データ分析、アトリビューションおよび計測支援ツール
（アトリビューションシグナルの受信、処理または検証に使用される技術的ツールを含みます） - 不正検知およびトラフィック品質評価ベンダー
（不正防止を目的として、デバイス、行動または技術的シグナルを分析するシステムを含みます） - セキュリティ、ログ管理およびモニタリング提供事業者
（アクセス制御、異常検知、インシデント監視および脅威防止のためのツールを含みます） - カスタマーサポートおよびコミュニケーションサービス提供事業者
（Controller の担当者とのやり取りに使用されるチケッティング、電子メールおよびコミュニケーションプラットフォームを含みます） - バックアップ、冗長化および事業継続性（BCP）関連サービス提供事業者
- 内部開発、監査および運用支援ツール
（Processor の内部業務および Services の提供を支援する目的にのみ使用されるものに限ります）
Processor は、すべての現行のサブプロセッサーについて、その名称、所在地および処理目的を含む最新かつ正式な一覧を維持管理し、当該一覧を Controller にも通知します。
当該一覧は、本 DPA 第4条に従い、継続的に更新されます。