広告主データ処理契約 (DPA)
本広告主データ処理補足条項（以下「DPA」といいます）は、Almedia広告主利用規約（以下「本規約」といいます）および該当する注文書または発注フォーム（以下「発注フォーム」といいます）に参照により組み込まれるものとします。本DPAは、Almedia GmbH（所在地：Koppenstr. 8, 10243 Berlin, Germany、以下「処理者」または「Almedia」といいます）と、発注フォームにおいて広告主として特定される事業体（以下「管理者」といいます）との間で締結されます。
発注フォーム、本規約、および本DPAは、管理者と処理者との間のデータ処理に関する合意の全体を構成します（以下「本契約」といいます）。本DPAで定義されていない大文字で始まる用語は、発注フォームまたは本規約において与えられた意味を有するものとします。
1. 定義
1.1 「適用法」とは、GDPR、英国GDPR、CCPA（該当する場合）、および本契約に基づく個人データの処理を規制するすべての法律を含む、適用されるすべてのデータ保護法およびプライバシー法を意味します。
1.2 「個人データ」とは、本契約に基づき、処理者が管理者のために処理するあらゆる個人データを指します。
1.3 「データ保護法」とは、EUデータ保護法、および適用される範囲において、英国GDPRや該当する場合はCCPAを含む、その他の適用国のデータ保護法またはプライバシー法を指します。
1.4 「EUデータ保護法」とは、各加盟国の国内法に置き換えられ、GDPRやGDPRを補完または実施する法律などによって随時改正、置換、または取って代わられるEU指令95/46/ECを指します。
1.5 「GDPR」とは、EU一般データ保護規則（EU 2016/679）を指します。
1.6 「個人データ」、「処理」、「管理者」、「処理者”、 “データ主体”、 “サブプロセッサー”、および“監督機関”は、GDPRで定義された意味を有するものとします。
1.7 “サービス”とは、本契約に記載された広告、アトリビューション、分析、不正検知、請求、最適化、および関連サービスを意味します。
2. 当事者の役割
2.1 Almediaはプロセッサーとしてのみ行動します。広告主は本契約に基づきコントローラーとして行動します。広告主が第三者のコントローラーから権限を付与されたプロセッサーである場合、広告主はAlmediaに指示を与え、Almediaをプロセッサーとして指名する権限を有することを保証するものとします。
2.2 コントローラーはプロセッサーに対し、(i)個人データの処理、および(ii)特に、サービスの提供のために合理的に必要であり、かつ本契約および適用法に準拠する範囲内での、あらゆる国または地域への個人データの移転を指示するものとします。
2.3 プロセッサーは、サービスの遂行を目的とする場合に限り、かつコントローラーの文書化された指示に従ってのみ、個人データを処理するものとします。
2.4 コントローラーは、プロセッサーが個人データを適法に処理する期間中、関連するすべての時点において、セクション2.2に記載された指示および本契約に基づく追加の文書化された指示を与える権限を正当かつ有効に有しており、今後もその状態を維持することを保証および表明するものとします。
2.5 GDPR第28条(3)で要求される個人データの処理の詳細は、本DPAの不可欠な一部を構成するスケジュール1（処理の詳細）に記載されています。
3. プロセッサーの義務
3.1 プロセッサーは、法律により別段の定めがある場合を除き、コントローラーからの文書化された指示に基づいてのみ個人データを処理するものとします。
3.2 プロセッサーは、個人データの処理を許可された者が、強制力のある守秘義務を負うことを保証するものとします。
3.3 プロセッサーは、GDPR第32条で要求される適切な技術的および組織的対策を講じるものとします。
3.4 処理者は、本サービスの提供に必要な期間、または法令で義務付けられている期間を超えて個人データを保持してはならない。
3.5 処理者は、自らの目的のために個人データを処理してはならない。処理者は、個人データに該当しない集計済みまたは匿名化された形式でのみ、データを保持および使用することができる。
4. 再処理者
4.1 本第4条に従い、管理者は処理者に対し、本サービスの提供に必要な範囲内、かつ別紙2に定める処理カテゴリーの範囲内においてのみ、再処理者を利用することを許可する。
4.2 処理者は、すべての再処理者が、本DPAに含まれる義務および適用法で義務付けられている義務と実質的に同等のデータ保護義務を課す書面による契約に拘束されることを保証するものとする。
4.3 処理者は、本サービスの提供に関与するすべての現在の再処理者の最新リストを保持する。このリストは継続的に更新され、管理者は以下のURLから閲覧できる。 www.freecash.com/en/policies/privacy-eu （または管理者に通知された後継のURL）。
4.4 処理者は、個人データに重大な影響を及ぼす処理活動のために再処理者を任命または交代させる前に、（再処理者リストを通じて、または法的に義務付けられている場合は電子メールにより）事前の通知を行うものとする。
4.5 管理者は、合理的かつ文書化されたデータ保護上の理由がある場合に限り、新しい再処理者の任命に異議を唱えることができる。処理者は、かかる異議を解決するために管理者と誠実に協力するものとする。
4.6 相互に受け入れ可能な解決策に達することができない場合、管理者は影響を受けるサービスを停止するか、書面による通知をもって終了することができる。かかる停止または終了は、再処理者に対する異議申し立てに関連して、管理者が取り得る唯一かつ排他的な救済手段とする。
5. 国際移転
5.1 処理者は、法的に許可され、かつ適切な保護措置が講じられている場合に限り、EEA/英国外へ個人データを移転することができる。
5.2 承認された保護措置には、EU標準契約条項（SCC）、英国補足条項/IDTA、またはその後継メカニズムが含まれる場合がある。
5.3 処理者は、移転先となる再処理者が適切な保護措置を講じていることを保証するものとする。
6. データ主体の権利
6.1 管理者は、データ主体からの請求に対応する責任を負う。
6.2 処理者は、データ主体からの請求に対応する際、管理者の費用負担において、合理的な支援を管理者に提供するものとする。
6.3 処理者は、法律で義務付けられている場合、または管理者から指示を受けた場合を除き、データ主体に直接回答してはならない。
7. 個人データの漏洩
7.1 処理者は、個人データに影響を及ぼす個人データ侵害を認識した後、不当に遅滞することなく管理者に通知するものとします。
7.2 処理者は、管理者が通知義務を果たすために合理的に利用可能な情報を提供するものとします。
7.3 処理者は、是正措置に関して管理者に協力するものとします。
8. データ保護影響評価および監査
8.1 処理者は、データ保護法により義務付けられる範囲において、DPIA（データ保護影響評価）および監督当局との協議に対し、合理的な支援を提供するものとします。
8.2 管理者は、以下の条件に従うことを前提として、独立した信頼できる監査人による監査または検査を実施することができます。(a) 30日前までの書面による通知、(b) 法律で義務付けられている場合または確認されたインシデントが発生した場合を除き、12か月間に1回まで、(c) 関連するすべての費用は管理者が負担すること、(d) 業務に不当な支障をきたさないよう、通常の営業時間内に実施すること。
8.3 処理者は、コンプライアンスを証明するのに十分である場合、第三者による認証または監査報告書を提供することにより、監査義務を履行することができるものとします。
8.4 管理者は、監査に関連するすべての費用および手数料を負担するものとします。
9. データの返却および削除
9.1 第9.2条に従い、処理者は、個人データの処理を伴うサービスが終了した日から90営業日以内に、管理者の文書化された指示に従い、すべての個人データのコピーを削除、仮名化、または返却するものとします。ただし、適用法に基づき処理者が保持を義務付けられているコピーは除きます。
9.2 本契約および適用法に従い、処理者は、法律により義務付けられている、または許可されている範囲で個人データを保持することができるものとします。ただし、処理者は当該個人データの機密性を確保し、保持が義務付けられている、または許可されている目的のためにのみ処理を行うものとします。
10. 責任
本契約に定められた責任の制限および免責事項は、本DPAにも同様に適用されます。
11. 準拠法および管轄裁判所
本DPAは、本契約に定められた準拠法および管轄裁判所の規定に従うものとします。
12. 優先順位
12.1 本DPAと本契約の他の部分との間に矛盾がある場合、個人データの処理またはデータ保護法への準拠に関する限り、本DPAが優先するものとします。
12.2 第12.1条に従い、注文書に明示的に記載されている場合、注文書が本規約および本DPAに優先するものとします。
スケジュール1：処理の詳細
対象事項： アトリビューション、分析、不正検知、請求の検証、および広告キャンペーンの最適化。
保持期間： 本契約の有効期間中、および法令により義務付けられた保持期間。
処理の性質： 管理者の個人データの受領、収集、構造化、照合、分析、仮名化、転送、保存、および削除。
処理の目的：
- MMPを介したアトリビューションおよび照合
- クリック、インプレッション、インストール、およびイベントの測定
- 不正の検知および軽減
- 決済および請求の検証
- キャンペーンの最適化およびレポーティング
- テクニカルサポート
データ主体：
- 広告素材を閲覧・操作するエンドユーザー
- プラットフォームにアクセスする広告主の担当者
個人データのカテゴリ：
- エンドユーザーデータ（アプリ/ウェブ）：広告識別子（IDFA/GAID）、IPアドレス、ユーザーエージェント、OSバージョン、デバイスモデル、インストール日時、クリック日時、大まかな位置情報、インストール後のイベント、不正分析シグナル。
- 広告主の担当者データ：氏名、メールアドレス、ログイン履歴。
機微な個人データおよび特別なカテゴリの個人データ： 広告主は、データ保護法で定義される機微な個人データまたは特別なカテゴリの個人データを、処理者に送信してはならない。
別紙2：サブプロセッサー
プロセッサーは、以下の処理カテゴリーの範囲内において、かつ本サービスの提供に必要な場合に限り、サブプロセッサーを利用することができます。
- クラウドホスティングおよびインフラストラクチャプロバイダー（サーバー、ストレージ、コンテンツ配信、および関連するインフラストラクチャサービスを含む）
- データ分析、アトリビューション、および測定サポートツール（アトリビューションシグナルの受信、処理、または検証に使用される技術的ツールを含む）
- 不正検知およびトラフィック品質管理ベンダー（不正防止のためにデバイス、行動、または技術的シグナルを分析するシステムを含む）
- セキュリティ、ログ記録、および監視プロバイダー（アクセス制御、異常検知、インシデント監視、および脅威防止のためのツールを含む）
- カスタマーサポートおよびコミュニケーションサービス（コントローラーの担当者とのやり取りに使用されるチケット管理、メール、およびコミュニケーションプラットフォームを含む）
- バックアップ、冗長化、および事業継続プロバイダー
- 社内開発、監査、および運用ツール（プロセッサーの社内運用および本サービスの提供をサポートする目的でのみ使用）
プロセッサーは、現在利用しているすべてのサブプロセッサーの名称、所在地、および処理目的を含む最新のリストを、以下のURLで公開しています。 www.freecash.com/en/policies/privacy-eu （またはコントローラーに通知された後継のURL）。
このリストは、本DPAの第4条に従って継続的に更新されます。