広告主データ処理契約 (DPA)

本広告主データ処理補足条項（以下「DPA」といいます）は、Almedia広告主利用規約（以下「本規約」といいます）および該当する発注書または注文書（以下「注文書」といいます）に参照により組み込まれるものとします。本DPAは、Koppenstr. 8, 10243 Berlin, Germanyに所在するAlmedia GmbH（以下「処理者」または「Almedia」といいます）と、注文書において広告主として特定される事業体（以下「管理者」といいます）との間で締結されます。

注文書、本規約、および本DPAは、管理者と処理者との間のデータ処理に関する合意の全体を構成します（以下「本契約」といいます）。本DPAで定義されていない大文字で始まる用語は、注文書または本規約において与えられた意味を有するものとします。

本DPAは英語で締結されます。日本語版を含むいかなる翻訳版も便宜上の提供に過ぎず、法的効力を有しません。英語版と翻訳版との間に矛盾または相違がある場合は、英語版が優先されるものとします。

1. 定義

1.1 「適用法とは、GDPR、UK GDPR、CCPA（該当する場合）、および本契約に基づく個人データの処理を規制するすべての法律を含む、適用されるすべてのデータ保護およびプライバシー法を意味します。

1.2 「個人データ」とは、本契約に基づき、管理者の代理として処理者が処理するあらゆる個人データを意味します。

1.3 「データ保護法」とは、EUデータ保護法、および適用される範囲において、UK GDPRや（該当する場合）CCPAを含む、その他の適用国のデータ保護法またはプライバシー法を意味します。

1.4 「EUデータ保護法」とは、EU指令95/46/ECを指し、各加盟国の国内法に置き換えられたもの、およびGDPRやGDPRを補完または実施する法律を含め、随時改正、置換、または取って代わられるものを意味します。

1.5 「GDPR」とは、EU一般データ保護規則（EU 2016/679）を意味します。

1.6 「個人データ」、「処理」、「管理者」、「処理者”、 “データ主体”、 “再処理者”、および“監督機関”は、GDPRで定義された意味を有するものとします。

1.7 “サービス”とは、本契約に記載された広告、アトリビューション、分析、不正検知、請求、最適化、および関連サービスを意味します。

2. 当事者の役割

2.1 Almediaは処理者としてのみ行動します。広告主は本契約に基づき管理者として行動します。広告主が第三者の管理者から権限を付与された処理者である場合、広告主はAlmediaに指示を与え、Almediaを処理者として指名する権限を有することを保証するものとします。

2.2 管理者は処理者に対し、(i)個人データの処理、および(ii)特に、サービスの提供のために合理的に必要であり、かつ本契約および適用法に準拠する範囲内において、あらゆる国または地域への個人データの移転を指示するものとします。

2.3 処理者は、サービスの遂行を目的とする場合に限り、かつ管理者の文書化された指示に従って個人データを処理するものとします。

2.4 管理者は、処理者が個人データを適法に処理する期間中、常に、第2.2条に定める指示および本契約に基づく追加の文書化された指示を与えるための正当かつ有効な権限を有しており、今後もその状態を維持することを表明し、保証するものとします。

2.5 GDPR第28条(3)項で要求される個人データの処理に関する詳細は、本DPAの一部を構成する別紙1（処理の詳細）に記載されています。

3. 処理者の義務

3.1 処理者は、法律により別段の定めがある場合を除き、管理者の文書化された指示に基づいてのみ個人データを処理するものとします。

3.2 処理者は、個人データの処理を許可された者が、強制力のある守秘義務を負うことを保証するものとします。

3.3 処理者は、GDPR第32条の規定に従い、適切な技術的および組織的措置を講じるものとします。

3.4 処理者は、本サービスの提供に必要な期間、または法令で定められた期間を超えて個人データを保持してはなりません。

3.5 処理者は、自らの目的のために個人データを処理してはなりません。処理者は、個人データに該当しない集計済みまたは匿名化された形式でのみ、データを保持および使用することができます。

4. 再委託先

4.1 管理者は本第4条に従い、本サービスの提供に必要な範囲内、かつスケジュール2に記載された処理カテゴリーの範囲内においてのみ、処理者が再委託先を利用することを許可します。

4.2 処理者は、すべての再委託先に対し、本データ処理契約（DPA）に含まれる義務および適用法で義務付けられている義務と実質的に同等のデータ保護義務を課す書面による契約を締結させるものとします。

4.3 処理者は、本サービスの提供に関与する現在のすべての再委託先のリストを最新の状態に維持します。このリストは継続的に更新され、以下のURLにて管理者が閲覧できるよう提供されます。 www.freecash.com/en/policies/privacy-eu （または管理者に通知された後継のURL）。

4.4 処理者は、個人データに重大な影響を及ぼす処理活動のために再委託先を指名または変更する場合、事前に（再委託先リストを通じて、または法的に義務付けられている場合は電子メールにて）通知するものとします。

4.5 管理者は、合理的かつ文書化されたデータ保護上の理由がある場合に限り、新しい再委託先の指名に異議を唱えることができます。処理者は、かかる異議を解決するために管理者と誠実に協議するものとします。

4.6 相互に合意可能な解決策が見つからない場合、管理者は影響を受けるサービスを停止するか、書面による通知をもって終了させることができます。かかる停止または終了は、再委託先に対する異議申し立てに関連する管理者の唯一かつ排他的な救済手段となります。

5. 国際移転

5.1 処理者は、法的に許可され、かつ適切な保護措置が講じられている場合に限り、EEA/英国外へ個人データを移転することができます。

5.2 承認された保護措置には、EU標準契約条項（SCC）、英国補足条項（UK Addendum/IDTA）、またはその後継となる仕組みが含まれます。

5.3 処理者は、移転先となる再委託先が適切な保護措置を講じていることを保証するものとします。

6. データ主体の権利

6.1 データ主体からの請求への対応は、管理者の責任において行うものとします。

6.2 処理者は、データ主体からの請求への対応にあたり、管理者の費用負担において、合理的な支援を提供するものとします。

6.3 処理者は、法令による義務がある場合、または管理者から指示を受けた場合を除き、データ主体に対して直接回答してはなりません。

7. 個人データの漏洩

7.1 処理者は、個人データに影響を及ぼす個人データの漏洩を認識した後、不当に遅滞することなく管理者に通知するものとします。

7.2 処理者は、管理者が通知義務を果たすために合理的に利用可能な情報を提供するものとします。

7.3 処理者は、是正措置に関して管理者と協力するものとします。

8. データ保護影響評価および監査

8.1 処理者は、データ保護法により義務付けられている範囲において、DPIA（データ保護影響評価）および監督当局との協議に対し、合理的な支援を提供するものとします。

8.2 管理者は、以下の条件に従うことを前提として、独立した信頼できる監査人による監査または検査を実施することができます。(a) 30日前までの書面による通知、(b) 法律で義務付けられている場合または確認されたインシデントが発生した場合を除き、12か月間に1回まで、(c) 管理者が関連費用を全額負担すること、(d) 業務に過度な支障をきたさないよう、通常の営業時間内に実施すること。

8.3 処理者は、コンプライアンスを証明するのに十分である場合、第三者による認証または監査報告書を提供することにより、監査義務を履行することができるものとします。

8.4 管理者は、監査に関連するすべての費用および手数料を負担するものとします。

9. データの返却および削除

9.1 第9.2条に従い、処理者は、個人データの処理を伴うサービスが終了した日から90営業日以内に、管理者の文書化された指示に従い、すべての個人データのコピーを削除、仮名化、または返却するものとします。ただし、適用法により保持が義務付けられているコピーは除きます。

9.2 本契約および適用法に従い、処理者は法律で義務付けられている、または許可されている範囲で個人データを保持することができるものとします。ただし、処理者は当該個人データの機密性を確保し、保持が義務付けられている、または許可されている目的のためにのみ処理を行うものとします。

10. 責任

本契約に定められた責任の制限および免責事項は、本DPAにも同様に適用されます。

11. 準拠法および管轄裁判所

本DPAは、本契約に定められた準拠法および管轄裁判所の規定に従うものとします。

12. 優先順位

12.1 本DPAと本契約の他の部分との間に矛盾がある場合、個人データの処理またはデータ保護法への準拠に関する限り、本DPAが優先するものとします。

12.2 第12.1条に従い、注文書に明示的に記載されている場合、注文書が利用規約および本DPAに優先するものとします。

スケジュール1：処理の詳細

処理対象： アトリビューション、分析、不正検知、請求の妥当性確認、および広告キャンペーンの最適化。

保持期間： 本契約の有効期間中、および法令により義務付けられた保持期間。

処理の性質： 管理者個人データの受領、収集、構造化、照合、分析、仮名化、転送、保存、および削除。

処理の目的：

• MMPを介したアトリビューションおよび照合
• クリック、インプレッション、インストール、およびイベントの測定
• 不正の検知および軽減
• 決済および請求の妥当性確認
• キャンペーンの最適化およびレポーティング
• 技術サポート

データ主体：

• 広告素材を閲覧・操作するエンドユーザー
• プラットフォームにアクセスする広告主の担当者

個人データのカテゴリ：

• エンドユーザーデータ（アプリ/ウェブ）：広告識別子（IDFA/GAID）、IPアドレス、ユーザーエージェント、OSバージョン、デバイスモデル、インストール日時、クリック日時、大まかな位置情報、インストール後のイベント、不正分析シグナル。
• 広告主の担当者データ：氏名、メールアドレス、ログイン履歴。

機微な個人データおよび特別なカテゴリの個人データ： 広告主は、データ保護法で定義される機密情報または特別なカテゴリーの個人データを、処理者に送信してはならない。

別紙2：再委託先

処理者は、以下の処理カテゴリーの範囲内において、かつ本サービスの提供に必要な範囲内に限り、再委託先を利用することができる。

1. クラウドホスティングおよびインフラストラクチャプロバイダー（サーバー、ストレージ、コンテンツ配信、および関連するインフラストラクチャサービスを含む）
2. データ分析、アトリビューション、および測定サポートツール（アトリビューションシグナルの受信、処理、または検証に使用される技術ツールを含む）
3. 不正検知およびトラフィック品質ベンダー（不正防止のためにデバイス、行動、または技術的なシグナルを分析するシステムを含む）
4. セキュリティ、ログ記録、および監視プロバイダー（アクセス制御、異常検知、インシデント監視、および脅威防止のためのツールを含む）
5. カスタマーサポートおよびコミュニケーションサービス（管理者の担当者とのやり取りに使用されるチケット管理、メール、およびコミュニケーションプラットフォームを含む）
6. バックアップ、冗長化、および事業継続プロバイダー
7. 社内開発、監査、および運用ツール（処理者の社内業務および本サービスの提供をサポートするためにのみ使用されるもの）

処理者は、現在のすべての再委託先について、その名称、所在地、および処理目的を含む最新のリストを以下のURLで管理する。 www.freecash.com/en/policies/privacy-eu （または管理者に通知された後継のURL）。

このリストは、本DPAの第4条に従って継続的に更新される。

‍