パブリッシャー向けデータ処理契約（DPA）
本パブリッシャーデータ処理補足条項（以下「DPA」といいます）は、Almediaパブリッシャー利用規約（以下「本規約」といいます）および、Almedia GmbH（所在地：Koppenstr. 8, 10243 Berlin, Germany、以下「注文書」といいます）と、注文書にパブリッシャーとして記載された事業体（以下「管理者」または「Almedia」といいます）との間で締結された該当する注文書または発注フォーム（以下「処理者」または「パブリッシャー」といいます）に参照により組み込まれます。
注文書、本規約、および本DPAは、管理者と処理者との間のデータ処理に関する合意の全体を構成します（以下「本契約」といいます）。本DPAで定義されていない大文字で始まる用語は、注文書または本規約において与えられた意味を有するものとします。
1. 定義
1.1 「適用法」とは、GDPR、英国GDPR、CCPA（該当する場合）、および本契約に基づく個人データの処理を規制するすべての法律を含む、適用されるすべてのデータ保護法およびプライバシー法を意味します。
1.2 「個人データ」とは、本契約に基づき、管理者のために処理者が処理するあらゆる個人データを意味します。
1.3 「データ保護法」とは、EUデータ保護法、および適用される範囲において、英国GDPRや（該当する場合）CCPAを含む、その他の適用国のデータ保護法またはプライバシー法を意味します。
1.4 「EUデータ保護法」とは、各加盟国の国内法に置き換えられ、かつGDPRやGDPRを補完または実施する法律などによって随時改正、置換、または取って代わられるEU指令95/46/ECを意味します。
1.5 「GDPR」とは、EU一般データ保護規則（EU 2016/679）を意味します。
1.6 「個人データ」、「処理」、「管理者」、および「処理者」、データ主体」、再処理者」、ならびに「監督機関」は、GDPRにおいて定められた意味を有するものとします。
1.7 「サービス」とは、本契約に記載された広告、アトリビューション、分析、不正検知、請求、最適化、および関連するパブリッシャー向けサービスを意味します。
2. 当事者の役割
2.1 Almediaは管理者として行動します。広告主は本契約に基づき処理者として行動します。
2.2 管理者は処理者に対し、(i)個人データの処理、および(ii)特に、サービスの提供のために合理的に必要であり、かつ本契約および適用法に準拠する範囲内において、あらゆる国または地域への個人データの移転を指示するものとします。
2.3 処理者は、サービスの遂行を目的とする場合に限り、かつ管理者の文書化された指示に従ってのみ、個人データを処理するものとします。
2.4 管理者は、本契約に基づき処理者が適法に個人データを処理する全期間を通じて、第2.2条に定める指示および本契約に基づく追加の文書化された指示を与える権限を、適切かつ有効に保持していることを保証し、表明するものとします。
2.5 GDPR第28条(3)項で要求される個人データの処理に関する詳細は、本DPAの不可分の一部を構成する別紙1（処理の詳細）に記載されています。
3. 処理者の義務
3.1 処理者は、法律により別段の定めがある場合を除き、管理者の文書化された指示に基づいてのみ個人データを処理するものとします。
3.2 処理者は、個人データの処理を許可された者が、強制力のある守秘義務を負うことを保証するものとします。
3.3 処理者は、GDPR第32条の要求に従い、適切な技術的および組織的措置を講じるものとします。
3.4 処理者は、適用法により保持が義務付けられている、もしくは許可されている場合、または法的請求の立証、行使、防御、本契約の履行、不正防止、および本サービスのセキュリティ保護のために必要な場合を除き、本サービスを提供するために必要な期間を超えて個人データを保持しないものとします。そのような場合、処理者は処理を当該目的に限定し、適切なアクセス制御を適用するものとします。
3.5 処理者は、自らの目的のために個人データを処理してはならないものとします。処理者は、個人データに該当しない集計済みまたは匿名化された形式でのみ、データを保持および使用することができます。
4. 再処理者
4.1 本第4条に従い、管理者は処理者に対し、本サービスの提供に必要な範囲内、かつスケジュール2に定める処理カテゴリーの範囲内においてのみ、再処理者を選任することを許可するものとします。
4.2 処理者は、すべての再処理者が、本DPAに含まれる義務および適用法の下で要求される義務と実質的に同等のデータ保護義務を課す書面による契約に拘束されることを保証するものとします。
4.3 処理者は、本サービスの提供に関与するすべての現在の再処理者のリスト（名称、所在地、処理目的を含む）を最新の状態に維持し、管理者の要求に応じて当該リストを管理者に提供するものとします。
4.4 処理者は、個人データに重大な影響を及ぼす処理活動のために再処理者を任命または交代させる場合、事前に電子メールで通知するものとします。
4.5 管理者は、合理的かつ文書化されたデータ保護上の理由がある場合に限り、新しい再処理者の任命に異議を唱えることができるものとします。処理者は、当該異議を解決するために管理者と誠実に協力するものとします。
4.6 相互に受け入れ可能な解決策が見つからない場合、管理者は影響を受ける本サービスを停止、または書面による通知をもって終了させることができるものとします。当該停止または終了は、再処理者に対する異議申し立てに関連する管理者の唯一かつ排他的な救済手段となります。
5. 国際移転
5.1 処理者は、法的に許可され、かつ適切な保護措置が講じられている場合に限り、EEA/英国外へ個人データを移転することができるものとします。
5.2 承認された保護措置には、EU標準契約条項（SCC）、英国補足条項/IDTA、またはこれらに代わるメカニズムが含まれるものとします。
5.3 処理者は、移転先となる再処理者が適切な保護措置を講じていることを保証するものとします。
6. データ主体の権利
6.1 管理者は、データ主体からの請求に対応する責任を負うものとします。
6.2 処理者は、データ主体からの請求に対応する際、管理者に合理的な支援を提供するものとします。
6.3 処理者は、法律で義務付けられている場合、または管理者から指示を受けた場合を除き、データ主体に直接回答してはならないものとします。
7. 個人データの侵害
7.1 処理者は、個人データに影響を及ぼす個人データ侵害を認識した後、不当に遅滞することなく管理者に通知するものとします。
7.2 処理者は、管理者が通知義務を果たすために合理的に利用可能な情報を提供するものとします。
7.3 処理者は、是正措置に関して管理者に協力するものとします。
8. データ保護影響評価および監査
8.1 処理者は、データ保護法により義務付けられている範囲において、DPIA（データ保護影響評価）および監督当局との協議に対し、合理的な支援を提供するものとします。
8.2 管理者は、以下の条件に従うことを前提として、独立した信頼できる監査人による監査または検査を実施することができます。(a) 30日前までの書面による通知、(b) 法律で義務付けられている場合または確認されたインシデントが発生した場合を除き、12か月間に1回を超えないこと、(c) 関連するすべての費用を管理者が負担すること、(d) 業務に不当な支障をきたさないよう、通常の営業時間内に実施すること。
8.3 処理者は、コンプライアンスを証明するのに十分である場合、第三者による認証または監査報告書を提供することにより、監査義務を履行することができるものとします。
9. データの返却および削除
9.1 第9.2条に従い、処理者は、個人データの処理を伴うサービスが終了した日から60日以内に、管理者の文書による指示に従い、すべての個人データのコピーを削除、仮名化、または返却するものとします。ただし、適用法に基づき処理者が保持を義務付けられているコピーは除きます。
9.2 本契約および適用法に従い、処理者は、法律により義務付けられている、または許可されている範囲で個人データを保持することができるものとします。ただし、処理者は当該個人データの機密性を確保し、保持が義務付けられている、または許可されている目的のためにのみ処理を行うものとします。
10. 責任
本契約に定められた責任の制限および免責事項は、本DPAにも同様に適用されます。
11. 準拠法および管轄裁判所
本DPAは、本契約に定められた準拠法および管轄裁判所の規定に従うものとします。
12. 優先順位
12.1 本DPAと本契約の他の部分との間に矛盾がある場合、個人データの処理またはデータ保護法への準拠に関する限り、本DPAが優先するものとします。
12.2 第12.1条に従い、注文書に明示的に記載されている場合、注文書が利用規約および本DPAに優先するものとします。
スケジュール1：処理の詳細
対象事項： アトリビューション、分析、不正検知、請求の検証、および広告キャンペーンの最適化。
保持期間： 本契約の有効期間中、および法律で義務付けられている保持期間。
処理の性質： 管理者の個人データの受領、収集、構造化、照合、分析、仮名化、転送、保存、および削除。
処理の目的：
- MMPを介したアトリビューションおよび照合
- クリック、インプレッション、インストール、およびイベントの測定
- 不正の検知および軽減
- 決済および請求の検証
- キャンペーンの最適化およびレポーティング
- 技術サポート
データ主体：
- 広告素材とやり取りを行うエンドユーザー
- プラットフォームにアクセスする広告主の担当者
個人データのカテゴリ：
- エンドユーザーデータ（アプリ/ウェブ）：広告識別子（IDFA/GAID）、IPアドレス、ユーザーエージェント、OSバージョン、デバイスモデル、インストールタイムスタンプ、クリックタイムスタンプ、大まかな位置情報、インストール後のイベント、不正分析シグナル。
- 広告主の担当者データ：氏名、メールアドレス、ログインアクティビティ。
機密および特別なカテゴリの個人データ： 広告主は、データ保護法で定義される機密または特別なカテゴリの個人データを処理者に送信してはならない。
別紙2：再処理者
処理者は、以下の処理カテゴリーの範囲内において、かつ本サービスの提供に必要な範囲に限り、再処理者を関与させることができるものとします。
- クラウドホスティングおよびインフラストラクチャプロバイダー（サーバー、ストレージ、コンテンツ配信、および関連するインフラストラクチャサービスを含む）
- データ分析、アトリビューション、および測定サポートツール（アトリビューションシグナルの受信、処理、または検証に使用される技術的ツールを含む）
- 不正検知およびトラフィック品質ベンダー（不正防止のためにデバイス、行動、または技術的シグナルを分析するシステムを含む）
- セキュリティ、ログ記録、および監視プロバイダー（アクセス制御、異常検知、インシデント監視、および脅威防止のためのツールを含む）
- カスタマーサポートおよびコミュニケーションサービス（管理者の担当者とのやり取りに使用されるチケット管理、電子メール、およびコミュニケーションプラットフォームを含む）
- バックアップ、冗長化、および事業継続プロバイダー
- 内部開発、監査、および運用ツール（処理者の内部運用および本サービスの提供をサポートする目的でのみ使用されるもの）
処理者は、すべての現在の再処理者について、その名称、所在地、および処理目的を含む最新かつ正式なリストを保持し、これを管理者に通知するものとします。
このリストは、本DPAの第4条に従って継続的に更新されます。