パブリッシャー向けデータ処理契約（DPA）
本パブリッシャーデータ処理補足条項（以下「DPA」といいます）は、Almediaパブリッシャー利用規約（以下「本規約」といいます）および、Almedia GmbH（所在地：Koppenstr. 8, 10243 Berlin, Germany、以下「注文書」といいます）と、注文書にパブリッシャーとして記載された事業体（以下「管理者」または「Almedia」といいます）との間で締結された該当する注文書または発注フォーム（以下「処理者」または「パブリッシャー」といいます）に参照により組み込まれます。
注文書、本規約、および本DPAは、管理者と処理者との間のデータ処理に関する合意の全体を構成します（以下「本契約」といいます）。本DPAで定義されていない大文字で始まる用語は、注文書または本規約において与えられた意味を有するものとします。
1. 定義
1.1 「適用法」とは、GDPR、英国GDPR、CCPA（該当する場合）、および本契約に基づく個人データの処理を規制するすべての法律を含む、適用されるすべてのデータ保護法およびプライバシー法を意味します。
1.2 「個人データ」とは、本契約に基づき、管理者のために処理者が処理するあらゆる個人データを意味します。
1.3 「データ保護法」とは、EUデータ保護法、および適用される範囲において、英国GDPRや（該当する場合）CCPAを含む、その他の適用国のデータ保護法またはプライバシー法を意味します。
1.4 「EUデータ保護法」とは、各加盟国の国内法に置き換えられ、かつGDPRやGDPRを補完または実施する法律などによって随時改正、置換、または取って代わられるEU指令95/46/ECを意味します。
1.5 「GDPR」とは、EU一般データ保護規則（EU 2016/679）を意味します。
1.6 「個人データ」、「処理」、「管理者」、および「処理者」、データ主体」、再処理者」、ならびに「監督機関」は、GDPRにおいて定められた意味を有するものとします。
1.7 「サービス」とは、本契約に記載された広告、アトリビューション、分析、不正検知、請求、最適化、および関連するパブリッシャー向けサービスを意味します。
2. 当事者の役割
2.1 Almediaは管理者として行動します。広告主は本契約に基づき処理者として行動します。
2.2 管理者は処理者に対し、(i)個人データの処理、および(ii)特に、サービスの提供のために合理的に必要であり、かつ本契約および適用法に準拠する範囲内において、あらゆる国または地域への個人データの移転を指示するものとします。
2.3 処理者は、サービスの遂行を目的とする場合に限り、かつ管理者の文書化された指示に従ってのみ、個人データを処理するものとします。
2.4 管理者は、本契約に基づき処理者が適法に個人データを処理する全期間を通じて、第2.2条に定める指示および本契約に基づく追加の文書化された指示を与える権限を、適切かつ有効に保持していることを保証し、表明するものとします。
2.5 GDPR第28条(3)項で要求される個人データの処理に関する詳細は、本DPAの不可分の一部を構成する別紙1（処理の詳細）に記載されています。
3. 処理者の義務
3.1 処理者は、法律により別段の定めがある場合を除き、管理者の文書化された指示に基づいてのみ個人データを処理するものとします。
3.2 処理者は、個人データの処理を許可された者が、強制力のある守秘義務を負うことを保証するものとします。
3.3 処理者は、GDPR第32条の要求に従い、適切な技術的および組織的措置を講じるものとします。
3.4 処理者は、適用法により保持が義務付けられている、もしくは許可されている場合、または法的請求の立証、行使、防御、本契約の履行、不正防止、および本サービスのセキュリティ保護のために必要な場合を除き、本サービスを提供するために必要な期間を超えて個人データを保持しないものとします。そのような場合、処理者は処理を当該目的に限定し、適切なアクセス制御を適用するものとします。
3.5 処理者は、自らの目的のために個人データを処理してはならないものとします。処理者は、個人データに該当しない集計済みまたは匿名化された形式でのみ、データを保持および使用することができます。
4. 再処理者
4.1 本第4条に従い、管理者は処理者に対し、本サービスの提供に必要な範囲内、かつスケジュール2に定める処理カテゴリーの範囲内においてのみ、再処理者を選任することを許可するものとします。
4.2 処理者は、すべての再処理者が、本DPAに含まれる義務および適用法の下で要求される義務と実質的に同等のデータ保護義務を課す書面による契約に拘束されることを保証するものとします。
4.3 処理者は、本サービスの提供に関与するすべての現在の再処理者のリスト（名称、所在地、処理目的を含む）を最新の状態に維持し、管理者の要求に応じて当該リストを管理者に提供するものとします。
4.4 処理者は、個人データに重大な影響を及ぼす処理活動のために再処理者を任命または交代させる場合、事前に電子メールで通知するものとします。
4.5 管理者は、合理的かつ文書化されたデータ保護上の理由がある場合に限り、新しい再処理者の任命に異議を唱えることができるものとします。処理者は、当該異議を解決するために管理者と誠実に協力するものとします。
4.6 相互に受け入れ可能な解決策が見つからない場合、管理者は影響を受ける本サービスを停止、または書面による通知をもって終了させることができるものとします。当該停止または終了は、再処理者に対する異議申し立てに関連する管理者の唯一かつ排他的な救済手段となります。
5. 国際移転
5.1 処理者は、法的に許可され、かつ適切な保護措置が講じられている場合に限り、EEA/英国外へ個人データを移転することができるものとします。
5.2 承認された保護措置には、EU標準契約条項（SCC）、英国補足条項/IDTA、またはこれらに代わるメカニズムが含まれるものとします。
5.3 処理者は、移転先となる再処理者が適切な保護措置を講じていることを保証するものとします。
6. データ主体の権利
6.1 管理者は、データ主体からの請求に対応する責任を負うものとします。
6.2 処理者は、データ主体からの請求に対応する際、管理者に合理的な支援を提供するものとします。
6.3 処理者は、法律で義務付けられている場合、または管理者から指示を受けた場合を除き、データ主体に直接回答してはならないものとします。
7. 個人データの侵害
7.1 処理者は、個人データに影響を及ぼす個人データ侵害を認識した後、不当に遅滞することなく管理者に通知するものとします。
7.2 処理者は、管理者が通知義務を果たすために合理的に利用可能な情報を提供するものとします。
7.3 処理者は、是正措置に関して管理者に協力するものとします。
8. データ保護影響評価および監査
8.1 処理者は、データ保護法により義務付けられている範囲において、DPIA（データ保護影響評価）および監督当局との協議に対し、合理的な支援を提供するものとします。
8.2 管理者は、以下の条件に従うことを前提として、独立した信頼できる監査人による監査または検査を実施することができます。(a) 30日前までの書面による通知、(b) 法律で義務付けられている場合または確認されたインシデントが発生した場合を除き、12か月間に1回を超えないこと、(c) 関連するすべての費用を管理者が負担すること、(d) 業務に不当な支障をきたさないよう、通常の営業時間内に実施すること。
8.3 処理者は、コンプライアンスを証明するのに十分である場合、第三者による認証または監査報告書を提供することにより、監査義務を履行することができるものとします。
9. データの返却および削除
9.1 第9.2条に従い、処理者は、個人データの処理を伴うサービスが終了した日から60日以内に、管理者の文書による指示に従い、すべての個人データのコピーを削除、仮名化、または返却するものとします。ただし、適用法に基づき処理者が保持を義務付けられているコピーは除きます。
9.2 本契約および適用法に従い、処理者は、法律により義務付けられている、または許可されている範囲で個人データを保持することができるものとします。ただし、処理者は当該個人データの機密性を確保し、保持が義務付けられている、または許可されている目的のためにのみ処理を行うものとします。
10. 責任
本契約に定められた責任の制限および免責事項は、本DPAにも同様に適用されます。
11. 準拠法および管轄裁判所
本DPAは、本契約に定められた準拠法および管轄裁判所の規定に従うものとします。
12. 優先順位
12.1 本DPAと本契約の他の部分との間に矛盾がある場合、個人データの処理またはデータ保護法への準拠に関する限り、本DPAが優先するものとします。
12.2 第12.1条に従い、注文書に明示的に記載されている場合、注文書が利用規約および本DPAに優先するものとします。
スケジュール1：処理の詳細
対象事項： アトリビューション、分析、不正検知、請求の検証、および広告キャンペーンの最適化。
保持期間： 本契約の有効期間中、および法律で義務付けられている保持期間。
処理の性質： 管理者の個人データの受領、収集、構造化、照合、分析、仮名化、転送、保存、および削除。
処理の目的：
- MMPを介したアトリビューションおよび照合
- クリック、インプレッション、インストール、およびイベントの測定
- 不正の検知および軽減
- 決済および請求の検証
- キャンペーンの最適化およびレポーティング
- 技術サポート
データ主体：
- 広告素材とやり取りを行うエンドユーザー
- プラットフォームにアクセスする広告主の担当者
個人データのカテゴリ：
- エンドユーザーデータ（アプリ/ウェブ）：広告識別子（IDFA/GAID）、IPアドレス、ユーザーエージェント、OSバージョン、デバイスモデル、インストールタイムスタンプ、クリックタイムスタンプ、大まかな位置情報、インストール後のイベント、不正分析シグナル。
- 広告主の担当者データ：氏名、メールアドレス、ログインアクティビティ。
機密および特別なカテゴリの個人データ： 広告主は、データ保護法で定義される機密または特別なカテゴリの個人データを処理者に送信してはならない。
別紙2：再処理者
処理者は、以下の処理カテゴリーの範囲内において、かつ本サービスの提供に必要な範囲に限り、再処理者を関与させることができるものとします。
- クラウドホスティングおよびインフラストラクチャプロバイダー（サーバー、ストレージ、コンテンツ配信、および関連するインフラストラクチャサービスを含む）
- データ分析、アトリビューション、および測定サポートツール（アトリビューションシグナルの受信、処理、または検証に使用される技術的ツールを含む）
- 不正検知およびトラフィック品質ベンダー（不正防止のためにデバイス、行動、または技術的シグナルを分析するシステムを含む）
- セキュリティ、ログ記録、および監視プロバイダー（アクセス制御、異常検知、インシデント監視、および脅威防止のためのツールを含む）
- カスタマーサポートおよびコミュニケーションサービス（管理者の担当者とのやり取りに使用されるチケット管理、電子メール、およびコミュニケーションプラットフォームを含む）
- バックアップ、冗長化、および事業継続プロバイダー
- 内部開発、監査、および運用ツール（処理者の内部運用および本サービスの提供をサポートする目的でのみ使用されるもの）
処理者は、すべての現在の再処理者について、その名称、所在地、および処理目的を含む最新かつ正式なリストを保持し、これを管理者に通知するものとします。
このリストは、本DPAの第4条に従って継続的に更新されます。
パブリッシャー データ処理契約 (DPA)
【参考訳／便宜的翻訳（日本語）】
※本日本語訳は参考目的のみで作成されたものであり、法的拘束力はありません。
※英語正文と日本語訳の間に齟齬がある場合には、英語正文が優先されます。
本パブリッシャー向けデータ処理補遺（以下「本DPA」といいます。）は、Almedia GmbH（所在地：Potsdamer Str. 125, 10783 Berlin, Germany。以下「管理者」または「Almedia」といいます。）と、該当するインサーションオーダーまたはオーダーフォーム（以下「オーダーフォーム」といいます。）においてパブリッシャーとして特定される事業体（以下「処理者」または「パブリッシャー」といいます。）との間で締結される、Almedia パブリッシャー利用規約（以下「規約」といいます。）および該当するオーダーフォームに組み込まれ、これらに参照により統合されるものとします。
オーダーフォーム、規約および本DPAは、管理者および処理者間におけるデータ処理に関する完全な合意（以下「本契約」といいます。）を構成するものとします。本DPAにおいて定義されていない大文字表記の用語は、オーダーフォームまたは規約において付与された意味を有するものとします。
1. 定義
1.1「適用法令（Applicable Laws）」とは、GDPR、UK GDPR、CCPA（該当する場合）を含む、本契約に基づく個人データの処理を規制するすべての適用されるデータ保護およびプライバシー関連法令をいいます。
1.2「個人データ（Personal Data）」とは、本契約に基づき、処理者が管理者のために処理するすべての個人データをいいます。
1.3「データ保護法令（Data Protection Laws）」とは、EU データ保護法令および、該当する範囲において、UK GDPR および（該当する場合）CCPA を含む、その他の国のデータ保護またはプライバシー関連法令をいいます。
1.4「EU データ保護法令（EU Data Protection Laws）」とは、EU 指令 95/46/EC（各加盟国の国内法に移行されたもの）ならびに、GDPR および GDPR を実施または補完する法律を含め、随時改正、置換または廃止される法令をいいます。
1.5「GDPR」とは、EU 一般データ保護規則（EU 2016/679）をいいます。
1.6「個人データ」「処理」「管理者」「処理者」「データ主体」「サブプロセッサー」「監督当局」等の用語は、GDPR において与えられた意味を有するものとします。
1.7「サービス（Services）」とは、本契約に記載された、広告、アトリビューション、分析、不正検知、請求、最適化および関連サービスをいいます。
2. 当事者の役割
2.1 Almedia は、本契約に基づく個人データの処理に関して Controller として行動し、Advertiser は Processor として行動します。
2.2 管理者は、サービス提供に合理的に必要であり、本契約および適用法令に従う範囲で、(i) 個人データを処理すること、ならびに (ii) 個人データをいかなる国または地域にも移転することを、処理者に指示します。
2.3 処理者は、管理者の文書化された指示に従い、サービス提供の目的に限って個人データを処理するものとします。
2.4 管理者は、第 2.2 条に定める指示および本契約に基づく追加の文書化された指示を行う正当な権限を有し、処理者が適法に個人データを処理する期間中、当該権限を維持することを表明し、保証します。
2.5 GDPR 第 28 条第 3 項に基づき要求される個人データ処理の詳細は、別紙 1（処理の詳細）に定められ、本 DPA の不可欠な一部を構成します。
3. 処理者の義務
3.1 Processor は、法令により別途求められる場合を除き、Controller からの文書化された指示に基づいてのみ個人データを処理するものとします。
3.2 処理者は、個人データを処理する権限を有する者が、強制力のある守秘義務を負うことを確保します。
3.3 処理者は、GDPR 第 32 条に従い、適切な技術的および組織的安全管理措置を実施します。
3.4 処理者は、サービス提供に必要な期間を超えて個人データを保持しません。ただし、適用法令により保持が要求または許容される場合、法的請求の確立・行使・防御、契約の履行確保、不正防止またはサービスの安全確保のために必要な場合を除きます。この場合、処理者は当該目的に限定して処理を行い、適切なアクセス制御を実施します。
3.5 処理者は、自己の目的のために個人データを処理しません。処理者は、個人データに該当しない集計または匿名化されたデータのみを保持および利用することができます。
4. サブプロセッサー
4.1 本第 4 条に従い、管理者は、サービス提供に必要な範囲に限り、かつ別紙 2 に定める処理カテゴリの範囲内でのみ、処理者がサブプロセッサーを利用することを承認します。
4.2 処理者は、すべてのサブプロセッサーが、本 DPA および適用法令に基づき要求されるものと実質的に同等のデータ保護義務を課す書面契約に拘束されていることを確保します。
4.3 処理者は、本サービスの提供に関与するすべての現行のサブ処理者について、その名称、所在地および処理目的を含む最新かつ正式な一覧を維持管理し、管理者からの要請があった場合には、当該一覧を管理者に提供するものとします。
4.4 処理者は、個人データに重大な影響を及ぼすサブプロセッサーの新規任命または変更に先立ち、事前通知を行います。
4.5 管理者は、合理的かつ文書化されたデータ保護上の理由に限り、新たなサブプロセッサーの任命に異議を述べることができます。
4.6 相互に受け入れ可能な解決策が得られない場合、管理者は、影響を受けるサービスを停止または書面通知により終了することができ、これがサブプロセッサーに関する唯一かつ排他的な救済手段となります。
5. 国際データ移転
5.1 処理者は、法令により許容され、かつ適切な保護措置が講じられている場合、EEA／UK 域外へ個人データを移転することができます。
5.2 適切な保護措置には、EU 標準契約条項、UK 追加条項／IDTA またはそれらの後継制度が含まれます。
5.3 処理者は、移転を受けるサブプロセッサーが適切な保護措置を実施していることを確保します。
6. データ主体の権利
6.1 データ主体からの請求への対応は、管理者の責任とします。
6.2 処理者は、管理者の費用負担により、当該請求への対応について合理的な支援を行います。
6.3 処理者は、法令により要求される場合または管理者の指示がある場合を除き、データ主体に直接対応しません。
7. 個人データ侵害
7.1 処理者は、個人データ侵害を認識した場合、遅滞なく管理者に通知します。
7.2 処理者は、管理者の通知義務履行を支援するため、合理的に入手可能な情報を提供します。
7.3 処理者は、是正対応について管理者と協力します。
8. データ保護影響評価および監査
8.1 処理者は、データ保護影響評価および監督当局との協議について、データ保護法令により必要な範囲で合理的な支援を行います。
8.2 管理者は、一定の条件の下、独立かつ信頼性のある監査人による監査または検査を実施することができます。
8.3 処理者は、十分なコンプライアンスを示す第三者認証または監査報告書の提供により、監査義務を充足することができます。
9. データの返却および削除
9.1 第9.2条を条件として、Processor は、個人データの処理を伴うサービスが終了した日から速やかに、かついかなる場合でも六十（60）日以内に、Controller の文書化された指示に従い、すべての個人データの写しを削除、仮名化、または返却するものとします。ただし、適用法令に基づき Processor が保持することを義務付けられている個人データの写しについては、この限りではありません。
9.2 本契約および適用法令に従い、処理者は、法令により要求または許容される範囲で個人データを保持することができます。この場合、処理者は、当該個人データの機密性を確保し、保持が要求または許容される目的に限って処理するものとします。
10. 責任
本契約に定める責任制限および免責は、本 DPA にも同様に適用されます。
11. 準拠法および管轄
本 DPA は、本契約に定める準拠法および管轄に従うものとします。
12. 優先順位
12.1 本 DPA と本契約の他の条項との間に齟齬がある場合、個人データの処理またはデータ保護法令の遵守に関する限り、本 DPA が優先されます。
12.2 第 12.1 条に従い、明示的に定められている場合には、オーダーフォームが利用規約および本 DPA に優先します。
別紙 1：処理の詳細
処理対象：広告キャンペーンのアトリビューション、分析、不正検知、請求検証および最適化
処理期間：本契約期間および法令上必要な保存期間
処理の性質：取得、収集、構造化、照合、分析、仮名化、移転、保存および削除
処理目的：
MMP を通じたアトリビューションおよび照合
クリック、インプレッション、インストールおよびイベントの測定
不正検知および防止
精算および請求検証
キャンペーン最適化およびレポーティング
技術サポート
データ主体：
広告素材と接触するエンドユーザー
プラットフォームにアクセスする広告主担当者
個人データの種類：
エンドユーザーデータ（IDFA／GAID、IP アドレス、ユーザーエージェント、OS バージョン、デバイスモデル、インストール時刻、クリック時刻、概算位置情報、インストール後イベント、不正分析信号）
広告主担当者データ（氏名、メールアドレス、ログイン活動）
特別カテゴリーの個人データ：広告主は、データ保護法令に定義される特別カテゴリーの個人データを処理者に提供してはなりません。
別紙 2：サブプロセッサー
Processor は、本契約に基づく Services の提供に必要な範囲においてのみ、以下の処理カテゴリに該当するサブプロセッサーを利用することができます。
- クラウドホスティングおよびインフラストラクチャ提供事業者
（サーバー、ストレージ、コンテンツ配信、その他関連するインフラサービスを含みます） - データ分析、アトリビューションおよび計測支援ツール
（アトリビューションシグナルの受信、処理または検証に使用される技術的ツールを含みます） - 不正検知およびトラフィック品質評価ベンダー
（不正防止を目的として、デバイス、行動または技術的シグナルを分析するシステムを含みます） - セキュリティ、ログ管理およびモニタリング提供事業者
（アクセス制御、異常検知、インシデント監視および脅威防止のためのツールを含みます） - カスタマーサポートおよびコミュニケーションサービス提供事業者
（Controller の担当者とのやり取りに使用されるチケッティング、電子メールおよびコミュニケーションプラットフォームを含みます） - バックアップ、冗長化および事業継続性（BCP）関連サービス提供事業者
- 内部開発、監査および運用支援ツール
（Processor の内部業務および Services の提供を支援する目的にのみ使用されるものに限ります）
Processor は、すべての現行のサブプロセッサーについて、その名称、所在地および処理目的を含む最新かつ正式な一覧を維持管理し、当該一覧を Controller にも通知します。
当該一覧は、本 DPA 第4条に従い、継続的に更新されます。