Thỏa thuận Xử lý Dữ liệu (DPA) của Link
Phụ lục Xử lý Dữ liệu Link này (“DPA”) được kết hợp bằng cách dẫn chiếu vào các Điều khoản & Điều kiện của Almedia Link (“Điều khoản”) và Lệnh Chèn hoặc Đơn Đặt hàng hiện hành (“Đơn Đặt hàng”) được ký kết giữa Almedia GmbH, Koppenstr. 8, 10243 Berlin, Đức (“Bên Kiểm soát” hoặc "Almedia") và thực thể được xác định là Nhà xuất bản trong Đơn Đặt hàng (“Bên Xử lý” hoặc "Nhà xuất bản").
Đơn Đặt hàng, các Điều khoản và DPA này cùng tạo thành toàn bộ thỏa thuận xử lý dữ liệu giữa Bên Kiểm soát và Bên Xử lý (“Thỏa thuận”). Các thuật ngữ viết hoa không được định nghĩa trong DPA này có ý nghĩa như đã nêu trong Đơn Đặt hàng hoặc các Điều khoản.
1. Định nghĩa
1.1 “Luật áp dụng” nghĩa là tất cả các luật về bảo vệ dữ liệu và quyền riêng tư hiện hành, bao gồm GDPR, UK GDPR, CCPA (nếu có) và tất cả các luật điều chỉnh việc Xử lý Dữ liệu Cá nhân theo Thỏa thuận.
1.2 “Dữ liệu Cá nhân” nghĩa là bất kỳ dữ liệu cá nhân nào được Bên Xử lý xử lý thay mặt cho Bên Kiểm soát theo Thỏa thuận. Dữ liệu Cá nhân bao gồm, nếu có, các định danh và dữ liệu sự kiện liên quan đến việc liên kết tài khoản người dùng cuối với các dịch vụ của Bên Kiểm soát, bao gồm định danh tài khoản Freecash, mã thông báo liên kết, sự kiện phân bổ phần thưởng và các định danh kỹ thuật được tạo ra liên quan đến việc liên kết đó.
1.3 “Luật Bảo vệ Dữ liệu” nghĩa là các Luật Bảo vệ Dữ liệu của EU và, trong phạm vi áp dụng, luật bảo vệ dữ liệu hoặc quyền riêng tư của bất kỳ quốc gia áp dụng nào khác, bao gồm UK GDPR và, nếu có, CCPA.
1.4 “Luật Bảo vệ Dữ liệu EU” nghĩa là Chỉ thị EU 95/46/EC, được chuyển đổi thành luật quốc gia của mỗi Quốc gia Thành viên và được sửa đổi, thay thế hoặc bãi bỏ theo từng thời điểm, bao gồm cả bởi GDPR và các luật thực thi hoặc bổ sung cho GDPR.
1.5 “GDPR” nghĩa là Quy định Bảo vệ Dữ liệu Chung của EU (EU 2016/679).
1.6 Các thuật ngữ như “Dữ liệu Cá nhân”, “Xử lý”, “Bên Kiểm soát”, “Bên xử lý”, “Chủ thể dữ liệu”, “Bên xử lý phụ”, và “Cơ quan giám sát” có nghĩa như được quy định trong GDPR.
1.7 “Dịch vụ” có nghĩa là các dịch vụ quảng cáo, phân bổ, phân tích, phát hiện gian lận, thanh toán, tối ưu hóa và các dịch vụ nhà xuất bản liên quan được mô tả trong Thỏa thuận.
2. Vai trò của các Bên
2.1 Almedia đóng vai trò là Bên kiểm soát. Nhà quảng cáo đóng vai trò là Bên xử lý theo Thỏa thuận.
2.2 Bên kiểm soát chỉ thị cho Bên xử lý (i) xử lý Dữ liệu cá nhân; và (ii) cụ thể là chuyển Dữ liệu cá nhân đến bất kỳ quốc gia hoặc vùng lãnh thổ nào, tất cả đều trong phạm vi cần thiết một cách hợp lý để cung cấp Dịch vụ và phù hợp với Thỏa thuận cũng như các Luật hiện hành.
2.3 Bên xử lý sẽ chỉ xử lý Dữ liệu cá nhân vì mục đích thực hiện Dịch vụ, tuân thủ nghiêm ngặt các chỉ thị bằng văn bản của Bên kiểm soát, và sẽ không tự ý xác định mục đích hoặc phương tiện Xử lý.
2.4 Bên kiểm soát cam kết và khẳng định rằng họ đã và sẽ tiếp tục được ủy quyền một cách hợp lệ và hiệu quả để đưa ra các chỉ thị được nêu tại Mục 2.2 và bất kỳ chỉ thị bổ sung nào bằng văn bản theo Thỏa thuận, tại mọi thời điểm liên quan và trong suốt thời gian Bên xử lý xử lý Dữ liệu cá nhân một cách hợp pháp.
2.5 Các chi tiết về việc Xử lý Dữ liệu cá nhân, theo yêu cầu của Điều 28(3) GDPR, được nêu tại Phụ lục 1 (Chi tiết về việc Xử lý), là một phần không thể tách rời của DPA này.
2.6 Các Bên thừa nhận và đồng ý rằng, đối với tất cả Dữ liệu cá nhân được xử lý theo Thỏa thuận (bao gồm cả dữ liệu liên quan đến Tích hợp liên kết), Bên xử lý chỉ đóng vai trò là bên xử lý thay mặt cho Bên kiểm soát chứ không phải là bên kiểm soát chung hoặc bên kiểm soát độc lập.
3. Nghĩa vụ của Bên xử lý
3.1 Bên Xử lý chỉ được xử lý Dữ liệu Cá nhân theo các hướng dẫn bằng văn bản từ Bên Kiểm soát, trừ khi pháp luật có quy định khác.
3.2 Bên Xử lý phải đảm bảo những người được ủy quyền xử lý Dữ liệu Cá nhân phải tuân thủ các nghĩa vụ bảo mật có hiệu lực thi hành.
3.3 Bên Xử lý phải thực hiện các biện pháp kỹ thuật và tổ chức phù hợp theo yêu cầu tại Điều 32 GDPR.
3.4 Bên Xử lý không được lưu giữ Dữ liệu Cá nhân lâu hơn mức cần thiết để cung cấp Dịch vụ, trừ khi việc lưu giữ là bắt buộc hoặc được cho phép bởi Pháp luật Hiện hành, hoặc cần thiết để thiết lập, thực thi hoặc bảo vệ các khiếu nại pháp lý, thực thi Thỏa thuận, hoặc ngăn chặn gian lận và bảo vệ an ninh cho Dịch vụ. Trong những trường hợp đó, Bên Xử lý phải giới hạn việc xử lý vào các mục đích nêu trên và áp dụng các biện pháp kiểm soát truy cập phù hợp.
3.5 Bên Xử lý không được xử lý Dữ liệu Cá nhân cho mục đích riêng của mình. Cụ thể, Bên Xử lý không được sử dụng Dữ liệu Cá nhân để xây dựng hồ sơ người dùng, biểu đồ tài khoản, mô hình hành vi hoặc phân khúc đối tượng, cũng như không được sử dụng để làm phong phú thêm các tập dữ liệu hoặc dịch vụ của riêng mình, hoặc cho mục đích phân tích, thương mại hóa hoặc tối ưu hóa nằm ngoài các hướng dẫn bằng văn bản của Bên Kiểm soát. Bên Xử lý chỉ có thể lưu giữ và sử dụng dữ liệu dưới dạng tổng hợp hoặc ẩn danh không còn là Dữ liệu Cá nhân.
4. Bên Xử lý Phụ
4.1 Tuân theo Mục 4 này, Bên Kiểm soát ủy quyền cho Bên Xử lý thuê các Bên Xử lý Phụ chỉ trong phạm vi cần thiết để cung cấp Dịch vụ và chỉ trong các danh mục xử lý được quy định tại Phụ lục 2.
4.2 Bên Xử lý phải đảm bảo rằng tất cả các Bên Xử lý Phụ đều bị ràng buộc bởi các thỏa thuận bằng văn bản, trong đó áp đặt các nghĩa vụ bảo vệ dữ liệu tương đương về cơ bản với các nghĩa vụ có trong DPA này và theo yêu cầu của Pháp luật Hiện hành.
4.3 Bên Xử lý duy trì danh sách cập nhật về tất cả các Bên Xử lý Phụ hiện đang tham gia cung cấp Dịch vụ, bao gồm danh tính, địa điểm và mục đích xử lý của họ, và sẽ cung cấp danh sách này cho Bên Kiểm soát khi có yêu cầu.
4.4 Bên Xử lý phải thông báo trước qua email trước khi bổ nhiệm hoặc thay thế bất kỳ Bên Xử lý Phụ nào cho các hoạt động xử lý ảnh hưởng trọng yếu đến Dữ liệu Cá nhân.
4.5 Bên Kiểm soát có thể phản đối việc bổ nhiệm Bên Xử lý Phụ mới chỉ dựa trên các căn cứ bảo vệ dữ liệu hợp lý và có tài liệu chứng minh. Bên Xử lý sẽ hợp tác thiện chí với Bên Kiểm soát để giải quyết các phản đối đó.
4.6 Nếu không đạt được giải pháp chung, Bên Kiểm soát có thể tạm dừng các Dịch vụ bị ảnh hưởng hoặc chấm dứt các dịch vụ đó bằng thông báo bằng văn bản. Việc tạm dừng hoặc chấm dứt này sẽ là biện pháp khắc phục duy nhất và độc quyền của Bên Kiểm soát liên quan đến các phản đối đối với Bên Xử lý Phụ.
5. Chuyển dữ liệu quốc tế
5.1 Bên Xử lý có thể chuyển Dữ liệu Cá nhân ra ngoài khu vực EEA/Vương quốc Anh khi được pháp luật cho phép và tuân thủ các biện pháp bảo vệ phù hợp, bao gồm các hoạt động chuyển dữ liệu cần thiết để hỗ trợ Tích hợp Liên kết và phân bổ phần thưởng.
5.2 Các biện pháp bảo vệ được phê duyệt có thể bao gồm Điều khoản Hợp đồng Tiêu chuẩn của EU, Phụ lục/IDTA của Vương quốc Anh hoặc bất kỳ cơ chế kế thừa nào.
5.3 Bên Xử lý phải đảm bảo các Bên Xử lý Phụ nhận dữ liệu chuyển giao thực hiện các biện pháp bảo vệ đầy đủ.
6. Quyền của Chủ thể Dữ liệu
6.1 Bên Kiểm soát chịu trách nhiệm phản hồi các yêu cầu từ Chủ thể Dữ liệu.
6.2 Bên Xử lý phải hỗ trợ hợp lý cho Bên Kiểm soát trong việc phản hồi các yêu cầu từ Chủ thể Dữ liệu.
6.3 Bên Xử lý không được phản hồi trực tiếp cho Chủ thể Dữ liệu trừ khi pháp luật yêu cầu hoặc theo hướng dẫn của Bên Kiểm soát.
7. Vi phạm dữ liệu cá nhân
7.1 Bên Xử lý phải thông báo cho Bên Kiểm soát ngay khi phát hiện vi phạm dữ liệu cá nhân ảnh hưởng đến Dữ liệu Cá nhân mà không được chậm trễ.
7.2 Bên Xử lý phải cung cấp các thông tin sẵn có một cách hợp lý để hỗ trợ Bên Kiểm soát thực hiện nghĩa vụ thông báo của mình.
7.3 Bên Xử lý phải hợp tác với Bên Kiểm soát trong việc khắc phục hậu quả.
8. Đánh giá tác động bảo vệ dữ liệu và Kiểm toán
8.1 Bên Xử lý phải hỗ trợ hợp lý trong việc thực hiện Đánh giá tác động bảo vệ dữ liệu (DPIA) và tham vấn các cơ quan giám sát trong phạm vi yêu cầu của Luật Bảo vệ Dữ liệu.
8.2 Bên Kiểm soát có thể thực hiện kiểm toán hoặc thanh tra thông qua một kiểm toán viên độc lập, uy tín, với điều kiện: (a) thông báo bằng văn bản trước 30 ngày, (b) không quá một lần kiểm toán trong bất kỳ giai đoạn 12 tháng nào trừ khi pháp luật yêu cầu hoặc sau khi xảy ra sự cố đã được xác nhận, (c) Bên Kiểm soát chịu mọi chi phí liên quan, và (d) việc kiểm toán diễn ra trong giờ hành chính và không gây gián đoạn bất hợp lý.
8.3 Bên Xử lý có thể đáp ứng nghĩa vụ kiểm toán bằng cách cung cấp các chứng nhận của bên thứ ba hoặc báo cáo kiểm toán nếu các tài liệu này đủ để chứng minh sự tuân thủ.
9. Hoàn trả và Xóa dữ liệu
9.1 Tuân theo Mục 9.2, Bên Xử lý phải xóa, ẩn danh hoặc hoàn trả tất cả các bản sao Dữ liệu Cá nhân theo hướng dẫn bằng văn bản của Bên Kiểm soát ngay lập tức, và trong mọi trường hợp là trong vòng sáu mươi (60) ngày kể từ ngày chấm dứt bất kỳ Dịch vụ nào liên quan đến việc Xử lý Dữ liệu Cá nhân, ngoại trừ các bản sao mà Bên Xử lý bắt buộc phải lưu giữ theo Luật Hiện hành.
9.2 Tuân theo Thỏa thuận và Luật Hiện hành, Bên Xử lý có thể lưu giữ Dữ liệu Cá nhân trong phạm vi pháp luật yêu cầu hoặc cho phép, với điều kiện Bên Xử lý phải đảm bảo tính bảo mật của Dữ liệu Cá nhân đó và chỉ xử lý cho (các) mục đích mà việc lưu giữ đó là bắt buộc hoặc được cho phép.
10. Trách nhiệm pháp lý
Các giới hạn và loại trừ trách nhiệm pháp lý quy định trong Thỏa thuận được áp dụng tương tự cho DPA này.
11. Luật điều chỉnh và Thẩm quyền xét xử
DPA này được điều chỉnh bởi các quy định về luật điều chỉnh và thẩm quyền xét xử nêu trong Thỏa thuận.
12. Thứ tự ưu tiên
12.1 Trong trường hợp có xung đột giữa DPA này và bất kỳ phần nào khác của Thỏa thuận, DPA này sẽ được ưu tiên áp dụng trong phạm vi xung đột đó liên quan đến việc Xử lý Dữ liệu Cá nhân hoặc tuân thủ Luật Bảo vệ Dữ liệu.
12.2 Tuân theo Mục 12.1, Đơn đặt hàng sẽ được ưu tiên áp dụng so với các Điều khoản và DPA này khi được nêu rõ.
Phụ lục 1: Chi tiết về việc Xử lý
Đối tượng: Gán thuộc tính, phân tích, phát hiện gian lận, xác thực thanh toán, tối ưu hóa các chiến dịch quảng cáo, cũng như liên kết tài khoản và gán phần thưởng liên quan đến Tích hợp Liên kết.
Thời hạn: Trong suốt thời hạn của Thỏa thuận cộng với bất kỳ thời gian lưu trữ nào theo yêu cầu của pháp luật.
Bản chất của việc xử lý: Tiếp nhận, thu thập, cấu trúc hóa, đối soát, phân tích, ẩn danh hóa, chuyển giao, lưu trữ và xóa Dữ liệu Cá nhân của Bên kiểm soát.
Mục đích xử lý:
- gán thuộc tính và đối soát thông qua các MMP
- đo lường lượt nhấp, lượt hiển thị, lượt cài đặt và các sự kiện
- phát hiện và giảm thiểu gian lận
- quyết toán và xác thực thanh toán
- tối ưu hóa và báo cáo chiến dịch
- hỗ trợ kỹ thuật
- liên kết tài khoản người dùng cuối giữa các tài sản của Nhà xuất bản và các dịch vụ của Bên kiểm soát
- xác thực và gán phần thưởng cho các tương tác trong trò chơi đủ điều kiện nhận thưởng
- ngăn chặn các yêu cầu nhận thưởng trùng lặp, gian lận hoặc bị thao túng
Chủ thể dữ liệu:
- người dùng cuối tương tác với các tài liệu quảng cáo
- Nhân sự của Nhà quảng cáo có quyền truy cập nền tảng
Các loại Dữ liệu Cá nhân:
- Dữ liệu người dùng cuối (ứng dụng/web): mã định danh quảng cáo (IDFA/GAID), địa chỉ IP, user-agent, phiên bản hệ điều hành, kiểu thiết bị, dấu thời gian cài đặt, dấu thời gian nhấp chuột, thông tin địa lý sơ bộ, các sự kiện sau cài đặt, tín hiệu phân tích gian lận, mã định danh tài khoản Freecash hoặc mã thông báo liên kết ẩn danh, dấu thời gian và trạng thái liên kết tài khoản, các sự kiện đủ điều kiện nhận thưởng và gán phần thưởng.
- Dữ liệu nhân sự của nhà quảng cáo: tên, email, hoạt động đăng nhập.
Các danh mục dữ liệu cá nhân nhạy cảm và đặc biệt: Nhà quảng cáo sẽ không gửi cho Bên xử lý bất kỳ dữ liệu cá nhân nhạy cảm hoặc đặc biệt nào, theo định nghĩa trong Luật Bảo vệ Dữ liệu.
Phụ lục 2: Các bên xử lý phụ
Bên xử lý chỉ được phép thuê các bên xử lý phụ trong các danh mục xử lý sau đây và chỉ trong phạm vi cần thiết để cung cấp Dịch vụ:
- Các nhà cung cấp dịch vụ hạ tầng và lưu trữ đám mây (bao gồm máy chủ, lưu trữ, phân phối nội dung và các dịch vụ hạ tầng liên quan)
- Các công cụ hỗ trợ phân tích dữ liệu, phân bổ và đo lường (bao gồm các công cụ kỹ thuật được sử dụng để tiếp nhận, xử lý hoặc xác thực các tín hiệu phân bổ)
- Các nhà cung cấp dịch vụ phát hiện gian lận và kiểm soát chất lượng lưu lượng truy cập (bao gồm các hệ thống phân tích thiết bị, hành vi hoặc tín hiệu kỹ thuật để ngăn chặn gian lận)
- Các nhà cung cấp dịch vụ bảo mật, ghi nhật ký và giám sát (bao gồm các công cụ kiểm soát truy cập, phát hiện bất thường, giám sát sự cố và ngăn chặn mối đe dọa)
- Các dịch vụ hỗ trợ khách hàng và liên lạc (bao gồm các nền tảng quản lý yêu cầu, email và liên lạc được sử dụng để tương tác với nhân sự của Bên kiểm soát)
- Các nhà cung cấp dịch vụ sao lưu, dự phòng và duy trì hoạt động kinh doanh
- Các công cụ vận hành, kiểm toán và phát triển nội bộ, chỉ nhằm mục đích hỗ trợ các hoạt động nội bộ của Bên xử lý cần thiết cho việc cung cấp Dịch vụ và không phục vụ cho việc phát triển sản phẩm độc lập hoặc khai thác dữ liệu.
Bên xử lý duy trì danh sách cập nhật và chính thức về tất cả các bên xử lý phụ hiện tại, bao gồm danh tính, địa điểm và mục đích xử lý của họ, danh sách này cũng sẽ được thông báo cho Bên kiểm soát.
Danh sách này được cập nhật liên tục theo Mục 4 của DPA này.
リンク データ処理契約 (DPA)
【参考訳／便宜的翻訳（日本語）】
※本日本語訳は参考目的のみで作成されたものであり、法的拘束力はありません。
※英語正文と日本語訳の間に齟齬がある場合には、英語正文が優先されます。
本リンク・データ処理補遺（以下「本DPA」）は、Almedia Link 利用規約（以下「規約」）および、Almedia GmbH（所在地：Potsdamer Str. 125, 10783 Berlin, Germany、以下「管理者」または「Almedia」）と、該当する挿入注文書または注文書（以下「注文書」）に記載されたパブリッシャー（以下「処理者」または「パブリッシャー」）との間で締結される当該注文書に、参照により組み込まれるものとします。
注文書、規約および本DPAは、管理者と処理者との間の完全なデータ処理契約（以下「本契約」）を構成します。本DPAにおいて定義されていない大文字表記の用語は、注文書または規約において定められた意味を有するものとします。
1. 定義
1.1 「適用法令」とは、GDPR、UK GDPR、CCPA（該当する場合）を含む、適用されるすべてのデータ保護およびプライバシー関連法令、ならびに本契約に基づく個人データの処理を規律するすべての法令をいいます。
1.2 「個人データ」とは、本契約に基づき、処理者が管理者のために処理するすべての個人データをいいます。個人データには、該当する場合、Freecashのアカウント識別子、リンクトークン、報酬帰属イベント、ならびに当該リンクに関連して生成される技術的識別子を含む、エンドユーザーのアカウントと管理者のサービスとのリンクに関する識別子およびイベントデータが含まれます。
1.3 「データ保護法令」とは、EUデータ保護法令および、該当する範囲で、UK GDPRやCCPAを含むその他の適用国のデータ保護またはプライバシー法令をいいます。
1.4 「EUデータ保護法令」とは、EU指令95/46/EC（各加盟国の国内法に移植されたもの）および、GDPRならびにGDPRを実施または補完する法令を含め、随時改正、置換または失効されるものをいいます。
1.5 「GDPR」とは、EU一般データ保護規則（EU 2016/679）をいいます。
1.6 「個人データ」「処理」「管理者」「処理者」「データ主体」「サブ処理者」「監督当局」などの用語は、GDPRに定める意味を有します。
1.7 「サービス」とは、本契約に記載される広告、アトリビューション、分析、不正検知、請求、最適化および関連するパブリッシャー向けサービスをいいます。
2. 当事者の役割
2.1 Almediaは管理者として行動します。広告主は本契約に基づき処理者として行動します。
2.2 管理者は、(i) 個人データを処理すること、および (ii) サービス提供に合理的に必要であり、本契約および適用法令に整合する範囲で、個人データをいかなる国または地域にも移転することを、処理者に指示します。
2.3 処理者は、管理者の文書化された指示に厳密に従い、サービス提供の目的のみに個人データを処理するものとし、処理の目的または手段を独自に決定してはなりません。
2.4 管理者は、関連するすべての期間において、第2.2条および本契約に基づく追加の文書化された指示を与える正当な権限を有し、かつ今後も維持することを表明および保証します。
2.5 GDPR第28条第3項に基づき必要とされる個人データ処理の詳細は、別紙1（処理の詳細）に定められており、本DPAの不可分の一部を構成します。
2.6 当事者は、本契約に基づき処理されるすべての個人データ（Link統合に関連するものを含む）について、処理者は管理者のためにのみ処理者として行動し、共同管理者または独立した管理者としては行動しないことを確認し、合意します。
3. 処理者の義務
3.1 処理者は、法令により別途要求されない限り、管理者の文書化された指示に基づいてのみ個人データを処理します。
3.2 処理者は、個人データの処理を許可された者が、法的拘束力のある守秘義務を負うことを保証します。
3.3 処理者は、GDPR第32条に従い、適切な技術的および組織的安全管理措置を実施します。
3.4 処理者は、サービス提供に必要な期間を超えて個人データを保持しません。ただし、適用法令により保持が要求または許可される場合、法的請求の確立、行使、防御、本契約の履行、不正防止またはサービスの安全確保のために必要な場合はこの限りではありません。その場合、処理者は当該目的に限定して処理を行い、適切なアクセス制御を適用します。
3.5 処理者は、自己の目的のために個人データを処理してはなりません。特に、ユーザープロファイル、アカウントグラフ、行動モデル、オーディエンスセグメントの構築、自社データセットやサービスの強化、または管理者の指示外での分析、収益化、最適化の目的で個人データを使用してはなりません。処理者は、個人データに該当しない集計データまたは匿名化データのみを保持および利用できます。
4. サブ処理者
4.1 本条に従い、処理者は、別紙2に定める処理カテゴリーの範囲内で、サービス提供に必要な場合に限り、サブ処理者を利用することができます。
4.2 処理者は、すべてのサブ処理者が、本DPAおよび適用法令で要求される内容と実質的に同等のデータ保護義務を課す書面契約に拘束されていることを保証します。
4.3 処理者は、サービス提供に関与するすべての現行サブ処理者（名称、所在地、処理目的を含む）の最新リストを維持し、管理者の要請に応じてこれを提供します。
4.4 処理者は、個人データに重大な影響を与えるサブ処理者の新規選任または変更に先立ち、電子メールにより事前通知を行います。
4.5 管理者は、合理的かつ文書化されたデータ保護上の理由に基づく場合に限り、新たなサブ処理者の選任に異議を述べることができます。
4.6 合理的な解決策に合意できない場合、管理者は影響を受けるサービスを停止または書面通知により終了することができます。これはサブ処理者に関する管理者の唯一かつ排他的な救済手段とします。
5. 国際移転
5.1 処理者は、Link統合および報酬帰属を支援するために必要な場合を含め、法的に許可され、適切な保護措置が講じられている限り、EEA/UK外へ個人データを移転することができます。
5.2 適切な保護措置には、EU標準契約条項（SCC）、UK付属書／IDTA、またはその後継制度が含まれます。
5.3 処理者は、移転を受けるサブ処理者が十分な保護措置を実施することを保証します。
6. データ主体の権利
6.1 データ主体からの請求への対応は、管理者が責任を負います。
6.2 処理者は、当該請求への対応において、管理者に合理的な支援を提供します。
6.3 処理者は、法令により要求される場合または管理者から指示された場合を除き、データ主体に直接対応してはなりません。
7. 個人データ侵害
7.1 処理者は、個人データ侵害を認識した場合、不当な遅延なく管理者に通知します。
7.2 処理者は、管理者の通知義務の履行を支援するため、合理的に入手可能な情報を提供します。
7.3 処理者は、是正措置に関して管理者と協力します。
8. DPIAおよび監査
8.1 処理者は、データ保護影響評価（DPIA）および監督当局との協議について、データ保護法令により要求される範囲で合理的な支援を行います。
8.2 管理者は、(a) 30日前の書面通知、(b) 法令または確認されたインシデントがない限り12か月に1回まで、(c) 管理者が費用を負担、(d) 通常営業時間内かつ不当な妨害を行わないことを条件として、独立した信頼性のある監査人による監査または検査を実施できます。
8.3 処理者は、遵守を示すのに十分な場合、第三者認証または監査報告書の提供により監査義務を履行することができます。
9. データの返却および削除
9.1 第9.2条を条件として、処理者は、個人データ処理を伴うサービス終了後、遅滞なく、かついかなる場合でも60日以内に、管理者の指示に従い、個人データのすべての複製を削除、仮名化または返却します。ただし、適用法令により保持が義務付けられている場合を除きます。
9.2 処理者は、法令により要求または許可される範囲で個人データを保持することができますが、その場合、当該個人データの機密性を確保し、保持が必要または許可された目的にのみ処理を限定します。
10. 責任
本契約に定める責任制限および免責は、本DPAにも同様に適用されます。
11. 準拠法および管轄
本DPAは、本契約に定める準拠法および管轄に従うものとします。
12. 優先順位
12.1 本DPAと本契約の他の条項との間に、個人データの処理またはデータ保護法令の遵守に関して抵触がある場合には、本DPAが優先されます。
12.2 第12.1条を条件として、注文書において明示的に定められている場合には、注文書が規約および本DPAに優先します。
別紙1：処理の詳細
処理の対象
Link統合に関連するアトリビューション、分析、不正検知、請求検証、広告キャンペーンの最適化、アカウント連携および報酬帰属。
処理期間
本契約の有効期間および法令により要求される保持期間。
処理の性質
受領、収集、構造化、照合、分析、仮名化、移転、保存および削除。
処理目的
・MMPを通じたアトリビューションおよびマッチング
・クリック、インプレッション、インストール、イベントの測定
・不正検知および防止
・精算および請求検証
・キャンペーン最適化およびレポーティング
・技術サポート
・パブリッシャーのプロパティと管理者サービス間のエンドユーザーアカウントのリンク
・報酬対象となるゲーム内エンゲージメントの検証および帰属
・重複、不正、操作された報酬請求の防止
データ主体
・広告素材と相互作用するエンドユーザー
・プラットフォームにアクセスする広告主の担当者
個人データの種類
・エンドユーザーデータ（アプリ／ウェブ）：広告識別子（IDFA/GAID）、IPアドレス、ユーザーエージェント、OSバージョン、デバイスモデル、インストール時刻、クリック時刻、概括的な位置情報、インストール後イベント、不正分析シグナル、Freecashアカウント識別子または仮名化されたリンクトークン、アカウントリンクのタイムスタンプおよびステータス、報酬適格性および帰属イベント
・広告主担当者データ：氏名、メールアドレス、ログイン活動
機微情報・特別カテゴリーの個人データ
広告主は、データ保護法令で定義される機微情報または特別カテゴリーの個人データを処理者に送信しません。
別紙2：サブ処理者
処理者は、以下の処理カテゴリーの範囲内かつサービス提供に必要な場合に限り、サブ処理者を利用できます。
- クラウドホスティングおよびインフラ提供者（サーバー、ストレージ、CDN等）
- データ分析、アトリビューションおよび測定支援ツール
- 不正検知およびトラフィック品質ベンダー
- セキュリティ、ログ、監視プロバイダー
- カスタマーサポートおよびコミュニケーションサービス
- バックアップ、冗長化および事業継続プロバイダー
- サービス提供に必要な範囲での内部開発、監査および運用ツール（独立した製品開発やデータ活用を目的としないもの）
処理者は、すべての現行サブ処理者（名称、所在地、処理目的を含む）の最新かつ正式なリストを維持し、本DPA第4条に従い継続的に更新します。