委託処理契約（AVV）

標準契約条項

EUR-Lex（CELEX 32021D0915）に基づく公式テキスト、決議の付属書です。選択された項目には [選択：…]と明記され、選択されていない項目は取り消し線で示されています。それ以外の部分は原文のままです。

第II節：当事者の義務

第6条：処理の内容

処理の詳細、特に個人データのカテゴリーおよびデータ管理者の委託を受けて個人データが処理される目的については、別紙IIに記載されています。

第7条：当事者の義務

7.1. 指示

a) 委託処理者は、EU法または当該委託処理者が従うべき加盟国の法に基づき処理を行う義務を負う場合を除き、管理者の文書による指示に基づいてのみ個人データを処理します。 そのような場合、当該法が重要な公共の利益を理由としてこれを禁じていない限り、委託処理業者は、処理に先立ち、これらの法的要件を管理者に通知しなければなりません。管理者は、個人データの処理期間全体を通じて、追加の指示を出すことができます。これらの指示は、常に文書化されなければなりません。

b) 委託処理者は、データ管理者が与えた指示が、規則（EU）2016/679、 規則（EU）2018/1725、または欧州連合もしくは加盟国の適用されるデータ保護規定に違反していると判断した場合は、直ちにデータ管理者に通知しなければなりません。

7.2. 目的限定

委託処理業者は、データ管理者にさらなる指示を受けない限り、別紙IIに記載された特定の目的のみのために個人データを処理します。

7.3. 個人データの処理期間

データは、委託処理者によって、別紙IIに明記された期間に限り処理されます。

7.4. 処理の安全性

a) 委託処理者は、個人データの安全性を確保するため、少なくとも別紙IIIに列挙された技術的および組織的措置を講じます。 これには、意図的か否かを問わず、データの破壊、紛失、改ざん、または不正な開示もしくは不正なアクセスにつながるセキュリティ侵害（以下「個人データの保護侵害」といいます）からデータを保護することが含まれます。 適切な保護水準を評価するにあたり、当事者は、技術の水準、導入コスト、処理の性質、範囲、状況および目的、ならびにデータ主体に関連するリスクを適切に考慮するものとします。

b) 委託処理業者は、契約の履行、管理および監視に不可欠である範囲に限り、その従業員に対し、処理の対象となる個人データへのアクセスを許可するものとします。 委託処理業者は、受け取った個人データの処理を許可された者が、守秘義務を遵守することを誓約しているか、または適切な法的守秘義務を負っていることを保証するものとします。

7.5. 機微なデータ

人種または民族的出自、政治的見解、宗教的または世界観的な信念、あるいは労働組合への加入状況が明らかになる個人データ、または自然人を明確に識別する目的の遺伝データもしくは生体認証データ、 個人の健康、性生活、性的指向に関するデータ、あるいは刑事上の有罪判決および犯罪に関するデータ（以下「機微なデータ」といいます）を含む場合、委託処理業者は特別な制限および／または追加の保証を適用します。

7.6. 文書化および本条項の遵守

a) 当事者は、 本条項の遵守を証明できるものでなければなりません。

b) 委託処理業者は、本条項に基づくデータ処理に関してデータ管理者が行う照会に対し、速やかにかつ適切な方法で対応しなければなりません。

c) 委託処理業者は、本条項に定められ、かつ規則（EU）2016/679および／または規則 (EU) 2018/1725から直接生じる義務の遵守を証明するために必要なすべての情報を、データ管理者に提供しなければなりません。データ管理者の要請があった場合、委託処理業者は、本条項の対象となる処理活動について、適切な間隔で、または遵守違反の兆候が見られる場合に、その監査を許可するとともに、当該監査に協力しなければなりません。 検証または監査の実施を決定するにあたり、データ管理者は、委託処理業者による関連する認証を勘案することができます。

d) データ管理者は、自ら監査を実施するか、または独立した監査人に委託することができます。監査には、データ処理業者の事業所または物理的施設における立入検査が含まれる場合があり、必要に応じて、適切な事前通知の上で実施されます。

e) 当事者は、管轄の監督当局からの要請があった場合、本条項に記載された情報（監査の結果を含みます）を当該監督当局に提供します。

7.7. 再委託処理業者の利用

a) オプション2：一般的な書面による承認：委託処理業者は、合意されたリストに記載されている再委託処理業者を起用することについて、データ管理者の一般的な承認を得ています。 委託処理業者は、当該リストへの下請け処理業者の追加または置換による変更を意図する場合、少なくとも30日前までに、書面により明示的にデータ管理者に通知し、データ管理者が 当該下請け処理業者への委託に先立ち、当該変更に対して異議を申し立てることができるよう、十分な時間を確保します。委託処理業者は、管理者が異議申立権を行使できるよう、必要な情報を管理者に提供します。 [選択：オプション2、期間30日；合意されたリストは付属書IV]

b) 委託処理業者が（データ管理者の委託を受けて）特定の処理業務の実施を再委託処理業者に委託する場合、 当該委託は、本条項に基づきデータ処理者に適用されるものと同様のデータ保護義務を、実質的に下請け処理者に課す契約によって行わなければなりません。 委託処理業者は、再委託処理業者が、本条項および規則（EU）2016/679および／または規則（EU）2018/1725に基づき委託処理業者に課される義務を履行することを確保しなければなりません。

c) 委託処理業者は、データ管理者の要請に応じて、当該再委託契約およびその後の変更内容の写しをデータ管理者に提供します。 営業秘密またはその他の機密情報（個人データを含む）の保護に必要な範囲において、委託処理業者は、写しを開示する前に、当該契約書の文言を伏せることができます。

d) 委託処理業者は、再委託処理業者が委託処理業者との間で締結された契約に基づく義務を履行することについて、管理責任者に対し全面的に責任を負います。再委託処理業者が契約上の義務を履行しない場合、委託処理業者は管理責任者にその旨を通知します。

e) 委託処理業者は、再委託処理業者と第三者受益者条項を合意し、それによれば、委託処理業者が事実上または法的に消滅した場合、あるいは支払不能となった場合、データ管理者は - データ管理者は、下請け契約を解除し、下請け処理業者に対し、個人データを消去または返還するよう指示する権利を有するものとします。

7.8. 国際的なデータ移転

a) 委託処理者による第三国または国際機関へのデータの移転は、管理者の文書化された指示に基づく場合、またはEU法もしくは委託処理者が従うべき加盟国の法に基づく特定の規定を遵守する場合に限り行われ、かつ、規則 (EU) 2016/679 または規則 (EU) 2018/1725 の第 V 章に準拠していなければなりません。

b) 管理者は、委託処理者が第7.7条に基づき、特定の処理業務（管理者の委託による）の実施のために再委託処理者を利用する場合において、当該処理業務が規則 (EU) 2016/679に規定される個人データの移転を含む場合、委託処理業者および再委託処理業者は、(EU) 2016/679の第V章を遵守できるよう確保できるものとします。ただし、当該標準契約条項の適用要件が満たされている場合に限ります。

条項8：データ管理者の支援

a) データ処理者は、データ主体から受け取ったあらゆる請求について、直ちにデータ管理者に通知するものとします。データ処理者は、データ管理者からその権限を付与されていない限り、当該請求に対して自ら回答を行わないものとします。

b) データ処理の性質に配慮しつつ、委託処理業者は、データ主体による権利行使の請求に応答するというデータ管理者の義務の履行を支援します。a項およびb項に基づく義務を履行するにあたり、委託処理業者はデータ管理者の指示に従います。

c) 第8条b項に基づきデータ管理者を支援する義務とは別に、データ処理業者は、データ処理の性質および利用可能な情報を考慮した上で、データ管理者が以下の義務を遵守できるよう支援します：

• 1) 特定の処理が、自然人の権利および自由に高いリスクをもたらすと予想される場合、予定されている処理が個人データの保護に及ぼす影響の評価（以下「データ保護影響評価」といいます）を実施する義務；
• 2) データ保護影響評価の結果、データ管理者がリスクを軽減するための措置を講じない限り、当該処理が高度なリスクをもたらすことが判明した場合、処理に先立ち、管轄の監督当局と協議する義務；
• 3) 個人データが事実上正確かつ最新のものであることを確保する義務。これには、委託処理者が、自身が処理する個人データに誤りがある、または古くなっていることを発見した場合、直ちに管理者に通知することが含まれます；
• 4) 規則（EU）2016/679第32条に基づく義務。 [選択：オプション1]

d) 当事者は、附属書IIIにおいて、本条項の適用において委託処理者がデータ管理者を支援するための適切な技術的および組織的措置、ならびに必要な支援の適用範囲および範囲を定めるものとします。

条項9：個人データの保護侵害の通知

個人データの保護侵害が発生した場合、委託処理業者はデータ管理者と協力し、データ管理者が規則 (EU) 2016/679の第33条および第34条、あるいは必要に応じて(EU) 2018/1725の第34条および第35条に基づく義務を履行できるよう、データ処理者は、処理の種類および自身が有する情報を考慮した上で、データ管理者と協力し、適切な支援を行います。

9.1. データ管理者によって処理されるデータの保護に関する侵害

データ管理者が処理するデータに関連して個人データの保護侵害が発生した場合、データ処理者は、以下の通りデータ管理者を支援します：

a) データ管理者が保護侵害を認識した後、速やかに管轄の監督当局に対し、個人データの保護侵害を報告すること、 （ただし、当該個人データの保護侵害が、自然人の個人の権利および自由に対するリスクをもたらすおそれがないと見込まれる場合は除きます）；

b) 規則（EU）2016/679第33条第3項に基づき、管理者の通報に記載すべき以下の情報の収集において、当該情報は少なくとも以下を含めなければなりません： [選択：オプション1]

• 1) 個人データの種類（可能な限り、カテゴリーおよび影響を受ける個人の概数、ならびに影響を受ける個人データレコードのカテゴリーおよび概数を明記すること）；
• 2) 個人データの保護侵害により生じうる結果；
• 3) 個人データの保護侵害を是正するためにデータ管理者が講じた、または提案した措置、および必要に応じて、その潜在的な悪影響を軽減するための措置。

これらの情報のすべてを同時に提供できない場合は、当初の通知にはその時点で入手可能な情報を記載し、追加情報は入手次第、不当な遅延なく提供されるものとします；

c) 規則 (EU) 2016/679第34条に基づく義務、すなわち、当該侵害が自然人の権利および自由に高いリスクをもたらすと予想される場合、データ主体に対し、個人データの保護侵害について直ちに通知すること。 [選択：オプション1]

**9.2. 委託処理者が処理するデータの保護侵害

委託処理者が処理するデータに関連して個人データの保護侵害が発生した場合、 **委託処理者は、その侵害を認識した後、直ちに管理者へ報告しなければなりません。この報告には、少なくとも以下の情報が含まれていなければなりません：

a) 侵害の性質に関する説明（可能な限り、影響を受けた個人のカテゴリーおよびおおよその人数、ならびに影響を受けたデータレコードのおおよその数を明記すること）；

b) 個人データの保護侵害に関する詳細情報を入手できる窓口の連絡先；

c) 予想される影響、および個人データ保護侵害を是正するために講じられた、または提案されている措置（その潜在的な悪影響を軽減するための措置を含みます）。

これらの情報のすべてを同時に提供できない場合、当初の通知にはその時点で入手可能な情報を記載し、追加情報は入手可能になり次第、不当な遅延なく提供されるものとします。

当事者は、附属書IIIにおいて、データ管理者が規則（EU）2016/679の第33条および第34条に基づく義務を履行するのを支援するために、データ処理者が提供すべきその他のすべての情報を定めるものとします。 [選択：オプション1]

附属書I：当事者一覧

委託処理業者

Transpareo AG、Tech Cluster Zug、Oberallmendstrasse 18、6300 Zug、スイス、UID CHE-220.381.580、代表者：ギュンター・ライヒェルト（取締役会会長）。連絡先：privacy@mail.transpareo.com 。

GDPR第27条に基づくデータ保護責任者およびEUにおける代理人：DGD Deutsche Gesellschaft für Datenschutz、Prof. Dr. h.c. Heiko Jonny Maniero、Franz-Joseph-Str. 11、80801 ミュンヘン、ドイツ、info@mail.dg-datenschutz.de 。

Transpareoはスイスに本社を置いており、同国については欧州委員会による十分性認定（2000/518/EG）が発行されています。データはドイツに保管されています。

データ管理者

Transpareoは、各データ管理者と個別に本条項を締結します。 データ管理者は、以下のいずれかとなります：

1. 利用規約（AGB）に基づきTranspareoプラットフォーム を利用する顧客。氏名、住所、および連絡担当者は、プラットフォームを通じて契約を締結する際に提供し、アカウント内で管理している情報となります。連絡担当者はアカウント所有者となります。 本条項は、本契約の締結をもって合意されたものとみなされます（利用規約第14条）。
2. サプライヤーページを通じて、自社のサプライヤーに問い合わせを転送する サプライヤー。責任者は、問い合わせに記載されている通り、転送用のリンクが向けられている企業となります。 連絡担当者は、依頼を転送する者であり、その際に指定した氏名およびメールアドレスが適用されます。サプライヤーは、転送の際に自社を代表して本条項に同意することにより、本条項を締結することとなります。Transpareoは、同意された条項の内容および転送されたリンクの時刻を保存します。 また、サプライヤーには「サプライヤー向け利用規約」が適用されます。

Transpareoは、責任者がデータ保護責任者を指名した時点で、その責任者を管理します。

一般取引条件またはサプライヤー向け利用規約は、それぞれ主たる契約となります。本条項は電子的に締結されます（GDPR第28条第9項）。加入日は、締結時点となります。

付属書III：技術的および組織的な措置

暗号化と仮名化

• すべての通信はTLSで暗号化されています。
• アクセス情報およびその他の機密情報（PIN、ワンタイムコード用のキー、SMTPアクセス情報、APIキー）は、データベース内でAES-256-GCMを用いて暗号化され、ワークスペースごとに固有のキーで保存されています。
• バックアップデータは暗号化されています。
• アクセス統計では、IPアドレスは秘密鍵を用いたハッシュ値としてのみ保存されます。サプライヤーページへのアクセスは、この統計には含まれません。

分離

• お客様ごとに専用のデータベースが用意されています。

物理的セキュリティ

• サーバーおよびオブジェクトストレージは、ドイツのファルケンシュタインにあるHetzner Online GmbHのデータセンターに設置されており、ISO 27001の認証を取得しています。

本人確認とアクセス権限

• パスワードはbcryptハッシュとしてのみ保存されます。
• ワンタイムコードまたはセキュリティキーを用いた二要素認証は、すべてのユーザーが利用可能です。顧客は、自身のワークスペースに対してこの認証を必須とすることができます。
• セッションは、顧客が設定した無操作時間が経過すると終了します（デフォルト設定は8時間です）。
• ワークスペース内では、お客様が割り当てた役割と権限が適用されます。
• Transpareoの従業員は、お客様の名義でログインした場合にのみワークスペースを開くことができ、その操作はプラットフォームのログおよびワークスペースのセキュリティログに記録されます。
• サプライヤー側：リンクには16文字（80ビット）のランダムなキーが含まれています。PINを入力しない限り、ページにはデータセットの内容は一切表示されません。 PINを5回間違えると、リンクは15分間ロックされます。1つのIPアドレスにつき、ページへのアクセスは1分あたり最大120回までと制限されています。ロックが解除されると、セッションには新しい識別子が割り当てられます。このページは検索エンジンからブロックされており、そのアドレスを外部サイトに開示することはありません。

ログ記録

• データレコードへの変更およびサプライヤー側の操作は、日時、実行者、IPアドレスとともに記録され、5年間保存されます。ログインやその他のセキュリティ関連のイベントについては、1年間保存されます。
• サーバーログは14日後に削除されます。

完全性

• サプライヤーの画像は、メタデータなしで、公開ストレージ外の保護された領域に、審査を経て承認されるまで保管されます。審査完了後の回答によってのみ、データレコードが更新されます。
• 公開されたパスバージョンは、暗号署名されています。

可用性と復旧

• 4時間ごとに、すべてのアクティブなワークスペースのデータベースとファイルがバックアップされ、暗号化された上で、サーバーとは別にドイツのオブジェクトストレージに保存されます。ローカルコピーは4日後に削除されます。 オブジェクトストレージ内のバックアップは90日間保存され、その後さらに30日以内に完全に削除されます。
• サービスおよびサーバーは常時監視されており、セキュリティアップデートは定期的に適用されます。
• Transpareoはこれらの対策を定期的に見直し、技術の進歩に合わせて適宜調整いたします。

責任者への支援（第8条および第9条）

• お客様は、プラットフォーム上の自身のワークスペース内のデータを閲覧、修正、削除することができます。サプライヤーは、サプライヤーページ上で自身の情報提供に対する回答を確認でき、提供したリンクをいつでも取り消すことができます。
• Transpareoに寄せられたデータ主体からの申請については、Transpareoは直ちに管理者に転送いたします。
• 第7.7条および第9.2条に基づく通知は、顧客のアカウント所有者およびサプライヤーが情報提供時に指定したメールアドレス宛てに電子メールで送信されます。第9.2条b項に定める連絡先は、privacy@mail.transpareo.com です。
• 第9.2条に基づく通知には、さらに、侵害が発生した日時およびその発見日時、ならびに影響を受けた作業領域またはリンクを明記する必要があります。

スイスの補足

この追加条項は、第2条b項に続くさらなる条項です。当該処理がスイスの連邦データ保護法（DSG）の適用を受ける限りにおいて：

1. 規則（EU）2016/679への言及は、同時にDSGの対応する規定への言及とみなされます。具体的には、GDPR第28条はDSG第9条、第32条は第8条、 第33条および第34条はDSG第24条に、第35条および第36条はDSG第22条および第23条に、 第V章はDSG第16条から第18条まで、データ主体の権利はDSG第25条から第32条まで、また第7.5項に定める機微なデータは、DSG第5条c項に定める特別に保護を要する個人データとみなされます。
2. 管轄監督当局は、連邦データ保護・情報公開担当官（EDÖB）とします。ただし、GDPRに基づく監督当局の管轄権には影響を及ぼしません；
3. 加盟国の法には、スイス法も含まれるものとします。

2026年10月8日現在