データ処理契約
本書は便宜上提供される翻訳です。内容に相違がある場合は、英語版が優先します。
SNSI データ処理者契約
1. 目的および範囲
1.1. 管理者および処理者は、処理者が管理者に対して個人データの処理を伴うサービス（「本サービス」）を提供する旨の取り決めを締結しています。
1.2. 本契約は、一般データ保護規則（EU）2016/679（「GDPR」）を含む適用されるデータ保護法に従い、処理者が管理者に代わって個人データを処理する際の条件を定めるものです。
2. 定義
2.1. 「個人データ」とは、GDPR第4条に定義される、識別された、または識別可能な自然人に関するあらゆる情報をいいます。
2.2. 「処理」とは、GDPR第4条に定義される、自動化された手段によるか否かを問わず、個人データに対して行われるあらゆる操作または一連の操作をいいます。
2.3. 「再処理者」とは、本契約に基づき個人データを処理するために、処理者により、または処理者に代わって任命されたあらゆる第三者をいいます。
3. 個人データの処理
3.1. 対象事項：処理者は、両当事者間の主たるサービス契約（「サービス契約」）に記載された本サービスの提供のためにのみ、個人データを厳格に処理するものとします。
3.2. 期間：処理者は、法律により別段の定めがある場合を除き、本サービスの履行に必要な期間、またはサービス契約の終了時までに限り、個人データを処理します。
3.3. 性質および目的：処理者は、管理者が指定した目的のためにのみ個人データを処理するものとし、管理者の事前の書面による同意なく、その他の目的のために処理してはなりません。
3.4. データ主体の類型：
- ウェブサイト訪問者（例：scubasnsi.comを閲覧する個人）
- 登録ユーザー（例：受講生、インストラクター）
- コース参加者
- 製品またはサービスを購入する顧客
3.5. 個人データの種類：
- 識別情報および連絡先データ：氏名、メールアドレス、電話番号、郵送先住所
- アカウントデータ：ユーザー名、パスワード（またはパスワードハッシュ）、コース登録情報、認定履歴
- 取引データ：支払情報（システムに応じて、クレジットカード情報を含まない、または限定的に含む）、購入記録、請求先住所
- 通信データ：ウェブサイトまたはメールを通じて送信されたメッセージまたは通信
- 技術データ：IPアドレス、デバイス情報、ブラウザの種類、Cookieデータ、利用ログ
4. 処理者の義務
4.1. 処理者は、EU法または加盟国法により義務付けられる場合を除き、管理者からの文書化された指示に基づいてのみ個人データを処理するものとします。
4.2. 処理者は、個人データの処理を許可された者が守秘義務を負うことを確保するものとします。
4.3. 処理者は、暗号化、仮名化、アクセス制御を含む（ただしこれらに限定されない）、リスクに応じた適切なレベルのセキュリティを確保するための適切な技術的および組織的措置を講じるものとします。
4.4. 処理者は、GDPRに基づく権利を行使するデータ主体からの請求に管理者が対応する際、管理者を支援するものとします。
4.5. 処理者は、個人データ侵害を認識した後、不当な遅滞なく管理者に通知し、管理者が法的義務を遵守できるよう十分な詳細を提供するものとします。
5. 管理者の義務
5.1. 管理者は、本サービスの履行に必要な個人データを処理者に提供するものとし、その提供および意図された処理が適法であることを確保するものとします。
5.2. 管理者は、個人データの処理に関する特別な指示または要件を文書化し、処理者に伝達するものとします。
5.3. 管理者は、GDPRにより義務付けられる場合、自らの処理活動の記録を保持するものとします。
6. 再処理
6.1. 処理者は、管理者の事前の書面による同意がある場合に限り、再処理者を起用することができます。
6.2. 処理者は、いかなる再処理者も、本契約に定めるものと同等以上の保護を与える契約上の義務に拘束されることを確保するものとします。
6.3. 処理者は、再処理者の履行について、引き続き管理者に対して全面的な責任を負うものとします。
7. 国際データ移転
7.1. 処理者が、欧州経済領域（「EEA」）または英国を発信元とする個人データを、欧州委員会または関係当局により十分なレベルのデータ保護を提供していると認められていない国に移転する場合、処理者は適切な保護措置（例：標準契約条項）が講じられていることを確保するものとします。
7.2. 処理者は、前述の保護措置を遵守できない場合には速やかに管理者に通知し、遵守が不可能な場合には処理を停止するものとします。
8. データ主体の権利
8.1. 処理者は、適切な技術的および組織的措置により、GDPRに基づく権利（例：アクセス、訂正、消去、処理の制限、データポータビリティ、異議申立て）を行使するデータ主体からの請求に対応するという管理者の義務の履行について、管理者を支援するものとします。
9. データの返却または削除
9.1. サービス契約の満了もしくは終了時、または管理者の要請があった場合、処理者は、法律によりデータの保持が別途義務付けられている場合を除き、すべての個人データを速やかに返却し、または安全に削除するものとします。
9.2. 処理者は、管理者から要請があった場合、個人データの安全な削除を確認する書面による証明書を提供するものとします。
10. 監査およびコンプライアンス
10.1. 処理者は、本契約の遵守を証明するために必要なすべての情報を管理者に提供するものとし、管理者またはその指定する監査人が実施する監査を受け入れ、これに協力するものとします。
10.2. いかなる監査も、合理的な間隔で、事前の通知の上、通常の営業時間内に、処理者の事業運営を妨げることなく実施されなければなりません。
11. 責任の制限
11.1. 本契約に起因または関連する各当事者の責任は、適用される法律により禁止される範囲を除き、サービス契約で合意された責任の制限および免責に従うものとします。
12. 準拠法および管轄
12.1. 本契約は、アメリカ合衆国フロリダ州の法律に準拠し、同法に従って解釈されるものとします。
12.2. 本契約から生じるいかなる紛争も、アメリカ合衆国フロリダ州の管轄裁判所の専属的管轄に服するものとします。
13. 雑則
13.1. 本契約はサービス契約の一部を構成します。データ保護に関して本契約とサービス契約との間に矛盾がある場合は、本契約が優先するものとします。
13.2. 本契約のいずれかの条項が無効、違法、または執行不能と判断された場合でも、残りの条項の有効性には影響しないものとします。
13.3. 本契約は、両当事者が署名した書面によってのみ変更することができます。