Kendisデータ処理追加条項

本DPAにおいて：

“アカウントデータ”とは、ユーザーおよび管理者の氏名と連絡先、請求およびサブスクリプションに関する情報、サポートに関する連絡内容を含む、顧客とKendisとの関係に係る個人データを意味します。

“適用法”とは、本DPAに基づく顧客個人データの処理に適用されるデータ保護法およびプライバシー法をいい、該当する場合はEUデータ保護法および米国州プライバシー法を含みます。

“契約処理者”とは、Kendisまたは副処理者を意味します。

“顧客個人データ”とは、主契約に基づくクラウドサービスに関連して契約処理者が顧客に代わって処理する個人データをいい、トライアルデータまたはライセンシーデータ（いずれも主契約で定義される場合はその定義に従います）に含まれる個人データを含みます。

“EUデータ保護法”とは、GDPRおよびGDPRを施行または補完する法令をいい、該当する場合は英国およびスイスの同等の法令を含みます。

“GDPR”とは、EU規則2016/679を意味します。

“ホスティングリージョン”とは、顧客個人データ（アカウントデータを除きます）が保存および処理される地理的な所在地をいい、顧客が選択したまたは主契約で指定された、ホスティングおよび副処理者スケジュールに記載のホスティングリージョンを指します。

“ホスティングおよび副処理者スケジュール”または“スケジュール”とは、trust.kendis.io/subprocessorsで公開されるKendisホスティングおよび副処理者スケジュールをいい、Kendisが提供するホスティングリージョン、各リージョンで利用されるインフラ提供事業者および副処理者、ならびに依拠する移転メカニズムを示すものであり、第6条（副処理）に従って更新されます。本スケジュールは、参照により本DPAに組み込まれます。

“制限付き移転”とは、標準契約条項またはその他の適法な移転メカニズムがない場合にEUデータ保護法により禁止される、契約処理者への、または契約処理者間の顧客個人データの移転を意味します。

“標準契約条項”または“SCC”とは、別紙3に定めるまたは組み込まれる、欧州委員会が承認した国際移転のための標準契約条項を意味します。

“副処理者”とは、クラウドサービスに関連して顧客個人データを処理するためにKendisが起用する第三者を意味します。

“管理者”、“データ主体”、“個人データ”、“個人データ侵害”、“処理”および“監督機関”はGDPRで定められた意味を有し、“販売”、“共有”、“サービスプロバイダー”および“事業目的”はCCPA（第13条で定義します）で定められた意味を有し、いずれも文脈に応じて解釈されます。“含む”とは、限定を伴わずに含むことを意味します。

Kendisは、顧客個人データにアクセスする契約処理者の要員の信頼性を確保するための合理的な措置を講じ、アクセスをクラウドサービスの提供に必要な者に限定し、当該要員が守秘義務を負うことを確保します。Kendisは、顧客個人データにアクセスする要員について、適用される制裁措置ならびに取引禁止・制限対象者リストとの照合を行うために商業的に合理的な努力を払い、当該リストに掲載されている個人が顧客個人データにアクセスすることを故意に許可しないものとします。

Kendisは、技術水準、実装費用、処理の性質・範囲・状況および目的、ならびにデータ主体に対するリスクを考慮したうえで、リスクに応じた適切なレベルのセキュリティを確保するための適切な技術的および組織的措置（適切な場合にはGDPR第32条第1項に定める措置を含みます）を実施します。適切なセキュリティレベルを評価するにあたり、Kendisは個人データ侵害がもたらすリスクを特に考慮します。

Kendisは、処理の性質を考慮し、可能な範囲で、データ主体からの請求に対応できるよう適切な技術的および組織的措置により顧客を支援します。Kendisは、契約処理者が顧客個人データに関するデータ主体からの請求を受領した場合、速やかに顧客に通知し、顧客の文書による指示または適用法により要求される場合を除き、当該請求に応答しないものとします。

Kendisは、顧客個人データに影響する個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も72時間以内に顧客に通知し、顧客が侵害の報告またはデータ主体への通知に関する義務を履行できるよう十分な情報を提供します。Kendisは顧客に協力し、侵害の調査、影響の軽減および是正を支援するための合理的な措置を講じます。なお、顧客個人データへの不正アクセスまたはその毀損に至らない、未遂または軽微なセキュリティ事象は、本条における個人データ侵害を構成せず、個別の通知対象とはなりません。これには、ファイアウォールやエッジサーバーに対するpingその他のブロードキャスト攻撃、ポートスキャン、ログオンの失敗、当該サービスの停止に至らないサービス妨害攻撃、および顧客個人データへの不正アクセスまたはその毀損に至らない類似の事象が含まれます。

Kendisは、顧客がGDPR第35条または第36条に基づき必要と合理的に判断するデータ保護影響評価および監督機関への事前協議について、顧客に合理的な支援を提供します。いずれの場合も、顧客個人データの処理に関するものに限られ、処理の性質および契約処理者が入手可能な情報を考慮して行われます。

Kendisは、文書による証拠をもって本DPAの遵守を示します。合理的な書面による要請（暦年につき1回を超えないものとします。ただし、顧客個人データに影響する個人データ侵害が確認された場合または管轄の監督機関から要求された場合を除きます）に応じ、Kendisは30日以内に次のものを提供します。現行のISO/IEC 27001認証（または実質的に同等の認められた認証）、スケジュールに記載された主要な副処理者の最新の第三者によるセキュリティおよびコンプライアンス報告書（当該副処理者自身のコンプライアンスプログラムに基づき提供されるもの）、最新の第三者によるペネトレーションテストの要約、および顧客が合理的に求める形式で回答したセキュリティ質問票。本条に基づき提供される情報は、Kendisの機密情報です。顧客個人データは、スケジュールに記載された副処理者のデータセンターでホストされており、当該施設の検査はそれら副処理者自身の監査プログラムおよび認証に従います。また、顧客個人データはKendisの拠点には保存されていないため、Kendisの拠点における立入監査は提供されません。文書による証拠を誠実に検討したうえで、顧客が十分に解消されていない合理的、具体的かつ重要な懸念を有する場合、両当事者は速やかに誠実に協議し、必要に応じて書面によるフォローアップ、追加資料の提供、またはリモートでのウォークスルーセッションを行います。管轄の監督機関または強行法規たる適用法により要求される場合、Kendisは法的に要求される協力を追加的に行います。

本条は、カリフォルニア州プライバシー権法により改正されたカリフォルニア州消費者プライバシー法およびその規則（以下“CCPA”といいます）ならびに他の米国州の同等の法令（該当する場合、バージニア州、コロラド州、コネチカット州、ユタ州およびテキサス州のものを含みます）（併せて以下“米国プライバシー法”といいます）を含む米国州のプライバシー法またはデータ保護法が顧客個人データの処理に適用される場合に適用されます。本条が適用される場合、(a) Kendisは“サービスプロバイダー”または“処理者”として、顧客は“事業者”または“管理者”として行為します。(b) Kendisは顧客個人データを販売または共有せず、また米国プライバシー法で認められる場合を除き、(i) クラウドサービスの提供という特定の事業目的以外の目的で、(ii) 両当事者間の直接的な取引関係の外で、または (iii) 顧客以外の情報源から取得した個人情報と結合して、顧客個人データを保持、使用または開示しません。(c) Kendisは、本条の制限を理解し、これを遵守することを証明するとともに、米国プライバシー法上の義務をもはや履行できないと判断した場合には顧客に通知します。(d) Kendisは、米国プライバシー法が事業者に求めるのと同水準のプライバシー保護を提供し、顧客個人データに関する検証可能な消費者からの請求（アクセス、削除、訂正、オプトアウトなど）への対応において顧客を合理的に支援します。(e) Kendisは、Kendisによる顧客個人データの利用が米国プライバシー法上の顧客の義務に適合していることを確保するための合理的かつ適切な措置を顧客が講じられるようにし、合理的な通知を受けた場合、顧客個人データの不正利用を停止し是正するための合理的な措置を顧客が講じることを認めます。

本別紙は、GDPR第28条第3項が要求する顧客個人データの処理に関する情報を定めるものです。

対象事項および期間。主契約および本DPAに定めるとおり。クラウドサービスの提供期間および適用法により要求される保持期間にわたります。

性質および目的。主契約に従いKendisクラウドサービスを提供するための処理。顧客が接続したALMツールから抽出された作業管理データのホスティングおよび可視化を含みます。

データ主体の類型。クラウドサービスのエンドユーザー、および当該エンドユーザーが個人データを提供する個人。

個人データの種類。直接識別子（姓、名、メールアドレス）、デバイスおよびトラフィックデータ（IPアドレス、MACアドレスなど）、ならびにクラウドサービスのユーザーが提供する個人データ。

特別な種類のデータ。なし。Kendisは、EUデータ保護法に定める特別な種類のデータを故意に収集せず、顧客およびそのユーザーはこれを送信しないものとします。

処理の場所。該当するホスティングリージョンについて、ホスティングおよび副処理者スケジュールに定めるとおり。

Kendisが起用する副処理者、それらが業務を行うホスティングリージョン、および依拠する移転メカニズムは、trust.kendis.io/subprocessorsで公開されるホスティングおよび副処理者スケジュールに記載されています。本スケジュールは参照により本DPAに組み込まれ、第6条（副処理）に従って更新されます。Kendisは、副処理者の義務の履行について顧客に対し全面的に責任を負います。