データ処理契約
本データ処理契約（「本契約」）は、Proton AG（Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland、会社識別番号：CHE-354.686.492、以下「処理者」）と、Protonのサービスを利用する企業（以下「企業」、法人形態を問わず本サービスを利用するあらゆる企業または組織を指すものとします）との間における、Proton AGの利用規約に基づくサービス契約（「基本契約」）の一部を構成します。
本契約は、データ保護法の対象となる個人データの処理が企業によるProtonサービスの利用に伴う範囲において、データ保護法の特定の要件を規定します。
本契約は、当社のデータ保護慣行および措置の主要な参照先として機能する当社のプライバシーポリシーを補完するものです。
本契約の有効期間は、基本契約の有効期間に従うものとします。 本契約で定義されていない用語は、基本契約に定められた意味を持つものとします。
前文
A) 企業はデータ管理者（「管理者」）として行動します。
B) 企業は、個人データの処理を伴う特定のサービス（以下に定義）を、データ処理者（「処理者」）として行動するProton AGに再委託することを希望しています。
C) 両当事者は、データ処理に関する現行の法体系の要件、ならびに個人データの処理に関する自然人の保護および当該データの自由な移動に関する、かつ指令95/46/ECを廃止する2016年4月27日の欧州議会および理事会規則（EU）2016/679（一般データ保護規則）、ならびにその他の適用されるデータ保護法に準拠するデータ処理契約を実施することを求めています。
D) 両当事者は、それぞれの権利および義務を定めることを希望しています。
これにより、以下の通り合意します：
1. 定義および解釈
本DPAにおいて別途定義されていない限り、大文字で始まる用語および表現は以下の意味を持つものとします：
1.1) 「本契約」とは、本データ処理契約およびすべての別表を意味します；
1.2) 「企業個人データ」とは、基本契約に関連して処理される、企業または企業の顧客もしくは従業員に関連するあらゆる個人データを意味します；
1.3) 「受託処理者」とは、再処理者を意味します；
1.4) 「データ保護法」とは、EUデータ保護法、および適用される範囲においてその他の国のデータ保護またはプライバシー関連法を意味します；
1.5) 「EEA」とは、欧州経済領域を意味します；
1.6) 「EUデータ保護法」とは、各加盟国の国内法に置き換えられ、GDPRおよびGDPRを施行または補足する法律などにより随時修正、置換、または更新されたEU指令95/46/ECを意味します；
1.7) 「GDPR」とは、EU一般データ保護規則2016/679を意味します；
1.8) 「データ移転」 とは、以下を意味します：
- 1.8.1) 管理者から処理者または受託処理者への企業個人データの移転、または
- 1.8.2) 処理者から再処理者への、または再処理者の二つの事業拠点間における企業個人データの更なる移転；
1.9) 「本サービス」とは、メール、カレンダー、ドライブ、その他処理者が開発したサービスなど、処理者が提供するオンラインの安全なサービスを意味します。 本サービスの詳細および料金は、処理者のウェブサイトでご確認いただけます。
1.10) 「再処理者」とは、本契約に関連して管理者に代わって個人データを処理するために、処理者により、または処理者に代わって任命された者を意味します。
「欧州委員会」、「管理者」、「データ主体」、「加盟国」、「個人データ」、「個人データ侵害」、 「処理」、および「監督機関」という用語は、GDPRまたはその他の適用されるデータ保護法における意味と同じ意味を持つものとし、その派生語もこれに従って解釈されるものとします。
2. 企業個人データの処理
処理者は以下の事項を行うものとします：
2.1) 企業個人データの処理において、適用されるすべてのデータ保護法を遵守すること；
2.2) セクション2における管理者の文書化された指示に従う場合を除き、企業個人データを処理しないこと。
管理者は、以下の目的のために企業個人データを処理することを処理者に指示します：
2.3) 本サービスおよび関連する技術サポートを提供すること；
2.4) 法的義務を履行すること、または紛争を解決すること；
2.5) 本サービスのセキュリティ、プライバシー、機密性、および機能を最適化することを目的とした内部タスクを実行すること；
2.6) 内部報告、財務報告、およびその他の同様の内部タスクを実行すること。
3. 処理者の担当職員
処理者は、企業個人データへのアクセス権限を持つ可能性のある受託処理者の従業員、代理人、または請負業者の信頼性を確保するために合理的な措置を講じるものとし、いかなる場合においても、アクセスは基本契約の目的、および/または受託処理者に対する当該個人の職務の文脈においてデータ保護法およびその他の関連法を遵守するために厳格に必要な範囲で、関連する企業個人データを把握/アクセスする必要がある個人に厳格に制限され、これらすべての個人が機密保持の誓約、または職業上もしくは法令上の機密保持義務に服することを確保するものとします。
4. セキュリティ
GDPR第32条 (1) に従い、処理者は、最新技術水準、実施コスト、ならびに処理の性質、範囲、文脈、および目的を考慮し、リスクに応じた適切なセキュリティ水準を確保するための適切な技術的および組織的措置を講じるものとします。 これらの措置は、個人データ侵害のリスクを含め、発生確率および重大性が異なるリスクを考慮し、自然人の権利および自由を保護するように設計されるものとします。
また、処理者は処理活動に関連するリスクを評価し、GDPR第32条 (1) に定める要件に適合する措置を適用して、企業個人データのセキュリティを常に確保するものとします。
5. 再処理
本契約に従い、企業は処理者に対し、再処理者を選定し、企業個人データをそれらの再処理者に開示または移転する一般的な許可を与えるものとします。 企業は、処理者のプライバシーポリシーに記載されている再処理者のリストを承認し、このリストが処理者によって定期的に更新される可能性があることを理解し、その場合にはプライバシーポリシーの通知手順に従って処理者から企業に通知されるものとします。 さらに、企業は処理者に対し、その企業グループ内のあらゆる会社に個人データを開示および移転することを許可します。
処理者は、再処理者が提供するサービスの性質に適用される範囲で、企業個人データの保護に関して本契約と同等以上の制限および保護規定を含む処理者との間の契約に再処理者を服させることを保証します。
6. データ主体の権利
処理の性質を考慮し、処理者は、データ保護法に基づくデータ主体の権利を行使する要求に対応するという企業の義務を履行するために、合理的な範囲で企業を支援するものとします。
処理者は以下の事項を行うものとします：
6.1) 企業個人データに関してデータ保護法に基づくデータ主体からの要求を受領した場合は、速やかに企業に通知すること；かつ
6.2) 管理者の文書による指示がある場合、または処理者が服する適用法により義務付けられている場合を除き、当該要求に対応しないことを確保すること。適用法により義務付けられている場合、処理者は適用法で認められる範囲で、受託処理者が要求に対応する前に当該法的要件について管理者に通知するものとします。
7. 個人データ侵害
処理者は、適用されるデータ保護法および社内の個人データ侵害手順を遵守して、あらゆる個人データ侵害を管理するものとします。 企業の個人データに影響を与える個人データ侵害が発生した場合、処理者は遅滞なく企業に通知し、必要に応じてデータ主体に通知することを含め、企業がデータ保護法に基づく義務を履行できるように十分な情報を提供するものとします。 このような場合、処理者は、企業がデータ保護法に基づき個人データ侵害をデータ主体に報告または通知する義務を果たすことができるよう、十分な情報を企業に提供するものとします。
処理者は、企業と協力し、かかる各個人データ侵害の調査、影響緩和、および是正を支援するために、企業から指示された合理的な商業的措置を講じるものとします。
各当事者は、データ侵害が自らに起因する範囲において、調査、是正、影響緩和、およびその他の関連費用の負担を行うものとします。
各当事者は、本契約に基づく自らの義務違反に起因する範囲において、管轄権を有する規制当局、政府機関、または管轄裁判所によって課された罰金、違約金、損害賠償、またはその他の関連金額を負担するものとします。
8. データ保護影響評価および事前協議
処理者は、受託処理者による企業個人データの処理にのみ関連し、処理の性質および受託処理者が利用可能な情報を考慮した上で、GDPR第35条もしくは第36条またはその他のデータ保護法の同等規定により義務付けられていると管理者が合理的に判断するデータ保護影響評価、ならびに監督機関またはその他の管轄データプライバシー当局との事前協議に関して、企業に合理的な支援を提供するものとします。
9. 企業個人データの削除または返還
企業個人データの処理を伴うサービスの提供が終了した場合、処理者は、適用法で認められる範囲で、処理者の利用規約およびプライバシーポリシーに従って、すべての企業個人データを削除するものとします。 企業がデータのコピーを必要とする場合は、アカウントが削除される前に要求する必要があります。アカウントが削除された後に行われた要求には対応できなくなります。
10. 監査権
本セクション10に従い、処理者は、本契約の遵守を証明するために必要なすべての情報を企業の要求に応じて提供し、受託処理者による企業個人データの処理に関連して、企業または企業から委任された監査人による検査を含む監査を許可し、それに協力するものとします。 企業は、個人データ侵害の後、または規制当局からの指示があった場合を除き、暦年で一回を超えて監査権を行使しないものとします。 企業は、本契約に基づき処理者を監査する意向について、少なくとも60 (60) 日前に書面で処理者に事前通知するものとします。 監査は処理者の営業時間内に実施され、処理者の業務を妨げず、企業、処理者、およびその他のデータ主体の個人データの保護を確保するものとします。 処理者および企業は、監査の日程、範囲、期間、ならびに適用されるセキュリティおよび機密保持の管理措置について、事前に相互に合意するものとします。 企業は、監査の実施前に秘密保持契約への署名が管理者から求められる場合があることを認めるものとします。
本契約がデータ保護法の関連要件を満たす情報提供および監査の権利を企業に別途付与していない範囲においてのみ、セクション10に基づく企業の情報提供および監査の権利が生じるものとします。
11. データ移転
可能な限り、処理者はスイス国内、EU域内、および/または以下に規定される十分性認定の対象となる国へのデータ移転のみを行うか、またはその移転を許可するものとします：条文第。 45条 GDPRおよび条文第。 16条 スイスFADP。 本契約に基づいて処理される個人データが、スイス、EU内の国、または十分性認定の対象となる国からこの範囲外の国へ移転される場合、両当事者は個人データが適切に保護されることを確保するものとします。 これを達成するため、両当事者は、別段の合意がない限り、スイス、EU、および/または英国によって承認された、個人データの移転に関するその時点で有効な標準契約条項、またはデータ保護法に規定されているその他の移転メカニズムに依拠するものとします。 処理者は、移転の性質に関して適切な保護措置が講じられていることを条件として、再処理者へのこのような移転を実行することを許可されるものとします。
12. 一般条項
適用法の遵守。 処理者は、本契約および本契約に基づく自らの役割に適用されるデータ保護法に従って企業個人データを処理します。 処理者は、事業または業界の性質により企業のみに適用されるデータ保護法の遵守について、責任も義務も負いません。
機密保持。 各当事者は、本契約に関連して受領した相手方およびその事業に関するあらゆる情報（「機密情報」）の機密を保持しなければならず、相手方の事前の書面による同意なしに当該機密情報を使用または開示してはなりません。ただし、以下の範囲を除きます：
(a) 開示が法律により義務付けられている場合；
(b) 関連情報が当事者の過失によらずに既に公知となっている場合。
通知。 本契約に基づいて行われるすべての通知および連絡は書面によるものとし、メールで送信されます。 管理者への通知は、基本契約に基づく本サービスの利用に関連するアドレス宛に送信されるメールによって行われます。 処理者への通知は、アドレス：legal@proton.me 宛てに送信されるメールによって行われるものとします。
準拠法および管轄裁判所。 本契約は、抵触法の規定にかかわらず、スイス法に準拠するものとし、本契約、注文書、参照により組み込まれた文書、Protonの技術、または本サービスに起因または関連して生じる紛争、訴訟、請求、または訴訟原因は、スイスのジュネーブの専属的管轄権に服するものとします。
本規約の英語版と翻訳版との間に矛盾がある場合は、英語版が優先されるものとします。