データ処理追加条項

Realytics Corp Limited

最終更新日:2026年8月5日 | 発効日:2026年8月5日

本データ処理追加条項及びその附属書(以下「DPA」といいます。)は、本DPAを参照する両当事者間の利用規約、サブスクリプション契約、注文書その他の書面若しくは電子的な契約(以下「本契約」("Agreement")といいます。)に基づくお客様個人データの処理に関して、Realytics とお客様(以下に定義します。以下、両者を総称して「両当事者」("Parties")といいます。)との間で成立した合意を反映するものです。

本DPAは本契約に組み込まれ、いずれの当事者による追加の署名も要することなくその不可分の一部を構成します。社内手続上署名済みの写しを必要とするお客様には、 へのご請求により署名可能な様式をご提供します。

本DPAと本契約との間に矛盾がある場合には、本DPAが優先します。本DPAと第9条において参照される標準契約条項との間に矛盾がある場合には、標準契約条項が優先します。

1. 定義

本DPAにおいて定義されていない大文字表記の用語は、本契約において定められた意味を有します。

「関連会社」("Affiliate") とは、対象となる事業体を所有若しくは支配し、対象となる事業体により所有若しくは支配され、又は対象となる事業体と共通の所有若しくは支配の下にある事業体をいいます。ここで「支配」とは、事業体の経営又は業務を指揮する権限をいい、「所有」とは、議決権付証券又はこれに相当する議決権の50%以上の実質的所有をいいます。

「適用データ保護法」("Applicable Data Protection Law") とは、欧州データ保護法、CCPA、バージニア州消費者データ保護法、コロラド州プライバシー法、コネチカット州データプライバシー法、ユタ州消費者プライバシー法その他の適用ある米国州プライバシー法を含む、本DPAに基づく処理に適用されるデータ保護及びプライバシーに関するすべての法令をいいます。

「CCPA」 とは、カリフォルニア州プライバシー権法(California Privacy Rights Act)により改正されたカリフォルニア州消費者プライバシー法(California Consumer Privacy Act)及びその施行規則をいいます。

「管理者」("Controller") とは、個人データの処理の目的及び方法を決定する事業体をいい、適用データ保護法において定義される「事業者」("business")を含みます。

「お客様」("Customer") とは、本サービスへのアクセス又は利用のために Realytics との間で本契約を締結する事業体をいいます。

「お客様個人データ」("Customer Personal Data") とは、附属書 I に記載された個人データであって、お客様若しくはその認定ユーザーが本サービスに送信し、アップロードし、若しくは本サービスを通じてアクセス可能とするもの、又は Realytics が本契約に基づきお客様のために処理するものをいい、かつ、これに関してお客様が管理者又は第三者である管理者のために行為する処理者のいずれかであるものをいいます。

「データ主体」("Data Subject")、「処理する」("Process")、「処理された」("Processed") 及び 「処理」("Processing") は、それぞれ適用データ保護法において与えられた意味を有します。

「事業所単位データ」("Establishment-Level Data") とは、事業、ブランド、店舗、支店、営業拠点、施設その他の商業上の所在地又は法人に関するデータであって、Realytics がいかなる自然人の識別、特定又はプロファイルの構築のためにも使用しないものをいいます。

「欧州データ保護法」("European Data Protection Laws") とは、GDPR、英国GDPRと併せた英国2018年データ保護法(Data Protection Act 2018)及びスイス連邦データ保護法をいい、それぞれ改正又は代替されたものを含みます。

「GDPR」 とは、規則(EU)2016/679 及び英国法に編入された同規則をいいます。

「個人データ」("Personal Data") とは、適用データ保護法において定義される個人データ又は個人情報をいいます。

「個人データ侵害」("Personal Data Breach") とは、送信され、保存され、又はその他の方法で処理された個人データの偶発的若しくは違法な破壊、滅失若しくは改ざん、又は無権限の開示若しくはこれへのアクセスをもたらすセキュリティの侵害をいいます。

「処理者」("Processor") とは、管理者のために個人データを処理する事業体をいい、適用データ保護法において定義される「サービスプロバイダ」("service provider")を含みます。

「Realytics」 とは、キプロスにおいて登録番号 HE424817 で登録され、登録上の事務所を 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus に置く会社である Realytics Corp Limited をいい、本契約が Reality Analytics, Inc. との間で締結される場合には、当該事業体をいいます。

「規制当局」("Regulator") とは、当該処理について管轄権を有する監督機関又は執行機関をいいます。

「本サービス」("Services") とは、本契約に基づき Realytics がお客様に提供するサービスをいいます。

「標準契約条項」("Standard Contractual Clauses") 又は 「SCC」("SCCs") とは、2021年6月4日付欧州委員会実施決定(EU)2021/914 により承認された標準契約条項をいいます。

「再処理者」("Sub-Processor") とは、お客様個人データを処理するために Realytics が関与させる処理者(Realytics の関連会社を含みます。)をいいます。

2. 役割及び適用範囲

2.1 処理者としての役割。 お客様個人データに関して、お客様は管理者であり、Realytics は処理者です。お客様が第三者である管理者のために処理者として行為する場合、Realytics はお客様の再処理者として行為し、お客様は、Realytics に対する指示が当該管理者により承認されていることを確保する責任を負います。Realytics は、本DPAに定めるところにより、かつお客様の指示に従ってのみ、お客様個人データを処理します。

2.2 管理者としての役割。 Realytics は、アカウント登録データ、認定ユーザーの情報、請求及び支払情報、サポートに関する連絡並びに本サービスの利用状況及びテレメトリデータに関しては、処理者ではなく管理者として行為します。Realytics は、これらのデータを、本サービスの提供、保護、サポート、維持及び改善、顧客関係の管理、不正防止、事業継続並びに会計、請求及び法令遵守といった中核的な事業機能の遂行の目的で処理します。管理者としての Realytics による当該データの処理については、Realytics プライバシーポリシーに記載されており、本DPAの適用対象ではありません。

2.3 Realytics 自身のデータ。 Realytics がお客様とは独立して編集し、ライセンスを受け、又は導出したデータセット(一般に公開されたウェブページのクロールにより取得したデータ、ライセンスを受けた第三者のデータセット及び事業所単位データを含みます。)は、本サービスを通じてお客様に提示されるか否かにかかわらず、お客様個人データではなく、本DPAの適用対象ではありません。

2.4 お客様の関連会社。 お客様の関連会社が本契約に基づき直接本サービスのサブスクリプションを購入している場合、本DPAは当該サブスクリプションに適用され、当該各関連会社は自らのお客様個人データについて管理者とみなされます。お客様は、自ら及びその関連会社のために本DPAに基づく Realytics とのすべての連絡を取りまとめる責任を負い、また、これらの者のために当該連絡を行い、及び受領する権限を有します。

2.5 期間。 Realytics は、本契約の期間中お客様個人データを処理し、その後は第8条により認められる範囲においてのみ処理します。

3. お客様の義務

3.1 お客様は、適用データ保護法に従ってお客様個人データを処理し、及び Realytics に対して指示を行うものとします。お客様は、お客様個人データの正確性、品質及び適法性並びに当該データを取得した方法について単独で責任を負います。

3.2 お客様は、本契約において想定される処理のために Realytics にお客様個人データを提供するために必要なすべての権利及び有効な法的根拠を有することを保証します。適用データ保護法により求められる場合、お客様は、必要なデータ主体の同意を取得し、その記録を保持する責任を負います。同意が撤回された場合、お客様はこれを Realytics に通知する責任を負い、Realytics は、本DPAに整合するその結果としての指示を実施する責任を引き続き負います。

3.3 禁止されるデータ。 お客様は、以下のものを本サービスに送信してはならず、また、その認定ユーザーに送信させてはなりません。

(a) GDPR第9条にいう特別な種類の個人データ、すなわち、人種的若しくは民族的出自、政治的意見、宗教的若しくは思想的信条又は労働組合への加入を明らかにするデータ、遺伝データ、識別目的で処理される生体データ、健康に関するデータ、及び自然人の性生活又は性的指向に関するデータ

(b) 有罪判決又は犯罪行為に関する個人データ

(c) 16歳未満の児童の個人データ

(d) 識別された自然人の支払カード番号、金融口座番号、政府発行の識別番号又は正確な位置情報データ

本サービスは本第3.3条に記載されたデータを処理するようには設計されておらず、本条に違反して当該データが送信された場合、Realytics は当該データに関して何らの義務も責任も負いません。

3.4 補償。 お客様は、(a) お客様が Realytics に提供する適法な根拠又は必要な権利を有していなかったお客様個人データ、(b) お客様による第3.3条の違反、又は (c) Realytics に適用データ保護法の違反を生じさせるお客様からの指示に起因し又は関連して生じるあらゆる請求、要求、手続、制裁金、損失又は費用(合理的な弁護士費用を含みます。)から、Realytics 及びその関連会社を防御し、補償し、免責します。ただし、(c) については、Realytics が通知することが可能であった場合に第4.1条(c)に基づきお客様に通知していたことを条件とします。

4. 処理者としての Realytics の義務

4.1 Realytics がお客様のためにお客様個人データを処理する範囲において、Realytics は以下を行います。

(a) お客様からの文書化された指示(本契約、本DPA、お客様による本サービスの設定及び利用並びに本DPAに整合するその他の合理的な書面による指示を含みます。)にのみ基づき、第三国への移転に関するものを含めて、お客様個人データを処理すること。ただし、Realytics が服する法令の遵守のために必要とされる場合を除きます。

(b) 法令によりお客様の指示以外の処理が求められる場合、当該法令が開示を禁じているときを除き、処理の前にお客様に当該法的要件を通知すること。

(c) お客様からの指示が適用データ保護法に違反すると Realytics が判断する場合、速やかにお客様に通知すること。

(d) お客様個人データを処理する権限を有する要員が守秘義務を負うことを確保し、かつ、アクセスを、本サービスの提供、サポート又は保護のためにこれを必要とする要員に限定すること。

(e) お客様個人データの処理を対象とする書面による情報セキュリティ方針を維持すること。

4.2 サービスプロバイダ及び処理者に対する制限。 Realytics は以下を行いません。

(a) 本サービスを提供し本契約を履行するために必要な範囲又は適用データ保護法により別途認められる範囲を超えて、お客様個人データを保持し、使用し、又は開示すること

(b) Realytics とお客様との間の直接の取引関係の外で、お客様個人データを保持し、使用し、又は開示すること

(c) 適用データ保護法において定義される意味において、お客様個人データを「販売」("sell")し、又は「共有」("share")すること

(d) 第5条により認められる場合又は本サービスの提供のために必要な場合を除き、お客様個人データを、他の者から若しくは他の者のために受領した個人データ、又は Realytics が個人との自らのやり取りから収集した個人データと結合すること

両当事者は、お客様が Realytics にお客様個人データを開示することが、両当事者間で交換される金銭その他の価値ある対価の一部を構成するものではないことを確認します。Realytics は、適用データ保護法の下でお客様に求められるのと同水準のプライバシー保護をお客様個人データに提供し、適用データ保護法に基づく義務をもはや履行できないと判断した場合には、お客様に通知します。

5. 事業所単位の分析及びサービスの改善

5.1 目的。 本サービスは、商業活動を事業、ブランド又は物理的な所在地の単位で捉えることにより機能します。Realytics は、個々の自然人を識別し、特定し、プロファイリングし、又はこれらに関する決定を行うことを企図しておらず、また、自らが保有するいかなるデータセットにおいても自然人を再識別することを試みません。

5.2 許容される利用。 Realytics は、事業所単位データ並びに本サービスの運用から導出された集計データ又は統計データ(お客様個人データから導出されたデータを含みます。)を、本サービスの提供、保護、維持、分析及び改善のために(本サービスの一部を構成する分析モデル及び機械学習モデルの開発、訓練、テスト及び評価を含みます。)使用することができます。

5.3 制限。 Realytics は、第5.2条に基づくデータの使用を、当該データが集計され又は事業所単位データに縮減された結果、いかなる自然人も識別せず、かつ自然人の識別に合理的に用いることができず、かつお客様も識別しなくなった場合に限り行います。Realytics は、お客様個人データそのもの、又はお客様を識別するいかなる出力も、他の顧客に開示しません。

5.4 個人単位のデータ。 Realytics は、本サービスの基礎となるデータセットにおいて、自然人の個人単位の記録を保有せず、また取得しようとしません。

5.5 異議。 データ主体が本条に基づき行われる処理に関してGDPR第21条に基づく異議を述べる権利を行使する場合、Realytics は適用データ保護法に従って当該異議に効力を与えます。

6. セキュリティ

6.1 Realytics は、技術水準、実施費用並びに処理の性質、範囲、状況及び目的並びにデータ主体に対するリスクを考慮し、個人データ侵害からお客様個人データを保護するために適切な技術的及び組織的措置を実施し、維持します。当該措置は 附属書 II に記載されています。

6.2 Realytics は、本サービスの全体的なセキュリティの重大な低下をもたらさないことを条件として、附属書 II の措置を随時更新することができます。

6.3 お客様の書面による請求があった場合、本契約の秘密保持条項に従うことを条件として、Realytics は、本第6条の遵守を証明するために合理的に必要な情報を提供します。当該情報には、回答済みのセキュリティ質問票及び、利用可能な場合には、第三者による監査報告書又は認証の要約が含まれることがあり、これらはセキュリティ又は秘密保持上の理由により一部を伏せることがあります。

6.4 監査。 適用データ保護法により求められる場合であって、第6.3条に基づき提供された情報では十分でないときは、お客様は、Realytics によるお客様個人データの処理についての監査を請求することができます。当該監査は、12か月の期間内に1回を超えて実施することはできず、少なくとも30日前の書面による通知を要し、かつ、両当事者が事前にその範囲、時期及び期間について合意することを条件とします。お客様は自らの費用を負担し、監査への対応に費やされた時間について Realytics の合理的な費用を償還します。監査の結果は Realytics の秘密情報とします。お客様は、確認された不遵守について速やかに Realytics に通知し、Realytics は、確認された不遵守を是正するために商業上合理的な努力を行います。本条のいかなる規定も、規制当局により求められる監査又は検査を制限するものではありません。

7. 再処理者

7.1 承認。 お客様は、本サービスに関連してお客様個人データを処理するために Realytics の関連会社及び第三者である再処理者を関与させることについて、Realytics に一般的な書面による承認を与えます。これは、標準契約条項第9条の目的におけるお客様の事前の書面による承認を構成します。現行の再処理者の一覧は realytics.com/legal/subprocessors において入手可能であり、附属書 III に再掲されています。

7.2 通知及び異議。 Realytics は、新たな再処理者にお客様個人データへのアクセスを付与する少なくとも 15日 前に一覧を更新することによりその通知を行い、また、お客様が更新の通知を購読できる仕組みを提供します。お客様は、当該通知から 14日 以内に、データ保護に関する合理的な理由に基づき異議を述べることができます。お客様が当該期間内に回答しない場合、当該再処理者は承諾されたものとみなされます。

7.3 解決。 お客様が異議を述べた場合、両当事者は誠実に当該異議について協議します。30日以内に解決に至らない場合、お客様は書面による通知により本サービスの該当部分を解約することができ、Realytics は、解約後の期間に対応する前払済みの料金を日割りで返金します。

7.4 義務の承継及び責任。 Realytics は、各再処理者に対し、お客様個人データについて本DPAと少なくとも同水準の保護を提供するデータ保護義務を課します。再処理者が当該義務を履行しない場合、Realytics は当該再処理者の義務の履行についてお客様に対して引き続き責任を負います。

8. 削除及び返還

8.1 本契約の満了若しくは終了時、お客様の書面による請求があった場合、又は処理の目的が達成された場合、Realytics は、法令により保持が求められる範囲を除き、30日 以内にお客様個人データを削除します。

8.2 通常のバックアップに含まれるお客様個人データは、Realytics の通常のバックアップ周期に従い、いかなる場合も終了後 90日 以内に削除されます。

8.3 お客様は、契約期間中いつでも、追加料金なしに本サービスのエクスポート機能を用いてお客様個人データをエクスポートすることができます。お客様が技術的な作業を要する個別のデータ抽出を請求する場合、Realytics はその合理的な費用を請求することができます。

8.4 Realytics は、第8.1条に基づき保持されるお客様個人データの秘密を保持し、自らが服する法令を遵守するために必要な範囲においてのみこれを処理します。

8.5 終了前に第5条に基づき適法に作成された集計データ及び事業所単位データであって、お客様又はいかなる自然人も識別しないものは、本条に基づく削除の対象とはなりません。

9. 国際移転

9.1 標準契約条項。 欧州経済領域、英国又はスイスに由来するお客様個人データが十分性認定の対象となっていない国に移転される場合、両当事者は、標準契約条項の モジュール2(管理者から処理者へ) に拘束されることに同意し、当該条項は参照により本DPAに組み込まれます。お客様が第三者である管理者のために処理者として行為する場合には、代わりに モジュール3(処理者から処理者へ) が適用されます。お客様はデータ輸出者の義務を遵守し、Realytics はデータ輸入者の義務を遵守します。

9.2 選択事項。 標準契約条項の適用については、以下のとおりとします。

(a) 同条項第7条の任意のドッキング条項は、いずれかの当事者が他方当事者に対しこれが必要である旨を書面により通知した場合に適用されます。

(b) 同条項第9条においては、オプション2(一般的な書面による承認) が適用され、通知期間は第7.2条に定めるとおりとします。

(c) 同条項第11条においては、任意の独立紛争解決に関する文言は 適用されません。

(d) 同条項第17条においては、オプション1 が適用され、標準契約条項は キプロス共和国 の法に準拠します。

(e) 同条項第18条(b)においては、紛争は キプロス共和国 の裁判所において解決されます。

(f) 標準契約条項の附属書 I には本DPAの 附属書 I の情報が記入され、その附属書 II には本DPAの 附属書 II の情報が記入されます。

(g) 本DPAの締結は、標準契約条項及びその附属書に対する各当事者の署名を構成します。

9.3 英国。 英国GDPRの適用を受ける移転については、両当事者は、情報コミッショナー(Information Commissioner)が発行した 英国国際データ移転付則(バージョン B1.0) に合意し、これは参照により組み込まれます。表1には附属書 I に記載された両当事者の詳細が記入され、表2は輸出者を管理者、輸入者を処理者として特定し、表3及び表4にはそれぞれ附属書 I 及び附属書 II の情報が記入されます。

9.4 スイス。 スイス連邦データ保護法の適用を受ける移転については、連邦データ保護・情報コミッショナーが所轄の監督機関となり、GDPRへの言及は同スイス法への言及と読み替えられ、スイスのデータ主体はスイスにおいてその権利を行使することができます。

9.5 再移転。 Realytics は、いずれの場合も適用データ保護法に基づく適切な保護措置を条件として、Reality Analytics, Inc. 及び附属書 III に記載された再処理者に対してお客様個人データを移転することができます。

9.6 移転メカニズムの変更。 標準契約条項又は英国付則が改正され、置き換えられ、又は管轄権を有する裁判所若しくは規制当局により無効若しくは不十分であると判断された場合、両当事者は、適用される代替若しくは更新後の条項、又は適用データ保護法の下で有効なその他の移転メカニズムが、それらが適用可能となる日から自動的に適用されること、及び Realytics が本DPAを変更することなく必要に応じて追加の保護措置を実施できることに同意します。

10. データ主体の権利及び支援

10.1 Realytics が、お客様個人データに関してアクセス、訂正、消去、制限、ポータビリティ又は異議の権利を行使するデータ主体からの請求を受領した場合、Realytics は、法令上許容される範囲において、当該請求はお客様に対して行うべき旨を速やかにデータ主体に伝え、かつ当該請求についてお客様に通知します。

10.2 Realytics は、処理の性質を考慮し、合理的に可能な範囲において、当該請求に対応するお客様の義務の履行を、適切な技術的及び組織的措置により支援します。お客様が本サービスの機能を通じて請求に対応できない場合、Realytics は商業上合理的な努力により支援します。

10.3 お客様の請求があった場合、Realytics は、処理の性質及び Realytics が利用可能な情報を考慮し、お客様による本サービスの利用に関するデータ保護影響評価の実施及びGDPR第36条に基づく規制当局との事前協議について、お客様に合理的な支援を提供します。ただし、いずれの場合も、お客様が関連情報に他の方法ではアクセスできない範囲に限ります。

11. 個人データ侵害

11.1 Realytics は、お客様個人データに影響する個人データ侵害を認識した場合、不当な遅滞なく、いかなる場合も認識から 72時間以内 に、お客様がそのために提供した連絡先を用いてお客様に通知します。お客様は、当該連絡先を最新の状態に保つ責任を負います。

11.2 当該通知には、その時点で判明している範囲において、侵害の性質、影響を受けたお客様個人データの種類及び概算量、想定される結果並びに講じた又は講じることを提案する措置を含めます。通知の時点で情報が入手できない場合、Realytics は入手可能となり次第、段階的にこれを提供します。

11.3 Realytics は、是正が自らの管理下にある範囲において、侵害を封じ込め、是正するために商業上合理的な措置を講じ、お客様が規制当局及び影響を受けたデータ主体に通知することを求められる場合には、お客様がこれを行えるよう合理的な支援を提供します。

11.4 お客様は、お客様に適用される侵害通知義務及び第三者に対する通知義務の遵守について単独で責任を負います。

11.5 本条は、お客様、その認定ユーザー又は Realytics が提供していない製品若しくはサービスに起因する個人データ侵害には適用されません。

11.6 Realytics による個人データ侵害の通知は、過失又は責任を認めるものではありません。

12. 一般条項

12.1 責任。 契約、不法行為その他いかなる責任法理に基づくかを問わず、本DPAに起因し又は関連して生じる各当事者及びその関連会社の責任は、本契約に定める責任の制限及び免責に服します。本契約における当事者の責任への言及は、本契約及びすべてのデータ処理追加条項に基づく当該当事者及びそのすべての関連会社の責任の総額を意味します。本DPAのいかなる規定も、GDPR第79条及び第82条に基づくデータ主体の権利を含め、適用データ保護法の下で制限することができない責任を制限するものではありません。

12.2 準拠法。 本DPAは、本契約に適用される法に準拠します。本契約が準拠法を定めていない場合、本DPAはキプロス共和国法に準拠し、第9.2条(e)及び第9.3条に従うことを条件として、キプロスの裁判所が専属的管轄権を有します。

12.3 優先順位。 本DPAは、お客様個人データの処理に関して、本契約の矛盾する条項に優先します。本DPAにより変更される場合を除き、本契約は完全に効力を維持します。

12.4 本DPAの変更。 Realytics は、適用データ保護法、本サービス又はその再処理者の変更を反映するために本DPAを更新することができます。ただし、いかなる更新もお客様個人データに与えられる保護を実質的に低下させないものとします。Realytics は、重要な変更については、更新後の本DPAを掲載することにより、また、お客様が通知の購読をしている場合には電子メールにより、少なくとも30日前に通知します。

12.5 可分性。 本DPAのいずれかの規定が無効又は執行不能と判断された場合であっても、残りの規定は引き続き効力を有します。

12.6 パートナーシップの不存在。 本DPAのいかなる規定も、両当事者間にパートナーシップ、ジョイントベンチャー又は代理関係を創設するものではありません。

12.7 期間。 本DPAは本契約の発効日に効力を生じ、本契約の満了又は終了により自動的に終了します。ただし、第8条、第9条及び第12.1条を含め、その性質上存続する規定はこの限りではありません。

12.8 連絡先。 本DPAに関するご質問は までお送りください。セキュリティに関する事項も までお送りください。

附属書 I — 処理の説明

A. 当事者一覧

データ輸出者(管理者): 本契約において特定されるお客様。移転に関連する活動:本契約に基づく本サービスの受領。署名及び日付:本DPAの締結をもって、お客様による本附属書への署名とします。

データ輸入者(処理者): 本契約において特定される Realytics の事業体であり、Realytics Corp Limited(登録番号 HE424817、25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus)又は Reality Analytics, Inc.(1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States)のいずれかとします。連絡先:。移転に関連する活動:本契約に基づくお客様への本サービスの提供。署名及び日付:本DPAの締結をもって、Realytics による本附属書への署名とします。

B. 移転の説明

C. 所轄監督機関

キプロス共和国個人データ保護コミッショナー事務局。

附属書 II — 技術的及び組織的措置

Realytics は、処理の性質、範囲、状況及び目的並びにデータ主体に対するリスクを考慮し、個人データ侵害からお客様個人データを保護するために設計された技術的及び組織的措置を維持します。Realytics は、詳細なシステム構成又はセキュリティの実装の詳細については、公開することがセキュリティ上のリスクを生じさせる場合には公開しません。

A. アクセス制御

Realytics は、お客様個人データへのアクセスを、本サービスの提供、サポート、保守又は保護のためにアクセスを必要とする要員に限定します。アクセスは役割に基づいて付与され、認証を要し、必要がなくなった時点で削除されます。お客様個人データにアクセスする要員は守秘義務を負います。

B. 通信のセキュリティ

Realytics は、技術的に適切な場合、公衆ネットワーク上で送信されるお客様個人データを転送時の暗号化により保護します。

C. 分離及び最小化

Realytics は、本サービス内の顧客環境及びデータを分離するために設計された論理的な管理措置を用います。Realytics は、お客様個人データの処理を本契約及び本DPAに記載された目的のために必要な範囲に限定し、目的が許す場合には集計、非識別化又は事業所単位データを用います。

D. バックアップ及び復旧性

Realytics は、サービス階層及び本契約に従い、インシデント後の本サービス及びお客様個人データの可用性及び復元を支えるために設計されたバックアップ及び復旧の措置を維持します。

E. インシデント管理

Realytics は、本サービスに影響するセキュリティインシデントの特定、調査、封じ込め及び是正のための手順を維持します。

F. 再処理者の管理

Realytics は、本DPAと少なくとも同水準の保護を提供するデータ保護義務を課す条件で再処理者と契約し、第7条に記載された公開の再処理者一覧を維持します。

附属書 III — 再処理者

注記。 Hetzner Online GmbH は専用のベアメタルサーバー及びデータセンター設備を提供します。Realytics は Hetzner にお客様個人データへのアクセスを付与しておらず、Hetzner は Realytics のためにお客様個人データを処理しません。同社は、ホスティングインフラの提供者として透明性のために記載しています。

Meta Platforms、TikTok、LinkedIn 及び Google Ads は、Realytics が自らのマーケティング及び広告活動のために利用しているものであり、これらの活動において Realytics は管理者として行為します。これらはお客様個人データを処理しないため、本DPAに基づく再処理者ではありません。その役割については Realytics プライバシーポリシー に記載しています。

Realytics は、上記に記載されたAIモデル推論を提供する再処理者が自らのモデルの訓練のためにお客様個人データを使用することを許容しておらず、当該使用を排除する条件で契約しています。