本DPA（「本DPA」）は、Multiuniversal UAB（「処理者」）と顧客（「管理者」）との間のサービス契約の一部を構成します。本DPAは、Multiuniversalが管理者に代わって個人データを処理するすべての案件に自動的に適用されます。別途の署名は不要です — サービス案件の開始をもって、本条項への同意とみなされます。
本DPAに関するご質問は、privacy@multiuniversal.com までお問い合わせください。
定義
本DPAにおいて：
- 「管理者」とは、個人データの処理目的と手段を決定する顧客を意味します。
- 「処理者」とは、管理者の指示に基づいて行動するMultiuniversal UABを意味します。
- 「個人データ」、「データ主体」、「処理」、「監督機関」、および「個人データ侵害」は、GDPRにおいて定義される意味を持ちます。
- 「GDPR」とは、欧州議会及び理事会の規則（EU）2016/679を意味します。
- 「サービス」とは、該当するサービス契約に基づき処理者が提供するAIインフラ、自動化、または統合サービスを意味します。
- 「副処理者」とは、管理者に代わって処理活動を行うために処理者が関与させる第三者を意味します。
範囲及び役割
処理者は、管理者に代わって個人データの処理を伴う可能性のあるAIインフラサービスを提供します。この文脈において：
- 管理者は、処理の適法根拠及び目的を決定する責任を負うデータ管理者です。
- 処理者は、管理者からの文書化された指示に基づいてのみ、かつそれ以外の目的では個人データを処理しません。
- 処理される個人データの具体的な分類、処理の性質、及び期間は、案件ごとに合意される処理明細書に定められます。
処理者の義務
処理者は次のことを行うものとします：
- 連合法または加盟国法により義務付けられる場合を除き、管理者からの文書化された指示に基づいてのみ個人データを処理すること。
- 個人データの処理を許可された者が守秘義務を負うことを確保すること。
- 適切な技術的及び組織的セキュリティ対策を実施すること。
- データ主体からの請求に対応する管理者の義務の履行を支援すること。
- GDPR第32条から第36条（セキュリティ、侵害通知、DPIA、事前協議）に基づく義務の遵守を確保する上で管理者を支援すること。
- 管理者の選択により、サービス終了時にすべての個人データを管理者に削除または返却し、連合法または加盟国法により保持が要求される場合を除き、既存の複製を削除すること。
- 本DPAの遵守を証明するために必要なすべての情報を提供し、監査に協力すること。
- 処理者の見解において、指示がGDPRまたはその他の適用されるデータ保護法に違反すると判断した場合、直ちに管理者に通知すること。
管理者の義務
管理者は次のことを行うものとします：
- 処理者に提供するすべての個人データについて、GDPR第6条に基づく有効な適法根拠を有することを確保すること。
- 処理のための文書化された指示を提供し、変更があった場合は速やかに処理者に通知すること。
- GDPR第13条及び第14条により要求されるとおり、データ主体が処理について通知を受けていることを確保すること。
- 適用法に違反することとなる処理を処理者に指示しないこと。
副処理者
処理者は、管理者の事前の書面による許可なく、管理者の個人データを処理するために副処理者を関与させないものとします。管理者が包括的な書面による許可を与える場合、処理者は副処理者の追加または交代に関する予定された変更について管理者に通知し、管理者に14日以内に異議を申し立てる機会を与えるものとします。
関与するいかなる副処理者も、本DPAと同等のデータ保護義務を負うものとします。処理者は、副処理者の業務遂行について管理者に対して全責任を負い続けます。
標準的なサービス案件で使用される承認済み副処理者の最新リストは privacy@multiuniversal.com にて管理されており、要求に応じて提供されます。AIモデルの推論がサービス提供の一部を構成する場合、関与する副処理者は同じ登録簿に記載され、条項5.1の要件に従って管理者に通知されます。
セキュリティ対策
処理者は、リスクに応じた適切な技術的及び組織的対策を実施します。これには以下が含まれます：
| 対策 | 実装内容 |
|---|---|
| 転送時の暗号化 | すべてのデータ伝送にTLS 1.2以上を使用 |
| 保存時の暗号化 | 個人データを含むデータベースの暗号化ストレージ |
| アクセス制御 | ロールベースのアクセス制御、最小権限の原則、強力な認証 |
| データの最小化 | 指定された目的に必要なデータのみが処理される |
| AI処理管理 | AI推論は案件の境界内で実行され、アクセス制御及びログ記録はデータ取り扱い技術スタックの他の部分と整合している |
| インシデント対応 | 文書化された侵害検知及び対応手順 |
処理者は、技術の発展及び処理されるデータの性質に照らして、これらの対策を定期的にレビュー及び更新します。
データ主体の権利
処理の性質を考慮し、処理者は、適切な技術的及び組織的対策により、GDPR第III章に基づく権利（アクセス、訂正、削除、制限、可搬性、異議申し立て）を行使するデータ主体からの請求に対応する管理者の義務の履行を支援するものとします。
処理者が管理者のデータに直接関連するデータ主体からの請求を受け取った場合、速やかにこれを管理者に転送するものとし、指示がない限りデータ主体に直接対応しないものとします。
個人データ侵害
処理者は、管理者のデータに影響を及ぼす個人データ侵害を認識した後、不当な遅滞なく — いかなる場合も48時間以内に — 管理者に通知するものとします。通知には、可能な範囲で以下を含むものとします：
- 影響を受けるデータ主体及び記録のカテゴリー並びに概数を含む、侵害の性質の説明
- 処理者のデータ保護担当者の氏名及び連絡先
- 侵害により生じ得る結果の説明
- 侵害に対処するために講じられた、または提案される措置の説明
処理者は管理者に協力し、侵害の影響を軽減するための合理的な措置を講じるものとします。GDPR第33条及び第34条に基づく監督機関及びデータ主体への通知については、引き続き管理者が責任を負います。
国際移転
処理者のインフラ及び要員は、欧州連合の加盟国であるリトアニア国内に所在します。本DPAに基づき処理される個人データは、原則として欧州経済領域外には移転されません。
特定の案件において個人データの第三国への移転が必要となる場合、処理者は事前に管理者に通知するものとします。かかる移転は、移転前に実施される、GDPR第V章に基づく適切な保護措置（標準契約条項または十分性認定など）の対象となるものとします。
監査権
処理者は、本DPAの遵守を証明するために合理的に必要なすべての情報を管理者に提供するものとします。管理者（または管理者が委任した監査人）は、以下の条件のもとで、処理者の処理活動に関する監査または検査を実施することができます：
- 少なくとも14日前の合理的な書面通知
- 通常の営業時間内に、処理者の業務を不当に妨げない方法で監査を実施すること
- 監査人が本DPAと同等の守秘義務を負うこと
監査により処理者による本DPAの重大な違反が判明した場合を除き、監査費用は管理者が負担するものとします。
期間及び終了
本DPAは、該当するサービス契約の期間中効力を有します。サービス契約の終了または満了時、処理者は30日以内に、管理者の選択に従い、すべての個人データを返却または削除するものとします。処理者は、紛争解決、監査、及び法的請求の目的のために、終了後最長3年間コピーを保持することができます — その後は安全に削除されるものとします。かかる保持期間中、処理はこれらの目的のみに限定されます。管理者はいつでもより早い削除を要求することができます。
適用される連合法または加盟国法により3年を超える保持が要求される場合、処理者はその法的要件について管理者に通知し、処理を遵守に必要な最小限にとどめるものとします。
準拠法
本DPAはリトアニア共和国の法律に準拠し、これに従って解釈されます。該当するサービス契約に別段の定めがない限り、本DPAから生じるいかなる紛争も、リトアニア、ヴィリニュスの裁判所の専属管轄に服するものとします。
管理者が他のEU加盟国の法律の適用を受ける場合であっても、本DPAのいかなる規定も、管理者がその現地監督機関に苦情を申し立てる権利を制限するものではありません。
処理明細書
以下の明細書は案件ごとに記入され、本DPAの一部を構成します。処理開始前に、署名済みの写しが管理者に提供されます。
| 管理者の名称及び住所 | 案件ごとに記入予定 |
| サービスの説明 | 案件ごとに記入予定 |
| 処理の目的 | 案件ごとに記入予定 |
| 個人データの分類 | 案件ごとに記入予定 |
| データ主体の分類 | 案件ごとに記入予定 |
| 保持期間 | 案件ごとに記入予定 |
| 承認された副処理者 | 原則として該当なし。適用がある場合は記載 |
| 国際移転 | 原則として該当なし。適用がある場合はその仕組みを記載 |
貴社の案件について記入済みの処理明細書をご希望の場合、または本DPAの内容についてご相談がある場合は、privacy@multiuniversal.com までお問い合わせください。