最終更新日: 2020 年 11 月 2 日
Jibe と本追加条項に同意した相手方（以下「会社」）は、データ処理者サービスの提供に関する契約（随時改定される、以下「契約」）を締結しています。
このデータ処理追加条項（付録「データ処理追加条項」を含む）は、Jibe とお客様との間で締結され、本契約を補完します。本データ処理追加条項は、本条項の発効日より有効となり、本件に関連して以前に適用されていた条項（データ処理者サービスに関連するデータ処理およびセキュリティ条項を含む）に代わって適用されるものとします。
お客様が会社を代表して本データ処理追加条項に同意する場合、次の点を保証するものとします。（a）お客様は会社を本データ処理追加条項に拘束する完全な法的権限を有すること、（b）お客様は本データ処理追加条項を読んで内容を理解していること、（c）お客様は会社に代わって本データ処理追加条項に同意すること。お客様が会社を拘束する法的権限を持たない場合は、このデータ処理に関する追加条項に同意しないでください。
1. はじめに
本データ処理追加条項は、欧州のデータ保護法および特定の欧州以外のデータ保護法に関連して、企業個人データの処理およびセキュリティを規定する条件に関する当事者の合意を反映しています。
2. 定義と解釈
2.1 本データ処理追加条項内の定義:
「追加プロダクト」とは、Jibe または第三者が提供するプロダクト、サービス、アプリケーションで、（a）データ処理者サービスには含まれず、（b）データ処理者のユーザー インターフェース内で使用可能であるか、データ処理者と統合されているものを意味します。
「欧州以外のデータ保護法の追加規約」とは、付録 3 に記載されている追加規約であり、特定の欧州以外のデータ保護法に関連する特定のデータの処理について規定した条項に関する当事者の合意を反映しています。
「関連会社」とは、直接的もしくは間接的に当事者を支配している事業体、当事者によって支配されている事業体、または当事者と共通の支配下にある事業体を意味します。
「会社個人データ」とは、Jibe によるデータ処理者サービスの提供において、Jibe が会社に代わって処理する個人データを意味します。
「データ インシデント」とは、Jibe が管理または制御しているシステム上の会社の個人データに対して偶発的または違法な破壊、紛失、改ざん、不正開示、アクセスが発生する Jibe のセキュリティ違反を意味します。「データ インシデント」には、ファイアウォールまたはネットワーク システムへのログイン試行、ping、ポートスキャンの失敗や、サービス拒否攻撃、その他のネットワーク攻撃など、会社の個人データのセキュリティ侵害にはつながらない試行の失敗や活動は含まれません。
「データ保護法」とは、（a）欧州のデータ保護法、および/または（b）欧州以外のデータ保護法を意味します。
「データ主体ツール」とは、Jibe エンティティがデータ主体に提供し、Jibe が会社個人データに関連するデータ主体からの特定のリクエストに直接、標準化された方法で対応できるようにするツール（オプトアウト ブラウザ プラグインなど）を意味します。
「EEA」は、欧州経済領域（European Economic Area）の略称です。
「EU の GDPR」とは、2016 年 4 月 27 日付の「個人データ取り扱いに係る自然人の保護と当該データの自由な移動に関する欧州議会および欧州理事会の規則（EU）2016/679」を意味し、これにより指令 95/46/EC は廃止されています。
「欧州のデータ保護法」とは、（a）GDPR または（b）1992 年 6 月 19 日のスイス連邦データ保護法を意味します。
「欧州または各国の法令」とは、（a）EU または EU 加盟国の法令（EU の GDPR が企業個人データの処理に適用される場合）、および/または（b）英国または英国の一部の法令（英国の GDPR が企業個人データの処理に適用される場合）をいいます。
「GDPR」とは、（a）EU の GDPR または（b）イギリスの GDPR、あるいはその両方を意味します。
「Jibe」とは、本契約の当事者である Jibe 法人を意味します。
「Jibe データ処理再委託先関連会社」とは、セクション 11.1（データ処理再委託者の利用に対する同意）に規定されている意味を有します。
「Jibe 事業体」とは、Jibe Mobile Inc、Jibe Mobile Limited、または Jibe Mobile Inc のその他の関連会社を意味します。
「ISO 27001 認証」とは、ISO/IEC 27001:2013 認証、あるいは同等のデータ処理者サービス認証を意味します。
「欧州以外のデータ保護法」とは、EEA、スイス、および英国以外で施行されているデータ保護法またはプライバシー法を意味します。
「通知メールアドレス」とは、（i）会社が Jibe に提供したメールアドレス、または（ii）会社が、プロセッサ サービスのユーザー インターフェースまたは Jibe が提供するその他の手段を通じて、本データ処理追加条項に関連する特定の通知を Jibe から受信するために指定したメールアドレス（存在する場合）を意味します。なお、通知用メールアドレスを Jibe に提供し、通知用メールアドレスの変更を Jibe に通知することは、本会社の責任となります。
「プロセッサ サービス」とは、RCS ビジネス メッセージ サービスを指します（https://developers.google.com/business-communications/rcs-business-messaging を参照）。
「セキュリティ ドキュメント」とは、ISO 27001 認証と、データ処理者サービスに関連して Jibe が提供できる他のセキュリティ認証またはドキュメントを意味します。
「セキュリティ対策」とは、第 7.1.1 項（Jibe のセキュリティ対策）に規定されている意味を有します。
「標準契約条項」とは、欧州委員会の標準契約条項（https://privacy.google.com/businesses/gdprprocessorterms/sccs）を意味します。これは、EU GDPR の第 46 条に記載されているように、適切なレベルのデータ保護を保証しない第三国の処理業者への個人データの転送に関するデータ保護条項です。
「復処理者」とは、データ処理者サービスの一部や関連テクニカル サポートを提供するために、本データ処理追加条項の下、お客様の個人データに論理的にアクセスし処理することを承認された第三者を意味します。
「監督機関」とは、（a）EU の GDPR で定義されている「監督機関」および/または（b）イギリスの GDPR で定義されている「コミッショナー」をいいます。
「期間」とは、契約発効日から、本契約に基づいて Jibe がデータ処理者サービスの提供を終了するまでの期間を意味します。
「規約発効日」とは、本契約の発効日を意味します。
「第三者データ処理再委託者」とは、セクション 11.1（データ処理再委託者の利用に対する同意）に規定されている意味を有します。
「イギリスの GDPR」とは、イギリスの 2018 年欧州連合離脱法が施行された場合、同法に基づいて EU の GDPR を修正し、イギリスの法令に組み込んだものを意味します。
2.2 本データ処理追加条項で使用される「管理者」、「データ主体」、「個人データ」、「処理」、「データ処理者」という用語は、GDPR に規定されている意味を有します。また、「データ移転先」と「データ移転元」という用語は、標準契約条項に規定されている意味を有します。
2.3 「など」、「を含む」などの用語は例示として解釈されるものであり、限定的な意味を示すものではありません。本データ処理追加条項内の具体例は、説明用のものであり、特定の概念の唯一の例ではありません。
2.4 法的フレームワークや法令が言及されている場合は、随時改正または再制定されたものに言及しているものとします。
2.5 本データ処理規約が英語以外の言語に翻訳され、英語版と翻訳版の間に矛盾がある場合は、英語版が優先されるものとします。
3. 本データ処理追加条項の存続時間
本データ処理追加条項は、本規約の発効日に効力を生じ、本規約の有効期間にかかわらず、本データ処理追加条項に記載されているとおり、Jibe がすべての企業個人データを削除するまで有効であり、その時点で自動的に失効します。
4. 本データ処理追加条項の適用範囲
4.1 欧州のデータ保護法の適用。第 5 条（データの処理）から第 12 条（Jibe への連絡、記録の処理）まで（含む）は、欧州のデータ保護法が会社の個人データの処理に適用される範囲においてのみ適用されます。以下に例を示します。
（a）当該処理が EEA またはイギリス内におけるお客様の組織の活動にかかるものである場合、および/または
（b）企業個人データが EEA またはイギリス内におけるデータ主体に関する個人データであり、かつ、その処理が EEA またはイギリス内にいる者への商品もしくはサービスの提供または EEA またはイギリス内にいる者の行動のモニタリングに関するものである場合
4.2 データ処理者サービスに対する適用。本データ処理追加条項は、本データ処理追加条項に当事者が同意したデータ処理者サービスにのみ適用されます（例: （a）お客様がクリックして本データ処理追加条項に同意したデータ処理者サービス、または（b）本契約に本データ処理追加条項が参照として組み込まれている場合、本契約の対象となるデータ処理者サービス）。
4.3 欧州以外のデータ保護法の追加規約の組み込み。欧州以外のデータ保護法の追加規約は、本データ処理規約を補完するものです。
5. データの処理
5.1 役割および規制遵守、承認。
5.1.1 データ処理者と管理者の責任。当事者は、以下を認識し、同意します。
（a）付録 1 は、会社の個人データの処理の主題および詳細について規定しています。
（b）Jibe は、欧州のデータ保護法に基づいて、会社の個人データのデータ処理者です。
（c）会社は、欧州のデータ保護法に基づいて、会社の個人データのデータ管理者またはデータ処理者（該当するいずれか）です。
（d）各当事者は、企業の個人データの処理に関して、欧州のデータ保護法で適用される義務を遵守するものとします。
5.1.2 第三者管理者による承認。会社がデータ処理者である場合、会社は、会社個人データに関する会社の指示および行動（他のデータ処理者として Jibe を指名することを含む）が、該当の管理者によって承認されていることを Jibe に保証します。
5.2 会社の指示。本データ処理追加条項を締結することにより、会社は、（a）データ処理者サービスおよび関連する技術サポートを提供するため、（b）会社によるデータ処理者サービスの使用（データ処理者サービスの設定やその他の機能を含む）および関連する技術サポートを通じてさらに指定された範囲で、（c）本データ処理追加条項を含む本契約の形で文書化された範囲で、（d）会社から提供されたその他の書面による指示でさらに文書化され、本データ処理追加条項の目的における指示を構成するものとして Jibe によって承認された範囲でのみ、会社個人データを処理するよう Jibe に指示します。
5.3 Jibe の指示への準拠。Jibe は、Jibe が適用される欧州または各国の法律で Jibe による Google の個人データのその他の処理が義務付けられている場合を除き、第 5.2 項（Google の指示）に記載されている指示（データ転送を含む）に準拠します。その場合、Jibe は Google に通知します（ただし、そのような法律で Jibe が公共の利益に関する重要な理由でそうすることを禁止している場合を除きます）。
5.4 追加プロダクト。お客様が追加サービスを使用している場合、追加サービスとプロセッサ サービスの相互運用に必要な範囲で、追加サービスがお客様の個人データにアクセスすることをプロセッサ サービスが許可することがあります。本データ処理追加条項は、お客様が使用する追加プロダクトの提供に関連する個人データ（追加プロダクトとの間で送受信される個人データを含む）の処理には適用されません。
6. データの削除
6.1 期間中の削除。
6.1.1 データ処理者サービスが削除機能を備えている場合。期間中に、以下が該当する場合は、下記に示すとおりに削除を行います。
（a）データ処理者サービスの機能の中に、会社が会社個人データを削除できるオプションが含まれている場合。
（b）会社が、データ処理者サービスを使用して特定の会社個人データを削除する場合。
（c）削除された会社の個人データを会社が復元できない（たとえば「ゴミ箱」から）場合。
Jibe は、本期間中、以下に掲げる場合には、合理的に実行可能な限り速やかに、システムからそれらの企業個人データを削除するものとします。ただし、欧州または各国の法令により保管が必要な場合を除きます。
6.1.2 データ処理者サービスが削除機能を備えていない場合。契約期間中、データ処理者サービスの機能に、お客様がお客様の個人データを削除するオプションが含まれていない場合、Jibe は、データ処理者サービスの性質と機能を考慮し、可能な限り、お客様からの削除を容易にするための合理的なリクエストに準拠します。Jibe は、セクション 6.1.2（データ処理者サービスが削除機能を備えていない場合）に基づくデータ削除に対し、Jibe の合理的な費用に基づいて、手数料を請求できます。Jibe は、当該のデータ削除を行う前に、適用される料金の詳細およびその計算の根拠をお客様に提示します。
6.2 期間満了時の削除。期間の満了時に、会社は、適用される法律に従って、Jibe のシステムからすべての会社個人データ（既存のコピーを含む）を削除するよう Jibe に指示します。Jibe は、欧州または各国の法令により保管が必要な場合を除き、合理的に実行可能な限り速やかにこの指示に従います。
7. データ セキュリティ
7.1 Jibe のセキュリティ対策およびセキュリティ支援。
7.1.1 Jibe のセキュリティ対策。Jibe は、付録 2（「セキュリティ対策」）に記載されているように、偶発的または違法な破壊、紛失、改変、不正開示、アクセスから会社の個人データを保護するための技術的および組織的な対策を実施、維持します。Jibe は、プロセッサ サービスの全体的なセキュリティが損なわれないことを条件として、セキュリティ対策を随時更新または変更できるものとします。
7.1.2 Jibe スタッフによるセキュリティ遵守。Jibe は、会社の個人データの処理を承認されたすべての担当者が、機密保持を確約するか、機密保持に関する適切な法定義務を負うようにします。
7.1.3 Jibe のセキュリティ支援。お客様は、Jibe が、（お客様の個人データの処理の性質と Jibe が利用できる情報を考慮して）個人データのセキュリティと個人データ侵害に関するお客様の義務（該当する場合は、GDPR の第 32 条から第 34 条まで（含む）のお客様の義務）の遵守を確実にするために、お客様を支援することを同意します。
（a）セクション 7.1.1（Jibe のセキュリティ対策）に従ってセキュリティ対策を実施および維持する。
（b）第 7.2 項（データ インシデント）の条項を遵守する。
（c）セクション 7.5.1（セキュリティ ドキュメントの審査）に従って、セキュリティ ドキュメントと、本データ処理追加条項に含まれる情報を Google に提供する。
7.2 データ インシデント
7.2.1 インシデントの通知。Jibe がデータ インシデントの発生を確認した場合、Jibe は次のことを行います。（a）データ インシデントの確認後、速やかにその旨を会社に通知する。（b）被害を最小限に抑え、会社の個人データを保護するために、合理的な措置を速やかに講じる。
7.2.2 データ インシデントの詳細。セクション 7.2.1（インシデント通知）に基づいて行われる通知には、潜在的なリスクを軽減するための措置や、データ インシデントへの対処について Jibe がお客様に推奨する措置など、データ インシデントの可能な範囲での詳細が記載されます。
7.2.3 通知の提供。Jibe は、データ インシデントの通知を、通知メールアドレスに送信するか、Jibe の裁量で、他の直接的な通信手段（電話や対面会議など）を通じて提供します。お客様は、通知用メールアドレスを提供し、その通知用メールアドレスが最新かつ有効であることを確認する責任を負うものとします。
7.2.4 サードパーティへの通知。お客様は、お客様に適用されるインシデント通知法を遵守し、データ インシデントに関連する第三者への通知義務を履行する責任を単独で負うものとします。
7.2.5 Jibe による過失承認の否定。第 7.2 項（データ インシデント）に基づく Jibe のデータ インシデント通知やデータ インシデント レスポンスは、データ インシデントに関する過失や責任を Jibe が認めたと解釈されるものではありません。
7.3 お客様のセキュリティ責任と評価。
7.3.1 お客様のセキュリティ責任。会社は、セクション 7.1（Jibe のセキュリティ対策および支援）およびセクション 7.2（データ インシデント）に基づく Jibe の義務に影響を及ぼすことなく、以下の点に同意します。
（a）会社は、以下を含むデータ処理者サービスの使用に対して責任を負います。
（i）データ処理者サービスを適切に使用し、会社の個人データに対するリスクに適したレベルのセキュリティを確保すること。
（ii）データ処理者サービスにアクセスする際に会社が使用するアカウント認証情報、システム、デバイスを保護すること。
（b）Jibe は、Jibe およびそのデータ処理再委託者のシステム外で保存または転送を行うことを会社が選択した会社の個人データを保護する義務を負いません。
7.3.2 会社のセキュリティ評価。会社は、（最新技術、実装費用、会社個人データの処理の性質、範囲、コンテキスト、目的、および個人に対するリスクを考慮に入れて）第 7.1.1 項（Jibe のセキュリティ対策）に記載されている Jibe が実施、維持するセキュリティ対策が、会社個人データに対するリスクに適したレベルのセキュリティを提供することを認め、同意します。
7.4 セキュリティ認証。Jibe は、セキュリティ対策を評価し、有効性を持続するために、ISO 27001 認定を維持します。
7.5 コンプライアンスの審査と監査。
7.5.1 セキュリティ ドキュメントの審査。本データ処理追加条項に基づく義務を Jibe が遵守していることを証明するため、Jibe はセキュリティ ドキュメントをお客様による審査に利用できるようにします。
7.5.2 会社の監査の権利。
（a）Jibe は、第 7.5.3 項（監査に関する追加のビジネス規約）に従い、本データ処理追加条項に基づく義務を Jibe が遵守しているかどうかを確認するための監査（検査を含む）を、Google または Google が指名した第三者監査人が実施することを許可します。Jibe は、第 7.4 項（セキュリティ認証）および第 7.5 項（コンプライアンスの審査と監査）に記載されているように、このような監査に協力します。
（b）第 10.2 項（データの転送）に基づき標準契約条項が適用される場合、Jibe は、第 7.5.3 項（監査に関する追加のビジネス規約）に従い、標準契約条項に記載されているとおりに、お客様またはお客様が任命した第三者監査人が監査を実施することを許可します。
（c）ISO 27001 認証のために発行された証明書（第三者監査人による監査の結果を反映）を確認することで、本データ処理追加条項に基づく義務を Jibe が遵守しているかどうかを確認するための監査を実施することもできます。
7.5.3 監査に関する追加のビジネス規約。
（a）会社は、セクション 12.1（Jibe への連絡）に記載されているとおりに、セクション 7.5.2（a）または 7.5.2（b）に基づく監査の依頼を Jibe に送信します。
（b）セクション 7.5.3（a）に基づくリクエストを Jibe が受領した後、Jibe と Google は、セクション 7.5.2（a）または 7.5.2（b）に基づく監査に関して、適切な開始日、範囲、期間、適用されるセキュリティおよび機密保持の管理について、事前に協議し合意します。
（c）Jibe は、第 7.5.2（a）項または第 7.5.2（b）項に基づく監査に対して、Jibe の妥当な費用に基づいて費用を請求できるものとします。Jibe は、かかる監査を行う前に、該当する費用の明細と算出基準をお客様に提示します。かかる監査の実施において、会社が任命した第三者の監査機関から請求された費用については、会社が負担するものとします。
（d）Jibe は、会社によって任命された第三者監査人が、Jibe の合理的な見解の下、適格性がない場合や、独立していない場合、Jibe の競合他社である場合、その他明らかに不適切な監査人である場合、当該の監査人がセクション 7.5.2（a）または 7.5.2（b）に基づく監査を実施することに対して異議を申し立てることができます。Jibe がそのような異議申し立てを行った場合、会社は別の監査人を任命するか、自身で監査を実施する必要があります。
（e）本データ処理追加条項のいかなる規定においても、以下の情報を Google またはその第三者監査人に開示すること、あるいは Google またはその第三者監査人が以下の情報にアクセスすることを許可することを、Jibe が要求されることはありません。
（i）Jibe エンティティの他の顧客に関するデータ。
（ii）Jibe エンティティの内部会計情報や内部財務情報。
（iii）Jibe エンティティの企業秘密。
（iv）Jibe の合理的な見解の下、以下の可能性のある情報:（A）Jibe エンティティのシステムや施設のセキュリティを侵害すること。または（B）Jibe エンティティが、欧州のデータ保護法に基づく義務や、Google または第三者に対するセキュリティ義務やプライバシー義務に違反するようになること。
（v）会社またはその第三者監査人が、欧州のデータ保護法に基づく会社の義務の誠実な履行以外の理由でアクセスを求めている情報。
7.5.4 標準契約条項の変更は認められません。第 10.2 項（データの転送）に基づき標準契約条項が適用される場合、本第 7.5 項（コンプライアンスの審査および監査）により、標準契約条項に基づくお客様または Jibe の権利または義務が修正されることはありません。
8. 影響評価と協議
お客様は、Jibe が、（処理の性質と Jibe が利用できる情報を考慮して）データ保護影響評価と事前コンサルトに関するお客様の義務（該当する場合は、GDPR の第 35 条および第 36 条に基づくお客様の義務を含む）の遵守を確実にするために、以下のようにお客様を支援することを同意します。
（a）第 7.5.1 項（セキュリティ ドキュメントの審査）に従ってセキュリティ ドキュメントを提供する。
（b）本データ処理追加条項に含まれる情報を提供する。
（c）Jibe の標準的な慣行に従って、データ処理者サービスの性質や会社の個人データの処理に関する他のマテリアル（ヘルプセンターのマテリアルなど）を提供するか、他の方法で利用可能にする。
9. データ主体の権利
9.1 データ主体の要求に対する応答。Jibe がデータ主体から企業の個人データに関するリクエストを受け取った場合、Jib は以下を行います。
（a）データ主体ツールを介してリクエストが行われた場合は、そのデータ主体ツールの標準機能に従ってデータ主体のリクエストに直接対応します。
（b）データ主体ツールを介してリクエストが行われなかった場合は、データ主体にリクエストを会社に送信するよう助言します。会社は、そのようなリクエストに対応する責任を負います。
9.2 Jibe によるデータ主体要求に関する支援。お客様は、Jibe が、（お客様の個人データの処理の性質と、該当する場合は GDPR の第 11 条を考慮に入れて）データ主体からのリクエストに応えるお客様の義務（該当する場合は、GDPR の第 3 章に規定されているデータ主体の権利を行使するためのリクエストに応えるお客様の義務を含む）の履行を支援することを認めます。
（a）データ処理者サービスの機能を提供する。
（b）セクション 9.1（データ主体の要求への対応）に規定されている取り組みを遵守する。
（c）データ処理者サービスに該当する場合は、データ主体ツールを利用できるようにします。
10. データ転送
10.1 データ保存 / 処理施設。会社は、Jibe が、第 10.2 項（データの転送）に従って、Jibe またはそのデータ処理再委託者が施設を維持している国であれば、どこでも会社の個人データを保存し、処理できることに同意します。
10.2 データの転送。
会社の個人データの保存または処理に、EEA、スイス、英国から欧州のデータ保護法に基づく十分性認定を受けていない第 3 国への会社の個人データの転送が伴う場合:
（a）会社（データ移転元）は、Jibe（データ移転先）と標準契約条項を締結したものとみなされます。
（b）移転には標準契約条項が適用されます。
（c）標準契約条項における Google LLC とお客様の記述は、それぞれ Jibe とお客様に置き換えられます。
10.3 データセンターに関する情報。Google データセンターの場所に関する情報は、www.google.com/about/datacenters/locations/index.html で確認できます。
11. 復処理者
11.1 復処理者の利用に対する同意。お客様は、Jibe のアフィリエイトをデータ処理再委託者（「Jibe アフィリエイト データ処理再委託者」）として利用することを明示的に承認します。また、お客様は、他の第三者がデータ処理再委託者（「第三者データ処理再委託者」）として業務を行うことを一般的に承認します。第 10 条 2 項（データの移転）に基づき標準契約条項が適用される場合、上記の承認は、お客様の個人データの処理を Jibe が委託することに対するお客様の事前書面による同意を構成します。
11.2 復処理者に関する情報。 会社からの書面によるリクエストに基づき、Jibe はサブプロセッサとその所在地に関する情報を提供します。このようなリクエストは、第 12 条 1 項（Jibe への連絡）に記載されている連絡先情報を使用して Jibe に送信する必要があります。
11.3 復処理者の使用要件。データ処理再委託者を利用する際、Jibe は以下を行います。
（a）書面による契約を通じて、以下を保証します。
（i）データ処理再委託者は、委託された義務を履行するうえで必要な範囲内でのみ、Google の個人データにアクセスして使用し、本契約（本データ処理追加条項を含む）および、第 10 条 2 項（データの転送）に該当する場合は標準契約条項を遵守してそのようなアクセスおよび使用を行います。
（ii）GDPR が会社の個人データの処理に適用される場合、GDPR の第 28 条（3）のデータ保護義務がデータ処理再委託者に課されます。
（b）データ処理再委託者に委託したすべての義務、ならびにデータ処理再委託者のすべての行為および不作為に対して、全責任を負います。
11.4 復処理者の変更に異議を申し立てる機会。
（a）契約期間中に新しい第三者委託先が使用される場合、Jibe は、新しい第三者委託先が Google の個人データを処理する 30 日前までに通知メールアドレスにメールを送信することにより、その委託（関連する委託先の名前と所在地、委託先が行うアクティビティを含む）を Google に通知します。
（b）会社は、新しい第三者サブプロセッサに対して異議を申し立て、Jibe に書面で通知した直後に本契約を終了することができます。ただし、会社が新しい第三者サブプロセッサの契約について通知を受けてから 90 日以内に、第 11 条 4 項（a）に記載されているように通知を行うことが条件となります。この解約権は、お客様が新しい復処理者に異議申し立てを行う場合の唯一かつ排他的な救済手段となります。
12. Jibe への連絡、データ処理記録
12.1 Jib への連絡会社は、このデータ処理に関する追加条項について、Jibe の RCS データ保護担当者を通じて Jibe に連絡できます。この担当者には、http://issuetracker.google.com から、または Jibe が随時提供するその他の手段で連絡できます。
12.2 Jibe のデータ処理記録。 お客様は、GDPR に基づき、Jibe が（a）Jibe が代理で活動する各処理者または管理者の名前と連絡先情報、および（該当する場合）そのような処理者または管理者の現地代表者とデータ保護担当者の氏名と連絡先情報を含む特定の情報の記録を収集して維持し、（b）そのような情報を監督機関に提供することが義務付けられていることを認めます。したがって、リクエストがあり、該当する場合、会社は、プロセッサ サービスのユーザー インターフェースまたは Jibe が提供するその他の手段を通じて、かかる情報を Jibe に提供します。また、そのようなユーザー インターフェースまたはその他の手段を使用して、提供するすべての情報が正確かつ最新の状態であることを確保します。
13. 賠償責任
13.1 賠償上限。本契約の他の条項にかかわらず、本データ処理追加条項に基づく、または本データ処理追加条項に関連するいずれかの当事者から他方の当事者に対する総賠償責任は、当該当事者の本契約に基づく賠償責任の上限となる最大金額または基準額に制限されます（したがって、本契約の責任制限から秘密保持または補償請求が除外される場合、欧州のデータ保護法または欧州以外のデータ保護法に関連する本契約に基づく請求には適用されません）。第 13 条（責任）のいかなる規定も、（a）当事者による過失あるいは当事者の従業員または代理人による過失に起因する死亡または人身傷害、（b）詐欺または詐欺的不実表示、（c）適用法に基づき責任を除外または制限できない事項に対する、いずれかの当事者の責任を除外または制限するものではありません。
13.2 標準契約条項が適用される場合の賠償責任。第 10 条第 2 項（データの転送）に基づいて標準契約条項が適用される場合、本契約および標準契約条項に基づき、または本契約および標準契約条項に関連して、各当事者とその関連会社が他方当事者とその関連会社に対して負う責任の総額は、第 13 条第 1 項（賠償上限）の対象となります。
14. 第三者の受益者
当事者の関連会社が、第 10 条 2 項（データの移転）に基づいて適用される標準契約条項の当事者である場合、その関連会社は、第 6 条 2 項（契約期間の終了による削除）、第 7 条 5 項（コンプライアンスの審査と監査）、第 9 条 1 項（データ主体の要求への対応）、第 10 条 2 項（データの移転）、第 11 条 1 項（サブプロセッサの利用に対する同意）、第 13 条 2 項（標準契約条項が適用される場合の責任）の第三者受益者となります。本第 14 項（第三者の受益者）が当該契約の他の条項と矛盾している、または整合していない場合は、本第 14 項（第三者の受益者）が適用されます。
15. 本データ処理追加条項の効力
標準契約条項、欧州以外のデータ保護法の追加規約、本データ処理追加条項、本契約の残りの条項との間に矛盾または不一致が存在する場合は、次の優先順位が適用されます。
（a）標準契約条項
（b）欧州以外のデータ保護法の追加規約
（c）本データ処理規約の残りの部分。
（d）本契約の残りの部分。
本契約（追加条項を含む）が他の言語に翻訳され、翻訳された文言が英語の文言と矛盾または不一致がある場合は、英語の文言が優先されます。
本データ処理追加条項に改訂があった場合はそれを適用することで、本契約は引き続き完全な効力を有します。
16. 本データ処理追加条項の変更
16.1 URL の変更 Jibe は、本データ処理追加条項で参照されている URL および当該 URL のコンテンツを随時変更できるものとします。ただし、Jibe は、第 16.2（b）～第 16.2（d）（データ処理規約の変更）に従って、または、欧州のデータ保護法に基づいて採用される新しい版の標準契約条項を組み入れるために、標準契約条項を変更できるものとします。いずれの場合も、欧州のデータ保護法に基づく標準契約条項の有効性に影響を与えない方法で変更するものとします。
16.2 データ処理規定の変更。変更内容が以下に該当する場合、Jibe は、本データ処理追加条項を変更できます。
（a）セクション 16.1（URL の変更）で規定されているものを含め、本データ処理追加条項によって明示的に許可されている場合。
（b）法人の名前または形態の変更を反映する場合。
（c）適用される法律、適用される規制、裁判所命令、政府規制当局または政府機関によって発行された指針を遵守するうえで必要となる場合。
（d）（i）データ処理者サービスの全体的なセキュリティが低下すること、（ii）（x）欧州以外のデータ保護法に関する追加条項の場合、欧州以外のデータ保護法に関する追加条項の対象となるデータの使用またはその他の処理に関する Jibe の権利、または（y）本データ処理規約の残りの条項の場合、第 5.3 項（Jibe による指示への準拠）に記載されているように、Jibe によるお客様の個人データの処理について、データ処理の範囲が拡大されることや制限が解除されること、（iii）その他、Jibe が合理的に判断したうえで、本データ処理に関する追加条項に基づくお客様の権利に重大な悪影響を与えること。
16.3 変更の通知。Jibe が第 16 条 2 項（c）または（d）に基づきこのデータ処理に関する追加条項を変更する場合、Jive は変更が発効する少なくとも 30 日前（または適用される法律、適用される規制、裁判所命令、政府規制機関または政府機関から発行されたガイダンスに準拠するために必要となる短い期間）に、（a）通知用メールアドレスにメールを送信するか、（b）プロセッサ サービスのユーザー インターフェースを通じてお客様に通知します。会社が当該の変更を承諾しない場合、会社は、Jibe から変更の通知を受けてから 90 日以内に Jibe に書面で通知することによって、本契約を終了することができます。
付録 1: データ処理の内容および詳細
Subject Matter
Jibe が会社に対してデータ処理者サービスおよび関連テクニカル サポートを提供すること。
データ処理の期間
本契約の期間に加えて、本契約の期間の満了から本データ処理追加条項に従って Jibe がすべての企業個人データを削除するまでの期間。
データ処理の性質と目的
Jibe は、本データ処理追加条項に従って、会社にデータ処理者サービスと関連する技術サポートを提供することを目的として、会社個人データを処理します（データ処理者サービスと第 5.2 項（会社の指示）に記載された指示に応じて、会社個人データの収集、記録、整理、構造化、保存、変更、取得、使用、開示、結合、消去、破棄を含む）。
個人データの種類
会社または会社のエンドユーザーによって（またはその指示により）処理サービスを介して Jibe に提供される個人に関連する個人データ。
データ主体のカテゴリ
データ主体には、会社または会社のエンドユーザーによって（またはその指示により）データ処理サービスを介して Jibe に提供される個人のデータが含まれます。
付録 2: セキュリティ対策
契約発効日以降、Jibe は、この付録 2 のセキュリティ対策を実施、維持します。Jibe は、当該セキュリティ対策を随時更新、修正することができます。ただし、そのような更新や修正によってデータ処理者サービスの全体的なセキュリティが低下する場合はこの限りではありません。
1. データセンターとネットワーク セキュリティ
（a）データセンター。
インフラストラクチャ。Jibe は、地理的に分散したデータセンターを維持しています。Jibe は、本番環境のすべてのデータを物理的に保護されたデータセンターに保存しています。
冗長性。インフラストラクチャ システムは、単一障害点を排除し、予想される環境リスクの影響を最小限に抑えるように設計されています。二重回路、スイッチ、ネットワーク、他の必須デバイスにより、このような冗長性を実現しています。データ処理者サービスは、中断することなく Jibe が特定のタイプの予防的および補正的なメンテナンスを実行できるように設計されています。すべての環境機器および施設は、製造元や内部の仕様に従って、実施プロセスと実施頻度を詳細に説明した予防的メンテナンス手順が文書化されています。データセンターの機器に対する予防的および是正的なメンテナンスは、文書化された手順に従い、標準プロセスを通じて実施されます。
パワー。データセンターの電力システムは、1 日 24 時間、週 7 日の継続的な運用に影響を与えることなく、冗長性と保守性を維持できるように設計されています。ほとんどの場合、データセンター内の重要なインフラストラクチャ コンポーネントには、それぞれ同じ容量の主電源と代替電源が用意されています。バックアップ電源は、ブラウンアウト、ブラックアウト、過電圧、電圧不足、許容範囲外の周波数状態でも、信頼できる電力を安定して供給する無停電電源装置（UPS）バッテリなど、さまざまなメカニズムによって提供されます。停電が発生した場合、バックアップ電源はディーゼル発電機が稼働するまで最大 10 分間、データセンターのフル稼働に必要な電力を一時的に供給するように設計されています。ディーゼル発電機は数秒で自動的に起動し、データセンターが数日間フル稼働するのに通常必要な分の緊急用電力を供給します。
サーバー オペレーティング システム。Jibe サーバーは、業務固有のサーバーニーズに合わせてカスタマイズされたセキュア強化型オペレーティング システムを使用しています。データは、データ セキュリティと冗長性を高めるために独自のアルゴリズムを使用して保存されます。Jibe は、コード審査プロセスを活用することで、データ処理者サービスの提供に使用するコードのセキュリティを強化し、本番環境のセキュリティ製品を強化しています。
事業の継続性。Jibe は、偶発的な破壊や損失から保護するため、複数のシステムにわたってデータを複製します。Jibe は、事業継続計画/障害復旧プログラムを策定しており、定期的に立案とテストを行っています。
（b）ネットワークとデータ転送。
データ転送。データセンターは通常、高速プライベート リンク経由で接続され、データセンター間でセキュアな高速データ転送を実現しています。これにより、電子的な転送中やストレージ媒体への記録中に、不正なデータの読み取り、コピー、変更、削除の発生を防いでいます。Jibe は、インターネット標準プロトコルを通じてデータを転送します。
外部攻撃対象領域。Jibe は、外部攻撃対象領域を保護するため、複数層のネットワーク デバイスと侵入検知を採用しています。Jibe は、潜在的な攻撃方法を検討し、該当の目的に合わせて構築されたテクノロジーを外部向けシステムに組み込んでいます。
侵入検知。侵入検知は、進行中の攻撃アクティビティに対する情報を提供し、インシデントに対応するための適切な情報を提供することを目的としています。Jibe の侵入検知には以下の機能が含まれています。
予防的措置を通じて、Jibe の攻撃対象領域のサイズと構成を厳密に制御します。
データ入力ポイントでインテリジェントな検知制御を採用しています。
特定の危険な状況を自動的に解決するテクノロジーを採用しています。
インシデント対応。Jibe は、さまざまな通信チャネルをモニタリングしてセキュリティ インシデントを調査しており、Jibe のセキュリティ担当者は既知のインシデントに迅速に対応します。
暗号化テクノロジー。Jibe は、HTTPS 暗号化（SSL 接続や TLS 接続とも呼ばれます）を利用可能にします。Jibe サーバーは、RSA と ECDSA で署名された一時楕円曲線 Diffie Hellman 暗号鍵交換をサポートしています。この PFS（Perfect Forward Secrecy）により、トラフィックを保護し、侵害された鍵または暗号の解読による影響を最小限に抑えることができます。
2. アクセス制御とサイト管理
（a）サイト管理。
オンサイト データセンターの警備システム。Jibe のデータセンターは、すべての物理的データセンター セキュリティ機能を 24 時間年中無休で実行するオンサイト セキュリティ運用システムを整備しています。オンサイト セキュリティ運用担当者が、閉回路テレビ（CCTV）カメラとすべての警報システムを監視しています。オンサイト セキュリティ運用担当者は、データセンターの内部および外部の巡回を定期的に実施しています。
データセンターへのアクセス手順。Jibe では、データセンターへの物理的なアクセスを制限するため、厳格なアクセス手順が決められています。データセンターは、電子カードキー アクセスを必要とする施設に収容されており、オンサイト セキュリティ運用にリンクした警報を備えています。データセンターに入る場合は、ID カードで本人確認を行う必要があります。データセンターへの入出は、許可された従業員、請負業者、訪問者に限定されています。データセンター施設に入るための電子カードキー アクセスを要求できるのは、承認された従業員と請負業者だけに限られます。データセンターの電子カードキー アクセスを要求する際は、事前に書面で行う必要があり、要求者の管理者とデータセンター管理者の承認が必要となります。データセンターへの一時的なアクセスが必要なその他のすべての入場者は、（i）訪問する特定のデータセンターと内部エリアについて、事前にデータセンター管理者の承認を得る、（ii）オンサイト セキュリティ運用システムでログインする、（iii）承認済みのデータセンター アクセス レコードを参照して、その個人が承認済みであることを確認する必要があります。
オンサイト データセンターのセキュリティ デバイス。Jibe のデータセンターでは、システム アラームにリンクされた電子カードキーと生体認証によるアクセス制御システムを採用しています。アクセス制御システムは、各個人の電子カードキーと、境界ドア、入出荷部門、その他重要な領域にアクセスした時刻をモニタリングし、記録します。不正なアクティビティや失敗したアクセス試行は、アクセス制御システムによって記録され、必要に応じて調査されます。ビジネス オペレーションおよびデータセンターへのアクセスはゾーンおよび個人の職責に基づいて制限されています。データセンターの防火扉には、アラームが設置されています。データセンターの内外で、CCTV カメラが稼働しています。カメラは、施設周辺、データセンター施設への出入り口、荷物の搬入口など、重要領域をカバーするように配置されています。オンサイト セキュリティ運用担当者が、CCTV 監視、記録、制御用の機器を管理します。CCTV 機器は、データセンター全体にセキュアなケーブルで接続されます。カメラは、24 時間年中無休で、デジタルビデオ レコーダーを通じてオンサイトで録画を行います。監視記録は、アクティビティに応じて少なくとも 7 日間保持されます。
（b）アクセス制御
インフラストラクチャのセキュリティ担当者。Jibe は、スタッフのためのセキュリティ ポリシーを策定、維持しており、スタッフ用のトレーニング パッケージの一部としてセキュリティ トレーニングを義務付けています。Jibe のインフラストラクチャ セキュリティ担当者は、Jibe のセキュリティ インフラストラクチャの継続的なモニタリング、データ処理者サービスの審査、セキュリティ インシデントへの対応について責任を負います。
アクセス制御と権限の管理。会社の管理者とユーザーは、プロセッサ サービスを使用するために、中央の認証システムまたはシングル サインオン システムで本人確認を行う必要があります。
内部データへのアクセス プロセスとポリシー - アクセス ポリシー。Jibe の内部データアクセス プロセスおよびポリシーは、許可されていない人物やシステムから個人データの処理に使用されるシステムを保護するように設計されています。Jibe は、（i）承認されたユーザーが許可されたデータにのみアクセスする、（ii）処理中、使用中および記録後に個人データに対する不正な読み取り、コピー、変更、削除を防ぐことを目的にこのシステムを設計しています。システムは、不適切なアクセスを検出するように設計されています。Jibe は、一元的アクセス管理システムを採用することで、本番環境サーバーにアクセスできる人物を制御しており、限られた数の正規担当者だけにアクセス権限を付与しています。Jibe では、LDAP、Kerberos、SSH 証明書を利用する独自のシステムを使用し、安全で柔軟なアクセス制御を行っています。このようなメカニズムにより、サイトホスト、ログ、データ、構成情報に対して、承認されたアクセス権限だけが付与されます。Jibe では、アカウントの不正使用の可能性を最小限に抑えるため、一意のユーザー ID、安全なパスワード、2 要素認証、慎重に管理されたアクセスリストの使用を義務付けています。アクセス権の付与または変更は、担当者の職責、許可されたタスクの実行に必要な職務要件、関係者以外には秘匿する方針に基づいて行われます。また、アクセス権限の付与や変更は、Jibe の内部データアクセス ポリシーおよびトレーニングに準拠している必要があります。承認は、すべての変更の監査記録を維持するワークフロー ツールによって管理されています。システムに対するアクセスが記録され、説明責任のための監査証跡が作成されます。パスワードが認証に使用される場合（たとえば、ワークステーションへのログインなど）、少なくとも業界標準の慣行に沿ったパスワード ポリシーが履行されます。このような標準的慣行には、パスワードの再利用や十分なパスワード強度に関する制限が含まれます。
3. データ
（a）データの保存、分離、認証。
Jibe は、Jibe が所有するサーバーのマルチテナント環境にデータを保存します。データや、データ処理者サービス データベース、ファイル システム アーキテクチャは、地理的に離れた複数のデータセンター間で複製されます。Jibe は、各顧客のデータを論理的に分離します。すべてのデータ処理者サービスを横断して一元的認証システムを使用することで、統一的なデータ セキュリティを強化しています。
（b）デコミッション ディスクとディスク破壊ガイドライン。
データを含むディスクに、パフォーマンス上の問題や、エラー、ハードウェア障害が発生した場合、デコミッションすることがあります（「デコミッション ディスク」）。すべてのデコミッション ディスクは、再使用または破棄に向けて Jibe の施設を離れる前に、データ破壊プロセスの対象になります（「データ破壊ガイドライン」）。廃棄ディスクは、マルチステップ プロセスで消去され、少なくとも 2 つの独立した検証ツールによって完全に検証されます。消去結果は、トラッキングできるように、廃棄ディスクのシリアル番号に基づいて記録されます。最後に、消去されたデコミッション ディスクは、再使用や再導入に向けて、インベントリに解放されます。ハードウェア障害のために廃棄ディスクのデータを消去できない場合は、安全に保管したうえで破壊します。各施設は、定期的に監査され、データ破壊ガイドラインを遵守しているかモニタリングされます。
4. 社員のセキュリティ
Jibe のスタッフは、機密保持、企業倫理、適切な使用、職業上の基準に関する Google ガイドラインに準拠した形で行動する必要があります。Jibe は、法的に許容される範囲内で、適用される現地の労働法および法定規制に従って、合理的かつ適切な方法で身元調査を行います。
スタッフは、機密保持契約を締結する必要があり、Jibe の機密保持ポリシーおよびプライバシー ポリシーを受け入れることを認め、遵守する必要があります。スタッフには、セキュリティ トレーニングが提供されます。会社の個人データを扱う担当者は、それぞれの役割に適した追加要件を満たす必要があります。Jibe のスタッフは、許可なく会社の個人データを処理することはありません。
5. 復処理者のセキュリティ
データ処理再委託者を参加させる前に、Jibe は、データへのアクセス権限や提供するサービスの範囲に適したレベルのセキュリティとプライバシーを当該データ処理再委託者が備えているか確認するため、当該データ処理再委託者のセキュリティ慣行とプライバシー慣行の監査を実施します。Jibe がデータ処理再委託者から生じるリスクを評価した後は、必ずセクション 11.3（データ処理再委託者の利用に関する要件）で規定されている要件に従って、データ処理再委託者は、セキュリティ、機密保持、プライバシーに関する適切な契約を締結する必要があります。
付録 3: 欧州以外のデータ保護法の追加規約
以下の欧州以外のデータ保護法の追加規約は、本データ処理規約を補完するものです。
- CCPA サービス プロバイダ追加条項（privacy.google.com/businesses/gdprprocessorterms/ccpa、2020 年 8 月 27 日付）
- LGPD 処理者に関する追加条項（privacy.google.com/businesses/gdprprocessorrterms/lgpd）（2020 年 8 月 27 日付）
Jibe データ処理規約、バージョン 2.0
2020 年 8 月 27 日