データ処理契約 - マネージド・ソリューション

本データ処理契約（「DPA」）は、エクイニクスによるお客様の個人データの処理にデータ保護法が適用される範囲において、お客様に対するManaged Solutions（「サービス」）の提供を規定するお客様とエクイニクス間の契約（「契約」）を補足し、その一部を構成します。

従って、両当事者は、かかる処理活動を管理するために、本DPAに合意し、これを締結しました。

定義。以下に定義されていない大文字の用語は、本契約において与えられた意味を有する。

「CCPA」とは、2018年カリフォルニア州消費者プライバシー法（Civil Code section 1798.100他）を意味する。

「管理者」とは、個人データの処理の目的および手段を決定する主体を意味します。

「クロスコンテキスト行動広告」は、CCPAによって与えられる意味を有する。

「お客様データ」には、お客様が本サービスを利用する過程でロード、保存、受信、取得、送信、またはその他の方法で処理したすべてのデータが含まれます。

「顧客個人データ」とは、顧客データの一部を構成するすべての個人データを意味します。

「顧客SCC契約」とは、本DPAの一部を構成する標準契約条項を組み込んだ、顧客とEquinixとの間の契約であり、制限付き移転の開始時に有効となり、Equinix–顧客SCC契約に規定されるものを意味する。

「データ保護法」とは、本サービスに関連するエクイニクスによる顧客データの処理に適用される、個人データの処理を規制するすべての法律を意味します。

「データ主体」とは、個人データに関連する、特定または識別可能な生存する個人を意味する。

「GDPR」とは、一般データ保護規則（General Data Protection Regulation）、規則（EU）2016/679を意味する。

「個人データ」とは、特定または識別可能な自然人に関する情報であって、その収集、使用、開示、保存またはその他の処理がデータ保護法により規制されているものをいいます。

「個人データの漏えい」とは、送信、保存、またはその他の方法で処理された個人データの偶発的または違法な破壊、紛失、改ざん、不正な開示、または個人データへのアクセスにつながるセキュリティ違反を意味します。

「処理者」とは、管理者に代わって個人データを処理する事業体を意味します。

「処理」（「処理される」および「処理」を含む）とは、アクセス、収集、記録、整理、保管、検索、協議、使用など、個人データに対して行われるあらゆる操作または一連の操作を意味し、この用語はデータ保護法の下でさらに定義される場合があります。

「制限付き移転」とは、標準契約条項またはその他の適用される法的メカニズムがない場合、データ保護法の下で違法となる顧客個人データの国際的または国境を越えた移転を意味します。

「セキュリティインシデント」 エクイニクスのセキュリティポリシーまたは機密保持ポリシーに違反する可能性のある事象、またはデータ、人員、またはその他のエクイニクスリソースに関する適切なセキュリティ、機密保持、または可用性を維持するエクイニクスの能力を脅かす可能性のある事象。

「販売」は、CCPAによって与えられた意味を有する。

「標準契約条項」または「SCC」とは、当事者間の制限付移転に適用される場合、(i)欧州実施決定(EU)2021/914(「EU SCCs」)に規定されている、(ii)英国の補遺に規定されている、または(iii)その他の適用されるデータ保護法に基づき管轄当局が発行する、個人データの国際移転に関する関連標準契約条項を意味します。

「ターゲティング広告」は、CCPAによって与えられる意味を有する。

"英国補遺 "とは、2018年データ保護法第119A条(1)に基づき英国情報コミッショナーが発行した標準契約条項に対する国際データ移転補遺を意味します。

1.処理の実行

1.1本サービスの提供の結果としてEquinixがお客様の個人データを処理する場合、お客様は管理者として、Equinixは処理者として行動し、本DPAの規定は、本サービスの製品ポリシーおよび当事者の責任を説明した責任共有モデルの条項が適用され、それに従って、これを補完するものとする。責任共有モデル

1.2 各当事者は、データ保護法に基づくそれぞれの義務を遵守し、少なくともデータ保護法で要求されるレベルの顧客個人データの保護を提供します。

1.3 エクイニクスによるお客様の個人データ処理の範囲および性質は、本DPAの別表1に記載されています。

1.4お客様は、お客様の個人データの処理の目的および方法を決定するものとする。お客様は、本契約および本DPAに基づくEquinixの義務を損なうことなく、また、データ保護法に基づく義務に限定されることなく、本契約および本DPAに基づいてお客様が指示した目的で、お客様の個人データがEquinixに合法的に提供され、処理されることを確保するために必要なすべての措置を講じるものとする。

1.5 Equinixは、本契約および本DPAに基づく義務を履行する特定の事業目的のためにのみ、顧客個人データを処理する。本契約および本DPAは、お客様の個人データの処理に関するEquinixへの完全な書面による指示を形成する。上記にかかわらず、Equinixは、適用されるデータ保護法を遵守するために顧客の個人データを処理することができるが、そのような法律がそのような情報を禁止していない限り、処理前にその法的要件を顧客に通知する。お客様は、通知に基づき、Equinixによるお客様の個人データの不正使用を停止し、是正するための合理的かつ適切な措置を講じる権利を有する。

1.6 データ保護法により明示的に許可されている場合を除き、エクイニクスは、集合形式であるか個別形式であるかを問わず、お客様の個人データを販売、保持、使用、共有、開示、またはその他の方法で処理することはありません：

• 1.6.1 営利目的、または第1.5項に記載された特定の目的以外の別の事業への対応を含むその他の目的。

• 1.6.2 エクイニクスとお客様との直接の取引関係以外の場合。

• 1.6.3 クロスコンテクスト行動広告またはターゲット広告の場合。

1.7 Equinixは、顧客から、または顧客に代わって受領した、または本サービスの提供を通じて生成した、集計、匿名、匿名、匿名、または仮名の顧客個人データは、個人と再関連付けまたは再識別できないことに同意する。Equinixは、そのような情報を再特定しようとしないことを公約する。Equinixは、データ保護法で許可されている場合を除き、顧客個人データと、他の個人または個人から、またはその代理として受信する個人データ、またはデータ主体との自身のやり取りから収集する個人データを結合しない。

1.8管理者として、顧客は、顧客個人データの処理についてデータ主体に通知する責任、およびデータ保護法に基づくデータ主体の権利の行使の要求に対応する責任がある。お客様は、Equinixが本サービスを構成し、Equinixの支援なしにお客様がお客様の個人データにアクセス、変更、および削除できるように設計された適切な技術的および組織的措置を実施したことを認める。処理の性質およびEquinixによる顧客個人データへのアクセスの限定された範囲を考慮して、Equinixは、顧客がデータ主体の権利を遵守できるようにするために合理的に必要な追加の支援を、要求に応じて顧客に提供する。

1.9 お客様は、エクイニクスに対して、エクイニクスを条件として、エクイニクスの関連会社または第三者をさらなるプロセッサー（「サブプロセッサー」）として従事させる権限を付与します：

• 1.9.1 データ保護法に準拠したデータ処理契約を顧客と締結すること；

• 1.9.2 サブプロセッサの使用に変更がある場合は、事前に顧客に通知し、顧客が異議を 唱える機会を与えること。

• 1.9.3 サブプロセッサーが顧客個人データの処理に関する義務を履行しなかった場合、顧客に対して引き続き責任を負うこと。

本契約の日付時点でエクイニクスが契約しているサブプロセッサーは、本DPAの別表2に記載されているサブプロセッサーです。

2.セキュリティ

2.1顧客個人データのデータ処理者としての役割において、Equinixは、最新の技術、実施コスト、処理の性質、範囲、コンテキスト、目的、および自然人の権利と自由の可能性と重大度の変動リスクを考慮し、顧客個人データを保護するために合理的に必要と考える適切な技術的および組織的セキュリティ対策を講じる。また、合理的に実行可能な範囲で、データ保護法に基づくお客様のセキュリティ義務について、お客様を支援する。両当事者は、特定の場合には、Equinixが個別の商用製品およびサービスとして追加の技術的および組織的セキュリティ対策を提供することができることを認める。その選択は完全に顧客にある。Equinixのセキュリティ管理は、本第2.1項に規定されたコミットメントとともに、顧客データのセキュリティに関するEquinixの単独の責任を構成する。Equinixセキュリティ制御は、スケジュール3に記載されている。また、これらの対策は、ISO27001に規定された要件にも準拠している。これらの要件のセキュリティ管理の説明は、お客様の要求に応じて入手可能である。

2.2 Equinixは、個人データの侵害に気付いた場合、遅滞なくお客様に通知する。情報がEquinixで利用可能である限り、個人データ侵害の性質とその可能性のある結果、個人データ侵害に対処するために講じられたまたは講じられる措置に関する情報、およびデータ保護法に基づきお客様が権利を有するその他の情報をお客様に提供する。

2.3 エクイニクスは、お客様の個人データを処理する権限を付与された者が守秘義務を誓約していること、または適切な守秘義務の下にあることを保証します。

3.監査

3.1 Equinixの監査プログラム。Equinixは、顧客個人データの処理に関するセキュリティ対策の妥当性を評価するために外部監査人を雇う。このような監査は、少なくとも年に1回、Equinixの費用で実施される。監査は、Equinixが選定した資格のある独立した第三者のセキュリティ専門家によって実施され、機密監査概要(「監査報告書」)が生成される。Equinixは、顧客の書面による要求に基づき、合理的な間隔で、顧客に最新の監査報告書の写しを提供するものとする。そのような監査報告書はすべてEquinixの機密情報であり、顧客のみが使用するために提供される。

3.2顧客監査。顧客は、データ保護法によって付与された監査権が、この監査報告書の作成によって満たされることに同意するものとする。監査報告書がEquinixのこのDPAへの準拠を確認するのに十分な情報を提供していないことをお客様が証明できる範囲で、またはお客様が監督機関によるさらなる監査を手配する必要がある場合、両当事者は、お客様の監査計画の範囲について、以下の事項について相互に合意するものとする。(a)独立した第三者の利用を確保する(b)監査開始の合理的な事前通知を書面でEquinixに提供する(c)通常の営業時間内にのみEquinixの人員およびインフラストラクチャにアクセスすることを要求する(d)監査にEquinixの担当者が費やした時間についてEquinixのその時点の料金でお客様に請求を受け入れる(e)年1回以上発生しない(f)調査結果をお客様に関連するデータのみに限定する(g)お客様およびその第三者監査役に対し、法令で許容される範囲で、お客様監査中に開示または収集された情報の機密性を維持することを義務付ける。

4.お客様のコンテンツの返却または削除

4.1 エクイニクスは、お客様の書面による要請があれば、お客様の費用と負担で、お客様の個人データを削除または返却するために合理的に必要な支援を提供します。

4.2法律で義務付けられている保管。本第4条に別段の定めがある場合にもかかわらず、Equinixは、お客様の個人データまたはその一部を、データ保護法を含む適用法または規制で要求される場合、お客様の個人データが本契約、本DPAおよびデータ保護法の条件に従って保護されたままであることを条件として保持することができる。

5.海外への転送

5.1両当事者間に譲渡制限がある場合、両当事者は、Equinixの顧客SCC契約書に記載されている形式の標準契約条項を締結することに同意するものとする。Equinix–顧客SCC契約、またはその他の適用可能な法的メカニズム。顧客SCC契約は、本DPAに組み込まれ、本DPAの一部を構成するものであり、両当事者間の制限付き移転の開始時に有効となる。

6.情報リクエスト

6.1 エクイニクスは、要請があれば、処理の性質およびエクイニクスが利用可能な情報を考慮し、データ保護法により要求されるデータ保護またはプライバシー影響評価に関するお客様の義務について、合理的な範囲でお客様を支援します。

7.雑則

7.1 お客様は、エクイニクスがその合理的な見解において、両当事者のデータ保護法への継続的な準拠を確保するために必要であると判断した場合、エクイニクスの独自の裁量で本DPAを随時変更できること、およびかかる変更されたDPA条件が掲載された時点で発効することを認め、同意します。

7.2本DPAの規定は、本契約の条件の一部を構成するものであり、本DPAの条件と本契約の条件との間に曖昧さ、矛盾、矛盾がある場合には、DPAの条件が優先する。本DPAは、本サービスに関して顧客個人データ処理者としてEquinixが締結したその他の契約に代わるものである。

スケジュール1:データ処理契約

1.3項に従い、これがエクイニクスの処理の範囲と性質です。

名称	プロダクト例	処理の目的	Equinixの役割	お客様の役割	個人データの分類
サービスとしてのインフラストラクチャ(Infrastructure as a Service)	Managed Private Cloud (データセンター)	(a)バックアップ、サポート、計画、および移行、導入、サービスの開発、暗号化(MPCストレージの保存データに対してデフォルトで有効)(b)インフラストラクチャ管理(問題の防止、検出、調査、軽減、修復)サービスで特定されたセキュリティインシデントおよび問題を含む。(c)サービスを最新の状態に保ち、信頼性、有効性、品質、セキュリティを強化し、欠陥を修正することを含む、サービスの提供、有効性、品質、およびセキュリティを強化する。	データプロセッサー	データコントローラー	お客様のご判断による
サービスとしての強化されたプラットフォーム	Managed Private Backup (データセンター)	上記の通り	データプロセッサー	データコントローラー	お客様のご判断による
サービスとしてのインフラストラクチャ(Infrastructure as a Service)	Managed Private Storage (データセンター)	上記の通り	データプロセッサー	データコントローラー	お客様のご判断による

情報処理契約の別表2

1.9項に従い、これがサブプロセッサーリストである：

グローバル：株式会社Equinixサービス

Equinix (US)エンタープライズ

Equinix (UK)エンタープライズ

Equinix (Germany) Enterprises GmbH

Equinix (オランダ)エンタープライズBV

Virtu Secure WebServices BV

Equinix (イタリア)エンタープライズSRL

Equinixジャパン・エンタープライズ株式会社

Equinixジャパンテクノロジーサービス株式会社

Equinix do Brasil Solucoes de Tecnologia en Informatica Ltda（ブラジル工科大学）

Equinix do Brasil Telecommunicacoes Ltda

Equinix MX Services S.A. de C.V.

Equinix (Canada) Enterprises Ltd.(カナダ)エンタープライズ)

Equinix (スウェーデン)エンタープライズAB

Equinix (France) Enterprises SAS (フランス)

Equinix (スペイン)エンタープライズ

Equinix (フィンランド)エンタープライズ

Equinix (Ireland) Enterprises Ltd

別表3 - 技術的および組織的な尺度

下表は、エクイニクスがサービス提供のために実施している技術的組織的対策を示しています：

ドメイン	プラクティス
情報セキュリティ組織組織コンテクストリスク管理戦略役割、責任、権限ポリシー監視	Equinixは、Equinixセキュリティプラクティスをレビュー、評価、強化する次のチームとプログラムを中心に、情報セキュリティのガバナンスを組織してきた。 監査とコンプライアンス–Equinixは、ISO 27001などのさまざまな業界標準に正式に準拠している。監査証明書と証明書は、資格のある第三者監査人によって提供される。これらの監査人は、ビジネス保証サービス、内部監査、およびオペレーションなどのさまざまなビジネスおよびテクノロジーチームと活動を調整する。 情報セキュリティチーム - 法務部門と密接に協力しながら、このチームはグローバルおよび事業部門のガイドラインに従い、地域や連邦の法律や規制の遵守を支援することを任務としている。 情報セキュリティリスク管理-ビジネス担当者と緊密に連携して、Equinixの優先事項、制約、リスク許容度、アペタイトステートメントを確立し、運用リスクの決定をサポートするために前提条件が確立され、伝達され、使用されることを確認する。 情報セキュリティポリシー–Equinix情報セキュリティチームは、上級管理者によってレビューされ承認された一連の機密情報セキュリティポリシーを管理および実施する。このチームは、国固有および地域固有の法律、規制、およびビジネス要件をカバーする、グローバルな社内ポリシーを確実に適用する。これらの社内セキュリティポリシーの対象領域には、許容される技術の使用、ウイルス対策およびマルウェア、データのバックアップと保存、データの分類、ラベルと処理、論理アクセス、パスワード、パッチ管理、モバイルデバイス、パーソナルコンピュータ、リモートアクセスとVPN、ソーシャルメディア。
情報保護人事安全保障	Equinixは、情報セキュリティのリスクと要件に関する従業員セキュリティトレーニングプログラムを実施し、維持している。セキュリティ意識向上トレーニングプログラムは、少なくとも年1回見直され、更新される。 法律で許可されている場合、および適用される政府当局から入手可能な範囲で、Equinixは各従業員に身元調査を受けることを義務付けている。
資産管理	資産インベントリ- Equinixは、サービスの提供に使用されるすべての資産の識別とカタログ化に焦点を当てたプロセスを実装している。このプロセスには、物理資産、仮想資産、ソフトウェアライセンスなどの無形資産が含まれる。正確な最新のインベントリを維持することで、Equinixは資産を効果的に追跡し、使用状況を監視し、メンテナンスの計画を立てることができる。 資産処理-これには、資産を損傷、盗難、または不正アクセスから保護するための技術的および組織的な対策の実施が含まれる。技術的措置には、監視カメラやアクセス制御システムなどの物理的資産を保護するセキュリティシステムの実装が含まれる場合がある。Equinixは、デジタル資産に保存された顧客データを保護するために暗号化および認証プロトコルを採用することがある。組織的措置には、資産の維持、使用、廃棄に関するガイドラインを含む、資産取り扱いに関する方針と手順の確立が含まれる。
物理的環境的セキュリティ	顧客データを処理し保存する情報システムが配置されているすべてのIBXセンターの物理的セキュリティを保護することは、運用上の優先事項である。各IBXセンターは、施設を監視し、アクセスを制御し記録するために、一連のセキュリティ機器、技術および手順を使用している。 アクセス–アクセス制御サブシステムにより、建物内および施設内で許可されたユーザーが使用できる。生体認証セキュリティデバイス、近接カード、その他の技術は、アクセス制御システムへのユーザーを識別し、認証時に連絡先が許可されたとおりにIBXをナビゲートできるようにする。 アラーム監視および侵入検知–アラーム監視および侵入検知サブシステムは、セキュリティシステムに関連するさまざまなデバイスのステータスを監視する。監視装置には、ドア位置スイッチ、ガラス破断検知器、動体検知器、改ざんスイッチなどがある。デバイスのステータスがセキュア状態から変化した場合、アラームが起動され、イベントが記録され、適切な措置が取られる。 CCTV（閉回路テレビサブシステム）は、施設内および施設外で許可されているカメラからのライブビデオの表示、制御、録画、再生を提供する。このシステムは、アラーム監視および侵入検知サブシステムと統合されているため、アラームが発生した場合には、カメラが自動的に表示され、リアルタイムでイベントを表示する。
コミュニケーションと運営管理	脆弱性評価- Equinixは、Equinix EMS情報システムの社内外の脆弱性評価と侵入テストを定期的に実施し、特定された問題を調査し、タイムリーに解決するまで追跡する。 悪意のあるソフトウェア- Equinixは、悪意のあるソフトウェアがパブリックネットワークから発信された悪意のあるソフトウェアを含む顧客データへの不正アクセスを回避するためのマルウェア対策制御機能を備えている。 変更管理- Equinixは、既存のリソースに対する変更を記録、承認、テスト、承認、文書化するように設計された管理を維持し、変更管理ツールまたは展開ツール内に変更の詳細を文書化する。Equinixは、本番環境への移行前に、変更管理基準に従って変更をテストする。Equinixは、Equinix情報システムへの不正な変更を検出し、特定された問題を解決まで追跡するよう設計されたプロセスを維持する。 データの完全性- Equinixは、Equinixサービス情報システム内での送信、保存、および処理中にデータの完全性を提供するように設計された制御を維持する。 イベントログ- Equinixログ、またはお客様がアクセスID、時間、許可または拒否された権限、および関連するアクティビティを登録する顧客固有の顧客データを含む情報システムをログに記録、アクセス、および使用できるようにする。 バックアップ/復元–お客様のデータは、必要に応じてバックアップツールを使用してバックアップされる。これらのバックアップを管理するEquinixの従業員は、顧客データにアクセスできない。復元が必要な場合、お客様はこの復元を要求できる。
アクセスコントロール	Equinixは、Equinixサービスを維持および提供するために必要な場合に限り、許可された担当者のみが顧客データにアクセスできるようにする。Equinixは、ファイアウォール、制御されたアクセス接続、または機能的に同等の技術と認証制御を使用して、各ネットワーク接続とユーザーからの顧客データへのアクセスの承認を管理するアクセスポリシーと制御を維持している。 データ分離- Equinixは、顧客データへの不正アクセスを制限し、各顧客のデータを他の顧客のデータから分離するように設計されたアクセス制御を維持する。 ユーザーアクセス制御- Equinix情報へのアクセスに関連する次のようなものがあるが、これらに限定されない。 -人事業務に基づく最小権限の原則-アクセスをプロビジョニングする前の確認と承認-少なくとも四半期ごとのアクセス権限の確認-必要に応じて、タイムリーにアクセス権限を取り消す-顧客データへのアクセスのための二要素認証-無効なパスワードを使用して情報システムにアクセスしようとする(ただしこれに限定されない)などのアクセスアクティビティの異常をEquinix (または有効な顧客)が監視する。
情報セキュリティ	インシデント管理インシデント対応プロセス- Equinixは、マネージドソリューションサービスに対する潜在的なセキュリティ脅威に対応するために、インシデント対応計画(ランブック)を維持している。Equinixランブックには、セキュリティインシデントを検出、軽減、調査、報告するプロセスが定義されている。Equinixランブックには、インシデント検証、攻撃分析、封じ込め、データ収集、問題修復が含まれる。セキュリティインシデントであるセキュリティ違反ごとに、地域の規制に従ってEquinix EMSによる適切な通知が行われる。 サービス監視- Equinixは、セキュリティイベントに関連する異常(無効なパスワードを使用して情報システムに繰り返しアクセスしようとする試みなど)を監視するか、お客様が監視できるようにする。
事業継続マネジメント	緊急時および緊急時対応計画- Equinixは、顧客データを処理するEquinix情報システムが配置されている施設の緊急時および緊急時対応計画を維持する。これらの計画は毎年試験される。 データ復旧- Equinix冗長ストレージとそのデータ復旧手順は、顧客データを元の状態または最後に複製された状態で再構築することを目的としている。