コントローラー-コントローラーDPA

コントローラとコントローラのマスターライセンス契約補遺契約

はじめに

本データ保護補遺（以下「本DPA」といいます）は、STATS Perform（両当事者により締結された作業指示書において特定されるものとします）とライセンシー（両当事者により締結された作業指示書において特定されるものとします）との間のマスターライセンス契約（以下「MLA」といいます）の条件に組み込まれ、その一部を構成するものとします。MLAと本DPA、または作業指示と本DPAの間に矛盾がある場合は、本DPAが優先するものとします。本書に定義されていないすべての大文字の用語は、MLAに規定されている意味を有するものとします。

適用範囲

本DPAは、STATS Performまたはその関連会社が、EEAまたは英国内から、EEA外の法域における処理のためにライセンシーに個人データを移転または利用可能にする場合であって、当該法域がEU委員会による「適切性」認定の対象とならない場合、またはデータ保護法の要件を満たす他の合法的な移転メカニズムの対象とならない場合に適用されます（本DPAの目的上、「関連データ移転」）。本DPAは、データ保護の適切なレベルが確保されていない第三国への個人データの移転に関する標準契約条項に関する2004年12月27日のEU委員会の決定に従い、標準契約条項（「SCC」）を定め、これを取り入れるものです。

SCCは変更することができず、交渉の余地はありません。また、関連データの移転には、データ保護法によりSCCが義務付けられています。

従って、両当事者は、関連データ移転がデータ保護法を遵守することを保証するために、本DPAを締結します。

ここに、 以下の通り合意する：

• コントローラーからコントローラーへの標準契約条項

共同体から第三国への個人データの移転に関する標準契約条項（管理者から管理者への移転）

データ転送契約

間

STATS 実行（作業指示書に記載されている通り）

業務発注書に記載されたSTATS Performの住所および設立国。

以下「データエクスポーター

そして

ライセンシー（作業指示書に記載されているとおり）

業務発注書に記載されたライセンシーの住所および設立国

以下「データインポーター

それぞれが「当事者」であり、合わせて「当事者」である。

定義

この条項の目的のために：

• 個人データ、特殊データ／機微データ、処理／加工、管理者、処理者、データ主体および監督機関／当局は、1995年10月24日の指令95/46/ECまたは適用されるデータ保護法（ここで「当局」とは、データ輸出者が設立されている地域の管轄データ保護当局を意味するものとする）と同じ意味を持つものとする；
• データ輸出者とは、個人データを移転する管理者を意味します；
• データ輸入者とは、データ輸出者から、本条項の条項に従って個人データをさらに処理するために受け取ることに同意し、かつ適切な保護を保証する第三国の制度の適用を受けない管理者を意味するものとする；
• 条項とは、本契約条項を意味するものとし、両当事者が別個の商業上の取り決めに基づいて設定した商業上の取引条件を取り入れない独立した文書である。

譲渡の詳細（および対象となる個人データ）は、条項の不可欠な部分を形成する付属文書2に明記されています。

1 データ輸出者の義務

データ輸出者は以下のことを保証し、約束する：

• 個人データは、データ輸出者に適用される法律に従って収集、処理、転送されています。
• データ輸入者がこれらの条項の下での法的義務を満たすことができると判断するために、合理的な努力を払っています。
• データ輸入者は、要求があれば、データ輸出者が設立されている国の関連データ保護法またはその参照（関連する場合、法的助言を含まない）のコピーを提供します。
• ただし、両当事者がデータ輸入者が対応することに合意した場合はこの限りではありません。この場合、データ輸入者が対応する意思がない、または対応できない場合でも、データ輸出者は合理的に可能な範囲で、合理的に入手可能な情報を用いて対応します。回答は合理的な時間内に行われます。
• データ輸出者は、要求があれば、第 3 項に基づく第三受益者であるデータ主体に対して条項 のコピーを提供します。ただし、条項に機密情報が含まれている場合は、そのような情報を 削除することができます。情報が削除された場合、データ輸出者はデータ主体に、削除の理由および削除を 当局に知らせる権利を書面で通知するものとする。ただし、データ輸出者は、データ対象者が削除された秘密情報の秘密を尊重することに同意している限り、データ対象者による条項の全文へのアクセスに関する当局の決定に従うものとします。また、データ輸出者は、必要な場合、その条項のコピーを当局に提供するものとします。

2 データ輸入者の義務

データインポーターは以下を保証し、約束する：

• また、偶発的または違法な破壊、偶発的な紛失、改ざん、不正な開示またはアクセスから個人データを保護するために、適切な技術的および組織的対策を講じるものとします。
• データ処理者を含め、データ輸入者が個人データへのアクセスを許可した第三者が、 個人データの機密性とセキュリティを尊重し、維持するような手順を設ける。データ処理者を含め、データ輸入者の権限の下で行動する者は、データ輸入者の 指示にのみ従って個人データを処理する義務を負うものとする。provision 、法律または規則により個人データにアクセスする権限を与えられた者または要求された者には適用されません。
• また、そのような法律が存在することを知った場合、データ輸出者に通知します（必要な場合、データ輸出者はその通知を当局に伝えます）。
• 当社は、付属書類2に記載された目的のために個人データを処理し、これらの条項に記載された保証を与え、約束を履行する法的権限を有します。
• データ輸入者は、データ輸出者に対し、個人データの処理に関する問い合わせに応じる 権限を有するデータ輸出者の組織内の窓口を特定し、データ輸出者、データ主体および 当局に対し、合理的な時間内にかかるすべての問い合わせに関して誠意をもって協力する。データ輸出者が法的に解散した場合、または両当事者がそのように合意した場合、データ輸入者は第 1 条(e)の規定を遵守する責任を負うものとします。
• データ輸出者の要求に応じて、データ輸出者は第3項の責任を果たすのに十分な財源（保険加入を含む場合がある）の証拠をデータ輸出者に提供する。
• データ輸出者の合理的な要求があった場合、データ輸出者は、合理的な通知および通常の営業時間内に、データ処理設備、データファイル、および処理に必要な書類を、データ輸出者（または、データ輸出者が選択し、データ輸入者が合理的な異議を唱えない、独立したまたは公平な検査代理人もしくは監査人）による審査、監査、および/または証明のために提出するものとします。この要請は、データ輸入者の国の規制当局または監督当局から必要な同意または承認を得ることを条件とします。
• データ輸入者は、その選択により、附属書 1 に定めるデータ処理の原則に従って個人データを処理します。以下の各データ輸入者は、以下のイニシャルにより、かかる原則を遵守することに同意することを示します：

          両当事者は、本業務発注書に署名し日付を記入することにより、本条項2(h)を初期化し、同意し、受諾することに同意する。

• 欧州経済地域（EEA）外に所在する第三者のデータ管理者に個人データを開示または移転することは、データ移転についてデータ輸出者に通知する場合を除き、行いません。
  • 第三者のデータ管理者が、第三国が適切な保護を提供しているとする欧州委員会の決定に従って個人データを処理する場合。
  • 第三者のデータ管理者が、本条項またはEUの管轄当局によって承認された別のデータ移転契約の署名者となる場合。
  • データ主体が、データ移転の目的、受領者のカテゴリー、およびデータ移転先の国がデータ保護基準を異にする可能性があることを知らされた上で、異議を申し立てる機会を与えられた場合。
  • 機微（センシティブ）データの転送に関して、データ主体が転送に明確な同意 を与えていること。

3 責任および第三者の権利

• • 各当事者は、本条項への違反によって生じた損害について、他の当事者に対して責任を負うものとする。両当事者間の責任は、実際に被った損害に限定される。懲罰的損害賠償（すなわち、当事者の非道な行為に対する懲罰を意図した損害賠償）は特に除外されます。各当事者は、本条項に基づく第三者の権利の侵害によって生じた損害について、情報主体 に対して責任を負うものとします。これは、データ保護法に基づくデータ輸出者の責任には影響しません。
  • 両当事者は、データ主体が、データ輸入者またはデータ輸出者に対し、その個人 データに関するそれぞれの契約上の義務違反について、この条項および第 1 条(b)、第 1 条(d)、第 1 条(e)、第 2 条(a)、第 2 条(c)、第 2 条(d)、第 2 条(e)、第 2 条(h)、第 2 条(i)、第 3 条(a)、第 5 条、第 6 条(d)および第 7 条の受益者である第三 者として強制執行する権利を有すること、およびこの目的のためにデータ輸出者の所 在国を管轄裁判所とすることに同意します。データ輸入者による違反の申し立てが含まれる場合、データ主体はまずデータ輸出者に対し、データ輸入者に対して権利を行使するための適切な措置を取るよう要求しなければなりません。データ輸出者が合理的な期間（通常の状況では1ヶ月）内にそのような措置を取らない場合、データ主体はデータ輸入者に対して直接権利を行使することができます。データ対象者は、データ輸入者が本条項に基づく法的義務を満たすことができることを判断するための合理的な努力を怠ったデータ輸出者に対して直接手続を行う権利を有します（データ輸出者は、合理的な努力を行ったことを証明する責任を負うものとします）。

4 条項に適用される法律

ただし、第2条(h)に基づくデータ輸入者による個人データの処理に関する法規制は、同条項に基づいてデータ輸入者が選択した場合にのみ適用されるものとします。

5 データ主体または当局との紛争の解決

• • 個人データの処理に関してデータ主体または当局が両当事者のいずれかまたは両方に対して紛争または請求を提起した場合、両当事者はそのような紛争または請求について相互に通知し、適時に友好的に解決することを目的として協力するものとします。
  • 両当事者は、データ対象者または当局が開始した、一般的に利用可能な拘束力のない 調停手続きに応じることに同意する。手続きに参加する場合、両当事者は遠隔（電話またはその他の電子的手段など）で行うことを選択することができる。両当事者はまた、データ保護紛争用に開発されたその他の仲裁、調停またはその他の紛争解決手続きに参加することを検討することに同意します。
  • 各締約国は、データ輸出者の事業所所在国の管轄裁判所または当局の決定であって、最終的なものであり、それ以上の上訴が不可能なものに従うものとする。

6 終了

• • データ輸入者がこれらの条項の義務に違反した場合、データ輸出者は、違反が修復されるか契約が解除されるまで、データ輸入者への個人データの転送を一時的に停止することができます。
  • その場合は
    • (a)に従い、データ輸出者によってデータ輸入者への個人データの転送が1ヶ月を超えて一時的に停止された場合；
    • データ輸入者がこれらの条項を遵守することは、輸入国における法的または規制上の義務に違反することになります；
    • データ輸入者が本条項に基づいて行った保証または約束に実質的または継続的に違反した場合；
    • データ輸出者の設立国の管轄裁判所または当局が、データ輸入者またはデータ輸出者による条項の違反があったと裁定した場合。
    • データ輸入者が個人であるか事業者であるかを問わず、データ輸入者の管理または清算の申し立てが提出され、その申し立てが適用法に基づいてそのような却下の適用期間内に却下されなかった場合、清算命令が出された場合、その資産のいずれかに管財人が任命された場合、データ輸入者が個人である場合は破産管財人が任命された場合、会社任意整理が開始された場合、またはいずれかの法域において同等の事象が発生した場合。

この場合、データ輸出者は、データ輸入者に対して有するその他の権利を損なうことなく、本条項を終了する権利を有するものとし、必要に応じて当局に通知するものとします。上記(i)、(ii)または(iv)に該当する場合、データ輸入者も本条項を終了することができます。

• いずれの当事者も、以下の場合に本条項を解除することができる：
  • 指令95/46/ECの第25条(6)に基づく欧州委員会の積極的妥当性決定（またはそれに代わるもの）が、データ輸入者によってデータが転送され処理される国（またはその部門）に関連して発行された場合。
  • 指令95/46/EC（またはそれに代わる文書）が当該国に直接適用されるようになる。
• 両当事者は、いかなる時、いかなる状況、いかなる理由（第6条(c)に基づく終了を除く）による本条項の終了も、移転された個人データの処理に関する本条項に基づく義務および/または条件を免除するものではないことに同意するものとします。

7 これらの条項のバリエーション

両締約国は、附属書2の情報を更新する場合を除き、本条項を変更することはできない。これは、両当事者が必要に応じて追加の商業条項を追加することを妨げるものではない。

8 移籍の説明

譲渡および個人データの詳細は、付属書類2に明記されている。両当事者は、附属書2に業務上の機密情報が含まれる場合があることに同意するものとし、当該情報は、法令により要求される場合、所轄の規制当局もしくは政府機関に対応する場合、または第1条(e)に基づき要求される場合を除き、第三者に開示しないものとする。両当事者は、必要に応じて当局に提出される追加的な移転に対応するために、追加的な付属書を締結することができる。付属書2は、複数の移転に対応するために作成することもできる。

両当事者は、本業務発注書に署名し日付を記入することにより、以下を含む SCC に拘束されることに同意し承諾する。 附属書 1および 附属書 2.

• (データ処理原則）
  • 目的の制限：個人情報は、付属文書2に記載された目的またはデータ対象者が承認した目的に限り、処理され、その後使用またはさらに伝達されることがあります。
  • データの質と比例性個人データは正確でなければならず、必要に応じて最新の状態に保たれなければならない。個人データは、移転され、さらに処理される目的との関連において、適切で、関連性があり、過度であってはならない。
  • 透明性：データ主体は、公正な処理を確保するために必要な情報（処理の目的や移転に関する情報など）を提供されなければならない。
  • セキュリティおよび機密性データ管理者は、データ処理によって生じる偶発的または違法な破壊、偶発的な紛失、改ざん、不正な開示またはアクセスなどのリスクに対して適切な、技術的および組織的なセキュリティ対策を講じなければならない。データ処理者を含め、データ管理者の権限の下で行動する者は、データ管理者の指示による場合を除き、データを処理してはならない。
  • アクセス、修正、削除および異議申し立ての権利指令95/46/ECの第12条に規定されているように、情報主体は、不合理な間隔またはその数、反復的または体系的な性質に基づく、明らかに乱用的な要求、または情報輸出国の法律に基づきアクセスを許可する必要がない要求を除き、直接または第三者を介して、組織が保持する自己に関する個人情報を提供されなければならない。当局が事前に承認した場合、データ輸入者またはデータ輸入者と取引する他の組織の利益を著しく害する可能性があり、かつそのような利益がデータ主体の基本的権利および自由の利益に優先しない場合は、アクセスを許可する必要はありません。合理的な努力によっても不可能な場合、または本人以外の者の権利が侵害される場合には、個人データの出所を特定する必要はない。データ対象者は、自分に関する個人情報が不正確である場合、またはこれらの原則に反して処理された場合には、その情報を修正、訂正、または削除してもらうことができなければならない。要請の正当性を疑うやむを得ない理由がある場合、当組織は、修正、訂正、または削除に進む前に、さらなる正当性を要求することができる。データが開示された第三者への修正、訂正、削除の通知は、それが不釣り合いな労力を 伴う場合には行う必要はない。データ主体はまた、その特定の状況に関連する説得力のある正当な理由がある場合、自分に関する個人データの処理に異議を唱えることができなければならない。拒否の立証責任はデータ輸入者にあり、データ主体はいつでも当局に対して拒否に異議を申し立てることができる。
  • 機微データ：データ輸入者は、第 2 項の義務に従い、そのような機密データを保護するために必 要な追加措置（セキュリティなど）を講じるものとする。
  • マーケティング目的で使用されるデータダイレクト・マーケティングを目的としてデータが処理される場合、データ主体が いつでもそのような目的でのデータ使用から「オプトアウト」できるような効果的な手 続きが存在すべきである。
  • 自動化された決定ここでいう「自動化された決定」とは、データ輸出者またはデータ輸入者による決定であって、データ対象者に関する法的効果を生じさせるか、またはデータ対象者に重大な影響を及ぼすものであり、かつデータ対象者の職務遂行能力、信用度、信頼性、品行など、データ対象者に関連する特定の個人的側面を評価することを意図した個人データの自動処理のみに基づくものを意味します。データ輸入者は、以下の場合を除き、データ対象者に関する自動化された決定を行なわないものとします：

(a) (i)かかる決定が、データ主体との契約を締結または履行する際にデータ輸入者によっ て行われる場合。

(a)(ii)データ主体が、関連する自動化された意思決定の結果について、当該意思決定を行う当事者の代表者と話し合う機会、または当該当事者に対して表明する機会を与えられること。

または

(b) データ輸出国の法律で別段の定めがある場合。

付属書類2（加工情報）

1 データ対象者

移転される個人データは、以下のデータ対象者に該当します：

ライセンス対象マテリアルに含まれる個人情報（MLAに定義されています）には、スポーツ選手、アスリート、および関連するスポーツ専門家に関連する情報が含まれます。

2 譲渡の目的

移転は以下の目的のために行われます：業務命令およびMLAに規定された目的のためのデータ輸入者による個人データの使用。

3種類のデータ

移転される個人情報は、以下のカテゴリーおよびその他のカテゴリーに分類されます：

4 レシピ

譲渡された個人データは、以下の受取人または受取人のカテゴリーにのみ開示されることがあります：

業務命令および/またはMLAで許可された受領者。

5 データ輸出者のデータ保護登録情報

リクエストに応じて提供する。

6 その他の有用な情報

いない。

データ保護に関する7つの問い合わせ窓口

連絡先の詳細は業務命令書を参照のこと。