Contract
フレームワークデータ処理
契約
目次
1 本データ処理契約の対象及び期間 3
2 管理者の説明 3
3 技術的及び組織的な対策 3
4 処理者の義務 4
5 下請業者 4
6 管理者の監査権 5
7 個人データ侵害 5
8 本 DPA の終了 6
9 最終条項 6
10 別紙 1：データ保護に関する各種事項の連絡先 7
11 別紙 2：技術的及び組織的な対策 8
1 本データ処理契約の対象及び期間
(1) 適用されるデータ保護法が、SoftwareONE のサービスの使用において DPA が必要となる場合、本データ処理契約（以下「DPA」といいます。）は、SoftwareONE のサービスの提供を受けるお客様（以下
「管理者」といいます。）と SoftwareONE（以下「処理者」といいます。）との間の、サービス契約その他の契約における必要不可欠な契約書のひとつとして構成されます。
(2) 本 DPA は、個人データの処理に関連する両当事者の権利及び義務を規定しています。実行されるデータ処理業務の具体的な内容は、データ処理の対象、性質、目的、個人データの種類、並びにデータ対象者の分類を含め（ただし、これらに限りません。）、本 DPA の不可欠な要素であり、両当事者によって、必ず締結されるデータ処理付属書（以下「付属書」といいます。）の中で規定されます。
(3) 本 DPA は、管理者と処理者間のサービス契約、およびその他の契約に基づき処理者が管理者のために個人データを処理する場合に限り適用されます。
2 管理者の説明
(1) 管理者は、データ保護規定の遵守、特にデータ処理の合法性及びデータ保護規定に準拠したデータ対象者の権利について責任を負います。
(2) 処理者は、管理者から与えられた個人情報を、合意された取り決めの範囲内においてのみ、かつ管理者の書面による指示に基づいてのみ処理します。本 DPA において、処理者と管理者間で合意された以外の管理者からの追加指示については、処理者と管理者間における書面による事前の合意（当該指示を実行するために、対価として、管理者が処理者に支払うべき追加料金に関する合意を含みます。）が必要です。
(3) 処理者による処理は、管理者の指示に基づいて行われるものとします。ただし、処理者が EU 又は加盟国の法律に従って個人データを処理することを義務付けられる場合はこの限りではありません。この場合、処理者は、公共の利益という重要な理由から、当該情報の提供が禁止されていないことを条件として、当該処理に先立ち、かかる法的義務を管理者に通知するものとします。
(4) 処理者は、管理者からの指示が適用されるデータ保護法の規定を侵害していると考えられる場合、当該指示を実行する前に、直ちに管理者に対し、その旨を通知するものとします。処理者が、かかる通知をしたにも拘わらず、管理者が当該指示の実行を主張した場合、処理者は、管理者が当該指示を変更するに至るまで、関連指示の実行を停止する権利を有するものとします。
3 技術的及び組織的な対策
(1) 処理者は、本 DPA の別紙 2 に従って、データ処理のための適切な技術的及び組織的セキュリティ対策を実施するものとします。管理者は、これらのセキュリティ対策が、具体的な個人データ処理業務に伴うリスクに対し、適切なものであることに同意します。
(2) 講じられた措置は、処理者において、将来の技術開発及び組織開発に適用させることができます。処理者は、これらの適用を、少なくとも従前のセキュリティレベルを満たしている場合に限り、行うことができます。処理者は、実質的な変更があった場合に限り、管理者に対し通知する義務を負います。
4 処理者の義務
(1) 処理者は、データ処理に関わるすべての従業員が、関連するデータ保護規則を熟知していることを保証します。処理者は、当該従業員が機密保持の義務を負い、かつ適切な法的守秘義務を遵守することを保証します。
(2) 処理者は、データ処理を行う目的で、必要な場合に限り、管理者の個人データにアクセスすることができます。
(3) 両当事者は、本 DPA に関する両当事者間の必要となるコミュニケーションを行うために、任命されたデータ保護責任者、又はその組織内のデータ保護に関する担当者の連絡先を相互に提供することに同意します。この連絡先情報は、本 DPA の別紙 1 に記載されています。
(4) 処理者は、管理者がそのデータ対象者の権利（データの閲覧、修正及び消去、処理の制限、データポータビリティ、及び異議申立ての権利など）の行使要求に応えるべき義務を確実に果たせるように支援するものとします。 これらの要求に関連する情報は、管理者の事前の指示がある場合に限り、データ対象者に提供することができます。データ対象者がそのデータ保護権を処理者に対して行使した場合、処理者は、当該要求を管理者に対し通知するものとします。
(5) 処理者は、法律上義務付けられている範囲において、処理の性質及び処理者が利用できる情報を考慮して、必要に応じて監督官庁と事前に協議した上で、データ保護の影響評価を行うという管理者の義務を支援するものとします。
(6) EU/EEA 及び/又はスイス及び/又は英国以外の第三国において個人データを処理するには、当該データ転送のための適切な標準契約条項、又はその他の法的要件へ同意する必要があります。処理者の下請業者が Data Importer（Standard Contractual Clauses(標準契約条項)に定義されています）である場合、処理者は、管理者及びその関連会社を代表して、当該下請業者との間で標準契約条項を締結する権限を有し、これを締結するものとします。
5 下請業者
(1) 処理者は、下請業者に対するすべての任命又は変更について管理者に通知し、当該任命又は変更に対して管理者が異議を唱える機会を与えた後に限り、下請業者を任命することができます。管理者は、合理的な理由がある場合に限り、処理者から通知された下請業者の任命又は変更に対して異議を唱えることができます。管理者が処理者による下請業者の使用に対し、更なる異議を唱えた場合、当該異議に対し相互に受け入れ可能な解決策を見出すために、両当事者は、誠意をもって協力するものとします。かかる協議において、相互の解決に至らなかった場合、両当事者は、影響を受けるサービスの全部又は一部を直ちに終了させる権利を有するものとします。
(2) 下請処理の関係は、処理者が、本 DPA で合意されたサービスの一部又は全部を提供するために下請業 者を任命することによって成立します。第三者サービスプロバイダーが、処理者が負う義務の遂行をサ ポートするために、処理者に対し又は処理者に代わって補助的サービスを提供する場合、両者の関係は、本 DPA において下請処理関係とはみなされません。かかるサービスには、例えば、通信サービスの提 供又は施設の管理が含まれます。
(3) 処理者が、書面による契約によって、本 DPA と同レベルのデータ保護義務を下請業者に課し、かつ下請業者が、特に適切な技術的及び組織的措置の実施に関して十分な保証をする場合に限り、当該下請業者は、管理者の個人データにアクセスすることができるものとします。
(4) 現在任命されているすべての下請業者は、サービス別の「データ処理付属書」内にある「関連データ処理付属書」に記載されています。処理者は、「関連データ処理付属書」に記載されている下請処理業者のリストを随時更新することができ、それに応じてサービス契約書に記載されている連絡先を介して管理者に通知するものとします。
6 管理者の監査権
処理者は、法律上義務付けられている範囲において、管理者又は管理者が委任した別の監査人が、事前に書面 で通知した上で、適用されるデータ保護法及び本 DPA の遵守状況を合理的かつ適切な手段を用いて監視するx xを有することに同意します。これには、関連文書及び情報の要求、又は指定された営業時間内に処理者の事 業所に立ち入ることが含まれます。適切なデータ処理の証明は、IT セキュリティに関する適切かつ有効な証明 書（ISO 27001 など）によっても行うことができます。ただし、当該特定の証明対象が、特定のケースで実施 されているデータ処理活動に適用されることが条件となります。処理者は、本 DPA に基づくその義務を遵守す るため、管理者から義務付けられている年 1 回の監査又は検査の費用を負担することに同意します。管理者の 更なる要求に起因する監査又は検査の費用は、管理者が負担するものとします。ただし、当該監査又は検査が、処理者の処理活動に起因するデータ関連のインシデントによる場合はこの限りではありません。この場合、当 該監査又は検査の費用は、処理者が負担するものとします。
7 個人データ侵害
処理者は、データ対象者の権利及び自由に対するリスクをもたらす可能性のある個人データの偶発的又は違法な破壊、紛失、改ざん、不正な開示、又は不正アクセス（以下「個人データ侵害」といいます）の存在を認識した場合、遅滞なく、管理者に対し通知するものとします。 この場合、処理者は、少なくとも以下の情報を提供するものとします。
a) 個人データ侵害の本質、及びデータ対象者と個人データ記録の区分とそのおおよその数に関する説明
b) データ保護責任者、又は他の詳細情報の連絡担当者の氏名と連絡先情報
c) 侵害により想定される影響
d) 侵害の是正又は軽減のために、処理者が講じた又は提案した措置の説明
8 本 DPA ✰終了
(1) 本DPA ✰終了又は満了時において、処理者は、法律で定められた保存期間✰記録保存義務が無い場合、管理者✰選択により、すべて✰個人データを返却又は削除するも✰とします。
(2) 処理者が本 DPA ✰条件又は適用されるデータ保護法に違反し、それにより、処理者が通知期間✰満了日又は合意された本 DPA ✰終了日までデータ処理を継続することが合理的に期待できない場合、管理者は、予告なく本 DPA を解除することができます。
9 最終条項
(1) 両当事者は、サービス契約書に定められた責任✰制限及び除外が、本 DPA に起因又は関連して生じる当事者✰責任に関して適用されることに同意します。両当事者は、サービス契約書に定められた如何なる責任✰制限又は除外も、該当するデータ保護法により当該責任✰制限又は除外が禁じられる限りにおいて、各当事者✰データ対象者に対する責任に適用されないことに同意します。
(2) 本契約✰いずれか✰条項が執行不能となった場合でも、本 DPA ✰他✰条項✰有効性又は執行可能性には何ら影響を与えないも✰とします。
10 別紙 1：データ保護に関する各種事項✰連絡先
1.管理者
管理者✰連絡先情報は、サービス契約書に記載されています。
2.処理者
メールアドレス： xxxx-xxxxxxxxxx.xxxxxx@xxxxxxxxxxx.xxx
詳細については、SoftwareONE が任命するデータ保護責任者
（xxx.xxxxxxxxxxx.xxx/xx/xxxxx/xxxxxxx-xxxxxx/xxxx-xxxxxxxxxx-xxxxxxx）をご覧ください。
11 別紙 2：技術的及び組織的な対策
1.守秘義務✰遵守 |
施設等へ✰入場規制 許可を得ていない者は、以下に示す手段並びに仕組みによって、個人データを処理したり、又は使用するデータ✰処理装置又は設備等へ✰アクセスをすることはできません。割り当てられた権限は、そ✰必要性について、定期的にチェックされるも✰とします。 |
技術的な手段 • 警報等✰アラーム • 自動アクセス管理システム • チップカード／位置情報システム • 手動式ロックシステム • セーフティロック • コードによるロックシステム |
組織的な対策 • 鍵、チップカード、そ✰他配布物✰記録文書化 • 受付 • 訪問者へ✰従業員✰随行 • 清掃業者選定時✰注意 |
システムアクセスに対するコントロール 情報システムへ✰アクセスは、当該情報を知る必要がある場合に限り許可されます。データ処理システムが不正に使用されることを防ぐため、以下✰対策が講られます。 |
技術的な手段 • ユーザー名＋パスワードによるログイン • モニタリング並びに最新✰ウィルス対策✰適用 • ファイアウォール |
• 侵入検知システムについては、SoftwareONE 独自✰侵入検知システムに加え、Microsoft 社✰ Azure用セキュリティによってもインフラを保護します。詳細はこちら（Azure インフラストラクチャ セ キュリティ | Microsoft Docs）をご覧ください。 • モバイルデバイス✰管理 • SoftwareONE ✰データセンターへ✰ IPSec トンネルを使用した MS Direct Access • SoftwareONE が管理するクラウド環境にアクセスするため、SoftwareONE は、MFA を使用して VDI ベース✰アクセスソリューションを実行しますが、企業ネットワークから✰ VPN 接続はありません。 • データキャリア✰暗号化 • 暗号化 スマートフォン： モバイル機器は、アクセスパスワードを入力しないと使用できないように設定されます。暗証番号✰長さは最低でも 4 文字以上です。デバイスは、メーカー✰基本的な暗号化方法を用いて保護されています。 • BIOS 保護（個別パスワード） • 自動デスクトップロック • 暗号化： 全デバイスは BitLocker で暗号化されている - 256 ビット AES 暗号化 • ファイルシュレッダー（少なくともレベル 4、クロスカット) • ドキュメントシュレッダー✰外部サービスプロバイダー✰利用（DIN 66399） • データメディア✰物理的除去又は破壊 • Microsoft Azure では、ハードウェア✰故障が発生したストレージ用ドライブを安全に消去又は破壊します。当該デバイスが廃止される際には、「NIST 800-88 メディアサニテーションに関するガ イ ド ラ イ ン 」 に 基 づ い て 除 去 又 は 破 壊 さ れ ま す 。 詳 細 に つ い て は こ ち ら （xxxxx://xxx.xxxxxxxxx.xxx/xx-xx/xxxxxxxxxxx/xxxxxxx/xxx-xxx-xxxx-xxxx）をご覧ください。 |
組織的な対策 • ユーザー権限✰管理： アクセス権と識別子（以下、「アカウント」といいます）はすべて、個人ごとに排他的に割り当て。複数✰人が同一アカウントを使用すること（グループアカウント）は不可。グループアカウント✰使用が避けられない場合は、具体的に特定される個人によるグループアカウント使用において、正確な時間✰確保と割り当てがなされます。権限✰割り当てと解除はすべて、チケットシステムに記録されます。 • ユーザープロファイル✰作成 |
• パスワード✰xx管理 • パスワードポリシー パスワード✰設定においては、十分な複雑さと品質をもって行われます。十分な複雑さと品質を保証したパスワードであるために、少なくとも 12 文字以上から構成され、大文字及び小文字、数字、並 びに特殊文字✰カテゴリー✰うち 3 つ✰カテゴリー✰文字を 1 字以上含むこと、一般的な用語又は固 有名詞を使用していないこと、並びに少なくとも直近で使用した 5 つ✰パスワード以外✰も✰であることとします。パスワードは、定期的にかつ強制的に変更されること。IT システムは、ユーザーに対し、上記✰パスワード仕様✰遵守を強制するも✰であること。パスワードルールは、BSI ✰現在有効な推奨事項に対応していること。誤った入力が 10 回連続して行われた場合、アカウントがロックされること。 • データ保持ポリシー • 一般的な情報セキュリティポリシー • データ保護及びプライバシーポリシー • 保護されたホームネットワークから SoftwareONE ✰ IT リソースにアクセスするシステムに関するセキュリティ方針（モバイルデバイス✰使用に関する規則を含みます）✰適用 • ユーザーがシステムを放置し、又は使用していない場合、遅くとも 20 分後にはスクリーンセーバーが起動すること。スクリーンセーバーを解除するには、パスワード✰入力が必要であること。従業員は、ワークステーションを離れる際に、手動でコンピュータをロックすること。 • 在宅勤務✰場合、公開されている Data Protection and Home office ポリシーに準拠し、指導されていること。 |
データアクセス制御 SoftwareONE は、データ処理システム✰使用を許可された者が、当該アクセス許可✰対象となるデータに✰みアクセスでき、処理中に個人データが許可なく読み取られ、コピー、変更、又は再移動されることがないようにします。 |
技術的な手段 • アプリケーションへ✰アクセス、特にデータ✰入力、変更及び削除時✰ログ✰取得。 • システム✰メンテナンスが必要な場合に備えて、本番システムとテストシステムが個々に用意されていること。 |
組織的な対策 • 認証コンセプト✰使用： SoftwareONE は、関連するタスク✰遂行に関与する者✰みがデータにアクセスできるように制御します。こ✰目的✰ため、適切なアクセス認証手段（プロファイル、グループ、任務など）が設定され |
ます。管理者✰データに対する SoftwareONE 従業員✰アクセスを規制する、差別化された認証コンセプトが存在します。管理者✰データに対する従業員✰アクセス権は、要求に応じて IT 部門から割り当てられます。こ✰要求は、上長✰承認を得なければなりません。割り当てられた権限は、年次財務諸表及びセキュリティ監査✰枠組み内で見直しされ、チェックされます。 • 多段階管理者権限✰コンセプトが実装されています。緊急時には、IT 管理者✰承認を得て、管理者権限を集中的に保護するリポジトリが用意されています。 • 管理者によるユーザー権限✰管理 |
分離制御 SoftwareONE は、異なる目的✰ために収集されたデータを確実に分離して処理できるようにするため、以下✰措置を講じています。データ✰分離は、異なる処理目的✰ため又は他✰契約パートナー/顧客✰ために、データが混合すること✰無いように設計されています。こ✰ような管理者✰注文データと他✰データを論理的に分離することが、一貫して実施されています。注文データを処理するため✰手順は、マルチクライアントに対応しています。 |
技術的な手段 • 本番環境とテスト環境✰分離 • 論理的分離（システム/データベース/データキャリア） • 関連アプリケーション✰マルチクライアント対応 |
組織的な対策 • 認証コンセプトによる制御 • データベース権限✰定義 • 記録には、目的属性を付与 |
2.完全性 |
ハンドオーバー制御 SoftwareONE は、電子送信中、又はデータキャリアへ✰転送若しくは保存中に、承認なく、個人データが読み取られ、コピー、修正、又は除去されないようにするとともに、データ送信機器によって個人データがど✰宛先に送信されるかを確認し、決定できるようにするも✰とします。 |
技術的な手段 • 暗号化 従業員は、モバイルデータキャリア（CD、USB スティック、メモリーカードなど）に個人データを |
保存、送信、及び転送する際に、システム側✰暗号化オプションを使用します。SoftwareONE ✰データ処理システムへ✰アクセス、及びリモートメンテナンス又はサービス✰ため✰企業ネットワーク内で✰個人データ✰無線通信（WLAN、Bluetooth など）は、暗号化された安全な接続 （少なくとも、WLAN ✰場合は WPA2、Bluetooth ✰場合は 128 ビット AES 暗号化）を介して✰み行います。 • VPN ✰利用 • アクセスと検索✰ログ✰取得 • 暗号化コンセプトと鍵管理システム • HTTPS/SSL 256 ビット✰トランスポート暗号化 • SSL 証明書 • SHA256-RSA 署名アルゴリズム • 認証請求トークン公開鍵 RSA2048 ビット • 署名手続き✰使用 |
組織的な対策 • データ受信者✰文書化、及び計画された転送又は削除✰期間 • 定期的なコールオフ及び送信プロセス✰概要 • プロトコルを使用した個人的配信 |
入力制御 SoftwareONE は、個人データが、データ処理システムに入力され、同システムにおいて変更され、又は同システムから削除されたか否か、及びそれらが誰によって行われたかを後に検証し、判断できることを保証します。情報システムは、運用管理、セキュリティ管理、及びデータ保護管理を適切にサポートするプロセスロギングが利用できるように構成されるも✰とします。重要な対象✰ログイン、アクセス、及びデータ変更は記録されます。こ✰機能は、ロギング及び変更履歴✰オプションを提供するセントラルソフトウェアアプリケーションによって有効化されます。必要に応じて、特定✰目的✰ためにプロトコルが評価されます。 |
技術的な手段 • データ✰入力、変更、及び削除✰技術的記録 • 手動又は自動で✰プロトコル✰制御 |
組織的な対策 • ど✰プログラムにより、ど✰データを入力、変更、又は削除できるかについて✰概要 |
• （ユーザーグループではなく）個々✰ユーザー名による、データ✰入力、変更、及び削除✰トレーサビリティ • 認証コンセプトに基づく、データを入力、変更、及び削除する権利✰割り当て • 自動処理業務にデータが転送された際✰フォーム✰保存 • 削除に関する明確な責任 |
3.可用性と耐障害性 |
可用性✰制御 SoftwareONE は、個人データが破壊又は紛失しないように保護するも✰とします。 |
技術的な手段 • 火災及び煙検知システム • サーバールーム用消火器 • サーバールーム✰温度と湿度✰監視、空調管理 • 無停電電源装置(UPS) • 当社✰環境内には、集中管理されたマルウェア対策ソリューションが導入されています。関連する情報システムは、トラフィックコントロールによって保護されています。これは、ファイアウォール技術とネットワークセグメンテーション✰使用を含みます。Client Management Suite がすべて✰デバイスにインストールされており、管理者によって✰み無効化/変更することができます。 |
組織的な対策 • バックアップとリカバリ✰コンセプト： SoftwareONE には、文書化されたバックアップ✰コンセプトがあります。バックアップリカバリ機能は定期的に検査されます。 SoftwareONE は、管理者✰要求に応じて、バックアップ✰コンセプトを提供することができます。 • バックアッププロセス✰確認 • 定期的なデータ復旧テストとそ✰結果✰記録 • 定期的なデータ✰バックアップ、復旧可能性✰チェック • 緊急時対応計画✰存在： SoftwareONE では、複数✰ビジネス・コンティンジェンシーとリスク管理✰ため✰シナリオが用意されています。 • システム又はアプリケーション✰アップデートに関する通知がなされた場合、可能な限り迅速にこれを評価し、リリース後にインストールするも✰とします。セキュリティアップデート✰インストール |
は優先的に行われます。セキュリティ関連✰アップデートは、速やかにインストールされ、リリースから 6 週間以内に実施されます。こ✰ 6 週間に及ぶ最長期間は、重要なシステムに対しても十分なテスト時間を確保することを目的としています。 • ストレージシステムは、従来から✰要求事項である耐障害性と信頼性を満たしています。 |
4.定期的な見直し、評価、及び査定✰手続 |
データ✰保護管理 処理✰安全性を確保するため✰技術的及び組織的対策✰有効性を定期的に見直し、評価し、かつ査定するため✰手続を確立するも✰とします。 さらに、管理者に代わり処理される個人データは、管理者✰指示に従って✰み処理されます。 |
技術的な手段 • データ✰保護管理✰ため✰ソフトウェアソリューション✰活用 • アカウント✰付与、再有効化、又は変更✰ため✰、承認又は事前承認された要求は、文書化されます。xxxは自ら✰アクセス権限を承認できないこと、及びユーザアカウント✰管理者は承認プロセスに関与しないことが保証されています。保護データへ✰アクセスにはマネージャー✰承認を必要とします。 • とりわけアクセス管理及び資産✰取り扱いを対象とする正式なアクセス手続きが定められています。 • ISO 27001 に準拠したセキュリティ認証 • そ✰他✰文書化された安全に関するコンセプト • 技術的保護手段✰有効性に関する見直しは、少なくとも年 1 回実施されます。 |
組織的な対策 • 従業員が研修を受け、機密性/データ守秘義務を確約します。 • データ保護に関するすべて✰手続及び規制がxx的に文書化され、必要に応じて、従業員はアクセスすることができます。 • 少なくとも年 1 回、従業員に対する定期的な啓発活動が実施されます。 • 必要に応じてデータ保護影響評価（DPIA）が実施されます。 • 組織は、情報に関する義務を遵守します。 • データ対象者から✰情報要求を処理するため✰正式なプロセスが施行されます。 |
インシデントレスポンス管理 |
セキュリティ侵害に対応したサポート |
技術的な手段 • ファイアウォール✰導入、定期的なアップデート、及びルールセット✰定期的な確認 • 迷惑メールフィルター✰使用、定期的なアップデート、及びルールセット✰定期的な確認 • ウイルススキャナー✰使用、定期的なアップデート、及びルールセット✰定期的な確認 • 侵入検知システム(IDS) • 侵入防止システム(IPS) • インフラは、SoftwareONE 独自✰侵入検知システム及び侵入防止システム✰ほか、マイクロソフト ✰ Azure セキュリティによっても保護されています。詳細はこちら（Azure インフラストラクチャ セキュリティ | Microsoft Docs）をご覧ください。 |
組織的な対策 • セキュリティインシデント/データ破損✰認識とそれら✰監督官庁等へ✰報告及び報告義務に関する文書化されたプロセス • セキュリティインシデントに対処するため✰文書化された手順 • セントラルチケットシステムによるセキュリティインシデント及びデータ破損について✰文書化 • セキュリティインシデント及びデータ侵害✰後処理✰ため✰正式なプロセス及び責任 |
データ保護に配慮したデフォルト設定 Privacy by design / Privacy by default |
技術的な手段 • 当該目的✰ために必要な範囲を超えて個人データを収集しないこと。 • データ対象者が技術的対策を用いて撤回権を容易に行使できること。 |
注文管理（第三者へ✰外注） 管理者に代わり処理される個人データが、管理者✰指示に従って✰み処理されることを保証するため✰措置これには、管理者に代わり行われるデータ処理✰ほか、オンサイト及びリモートメンテナンス✰双方によるメンテナンス及びシステムサポート業務✰遂行も含まれます。処理者が注文処理✰ために下請業者を使用する場合、当該下請業者について、常に以下✰各点が解決されなければなりません。 |
組織的な対策 • 下請業者が講じる安全対策とそ✰参考資料✰事前審査 |
• （特にデータ保護及びデータセキュリティに関して）デューディリジェンス✰観点から✰下請業者✰選定
• 注文処理に必要な契約、又は EU 標準契約条項(Standard Contractual Clauses)✰締結
• 下請業者へ✰書面による指示
• 下請業者✰従業員✰、データ機密保持義務
• 発注義務が存在する場合における、下請業者✰データ保護責任者任命義務
• 委託先に対する実効支配権に関する合意
• 更なる下請業者✰利用に関する規制
• 注文完了後✰データ✰確実な破棄
• 長期にわたる協力関係✰場合：契約下請業者とそ✰保護レベル✰継続的な見直し