本データ共有契約（以下「本契約」といいます。）は、Even Hub 開発者プラットフォーム利用規約または開発者と Even Realities の間の別途の契約に参照により組み込まれます。本契約は、Even Realities が本プラットフォームを通じて開発者にユーザーデータを共有する場合の、当該データの受領、利用、保管および開示に関する当事者の義務を定めます。
本契約は、Even Realities が独自に行う個人データの処理を対象としません。当社は、規制上の要請、適用されるデータ保護法、標準契約条項、行動規範または認証制度の変更等に対応するため、本契約を変更することがあります。
1. 定義
| 適用データ保護法 | 個人データの保護、プライバシー、電子通信、越境移転またはデータセキュリティに関して適用される法令、規制および拘束力ある規則をいいます。 |
| プラットフォームデータ | Even Hub 開発者プラットフォームまたは認可された API・明示的な仕組みを通じて提供される情報をいいます。 |
| 共有データ | 本契約に基づき、Even Realities から開発者に共有される個人データをいいます。 |
| ユーザーデータ | プラグインを利用するユーザーに関する個人データその他の情報をいいます。 |
| データ主体からの請求 | アクセス、訂正、削除、利用停止、異議その他、適用データ保護法に基づく権利行使の請求をいいます。 |
| GDPR | EU 一般データ保護規則（Regulation (EU) 2016/679）をいいます。 |
| セキュリティインシデント | 共有データの偶発的または不正な破壊、紛失、改変、無権限の開示またはアクセスにつながる、またはつながるおそれのある事象をいいます。 |
| SCC | 欧州委員会が採択した、管理者から管理者へのデータ移転に適用される標準契約条項をいいます。 |
2. 当事者の地位および共有の範囲
Even Realities と開発者は、共有データについてそれぞれ独立した管理者として行動します。両当事者は共同管理者または処理者とみなされません。Even Realities は共有データの収集および開示を独自に決定し、開発者は共有データを受領した後の処理目的および手段を独自に決定し、その処理について責任を負います。
共有データは、本プラットフォームが認める API または明示的な仕組みを通じてのみ提供され、本契約の別紙 I に定める種類・目的の範囲に限られます。
3. データ保護に関する義務
3.1 開発者の義務
- 適用データ保護法を遵守し、必要な同意、通知、許可その他の法的根拠を確保すること。
- 共有データの正確性、品質、適法性および透明性を維持し、プラグインのプライバシーポリシーにおいて、独立した管理者としての地位、処理目的、データの類型、共有先、越境移転およびユーザーの権利行使方法を明示すること。
- 共有データを、ユーザーに提示した特定・明示・適法な目的に限って利用し、目的外利用を行わないこと。
- 適用法令または本契約に基づくユーザーの請求、監査、調査または規制当局への対応に協力すること。
3.2 Even Realities の義務
Even Realities は、共有のために必要な法的根拠および通知を確保し、合理的な努力により、共有データの正確性および適法な提供を確保します。
4. 第三者提供者
開発者が共有データの処理に第三者提供者を利用する場合、開発者は当該第三者について本プラットフォームの審査時に開示し、書面による契約により、本契約および適用データ保護法に劣らないデータ保護・セキュリティ義務を負わせるものとします。開発者は、第三者提供者の行為について引き続き責任を負います。
5. データ主体の権利
開発者は、プラグインを通じて、ユーザーがアクセス、訂正、削除、利用停止その他の権利を行使できる効果的かつ明確な手段を提供するものとします。Even Realities が開発者の処理に関する請求を受領した場合、当社は合理的な範囲で当該請求を開発者に転送することができ、開発者はこれに遅滞なく協力します。
6. セキュリティ対策
開発者は、処理の性質、範囲、文脈および目的ならびに個人の権利・自由に対するリスクを考慮し、共有データを保護するための適切な技術的・組織的安全管理措置を実施するものとします。当該措置は、少なくとも開発者がプラグインのプライバシーポリシーまたは審査資料で表明する水準を満たすものとし、当社は合理的な範囲でその実施に関する証拠または評価を求めることができます。
7. コンプライアンス確認および監査
Even Realities は、合理的な事前通知のうえ、通常の営業時間内に、開発者の本契約および適用データ保護法への準拠を確認するための監査または確認を実施することができます。開発者は、必要な情報、資料、人員および合理的なアクセスを提供してこれに協力するものとします。この確認は、当事者の独立した管理者としての地位を変更するものではありません。
8. セキュリティインシデント
開発者は、共有データに関するセキュリティインシデントを認識した場合、不当な遅滞なく Even Realities に通知し、事象の性質、影響を受けるデータ・ユーザーの範囲、想定される影響、講じたまたは予定する是正措置その他、当社が合理的に求める情報を提供するものとします。開発者は、原因調査、被害の軽減、必要な通知および再発防止に協力するものとします。
9. 保管、削除および返却
開発者は、共有データを、プラグインの提供およびユーザーに説明した目的に必要な期間に限り保管するものとします。本契約または関連するプラグインの終了時、開発者は、適用法令により保存が求められる場合を除き、共有データを削除または返却し、当社の合理的な求めに応じて、その実施を証明するものとします。
10. 国際データ移転
共有データの国際移転が適用データ保護法の対象となる場合、当事者は、適法な移転根拠および適切な保護措置を確保するものとします。GDPR の適用を受ける管理者から管理者への移転については、本契約の別紙 II に定める SCC が、必要な範囲で本契約に組み込まれます。英国 GDPR またはスイスのデータ保護法が適用される場合には、別紙 II の英国付録またはスイス付録が適用されます。
11. 一般条項
本契約は、Even Hub 開発者プラットフォーム利用規約その他の主契約に組み込まれ、その一部を構成します。本契約と主契約の間に矛盾がある場合、個人データの保護に関する事項については、本契約またはより高い保護を与える定めが優先します。各当事者およびその関連会社の責任は、主契約に定める責任の除外および制限に従います。
本契約が中国語および英語で作成される場合、強行法規に反しない限り、解釈上の不一致については英語版が優先します。
別紙 I：データ共有の詳細
| 処理の対象 | 本契約に基づき共有される個人データ。 |
| 処理期間 | 主契約の有効期間中、継続的に行われます。 |
| 処理の性質および目的 | 開発者による Even Hub プラットフォームの利用、プラグインの開発、公開またはリリース、およびユーザーへのプラグイン提供。具体的には、適用されるプラグインのプライバシーポリシーまたは同等の文書に記載された内容に従います。 |
| データ主体 | 開発者のプラグインにアクセスし、これを利用するユーザー。 |
| アカウント情報 | 氏名、メールアドレス、UID、国。 |
| デバイス情報 | デバイスモデル、シリアル番号。 |
| デバイス設定情報 | 言語。 |
| デバイス状態 | 接続種別、バッテリー残量、装着状態、充電状態。 |
| 音声記録 | マイクにより取得された音声記録。 |
| 特別カテゴリー個人データ | 該当なし。ただし、開発者が別途処理を行う場合は、適用データ保護法および本契約の要件を満たす必要があります。 |
| 保管および削除 | 開発者の保存方針および適用法令に従います。 |
別紙 II：国際データ移転付録
1. EU 標準契約条項（SCC）
GDPR の適用を受ける共有データの管理者間移転について、当事者は、必要な範囲で管理者から管理者への EU SCC を本契約に組み込みます。SCC の選択条項は、次のとおりとします。
| 第 7 条（加入条項） | 任意の加入条項は適用しません。 |
| 第 9 条（後続の処理者等） | 一般的な書面による許可の選択肢を適用します。データ輸入者は、子処理者の追加または変更を予定する場合、第4条に従いデータ輸出者に通知し、異議を述べる機会を与えます。 |
| 第 11 条（救済） | 独立した紛争解決機関に関する任意文言は適用しません。 |
| 第 13 条（監督機関） | 主管監督機関は、ベルリン州データ保護・情報自由監督官（Berliner Beauftragte für Datenschutz und Informationsfreiheit）とします。 |
| 第 17 条（準拠法） | SCC はドイツ法に準拠します。 |
| 第 18 条（裁判地および管轄） | SCC に起因する紛争はドイツの裁判所で解決します。 |
SCC の付属書における当事者、処理の説明、データ主体、データの類型および技術的・組織的措置は、本契約の別紙 I および開発者が本プラットフォームに提出するセキュリティ対策資料に定める内容によります。データ輸出者は本契約に定義する Even Realities、データ輸入者は開発者です。
2. 英国付録
本英国付録は、英国 GDPR または英国 GDPR と GDPR の双方の適用を受ける個人データの処理に適用されます。必要な範囲で、英国情報コミッショナーが Data Protection Act 2018 第 119A 条第 1 項に基づき発行した Approved Addendum（B.1.0、将来の改定を含みます。）を本契約に組み込みます。
Approved Addendum の表 1 における当事者の詳細は、EU SCC の当事者情報に従い、表 2 の選択 SCC は本別紙の EU SCC およびその付属書情報に従います。表 4 については、Even Realities がデータ輸出者として Approved Addendum を終了することができます。
3. スイス付録
本スイス付録は、スイスのデータ保護法、またはスイスのデータ保護法と GDPR の双方の適用を受ける個人データの処理に適用されます。本付録は、スイス法に基づく適切な保護措置を提供する目的で SCC および本契約を必要な範囲で修正して適用します。
- 本付録、SCC または関連契約の間に矛盾がある場合、データ主体により高い保護を与える定めを優先します。
- スイス法のみが適用される移転について、「EU」「EU 加盟国」その他 GDPR に関する参照は、必要な範囲でスイスおよびスイスのデータ保護法への参照に読み替えられます。
- 主管監督機関は、スイスの連邦データ保護・情報コミッショナー（FDPIC）とします。
- スイスのデータ保護法の適用を受ける移転について、SCC はスイス法に準拠し、関連する紛争はスイスの裁判所で解決します。データ主体は、スイスにおける通常の居所地の裁判所でデータ輸出者および／またはデータ輸入者に対し手続を開始できます。
- 開発者は、スイスのデータ保護法により FDPIC への通知が必要な場合、必要な通知を行ったことを保証します。