最終更新日: 2026年3月24日

本データ処理契約（以下「DPA」）は、Even Hub 開発者プラットフォーム利用規約または開発者と Even Realities 間で本DPAを参照するその他の契約に組み込まれ、その一部を構成します。本契約は、開発者が Even Hub 開発者プラットフォームを通じてアクセスまたは取得した Even Hub 開発者プラットフォームデータに関連して行うデータ処理活動を規律します。誤解を避けるために、本契約は Even Realities が独自に行うデータ処理活動には適用されません。これらのデータおよび活動は、Even Realities が発行または締結する別個のポリシー、規則、または契約によってのみ管理されます。

本DPAで使用されるが他に定義されていない大文字の用語は、契約書に記載された意味を有します。Even Realities は、契約書に定める場合に、本DPAの条項を変更することがあります。変更理由には、(i) 監督機関またはその他の政府・規制機関からの要求、(ii) データ保護法の遵守に必要な場合、(iii) データ保護法で許可される標準契約条項、承認された行動規範や認証、その他のコンプライアンス機構の実施または遵守などが含まれます。Even Realities はこれらの変更を開発者に通知し、変更後のDPAは契約書の条項に従って、または契約書に特に規定がない場合は Even Hub 開発者プラットフォーム上で提供される方法に従い効力を発生します。

1. 定義

「契約」とは、当事者間において Even Hub 開発者プラットフォームの利用を規律する別個の契約が存在しない限り、Even Hub 開発者プラットフォーム利用規約を意味します。

「適用されるデータ保護法」とは、個人データの処理に関するすべての適用可能なプライバシーまたはデータ保護法および規制を意味し、随時改正されることがあります。

「Even Hub 開発者プラットフォームデータ」とは、API、データベース、文書などの形態や方法を問わず、Even Realities が Even Hub 開発者プラットフォームを通じて開発者に提供する、ユーザーデータを含む可能性のあるあらゆるデータまたは情報を意味します。

「ユーザーデータ」とは、Even 製品またはサービスによって収集、処理、生成されるユーザーの個人データまたはその他の情報を意味します。

「共有データ」とは、Even Realities が開発者のプラグイン開発および公開、ユーザーへの関連サービス提供を可能にする目的で、APIやSDK、ファイル転送、Webhookなどの技術的手段を通じて開発者と共有するユーザーデータを意味します。

「データ主体からの要求」とは、適用されるデータ保護法に基づく個人データに関する権利（アクセス、訂正、削除など）を行使するためのデータ主体からの要求を意味します。

「GDPR」とは、2016年4月27日の欧州議会および理事会の規則（EU）2016/679であり、個人データの処理に関する自然人の保護およびデータの自由な移動に関する規則（一般データ保護規則）を意味し、2018年5月25日に完全施行されました。

「セキュリティインシデント」とは、Even Hub データへの不正アクセス、または Even Hub 開発者プラットフォームデータのプライバシー、セキュリティ、機密性を損なう損失、開示、改変をもたらす不正アクセスを意味します。

「管理者」とは、データ処理の目的および手段を決定する主体を意味します。

「処理者」とは、管理者に代わってデータを処理する主体を意味します。

「サブ処理者」とは、管理者または処理者が、適用される条項、関係、取引文脈の下で義務履行を支援するために関与させる主体を意味します。

「標準契約条項」または「SCCs」とは、欧州委員会実施決定（EU）2021/914により承認された、個人データの第三国への移転に関する標準契約条項のモジュール1（管理者間）を意味し、https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj にて入手可能です。

「英国付属書」とは、英国情報コミッショナーが2018年データ保護法第119A条第1項に基づき発行したSCCsの国際データ転送付属書を意味し、https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf にて入手可能です。

本DPAで使用される「個人データ」、「データ主体」、「処理」、「管理者」、「処理者」の用語は、適用されるデータ保護法により定義されている意味を持ち、該当する法律がない場合はGDPRの定義を適用します。

「管理者」と「処理者」の用語は、適用されるデータ保護法により必要に応じて「事業者」および「サービスプロバイダー」を含みます。

2. ユーザーデータの処理

当事者の役割：本契約に基づく共有データの処理活動に関して、当事者は共同管理者ではなく独立した管理者であり、相手方のデータ処理者ではありません。

データの発信元として Even Realities は、その初期収集の目的および手段を独自に決定します。

共有データを受領した後、開発者は本契約で合意された目的の範囲内で、保有する共有データの処理の目的および手段を独自に決定し、対応する法的責任を独自に負います。

開発者による個人データの処理。開発者は以下を遵守します：

i) プラグイン提供に関して、適用されるすべての法令（適用されるデータ保護法を含む）を遵守し続けること；

ii) Even Realities に提供する指示が常にデータ保護法に準拠していることを保証すること；

iii) 共有データの処理に必要なすべての同意および権利を取得すること；

iv) 共有データの正確性、品質、合法性を常に維持すること。

Even Realities による個人データの処理。Even Realities は、共有個人データの初期収集および開発者への開示に関して、適用されるデータ保護法の下でのデータ管理者としての義務を単独で遵守する責任を負います。データ共有の過程で、Even Realities は以下を保証し表明します：

i) Even Realities のプライバシーポリシーに基づく共有データの収集は、適用されるデータ保護法に従った有効な法的根拠を有すること；

ii) Even Realities は、処理されるデータのカテゴリ、処理の目的、受領者または受領者のカテゴリ（開発者が独立した管理者であることを含む）、およびデータ主体の権利の存在など、適用されるデータ保護法に基づき必要なすべての情報をデータ主体に提供していること；

iii) Even Realities は、開示された共有データが正確であり、必要に応じて最新の状態に保たれていることを保証し、付録Iに記載された開示目的を考慮し、開発者が処理目的のために必要な範囲でデータの不正確さを認識した場合には合理的な努力をもって修正または更新を行うこと。

本DPAのデータ処理活動の詳細は、DPAの付録Iに明確に記載されています。

3. 第三者サービスプロバイダー

開発者は独立した管理者として、ユーザーへのプラグイン提供に関連してユーザーデータを処理するために第三者サービスプロバイダーを起用する権利を有します。開発者は、当該第三者サービスプロバイダーが本契約およびすべての適用されるデータ保護法の条項を遵守することを完全に責任を持って保証します。

Even Hub 開発者プラットフォームの完全性、セキュリティ、および安定性を維持するために、開発者は Even Realities の合理的な要求に応じて、Even Hub 開発者プラットフォーム由来のユーザーデータを処理する第三者サービスプロバイダーに関する正確で完全かつ最新の情報を提供するものとします。開発者は、当該第三者関与に関して Even Realities が提供する必須のレビュー用フォームやアンケートへの記入に同意します。

開発者は、起用する第三者サービスプロバイダーが以下を保証し確保します：

i) 本契約に基づき開発者に課されるものと同等以上のデータ保護義務を含む書面契約に拘束されていること；および

ii) 個人データを不正または違法な処理、偶発的な紛失、破壊、損害から保護するために、適用されるデータ保護法に従い適切な技術的および組織的安全対策を実施し維持していること。

4. データ主体からの要求

データ主体権利行使の仕組み：開発者はデータ管理者として、プラグイン内に適用されるデータ保護法に基づくアクセス権、訂正権、消去権、処理制限権、データポータビリティ権、処理反対権などのデータ主体の権利を効果的に行使できる適切な仕組みを実装および維持します。

要求の転送：Even Realities は、開発者のデータ処理活動に関連するデータ主体からの要求を受領した場合、速やかに開発者に転送し、必要に応じてデータ主体に直接開発者に要求を提出するよう助言することがあります。

協力：Even Realities は、処理の性質を考慮し、開発者が適用されるデータ保護法に基づくデータ主体からの要求に対応する義務を履行するために合理的かつタイムリーな支援を提供します。

5. セキュリティ

開発者は適用されるデータ保護法のデータセキュリティ義務を遵守し、技術の進歩、実施コスト、処理の性質・範囲・文脈・目的、自然人の権利および自由に対するリスクの可能性と重大性を考慮した、ユーザーデータのセキュリティレベルを確保するための合理的かつ適切な技術的および組織的なデータ保護およびセキュリティ対策を実施および維持します。これらの対策は、Even Realities プライバシーポリシーに記載された Even 製品による共有データのセキュリティ対策と同等以上の保護レベルを有します（随時更新される場合があります）。

Even Realities の要求に応じ、開発者はプラットフォームでのプラグイン公開の審査および承認のために、技術的および組織的な安全対策の詳細（技術的・組織的な保護策、セキュリティ認証、遵守証明など）を正確かつ完全に提供し、Even Realities の合理的な調査および評価に協力します。

6. コンプライアンスおよび監査

監査権：本契約に基づく他の権利を損なうことなく、Even Realities は合理的な通知の上、通常の営業時間内に開発者のアプリケーションに対し、本契約および適用されるセキュリティ基準の遵守を確認するための監査を実施できます。これには、開発者が実施するデータセキュリティ対策の評価が含まれますがこれに限定されません。

監査の性質：本条に基づく監査は、Even Hub 開発者プラットフォームの運営者としての Even Realities の権利の行使とみなされ、本DPAに基づく処理活動に関して開発者および Even Realities の独立した管理者としての役割を変更または修正せず、本契約に明示的に合意されていない限り、いずれかの当事者に追加のデータ保護義務を課すものではありません。

本DPAで規律される処理活動に関する開発者および Even Realities の独立したデータ管理者としての役割を変更または修正しないこと；
書面で別途合意されない限り、本契約に定めるものを超える追加のデータ保護義務をいずれかの当事者に課さないこと。

協力：開発者は、適切な機密保持の保護の下、関連情報および担当者へのアクセスを提供するなど、監査に関して合理的に Even Realities に協力します。

7. セキュリティ違反

Even Realities は本DPAの第5条に従い、データの適切なセキュリティ確保に関して開発者を支援します。共有データに関するセキュリティインシデントが発生し、開発者に実際の影響を及ぼす可能性がある場合、Even Realities はそれを認識次第遅滞なく開発者に通知し、違反対応に協力します。

プラグイン内で発生したデータセキュリティ違反に関しては、開発者が単独で責任を負い、Even Realities に対してすべての請求、損害、責任、費用および経費から免責し、保護するものとします。Even Realities は、独自の裁量で義務を負うことなく、開発者のプラグインに関連する疑わしいセキュリティインシデントに関する第三者の報告や苦情を開発者に通知する場合があります。Even Realities が独自の裁量で、開発者のプラグインにおけるセキュリティインシデントが以下のいずれかに該当すると判断した場合：

Even Hub 開発者プラットフォームのセキュリティまたは機能性を損なう可能性がある；
Even Realities またはプラットフォームの評判に悪影響を及ぼす可能性がある；
プラットフォームの他の開発者またはユーザーに影響を及ぼす可能性がある、

Even Realities は、こうした潜在的影響の評価、緩和および対応を可能にするために必要なすべての情報（詳細なインシデント報告、是正計画、状況報告など）を開発者に求め、開発者はこれを提供します。

8. 削除および返却

開発者の責任：開発者は、Even Hub 開発者プラットフォームから共有データを受領した時点で、当該共有データに関して独立した管理者として行動することを認識し同意します。開発者は、適用されるデータ保護法に準拠した合理的なデータ保持方針を策定および実施し、その方針をプライバシーポリシーまたは同等の通知でデータ主体に開示します。

機密情報の削除および返却：前述にかかわらず、契約書で定義された機密情報を構成するデータは、契約書に定められた機密保持義務の対象となります。

9. 国際データ転送

適用範囲：本条は、開発者が本DPAのデータ処理活動を規律する管轄区域の第三国または地域に所在する場合に適用されます。

適切な保護措置：本DPAに基づくデータ共有が国際的なものである場合、両当事者は適用されるデータ保護法に従い、越境転送が法的要件を満たすように適切な保護措置を実施します。

GDPR準拠：上記条項の一般性を損なうことなく、本契約に基づくデータ転送がGDPRの対象となる場合、当事者は欧州委員会の標準契約条項（「SCCs」）を当該転送のコンプライアンス手段として実施することに合意します。ただし、以下の場合は除きます：

受領国がGDPR第45条に基づく欧州委員会による適合性決定を受けている場合；
受領者がGDPR第V章に基づくその他の合法的かつ有効な越境転送手段（拘束力のある企業規則、承認された行動規範、認証メカニズムなど）を実施している場合；
GDPR第49条に基づく適用除外の条件が満たされている場合。

SCCsの組み込み：当事者が本条に基づきSCCsを締結する必要がある場合、SCCsは本契約に組み込まれ、その不可欠な一部を構成します。当事者は以下に合意します：

SCCsの目的上、Even Realities は「データ輸出者」として、開発者は「データ輸入者」として行動する；
適用されるモジュールはモジュール1（管理者間）または本契約に基づく当事者の役割に対応する他のモジュールとする；
当事者はSCCsの付属書を本契約の付録IIに記載のとおり完成させる。

10. 一般条項

本DPAは、(a) 契約の発効日、または (b) Even Realities が本契約に関連して共有データを共有または転送した日のいずれか早い方に開始し、契約期間中継続します。

DPAは契約に参照によって組み込まれ、契約の不可分な一部を構成します。DPAの条項と契約のその他の条項が抵触する場合、抵触する範囲でDPAの条項が優先します。

本DPAに基づく各当事者および当該当事者の関連会社の責任は、契約に定める除外および責任制限の対象となります。

付録I データ処理の詳細

対象事項：本DPAの処理対象は個人データです。

期間：契約期間中継続的に。

処理の性質および目的：開発者による Even Hub プラットフォームの利用、プラグインの開発、公開またはリリースおよびユーザーへのプラグイン提供、該当するプラグインプライバシーポリシーまたは同等のポリシードキュメントに記載された内容。

データ主体のカテゴリ：開発者のプラグインを利用するユーザー。

個人データのカテゴリ：

アカウント情報：氏名、メールアドレス、UID、国；
デバイス情報：デバイスモデル、シリアル番号；
デバイス設定情報：言語；
デバイスステータス：接続タイプ、バッテリー残量、装着状況、充電状況；
音声録音：マイクによって取得された音声録音。

特別カテゴリの個人データ（該当する場合）：該当なし

保持および削除：開発者の保持方針に従います。

付録II 国際データ転送付録

1. EU SCCs

1.1 オプション条項の選択

当事者は以下のSCCsのオプション条項を選択し合意します：

(a) 条項7（ドッキング条項）：☐ オプションのドッキング条項を適用する / ☒ オプションのドッキング条項を適用しない。

(b) 条項9（サブ処理者の使用）：☒ オプション2（一般書面承認）を適用する。データ輸入者はサブ処理者の追加または交換に関する意図的な変更をデータ輸出者に通知し、本契約のセクション[X]に従いデータ輸出者に異議申し立ての機会を提供するものとします。

(d) 条項13（監督）：管轄監督機関はベルリン州データ保護情報自由担当官（Berliner Beauftragte für Datenschutz und Informationsfreiheit）とします。

(e) 条項17（準拠法）：当事者はSCCsがドイツ法に準拠することに合意します。

(f) 条項18（裁判地および管轄権の選択）：SCCsに起因する紛争はドイツの裁判所で解決されます。

1.2 付属書の補足

SCCsの付属書は不可欠な一部として以下のとおり完成し、本書に添付されます。

A. 当事者リスト

データ輸出者：契約書に定義された Even Realities

データ輸入者：開発者

B. 処理の説明

対象事項：本DPAの処理対象は個人データです。

期間：契約期間中継続的に。

処理の性質および目的：開発者による Even Hub プラットフォームの利用、プラグインの開発、公開またはリリースおよびユーザーへのプラグイン提供。

データ主体のカテゴリ：開発者のプラグインを利用するユーザー。

個人データのカテゴリ：

アカウント情報：氏名、メールアドレス、UID、国；
デバイス情報：デバイスモデル、シリアル番号；
デバイス設定情報：言語；
デバイスステータス：接続タイプ、バッテリー残量、装着状況、充電状況；
音声録音：マイクによって取得された音声録音。

特別カテゴリの個人データ（該当する場合）：該当なし

保持および削除：開発者の保持方針に従います。

C. 管轄監督機関：ベルリン州データ保護情報自由担当官（Berliner Beauftragte für Datenschutz und Informationsfreiheit）

D. 技術的および組織的措置：開発者が Even Hub 開発者プラットフォームに提出したセキュリティ対策文書に記載のとおり。

2. 英国付属書

本英国付属書は、UK GDPR または UK GDPR と GDPR の両方の対象となる顧客個人データの処理に適用されます。本英国付属書の目的上：

「承認付属書」とは、英国情報コミッショナーが2018年データ保護法第119A条第1項に基づき発行し、2022年2月2日に英国議会に提出されたテンプレート付属書（バージョンB.1.0）を意味し、強制条項第18条に従い改訂されることがあります。

「UK GDPR」とは、英国のイングランド・ウェールズ、スコットランド、北アイルランドの法律の一部として2018年欧州連合（離脱）法第3条に基づき組み込まれ、2019年データ保護、プライバシーおよび電子通信（改正等）（EU離脱）規則により修正された、欧州議会および理事会の規則（EU）2016/679を意味します。

「強制条項」とは、承認付属書の「パート2：強制条項」を意味します。

Even Realities（データ輸出者）から開発者（データ輸入者）への UK GDPR の対象となる顧客個人データの転送に関して：

適用されるデータ保護法に基づき必要な範囲で、本付属書の英国付属書が本DPAに組み込まれ一部を構成する；
承認付属書のパート1表1の目的のために、当事者の詳細は付録IIのEU SCCsセクション「付属書の補足」A項に記載のとおりである；
承認付属書のパート1表2の目的のために、付録IIのEU SCCsに記載された承認されたEU SCCsのバージョンおよび付属情報が選択されたSCCsである；
承認付属書のパート1表4の目的のために、Even Realities（データ輸出者）は承認付属書を終了できる。

3. スイス付属書

本スイス付属書は、スイスデータ保護法（以下定義）またはスイスデータ保護法とGDPRの両方の対象となる顧客データの処理に適用されます。

3.1 本付属書の解釈

本付属書で標準契約条項で定義されている用語は、標準契約条項と同じ意味を持ちます。加えて、以下の用語は以下の意味を持ちます：
「本付属書」とは、本条項に対する本付属書を意味します。
「条項」とは、本スケジュールでさらに特定される標準契約条項を意味します。
「スイスデータ保護法」とは、1992年6月19日のスイス連邦データ保護法および1993年6月14日のスイス連邦データ保護法施行令、ならびに随時施行されるこれらの新規または改訂版を意味します。
本付属書はスイスデータ保護法の規定に照らして解釈され、GDPR第46条および/またはスイスデータ保護法第6条第2項(a)により要求される適切な保護措置を提供する意図を満たすものとします。
本付属書はスイスデータ保護法に規定された権利および義務と矛盾する解釈をされません。
法令（またはその特定の規定）への言及は、時間経過に伴う当該法令（または規定）の変更、統合、再制定、または置換を含みます。

3.2 階層関係

本付属書と条項または当事者間の他の関連契約の間に矛盾または不整合がある場合、データ主体に最も保護を提供する規定が優先されます。

3.3 条項の組み込み

スイスデータ保護法またはスイスデータ保護法とGDPRの両方の対象となる個人データの処理に関し、本付属書は本DPAおよび標準契約条項を必要な範囲で修正し、以下のように機能させます：
データ輸出者が転送を行う際に、スイスデータ保護法またはスイスデータ保護法とGDPRがデータ輸出者の処理に適用される範囲で；および
GDPR第46条および/またはスイスデータ保護法第6条第2項(a)に従い、転送に適切な保護措置を提供するため。
個人データの処理がスイスデータ保護法のみに専ら対象となる場合、本スケジュールにさらに特定される本DPAおよびSCCsの修正には以下が含まれます（これに限定されません）：
「条項」または「SCCs」への言及は、本スイス付属書がSCCsを修正する形での言及を意味します。
条項6（転送の説明）は「転送の詳細、特に転送される個人データのカテゴリおよび転送目的は、本DPAのスケジュール1に記載されたものであり、スイスデータ保護法が転送時のデータ輸出者の処理に適用される場合に限る。」に置き換えられます。
「規則（EU）2016/679」または「当該規則」または「GDPR」への言及は「スイスデータ保護法」に置き換えられ、特定の条文への言及は該当する範囲でスイスデータ保護法の同等の条文または節に置き換えられます。
規則（EU）2018/1725への言及は削除されます。
「欧州連合」、「連合」、「EU」、および「EU加盟国」への言及はすべて「スイス」に置き換えられます。
条項13(a)および付録IのパートCは使用されず、「管轄監督機関」はスイスデータ保護法の対象となる転送に関しては連邦データ保護情報コミッショナー（FDPIC）とします。
条項17は「これらの条項は、スイスデータ保護法の対象となる転送に関してはスイス法に準拠する」と置き換えられます。
条項18は「スイスデータ保護法に関するこれらの条項に起因する紛争はスイスの裁判所で解決されます。データ主体はまた、通常居住地のスイス裁判所においてデータ輸出者および/またはデータ輸入者に対して法的手続きを行うことができます。当事者はこれらの裁判所の管轄に服することに同意します。」と置き換えられます。

改正されたスイスデータ保護法の施行まで、条項は法的主体の個人データも保護し、法的主体は自然人と同等の保護を条項により受けます。

個人データの処理がスイスデータ保護法およびGDPRの両方に対象となる場合、本DPA（本スケジュールでさらに特定される条項を含む）は(i) そのまま適用され、(ii) 転送がスイスデータ保護法の対象となる範囲で本スイス付属書の第1および第3条によって修正されて適用されます。ただし、SCCsの条項17は本スイス付属書第3(b)(vii)条により置き換えられません。

開発者はスイスデータ保護法に基づきFDPICへの必要な通知を行ったことを保証します。