1. 定義
本付属書で使用される大文字表記の用語は、ADA または本付属書で提供される定義に従います。 1.1 「Data Exporter」 とは、(1) 国際データ転送メカニズムを必要とする管轄区域に企業拠点その他安定した取決めを有し、かつ (2) 個人データを Data Importer に転送するか、または Data Importer が個人データにアクセスできるようにする当事者を意味します。 1.2 「Data Importer」 とは、(1) Data Exporter の管轄区域とは異なる管轄区域に所在し、かつ (2) Data Exporter から個人データを受領するか、または Data Exporter によって利用可能とされた個人データにアクセスできる当事者を意味します。 1.3 「Data Protection Law」 とは、貴殿または Microsoft に適用される、データ セキュリティ、保護、処理、および/またはプライバシーに関する法律、規則、規制、政令、成文法、その他の制定法、命令、指令、または決議、およびその実施、派生、または関連する立法、規則、規制、規制ガイダンスを意味し、修正、拡張、廃止および置換、または再制定されたものを含みます。 1.4 「Personal Data」（個人データ）とは、識別されるか、または識別可能な自然人 (「Data Subject」（データ主体）) に関する情報、および適用される Data Protection Law に基づく個人データまたは個人情報を構成するその他のデータまたは情報を意味します。2. Data Protection Law の遵守
ADA および本付属書の下で転送される個人データに関して、両当事者は、貴殿および Microsoft の双方が、それぞれ独立して処理する個人データについて、一般データ保護規則 (GDPR) に定義される独立したデータ Controller (管理者) であり、共同 Controller ではないことに合意します。本付属書で使用される 「Controller」 とは、個人データの処理の目的と手段を決定する事業体を意味し、「Process」 または 「Processing」 とは、収集、記録、整理、保存、適応または変更、取得、参照、使用、送信による開示、拡散もしくは他の方法での利用可能化、整合または結合、遮断、制限、消去または破壊を含む、当事者が個人データに対して行う任意の操作またはその集合を意味します。「Processed」 も対応する意味を持ちます。個人データの独立した Controller として、両当事者は次のとおり合意します。 2.1 一般 各当事者は、Data Protection Law (例: Controller の義務) の遵守について独立して責任を負い、これを遵守します。これには、Data Protection Law (例: 該当する場合、GDPR 第 13 条および第 14 条) に基づき Data Subject に通知を提供すること、Data Protection Law (例: GDPR 第 III 章) に基づき Data Subject の権利行使要求に応じること、および処理の合法的根拠 (例: 同意または正当な利益) を特定することを含みますが、これらに限られません。 2.2 協力 一方の当事者が、政府、立法、司法、法執行、または規制当局 (例: 連邦取引委員会、米国州の司法長官、または欧州のデータ保護当局) から何らかの請求または問い合わせを受けた場合、または ADA および本付属書の下で共有される個人データの当事者の処理に関連して、実際の、あるいは潜在的な請求、問い合わせ、または苦情 (総称して 「Inquiry」) に直面した場合、その当事者は、適用法によりそのような通知が禁止されていない限り、他方当事者に不当な遅延なく通知します。受領した当事者は、Inquiry への対応を可能にするため、請求の防御に関連する情報を含む、Inquiry に関連する情報を他方当事者に速やかに提供します。要求に応じて、当事者は、データ保護影響評価またはデータ保護当局との事前協議を実施する義務 (もしあれば) を履行するため、関連情報を他方当事者に提供します。 2.3 データ セキュリティ 貴殿は、Microsoft から受領または取得した個人データを安全に、かつ XBOX Requirements (「XR」) に含まれるすべての関連要件に従って保存、管理、および保護するため、ネットワーク、オペレーティング システム、ソフトウェア、データベース、その他の関連コンピューター システムが適切に構築、構成、運用されていることを確保するものとします。各当事者は、業界の良好な慣行に従い、また、データ セキュリティに関する Data Protection Law (GDPR 第 32 条に基づくものを含む) により要求されるすべての措置を講じます。 2.4 秘密保持 各当事者は、個人データの処理を許可された者が、NDA に定めるものと同等以上の秘密保持義務、または適切な法定秘密保持義務に自らを拘束させていることを確保します。 2.5 個人データ販売の禁止 顧客の別段の追加の許可または指示に従い、貴殿は、(i) ゲームおよびゲーム関連サービスの提供に関連してのみ個人データを使用し、(ii) 貴殿のために活動する契約上拘束された Processor またはサブ Processor を除き、いかなる第三者にも個人データを転送、共有、または販売しません (「Share」 および 「Sell」 は、カリフォルニア州消費者プライバシー法 (CCPA) その他適用される Data Protection Law によって定義されます)。適用される Data Protection Law に基づき匿名化データと見なされるデータを Microsoft が転送する場合、貴殿は、そのデータが個人データとなるように再識別しようとしません (また、サブ Processor がそのようにしないことを確保します)。個人データにカリフォルニア州消費者プライバシー法が適用される範囲において、貴殿は、上記の制限を理解し、これに従うことを証明します。適用される Data Protection Law の下での義務を果たせなくなったと判断した場合、貴殿は Microsoft に通知します。 2.6 貴殿は、顧客から Data Subject の権利要求を受け取ることに関する Microsoft の指示、および ADA に定められた個人データ使用に関するその他の合理的要件を遵守します。 2.7 貴殿は、本付属書の条項および適用法に基づくプライバシー義務の遵守および/または執行についてコンプライアンス レビューを実施するという Microsoft の要求に従います。Microsoft は、暦年に 1 回、または顧客の苦情がある場合に、そのようなレビューを要求することができます。顧客の苦情の場合を除き、貴殿はコンプライアンス レビューに参加する代わりに遵守証明書を提出することができます。 2.8 事由がある場合の ADA の解除、貴殿がデータを不適切に扱っているとする不利なコンプライアンス レビュー結果、または Inquiry の開始時に、貴殿は Microsoft の要請に応じて、ADA および本付属書の下で共有された個人データのすべてのコピーを直ちに削除するか、または Microsoft に返却します。ただし、適用される Data Protection Law に基づき、終了後も個人データを保持する権利または義務がある範囲を除きます。Microsoft から要求があった場合、貴殿は 30 日以内に削除を書面で確認するものとします。 2.9 国際個人データ転送要件 一部の管轄区域では、受領側の管轄区域の法律が、転送側の管轄区域と同等の方法で個人データを保護しない場合、他の管轄区域の受領者に個人データを転送する事業体が、個人データに特別な保護があることを保証するために追加の措置を講じることを要求しています (「国際データ転送メカニズム」)。両当事者は、Standard Contractual Clauses を含む、適用される Data Protection Law が要求する国際データ転送メカニズムに従います。「Standard Contractual Clauses」 とは、欧州経済領域から第三国への国際転送のための欧州連合標準契約条項、2021 年 6 月 4 日付委員会実施決定 (EU) 2021/914 を意味します。両当事者はさらに次のとおり合意します。 2.9.1 両当事者が依拠する国際データ転送メカニズムが無効となるか、または置き換えられた場合、両当事者は、適切な代替を見つけるために誠実に協力します。 2.9.2 国際データ転送メカニズムを必要とする管轄区域 (例: EEA、スイス、または英国) に所在する Data Subject の個人データについて、Microsoft が貴殿に転送するか、または貴殿がアクセスすることを許可する個人データに関して、両当事者は、本付属書を締結することによって Standard Contractual Clauses も締結し、それが参照により組み込まれ本付属書の不可欠な部分を構成することに合意します。両当事者は、当事者からの入力を必要とする Standard Contractual Clauses の要素に関して、Schedule 1 に Standard Contractual Clauses の付属書に関連する情報が含まれることに合意します。両当事者は、英国、スイス、または Schedule 1 で指定されたその他の国の Data Subject の個人データについて、該当する範囲で、現地法に合わせて Standard Contractual Clauses を適合させるため、Schedule 1 に列挙された修正を採用することに合意します。 2.10 Schedule 1 Schedule 1 は、当事者による処理の目的、処理に関与する個人データの種類またはカテゴリ、処理の影響を受ける Data Subject のカテゴリ、および関連する Data Protection Law における当事者のステータスを説明します。Schedule 1 — 処理の説明
記載されているカテゴリは説明的なものであり、両当事者が記載されている各カテゴリのデータを必ずしも処理していることを意味するわけではありません。