データ処理補遺

最終更新日：2025年9月11日

本データ処理補遺は、その別紙を含め（総称して「DPA」）、Taniumとその顧客およびパートナーとの間でTaniumサービスの提供に関して締結される各契約（「契約」）に組み込まれます。 本DPAにおいて特に定義されない限り、本DPAで使用される大文字の用語は、契約に定められた意味を持つものとします。

1. 定義。

a)「CCPA」とは、カリフォルニア州消費者プライバシー法（Cal.）を意味します。 Civ. Code § 1798.100 et seq.、カリフォルニア州プライバシー権法およびその施行規則により改正されたもの。

b) "顧客個人データ"とは、Taniumがデータ処理者としてTaniumサービスの提供過程において、および顧客によるTaniumサービスの利用を通じて処理する個人データを意味します。

c) "顧客"とは、本契約の当事者である顧客またはパートナーを意味します。

d) "データ保護法"とは、欧州データ保護法およびCCPAを含む（適用される場合）、本契約に基づく個人データの処理に適用されるすべてのデータ保護およびプライバシー法を意味します。

e) "データ管理者"とは、個人データの処理の目的および手段を決定する事業者を意味します。

f) "データ処理者"とは、データ管理者に代わって個人データを処理する事業者を意味し、CCPAで定義される「サービスプロバイダー」を含みます（適用される場合）。

g) "欧州データ保護法"とは：(i) 個人データの処理に関する自然人の保護及び当該データの自由な移動に関する欧州議会及び理事会の規則2016/679（一般データ保護規則）（"EU GDPR"）；(ii) EU eプライバシー指令（指令2002/58/EC）；(iii) 英国の欧州連合（離脱）法2018第3条の規定により英国法に組み込まれたEU GDPR（"UK GDPR"）；(iv) 19 June 1992年のスイス連邦データ保護法（"スイスデータ保護法"）；及び(v) (i)から(iv)のいずれかに基づき、従い、又は関連して適用されるすべての適用国内データ保護法；いずれの場合も随時改正又は更新されることがある。

h) "個人データ"とは、識別された又は識別可能な自然人に関するあらゆる情報を意味する。

i) "処理"とは、自動的手段によるか否かを問わず、個人データ又は個人データのセットに対して行われる、収集、記録、整理、構造化、保存、適応若しくは変更、検索、参照、使用、送信による開示、普及若しくはその他の方法による利用可能化、整合若しくは結合、制限、消去又は破壊などの、あらゆる操作又は一連の操作を意味し、"Process"、"Processes"及び"Processed"もそれに応じて解釈される。

j) "制限付き移転"とは：(i) EU GDPRが適用される場合、欧州経済領域から欧州委員会による十分性認定の対象外の国への個人データの移転；(ii) UK GDPRが適用される場合、英国から英国データ保護法2018第17A条に基づく十分性規制に基づかない他の国への個人データの移転；および(iii) スイスデータ保護法が適用される場合、スイスから連邦データ保護・情報コミッショナーまたはその他の権限あるスイス当局によって適切なデータ保護を提供すると認定されていない他の国への個人データの移転を意味します。

k) "セキュリティインシデント"とは、顧客個人データの偶発的または不法な破壊、損失、改ざん、不正開示、またはアクセスにつながるセキュリティ侵害を意味します。

l) "標準契約条項"とは、欧州議会および理事会の規則(EU)2016/679に基づく第三国への個人データ移転のための標準契約条項に関する欧州委員会の実施決定2021/914（4 June 2021付）に附属するモジュール2（管理者から処理者）の契約条項であり、本DPAの第6.1条に規定された形式のものを意味します。

m) "サブプロセッサー"とは、契約に基づくTaniumサービスの提供に関するTaniumの義務の履行を支援するためにTaniumが委託するデータ処理者を意味します。 サブプロセッサーには、第三者またはTaniumの関連会社が含まれる場合があります。

n) "Tanium"とは、契約の当事者であるTaniumエンティティを意味します。

o) "Tanium サービス"とは、Taniumホステッドサービスとして提供されるソフトウェア、およびTaniumソフトウェア製品のサポートサービスを意味します。

p) "UK補遺"とは、2022年3月21日に英国情報コミッショナーオフィスが発行したEU委員会標準契約条項への国際データ移転補遺（バージョンB1.0）を意味します。

2. 本DPAの範囲。 本DPAは、TaniumがCustomer個人データを処理する範囲においてのみ適用されます。

3. 当事者の関係。 TaniumとCustomerの間において、CustomerはCustomer個人データのデータ管理者です。 Taniumは、本DPAおよび本契約に記載された目的のためにのみ、かつCustomerの文書化された適法な指示に従ってのみ、Customer個人データを処理します。 両当事者は、本DPAおよび本契約がCustomer個人データの処理に関するTaniumへのCustomerの完全かつ最終的な指示を定めるものであり、これらの指示の範囲外の処理にはCustomerの事前書面による同意が必要であることに合意します。

4. 個人データのCustomerによる処理。 Customerは、(i) 個人データの処理およびTaniumへの処理指示に関して、データ保護法に基づく義務を遵守すること、および (ii) TaniumがCustomer個人データを処理し、本契約および本DPAに基づいてTaniumサービスを提供するために必要なすべての同意および権利をデータ保護法に基づいて通知し取得した（または取得する）ことに同意します。

5. 処理の詳細。顧客個人データの処理の詳細は、本DPAの別紙1に記載されています。

6. データ移転.

6.1。 顧客個人データの移転が欧州経済領域から行われる制限付き移転である場合、標準契約条項は本DPAに組み込まれ、以下のとおり移転に適用されます：

a) 条項7（ドッキング条項）– 適用されません。

b) 条項9（サブプロセッサーの使用）– オプション2（一般的な書面による承認）が適用され、期間は本DPAのセクション9に規定されるとおりとします。

c) 条項11（救済）– 任意の文言は適用されません。

d) 条項17（準拠法）– オプション1が適用され、準拠法は以下のとおりとします：(a) 契約がEU加盟国の法律に準拠する場合は、契約に指定された国の法律；または (b) 契約が非EU加盟国の法律に準拠する場合は、オランダの法律。

e) 条項18（裁判地および管轄の選択）– 適用される裁判地および管轄の選択は以下のとおりとします：(a) 契約がEU加盟国の法律に準拠する場合は、契約に指定された国の裁判所；または (b) 契約が非EU加盟国の法律に準拠する場合は、オランダの裁判所。

f) 標準契約条項の附属書IおよびIIの詳細は、本DPAの別紙1に記載されています。

6.2。 顧客個人データの移転が英国から行われる制限付き移転である場合、UK補遺は本DPAに組み込まれ、移転に適用されます。 UK補遺の表1、2、および3は、上記セクション6.1およびこのDPAの別紙1の情報で補完され、UK補遺のパート1の表4は「インポーター」を選択することで補完されます。

6.3。 顧客個人データの移転がスイスから行われる制限付き移転である場合、標準契約条項はこのDPAに組み込まれ、上記セクション6.1で修正されたとおりに移転に適用されますが、以下の点を除きます：

a)「規則（EU）2016/679”」への言及は、スイスデータ保護法への言及として解釈されます。

b)「規則（EU）2016/679”」の特定の条項への言及は、スイスデータ保護法の同等の条項またはセクションに置き換えられます。

c)「連合」および「加盟国」は「スイス」に置き換えられます。

d)「管轄監督機関」および「管轄裁判所」への言及は、「スイス連邦データ保護情報コミッショナー」および「スイスの適用裁判所」に置き換えられます。

e) 条項13(a)および附属書IのパートCは使用されず、「管轄監督機関」はスイス連邦データ保護情報コミッショナーとなります。

f) 条項17において、標準契約条項はスイスの法律に準拠します。

g) 条項18において、紛争はスイスの管轄裁判所で解決されます。

6.4。 標準契約条項が適用される場合：

a) お客様は、本DPAの第14条に規定される標準契約条項に基づく監査権を行使するものとします。

b) サブプロセッサーへの制限付き移転を開始する前に、Taniumは標準契約条項モジュール3（プロセッサー間）を含む契約をサブプロセッサーと締結するものとします。あるいは、Taniumは、サブプロセッサーの処理に関して、EU GDPR および/またはUK GDPR（該当する場合）の第46条または第47条に基づく適切な保護措置をサブプロセッサーが講じることを確認するものとします。

c) 本DPAと標準契約条項の間に矛盾が生じた場合、標準契約条項が優先されるものとします。

7. 処理の機密性. Taniumは、お客様の個人データを処理する権限を与えられた者が、本契約に基づくTaniumの機密保持義務に従ってお客様の個人データを保護することを確保するものとします。

8. セキュリティ.

8.1。 Taniumの責任. Taniumは、お客様の個人データをセキュリティインシデントから保護するために、https://help.tanium.com/bundle/ug_cloud_cloud/page/cloud/trust_compliance.htmlに記載のセキュリティ対策に記述されているとおり、リスクに応じた適切なレベルのセキュリティを確保するための適切な技術的および組織的措置を実施するものとします。 Taniumはセキュリティ対策を随時見直し、更新することができますが、かかる更新によってお客様の個人データの全体的なプライバシーまたはセキュリティが実質的に低下しないものとします。

8.2。 お客様の責任. 上記にかかわらず、お客様は、本DPAに定める場合を除き、アカウント認証情報の保護、Taniumサービスとの間で転送中のお客様の個人データのセキュリティ保護、およびTaniumサービスに関連して提供されるお客様の個人データを安全に暗号化またはバックアップするための適切な措置を講じることを含め、Taniumサービスの安全な使用についてお客様が責任を負うことに同意するものとします。

9。 サブプロセッサー。 お客様は、Taniumが第三者のサブプロセッサーを起用してお客様の個人データを処理することについて、以下の条件を前提として一般的な承認を提供します：(i) Taniumは、https://www.tanium.com/subprocessorsにてサブプロセッサーの最新リストを維持すること（「サブプロセッサーリスト」）；(ii) Taniumは、任命するサブプロセッサーに対して、適用されるデータ保護法が要求する基準でお客様の個人データを保護することを義務付けるデータ保護条件を課すこと；および (iii) Taniumは、サブプロセッサーの行為、過誤または不作為によって引き起こされる本契約の違反について引き続き責任を負うこと。 サブプロセッサーリストには、新しいサブプロセッサーに関する通知を購読するための仕組みが含まれており、お客様が購読した場合、Taniumは新しいサブプロセッサーがお客様の個人データの処理を開始する前に、当該リストを更新することにより、提案された新しいサブプロセッサーについてお客様に事前通知を行います。 お客様は、サブプロセッサーリストの「最終更新日」に示される通知が提供されてから十（10）日以内に、Taniumによるサブプロセッサーの任命または交代に異議を申し立てることができます。ただし、当該異議がお客様の個人データの保護に関する合理的な根拠に基づいており、本契約に定める方法でTaniumに書面にて通知される場合に限ります。 そのような状況において、Taniumは当該サブプロセッサーを任命しないか、またはお客様の個人データを処理させないものとします。 そのような措置が不可能な場合、お客様は三十（30）日前の書面による通知をもって本契約を停止または解除することができます。 かかる解除は、デフォルトによらない解除とみなされ、解除が効力を生じる日までに本契約に基づいて支払うべき料金を支払うお客様の義務を損なうものではありません。 いずれの当事者も、かかる解除の後、相手方に対してそれ以上の責任を負わないものとします。

10。 協力およびデータ主体の権利。 Taniumのサービスは、お客様の個人データの取得、修正、削除または制限のためにお客様が使用できるコントロールをお客様に提供します。 お客様は、データ主体または適用されるデータ保護当局からの要請への対応に関する義務を含む、適用されるデータ保護法に基づく義務の履行を支援するために、これらのコントロールを使用することができます。 お客様がTaniumサービス内の関連するお客様の個人データに独自にアクセスできない範囲において、Taniumは、お客様が以下に対応できるよう、商業的に合理的かつ適時の支援を提供します：(i) 適用されるデータ保護法に基づくデータ主体の権利（アクセス、訂正、異議申し立て、消去およびデータポータビリティの権利を含む（該当する場合））を行使するためのデータ主体からの要請、および (ii) お客様の個人データの処理に関連してデータ主体、規制当局またはその他の第三者から受領したその他の通信、問い合わせまたは苦情。 かかる要請、通信、問い合わせまたは苦情がTaniumに直接なされた場合、Taniumはその詳細をすべて提供した上で、速やかにお客様に通知します。

11。 データ保護影響評価。 Taniumが欧州データ保護法に基づき要求される範囲において、Taniumは、お客様が欧州データ保護法により要求されるデータ保護影響評価または監督機関への事前相談を実施できるよう、Taniumサービスに関する商業的に合理的な範囲で要請された情報（当該情報はTaniumの機密情報とする）を提供します。

12。 セキュリティインシデント。 Taniumがセキュリティインシデントを認識した場合、Taniumは不当な遅延なく電子メールにてお客様に通知し、お客様が適用されるデータ保護法に基づき、かつ当該法律が要求する期間に従って、データ侵害の報告義務を果たすことができるよう、合理的な情報と協力を提供します。 Taniumはさらに、セキュリティインシデントの影響を是正または軽減するために合理的に必要な措置および対応を講じ、可能な限りセキュリティインシデントに関連するすべての重要な進展についてお客様に随時報告します。

13。 データの削除または返還。 契約の終了または満了時に、Taniumはお客様の選択に従い、データ処理者としてTaniumが処理するお客様の個人データのうち、Taniumが保有または管理するすべてのデータを削除またはお客様に返還します。 お客様が契約の終了または満了後三十（30）日以内にTaniumに選択を通知しない場合、Taniumはそのようなお客様の個人データをすべて自動的に削除します。 Taniumがバックアップシステムにお客様の個人データをアーカイブしている場合、Taniumはバックアップシステムが当該データを削除するまでの間、お客様の個人データをそれ以上の処理から安全に隔離して保護します。 Taniumは、法律によりお客様の個人データの保持が義務付けられている範囲において、お客様の個人データを削除しません。

14。 監査。 お客様は、Taniumが独立した第三者監査人によって適用される基準に基づき定期的に監査を受けていることを認識するものとします。 要請に応じて、管轄の監督当局が要求する場合を除き、12ヶ月の期間内に1回を超えない範囲で、かつお客様への追加費用なしに、Taniumは監査報告書の概要コピーをお客様に提供します。当該報告書は契約の機密保持条項に従うものとします。 要請に応じて、また本契約の機密保持条項に従い、顧客は、本DPAの条項に対するTaniumのコンプライアンスを確認するための情報セキュリティおよび監査アンケートへの回答を要請することができます。ただし、顧客は、権限ある監督当局が要求する場合を除き、この権利を年に1回以上行使しないものとします。 Taniumと顧客は、顧客の要請の範囲および開始日と終了日について、事前に相互に合意するものとします。

15。 その他。

15.1。 当事者間において、本DPAに起因または関連する各当事者の責任は、本契約の責任制限条項に従うものとします。 いかなる場合においても、いずれの当事者も、標準契約条項に基づくデータ主体またはデータ保護当局に対する責任を制限しないものとします。

15.2。 本DPAの主題に関して、本DPAと本契約の間に矛盾または不一致が生じた場合、本DPAが優先するものとします。

15.3。 本DPAは、適用されるデータ保護法によって別途要求される場合を除き、本契約を規律する準拠法条項に従って規律され、解釈されるものとします。

15.4。 標準契約条項が適用される場合、Tanium Inc.は標準契約条項における「データ輸入者」となります。 本DPAの当事者であるTaniumエンティティがTanium Inc.でない場合、当該TaniumエンティティはTanium Inc.に代わって「データ輸入者」の義務を履行するものとします。

15.5。 本契約における修正または変更に関する制限にかかわらず、当事者は、Taniumがデータ保護法の変更へのコンプライアンスを維持するために本DPAを定期的に更新することができることに同意します。 このような変更が生じた場合、Taniumは更新版を www.tanium.com/dpaに掲載します。 このような更新によって、顧客個人データのプライバシーまたはセキュリティが実質的に損なわれることはありません。

別紙1

附属書I

A. 当事者一覧

データ輸出者：

データ輸入者：

В. 移転の説明

C. 管轄監督機関

附属書II - データのセキュリティを確保するための技術的および組織的措置を含む技術的および組織的措置