データ処理契約（DPA）
本リンクデータ処理補足条項（以下「DPA」といいます）は、Almediaリンク利用規約（以下「本規約」といいます）および該当する注文書または申込書（以下「注文書」といいます）に参照により組み込まれるものとします。本DPAは、Almedia GmbH（所在地：Koppenstr. 8, 10243 Berlin, Germany、以下「管理者」または「Almedia」といいます）と、注文書にパブリッシャーとして記載された事業体（以下「処理者」または「パブリッシャー」といいます）との間で締結されます。
注文書、本規約、および本DPAは、管理者と処理者との間のデータ処理に関する合意の全体を構成します（以下「本契約」といいます）。本DPAで定義されていない大文字で始まる用語は、注文書または本規約において与えられた意味を有するものとします。
1. 定義
1.1 「適用法」とは、GDPR、英国GDPR、CCPA（該当する場合）、および本契約に基づく個人データの処理を規制するすべての法律を含む、適用されるすべてのデータ保護法およびプライバシー法を意味します。
1.2 「個人データ」とは、本契約に基づき、管理者のために処理者が処理するあらゆる個人データを意味します。個人データには、該当する場合、Freecashアカウント識別子、リンク用トークン、報酬帰属イベント、および当該リンクに関連して生成される技術的識別子など、エンドユーザーアカウントと管理者のサービスとのリンクに関連する識別子やイベントデータが含まれます。
1.3 「データ保護法」とは、EUデータ保護法、および適用される範囲において、英国GDPRや該当する場合のCCPAを含む、その他の適用国のデータ保護法またはプライバシー法を意味します。
1.4 「EUデータ保護法」とは、EU指令95/46/EC（各加盟国の国内法に置き換えられ、随時改正、置換、または取って代わられるものを含む）、およびGDPRやGDPRを施行または補完する法律を意味します。
1.5 「GDPR」とは、EU一般データ保護規則（EU 2016/679）を意味します。
1.6 「個人データ」、「処理」、「管理者”、 “処理者”、 “データ主体”、 “再処理者”、および“監督機関”は、GDPRで定義される意味を有するものとします。
1.7 “サービス”とは、本契約に記載された広告、アトリビューション、分析、不正検知、請求、最適化、および関連するパブリッシャー向けサービスを意味します。
2. 当事者の役割
2.1 Almediaは管理者として行動します。パブリッシャーは本契約に基づき処理者として行動します。
2.2 管理者は処理者に対し、(i)個人データの処理、および(ii)特に、サービスの提供のために合理的に必要であり、かつ本契約および適用法に準拠する範囲内で、あらゆる国または地域への個人データの移転を指示するものとします。
2.3 処理者は、管理者の文書化された指示に厳密に従い、サービスの遂行を目的とする場合にのみ個人データを処理するものとし、処理の目的または手段を独自に決定してはならないものとします。
2.4 管理者は、処理者が適法に個人データを処理する全期間を通じて、第2.2条に定める指示および本契約に基づく追加の文書化された指示を与える権限を正当かつ有効に有しており、今後も保持することを保証および表明します。
2.5 GDPR第28条(3)項で要求される個人データの処理の詳細は、本DPAの不可分の一部を構成する別紙1（処理の詳細）に記載されています。
2.6 両当事者は、本契約に基づき処理されるすべての個人データ（リンク統合に関連するものを含む）に関して、処理者が管理者の代理としてのみ処理者として行動し、共同管理者または独立した管理者としては行動しないことを認め、同意します。
3. 処理者の義務
3.1 処理者は、法令により別段の定めがある場合を除き、管理者の書面による指示に基づいてのみ個人データを処理するものとします。
3.2 処理者は、個人データの処理を許可された者が、強制力のある守秘義務を負うことを保証するものとします。
3.3 処理者は、GDPR第32条の要求に従い、適切な技術的および組織的対策を講じるものとします。
3.4 処理者は、本サービスの提供に必要な期間を超えて個人データを保持しないものとします。ただし、適用法令により保持が義務付けられている、もしくは許可されている場合、または法的請求の立証、行使、もしくは防御、本契約の履行、不正防止、および本サービスのセキュリティ保護のために必要な場合はこの限りではありません。その場合、処理者は処理を当該目的に限定し、適切なアクセス制御を適用するものとします。
3.5 処理者は、自らの目的のために個人データを処理してはならないものとします。特に、処理者は、管理者の書面による指示の範囲外において、ユーザープロファイル、アカウントグラフ、行動モデル、またはオーディエンスセグメントの構築、自社のデータセットやサービスの拡充、あるいは分析、収益化、または最適化のために個人データを使用してはならないものとします。処理者は、個人データに該当しない集計済みまたは匿名化された形式でのみ、データを保持および使用できるものとします。
4. 再委託先
4.1 本第4条に従い、管理者は処理者に対し、本サービスの提供に必要な範囲内、かつスケジュール2に定める処理カテゴリーの範囲内においてのみ、再委託先を利用することを許可するものとします。
4.2 処理者は、すべての再委託先が、本DPAに含まれるデータ保護義務と実質的に同等であり、かつ適用法令の下で要求されるデータ保護義務を課す書面による契約に拘束されることを保証するものとします。
4.3 処理者は、本サービスの提供に関与するすべての現在の再委託先のリスト（名称、所在地、処理目的を含む）を最新の状態に維持し、管理者の求めに応じて当該リストを提示するものとします。
4.4 処理者は、個人データに重大な影響を及ぼす処理活動について再委託先を指名または変更する場合、事前に電子メールで通知するものとします。
4.5 管理者は、合理的かつ文書化されたデータ保護上の理由がある場合に限り、新しい再委託先の指名に異議を唱えることができるものとします。処理者は、当該異議を解決するために管理者と誠実に協力するものとします。
4.6 相互に受け入れ可能な解決策が見つからない場合、管理者は書面による通知をもって、影響を受けるサービスを停止または終了することができるものとします。当該停止または終了は、再委託先に対する異議申し立てに関連する管理者の唯一かつ排他的な救済手段となります。
5. 国際移転
5.1 処理者は、リンク統合および報酬帰属のサポートに必要な移転を含め、法的に許可され、かつ適切な保護措置が講じられている場合に限り、EEA/英国外へ個人データを移転できるものとします。
5.2 承認された保護措置には、EU標準契約条項（SCC）、英国補足条項/IDTA、またはその後継となる仕組みが含まれるものとします。
5.3 処理者は、移転先となる再委託先が適切な保護措置を講じていることを保証するものとします。
6. データ主体の権利
6.1 管理者は、データ主体からの請求に対応する責任を負うものとします。
6.2 処理者は、データ主体からの請求への対応において、管理者に合理的な支援を提供するものとします。
6.3 処理者は、法令により義務付けられている場合、または管理者から指示を受けた場合を除き、データ主体に対して直接回答してはならないものとします。
7. 個人データの漏洩
7.1 処理者は、個人データに影響を及ぼす個人データの漏洩を認識した後、不当な遅滞なく管理者に通知するものとします。
7.2 処理者は、管理者が通知義務を果たすために合理的に利用可能な情報を提供するものとします。
7.3 処理者は、是正措置に関して管理者と協力するものとします。
8. データ保護影響評価および監査
8.1 処理者は、データ保護法により義務付けられている範囲において、DPIA（データ保護影響評価）および監督当局との協議に対し、合理的な支援を提供するものとします。
8.2 管理者は、以下の条件に従うことを前提として、独立した信頼できる監査人による監査または検査を実施することができます。(a) 30日前までの書面による通知、(b) 法律で義務付けられている場合または確認されたインシデントが発生した場合を除き、12か月間に1回まで、(c) 関連するすべての費用は管理者が負担すること、(d) 業務に不当な支障をきたさないよう、通常の営業時間内に実施すること。
8.3 処理者は、コンプライアンスを証明するのに十分な第三者認証または監査報告書を提供することにより、監査義務を履行することができるものとします。
9. データの返却および削除
9.1 第9.2条に従い、処理者は、個人データの処理を伴うサービスが終了した日から60日以内に、管理者の文書化された指示に従い、すべての個人データのコピーを削除、仮名化、または返却するものとします。ただし、適用法により保持が義務付けられているコピーは除きます。
9.2 本契約および適用法に従い、処理者は、法律により義務付けられている、または許可されている範囲で個人データを保持することができるものとします。ただし、処理者は当該個人データの機密性を確保し、保持が義務付けられている、または許可されている目的のためにのみ処理を行うものとします。
10. 責任
本契約に定められた責任の制限および免責事項は、本DPAにも同様に適用されます。
11. 準拠法および管轄裁判所
本DPAは、本契約に定められた準拠法および管轄裁判所の規定に従うものとします。
12. 優先順位
12.1 本DPAと本契約の他の部分との間に矛盾がある場合、個人データの処理またはデータ保護法への準拠に関する限り、本DPAが優先するものとします。
12.2 第12.1条に従い、注文書に明示されている場合、注文書は利用規約および本DPAに優先するものとします。
別紙1：処理の詳細
対象事項： アトリビューション、分析、不正検知、請求の検証、広告キャンペーンの最適化、ならびにリンク統合に関連するアカウント連携および報酬のアトリビューション。
保持期間： 本契約の有効期間中、および法令で定められた保持期間。
処理の性質： 管理者の個人データの受領、収集、構造化、照合、分析、仮名化、転送、保存、および削除。
処理の目的：
- MMPを通じたアトリビューションおよび照合
- クリック、インプレッション、インストール、およびイベントの測定
- 不正の検知および軽減
- 決済および請求の検証
- キャンペーンの最適化およびレポーティング
- テクニカルサポート
- パブリッシャーのプロパティと管理者のサービス間におけるエンドユーザーアカウントの連携
- 報酬対象となるゲーム内エンゲージメントの検証およびアトリビューション
- 重複、不正、または操作された報酬請求の防止
データ主体：
- 広告素材を閲覧・操作するエンドユーザー
- プラットフォームにアクセス権を持つ広告主の担当者
個人データのカテゴリ：
- エンドユーザーデータ（アプリ/ウェブ）：広告識別子（IDFA/GAID）、IPアドレス、ユーザーエージェント、OSバージョン、デバイスモデル、インストール日時、クリック日時、大まかな位置情報、インストール後のイベント、不正分析シグナル、Freecashアカウント識別子または仮名化された連携トークン、アカウント連携日時およびステータスフラグ、報酬対象資格およびアトリビューションイベント。
- 広告主の担当者データ：氏名、メールアドレス、ログイン履歴。
機密情報および特別なカテゴリーの個人データ： 広告主は、データ保護法で定義される機密情報または特別なカテゴリーの個人データを、処理者に送信してはならない。
別紙2：再委託先
処理者は、以下の処理カテゴリーの範囲内において、かつ本サービスの提供に必要な場合に限り、再委託先を利用することができる。
- クラウドホスティングおよびインフラストラクチャプロバイダー（サーバー、ストレージ、コンテンツ配信、および関連するインフラストラクチャサービスを含む）
- データ分析、アトリビューション、および測定サポートツール（アトリビューションシグナルの受信、処理、または検証に使用される技術ツールを含む）
- 不正検知およびトラフィック品質ベンダー（デバイス、行動、または技術的なシグナルを分析して不正を防止するシステムを含む）
- セキュリティ、ログ記録、および監視プロバイダー（アクセス制御、異常検知、インシデント監視、および脅威防止のためのツールを含む）
- カスタマーサポートおよびコミュニケーションサービス（管理者の担当者とのやり取りに使用されるチケット管理、メール、およびコミュニケーションプラットフォームを含む）
- バックアップ、冗長化、および事業継続プロバイダー
- 内部開発、監査、および運用ツール。ただし、本サービスの提供に必要な処理者の内部業務をサポートする目的に限定し、独立した製品開発やデータ活用を目的としないものとする。
処理者は、すべての現在の再委託先について、その名称、所在地、および処理目的を含む最新のリストを保持し、これを管理者に通知するものとする。
このリストは、本DPAの第4条に従って継続的に更新される。