データ処理契約

1.目的および本契約の適用

1.1  お客様は、Quiz Maker の利用規約（以下「利用規約」）に基づき、Quiz Maker のオンラインのクイズ、アンケート、評価およびコースのサービス（以下「本サービス」）を利用します。人々がお客様のクイズを開き、または回答する際、Quiz Maker はお客様に代わってその個人データを取り扱います。

1.2  本データ処理契約（以下「DPA」）は、GDPR（EU一般データ保護規則）第28条が求めるその取扱いの条件を定めるとともに、その個人データを欧州経済領域外に移転するための法的根拠を提供します。

1.3  本DPAは、Quiz Maker として事業を営む My Plaza Pty Ltd（ABN 58 110 054 245）（以下「Quiz Maker」）と、Quiz Maker のアカウントを保有するお客様（以下「お客様」）との間の契約です。本DPAは利用規約の一部を構成し、Quiz Maker がデータ保護法令の対象となる顧客個人データを取り扱う場合には、署名を要することなく自動的に適用されます。お客様は、利用規約に同意することにより本DPAに同意したものとします。

1.4  署名済みの写しを必要とするお客様は、Quiz Maker のお問い合わせフォームから依頼することができます。署名済みの写しには、本DPAと同一の条件が記載されます。

1.5  矛盾がある場合は、第一にSCC（適用される場合）、次に本DPA、その次に利用規約の順に優先して適用されます。その他のすべての点においては、利用規約が引き続き適用されます。

2.定義

本DPAで使用され、本DPAで定義されていない用語（管理者、処理者、データ主体、個人データ、取扱いおよび監督機関など）は、GDPRで定められた意味を有します。加えて、以下のとおり定義します。

3.役割と範囲

3.1  お客様は顧客個人データの管理者であり、Quiz Maker はその処理者です。

3.2  Quiz Maker は、お客様自身のアカウント、ログインおよび請求に関する情報の管理者であり、それらを Quiz Maker のセキュリティおよびプライバシーポリシーに基づき取り扱います。これらの情報は顧客個人データではなく、本DPAは適用されません。

3.3  お客様は、お客様のクイズを通じて顧客個人データを収集するための法的根拠を有すること、データ主体に対して行う通知およびデータ主体から得る同意（お客様のクイズ上およびお客様がクイズを埋め込むウェブサイト上の Cookie または類似の技術に必要な同意を含みます）、ならびに Quiz Maker が書面で同意した場合を除き、特別な種類の個人データその他利用規約が禁止するデータを収集しないことについて責任を負うものとします。

4.お客様の指示に基づく取扱い

4.1  Quiz Maker は、第三国への移転に関するものを含め、お客様の文書化された指示に基づいてのみ顧客個人データを取り扱うものとします。お客様の指示とは、本DPA、利用規約、ならびにお客様による本サービスの利用および設定（たとえば、クイズの公開、質問内容の選択、結果メールまたはAI機能の有効化、回答結果のエクスポートまたは削除）をいいます。

4.2  Quiz Maker は、Quiz Maker が服する EU 法または加盟国の法律により求められる場合に限り、それ以外の方法で顧客個人データを取り扱うことができます。その場合、法律が重要な公共の利益を理由としてこれを禁止している場合を除き、Quiz Maker は取扱いの前にその法的要件をお客様に通知するものとします。

4.3  Quiz Maker は、ある指示がデータ保護法令に違反すると判断した場合、速やかにお客様に通知するものとします。

4.4  Quiz Maker は、利用規約に記載のとおり、お客様またはデータ主体を特定しない集計統計を作成する場合を除き、顧客個人データを販売したり、広告に使用したり、人工知能モデルの学習に使用したり、その他 Quiz Maker 自身の目的に使用したりしないものとします。

5.秘密保持

5.1  Quiz Maker は、顧客個人データの取扱いを許可したすべての者が適切な秘密保持義務を負うこと、およびアクセスが本サービスの提供、保護およびサポートのためにそれを必要とする従業員に限定されることを確保するものとします。

6.セキュリティ

6.1  Quiz Maker は、GDPR第32条が求めるとおり、顧客個人データを保護するために、附属書IIに記載された技術的及び組織的措置を実施し、維持するものとします。

6.2  Quiz Maker は、全体的な保護の水準が大幅に低下しないことを条件として、技術と脅威の変化に応じてそれらの措置を更新することができます。

7.再処理者

7.1  お客様は、Quiz Maker に対し、再処理者を起用するための一般的な書面による承認を与えます。附属書IIIに掲載された再処理者は承認済みです。

7.2  Quiz Maker は、再処理者の最新の一覧を本DPAの附属書IIIとしてquiz-maker.com/Data-Processing-Agreementで公開し、再処理者を追加または変更する少なくとも30日前にそれを更新するものとします。Quiz Maker は、お問い合わせフォームからその通知を依頼したお客様に対しては、その通知をメールでも送信します。

7.3  お客様は、その30日以内に、データ保護上の合理的な理由に基づき新たな再処理者に異議を述べることができ、両当事者はその異議について誠実に協議するものとします。解決できない場合、お客様は影響を受ける本サービスを終了することができ、Quiz Maker は未使用期間について前払いされた利用料を返金するものとします。

7.4  Quiz Maker は、本DPAに定めるものと同等以上の保護を与えるデータ保護義務を課す書面による契約に基づいて各再処理者を起用するものとし、各再処理者によるそれらの義務の履行について、お客様に対して引き続き全責任を負うものとします。

8.データ主体からの請求

8.1  Quiz Maker は、顧客個人データに関してデータ主体から請求を受けた場合、不当な遅滞なくその請求をお客様に伝えるものとし、お客様が別途承認しない限り、データ主体をお客様に案内する場合を除き、その請求に回答しないものとします。

8.2  本サービスにより、お客様は顧客個人データをご自身で閲覧、エクスポート、訂正および削除できます。お客様が本サービスを通じてそれを行えない場合、Quiz Maker は、お客様がデータ主体の権利行使の請求に対応できるよう、取扱いの性質を考慮して合理的な支援を提供するものとします。

9.個人データ侵害

9.1  Quiz Maker は、個人データ侵害を認識した後、不当な遅滞なく、可能な場合は48時間以内にお客様に通知するものとします。

9.2  通知には、その時点で判明している範囲で、侵害の性質、関係するデータ主体および記録の種類とおおよその数、想定される結果、ならびに講じた措置または講じる予定の措置を記載します。すべてが一度に判明しない場合、Quiz Maker は判明し次第、段階的に提供するものとします。

9.3  Quiz Maker は、侵害を封じ込め、是正するための合理的な措置を講じるとともに、お客様が監督機関およびデータ主体に通知する自らの義務を果たすために合理的に必要な情報をお客様に提供するものとします。侵害の通知は、過失または責任を認めるものではありません。

10.法令遵守の支援

10.1  Quiz Maker は、取扱いの性質および Quiz Maker が入手可能な情報を考慮して、データ保護影響評価および監督機関との事前協議を含め、GDPR第32条から第36条に基づくお客様の義務について、お客様に合理的な支援を提供するものとします。

11.データの削除および返還

11.1  お客様は、本サービスを利用している間、いつでも顧客個人データをエクスポートまたは削除することができます。

11.2  本サービスが終了した場合、お客様は少なくとも30日間、データをエクスポートすることができます。その期間の経過後、EU 法または加盟国の法律により保持が求められる場合を除き、Quiz Maker は顧客個人データを削除するものとします。

11.3  暗号化されたバックアップに保持されている複製は、通常のバックアップサイクルで上書きされ、それまでの間は本DPAに基づき保護されます。Quiz Maker は、依頼に応じて、削除が実施されたことを書面で確認するものとします。

12.情報提供と監査

12.1  Quiz Maker は、セキュリティ措置に関する書面による情報および合理的なセキュリティ質問票への回答を含め、GDPR第28条の遵守を証明するために必要な情報をお客様に提供するものとします。

12.2  監査は、Quiz Maker がその情報を提供し、それに関するお客様の合理的な書面による追加の質問に回答することにより実施されます。

12.3  Quiz Maker の施設またはシステムの立入検査は、所轄の監督機関がそれを求める場合、または顧客個人データに影響する個人データ侵害が発生した後に限り、行うことができます。立入検査は、秘密保持義務を負い、Quiz Maker の競合事業者ではない独立した監査人により、少なくとも30日前の書面による通知（または当局が求めるそれより短い通知）のうえ、通常の営業時間内に、お客様の費用負担で、顧客個人データの取扱いに限定して実施されなければなりません。立入検査には、他の顧客のデータへのアクセス、または本サービスのセキュリティを損なうおそれのある情報へのアクセスは含まれません。

12.4  本条は、SCCの第8.9条項に基づくお客様の権利の行使方法を定めるものであり、いかなる監督機関の権限も制限するものではありません。

13.国際移転

13.1  お客様は、Quiz Maker がオーストラリアに設立されていること、顧客個人データが米国のサーバーでホスティングされていること、顧客個人データが Cloudflare のグローバルネットワークを経由すること、および附属書IIIの再処理者がそこに記載された所在地で顧客個人データを取り扱うことを了承します。

13.2  お客様による Quiz Maker への顧客個人データの移転がGDPR第5章に基づく第三国への移転に該当する範囲で、SCCは参照により本DPAに組み込まれ、お客様をデータ輸出者、Quiz Maker をデータ輸入者とし、以下の選択が適用されます。

1. 第7条項（ドッキング条項）が適用されます。
2. 第9条項(a)：オプション2（一般的な書面による承認）が適用され、期間は30日間とし、通知は本DPA第7.2条に記載のとおり行われます。
3. 第11条項(a)：任意の文言は適用されません。
4. 第13条項：所轄の監督機関は、附属書IのCに特定された監督機関とします。
5. 第17条項：オプション1が適用され、準拠法はアイルランド法とします。
6. 第18条項(b)：紛争はアイルランドの裁判所により解決されます。
7. SCCの附属書I、IIおよびIIIは、本DPAの附属書I、IIおよびIIIにより補完されます。

13.3  Quiz Maker が第三国の再処理者に顧客個人データを移転する場合、Quiz Maker は、その移転が標準契約条項または十分性認定（再処理者が EU-U.S. Data Privacy Framework（EU・米国データプライバシーフレームワーク）の認証を受けている場合はそれを含みます）など、GDPR第5章に基づく適切な保護措置の対象となることを確保するものとします。

13.4  Quiz Maker は、SCCの第14条項に基づきお客様が移転を評価するのを支援するための合理的な情報を提供し、顧客個人データに関する公的機関からの要請を、SCCの第15条項に定めるとおり取り扱うものとします。

13.5  UK GDPR が適用される場合、英国の Information Commissioner（英国情報コミッショナー）が発行した International Data Transfer Addendum to the EU Commission Standard Contractual Clauses（EU標準契約条項に対する国際データ移転補遺）（バージョンB1.0）が適用され、その表1から表3は本DPAおよびその附属書の詳細により記入されたものとし、いずれの当事者もその表4が認めるとおりこれを終了することができます。Swiss Federal Act on Data Protection が適用される場合、SCCは Swiss Federal Data Protection and Information Commissioner（スイス連邦データ保護・情報コミッショナー）を所轄の監督機関として適用され、GDPRへの言及は同法への言及と読み替えるものとします。

14.責任

14.1  本DPAおよびSCCに起因または関連する各当事者の相手方に対する責任の総額は、利用規約に基づくすべての申し立てと合わせて、法律で認められる範囲で、間接的および派生的な損失の除外ならびに責任の総額の上限を含む、利用規約に定める責任の制限および除外に服するものとします。

14.2  本DPAのいかなる規定も、SCCに基づくデータ主体に対するいずれかの当事者の責任、または法律により制限もしくは除外することのできない責任を制限するものではありません。

15.期間、変更および一般条項

15.1  本DPAは、2026年8月25日、またはお客様が利用規約に同意した日のいずれか遅い日に効力を生じ、Quiz Maker が顧客個人データを取り扱う間、存続します。その性質上終了後も存続すべき条項は存続します。

15.2  本DPAは利用規約の準拠法に準拠します。ただし、SCCは第13.2条で選択された法律に準拠します。本DPAのいかなる規定も、SCCに基づくデータ主体の権利を減じるものではありません。

15.3  Quiz Maker は、利用規約がその更新を認める方法で本DPAを更新することができます。データ保護法令の変更または欧州委員会が採択する新たな標準契約条項により必要となる場合を除き、更新によって本DPAが顧客個人データに与える保護が大幅に低下することはありません。

15.4  本DPAのいずれかの規定が無効または執行不能である場合でも、残りの規定は引き続き効力を有します。

15.5  両当事者が本DPAの写しに署名する場合、電子的に、かつ複数の副本により署名することができ、その各副本が原本となります。

附属書I：取扱いの説明

A. 当事者の一覧

B. 移転の説明

C. 所轄の監督機関

お客様が欧州連合内に設立されている場合は、お客様が設立されている加盟国の監督機関（複数の拠点を有する場合はその主監督機関）。お客様が欧州連合内に設立されていないもののGDPRが適用される場合は、GDPR第27条に基づくお客様の代理人が設立されている加盟国の監督機関、または代理人の選任が求められない場合は、関係する回答者が所在する加盟国の監督機関。

附属書II：技術的及び組織的措置

附属書III：承認済みの再処理者

Stripe, Inc. は、Quiz Maker が管理者であるお客様自身の請求情報を取り扱います。Stripe, Inc. は顧客個人データを受け取らず、本DPAにおける再処理者ではありません。