シンガポールプライバシーポリシー

背景

1. 開示者は、このデータ共有契約（「DSA」）に記載された条件に基づいて、シンガポールで受け取った個人データを転送または共有することに同意し、マーチャントマネジメントソリューションと契約を締結しました。
   ‍

2. 各当事者は、DSAの条件に厳密に従って、開示された個人データを使用、収集、保存、処理、または開示することを目的としています。

1. 合意された条件

1. 定義と解釈

このDSAにおいて、文脈が異ならない限り、以下に定める用語は、以下に付与された意味を持つものとします：

「共有された個人データ」：

開示当事者が受領当事者に開示する個人データ、または受領当事者が開示当事者の代理として処理する個人データを指し、これには、名前、識別番号、位置データ、オンライン識別子、またはその自然人に特有の身体的、生理的、遺伝子的、精神的、経済的、文化的または社会的アイデンティティに関する1つまたは複数の要素が含まれます。

‍「PDPA」：
個人を特定できるかどうかにかかわらず、その個人に関するデータを指します：

1. そのデータのみから特定される場合；または

2. そのデータと受領当事者がアクセスできるまたはアクセスする可能性のある他の情報から特定される場合。

「個人データ侵害」：
共有された個人データの偶発的または不法な破壊、喪失、変更、無許可の開示、またはアクセスを引き起こすセキュリティの侵害を指します。

「処理、プロセスおよびプロセス」：
個人データの使用に関与する活動またはPDPAがその他定義する処理、プロセスを指します。これには、個人データまたは一連の個人データに対して実行される操作または操作のセットが含まれ、これには自動手段によるかどうかにかかわらず、収集、記録、組織化、構造化、保存、適応または変更、取得、照会、使用、送信による開示、普及またはその他の方法での提供、整合、結合、制限、抹消または破壊が含まれます。処理には、個人データを第三者に転送することも含まれます。

2. 個人データの取り扱いと保護

2.1 開示当事者と受領当事者は、PDPAの目的において、開示当事者がデータコントローラ/データ収集者であり、受領当事者がデータプロセッサ/データ仲介者であることを認識します。
‍
2.2 受領当事者は、常にPDPAに基づくすべての義務を自身の費用で遵守し、また、共有された個人データが処理のために転送される可能性のあるすべての下請け業者、子会社または関連会社によってもPDPA遵守のための必要な措置が講じられることを保証しなければなりません。
‍
2.3 受領当事者は、開示当事者の事前の書面による同意なしに、共有された個人データをシンガポール以外の場所に転送してはなりません。もし開示当事者が同意を提供した場合、受領当事者は、シンガポールから転送される共有された個人データがPDPAの下での基準に準じて保護されることを保証し、受領当事者は、共有された個人データを受け取る海外の第三者からも同様の書面による約束を取得しなければなりません。

2.4 受領当事者は、すべての共有された個人データの機密性を維持し、以下の目的でのみ、共有された個人データを処理、使用または開示することができます：

1. プライバシーポリシーに記載された目的のために厳密に；（「プライバシーポリシー」）;

2. 開示当事者の事前の書面による同意に従って;

3. 個人から取得した共有された個人データを処理、使用、または開示するための同意が得られた目的に従って;

4. PDPAの下での例外または免除が適用される限り; または

5. 法律または裁判所の命令により要求される場合。ただし、受領当事者は、その要求に従う前に、可能な限り早く開示当事者に通知しなければなりません。

2.5 受領当事者は、受領当事者が管理または保有する共有された個人データを、その性質と敏感性を考慮した上で保護し、不正アクセス、収集、使用、開示、複製、変更、廃棄または破壊、またはその他の類似したリスクを防ぐために合理的なセキュリティ対策（必要に応じて物理的、管理的、手続き的および情報・通信技術的措置を含む）を講じるものとします。
‍
2.6 このDSAの目的のために、「合理的なセキュリティ対策」には、物理的アクセス制御、システムアクセス制御、データアクセス制御、データ送信制御、データ入力制御、データの擬似化または暗号化、データバックアップおよびデータ区分が含まれるが、これに限りません。
‍
2.7 受領当事者は、必要に応じて、認可された担当者にのみ共有された個人データへのアクセスを許可します。

2.8 受領当事者は、開示当事者の書面による要求があった場合、受領当事者が管理または保有している共有された個人データへのアクセスを可能な限り速やかに開示当事者に提供しなければなりません。
‍
2.9 開示当事者が受領当事者に共有された個人データを提供する場合、開示当事者は、共有された個人データを受領当事者に提供する前に、その共有された個人データが正確かつ完全であることを確保するために合理的な努力を行うものとします。受領当事者は、その管理または保有する共有された個人データが常に正確かつ完全である形で保持されるまたはそれに準じるようにするために適切な措置を講じなければなりません。いかなる場合でも、受領当事者は、開示当事者の書面による要求があった際には、速やかに共有された個人データの誤りを訂正する手続きを講じなければなりません。
‍
2.10 受領当事者は、共有された個人データ（または共有された個人データを含む文書または記録、電子的またはそれ以外のもの）を、このDSAの目的のために必要以上に保持してはなりません。
‍
2.11 受領当事者は、開示当事者の要求があった場合：

1. 開示当事者にすべての共有された個人データを返却するか;

2. 自らの保有するすべての共有された個人データを削除するか、

そして、すべての共有された個人データを返却または削除した後に、開示当事者に対し、もはや共有された個人データを保有しないことを確認する書面を提供しなければなりません。該当する場合、受領当事者は、DSAの目的のために共有された個人データを開示したすべての第三者に対して、受領当事者に対してその共有された個人データを返却または削除し、その旨を受領当事者に証明するよう指示しなければなりません。

2.12 開示当事者は、共有された個人データの管理を保持し、PDPAに基づく自身のコンプライアンス義務に対して責任を持ち、処理する情報に対するサイバー情報セキュリティを確保し、必要な通知を提供し、個人データの収集、使用、開示、転送や処理に関する範囲と目的に関する同意を得る責任を持ちます。

3. 侵害の通知と indemnity =

3.1 受領当事者は、受領当事者が個人データ侵害または条項2のいずれかの義務の違反に気づいた場合、直ちに開示当事者に通知しなければなりません。受領当事者は、次の情報を開示当事者に提供します： -

1. 個人データ侵害の性質に関する説明または受領当事者の義務の違反を含むか、関係する個人データの種類、概数、カテゴリ;

2. 考えられる結果; および

3. 可能な悪影響を軽減するために取った、または取られる予定の措置の説明。

3.2 受領当事者は、開示当事者が問題を処理する際に合理的に協力しなければなりません。これには、次のことが含まれます：

1. 調査への支援;

2. 影響を受けたすべての施設や作業への物理的アクセスを開示当事者に提供する;

3. 開示当事者の従業員、元従業員、およびこの件に関与する他の者とのインタビューを容易にする;

4. PDPAまたは開示当事者が合理的に要求する他の資料に基づいて必要なすべての記録、ログ、ファイル、データ報告、その他の資料を利用可能にする; および

5. 個人データ侵害または個人データの不法な処理から生じる影響を軽減し、損害を最小限に抑えるための合理的かつ迅速な措置を講じる。

3.3 受領当事者は、法律によって要求されない限り、第三者に個人データ侵害について通知してはなりません。
‍
3.4 受領当事者は、開示当事者が以下を決定する唯一の権利を有することに同意します：

1. 法律または規制の要求により影響を受ける個人、監督機関、規制当局、法執行機関への個人データ侵害の通知を提供するかどうか、および通知の内容と配信方法;

2. 影響を受ける個人に対してどのような種類の救済措置を提供するか、その性質や範囲を含む。

3.5 受領当事者は、開示当事者、その役員、従業員、および代理人に対して、すべての行動、請求、要求、損失、損害、法定罰、費用およびコスト（補償ベースでの法的費用を含む）に対して補償します：

1. 受領当事者によって引き起こされた個人データ侵害;

2. 受領当事者が条項2のいずれかの義務を違反した場合; または

3. 受領当事者の行為、怠慢または過失が原因で開示当事者がPDPAに違反する結果になった場合。

3.6 開示当事者は、受領当事者およびその役員、従業員、および代理人に対して、すべての行動、請求、要求、損失、損害、法定罰、費用およびコスト（補償ベースでの法的費用を含む）について補償します：

1. 開示当事者によって引き起こされた個人データ侵害;

2. 開示当事者が条項2のいずれかの義務を違反した場合; または

3. 開示当事者の行為、怠慢または過失が原因で受領当事者がPDPAに違反する結果になった場合。

4. 受領当事者の従業員

4.1 受領当事者は、附則Aに記載されたすべての従業員が：

1. 共有された個人データの機密性について知らされ、共有された個人データに関する機密保持義務と使用制限に拘束されていること;

2. 共有された個人データの取り扱いに関連する受領当事者の義務についてのトレーニングを受け、その適用範囲を理解していることを認識し、訓練を受けていること;

4.2 受領当事者は、共有された個人データにアクセスを持つすべての従業員の信頼性、整合性および信頼性を確保するために合理的な手段を講じることを約束します。

5. 期間および終了

5.1 このDSAは、以下のいずれかが満たされている限り、完全な効力を持ちます：

1. プライバシーポリシーが有効である場合; または

2. 受領当事者が保持する共有された個人データを保有または管理している場合（「期間」）。

5.2 PDPAまたは類似の法律の変更により、当事者がこのDSAに基づくすべてまたは一部の義務を果たすことができなくなる場合、当事者は新たな要件に準拠するまで共有された個人データの処理を一時停止します。当事者が共有された個人データの処理を変更された法律に準拠させることができない場合、すべての当事者に書面で通知し、DSAを終了することができます。

5.3 このDSAの終了または満了時に、受領当事者は、このDSAに従って管理するすべての共有された個人データを返却、削除または破壊しなければなりません。当事者は、終了または満了の日まで未履行の義務を履行することを約束します。

6. 監査

6.1 年に少なくとも1回、受領当事者は、その個人データ処理慣行、情報技術および情報セキュリティ制御に関する現場監査を実施し、すべての施設およびシステムのDSAに基づく義務の遵守に使用されるものとして、認識された第三者監査会社によるネットワークレベルの脆弱性評価を取得します。
‍
6.2 開示当事者の書面による要求があった場合、受領当事者は、すべての関連する監査報告を開示当事者に利用可能にします。
‍
6.3 受領当事者は、監査報告で指摘された例外を、例外の重大性に応じた合理的な時間内に是正しなければなりません。

7. 保証

7.1 受領当事者は、次のことを保証し表明します：

1. その従業員、下請け業者、代理人、及びその代表として共有された個人データにアクセスする他の者は信頼でき、信用でき、個人データの取扱いに関するPDPAまたはその他の類似の法律について必要な訓練を受けています;
   ‍

2. その者及びその者の代表として活動する者は、PDPAおよびシンガポールまたはその他の関連する管轄区域における要求される法律、令状、規制、基準、及び他の類似の法令の下での共有された個人データを処理することに従い、かつ、全ての法律で求められる通りに共有された個人データを処理します;
   ‍

3. 現在の技術環境および実装コストを考慮し、共有された個人データの無許可または不法な処理、偶発的な損失、破壊または損害を防ぐために適切な技術的および組織的措置を講じ、次の要素に適したセキュリティレベルを確保します:
   ‍

   1. (i) そのような無許可または不法な処理、または偶発的な損失、破壊または損害から生じうる危害の程度;

   2. (ii) 保護される共有された個人データの性質; および

   3. (iii) すべての適用される法律およびその情報およびセキュリティポリシーを遵守し、このDSAの下で要求される合理的なセキュリティ対策。

7.2 開示当事者は、受領当事者に移転された任意の共有された個人データが、法的に収集され、受領当事者に転送されることが許可され、プライバシーポリシーに記載された目的のために転送されることを保証し、その個人データは、当事者が適用する方法で受領当事者に転送されることが許可され、受領当事者による共有された個人データの期待する使用が、開示当事者によって具体的に指示された目的に従いPDPAを遵守することを保証します。

8. 第三者の権利

8.1 2012年の個人情報保護法に基づく規定がある場合を除き、このDSAの当事者でない人または法人は、契約（第三者の権利）法（第53B章）または、任意の同等の法律、立法行為、指令、規制、または他の関連法の下で、このDSAのいかなる条項も強制する権利を持ちません。

9. 変更

9.1 このDSAの変更、修正、または撤回はいかなる当事者も拘束せず、英語で書面によるものであり、すべての当事者が署名したものでなければなりません。

10. 準拠法および裁判管轄

10.1 このDSAはシンガポールの法律に従い、解釈されます。

10.2 当事者は、シンガポールの裁判所の排他的な管轄に服することに同意します。

この契約は、最初に記載された日付に基づいて締結されました。