シンガポールのプライバシーポリシー

背景

1. 開示当事者は、本データ共有契約（以下「DSA」といいます。）に定める条件に従って、シンガポールで受領した個人データを移転または共有することに同意しており、Merchant Management Solutionsとの間で契約を締結しています。
   ‍

2. 各当事者は、自己に開示された個人データを、厳格に本DSAの条件に従って利用、収集、保管、処理または開示することを意図しています。

1. 合意事項

1. 定義および解釈

本DSAにおいて、文脈上別段の定めがない限り、以下の用語は次の意味を有します。

「共有個人データ」：

開示当事者が受領当事者に開示する個人データ、または受領当事者が開示当事者に代わって処理する個人データを意味し、氏名、識別番号、位置情報、オンライン識別子、または当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的アイデンティティに固有の一つ以上の要素を含みます。

‍「PDPA」：
個人についての、真偽を問わない情報であって、以下のいずれかにより識別可能なものを意味します。

1. 当該情報のみから、または

2. 当該情報と、受領当事者が保有している、またはアクセス可能と見込まれるその他の情報から。

「個人データ侵害」：
送信、保管その他の方法で処理された共有個人データについて、偶発的または違法な破壊、紛失、改変、無権限開示、またはアクセスにつながるセキュリティ侵害を意味します。

「Processing、processes および process」：
個人データの利用を伴うあらゆる活動、またはPDPAにおいて processing、processes 若しくは process が別途定義される場合はその定義によるものを意味します。これには、自動手段によるか否かを問わず、個人データまたは個人データの集合に対して行われる収集、記録、整理、構造化、保管、修正または変更、検索、参照、利用、送信による開示、配布、その他の方法による利用可能化、整合化または結合、制限、消去、破棄などの一切の操作または一連の操作が含まれます。処理には、第三者への個人データの移転も含まれます。

2. 個人データの取扱いおよび保護

2.1 開示当事者および受領当事者は、PDPA上、開示当事者がデータ管理者／データ収集者であり、受領当事者がデータ処理者／データ媒介者であることを確認します。
‍
2.2 受領当事者は、自己の費用負担で、PDPAに基づくすべての義務を常時遵守しなければなりません。また、共有個人データが処理のために移転される可能性のある再委託先、子会社または関連会社についても、PDPA遵守に必要なすべての措置が講じられることを確実にしなければなりません。
‍
2.3 受領当事者は、開示当事者の事前の書面による同意なく、共有個人データをシンガポール国外へ移転してはなりません。開示当事者が同意した場合、受領当事者は、シンガポール国外へ移転される共有個人データがPDPAにおける基準と同等の保護を受けるよう確保することを開示当事者に対してここに約束し、また、共有個人データの提供を受ける海外の第三者からも同様の書面による確約を取得しなければなりません。

2.4 受領当事者は、すべての共有個人データの機密性を保持し、共有個人データを以下の場合にのみ処理、利用または開示します。

1. https://www.momos.com/pdpa-privacy-policy-singapore-copy に掲載されているプライバシーポリシー（以下「Privacy Policy」といいます。）に定める目的のために厳格に行う場合

2. 開示当事者の事前の書面による同意に従う場合

3. 個人から当該共有個人データの処理、利用または開示について同意を取得した目的に従う場合

4. PDPAに基づく例外または免除が適用される範囲である場合

5. 法令または裁判所命令により要求される場合。ただし、受領当事者は、自己の費用負担でこれに従う前に、実務上可能な限り速やかに開示当事者へ通知しなければなりません。

2.5 受領当事者は、自らの管理下または占有下にある共有個人データについて、その性質および機微性を考慮のうえ、合理的なセキュリティ対策（必要に応じて、物理的、管理的、手続的および情報通信技術上の措置を含みます。）を講じることにより、共有個人データへの無権限または偶発的なアクセス、収集、利用、開示、複製、修正、処分または破棄、その他これらに類するリスクを防止しなければなりません。
‍
2.6 本DSAにおいて、「合理的なセキュリティ対策」には、物理的アクセス制御、システムアクセス制御、データアクセス制御、データ送信制御、データ入力制御、データ仮名化または暗号化、データバックアップ、およびデータ分離が含まれますが、これらに限られません。
‍
2.7 受領当事者は、共有個人データへのアクセスを、知る必要がある者に限定して、権限のある担当者のみに許可します。

2.8 受領当事者は、開示当事者からの書面による要求を受けた場合、実務上可能な限り速やかに、自己が保有または管理する共有個人データへのアクセスを開示当事者に提供しなければなりません。
‍
2.9 開示当事者が受領当事者に共有個人データを提供する場合、開示当事者は、受領当事者に提供する前に、当該共有個人データが正確かつ完全であることを確保するよう合理的な努力を尽くすものとします。受領当事者は、自己の保有または管理下にある共有個人データが正確かつ完全な状態に保たれるよう、またはそのように維持されるよう、十分な措置を講じなければなりません。いずれの場合も、受領当事者は、開示当事者からの書面による要求を受けた後、実務上可能な限り速やかに、共有個人データの誤りを訂正するための措置を講じなければなりません。
‍
2.10 受領当事者は、本DSAの目的を達成するため、またはプライバシーポリシーに記載された目的のために必要な期間を超えて、共有個人データ（共有個人データを含む文書または記録を電子的か否かを問わず含みます。）を保持してはなりません。
‍
2.11 受領当事者は、開示当事者から要求があった場合、

1. すべての共有個人データを開示当事者に返還するか、または

2. 自己の保有するすべての共有個人データを削除するものとします。

そのうえで、すべての共有個人データを返還または削除した後、もはや共有個人データを一切保有していない旨を書面で開示当事者に確認しなければなりません。該当する場合、受領当事者は、本DSAの目的のために共有個人データを開示したすべての第三者に対しても、当該共有個人データを受領当事者に返還または削除するよう指示し、同様の証明を受領当事者に提出させなければなりません。

2.12 開示当事者は共有個人データの管理権限を保持し、PDPAに基づく自己の遵守義務について引き続き責任を負います。これには、自己が処理する情報についてのサイバー情報セキュリティの確保、必要な通知の提供、ならびに受領当事者に指示する共有個人データの収集、利用、開示、移転および処理の範囲と目的に関する必要な同意の取得が含まれます。

3. 侵害通知および補償

3.1 受領当事者は、個人データ侵害または第2条に定める義務のいずれかに対する違反が発生したと知った場合、またはそのおそれがあると判断する合理的な理由を有する場合、直ちに開示当事者へ通知しなければなりません。その後、受領当事者は開示当事者に対し、以下の情報を提供します。-

1. 個人データ侵害または第2条に基づく受領当事者の義務違反の性質の説明（対象となる個人データの種類、おおよその件数、および分類を含みます。）

2. 想定される結果

3. 想定される悪影響に対処または軽減するために講じた、または講じる予定の措置の説明

3.2 受領当事者は、開示当事者による当該事案の対応に関し、合理的に協力しなければなりません。これには、以下が含まれます。

1. いかなる調査への協力

2. 影響を受けた施設および運用への物理的アクセスを開示当事者に提供すること

3. 開示当事者の従業員、元従業員、その他当該事案に関与した者への聞き取りを円滑に進めること

4. PDPAに基づき必要とされる、または開示当事者が合理的に必要とする、すべての関連記録、ログ、ファイル、データ報告その他の資料を利用可能にすること

5. 個人データ侵害または違法な個人データ処理の結果生じた影響を軽減し、損害を最小化するために、合理的かつ迅速な措置を講じること

3.3 受領当事者は、法令により要求される場合を除き、開示当事者の事前の書面による同意を取得することなく、いかなる第三者にも個人データ侵害について通知してはなりません。
‍
3.4 受領当事者は、開示当事者が以下を単独で決定する権利を有することに同意します。

1. 法令または規制上の義務に従い、または開示当事者の裁量により、影響を受ける個人、監督当局、規制当局、法執行機関その他に個人データ侵害の通知を行うかどうか、ならびに当該通知の内容および送付方法

2. 影響を受ける個人に対して、いかなる種類の救済措置を提供するかどうかを含め、その内容および範囲

3.5 受領当事者は、以下に関して生じる一切の訴訟、請求、要求、損失、損害、法定制裁金、費用およびコスト（償還基準の弁護士費用を含みます。）について、開示当事者およびその役員、従業員、代理人を補償するものとします。

1. 受領当事者に起因する個人データ侵害

2. 受領当事者による第2条に基づく義務の違反

3. 受領当事者の行為、不作為または過失により、開示当事者がPDPAに違反することとなった場合

3.6 開示当事者は、以下に関して生じる一切の訴訟、請求、要求、損失、損害、法定制裁金、費用およびコスト（償還基準の弁護士費用を含みます。）について、受領当事者およびその役員、従業員、代理人を補償するものとします。

1. 開示当事者に起因する個人データ侵害

2. 開示当事者による第2条に基づく義務の違反

3. 開示当事者の行為、不作為または過失により、受領当事者がPDPAに違反することとなった場合

4. 受領当事者の従業員

4.1 受領当事者は、別紙Aに記載されたすべての従業員について、以下を確保します。

1. 共有個人データの機密性について説明を受け、共有個人データに関する秘密保持義務および利用制限に拘束されること

2. 共有個人データの取扱いに関するPDPA上の受領当事者の義務、およびそれが各自の具体的な職務にどのように適用されるかについて理解し、研修を受けていること

4.2 受領当事者は、共有個人データにアクセスするすべての従業員について、その信頼性、誠実性および信用性を確保するための合理的な措置を講じる、または講じるものとします。

5. 契約期間および終了

5.1 本DSAは、以下のいずれかの間、完全な効力を有します。

1. プライバシーポリシーが有効であること、または

2. 受領当事者がその保有または管理下に共有個人データを保持していること（以下「契約期間」といいます。）。

5.2 PDPAまたはこれに類する法令の変更により、いずれかの当事者が本DSAに基づく義務の全部または一部を履行できなくなった場合、当該処理が新しい要件に適合するまで、当事者は共有個人データの処理を停止します。変更後の法令に適合するよう共有個人データの処理を是正できない場合、各当事者は、他のすべての当事者への書面通知により本DSAを終了させることができます。

5.3 本DSAの終了または満了時、受領当事者は、本DSAに基づき自己が保有するすべての共有個人データを返還、削除または破棄しなければなりません。各当事者は、終了または満了日までに未履行のすべての義務を履行することを約束します。

6. 監査

6.1 受領当事者は少なくとも年1回、本DSAに基づく義務を履行するために使用されるすべての施設およびシステムについて、個人データ処理の実務ならびに情報技術および情報セキュリティ管理の現地監査を実施します。これには、認知された業界ベストプラクティスに基づき、認定された第三者監査会社が実施するネットワークレベルの脆弱性評価を取得することが含まれますが、これに限られません。
‍
6.2 開示当事者から書面による要求があった場合、受領当事者は、関連するすべての監査報告書を開示当事者が確認できるよう提供します。
‍
6.3 受領当事者は、監査報告書で指摘された例外事項について、指摘された例外の重大性を踏まえた合理的な期間内に、速やかに対処しなければなりません。

7. 保証

7.1 受領当事者は、以下を保証し、表明します。

1. その従業員、再委託先、代理人、その他受領当事者に代わって共有個人データにアクセスする者は、信頼でき誠実であり、個人データの取扱いおよび保護に関するPDPAその他類似法令について必要な研修を受けていること。
   ‍

2. 受領当事者およびその代理で業務を行う者は、シンガポールまたはその他関連法域におけるPDPAその他の法律、法令、規則、命令、基準およびこれに類する定めに従い、共有個人データを処理すること。
   ‍

3. 現在の技術環境および導入コストを踏まえ、共有個人データの無権限または違法な処理、ならびに共有個人データの偶発的な紛失、破壊または損傷を防止するため、適切な技術的および組織的措置を講じ、以下に見合う適切なセキュリティレベルを確保すること。
   ‍

   1. (i) 当該無権限または違法な処理、あるいは偶発的な紛失、破壊または損傷によって生じ得る損害

   2. (ii) 保護される共有個人データの性質

   3. (iii) 本DSAに基づき要求される合理的なセキュリティ対策を含む、適用されるすべての法令および情報・セキュリティ方針への適合

7.2 開示当事者は、受領当事者に移転される共有個人データが適法に収集されており、プライバシーポリシーに記載された目的のために受領当事者へ移転する権限が付与されていること、また、当該個人データが、当事者間で適用される方法および開示当事者が特に指示した目的のための受領当事者による共有個人データの想定利用に従い、PDPAに基づき受領当事者へ移転することが認められていることを保証し、表明します。

8. 第三者の権利

8.1 個人データ保護法2012に定める場合を除き、本DSAの当事者ではない個人または法人は、契約（第三者の権利）法（Cap. 53B）その他これと同等の法令、立法上の制定、指令、規則、またはその他関連法令に基づき、本DSAのいかなる条項も執行する権利を有しません。

9. 変更

9.1 本DSAの変更、修正または解除は、英語で作成された書面により、かつすべての当事者の署名がある場合を除き、いずれの当事者も拘束しません。

10. 準拠法および管轄

10.1 本DSAは、シンガポール法に準拠し、これに従って解釈されるものとします。

10.2 各当事者は、シンガポールの裁判所の専属管轄に服することに合意します。

本契約は、その冒頭に記載された日付に締結されました。