# データ処理補遺 > GDPRに基づくデータ処理上の義務を定めた、Shoprocketのデータ処理補遺です。 最終更新日: 2026年4月26日 これは利便性のための翻訳です。法的な拘束力を持つ[英語版](https://v3.shoprocket.io/gdpr.md)が優先され、両者に相違がある場合もそちらに従います。 本Shoprocketデータ処理補遺(「本補遺」)は、お客様(「お客様」)と**Shoprocket LTD**(会社番号12656598、20-22 Wenlock Road, London, NG 17U所在のイングランド・ウェールズ登録法人)との間のShoprocket利用条件(「本契約」)を修正するものです。お客様がShoprocketと別途SLAを締結している場合、本契約とはそのSLAを指します。本補遺は本契約に従い、本契約に組み込まれます。本補遺で定義されていない大文字で始まる用語は、本契約で定める意味を持ちます。 --- ## 定義 - **アカウント設定**: Shoprocketが個人データをどのように処理するかをお客様が管理できる、Shoprocketアカウントの設定(セキュリティを含みます)。 - **業務目的**: 本契約に定めるサービス。 - **クライアントアカウントデータ**: お客様とShoprocketとの関係に関する個人データ(例: 権限を有する連絡先、請求情報)、およびShoprocketがアカウント管理、本人確認、または法的要件のために収集する情報。 - **クライアント利用データ**: お客様による本サービスの利用に関連してShoprocketが処理する利用データ(例: ログ、パフォーマンス指標、不正利用防止のためのデータ)。 - **データ保護法令**: CCPA、EU GDPR、スイス連邦データ保護法、英国GDPR、データ保護法(DPA 2018)、プライバシー電子通信規則(PECR 2003)を、それぞれ改正後のものを含めて指します。用語(例: 「データ管理者」、「データ処理者」)はEU GDPRに従います。 - **EEA**: 欧州経済領域。 - **EU SCC**: 欧州委員会決定2021/914に基づく標準契約条項。 - **EEA域外移転**: EU GDPR第45条に基づく十分性認定のないまま、(EU GDPRに基づき)個人データをEEA域外へ移転すること。 - **英国域外移転**: 英国国務大臣による十分性認定のないまま、(英国GDPRに基づき)個人データを英国域外へ移転すること。 - **サービスプロバイダー**: CCPAで定義される意味。 - **サービス**: オンラインストア(「Shoprocketストア」)の作成・管理、商品、決済、配送、マーケティングの処理のためのShoprocketのツール、およびShoprocketが提供するその他のツールまたはサービス。 - **Shoprocketアカウント**: [https://www.shoprocket.io](https://www.shoprocket.io)で、アカウント設定を含め、本サービスへのアクセスを提供するお客様のアカウント。 - **Shoprocketプライバシーポリシー**: [https://shoprocket.io/privacy](https://shoprocket.io/privacy)に掲載されている通知(更新後のものを含みます)。 - **Shoprocketストア**: Shoprocketがホスティングまたは支援する、お客様のeコマースサイト。 - **特別な種類のデータ**: EU/英国GDPR(該当する方)の第4条(13)、4条(14)、4条(15)および第9条で定義される意味。 - **標準契約条項(SCC)**: 関連する範囲でのEU SCCおよび英国SCC。 - **英国SCC**: 英国ICOのIDTA補遺により修正されたEU SCC。 - **当社**: Shoprocket LTD(「Shoprocket」および「Shoprocket.io」を含みます)。 - **お客様**: 本契約に記載された契約当事者。 --- ## お客様の指示 本補遺と本契約(お客様のアカウント設定における指示を含みます)は、Shoprocketが個人データをどのように処理するかについての**文書化された指示**となります。Shoprocketは、指示された範囲でのみ個人データを処理します。本条件の範囲外の追加の指示には、事前の書面による合意が必要です(追加料金が発生する場合があります)。 お客様の指示がデータ保護法令に違反する場合、または合意された指示から逸脱する場合、Shoprocketは本補遺および本契約を解除することができます。処理の性質上、Shoprocketはお客様の指示が法律に違反するかどうかを判断できないのが通常です。そのような見解に至った場合は、お客様に通知し、お客様は指示を変更または撤回することができます。 --- ## データ処理 1. **Shoprocketによる処理** - **データ処理者/サービスプロバイダー**: クライアントアカウントデータおよびクライアント利用データを除き、Shoprocketはお客様に代わって個人データ(EU/英国GDPR上)または個人情報(CCPA上)を処理します。 - **独立したデータ管理者**: ストアの顧客から直接収集した個人データ、ならびにクライアントアカウントデータおよびクライアント利用データについては、Shoprocketがデータ管理者となります。 2. **保管** - 個人データは次の場所に保管されます。 1. アイルランド(またはその他のEEA地域)のAWSサーバー、 2. ドイツのニュルンベルク/ファルケンシュタインにあるHetznerサーバー。 3. **範囲と目的** - Shoprocketは、お客様が指定する業務目的(購入されたサービスに沿ったもの)に必要な範囲でのみ、データ保護法令を遵守して個人データを処理します。 - 法律上、異なる方法で処理することが求められる場合、法律で禁止されていない限り、Shoprocketはお客様に通知します。 - Shoprocketは、個人データの修正、移転、削除、または許可されていない処理の停止を求めるお客様の書面による指示に、速やかに従います。 - Shoprocketは、開示が承認されている場合または法律で義務付けられている場合を除き、個人データの機密を保持します。 - Shoprocketは、お客様の遵守義務(例: データ主体からの請求、DPIA)について、追加費用なしで支援します。 - Shoprocketは、本契約または本補遺に影響する可能性のある法改正について、お客様に通知します。 4. **独立したデータ管理者としてのShoprocket** - クライアントアカウントデータおよびクライアント利用データについて、Shoprocketは共同管理者ではなく、Shoprocketプライバシーポリシーに従い、お客様との関係の管理、不正行為やセキュリティインシデントの防止、法的義務の履行などのためにそのデータを処理します。 5. **CCPA** - クライアントアカウントデータおよびクライアント利用データを除き、ShoprocketはCCPAに基づくお客様のサービスプロバイダーであり、そのような個人情報を「販売」することはなく、本サービスの提供または法律で認められたその他の目的にのみ使用します。 6. **アドオン** - お客様は、各パブリッシャーとの別個のEULAに基づき、第三者のアドオン(「アドオン」)を連携できます。Shoprocketは、必要な個人データをアドオンのパブリッシャーに移転しますが、そのパブリッシャーによる処理には責任を負いません。現在Shoprocketが提供しているアドオンには、次のものがあります。 - **Amazon、eBay、Facebook Marketplace、Google Shopping、Instagram Shopping**: マルチチャネルでの出荷対応と同期。 - **Affirm、Afterpay、Alipay、Apple Pay、Click to Pay、GrabPay、GooglePay、iDEAL、Klarna、Microsoft Pay、PayPal、P24、Sofort、Stripe、WeChat Pay**: さまざまな決済方法・通貨に対応する決済連携。 - **Zapier**: Shoprocketと他のアプリケーションとの間のデータ転送やワークフローを自動化します。 - Shoprocketとお客様の間にSCCがある場合、アドオンを連携するというお客様の指示は、SCCで求められるときに、そのアドオンのパブリッシャーへ個人データを移転することへの同意となります。 7. **お客様の責任** - お客様は、Shoprocketがお客様に代わって収集または処理する個人データについてのデータ管理者です。 - お客様は、通知および同意の要件を満たし、データ保護法令の遵守を確保する責任を負います。 --- ## 個人データの種類と処理の目的 - **対象事項**: お客様のShoprocketアカウントまたはストアを含め、お客様が本サービスにアップロードする個人データ。 - **期間**: お客様が決定します(お客様がShoprocketのサブスクリプションまたは関連する連携を停止/終了するまで)。 - **目的**: お客様の指示に基づいて本サービスを提供すること(例: お客様のShoprocketストア/アカウントの運営)。 - **処理の性質**: Shoprocketのeコマースプラットフォーム(および復処理者/アドオンのパブリッシャー)が、個人データを保管または処理する場合があります。 - **個人データの種類**: お客様がアップロードするデータ(例: 連絡先情報、顧客の詳細、取引記録)。 - **データ主体**: お客様、お客様の顧客、従業員、請負業者、代理人、サプライヤー、またはベンダー。 --- ## データ処理のセキュリティ Shoprocketは、EU/英国GDPRの**第32条**に沿って、許可されていない処理や違法な処理、偶発的な喪失・破壊から個人データを保護するための適切な技術的・組織的措置を維持します。措置には、次のものが(適宜)含まれます。 - データの仮名化/暗号化。 - システムの機密性、完全性、可用性、レジリエンスの確保。 - インシデント後にデータの可用性を適時に回復すること。 - これらの措置を定期的にテスト、評価、検証すること。 ### Shoprocketの従業員 - Shoprocketは、個人データを取り扱う従業員、請負業者、代理人が、研修を受け、守秘義務を負い、データ保護義務を十分に認識していることを確保します。 ### セキュリティ(再掲) - Shoprocketは、許可されていない処理を防ぐため、暗号化、システムのレジリエンス、復旧可能性、有効性のテストなど、技術的・組織的な保護措置を継続的に更新します。 --- ## 個人データ侵害 1. **通知** - Shoprocketは、次のいずれかを把握した場合、**72時間**以内に(かつ不当な遅滞なく)お客様に通知します。 1. 個人データの喪失または損傷。 2. 偶発的、許可されていない、または違法な処理。 3. 個人データ侵害。 2. **情報** - Shoprocketは、インシデントの説明、影響を受けたデータの種類・件数、および影響を軽減するために講じた、または提案する措置を提供します。 3. **協力** - Shoprocketは、調査についてお客様と連携し、法律で義務付けられている場合を除き、お客様の書面による同意なく第三者に通知しません。 4. **費用** - Shoprocketは、これらの義務に係る合理的な費用を負担します。ただし、インシデントがお客様の指示、過失、または違反に起因する場合は、お客様がShoprocketの合理的な費用(専門アドバイザーの費用を含みます)を負担します。 --- ## 復処理者 Shoprocketは現在、データのホスティング/処理、インフラ/ネットワークサービス、その他のサービス機能のために、次の**復処理者**を使用しています。 | **名称** | **説明** | **所在地** | | --- | --- | --- | | **200OK LLC (Profitwell)** | サブスクリプションのレポート/分析。 | 米国マサチューセッツ州 | | **Amazon Web Services EMEA SARL** | クラウドのホスティング、コンピューティング、ストレージ。 | EUルクセンブルク | | **Automattic, Inc. (Gravatar)** | ユーザーがShoprocketアカウントにプロフィール画像をアップロードできるようにします。 | 米国カリフォルニア州 | | **Cloudflare, Inc.** | ネットワークのセキュリティと接続。 | 米国カリフォルニア州 | | **Crisp IM SAS** | ユーザーサポート用のライブチャットおよび顧客メッセージングアプリ。 | EUフランス | | **Facebook Technologies Ireland** | コンバージョン、広告の最適化、オーディエンス構築のためのFacebookピクセル。 | EUアイルランド | | **Google Ireland Limited** | Google Analytics(行動分析)、Adwords(広告配信/収益化)。 | EUアイルランド | | **GmbH** | クラウドのホスティング、コンピューティング、ストレージ。 | EUドイツ | | **TPS Unlimited, Inc. (Taxjar)** | ShoprocketストアにおけるEU VATおよび米国売上税の自動化。 | 米国カリフォルニア州 | | **Twilio, Inc. (Sendgrid)** | マルチチャネルのメッセージング(メール、SMS、WhatsApp)。 | EUアイルランド | | **Twitter, Inc.** | コンバージョン追跡と広告パフォーマンス指標のためのTwitterピクセル。 | 米国カリフォルニア州 | お客様は、Shoprocketが上記の復処理者を使用することを承認し、Shoprocketが他の復処理者を追加することについて包括的に承認します(「承認された復処理者」)。Shoprocketは、新しい復処理者を使用する少なくとも**30日**前に、(ウェブサイト、メール、またはアカウント通知を通じて)通知します。お客様は、データ保護上の合理的な理由がある場合、通知から**10日**以内に書面で異議を申し立てることができます。不可欠な復処理者が関与し、**90日**以内に代替が見つからない場合、お客様は、支払うべき料金を引き続き支払うことを条件に、該当するサービスを中止または解約することができます。 10日以内に異議がない場合、新しい復処理者は承認されたものとみなされます。Shoprocketが復処理者を起用する場合、Shoprocketは次のことを行います。 - 本サービスの提供または改善に必要な範囲に限り、アクセスを制限します。 - 同じデータ保護義務を課します。 - その遵守について引き続き責任を負います。 SCCが適用される場合、お客様の承認は、第9条(c)項または英国SCCの関連条項に基づく事前の書面による同意とみなされます。Shoprocketは、復処理契約をお客様と共有する前に、重要でない商業上の詳細を黒塗りにすることがあります。 --- ## 個人データの移転 Shoprocketは、本サービスを提供するために、個人データをEEA、英国、またはスイスの域外へ移転する場合があります(例: 米国にある一部のアドオンのパブリッシャー/復処理者)。十分性認定が適用されない場合、Shoprocketはデータ保護法令に従って適切な保護措置を確保します。 - **EEA域外移転**: EU SCC(Shoprocketが管理者の場合はモジュール一、処理者の場合はモジュール二)の対象となります。一部の条項(例: 第7条のドッキング条項)は適用されません。紛争はアイルランド法および裁判所の管轄に服します。 - **英国域外移転**: IDTA補遺の対象となります。 - **スイスからの移転**: EU SCCと同様で、スイスFADPに合わせた修正があります。 - **補完的措置**: - 本補遺の日付時点で、政府機関による正式なデータアクセス請求は存在しません。 - お客様のデータの開示を強制された場合、Shoprocketは(禁止されていない限り)お客様に通知し、保護措置を求めることを支援します。 - Shoprocketとお客様は、移転先の国の法律が同等の保護を与えているか、または追加の措置を必要とするかについて、定期的に協議します。 - 移転の仕組みが有効でなくなった場合、または監督機関によって停止された場合、Shoprocketは代替の取り決めを実施するか、移転を停止することができます。 お客様がEEA域外の復処理者/アドオンを承認した場合、お客様は、Shoprocketがお客様に代わってSCCに署名することも承認したことになります。 --- ## 苦情、データ主体からの請求、第三者の権利 Shoprocketは、次のことのために必要な情報または支援を、速やかにお客様に提供します。 1. データ主体の権利(アクセス、訂正、消去、ポータビリティ、異議申立てなど)を履行すること。 2. 規制当局からの情報通知または評価通知に対応し、または遵守すること。 Shoprocketは、処理に関する苦情や連絡を受けた場合は直ちに、データ主体からの請求を受けた場合は**14日**以内に、お客様に通知します。Shoprocketは、対応を支援し、法律またはお客様の指示で求められる場合を除き、第三者に個人データを開示しません。 --- ## 期間と終了 本補遺は、本契約が有効である間、またはShoprocketが関連する個人データを保持している間、有効に存続します。データ保護のために存続すべき条項は、引き続き効力を有します。本DPAの重大な違反は、本契約の重大な違反となり、お客様はそれ以上の責任を負うことなく直ちに解約することができます。 データ保護法令の変更により、いずれかの当事者が義務を履行できなくなった場合、両当事者は、遵守が達成されるまで処理を停止することができます。**90日**以内に解決しない場合、いずれの当事者も、通知により直ちに解約することができます。 --- ## データの返却と破棄 - **ご請求があった場合**、Shoprocketは、お客様(またはお客様が書面で指名した第三者)に、お客様が指定する形式(合理的な範囲で)で個人データの写しまたはアクセスを提供します。 - **終了時**、法律上継続保管が義務付けられている場合を除き、Shoprocketは個人データを返却または削除します。削除が実行不可能または違法な場合、Shoprocketはそれ以上の処理を遮断し、データの保護を継続します。 - **SCCの証明**: SCCが適用される場合、Shoprocketは、お客様の書面による請求に基づき、EU SCC(または英国SCC)の第8.1条(d)に従って削除を証明します。 - 法令により特定のデータの保持が義務付けられている場合、Shoprocketは、その根拠と期間をお客様に通知し、不要になった時点で削除します。 - Shoprocketは、削除の完了後**30日**以内に削除を証明します。 --- ## 記録 Shoprocketは、個人データのすべての処理について、詳細で正確かつ最新の記録(例: セキュリティ措置、復処理者、処理の目的、国際移転)を保持します。これらの記録により、お客様がShoprocketの遵守状況を確認できなければなりません。写しはご請求により提供します。 --- ## 保証 Shoprocketは、次のことを保証します。 1. 個人データにアクセスできる従業員、下請業者、または代理人は、信頼でき、適切な研修を受けていること。 2. データ保護法令およびこれに関連する法令を完全に遵守して個人データを処理すること。 3. 合意されたサービスの提供を法律が妨げると信じる理由がないこと。 4. 技術と費用を考慮し、許可されていない処理や偶発的な損害/喪失を防ぐ適切な措置を講じ、リスクとデータの機微性に見合ったセキュリティを確保すること。 --- ## 締結と変更 本契約に署名することにより、お客様は本補遺に同意し、これに拘束されます。Shoprocketは、法的または規制上の理由で必要な場合、**30日前の書面による通知**をもって本補遺を更新することができます。お客様が異議を申し立て、双方が合意できる解決策に至らない場合、お客様は、その期間内に書面で通知することにより、影響を受けるサービスを解約できます(発生した料金は支払うものとします)。そのような解約から、それ以上の請求は生じません。 ## 附属書A **Shoprocketのセキュリティ基準** (ここで定義されていない大文字で始まる用語は、本補遺で割り当てられた意味を持ちます。) 本附属書は、次のことを目的とするShoprocketの技術的・組織的措置を定めるものです。 1. 偶発的または違法な喪失、アクセス、開示から個人データを保護すること。 2. 予見可能なセキュリティ上のリスクを特定し、本サービス(お客様のShoprocketアカウントを含みます)への許可されていないアクセスを防ぐこと。 3. リスク評価とテストにより、セキュリティリスクを最小限に抑えること。 Shoprocketは、これらの情報セキュリティ対策を監督し、関連する問い合わせに対応する従業員を1名以上指名します。 --- ## 1. 責任共有モデル Shoprocketは、次の事業者がホスティングする**クラウドベースのSaaS**アプリケーションです。 - eu-west-1リージョン(アイルランド)の**Amazon Web Services (AWS)** - ドイツ・ファルケンシュタインの**Hetzner Online** **AWS**は、Shoprocketのメインプラットフォーム、インフラ、データのホスティングを運用しています。**Hetzner Online**は、画像、デジタルダウンロード、ログ、請求書のための専用サーバー領域を追加で提供します。このモデルでは、次のとおりです。 - **Shoprocket**は、アプリケーションレベルのセキュリティ(例: ユーザーアクセス、アプリケーションのパッチ)を管理します。 - **AWS / Hetzner**は、物理的なセキュリティと基盤となるクラウド環境を管理します。 AWSとHetznerのセキュリティの詳細については、それぞれのドキュメントをご覧ください。 --- ## 2. AWSおよびHetzner Onlineのサーバー ### AWS Shoprocketは、英国GDPR第28条(3)(c)および第32条に基づく慎重な審査を経て、AWSを選定しました。AWSは、数多くの基準(例: SOC 1/2/3、ISO 27001/27017/27018、PCI DSS、FedRAMP、HITRUST)の認証を受けており、広範なコンプライアンス文書を提供しています。ShoprocketはAWSを、個人データをEU/EEA内にのみ保管するよう設定しています。 ### Hetzner Online DIN ISO/IEC 27001の認証を受けているHetzner Onlineは、一部のデータバックアップとログのための専用サーバー領域を提供しています。Hetzner Onlineのニュルンベルクとファルケンシュタインのデータセンターは、第三者による監査と認証を受けており、情報セキュリティマネジメントシステム(ISMS)を導入しています。 --- ## 3. Shoprocketアプリケーションの設計、完全性、可用性 - **アーキテクチャ**: JavaScriptフレームワークで構築されたShoprocketアプリケーションは、MySQL向けのAmazon Relational Database Service(Amazon RDS)を利用しています。 - **高いパフォーマンスと冗長性**: AWSがロードバランシングを自動的に処理し、ShoprocketはAmazon S3に日次バックアップを保持しています。バックアップは、耐障害性のために異なるAWSリージョンに保管されます。さらに、バックアップはHetzner Onlineの専用サーバー(RAID-1ディスクシステム)にも保管されます。 - **セキュリティ・バイ・デザイン**: Shoprocketは、既知のウェブ脆弱性(例: OWASP Top Ten)を定期的に確認し、XSS対策とサニタイズを実施しています。専門の第三者が毎年コードとインフラの脆弱性をテストし、第三者の脆弱性スキャンサービスで補完しています。 --- ## 4. 暗号化 - **保存時**: AWS/Hetzner上の個人データは、**AES-256**以上で暗号化されます。 - **鍵管理**: AWS Key Management Service(KMS)により、(AWSの従業員を含め)誰も平文の鍵にアクセスできず、鍵は毎年ローテーションされます。Hetznerは、ディスク全体のAES-256暗号化と必須の認証を実施しています。 - **転送時**: 外部へのデータ転送はすべて**TLS 1.2以上**を使用します。APIとウェブインターフェースにはHTTPSが必要です(暗号化されていない接続は不可)。 --- ## 5. サーバーの所在地をEEA/EUに限定 Shoprocketは、データを**EEA内にのみ**保管する(アイルランドのAWS、ドイツのHetzner)ことで、EEA域外へのデータ移転に伴うリスク(例: Schrems II判決への対応)を最小限に抑えています。 --- ## 6. アベイラビリティゾーン Shoprocketのフロントエンド/バックエンドのシステムは、(AWSとHetznerの両方で)複数のアベイラビリティゾーンに**冗長に分散**されています。各ゾーンには複数のISP、電源、高速回線があり、高い可用性と最適なパフォーマンスを確保しています。 --- ## 7. 侵入検知 Shoprocketは、次のものを監視するために**侵入検知システム(IDS)**を使用しています。 - ログファイルの異常なエントリ、 - ファイルの完全性の変化、 - ネットワークトラフィック(なりすまし、既知のエクスプロイト、ルートキット)、 - ポートの変更、 - AWSアカウントのイベント(例: 設定の変更)。 重大な異常は、自動的な予防措置のきっかけとなります。IDSはPCI DSS 3.0の要件もサポートしています。 --- ## 8. ログ/監査証跡 Shoprocketは、次のものを記録します。 - システムイベント、 - エラー、 - ユーザーのアクティビティ、 - データベースへのログイン/リクエスト、 - その他のセキュリティ関連イベント。 **AWS CloudTrail**を使用して、Shoprocketはクラウド環境内のすべてのイベントを、透明性とフォレンジックのために記録します。 --- ## 9. モニタリング Shoprocketは、可用性とパフォーマンスを確保するために複数の**監視ツール**を使用し、次のものを追跡しています。 - **可用性**: アプリケーションへのアクセス性、バックエンド/システムの健全性。 - **リソース**: CPU、ネットワークインターフェース、ストレージ使用量。 - **パフォーマンス**: アプリケーション/データベースの応答時間。 - **セキュリティ**: IDSのステータス、システムの更新、エラー/アクセスログ。 Shoprocketのスタッフは、セキュリティアップデート、脆弱性レポート、関連するセキュリティブログ(OWASPなど)も確認しています。 --- ## 10. セキュリティ監査とペネトレーションテスト Shoprocketは、**社内外のセキュリティテスト**を定期的に実施しています。外部のプロバイダーが脆弱性を確認し、社内監査が技術的・組織的措置の有効性を評価します。 --- ## 11. 変更管理 Shoprocketは、コード変更のためにバージョン管理された**リポジトリ**を維持し、本番環境を再現したステージング環境を用意しています。変更はデプロイ前にテストされ、時期と内容の追跡可能性が確保されます。 --- ## 12. アクセス制御 - **必要最小限の原則**: 職務上システムへのアクセスが必要な従業員のみがアクセス権を付与されます。 - **IAMシステム**: アクセス制御には、AWS/Hetznerのアイデンティティ管理を使用します。 - **セキュリティ**: バックエンドシステムには、安全で認証された接続からのみアクセスできます。診断目的でデータに直接アクセスできる担当者は非常に限られており、そのアクセスは記録および監視されます。 ## 附属書B **国境を越える移転** ## 第1部 - EEA域外移転 1. **標準契約条項(SCC)の附属書I.A** - **データ輸出者**: お客様(本契約に基づく)。 - 連絡先: 本契約に記載のとおり。 - 役割: データ管理者。 - **モジュール一**: データ輸入者はデータ管理者です(クライアントアカウントデータおよびクライアント利用データの場合)。 - **モジュール二**: データ輸入者はデータ処理者です(その他すべての個人データの場合)。 - 署名/日付: 本契約およびDPAを締結することにより、データ輸出者は、発効日をもってSCCに署名したものとみなされます。 - **データ輸入者**: Shoprocket。 - 連絡先: 本契約に記載のとおり。 - 署名/日付: 本契約およびDPAを締結することにより、データ輸入者は、発効日をもってSCCに署名したものとみなされます。 2. **SCCの附属書I.B** - データ主体: 本補遺の第4.6条に記載のとおり。 - 個人データの種類: 本補遺の第4.5条に記載のとおり。 - 特別な種類のデータの移転は予定されていません。 - 頻度: 本契約の期間中、継続的に。 - 性質: 本補遺の第4.4条を参照。 - 目的: 本補遺の第4.3条を参照。 - 保持: 別段の定めがない限り、本契約の期間。 - 復処理者への移転: 対象事項、性質、期間は本補遺の第9条に従います。 3. **SCCの附属書I.C** - 管轄の監督機関: 本補遺の第10条(e)項に記載のとおり。 - **Shoprocketのセキュリティ基準(附属書A)**は、SCCの附属書IIの要件を満たします。 4. **矛盾** - SCCとDPAまたは本契約との間に矛盾がある場合は、SCCが優先します。 --- ## 第2部 - 英国域外移転 1. **IDTA補遺**は、**2022年3月21日**から英国域外移転に適用されます。 2. 本契約またはDPAで定義されていない用語は、**附属書2の第2部**(必須条項)での意味に従います。 ### 第1部: 表 ### IDTA補遺の表1 1. **表1** - **データ輸出者**: お客様(本契約に基づく)。 - 連絡先: 本契約に記載のとおり。 - 署名/日付: 本契約および本補遺を締結することにより、輸出者は、発効日をもってIDTA補遺に署名したものとみなされます。 - **データ輸入者**: Shoprocket。 - 連絡先: 本契約に記載のとおり。 - 署名/日付: 本契約およびDPAを締結することにより、輸入者は、発効日をもってIDTA補遺に署名したものとみなされます。 ### IDTA補遺の表2 1. **表2** - **承認済みEU SCC**: 本補遺について有効な、承認済みEU SCCの条項/モジュール。 - 使用するモジュール/条項: - モジュール1およびモジュール2。第7条および第11条(オプション)は適用されません。第9条(a)項は30日の通知期間を伴う包括的承認とします(本補遺の第9.2条)。 - 輸入者の個人データと輸出者のデータを組み合わせることはありません。 ### IDTA補遺の表3 1. **附属書I.A** - **データ輸出者**: お客様(管理者)。 - **データ輸入者**: Shoprocket(クライアントアカウント/利用データについては管理者、その他の個人データについては処理者)。 - 署名/日付: 本契約およびDPAを締結した時点で署名したものとみなされます。 2. **附属書I.B** - データ主体、データの種類、特別な種類のデータがないこと、継続的な移転、処理の性質/目的、保持は、本補遺の第4.4条、4.3条、4.5条、4.6条と一致します。 - 復処理者に関する情報は、本補遺の第9条に従います。 - Shoprocketは包括的承認を使用するため、附属書III(復処理者の一覧)は適用されません。 ### IDTA補遺の表4 1. 輸入者は、本IDTA補遺の第26条に基づき、本IDTA補遺を終了することができます。 ### 第2部: 必須条項 1. 各当事者は、相手方当事者の合意と引き換えに、本IDTA補遺の条項に拘束され、データ主体は記載のとおり権利を行使できます。 2. 本IDTA補遺を締結することは、承認済みEU SCCに署名すること(附属書1A/第7条に基づき必要な署名を含みます)と同等です。 ### 解釈 1. 承認済みEU SCCの用語は、ここでも同じ意味を持ちます。関連するその他の用語(例: 「補遺EU SCC」、「承認済み補遺」、「英国データ保護法」)は、本IDTA補遺内で定義されます。 2. 本IDTA補遺は、英国データ保護法と整合するように解釈されなければならず、「適切な保護措置」を満たさなければなりません。 3. 承認済みEU SCCまたは承認済み補遺で認められていない承認済みEU SCCの修正は、無効です。矛盾する規定は、修正されていないSCCの条項に戻ります。 4. 英国データ保護法と矛盾する場合は、後者が適用されます。 5. あいまいな点は、英国データ保護法に最もよく沿うように解決されます。 6. 法令への言及には、その改訂版または統合版が含まれます。 ### 優先順位 1. 承認済みEU SCCの第5条は、それが他の契約に優先すると定めていますが、制限された移転については、下記第17条の優先順位が適用されます。 2. 承認済みEU SCCと矛盾または抵触する場合、承認済み補遺が優先します。ただし、SCCがデータ主体に対して**より大きな保護**を与える場合は、SCCの条項が優先します。 3. 本書のいかなる内容も、当事者がEU GDPRの遵守のために使用するSCCに影響を与えません。 ### EU SCCの組込みと変更 1. IDTA補遺は、承認済みEU SCCを、英国に関連する移転で機能するよう必要な修正を加えて組み込み、第5条の優先順位を上書きし、(スコットランドまたは北アイルランドについて別段の選択がない限り)**英国法および裁判所**に準拠するようにします。 2. 特定の代替案が合意されていない場合は、第22条が適用されます。 3. 第19条で必要とされる範囲を超えて、承認済みEU SCCをさらに修正することは認められません。 4. 補遺EU SCCの**修正**には、英国データ保護法への言及に関する明確化、規則(EU) 2016/679への言及を「英国データ保護法」に置き換えること、規則(EU) 2018/1725への言及の削除、第17条/第18条の英国法および裁判所への調整などが含まれます。脚注は、脚注8、9、10、11を除き、IDTAの一部を構成しません。 ### 本IDTAの修正 1. 当事者は、第17条または第18条を、スコットランドまたは北アイルランドの裁判所を指すよう変更することができます。 2. 当事者はまた、書面による相互の合意により、同じレベルの保護が維持されることを確保した上で、表の書式を調整することができます。 3. ICOは随時、改訂版の承認済み補遺を発行することができ、それは発効日をもって本IDTA補遺を自動的に修正しますが、当事者による見直しが必要となる場合があります。 4. ICOによる変更が、当事者の費用またはリスクを大幅かつ不均衡に増加させ、その費用/リスクを軽減することが実行可能でない場合、その当事者は、改訂版補遺の発効前に、相手方に合理的な通知をして本IDTAを終了することができます。 5. 変更に第三者の同意は必要ありませんが、修正は本IDTA補遺の条項を満たさなければなりません。 --- - HTML version: https://v3.shoprocket.io/ja/gdpr - Language: 日本語 (ja) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)