本AppLovinサプライデータ処理契約

発効日: 2023年8月1日

本AppLovinサプライデータ処理契約（以下「DPA」）は、https://www.applovin.com/termsにて確認可能なAppLovinの利用規約や、AppLovin Corporation（以下「AppLovin」）とユーザーの間で（契約が異なるAppLovin関連会社とのものであっても）適用されるオフライン契約（以下、「契約」）に組み込まれ、これに従うものとします。お客様が本サービスを利用する限りにおいて、お客様は、該当する本契約を受諾または締結した時点で、本DPAに同意したものとみなされます。

1. 適用範囲
   1. 両当事者は、適用されるデータ保護法の遵守を保証する目的で、本DPAを締結することに同意するものとします。ユーザーは、ユーザーおよび自らが承認した関係者を代表して、本DPAを締結するものとします。AppLovinは、ユーザーによる本サービスの利用を通じて個人データを受領することがあり、本規約に定める相互の義務を考慮し、両当事者は、本サービスを通じて処理される個人データに関して、以下の規定を遵守することに同意するものとします。以下に修正された場合を除き、本契約の条項は引き続き完全に効力を有するものとします。
2. 定義

   契約および上記で定義された用語に加え、以下の用語は本DPAにおいて以下の意味を有するものとします。

   1. 「適切な管轄」とは、EU一般データ保護規則（General Data Protection Regulation、以下GDPR）が適用される場合は欧州委員会が、英国GDPRが適用される場合は英国個人情報保護監督機関により決定された、個人データの処理に関連するデータ主体の権利と自由に対する適切なレベルの保護を保証する国を意味します。
   2. 「関係者/関連会社」とは、直接的または間接的に当事者を管理する、あるいは当事者に管理または当事者と共通の管理下にある個人または法人を意味します。
   3. 「承認済み附則」とは、英国個人情報保護監督機関（International Commissioner’s Office、以下ICO）が発行し、2022年2月2日に、2018年データ保護法（Data Protection Act 2018）のs119Aに従って英国議会に提出されたテンプレート附則（バージョンB.1.0）であり、当該附則の第18条に基づいて改訂されたものを指します。
   4. 「CCPA」とは、カリフォルニア州民法における2018年カリフォルニア州消費者プライバシー法（California Consumer Privacy Act of 2018） 第1798.100条以下、および2020年カリフォルニア州プライバシー権法（California Privacy Rights Act of 2020）（以下「CPRA」）などにより随時改正される全ての施行規則を指します。
   5. 「データ保護法」とは、EUのデータ保護法、CCPA、ブラジルの2018年一般データ保護法 No. 13,709（Lei Geral de Proteção de Dados Pessoais、以下「LGPD」）、および本サービスにおける当事者の個人データ処理に適用される範囲で、個人データの処理に関して自然人のプライバシーの権利を保護するその他の法令を指します。
   6. 「データ主体の権利」とは、データ保護法に基づきデータ主体に与えらえた権利を意味します。
   7. 「EUデータ保護法」とは、GDPR、eプライバシー指令、国家の施行法令、およびスイス連邦データ保護法（Swiss Federal Data Protection Act）を指します。
   8. 「GDPR」とは、欧州議会と欧州理事会のEU一般データ保護規則 2016/679（EU General Data Protection Regulation 2016/679）（以下「EUのGDPR」）、および該当する場合は、2019年のデータ保護、プライバシーおよび電子通信（改訂等）規則（Data Protection, Privacy and Electronic Communications Regulations）に定義される「英国GDPR」を指します。
   9. 「加盟国」とは、欧州経済領域の加盟国、およびスイスとイギリスを意味します。
   10. 「SCC」とは、(a) 欧州連合から、欧州連合が適切な管轄であるとみなしていない第三国へのデータ移転に関しては、委員会実施決定（EU） 2021/914（Commission Implementing Decision (EU) 2021/914）に付属する標準契約条項（Standard Contractual Clauses）のモジュール1（管理者から管理者へ）（以下、「EUのSCC」）、(b) イギリスからのデータ移転に関しては、承認された附則の必須条項 第2編（以下、「英国の必須条項」）によってさらに改正されたEUのSCCのモジュール1（管理者から管理者へ）に加え、EUのSCCに対するその他の必要な整合的変更（以下、総称して「英国SCC」）、および(c) 欧州委員会、英国個人情報保護監督機関、その他の該当するデータ保護当局、または権限および管轄を有するその他の機関が随時発行する、GDPRのデータ移転要件に関する更新、改訂、または別個の条項を指します。
   11. 「共有個人データ」とは、ある当事者が契約の履行に関し、他の当事者（該当の「他の当事者」を、本定義において「共有当事者」とする）から個人データを受け取った範囲内で処理した個人データのことを指します。明確にするために記すと、共有当事者が受領当事者に対し、当該個人データへのアクセスを許可した場合、当事者は共有当事者から個人データを「受領」したものとみなされます。
   12. 「透明性に関する通知」は、第3.2条(a)で定義される意味を有します。
   13. 「管理者」、「処理」、「処理者」、「データ主体」、および「個人データ」の語は、EUのデータ保護法に定められる意味を有するものとします。本2.13条において太字で記載された語が表す概念と同様の概念を表すために、データ保護法が異なる語を使用している場合、「管理者」、「処理」、「処理者」、「データ主体」、および「個人データ」は当該のデータ保護法において当該の異なる語に割り当てられている意味を有するものとします。
3. データ処理、独立した管理者
   1. AppLovinおよびユーザーは、(a) 共有個人データに関し、独立した管理者であり、(b) 個人データの処理の目的および手段を個別に決定します。
   2. 各当事者は、共有個人データの処理に関して、以下を含むデータ保護法を遵守するものとします：
      1. 各当事者は、データ保護法に基づき要求される、データ主体に対する共有個人データの合法的な処理に関する全ての該当する通知（以下、「透明性に関する通知」）を提供するものとします。 ユーザーはサービスの利用と、AppLovinがどのように個人データを処理するかについて、透明性に関する通知の中で開示するものとします。例えば、AppLovinの広告サービスを自らのモバイルアプリケーションに組み込んでいるユーザーの場合、ユーザーの透明性に関する通知に以下の文言を含めることでこれを行うことができます: 「We work with AppLovin to deliver ads in our mobile application.（我々はAppLovinと協力し、我々のモバイルアプリケーションで広告を配信しています。）」AppLovinによるお客様の情報の収集と使用の詳細については、https://www.applovin.com/privacy/

      をご覧ください。

      2. 各当事者は、各当事者は、データ保護法に基づき、適用されるデータ主体の権利が必要とするな全ての仕組みを提供し、これを有効にし、政府当局による照会に対応するものとします。
      3. いずれの当事者も、自らの透明性に関する通知に記載されている以外の目的で共有個人データを処理しないものとします。ただし、当該の処理がデータ保護法および本契約の下で許可されている場合は除きます。
      4. 各当事者は、当該の共有個人データの処理に従事する全ての従業員が、本DPAに準拠して行動することを保証するものとします。
      5. 各当事者は、(i) 共有個人データの偶発的、違法、または不正な破壊、喪失、改ざん、開示、あるいはアクセス、もしくは(ii) 共有個人データの「個人データ侵害」（「セキュリティシステムの侵害」や「データ侵害」など、データ保護法が定義する語または同様の語）に相当するその他のセキュリティ事故（(i)および(ii)のいずれの場合も、「データ侵害」）を防止する技術的および組織的なセキュリティ対策を実施するものとします。
      6. 各当事者は、復処理者との契約がデータ保護法を遵守することに同意するものとします。
   3. 各当事者は特に、適用法で禁止されている場合を除き、(i) データ保護法で要求される範囲で、共有個人データに関して当事者が受領したデータ主体の権利の行使の要求、(ii) 共有個人データの処理に関わる規制当局からの問い合わせ、および(iii)共有個人データの重大な破壊、喪失、改ざん、開示、またはアクセスをもたらす、共有個人データに関するデータ侵害について、過度な遅延なく相手方に通知するものとします。
   4. ユーザーは、AppLovinが契約で意図されているように個人データを処理することを合法的に許可するため、AppLovinに代わって、関連するデータ主体からデータ保護法の下で要求される全ての必要な通知を提供し、必要な全ての許可および同意を取得したことを表明し、保証します（また、維持するものとします）。
   5. 同意が個人データ処理の合法的根拠である場合、または別途本サービスの利用に必要な場合、ユーザーは、(i) データ保護法の要件に従いデータ主体からかかる同意を取得するための仕組み、および(ii) データ保護法に従いデータ主体がかかる同意を撤回（オプトアウト）するための仕組みを、常に利用可能にし、維持し、ユーザーのプロパティで運用することを表明し、保証するものとします。
   6. CCPAに関して、(i) AppLovin（またはそのデマンドパートナー）が広告インベントリに入札し、サービスに関連して広告を提供し、さらにAppLovinの透明性に関する通知で規定されているように、本サービスを最適化できるようにするという限定的かつ特定の目的のために、個人共有データがAppLovinに開示され、(ii) AppLovinは、CCPAに基づき事業者に要求されるものと同レベルのプライバシー保護を保護することも含め、CCPAに従い、(iii) ユーザーは、AppLovinがCCPAに基づくユーザーの義務に合致する方法で共有個人データを処理することを保証するため、合理的かつ適切な措置を講じることができ、(iv) AppLovinは、自らがCCPAに基づく義務を果たすことができなくなったと判断した場合、速やかにユーザーに通知し、(v) ユーザーは通知を受けた後、共有個人データの不正な処理を停止し、是正するための合理的かつ適切な措置を講じることができるものとします。
4. 全般
   1. SCC、契約、および本DPAの間に矛盾または不一致がある場合、以下の優先順位が適用されます: (i) SCC、(ii) 本DPA、(iii) 契約。
   2. 本DPAは、契約に規定された責任の制限を変更するものではありません。
   3. 本DPAは、ユーザーが契約に同意した時、またはユーザーがサービスの利用を開始した日に発効します。 本DPAは、契約の終了または期間終了と同時に、自動で終了します。
   4. データ保護法で要求される範囲内において、本DPAは該当する法域の法律に準拠します。 その他のすべての場合においては、本DPAは、契約に規定された法域の法律に準拠するものとします。
5. 国家間の移転
   1. 両当事者は下記の場合において、両当事者はSCCが共有個人データの移転（共有個人データへのアクセスを含む）に適用されることに同意するものとします。
      1. ユーザーからAppLovinに移転される際は、ユーザーによる共有個人データの処理がUEのデータ保護法またはLGPDの対象となる場合、あるいは
      2. AppLovinからユーザーに移転される際は、
         • ユーザーが適切な管轄内に設立されていない場合、
         • 共有個人データの処理がEUのデータ保護法もしくはLGPDの対象となる場合、あるいはAppLovinがSCCの締結を契約上義務付けられている場合。
   2. SCCの目的のため:
      1. 附属書1.A（当事者の一覧）は、附則Iの情報を組み込んだものとみなされます。
      2. 附属書1.B（移転の説明）は、附則IIIの情報を組み込んだものとみなされます。
      3. 附属書1.C（管轄監督機関）は、附則IIに認定されている監督機関を指すものとみなします。
      4. 附属書II（技術的および組織的対策）は、附則IIの情報を組み込んだものとみなされます。
      5. SCC 第7条のオプション条項は適用されません。
      6. SCC 第11条(a)のオプション条項は適用されません。
      7. 第17条に従い、SCCはアイルランドの法律に準拠します。
      8. SCCの第18条(b)に従い、両当事者はキプロスの裁判所においてSCCに基づく紛争を解決するものとします。
      9. イギリスの必須条項で言及されている表4に関連し、いずれの当事者も、イギリスの必須条項の第19条に従い、承認された附則を打ち切るする権利を有しないものとします。
      10. ブラジル国内に設立されたデータ移転元（LGPDに基づく共有個人データの移転目的）に関しては、SCCがブラジル連邦共和国の法律に準拠するものとします。また、LGPDに基づく当該の移転では、適用されるデータ保護法はLGPDであり、監督機関はブラジルの国立データ保護機関（Autoridade Nacional de Proteção de Dados、ANPD）であるものと理解されるものとします。

附則I

当事者

附則II 

SCC

附則III

移転の説明

データが移転されるデータ主体のカテゴリー 

移転される個人データは、以下のデータ主体のカテゴリーに属します:

• ユーザーのモバイルアプリケーションのエンドユーザーである個人。
• ユーザーのマーケティングおよび営業の連絡窓口である個人。
• モバイルアプリケーションの操作によって広告入札リクエストを発生させたた個人。
• ユーザーの従業員、代理人、またはAppLovinのオンラインプラットフォームにおける代表者である個人。

移転されるデータのカテゴリー

移転される個人データは、以下のデータのカテゴリーに属します:

モバイルデバイス広告の識別子（例、IDFA/Google広告ID、IPアドレス）

メーカー、モデル、オペレーティングシステム、デバイスプロパティと設定、大まかな位置情報などのデバイスデータ

クリックの特性データおよび取引データ

該当する場合、エンドユーザーの年齢、誕生年、性別、興味（パブリッシャーが自らのプライバシーポリシーに従ってこういったデータを共有することを選択した場合）

営業窓口と請求先情報（例: 氏名、Eメールアドレス、請求先住所、電話番号、VAT番号、個人情報とみなされる範囲の銀行口座番号）

移転される機密データ（該当する場合）

移転される個人データは、以下の機密データのカテゴリーに属します:

なし。

移転の頻度

AppLovinとユーザーが、ライブモバイルアプリケーションに組み込まれたサービスに同意した場合、移転はエンドユーザーがアプリケーションにアクセスし、操作するたびにリアルタイムで行われます。 

処理の性質、および移転とさらなる処理の目的

個人データは、各データ移転先の透明性に関する通知に記載されている全ての許容される目的を含め、契約に従ってサービスを提供する目的で処理されます。

個人データの保持期間、あるいはそれが可能でない場合、その期間を決定するために使用する基準

両当事者は、ユーザーが有効なサービスを維持する限り、特定の共有個人データにアクセスすることができます。AppLovinは、最大で2年間個人データを保持します。

（復）処理者への移転については、処理の対象、性質、および期間も明記します。

移転される個人データは、以下の受領者または受領者のカテゴリーにのみ開示される場合があります:

AppLovinがサービスの提供に利用するサービスプロバイダー、およびその透明性に関する通知に記載されているサービスプロバイダー。 

ユーザーがサービスの実施、運用、最適化に利用するサービスプロバイダー、およびその透明性に関する通知に記載されているサービスプロバイダー。 

処理の期間は、上記のデータ保持期間と一致します。