Couchbase Capella Cloud顧客データ処理に関する補遺

本データ処理補遺（以下「本補遺」という。DPA"）は、Capellaクラウドサービスサブスクリプション契約、またはお客様のクラウドサービスの使用を規定するお客様とCouchbase間のその他の契約の一部を構成します。 ("協定書"）との間で、Couchbase, Inc.Couchbase"）と指定された当事者である。お客様本契約（以下「本契約」という。お客様"）（それぞれ"パーティー"であり、共に"関係者").

本DPAは、お客様によるクラウドサービスの利用に関連する個人データの処理に関する両当事者のコミットメントを記述するものです。本契約の条項と本DPAの条項との間に抵触がある場合、当該抵触の範囲内において、本DPAの条項が優先するものとします。本DPAにおいて定義されていない大文字の用語は、本契約において与えられた意味を有するものとします。

両当事者は以下の通り合意する：

1.定義 以下の大文字の用語は、本DPAにおいて使用される場合、以下に定める対応する意味を有する：

a."適用されるデータ保護法" とは、個人データに適用されるすべての世界的なプライバシーおよびデータ保護に関する法律、規制、規則、条例およびその他の政令を意味します：(i)欧州データ保護法、および(ii)2018年カリフォルニア州消費者プライバシー法（カリフォルニア州民法第1798.100条ほか（以下「CCPA」といいます）を含む米国のすべての法律および規制。

b."顧客データ"とは、本DPAの附属書Aに詳述されているように、クラウドサービスに関連して、サービスプロバイダーまたはプロセッサー（該当する場合）としてCouchbaseがお客様に代わって処理する個人データを意味します。

c."EEA"とは、欧州連合（EU）加盟国にアイスランド、リヒテンシュタイン、ノルウェーを加えた国を意味する。

d."欧州データ保護法”(i) 個人データの処理およびかかるデータの自由な移動に関する自然人保護に関する欧州議会および理事会の2016年679号規則（一般データ保護規則）（「“GDPR")、(ii)電子通信分野における個人データの処理とプライバシーの保護に関する指令2002/58/EC（"eプライバシー指令「)、(iii)(i)および(ii)の適用可能な国内実施、(iv) 1992年6月19日付スイス連邦データ保護法およびその条例(「スイスFDPA")、および(v)英国に関しては、2018年データ保護法、およびGDPR、eプライバシー指令、または英国の欧州連合離脱の結果としてデータおよびプライバシーに関連するその他の法律に取って代わる、または国内法に転換する適用可能な国内法。

e."モデル条項" とは、特定のお客様固有の状況に応じて、以下のいずれかを意味します：(i) 欧州委員会の決定 2021/914 に従って欧州委員会が承認した処理業者に関する標準契約条項（以下「標準契約条項」という。2021 標準契約条項")および(ii)英国標準契約条項（それぞれ標準契約条項とも呼ばれ、参照により本DPAの一部を構成する。

f."個人情報"とは、特定または識別可能な自然人に関連し、""として保護されるあらゆる情報を意味する。個人データ“, “個人情報「または個人を特定できる情報「適用されるデータ保護法に基づく。

g."セキュリティ事件”「セキュリティインシデント」とは、Couchbaseおよび／またはそのサブプロセッサーがクラウドサービスの提供に関連して送信、保管、またはその他の方法で処理する顧客データの、偶発的または違法な破壊、紛失、改ざん、無権限開示、あるいはアクセスにつながるセキュリティ上のあらゆる違反を意味します。両当事者は、ログインの失敗の試み、ピング、ポートスキャン、サービス拒否攻撃、およびファイアウォールやネットワーク化されたシステムに対するその他のネットワーク攻撃など、顧客データのセキュリティを損なわない不成功に終わった試みや活動は、「セキュリティインシデント」に含まれないことを確認し、これに同意するものとします。.

h."サブプロセッサー”「サブプロセッサー」とは、本契約または本DPAに基づきクラウドサービスの提供に関する義務の履行を支援するために、Couchbaseまたはその関連会社によって採用されたいかなるプロセッサーを意味します。サブプロセッサーには、第三者またはCouchbaseの関連会社が含まれる場合がありますが、Couchbaseの従業員、請負業者、またはコンサルタントは除外されます。.

i."英国標準契約条項”とは、(i) 決定 2010/87/EU において欧州委員会によって承認された、データ管理者からデータ処理者への移転に関する標準契約条項（「“英国のコントローラーからプロセッサーへのSCC")、および(ii)欧州委員会が決定2004/915/ECで承認したデータ管理者からデータ管理者への移転に関する標準契約条項(")英国コントローラー間SCC").

j.用語"コントローラー", "プロセッサー"と"処理"はGDPRで与えられた意味を持つものとし、"プロセス", "プロセス"と"処理済み「という用語は、それに従って解釈されるものとする。ビジネス", "サービスプロバイダ"と"売る"は、CCPAにおいて与えられた意味を有するものとする。

2.処理の役割と範囲

a. スコープ 第2条(b)に従い、本DPAは、Couchbaseがプロセッサーまたはサービスプロバイダー（該当する場合）として、適用されるデータ保護法により保護される顧客データを処理する範囲に適用されます。

b. 両当事者の役割 両当事者は、以下の事項につき確認し、合意するものとする：(i) 顧客データの処理に関して、顧客は当該顧客データの該当する事業者、管理者、または処理者（場合に応じて）であり、Couchbaseは、本DPAの附属書Aに詳述されている通り、顧客に代わるサービスプロバイダー、処理者、または再処理者（場合に応じて）であること；並びに (ii) 顧客によるクラウドサービスの利用に関連してCouchbaseが収集する技術的利用データに含まれる個人情報に関して、“利用データ"）、Couchbaseは利用データの関連事業者または管理者であり、以下で利用可能なCouchbaseのプライバシーポリシーに従って利用データを処理します。 https://www.couchbase.com/privacy-policy.各当事者は、適用されるデータ保護法を含む、本DPAの履行において、当事者に適用され、当事者を拘束するすべての法律、規則および規制を遵守します。利用データに関して、Couchbaseは、該当する範囲で、第8条（a）（iii）および（iv）のみに準拠して当該データを処理します。

c. Couchbaseによる個人情報の処理。 Couchbaseは、DPAに記載された目的のためにのみ、お客様の文書化された合法的な指示に従って顧客データを処理することに同意します。両当事者は、本契約（本DPAを含む）が、顧客データの処理に関連するCouchbaseに対するお客様の完全かつ最終的な指示を定めることに同意し、これらの指示の範囲外の処理（もしあれば）は、お客様とCouchbase間の事前の書面による合意を必要とします。第2項(d) (お客様の責任)を損なうことなく、Couchbaseは、お客様からのデータ処理指示が適用データ保護法に違反していることを認識または確信した場合、適用データ保護法で禁止されていない限り、お客様に書面で通知し、お客様データの処理を一時停止することができるものとします。

d. 顧客の責任。 お客様は、本契約に基づく、または本契約に関連する顧客データ処理の合法性に責任を負います。お客様は、(i)Couchbaseが本契約（本DPAを含む）により企図された目的のためにお客様データを合法的に処理するために、適用されるデータ保護法の下で必要なすべての同意、許可および権利を提供し、今後も提供し続けることを表明および保証します；(ii)Couchbaseおよびそのサブプロセッサーへの顧客データの収集および提供に関して、顧客データの管理者および/または事業者として、適用されるすべてのデータ保護法を遵守していること、および(iii)処理指示が適用される法律（適用されるデータ保護法を含む）を遵守し、お客様の指示に従ってCouchbaseが顧客データを処理することにより、Couchbaseが適用されるデータ保護法に違反しないことを保証すること。

e. 集計データ。 上記または本契約（本DPAを含む）の反対規定にかかわらず、お客様は、Couchbaseおよびその関連会社が自身の合法的なビジネスのために匿名化、集計、および/または非識別化情報（適用データ保護法により定義される）を収集および作成する権利を有することを認めます。

3.サブプロセス

a. 承認されたサブプロセッサー。 お客様は、Couchbaseがお客様に代わってお客様データを処理するためにサブプロセッサーを雇用する可能性があることを認め、同意します。Couchbaseが現在従事し、お客様が承認したサブプロセッサは、Couchbaseのウェブサイト（現在https://info.couchbase.com/cloud-subprocessors.html）に掲載されています。新しいサブプロセッサが追加される少なくとも15日前に、Couchbaseは該当するウェブサイトを更新し、当該Couchbaseのウェブサイトで提供されるメカニズムを通じて、その更新をお客様に通知します。ただし、Couchbaseが、お客様データの機密性、完全性、または可用性を保護するため、またはクラウドサービスの重大な中断を回避するために、迅速ベースで新しいサブプロセッサを従事させることが必要であると合理的に判断した場合、Couchbaseは代わりに、合理的に実行可能な限り速やかにそのような通知を行います。

4.セキュリティと監査

a. セキュリティ対策。  Couchbaseは、その管理下にある顧客データをセキュリティインシデントから保護し、顧客データのセキュリティと機密性を保持するために、最新技術、導入コスト、および処理の性質、範囲、文脈、および目的（以下"）を考慮して設計された適切な技術的および組織的セキュリティ対策を実施し、維持するものとします。セキュリティ対策").かかるセキュリティ対策には、最低限、本DPAの付属書Bに記載されている対策が含まれます。Couchbaseは、本DPAに基づきCouchbaseにより顧客データの処理を許可された者が適切な守秘義務（契約上または法律上の義務を問わない）を負うことを保証するものとします。

b. セキュリティ対策の更新。 お客様は、セキュリティ対策が技術的進歩および開発の対象であり、Couchbaseが随時セキュリティ対策を更新または修正する可能性があることを認めます。ただし、かかる更新および修正は、お客様が購入したクラウドサービス全体のセキュリティの低下をもたらさないことを条件とします。

c. 顧客のセキュリティ責任。 上記にかかわらず、お客様は、本 DPA の定める場合を除き、セキュリティ インシデントから保護し、自己の支配および管理下にある間、お客様データのセキュリティおよび機密性を保持するために設計された適切な技術的および組織的セキュリティ対策を実施し、維持することに同意するものとします。お客様は、(i) クラウド サービスにアクセスするために使用されるすべてのお客様のクレデンシャルのセキュリ ティを保護すること、(ii) お客様のクラウド環境およびお客様のシステムを保護すること（かかる措置には、アクセ ス キーの定期的なローテーションおよび不正アクセスを防止するためのその他の業界標準の措置が含まれますが、こ れらに限定されません）；(iii)お客様のクラウド環境またはその他のお客様が管理するシステム内のお客様の管理下にあるお客様データのバックアップおよび保護、および(iv)データセキュリティおよびプライバシーに関連するCouchbaseが提供する情報を確認し、クラウドサービスが適用データ保護法に基づくお客様の要件および法的義務を満たすかどうかについて独自の判断を下すこと。

d. セキュリティ・インシデントへの対応 適用されるデータ保護法によって要求される範囲において、Couchbaseは、セキュリティインシデントを認識したときは遅滞なく顧客に通知するものとし、(i) 顧客が適用されるデータ保護法に基づき行うことを義務付けられている個人データ侵害の通知に関連して顧客を支援するため、クラウドサービスの性質、Couchbaseが利用可能な情報、および機密保持などの情報の開示に関する制限を考慮し、Couchbaseが把握するに至った、顧客から合理的に要求されたセキュリティインシデントに関する適時の情報を顧客への当該通知に含めるものとし、また、(ii) 是正措置がCouchbaseの合理的な支配の範囲内にある限りにおいて、セキュリティインシデントを封じ込め、調査し、および是正するためにCouchbaseが必要かつ合理的とみなす措置を速やかに講じるものとする。本第4条(d)に基づくセキュリティインシデントに関するCouchbaseの通知または対応は、セキュリティインシデントに関する過失または責任のCouchbaseによる承認と解釈されないものとする。本規程に定める義務は、顧客またはその認可されたユーザーによって引き起こされた範囲のセキュリティインシデントには適用されないものとする。.

e. セキュリティ監査。 Couchbaseは、本DPAへのCouchbaseの遵守を確認するために必要な情報セキュリティおよび監査質問票への回答を含め、顧客データのCouchbaseによる処理に関連して顧客が行ったすべての合理的な書面による情報提供の要求に対し、（機密保持を条件として）書面による回答を提供するものとしますが、ただし、顧客は任意の12か月の通算期間においてこの権利を1回を超えて行使しないものとします。前述にかかわらず、顧客は、データ保護当局にこの情報を提供することを明示的に要求されたかもしくは義務付けられた場合、Couchbaseにおいてセキュリティインシデントが発生した場合、またはその他の合理的に類似する理由に基づき、かかる監査権を行使することもできます。.

5. 国際送金

a. 加工場所 顧客は、Couchbase、その関連会社、またはそのサブプロセッサーがデータ処理業務を維持している米国および世界中のその他の場所へ、Couchbaseが顧客データを移転および処理することを確認し、これに同意するものとする。Couchbaseは、かかる移転が適用されるデータ保護法および本DPAの要件に準拠して常に行われることを確保するものとする。.

6.顧客データの削除

a.クラウド サービスは、お客様がクラウド サービスの機能と一致する方法で、期間中にお客様データを削除または取得するために使用できるコントロールを提供します。

b. 顧客は、本契約の終了もしくは期間満了時、または本契約に基づくクラウドサービスの終了もしくは停止の場合において、Couchbaseがその所持または管理下にあるすべての顧客データ（コピーを含む）を本契約に従って削除することに同意し、これをCouchbaseに委任するものとします。ただし、適用法令によりCouchbaseが顧客データの一部または全部の保持を義務付けられている場合は、この限りではありません。.

7.個人の権利と協力

a. データ主体の要求 クラウドサービスは、お客様がクラウドサービスに適用されるドキュメントに記載されている通り、お客様データの取得、修正、削除、または制限に使用できるセキュリティ機能や機能性を含む多数のコントロールをお客様に提供します。第4条(a)を害することなく、お客様は、データ主体からの請求への対応に関連する義務を含む、適用されるデータ保護法に基づく義務を遂行するための技術的および組織的措置として、これらのコントロールを使用することができます。お客様がクラウドサービス内のおれに関連するお客様データに独自にアクセスできない場合、Couchbaseは、処理の性質を考慮し、本契約に基づくお客様データの処理に関する個人または適用あるデータ保護当局からの請求に対応するためにお客様を支援する合理的な協力を行います。万が一、そのような請求が直接Couchbaseになされた場合、Couchbaseは、法律により義務付けられている場合を除き、お客様の事前の承認なしに当該連絡に直接対応しないものとします。Couchbaseがかかる請求への対応を義務付けられている場合、Couchbaseは、法律により禁止されている場合を除き、速やかにお客様に通知し、当該請求の写しを提供するものとします。.

b. 召喚令状と裁判所命令。 法執行機関がCouchbaseに（例えば、召喚状または裁判所命令を通じて）顧客データの要求を送付した場合、Couchbaseは、Couchbaseが法的に禁止されていない限り、お客様が保護命令またはその他の適切な救済を求めることができるように、要求の合理的な通知をお客様に行うものとします。

8.管轄区域固有の条件

a. ヨーロッパだ。 顧客データが欧州データ保護法の対象となる範囲においては、本DPAのその他の条項に加え、以下の条項が適用されるものとします：

i. サブプロセッサの義務 Couchbaseは以下を行うものとします：(A)各サブプロセッサーとの間で、適用される欧州データ保護法および本DPAで要求される基準で個人データを保護することをサブプロセッサーに義務付けるデータ保護条件を課す書面による契約を締結し、(B)本DPAの義務を遵守すること、およびCouchbaseが本DPAに基づく義務に違反する原因となるサブプロセッサーの行為または不作為に対して責任を負うこと。

ii. サブプロセッサーに対する異議 顧客は、セクション3(a)に従ってCouchbaseから通知を受領してから暦日5日以内にCouchbaseに書面で速やかに通知することにより、データ保護に関連する合理的な理由（例えば、サブプロセッサーに顧客データを利用させることが欧州データ保護法に違反する場合、または当該顧客データに対する保護を弱める場合など）に基づき、Couchbaseによる新しいサブプロセッサーの選任に書面で異議を唱えることができる。当該通知には異議申立ての合理的な理由を説明するものとし、当事者は商業的に合理的な解決策を見出すことを目指して、当該懸念事項について誠実に協議するものとする。かかる解決策に達しない場合、Couchbaseは、その単独の裁量により、サブプロセッサーを選任しないか、または、いずれの当事者に対しても責任を負うことなく（ただし、停止または終了の前に顧客に発生した料金を害することなく）、本契約の終了規定に従って顧客が影響を受けるクラウドサービスの停止または終了を許可するものとする。本セクション8(a)(ii)に定めるところに従って異議が申し立てられない限り、顧客は、本DPAに記載されているサブプロセッサーのCouchbaseによる利用に同意するものとする。.

iii. データの移転。 Couchbaseが欧州データ保護法によって保護される個人データを、（欧州データ保護法に記載される）個人データの適切な保護を提供することが認められていない第三国で処理する（または処理させる）限りにおいて、附属書Cの条件(データの転送）が適用され、顧客（データ輸出者として）はCouchbase（データ輸入者として）との間でモデル条項を締結したものとみなされ、Couchbaseは、参照により全体が組み込まれ本DPAの不可欠な部分を形成するモデル条項を遵守し、これに従って当該顧客データを処理することに同意します。モデル条項における説明の目的上、(A) Couchbaseは自身が「データ輸入者」であり、顧客が「データ輸出者」であることに同意し（顧客自身がEEAまたは英国域外に所在する事業体である場合においても同様とします）、(B) 本DPAの附属書Aおよび附属書Bは、モデル条項の付録1および付録2に代わるものとします。モデル条項に定められたいかなる規定にも矛盾すること、またはこれを制限することは、いずれの当事者の意図でもなく、本DPAの効果でもありません。したがって、モデル条項が本DPAのいかなる規定と矛盾する場合、および矛盾する範囲において、モデル条項が優先するものとします。モデル条項は、直接または転送を通じてEEAまたは英国域外に転送されない顧客データには適用されません。.

iv. 代替移籍メカニズム。 Couchbaseが、適用される欧州データ保護法で規定される顧客データの移転のための代替データエクスポートソリューションを採用する場合、およびその範囲内で（以下「」）。代替移籍メカニズム"）、代替譲渡メカニズムが代わりに適用されるものとする（ただし、当該代替譲渡メカニズムが譲渡に適用される範囲に限る）。

v. データ保護影響評価。 適用される欧州データ保護法によりCouchbaseが要求される範囲において、Couchbaseは、お客様がデータ保護影響評価または監督当局との事前協議を実施できるように、本契約に基づくCouchbaseの個人データ処理に関する合理的に要求された情報を提供するものとします。

b. カリフォルニア州 顧客データがCCPAの対象となる範囲において、両当事者は、お客様が事業者であり、本契約（本DPAを含む）およびCCPAの下で許可されるように、または書面で別途合意された目的のために、顧客データを処理するサービスプロバイダーとしてCouchbaseを任命することに同意します（以下「本契約」）。許可された目的").お客様とCouchbaseは以下の事項に同意します：(i)Couchbaseは、許可された目的以外の目的で個人情報を保持、使用、または開示しないこと、(ii)顧客データはCouchbaseに販売されておらず、Couchbaseは個人情報を「販売」しないこと（CCPAで定義）、(iii)Couchbaseは、顧客とCouchbase間の直接的なビジネス関係以外で個人情報を保持、使用、または開示しないこと、(iv)Couchbaseは、クラウドサービスを提供する過程で個人情報を非識別化または集約する場合があることに同意します。Couchbaseは、本第8条(b)に定める制限を理解し、遵守することを証明します。

9.責任の制限

a.契約、不法行為（過失を含む）、またはその他の責任理論に基づくか否かを問わず、本DPA（モデル条項を含む）に起因または関連する各当事者およびそのすべての関連会社の責任は、合算して、本契約における責任の制限および排除に従うものとし、条項における当事者の責任への言及は、本契約および本DPAの下で、および本DPAに関連して、当該当事者およびそのすべての関連会社の責任の合算を意味します。

b. 適用されるデータ保護法により、顧客関連会社が本DPAに基づく権利の行使または救済の追求をCouchbaseに対して直接行うことが義務付けられている場合を除き、両当事者は、(i) 契約の当事者である顧客法人単独が、関連会社に代わって、本DPAに基づき顧客関連会社が有する可能性のある権利の行使または救済の追求を行うこと、および (ii) 契約の当事者である顧客は、本DPAに基づくかかる権利を、関連会社ごとに個別にではなく、すべての関連会社をまとめて行使することに同意するものとする。.

10.その他

a. 本DPAによって行われた変更を除き、本契約は変更されることなく、完全な効力を維持するものとします。.

本DPAは副本に分けて締結することができ、その各々は原本とみなされるものとするが、それらのすべてが一体となって同一の証書を構成するものとする。.

c. 本DPAのいずれかの条項またはその一部が無効、違法または執行不能である場合、当該条項または一部条項は削除されたものとみなされますが、それは本DPAの残りの部分の有効性および執行可能性には影響を与えません。.

d.本DPAは、欧州データ保護法により別段の定めがない限り、本契約の準拠法および裁判管轄の規定に準拠し、これに従って解釈されるものとします。

 

付録A
データ処理

本付属書Aは、DPAの一部を構成し、(i)該当する場合、Couchbaseが管理者または処理者としてお客様に代わって処理者またはサブ処理者としてお客様データに対して実行する処理、および(ii)Couchbaseが管理者として実行する利用データの移転について説明します。

1) 顧客データ

期間

本DPAに基づくデータ処理の期間は、本契約の条項に従って本契約が終了するまでと、本契約の終了から本契約の条項（本DPAを含む）に従ってCouchbaseが個人データを削除するまでの期間を加えた期間とします。

データのカテゴリー

処理される個人データは、以下のカテゴリーに分類されます（具体的にご記入ください）：

● 顧客コンテンツにおける個人データ:クラウドサービスにより、またはクラウドサービスを通じて、お客様または認定ユーザーのために提供されたコンテンツまたはデータに含まれる個人データ。

特別カテゴリーのデータ（適切な場合）

両当事者は、本契約に基づき、いかなる特別カテゴリーのデータも処理することを意図していません。

データ対象者

処理される個人データは、以下のデータ対象者のカテゴリーに属します（具体的にご記入ください）：

データ主体には、認証されたユーザーを含め、顧客により、または顧客の指示に従ってクラウドサービスを介してCouchbaseにデータが提供される個人が含まれます。データ主体には、顧客の顧客、従業員、サプライヤー、エンドユーザーが含まれる場合があります。.

加工作業

個人情報は以下の基本的な処理活動の対象となります（具体的にご記入ください）：
● 本契約に従いクラウドサービスを提供するための処理;
本契約の履行に必要な処理を行うこと；
お客様がクラウドサービスを利用する際に開始した処理。
● 契約書の条件と一致する、顧客から提供されたその他の合理的な指示（電子メールやサポートチケットを介した指示など）を遵守するための処理.

頻度
個人データは継続的に転送される可能性があります。

ii) 利用データ

期間

利用データは、関連する契約の期間に加えて、Couchbaseの正当な事業努力のために利用データが必要な期間、転送および維持されます。ユーザーアクションの特定の集計および匿名化された記録は、永久に保持される場合があります。

データのカテゴリー

移転される個人情報は、以下のカテゴリーに分類されます（具体的にご記入ください）：

●  利用データにおける個人データ:利用データには、アカウントIDおよび電子メールアドレスを含むユーザーアカウント情報、IPアドレスを含む個人識別情報、雇用情報、連絡先情報、ブラウザ情報およびメタデータが含まれる場合があります。

特別カテゴリーのデータ（適切な場合）

両当事者は、本契約に基づき、特別カテゴリーのデータが移転されることを意図していません。

データ対象者

処理される個人データは、以下のデータ対象者のカテゴリーに属します（具体的にご記入ください）：

● データ主体には、顧客、顧客の従業員、その他の許可された利用者、およびその他の許可された協力者が含まれる場合があります。.

加工作業

個人情報は以下の基本的な処理活動の対象となります（具体的にご記入ください）：

製品、サービス、およびサポートを提供し、管理するための処理;
製品、サービス、サポートの向上および事業展開を目的とした、インサイトを導き出すための処理。;
● 顧客の質問への対応・関与、マーケティングおよび営業活動の実施、ならびにビジネスメタデータの分析を行うための処理。.

頻度

個人データは継続的に転送される可能性があります。

 

アネックスB
セキュリティ対策

本付属書は、Couchbaseのセキュリティ対策について説明します。お客様は、クラウドサービスが責任共有モデルに従って運営されていることを認め、特に、お客様がお客様コンテンツ (お客様の管理下でお客様の環境内に保存されたまま) のセキュリティを保護するなどの特定の措置を講じることを要求します。Couchbaseがクラウドサービスに関連してお客様の代わりに顧客データを処理する場合、または標準契約条項の対象となる利用データを転送する範囲において、Couchbaseは以下のセキュリティ対策を実施および維持するものとします：

データ暗号化対策

● すべての顧客データは、TLS 1.2（またはそれ以上）を使用して転送中に暗号化され、AES-256暗号化を使用して保存時に暗号化されます。.
● 従業員のラップトップは、完全ディスクAES-256暗号化を使用して暗号化されています。.
● すべての資格情報は、TLS 1.2（またはそれ以降）を使用して転送中に暗号化され、保存時にも暗号化されます。.
暗号化キーは年単位でローテーションされ、AWS Key Management Service で保管・管理される。

可用性と回復可能性の対策

Couchbaseは、クラウドサービスの可用性を合理的に確保するように設計された災害復旧および事業継続計画および手順を維持します。
Couchbase Capellaは、Amazon (AWS)、Microsoft (Azure)、Google (GCP)(該当する場合)など、業界で認められたパブリッククラウドサービスプロバイダーが運営する地理的に分散されたデータセンターで展開されます。
冗長性は、Couchbase Capellaをサポートするシステムインフラに組み込まれています。プライマリシステムに障害が発生した場合、別のアベイラビリティゾーンにある冗長インフラがその代わりとなるように構成されています。
バックアップはクラウドインフラ内の管理された環境に保存される。バックアップデータへの論理的なアクセスは適切な担当者に制限され、高可用性ストレージに保存される。
インシデント発生時にデータを確実に復旧できるよう、運用担当者がスナップショットからバックアップを復元するバックアップ復元テストが年1回実施されます。.

組織のセキュリティ対策

Couchbaseは、Couchbase Capella提供と情報システムの機密性、完全性、可用性を保護し、データと情報システムに対するセキュリティ管理の有効性を確保するために、正式な情報セキュリティ管理システム（ISMS）を確立しています。
従業員は、贈収賄・腐敗防止、倫理および行動規範、インサイダー取引、グローバルデータプライバシー、ならびに年次セキュリティ意識向上トレーニングを受講することが義務付けられています。.
● 従業員は採用時に秘密保持契約への署名が義務付けられています。.
従業員のオンボーディング（入社手続き）およびオフボーディング（退職手続き）の活動に関して、正式な方針と手順が整備されています。アカウントのプロビジョニングおよびデプロビジョニングのプロセスが定義され、実装されています。.
● 従業員の退職時にはアクセス権限が削除され、役割の変更に伴い必要に応じて調整されます。.
重要および本番環境へのアクセスには多要素認証（MFA）が必須です。.
● パスワードの複雑さ要件が適用されます。.
承認されていない、あるいは意図しない変更や悪用の機会を減らすため、責任と職務の分離が実施されている。.
● Couchbaseは、第三者と署名済みの秘密保持契約を締結しています。.
Couchbaseのネットワークは信頼レベルに基づいて分離され、ファイアウォールによって保護されています。.

ロギングとモニタリング

● ユーザーアクティビティ、例外、障害、および情報セキュリティイベントのログ記録が有効になっています。ログは必要に応じて保管されます。.
すべてのログへのアクセスは、認可されたCouchbaseの従業員のみに制限されており、不正アクセスを防止するためのアクセス制御が講じられています。.
ログデータへの書き込みアクセスは厳に禁止されています。ロギング機能およびログ情報は、アクセス制御やセキュリティ対策を用いることで、改ざんや不正アクセスから保護されています。.
Couchbaseには、セキュリティアラートを生成し、異常なアクティビティを特定するためのさまざまなモニタリング対策が講じられています。.
Couchbase Capellaの運用チームは、セキュリティアラートとその基礎となる設定を定期的に確認し、それらが意図どおりに機能していること、および状況の変化に応じてコントロールが修正されることを確実にしています。.

アクセス・コントロール対策

Couchbaseはセキュリティのベストプラクティスを実装し、データベース、ネットワーク、アプリケーションの各層にわたってロールベースのセキュリティアーキテクチャを使用しており、主要システムへのアクセス権を付与する際には最小限の特権の原則を厳格に遵守しています。.
Couchbaseは、適切な職務分離をサポートするために、定義された職務機能とロールを有しています。.
● 稼働系、本番および災害復旧環境へのアクセスは、個別のユーザーアカウント、強固なパスワード、多要素認証（MFA）の使用、ロールベースのアクセス制御、および最小権限の原則によって保護されています。.
本番Couchbaseアプリケーションで使用されるアクセスキー（AWSアクセスキーなど）は、権限を持つ担当者のみがアクセスできるように制限されています。これらは、必要に応じて（セキュリティアドバイザリや担当者の退職などに伴い）、また少なくとも年1回、定期的にローテーション（変更）されます。.
運用環境における、データのアクセス、変更、削除を含むユーザーの活動はログに記録されます。.
認可リクエストとプロビジョニングは、記録、追跡、および監査されます。.
ネットワークベースのファイアウォールに加え、Webアプリケーションファイアウォール（WAF）が導入されている。.

物理的なセキュリティ対策

● Couchbase Capellaは、Amazon (AWS)、Microsoft (Azure)、Google (GCP) などの業界で認知されたパブリッククラウドサービスプロバイダー（該当する場合）が運営する、地理的に分散したデータセンターにデプロイされます。.
● 機密データを含むすべての施設への物理的アクセスは制限され、管理されています。.
● すべての情報資源施設（ネットワーククローゼットや備品室など）は、その機能の重要度や重要性に応じて物理的に保護されています。.
情報リソース施設へのアクセスは、業務上その施設へのアクセスが必要とされる会社の従業員および契約社員にのみ許可されます。.
訪問者がアクセスできるすべての情報リソース施設は、サインインログで訪問者のアクセスを追跡するように構成されています。.
情報資源施設のカード入退室記録および来訪者ログは、保護対象である情報資源の重要性に基づき、定期的レビューのために保管される。.
機器は、環境上の脅威、災害、および不正アクセスのリスクを軽減するために保護されています。.

安全なシステム構成

● Couchbaseには、変更管理に関するポリシーと手順が策定されています。.
● Couchbaseは、対象システムの変更を監視し、該当する標準プロセスが遵守されるようにし、また本番環境への未検出の変更に関するリスクを軽減します。変更は変更管理システムで追跡されます。.
不正な変更を防止するため、アクセス制御の方針および手順が整備されている。.
モバイルデバイス管理コントロールが導入されています。.

ガバナンス

Couchbaseは、Couchbase Capellaの提供および情報システムの機密性、完全性、可用性を保護し、データおよび情報システムに対するセキュリティ統制の実効性を確保するために、正式な情報セキュリティマネジメントシステム（ISMS）を確立しています。.
● Couchbaseには、関連文書を含む、文書化され承認された情報セキュリティポリシーが整備されている。.
Couchbaseの情報セキュリティプログラムを管理する権限と責任は、情報セキュリティ・コンプライアンス・グループに委譲されており、同グループは、Couchbaseの情報セキュリティプログラムを策定、実装、管理するために必要な措置を講じる権限を経営陣から付与されています。.

コンプライアンス

Couchbaseは独立した第三者監査人による監査を受け、SOC 2 タイプ1コンプライアンスを達成しており、Couchbase Capellaサービスに保存および処理される情報の機密性と可用性を保護する管理策への当社の取り組みを証明しています。.

データへの最低限のアクセス

● 新製品・サービスの導入および第三者による個人データの処理に関連して、プライバシー評価が実施されます。.
● データ収集は、処理の目的（または顧客が提供することを選択したデータ）に限定されます。.
必要な機能の実行に最低限必要なアクセスのみを提供するよう、セキュリティ対策が講じられています。.
● データ保持要件が特定されている
個人データへのアクセスは、定義された役割と責任に従い、「知る必要がある」原則を遵守し、処理に関与する担当者に制限されます。.

説明責任対策

個人データの処理を伴う新しい製品やサービスを導入する際には、カスタマー・プライバシー・アセスメント（顧客プライバシー評価）が必須となります。.
データ保護影響評価は、あらゆる新規のデータ処理イニシアチブの一環です。.

データ対象者のアクセス要求

● データ主体は、自身の個人データの業界標準形式でのエクスポートを要求する資格を有します。.
Couchbaseの一般公開されているプライバシーポリシーに記載されている通り、個人が自身のプライバシー権（例：消データ消去権やデータポータビリティ権など）を行使できるプロセスが整備されている。.

Couchbaseは、GDPRの妥当性要件を満たすための補足措置に関する欧州データ保護委員会の最近のガイダンス、および欧州のデータ保護当局が発行したその他のガイダンスが発生した場合は、その分析を継続します。

 

アネックスC
データの転送

本付属書は、お客様がクラウドサービスを使用する際に、管轄区域から管轄区域外にあるCouchbaseに合法的に個人データを転送するためのオンワード転送メカニズムが必要な場合に適用される条件を規定します。

1.英国標準契約条項  英国標準契約条項が適用される英国からのデータ移転については、英国標準契約条項が以下のように締結され（参照により本DPAに組み込まれ）、完了したものとみなされます：

a. Couchbaseが顧客データを処理する場合、英国管理者・事業者間SCCが適用されます。例示的な補償条項は適用されません。別紙Aは、英国管理者・事業者間SCCの付録1として機能します。別紙Bは、英国管理者・事業者間SCCの付録2として機能します。別紙Dは、該当する場合、英国管理者・事業者間SCCの特定の条項に基づく各自の義務に関するCouchbaseおよび顧客の解釈を定めています。.

b. Couchbaseが利用データ（Usage Data）を移転する場合、英国管理者間（Controller-to-Controller）SCCが適用されます。第II条(h)において、Couchbaseは、英国管理者間SCCの付属文書Aに定められたデータ処理原則に従って個人データを移転するものとします。例示的な商業条項は適用されません。本DPAのスケジュールAは、英国管理者間SCCの付属文書Bとして機能します。.

2.2021年標準契約条項。  GDPRおよび/またはスイスFDPAの対象となるデータ移転については、以下の方法で2021年標準契約条項が適用されます：

a.モジュール1（コントローラーからコントローラー）は、お客様が使用データのコントローラーであり、Couchbaseが使用データのコントローラーである場合に適用されます。

b.モジュール2（管理者から処理者）は、お客様が顧客データの管理者であり、Couchbaseが顧客データの処理者である場合に適用されます；

c.モジュール3（処理者対処理者）は、お客様が顧客データの処理者であり、Couchbaseが顧客データのサブ処理者である場合に適用されます；

d.各モジュール（該当する場合）：
(i) 第 7 条において、オプションのドッキング条項が適用される；
(ii) 第9条において、オプション2が適用され、サブプロセッサー変更の事前通知期間は、本DPAの第3条（サブプロセッシング）に定めるとおりとします；
(iii) 第11条では、オプションの文言は適用されない；
(iv) 第 17 条（オプション 1）において、2021 年標準契約条項は、データ輸出者が設立されている EU 加盟国の法律に準拠し、そのような法律がない場合はアイルランドの法律に準拠する。
(v) 第18条(b)において、紛争はデータ輸出者が設立されているEU加盟国の裁判所で解決され、そのような法律がない場合はアイルランド共和国の裁判所で解決されます。
(vi) 附属書 I のパート A：

データエクスポーター：  お客様およびお客様の認定関連会社。

連絡先  クラウドサービスに基づく通信を受信するための関連アカウントとして指定されたお客様の電子メールアドレス

データエクスポーターの役割  お客様は、該当する場合、顧客データの管理者または処理者であり、利用データの管理者です。

署名と日付  データ輸出者は、本契約を締結することにより、本契約の発効日において、付属文書を含め、本契約に組み込まれたこれらの標準契約条項に署名したものとみなされる。

データインポーター：  Couchbase, Inc.

連絡先 Couchbase リーガルチーム - legal@couchbase.com

データインポーターの役割 Couchbaseは、該当する場合、顧客データの処理者またはサブ処理者であり、利用データの管理者です。

署名と日付 本契約を締結することにより、データインポーターは、本契約の発効日において、付属文書を含め、本契約に組み込まれた本標準契約条項に署名したものとみなされます。

(vii) 附属書 I のパート B：
データ対象者の分類は、本DPAの付属文書Aに記載されています。

移転される機微データは、本DPAの付属書Aに記載されている。

移籍の頻度は契約期間中、継続的に行われる。

処理の性質は、本DPAの付属書Aに記載されています。

処理の目的は、本DPAの付属書Aに記載されています。

処理の期間は、本DPAの付属書Aに記載されています。

サブプロセッサーへの移管については、処理の対象、性質、および期間について、以下に概説する。 https://info.couchbase.com/cloud-subprocessors.html

(viii) 附属書IのパートC：上記第3項(d)(iv)で指定されたEU加盟国の監督当局が管轄監督当局として行動する。

(ix) スケジュール2は、標準契約条項の付属書IIとなる。

4.矛盾する用語。 標準契約条項と本DPAのその他の条項との間に矛盾がある場合は、標準契約条項の規定が優先されます。

 

付録D

本付属書は、以下に特定される英国の管理者から処理者へのSCC（条項ともいう）の特定の条項に基づくそれぞれの義務に関する当事者の解釈を定めるものである。当事者が本付属書に定める解釈に従う場合、当該当事者は、他方当事者から、本条項における約束を遵守したとみなされるものとする。
本付属書において、「DPA」とは、データ輸入者とデータ輸出者の間で締結され、本条項が組み込まれたデータ処理補遺を意味し、「合意」とは、DPAにおいて与えられる意味を有するものとします。

第4条(h)および第8条：本条項の開示

1.データ輸出者は、本条項が本契約で定義されているとおり、データ輸入者の秘密情報であり、本契約に従って許可されている場合を除き、データ輸入者の事前の書面による同意なしにデータ輸出者が第三者に開示することができないことに同意するものとします。ただし、第 4 条(h)に従ったデータ主体または第 8 条に従った監督当局への本条項の開示を妨げるものではありません。

第5条(a)：データ転送の停止および終了：

1.両当事者は、データ輸入者がデータ輸出者に代わり、データ輸出者の指示および本条項に従ってのみ個人データを処理できることを認めるものとします。

2.この場合、データ輸出者はデータの転送を停止および/または契約を終了する権利を有します。

3.データ輸出者が個人データの転送を停止し、および/または本条項を終了する場合、データ輸入者に通知し、データ輸入者に非遵守を是正するための合理的な期間を提供するよう努めるものとします（""）。治療期間").

4.治療期間後、データ輸入者がコンプライアンス違反を治療しなかった場合、または治療でき ない場合、データ輸出者は個人データの転送を直ちに停止または終了することができます。データ輸出者は、データ対象者またはその個人データに重大な危害が及ぶ恐れがあると判断した場合、このような通知を行う必要はないものとします。

第5条(f)監査

1.データ輸出者は、データ輸入者が DPA 第 4 条（セキュリティおよび監査）に記載されている監査措置を遵守するよう指示することにより、第 5 条（f）に基づく監査権を行使することを認め、同意するものとします。

第5条(j)：サブプロセッサー契約の開示

1.両当事者は、データ輸入者が本条項に基づいて締結した前方サブプロセッサー 契約のコピーをデータ輸出者に速やかに送付する義務を認めるものとします。

2.両当事者はさらに、サブプロセッサの守秘義務制限に従い、データ輸入者がデータ輸出者に 対して以降のサブプロセッサ契約を開示することが制限される場合があることを認める。これにかかわらず、データ輸入者は、データ輸出者にサブプロセッサー契約を開示することを許可するよう、データ輸入者が指名するサブプロセッサーに要求する合理的な努力を払うものとします。

3.データ輸入者がデータ輸出者にサブプロセッサー契約を開示できない場合であっても、データ輸出者の要求があれば、データ輸入者はデータ輸出者に対し、当該サブプロセッサー契約に関連する合理的な範囲ですべての情報を（機密情報として）提供することに両当事者は同意するものとします。

第6条責任

1.本条項に基づいて提起される請求はすべて、本契約に定める除外および制限を含むがこれに限定されない条件に従うものとする。いかなる場合においても、いかなる当事者も、本条項に基づいてデータ対象者の権利に関する責任を制限することはできない。

第11条：オンワード・サブプロセシング

1.両当事者は、「指令 95/46/EC に基づき第三国に設立された処理業者への個人データの移転に 関する標準契約条項に関する 2010 年 2 月 5 日の EU 委員会決定 2010/87/EU の発効により提起されたいくつかの問題に対処するための FAQ」と題された第 29 条作業部会文書 WP 176 の FAQ II.1 に従い、データ輸出者がデータ輸入者による前方へのサブ処理に一般的な同意を提供できることを認めます。

2.従って、データ輸出者は、本条項第 11 項に従って、データ輸入者に対 してオンワード・サブプロセッサーと契約することに一般的な同意を提供します。かかる同意は、データ輸入者が DPA の第 8 項（a）に規定された要件を遵守することを条件とします。