Couchbase Capella Cloud顧客データ処理に関する補遺

本データ処理補遺（以下「本補遺」という。DPA"）は、Capella Master Service Agreement、またはお客様のクラウドサービスの使用を規定するお客様とCouchbase間のその他の契約の一部を構成します（"）。協定書"）との間で、Couchbase, Inc.Couchbase"）と指定された当事者である。お客様本契約（以下「本契約」という。お客様"）（それぞれ"パーティー"であり、共に"関係者”). The effective date of this DPA is the effective date of the Agreement, or if executed separately, the date of the last signature below (“発効日").

本DPAは、お客様によるクラウドサービスの利用に関連する個人データの処理に関する両当事者のコミットメントを記述するものです。本契約の条項と本DPAの条項との間に抵触がある場合、当該抵触の範囲内において、本DPAの条項が優先するものとします。本DPAにおいて定義されていない大文字の用語は、本契約において与えられた意味を有するものとします。

本規約の最終更新日 2022年9月26日.

両当事者は以下の通り合意する：

1.定義 以下の大文字の用語は、本DPAにおいて使用される場合、以下に定める対応する意味を有する：
a."適用されるデータ保護法" とは、個人データに適用されるすべての世界的なプライバシーおよびデータ保護に関する法律、規制、規則、条例およびその他の政令を意味し、以下を含みます（ただし、これらに限定されません）：(i)欧州データ保護法、および(ii)2018年カリフォルニア州消費者プライバシー法（カリフォルニア州民法第1798.100条等）を含む米国のすべての法律および規制。"中共")を修正、優先、または置換することができる。

b."顧客データ"とは、本DPAの附属書Aに詳述されているように、クラウドサービスに関連して、サービスプロバイダーまたはプロセッサー（該当する場合）としてCouchbaseがお客様に代わって処理する個人データを意味します。

c."EEA"とは、欧州連合（EU）加盟国にアイスランド、リヒテンシュタイン、ノルウェーを加えた国を意味する。

d."欧州データ保護法”(i) 個人データの処理およびかかるデータの自由な移動に関する自然人保護に関する欧州議会および理事会の2016年679号規則（一般データ保護規則）（「“GDPR")、(ii)電子通信分野における個人データの処理とプライバシーの保護に関する指令2002/58/EC（"eプライバシー指令「)、(iii)(i)および(ii)の適用可能な国内実施、(iv) 1992年6月19日付スイス連邦データ保護法およびその条例(「スイスFDPA"）、(v)英国に関しては、2018年データ保護法、およびGDPR、eプライバシー指令、または英国のEU離脱の結果としてデータとプライバシーに関連するその他の法律に取って代わるか国内法に転換する適用可能な国内法（以下、総称して"）。英国データ保護法"）に従うものとする。いずれの場合も、修正され、置き換えられ、または置換される可能性がある。

e."モデル条項” means, depending on the circumstances unique to any particular Customer, any of the following: (i) the standard contractual clauses for processors as approved by the European Commission pursuant to its decision 2021/914 (the “2021 標準契約条項”),  and (ii) the UK International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, Version B1.0, in force from March 21, 2022, (“英国IDTA「を参照することにより組み込まれ、本DPAの一部を構成する標準契約条項（Standard Contractual Clauses）とも呼ばれる。

f."個人情報"とは、特定または識別可能な自然人に関連する情報であって、適用データ保護法により「個人データ」、「個人情報」または「個人を特定できる情報」として保護されるものを意味します。

g."セキュリティ事件”「セキュリティインシデント」とは、Couchbaseおよび／またはそのサブプロセッサーがクラウドサービスの提供に関連して送信、保管、またはその他の方法で処理する顧客データの、偶発的または違法な破壊、紛失、改ざん、無権限開示、あるいはアクセスにつながるセキュリティ上のあらゆる違反を意味します。両当事者は、ログインの失敗の試み、ピング、ポートスキャン、サービス拒否攻撃、およびファイアウォールやネットワーク化されたシステムに対するその他のネットワーク攻撃など、顧客データのセキュリティを損なわない不成功に終わった試みや活動は、「セキュリティインシデント」に含まれないことを確認し、これに同意するものとします。.

h."サブプロセッサー”「サブプロセッサー」とは、本契約または本DPAに基づきクラウドサービスの提供に関する義務の履行を支援するために、Couchbaseまたはその関連会社によって採用されたいかなるプロセッサーを意味します。サブプロセッサーには、第三者またはCouchbaseの関連会社が含まれる場合がありますが、Couchbaseの従業員、請負業者、またはコンサルタントは除外されます。.

i. The terms “コントローラー", "プロセッサー「そして 処理"はGDPRで与えられた意味を持つものとし、"プロセス", "プロセス"と"処理済み「という用語は、それに従って解釈されるものとする。ビジネス", "サービスプロバイダ"と"売る"は、CCPAにおいて与えられた意味を有するものとする。

2.処理の役割と範囲
a. スコープ 第2条(b)に従い、本DPAは、Couchbaseがプロセッサーまたはサービスプロバイダー（該当する場合）として、適用されるデータ保護法により保護される顧客データを処理する範囲に適用されます。

b. 両当事者の役割 両当事者は、以下の事項につき確認し、合意するものとする：(i) 顧客データの処理に関して、顧客は当該顧客データの該当する事業者、管理者、または処理者（場合に応じて）であり、Couchbaseは、本DPAの附属書Aに詳述されている通り、顧客に代わるサービスプロバイダー、処理者、または再処理者（場合に応じて）であること；並びに (ii) 顧客によるクラウドサービスの利用に関連してCouchbaseが収集する技術的利用データに含まれる個人情報に関して、“利用データ"）、Couchbaseは利用データの関連事業者または管理者であり、以下で利用可能なCouchbaseのプライバシーポリシーに従って利用データを処理します。 https://www.couchbase.com/privacy-policy.各当事者は、適用されるデータ保護法を含む、本DPAの履行において、当事者に適用され、当事者を拘束するすべての法律、規則および規制を遵守します。利用データに関して、Couchbaseは、該当する範囲で、第8条（a）（iii）および（iv）のみに準拠して当該データを処理します。

c. Couchbaseによる個人情報の処理。 Couchbaseは、DPAに記載された目的のためにのみ、お客様の文書化された合法的な指示に従って顧客データを処理することに同意します。両当事者は、本契約（本DPAを含む）が、顧客データの処理に関連するCouchbaseに対するお客様の完全かつ最終的な指示を定めることに同意し、これらの指示の範囲外の処理（もしあれば）は、お客様とCouchbase間の事前の書面による合意を必要とします。第2項(d) (お客様の責任)を損なうことなく、Couchbaseは、お客様からのデータ処理指示が適用データ保護法に違反していることを認識または確信した場合、適用データ保護法で禁止されていない限り、お客様に書面で通知し、お客様データの処理を一時停止することができるものとします。

d. 顧客の責任。 お客様は、本契約に基づく、または本契約に関連する顧客データ処理の合法性に責任を負います。お客様は、(i)Couchbaseが本契約（本DPAを含む）により企図された目的のためにお客様データを合法的に処理するために、適用されるデータ保護法の下で必要なすべての同意、許可および権利を提供し、今後も提供し続けることを表明および保証します；(ii)Couchbaseおよびそのサブプロセッサーへの顧客データの収集および提供に関して、顧客データの管理者および/または事業者として、適用されるすべてのデータ保護法を遵守していること、および(iii)処理指示が適用される法律（適用されるデータ保護法を含む）を遵守し、お客様の指示に従ってCouchbaseが顧客データを処理することにより、Couchbaseが適用されるデータ保護法に違反しないことを保証すること。

e. 集計データ。 上記または本契約（本DPAを含む）の反対規定にかかわらず、お客様は、Couchbaseおよびその関連会社が自身の合法的なビジネスのために匿名化、集計、および/または非識別化情報（適用データ保護法により定義される）を収集および作成する権利を有することを認めます。

3.サブプロセス
a. 承認されたサブプロセッサー。 お客様は、Couchbaseがお客様に代わってお客様データを処理するためにサブプロセッサーを雇用する可能性があることを認め、同意します。Couchbaseが現在従事し、お客様が承認したサブプロセッサは、Couchbaseのウェブサイト（現在https://info.couchbase.com/cloud-subprocessors.html）に掲載されています。新しいサブプロセッサが追加される少なくとも15日前に、Couchbaseは該当するウェブサイトを更新し、当該Couchbaseのウェブサイトで提供されるメカニズムを通じて、その更新をお客様に通知します。ただし、Couchbaseが、お客様データの機密性、完全性、または可用性を保護するため、またはクラウドサービスの重大な中断を回避するために、迅速ベースで新しいサブプロセッサを従事させることが必要であると合理的に判断した場合、Couchbaseは代わりに、合理的に実行可能な限り速やかにそのような通知を行います。

4.セキュリティと監査
a. セキュリティ対策。  Couchbaseは、その管理下にある顧客データをセキュリティインシデントから保護し、顧客データのセキュリティと機密性を保持するために、最新技術、導入コスト、および処理の性質、範囲、文脈、および目的（以下"）を考慮して設計された適切な技術的および組織的セキュリティ対策を実施し、維持するものとします。セキュリティ対策").かかるセキュリティ対策には、最低限、本DPAの付属書Bに記載されている対策が含まれます。Couchbaseは、本DPAに基づきCouchbaseにより顧客データの処理を許可された者が適切な守秘義務（契約上または法律上の義務を問わない）を負うことを保証するものとします。

b. セキュリティ対策の更新。 お客様は、セキュリティ対策が技術的進歩および開発の対象であり、Couchbaseが随時セキュリティ対策を更新または修正する可能性があることを認めます。ただし、かかる更新および修正は、お客様が購入したクラウドサービス全体のセキュリティの低下をもたらさないことを条件とします。

c. 顧客のセキュリティ責任。 上記にかかわらず、お客様は、本 DPA の定める場合を除き、セキュリティ インシデントから保護し、自己の支配および管理下にある間、お客様データのセキュリティおよび機密性を保持するために設計された適切な技術的および組織的セキュリティ対策を実施し、維持することに同意するものとします。お客様は、(i) クラウド サービスにアクセスするために使用されるすべてのお客様のクレデンシャルのセキュリ ティを保護すること、(ii) お客様のクラウド環境およびお客様のシステムを保護すること（かかる措置には、アクセ ス キーの定期的なローテーションおよび不正アクセスを防止するためのその他の業界標準の措置が含まれますが、こ れらに限定されません）；(iii)お客様のクラウド環境またはその他のお客様が管理するシステム内のお客様の管理下にあるお客様データのバックアップおよび保護、および(iv)データセキュリティおよびプライバシーに関連するCouchbaseが提供する情報を確認し、クラウドサービスが適用データ保護法に基づくお客様の要件および法的義務を満たすかどうかについて独自の判断を下すこと。

d. セキュリティ・インシデントへの対応 適用されるデータ保護法により要求される範囲において、セキュリティインシデントを認識した場合、Couchbaseは、クラウドサービスを通じて過度な遅延なくお客様に通知し、以下を行うものとします：(i)適用されるデータ保護法に基づきお客様が行う必要がある個人データ侵害通知に関連してお客様を支援するため、Couchbaseは、クラウドサービスの性質、Couchbaseが利用可能な情報、および守秘義務などの情報開示に関する制限を考慮し、お客様が合理的に要求するセキュリティインシデントに関連する情報を、判明した時点でタイムリーにお客様に通知します；(ii) Couchbaseの合理的な管理範囲内で、セキュリティインシデントを封じ込め、調査し、修復するために、Couchbaseが必要かつ合理的とみなす措置を速やかに講じること。本第4条（d）に基づくCouchbaseによるセキュリティインシデントの通知または対応は、セキュリティインシデントに関する過失または責任をCouchbaseが認めるものと解釈されないものとします。本契約に定める義務は、セキュリティインシデントがお客様またはその認定ユーザーに起因する範囲では適用されないものとします。

e. セキュリティ監査。 Couchbaseは、本DPAへのCouchbaseの遵守を確認するために必要な情報セキュリティおよび監査質問票への回答を含め、顧客データのCouchbaseによる処理に関連して顧客が行ったすべての合理的な書面による情報提供の要求に対し、（機密保持を条件として）書面による回答を提供するものとしますが、ただし、顧客は任意の12か月の通算期間においてこの権利を1回を超えて行使しないものとします。前述にかかわらず、顧客は、データ保護当局にこの情報を提供することを明示的に要求されたかもしくは義務付けられた場合、Couchbaseにおいてセキュリティインシデントが発生した場合、またはその他の合理的に類似する理由に基づき、かかる監査権を行使することもできます。.

5. 国際送金
a. 加工場所 顧客は、Couchbase、その関連会社、またはそのサブプロセッサーがデータ処理業務を維持している米国および世界中のその他の場所へ、Couchbaseが顧客データを移転および処理することを確認し、これに同意するものとする。Couchbaseは、かかる移転が適用されるデータ保護法および本DPAの要件に準拠して常に行われることを確保するものとする。.

b.移籍のメカニズム。 適用されるデータ保護法により、本DPAに規定されるお客様データの移転を許可するためにさらなる措置が必要な場合（2021年標準契約条項またはUK IDTAを別文書として締結または再締結すること、および/または追加のクロスボーダー移転条項を締結することを含みますが、これらに限定されません、）および/または本DPAの移転メカニズム(下記第8条に定めるものを含むがこれに限定されない)が適用データ保護法の下で修正、置き換え、廃止またはその他の方法で終了した場合、お客様とCouchbaseは、適用データ保護法に準拠した移転を可能にするために合理的に必要なすべての措置を講じるために誠実に協力することに同意します。

6.顧客データの削除。
a.クラウド サービスは、お客様がクラウド サービスの機能と一致する方法で、期間中にお客様データを削除または取得するために使用できるコントロールを提供します。

b.お客様は、本契約により、Couchbaseに対し、本契約の終了もしくは満了時、または本契約に基づくクラウドサービスの終了もしくは一時停止の場合、本契約に従い、Couchbaseが所有または管理するすべてのお客様データ（コピーを含む）を削除する権限を付与します。

7.個人の権利と協力
a. データ主体の要求 クラウドサービスは、お客様がクラウドサービスに適用されるドキュメントに記載されている通り、お客様データの取得、修正、削除、または制限に使用できるセキュリティ機能や機能性を含む多数のコントロールをお客様に提供します。第4条(a)を害することなく、お客様は、データ主体からの請求への対応に関連する義務を含む、適用されるデータ保護法に基づく義務を遂行するための技術的および組織的措置として、これらのコントロールを使用することができます。お客様がクラウドサービス内のおれに関連するお客様データに独自にアクセスできない場合、Couchbaseは、処理の性質を考慮し、本契約に基づくお客様データの処理に関する個人または適用あるデータ保護当局からの請求に対応するためにお客様を支援する合理的な協力を行います。万が一、そのような請求が直接Couchbaseになされた場合、Couchbaseは、法律により義務付けられている場合を除き、お客様の事前の承認なしに当該連絡に直接対応しないものとします。Couchbaseがかかる請求への対応を義務付けられている場合、Couchbaseは、法律により禁止されている場合を除き、速やかにお客様に通知し、当該請求の写しを提供するものとします。.

b. 召喚令状と裁判所命令。 法執行機関がCouchbaseに（例えば、召喚状または裁判所命令を通じて）顧客データの要求を送付した場合、Couchbaseは、Couchbaseが法的に禁止されていない限り、お客様が保護命令またはその他の適切な救済を求めることができるように、要求の合理的な通知をお客様に行うものとします。

8.管轄区域固有の条件
a. ヨーロッパだ。 顧客データが欧州データ保護法の対象となる範囲においては、本DPAのその他の条項に加え、以下の条項が適用されるものとします：
i. サブプロセッサの義務 Couchbaseは以下を行うものとします：(A)各サブプロセッサーとの間で、適用される欧州データ保護法および本DPAで要求される基準で個人データを保護することをサブプロセッサーに義務付けるデータ保護条件を課す書面による契約を締結し、(B)本DPAの義務を遵守すること、およびCouchbaseが本DPAに基づく義務に違反する原因となるサブプロセッサーの行為または不作為に対して責任を負うこと。
ii. サブプロセッサーに対する異議 顧客は、セクション3(a)に従ってCouchbaseから通知を受領してから暦日5日以内にCouchbaseに書面で速やかに通知することにより、データ保護に関連する合理的な理由（例えば、サブプロセッサーに顧客データを利用させることが欧州データ保護法に違反する場合、または当該顧客データに対する保護を弱める場合など）に基づき、Couchbaseによる新しいサブプロセッサーの選任に書面で異議を唱えることができる。当該通知には異議申立ての合理的な理由を説明するものとし、当事者は商業的に合理的な解決策を見出すことを目指して、当該懸念事項について誠実に協議するものとする。かかる解決策に達しない場合、Couchbaseは、その単独の裁量により、サブプロセッサーを選任しないか、または、いずれの当事者に対しても責任を負うことなく（ただし、停止または終了の前に顧客に発生した料金を害することなく）、本契約の終了規定に従って顧客が影響を受けるクラウドサービスの停止または終了を許可するものとする。本セクション8(a)(ii)に定めるところに従って異議が申し立てられない限り、顧客は、本DPAに記載されているサブプロセッサーのCouchbaseによる利用に同意するものとする。.
iii. データの移転。 Couchbaseが（欧州データ保護法に記載されているように）個人データの適切な保護を提供することが認められていない第三国で欧州データ保護法によって保護される個人データを処理する（または処理させる）範囲では、付属書Cの条件(データの転送)が適用され、お客様(データ輸出者として)は、Couchbase(データ輸入者として)とモデル条項を締結したとみなされ、Couchbaseは、参照により完全に組み込まれ、本DPAの不可欠な部分を形成するモデル条項に従い、当該顧客データを遵守し、処理することに同意します。モデル条項の記述の目的上、(A) Couchbaseは「データ輸入者」であり、お客様は「データ輸出者」であることに同意します（お客様自身がEEAまたは英国外に所在する事業体である可能性にかかわらず）、(B) 本DPAの付属書Aおよび付属書Bは、モデル条項の付属書1および付属書2に取って代わるものとします。いずれの当事者の意図も、また本DPAの効果も、モデル条項に規定された条項に矛盾したり制限したりするものではありません。したがって、モデル条項が本DPAのいずれかの条項と抵触する場合、および抵触する範囲においては、モデル条項が優先するものとします。モデル条項は、EEAまたは英国外に直接または転送されない顧客データには適用されません。
iv. 代替移籍メカニズム。 Couchbaseが、適用される欧州データ保護法で規定される顧客データの移転のための代替データエクスポートソリューションを採用する場合、およびその範囲内で（以下「」）。代替移籍メカニズム"）、代替譲渡メカニズムが代わりに適用されるものとする（ただし、当該代替譲渡メカニズムが譲渡に適用される範囲に限る）。
v. データ保護影響評価。 適用される欧州データ保護法によりCouchbaseが要求される範囲において、Couchbaseは、お客様がデータ保護影響評価または監督当局との事前協議を実施できるように、本契約に基づくCouchbaseの個人データ処理に関する合理的に要求された情報を提供するものとします。
vi. 英国からのデータ転送。 個人データの移転が英国の法律（英国一般データ保護規則を含む）の対象となる場合、当事者はこれに同意します：
1.第2部「必須条項」を含むIDTAの規定は、全面的に適用されるものとする；
2.UK IDTAの表1の目的のため、当事者の氏名、役割、およびその詳細は、添付の付属文書Cに記載されるものとする；
3.英国IDTAの表2および表3については、添付の付属文書に記載された情報を含め、参照により本DPAに組み込まれた2021年標準契約条項が適用されるものとする。
4.英国IDTAの表4において、本DPAを修正するために当事者が誠実に努力した結果、当事者間で合意に達することができなかった場合、いずれの当事者も英国IDTAを終了することができます。

b. カリフォルニア州 顧客データがCCPAの対象となる範囲において、両当事者は、お客様が事業者であり、本契約（本DPAを含む）およびCCPAの下で許可されるように、または書面で別途合意された目的のために、顧客データを処理するサービスプロバイダーとしてCouchbaseを任命することに同意します（以下「本契約」）。許可された目的").お客様とCouchbaseは以下の事項に同意します：(i)Couchbaseは、許可された目的以外の目的で個人情報を保持、使用、または開示しないこと、(ii)顧客データはCouchbaseに販売されておらず、Couchbaseは個人情報を「販売」しないこと（CCPAで定義）、(iii)Couchbaseは、顧客とCouchbase間の直接的なビジネス関係以外で個人情報を保持、使用、または開示しないこと、(iv)Couchbaseは、クラウドサービスを提供する過程で個人情報を非識別化または集約する場合があることに同意します。Couchbaseは、本第8条(b)に定める制限を理解し、遵守することを証明します。

9.責任の制限
a. Each Party’s and all of its Affiliates’ liability, taken together in the aggregate, arising out of or related to this DPA (including the Model Clauses) whether in contract, tort (including negligence) or under any other theory of liability, shall be subject to the limitations and exclusions of liability in the Agreement, and any reference in provisions to the liability of a party means the aggregate liability of that party and all of its Affiliates under and in connection with the Agreement and this DPA together.

b. 適用されるデータ保護法により、顧客関連会社が本DPAに基づく権利の行使または救済の追求をCouchbaseに対して直接行うことが義務付けられている場合を除き、両当事者は、(i) 契約の当事者である顧客法人単独が、関連会社に代わって、本DPAに基づき顧客関連会社が有する可能性のある権利の行使または救済の追求を行うこと、および (ii) 契約の当事者である顧客は、本DPAに基づくかかる権利を、関連会社ごとに個別にではなく、すべての関連会社をまとめて行使することに同意するものとする。.

10.その他
a.本DPAによる変更を除き、本契約に変更はなく、完全な効力を有します。

b.b.本DPAは副本として締結することができ、各副本は原本とみなされますが、各副本はすべて、同一の文書を構成します。

c.本DPAのいずれかの条項または一部の条項が無効、違法または執行不能となった場合、当該条項は削除されたものとみなされますが、本DPAのその他の条項の有効性および執行可能性には影響しないものとします。

d.本DPAは、欧州データ保護法により別段の定めがない限り、本契約の準拠法および裁判管轄の規定に準拠し、これに従って解釈されるものとします。

 

付録A
データ処理

本付属書Aは、DPAの一部を構成し、(i)該当する場合、Couchbaseが管理者または処理者としてお客様に代わって処理者またはサブ処理者としてお客様データに対して実行する処理、および(ii)Couchbaseが管理者として実行する利用データの移転について説明します。

1) 顧客データ
期間
本DPAに基づくデータ処理の期間は、本契約の条項に従って本契約が終了するまでと、本契約の終了から本契約の条項（本DPAを含む）に従ってCouchbaseが個人データを削除するまでの期間を加えた期間とします。

データのカテゴリー
処理される個人データは、以下のカテゴリーに分類されます（具体的にご記入ください）：
● 顧客コンテンツまたはサポートコンテンツ内の個人データ:クラウドサービスにより、またはクラウドサービスを通じて、お客様または認定ユーザーのために提供されたコンテンツまたはデータに含まれる個人データ。

特別カテゴリーのデータ（適切な場合）
両当事者は、本契約に基づき、いかなる特別カテゴリーのデータも処理することを意図していません。

データ対象者
処理される個人データは、以下のデータ対象者のカテゴリーに属します（具体的にご記入ください）：
データ主体には、認証されたユーザーを含め、顧客により、または顧客の指示に従ってクラウドサービスを介してCouchbaseにデータが提供される個人が含まれます。データ主体には、顧客の顧客、従業員、サプライヤー、エンドユーザーが含まれる場合があります。.

加工作業
個人情報は以下の基本的な処理活動の対象となります（具体的にご記入ください）：
● 本契約に従いクラウドサービスを提供するための処理;
本契約の履行に必要な処理を行うこと；
お客様がクラウドサービスを利用する際に開始した処理。
● processing to comply with other reasonable instructions provided by Customer (e.g. via email or support tickets) that are consistent with the terms of the Agreement.

頻度
個人データは継続的に転送される可能性があります。

2) 利用データ
期間
利用データは、関連する契約の期間に加えて、Couchbaseの正当な事業努力のために利用データが必要な期間、転送および維持されます。ユーザーアクションの特定の集計および匿名化された記録は、永久に保持される場合があります。

データのカテゴリー
移転される個人情報は、以下のカテゴリーに分類されます（具体的にご記入ください）：
●  利用データにおける個人データ:利用データには、アカウントIDおよび電子メールアドレスを含むユーザーアカウント情報、IPアドレスを含む個人識別情報、雇用情報、連絡先情報、ブラウザ情報およびメタデータが含まれる場合があります。

特別カテゴリーのデータ（適切な場合）
両当事者は、本契約に基づき、特別カテゴリーのデータが移転されることを意図していません。

データ対象者
処理される個人データは、以下のデータ対象者のカテゴリーに属します（具体的にご記入ください）：
● データ主体には、顧客、顧客の従業員、その他の許可された利用者、およびその他の許可された協力者が含まれる場合があります。.

加工作業
個人情報は以下の基本的な処理活動の対象となります（具体的にご記入ください）：
●  Processing to provide and administer the products, services and support;
製品、サービス、サポートの向上および事業展開を目的とした、インサイトを導き出すための処理。;
● 顧客の質問への対応・関与、マーケティングおよび営業活動の実施、ならびにビジネスメタデータの分析を行うための処理。.

頻度
個人データは継続的に転送される可能性があります。

 

アネックスB
セキュリティ対策

本付属書は、Couchbaseのセキュリティ対策について説明します。お客様は、クラウドサービスが責任共有モデルに従って運営されていることを認め、特に、お客様がお客様コンテンツ (お客様の管理下でお客様の環境内に保存されたまま) のセキュリティを保護するなどの特定の措置を講じることを要求します。Couchbaseがクラウドサービスに関連してお客様の代わりに顧客データを処理する場合、または標準契約条項の対象となる利用データを転送する範囲において、Couchbaseは以下のセキュリティ対策を実施および維持するものとします：

データ暗号化対策
● すべての顧客データは、TLS 1.2（またはそれ以上）を使用して転送中に暗号化され、AES-256暗号化を使用して保存時に暗号化されます。.
● 従業員のラップトップは、完全ディスクAES-256暗号化を使用して暗号化されています。.
● すべての資格情報は、TLS 1.2（またはそれ以降）を使用して転送中に暗号化され、保存時にも暗号化されます。.
● Encryption keys are rotated on an annual basis and are stored and managed by the cloud service provider selected by Customer.

可用性と回復可能性の対策
Couchbaseは、クラウドサービスの可用性を合理的に確保するように設計された災害復旧および事業継続計画および手順を維持します。
Couchbase Capellaは、Amazon (AWS)、Microsoft (Azure)、Google (GCP)(該当する場合)など、業界で認められたパブリッククラウドサービスプロバイダーが運営する地理的に分散されたデータセンターで展開されます。
冗長性は、Couchbase Capellaをサポートするシステムインフラに組み込まれています。プライマリシステムに障害が発生した場合、別のアベイラビリティゾーンにある冗長インフラがその代わりとなるように構成されています。
バックアップはクラウドインフラ内の管理された環境に保存される。バックアップデータへの論理的なアクセスは適切な担当者に制限され、高可用性ストレージに保存される。
インシデント発生時にデータを確実に復旧できるよう、運用担当者がスナップショットからバックアップを復元するバックアップ復元テストが年1回実施されます。.

組織のセキュリティ対策
Couchbaseは、Couchbase Capella提供と情報システムの機密性、完全性、可用性を保護し、データと情報システムに対するセキュリティ管理の有効性を確保するために、正式な情報セキュリティ管理システム（ISMS）を確立しています。
従業員は、贈収賄・腐敗防止、倫理および行動規範、インサイダー取引、グローバルデータプライバシー、ならびに年次セキュリティ意識向上トレーニングを受講することが義務付けられています。.
● 従業員は採用時に秘密保持契約への署名が義務付けられています。.
従業員のオンボーディング（入社手続き）およびオフボーディング（退職手続き）の活動に関して、正式な方針と手順が整備されています。アカウントのプロビジョニングおよびデプロビジョニングのプロセスが定義され、実装されています。.
● 従業員の退職時にはアクセス権限が削除され、役割の変更に伴い必要に応じて調整されます。.
重要および本番環境へのアクセスには多要素認証（MFA）が必須です。.
● パスワードの複雑さ要件が適用されます。.
承認されていない、あるいは意図しない変更や悪用の機会を減らすため、責任と職務の分離が実施されている。.
● Couchbaseは、第三者と署名済みの秘密保持契約を締結しています。.
Couchbaseのネットワークは信頼レベルに基づいて分離され、ファイアウォールによって保護されています。.

ロギングとモニタリング
● ユーザーアクティビティ、例外、障害、および情報セキュリティイベントのログ記録が有効になっています。ログは必要に応じて保管されます。.
すべてのログへのアクセスは、認可されたCouchbaseの従業員のみに制限されており、不正アクセスを防止するためのアクセス制御が講じられています。.
ログデータへの書き込みアクセスは厳に禁止されています。ロギング機能およびログ情報は、アクセス制御やセキュリティ対策を用いることで、改ざんや不正アクセスから保護されています。.
Couchbaseには、セキュリティアラートを生成し、異常なアクティビティを特定するためのさまざまなモニタリング対策が講じられています。.
Couchbase Capellaの運用チームは、セキュリティアラートとその基礎となる設定を定期的に確認し、それらが意図どおりに機能していること、および状況の変化に応じてコントロールが修正されることを確実にしています。.

アクセス・コントロール対策
Couchbaseはセキュリティのベストプラクティスを実装し、データベース、ネットワーク、アプリケーションの各層にわたってロールベースのセキュリティアーキテクチャを使用しており、主要システムへのアクセス権を付与する際には最小限の特権の原則を厳格に遵守しています。.
Couchbaseは、適切な職務分離をサポートするために、定義された職務機能とロールを有しています。.
● 稼働系、本番および災害復旧環境へのアクセスは、個別のユーザーアカウント、強固なパスワード、多要素認証（MFA）の使用、ロールベースのアクセス制御、および最小権限の原則によって保護されています。.
本番Couchbaseアプリケーションで使用されるアクセスキー（AWSアクセスキーなど）は、権限を持つ担当者のみがアクセスできるように制限されています。これらは、必要に応じて（セキュリティアドバイザリや担当者の退職などに伴い）、また少なくとも年1回、定期的にローテーション（変更）されます。.
運用環境における、データのアクセス、変更、削除を含むユーザーの活動はログに記録されます。.
認可リクエストとプロビジョニングは、記録、追跡、および監査されます。.
ネットワークベースのファイアウォールに加え、Webアプリケーションファイアウォール（WAF）が導入されている。.

物理的なセキュリティ対策
● Couchbase Capellaは、Amazon (AWS)、Microsoft (Azure)、Google (GCP) などの業界で認知されたパブリッククラウドサービスプロバイダー（該当する場合）が運営する、地理的に分散したデータセンターにデプロイされます。.
● 機密データを含むすべての施設への物理的アクセスは制限され、管理されています。.
● すべての情報資源施設（ネットワーククローゼットや備品室など）は、その機能の重要度や重要性に応じて物理的に保護されています。.
情報リソース施設へのアクセスは、業務上その施設へのアクセスが必要とされる会社の従業員および契約社員にのみ許可されます。.
訪問者がアクセスできるすべての情報リソース施設は、サインインログで訪問者のアクセスを追跡するように構成されています。.
情報資源施設のカード入退室記録および来訪者ログは、保護対象である情報資源の重要性に基づき、定期的レビューのために保管される。.
機器は、環境上の脅威、災害、および不正アクセスのリスクを軽減するために保護されています。.

安全なシステム構成
● Couchbaseには、変更管理に関するポリシーと手順が策定されています。.
● Couchbaseは、対象システムの変更を監視し、該当する標準プロセスが遵守されるようにし、また本番環境への未検出の変更に関するリスクを軽減します。変更は変更管理システムで追跡されます。.
不正な変更を防止するため、アクセス制御の方針および手順が整備されている。.
モバイルデバイス管理コントロールが導入されています。.

ガバナンス
Couchbaseは、Couchbase Capellaの提供および情報システムの機密性、完全性、可用性を保護し、データおよび情報システムに対するセキュリティ統制の実効性を確保するために、正式な情報セキュリティマネジメントシステム（ISMS）を確立しています。.
● Couchbaseには、関連文書を含む、文書化され承認された情報セキュリティポリシーが整備されている。.
Couchbaseの情報セキュリティプログラムを管理する権限と責任は、情報セキュリティ・コンプライアンス・グループに委譲されており、同グループは、Couchbaseの情報セキュリティプログラムを策定、実装、管理するために必要な措置を講じる権限を経営陣から付与されています。.

コンプライアンス
Couchbaseは独立した第三者監査人による監査を受け、SOC 2 タイプ1コンプライアンスを達成しており、Couchbase Capellaサービスに保存および処理される情報の機密性と可用性を保護する管理策への当社の取り組みを証明しています。.

データへの最低限のアクセス
● 新製品・サービスの導入および第三者による個人データの処理に関連して、プライバシー評価が実施されます。.
● データ収集は、処理の目的（または顧客が提供することを選択したデータ）に限定されます。.
必要な機能の実行に最低限必要なアクセスのみを提供するよう、セキュリティ対策が講じられています。.
● データ保持要件が特定されている
個人データへのアクセスは、定義された役割と責任に従い、「知る必要がある」原則を遵守し、処理に関与する担当者に制限されます。.

説明責任対策
個人データの処理を伴う新しい製品やサービスを導入する際には、カスタマー・プライバシー・アセスメント（顧客プライバシー評価）が必須となります。.
データ保護影響評価は、あらゆる新規のデータ処理イニシアチブの一環です。.

データ対象者のアクセス要求
● データ主体は、自身の個人データの業界標準形式でのエクスポートを要求する資格を有します。.
Couchbaseの一般公開されているプライバシーポリシーに記載されている通り、個人が自身のプライバシー権（例：消データ消去権やデータポータビリティ権など）を行使できるプロセスが整備されている。.

Couchbaseは、GDPRの妥当性要件を満たすための補足措置に関する欧州データ保護委員会の最近のガイダンス、および欧州のデータ保護当局が発行したその他のガイダンスが発生した場合は、その分析を継続します。

 

アネックスC
データの転送

本付属書は、お客様がクラウドサービスを使用する際に、管轄区域から管轄区域外にあるCouchbaseに合法的に個人データを転送するためのオンワード転送メカニズムが必要な場合に適用される条件を規定します。

1.2021年標準契約条項。 GDPRおよび/またはスイスFDPAの対象となるデータ移転については、以下の方法で2021年標準契約条項が適用されます：
a.モジュール1（コントローラーからコントローラー）は、お客様が使用データのコントローラーであり、Couchbaseが使用データのコントローラーである場合に適用されます。
b.モジュール2（管理者から処理者）は、お客様が顧客データの管理者であり、Couchbaseが顧客データの処理者である場合に適用されます；
c.モジュール3（処理者対処理者）は、お客様が顧客データの処理者であり、Couchbaseが顧客データのサブ処理者である場合に適用されます；
d.各モジュール（該当する場合）：
(i) in Clause 7, the optional docking clause will apply and the parties shall cooperate in good faith to take the necessary steps to apply the 2021 Standard Contractual Clauses to another party;
(ii) 第9条において、オプション2が適用され、サブプロセッサー変更の事前通知期間は、本DPAの第3条（サブプロセッシング）に定めるとおりとします；
(iii) 第11条では、オプションの文言は適用されない；
(iv) 第17条（オプション1）において、2021年標準契約条項は、データ輸出者が設立されているEU加盟国の法律に準拠し、そのような法律がない場合はアイルランドの法律に準拠する。ただし、管轄当局が2021年標準契約条項の使用を承認したEEA域外の国（スイスを含むがこれに限定されない）のデータ保護法の適用を受けるデータの移転（以下「データ移転」という。採用国"）、2021年標準契約条項は、採用国のデータ保護法に準拠する。
(v) 第 18 条(b)において、紛争はデータ輸出者が設立されている EU 加盟国の裁判所で解決され、そのような法律がない場合はアイルランド共和国の裁判所で解決されます。ただし、採用国のデータ保護法の対象となるデータの移転に関しては、2021 年標準契約条項から生じる紛争は採用国の裁判所で解決されます。
(vi) 附属書 I のパート A：
Data Exporter:  Customer and authorized affiliates of Customer.
Contact Details:  Customer’s email address(es) specified as the relevant account to receive communications under the Cloud Service
Data Exporter Role:  Customer is the controller or processor of Customer Data, as applicable, and controller of Usage Data
転送されたデータに関連する活動：Couchbaseおよび関連会社からのソフトウェアおよびサービスの受領
Signature & Date:  By entering into the Agreement and DPA, Data Exporter is deemed to have signed these Standard Contractual Clauses incorporated herein, including their Annexes, as of the Effective Date of the DPA.
Data Importer:  Couchbase, Inc.
連絡先の詳細Couchbase リーガルチーム - legal@couchbase.com
データインポーターの役割：Couchbaseは、該当する場合、顧客データの処理者またはサブ処理者であり、利用データの管理者です。
移転されるデータに関連する活動ソフトウェアおよびサービスの提供
署名および日付：本契約およびDPAを締結することにより、データインポーターは、DPAの発効日付で、付属文書を含め、ここに組み込まれた本標準契約条項に署名したものとみなされます。
(vii) 附属書 I のパート B：
データ対象者の分類は、本DPAの付属文書Aに記載されています。
移転される機微データは、本DPAの付属書Aに記載されている。
移籍の頻度は契約期間中、継続的に行われる。
処理の性質は、本DPAの付属書Aに記載されています。
処理の目的は、本DPAの付属書Aに記載されています。
処理の期間は、本DPAの付属書Aに記載されています。
サブプロセッサーへの移管については、処理の対象、性質、および期間について、以下に概説する。 https://info.couchbase.com/cloud-subprocessors.html
(viii) In Annex I, Part C: The supervisory authority of the EU member state specified in Section 1(d)(iv) above shall act as competent supervisory authority; provided that with respect to any transfers of data subject to the data protection laws of an Adopting Country, the supervisory authority is the data protection authority of the Adopting Country.
(ix) Annex B of this DPA serves as Annex II of the Standard Contractual Clauses.

4.矛盾する用語。 標準契約条項と本DPAのその他の条項との間に矛盾がある場合は、標準契約条項の規定が優先されます。