Couchbase Capella Cloud顧客データ処理に関する補遺

本データ処理補遺（以下「本補遺」という。DPA"）は、Capellaクラウドサービスサブスクリプション契約、またはお客様のクラウドサービスの使用を規定するお客様とCouchbase間のその他の契約の一部を構成します。 ("協定書"）との間で、Couchbase, Inc.Couchbase"）と指定された当事者である。お客様本契約（以下「本契約」という。お客様"）（それぞれ"パーティー"であり、共に"関係者").

本DPAは、お客様によるクラウドサービスの利用に関連する個人データの処理に関する両当事者のコミットメントを記述するものです。本契約の条項と本DPAの条項との間に抵触がある場合、当該抵触の範囲内において、本DPAの条項が優先するものとします。本DPAにおいて定義されていない大文字の用語は、本契約において与えられた意味を有するものとします。

両当事者は以下の通り合意する：

1.定義 以下の大文字の用語は、本DPAにおいて使用される場合、以下に定める対応する意味を有する：

a."適用されるデータ保護法" とは、個人データに適用されるすべての世界的なプライバシーおよびデータ保護に関する法律、規制、規則、条例およびその他の政令を意味します：(i)欧州データ保護法、および(ii)2018年カリフォルニア州消費者プライバシー法（カリフォルニア州民法第1798.100条ほか（以下「CCPA」といいます）を含む米国のすべての法律および規制。

b."顧客データ"とは、本DPAの附属書Aに詳述されているように、クラウドサービスに関連して、サービスプロバイダーまたはプロセッサー（該当する場合）としてCouchbaseがお客様に代わって処理する個人データを意味します。

c."EEA"とは、欧州連合（EU）加盟国にアイスランド、リヒテンシュタイン、ノルウェーを加えた国を意味する。

d."欧州データ保護法” means: (i) Regulation 2016/679 of the European Parliament and of the Council on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) (“GDPR")、(ii)電子通信分野における個人データの処理とプライバシーの保護に関する指令2002/58/EC（"eプライバシー指令「)、(iii)(i)および(ii)の適用可能な国内実施、(iv) 1992年6月19日付スイス連邦データ保護法およびその条例(「スイスFDPA")、および(v)英国に関しては、2018年データ保護法、およびGDPR、eプライバシー指令、または英国の欧州連合離脱の結果としてデータおよびプライバシーに関連するその他の法律に取って代わる、または国内法に転換する適用可能な国内法。

e."モデル条項" とは、特定のお客様固有の状況に応じて、以下のいずれかを意味します：(i) 欧州委員会の決定 2021/914 に従って欧州委員会が承認した処理業者に関する標準契約条項（以下「標準契約条項」という。2021 標準契約条項")および(ii)英国標準契約条項（それぞれ標準契約条項とも呼ばれ、参照により本DPAの一部を構成する。

f."個人情報"とは、特定または識別可能な自然人に関連し、""として保護されるあらゆる情報を意味する。個人データ“, “個人情報「または個人を特定できる情報「適用されるデータ保護法に基づく。

g."セキュリティ事件” means any breach of security that leads to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of or access to Customer Data transmitted, stored or otherwise processed by Couchbase and/or its Sub-processors in connection with the provision of the Cloud Service. The Parties acknowledge and agree that “Security Incident” shall not include unsuccessful attempts or activities that do not compromise the security of Customer Data, including unsuccessful log-in attempts, pings, port scans, denial of service attacks, and other network attacks on firewalls or networked systems.

h."サブプロセッサー” means any processor engaged by Couchbase or its Affiliates to assist in fulfilling its obligations with respect to providing the Cloud Service pursuant to the Agreement or this DPA. Sub-processors may include third parties or Couchbase Affiliates but shall exclude any Couchbase employee, contractor or consultant.

i."英国標準契約条項” means (i) standard contractual clauses for data controller to data processor transfers approved by the European Commission in  decision 2010/87/EU (“英国のコントローラーからプロセッサーへのSCC")、および(ii)欧州委員会が決定2004/915/ECで承認したデータ管理者からデータ管理者への移転に関する標準契約条項(")英国コントローラー間SCC").

j.用語"コントローラー", "プロセッサー"と"処理"はGDPRで与えられた意味を持つものとし、"プロセス", "プロセス"と"処理済み「という用語は、それに従って解釈されるものとする。ビジネス", "サービスプロバイダ"と"売る"は、CCPAにおいて与えられた意味を有するものとする。

2.処理の役割と範囲

a. スコープ 第2条(b)に従い、本DPAは、Couchbaseがプロセッサーまたはサービスプロバイダー（該当する場合）として、適用されるデータ保護法により保護される顧客データを処理する範囲に適用されます。

b. 両当事者の役割 The parties acknowledge and agree that (i) with respect to the processing of Customer Data, Customer is the relevant business, controller or processor (as applicable) of such  Customer Data, and Couchbase is a service provider, processor or subprocessor (as applicable) on behalf of Customer, as further described in Annex A of this DPA; and (ii) with respect to Personal Data included in any technical usage data Couchbase collects in connection with Customer’s use of the Cloud Service (“利用データ"）、Couchbaseは利用データの関連事業者または管理者であり、以下で利用可能なCouchbaseのプライバシーポリシーに従って利用データを処理します。 https://www.couchbase.com/privacy-policy.各当事者は、適用されるデータ保護法を含む、本DPAの履行において、当事者に適用され、当事者を拘束するすべての法律、規則および規制を遵守します。利用データに関して、Couchbaseは、該当する範囲で、第8条（a）（iii）および（iv）のみに準拠して当該データを処理します。

c. Couchbaseによる個人情報の処理。 Couchbaseは、DPAに記載された目的のためにのみ、お客様の文書化された合法的な指示に従って顧客データを処理することに同意します。両当事者は、本契約（本DPAを含む）が、顧客データの処理に関連するCouchbaseに対するお客様の完全かつ最終的な指示を定めることに同意し、これらの指示の範囲外の処理（もしあれば）は、お客様とCouchbase間の事前の書面による合意を必要とします。第2項(d) (お客様の責任)を損なうことなく、Couchbaseは、お客様からのデータ処理指示が適用データ保護法に違反していることを認識または確信した場合、適用データ保護法で禁止されていない限り、お客様に書面で通知し、お客様データの処理を一時停止することができるものとします。

d. 顧客の責任。 お客様は、本契約に基づく、または本契約に関連する顧客データ処理の合法性に責任を負います。お客様は、(i)Couchbaseが本契約（本DPAを含む）により企図された目的のためにお客様データを合法的に処理するために、適用されるデータ保護法の下で必要なすべての同意、許可および権利を提供し、今後も提供し続けることを表明および保証します；(ii)Couchbaseおよびそのサブプロセッサーへの顧客データの収集および提供に関して、顧客データの管理者および/または事業者として、適用されるすべてのデータ保護法を遵守していること、および(iii)処理指示が適用される法律（適用されるデータ保護法を含む）を遵守し、お客様の指示に従ってCouchbaseが顧客データを処理することにより、Couchbaseが適用されるデータ保護法に違反しないことを保証すること。

e. 集計データ。 上記または本契約（本DPAを含む）の反対規定にかかわらず、お客様は、Couchbaseおよびその関連会社が自身の合法的なビジネスのために匿名化、集計、および/または非識別化情報（適用データ保護法により定義される）を収集および作成する権利を有することを認めます。

3.サブプロセス

a. 承認されたサブプロセッサー。 お客様は、Couchbaseがお客様に代わってお客様データを処理するためにサブプロセッサーを雇用する可能性があることを認め、同意します。Couchbaseが現在従事し、お客様が承認したサブプロセッサは、Couchbaseのウェブサイト（現在https://info.couchbase.com/cloud-subprocessors.html）に掲載されています。新しいサブプロセッサが追加される少なくとも15日前に、Couchbaseは該当するウェブサイトを更新し、当該Couchbaseのウェブサイトで提供されるメカニズムを通じて、その更新をお客様に通知します。ただし、Couchbaseが、お客様データの機密性、完全性、または可用性を保護するため、またはクラウドサービスの重大な中断を回避するために、迅速ベースで新しいサブプロセッサを従事させることが必要であると合理的に判断した場合、Couchbaseは代わりに、合理的に実行可能な限り速やかにそのような通知を行います。

4.セキュリティと監査

a. セキュリティ対策。  Couchbaseは、その管理下にある顧客データをセキュリティインシデントから保護し、顧客データのセキュリティと機密性を保持するために、最新技術、導入コスト、および処理の性質、範囲、文脈、および目的（以下"）を考慮して設計された適切な技術的および組織的セキュリティ対策を実施し、維持するものとします。セキュリティ対策").かかるセキュリティ対策には、最低限、本DPAの付属書Bに記載されている対策が含まれます。Couchbaseは、本DPAに基づきCouchbaseにより顧客データの処理を許可された者が適切な守秘義務（契約上または法律上の義務を問わない）を負うことを保証するものとします。

b. セキュリティ対策の更新。 お客様は、セキュリティ対策が技術的進歩および開発の対象であり、Couchbaseが随時セキュリティ対策を更新または修正する可能性があることを認めます。ただし、かかる更新および修正は、お客様が購入したクラウドサービス全体のセキュリティの低下をもたらさないことを条件とします。

c. 顧客のセキュリティ責任。 上記にかかわらず、お客様は、本 DPA の定める場合を除き、セキュリティ インシデントから保護し、自己の支配および管理下にある間、お客様データのセキュリティおよび機密性を保持するために設計された適切な技術的および組織的セキュリティ対策を実施し、維持することに同意するものとします。お客様は、(i) クラウド サービスにアクセスするために使用されるすべてのお客様のクレデンシャルのセキュリ ティを保護すること、(ii) お客様のクラウド環境およびお客様のシステムを保護すること（かかる措置には、アクセ ス キーの定期的なローテーションおよび不正アクセスを防止するためのその他の業界標準の措置が含まれますが、こ れらに限定されません）；(iii)お客様のクラウド環境またはその他のお客様が管理するシステム内のお客様の管理下にあるお客様データのバックアップおよび保護、および(iv)データセキュリティおよびプライバシーに関連するCouchbaseが提供する情報を確認し、クラウドサービスが適用データ保護法に基づくお客様の要件および法的義務を満たすかどうかについて独自の判断を下すこと。

d. セキュリティ・インシデントへの対応 To the extent required by Applicable Data Protection Laws, upon becoming aware of a Security Incident, Couchbase shall notify Customer without undue delay and shall: (i) to assist Customer in relation to any personal data breach notifications Customer is required to make under Applicable Data Protection Laws, Couchbase will include in such notice to Customer timely information relating to the Security Incident as it becomes known, as is reasonably requested by Customer, taking into account the nature of the Cloud Service, the information available to Couchbase, and any restrictions on disclosing the information, such as confidentiality; and (ii) promptly take steps, deemed necessary and reasonable by Couchbase, to contain, investigate, and remediate any Security Incident, to the extent that the remediation is within Couchbase’s reasonable control.  Couchbase’s notification of or response to a Security Incident under this Section 4(d) shall not be construed as an acknowledgment by Couchbase of any fault or liability with respect to the Security Incident. The obligations set forth herein shall not apply to Security Incidents to the extent they are caused by Customer or its Authorized Users.

e. セキュリティ監査。 Couchbase shall provide written responses (on a confidential basis) to all reasonable written requests for information made by Customer related to Couchbase’s processing of Customer Data, including responses to information security and audit questionnaires that are necessary to confirm Couchbase’s compliance with this DPA, provided that Customer shall not exercise this right more than once in any twelve (12) month rolling period.  Notwithstanding the foregoing, Customer may also exercise such audit right in the event Customer is expressly requested or required to provide this information to a data protection authority, or Couchbase has experienced a Security Incident, or on another reasonably similar basis.

5. 国際送金

a. 加工場所 Customer acknowledges and agrees that Couchbase may transfer and process Customer Data to and in the United States and anywhere else in the world where Couchbase, its Affiliates or its Sub-processors maintain data processing operations.  Couchbase shall at all times ensure such transfers are made in compliance with the requirements of Applicable Data Protection Laws and this DPA.

6.顧客データの削除

a.クラウド サービスは、お客様がクラウド サービスの機能と一致する方法で、期間中にお客様データを削除または取得するために使用できるコントロールを提供します。

b. Customer hereby authorizes Couchbase, upon termination or expiry of the Agreement, or in case of termination or suspension of the Cloud Service pursuant to the Agreement, to delete all Customer Data (including copies) in its possession or control in accordance with the Agreement, save that this requirement shall not apply to the extent Couchbase is required by applicable law to retain some or all of the Customer Data.

7.個人の権利と協力

a. データ主体の要求 The Cloud Service provide Customer with a number of controls, including security features and functionalities, that Customer may use to retrieve, correct, delete or restrict Customer Data, as described in any documentation applicable to the Cloud Service. Without prejudice to Section 4(a), Customer may use these controls as technical and organizational measures to assist it in connection with its obligations under Applicable Data Protection Laws, including its obligations relating to responding to requests from data subjects. To the extent that Customer is unable to independently access the relevant Customer Data within the Cloud Service, Couchbase shall, taking into account the nature of the processing, provide reasonable cooperation to assist Customer to respond to any requests from individuals or applicable data protection authorities relating to the processing of Customer Data under the Agreement.  In the event that any such request is made to Couchbase directly, Couchbase shall not respond to such communication directly without Customer’s prior authorization, unless legally compelled to do so. If Couchbase is required to respond to such a request, Couchbase shall promptly notify Customer and provide it with a copy of the request unless legally prohibited from doing so.

b. 召喚令状と裁判所命令。 法執行機関がCouchbaseに（例えば、召喚状または裁判所命令を通じて）顧客データの要求を送付した場合、Couchbaseは、Couchbaseが法的に禁止されていない限り、お客様が保護命令またはその他の適切な救済を求めることができるように、要求の合理的な通知をお客様に行うものとします。

8.管轄区域固有の条件

a. ヨーロッパだ。 顧客データが欧州データ保護法の対象となる範囲においては、本DPAのその他の条項に加え、以下の条項が適用されるものとします：

i. サブプロセッサの義務 Couchbaseは以下を行うものとします：(A)各サブプロセッサーとの間で、適用される欧州データ保護法および本DPAで要求される基準で個人データを保護することをサブプロセッサーに義務付けるデータ保護条件を課す書面による契約を締結し、(B)本DPAの義務を遵守すること、およびCouchbaseが本DPAに基づく義務に違反する原因となるサブプロセッサーの行為または不作為に対して責任を負うこと。

ii. サブプロセッサーに対する異議 Customer may object in writing to Couchbase’s appointment of a new Sub-processor on reasonable grounds relating to data protection (e.g. if making Customer Data available to the Sub-processor may violate European Data Protection Law or weaken the protections for such Customer Data) by notifying Couchbase promptly in writing within five (5) calendar days of receipt of notice from Couchbase in accordance with Section 3(a) above.  Such notice shall explain the reasonable grounds for the objection and the parties shall discuss such concerns in good faith with a view to achieving commercially reasonable resolution.  If no such resolution can be reached, Couchbase will, at its sole discretion, either not appoint Sub-processor, or permit Customer to suspend or terminate the affected Cloud Service in accordance with the termination provisions in the Agreement without liability to either party (but without prejudice to any fees incurred by Customer prior to suspension or termination). Unless an objection is made as set forth in this Section 8(a)(ii), Customer consents to Couchbase’s use of sub-processors as described in this DPA.

iii. データの移転。 Couchbaseが欧州データ保護法によって保護される個人データを、（欧州データ保護法に記載される）個人データの適切な保護を提供することが認められていない第三国で処理する（または処理させる）限りにおいて、附属書Cの条件(データの転送) will apply and Customer (as data exporter) will be deemed to have entered into the Model Clauses with Couchbase (as data importer) and Couchbase agrees to abide by and process such Customer Data in in compliance with the Model Clauses, which are incorporated in full by reference and form an integral part of this DPA. For the purposes of the descriptions in the Model Clauses: (A) Couchbase agrees that it is a “data importer” and Customer is the “data exporter” (notwithstanding that Customer may itself be an entity located outside the EEA or the United Kingdom); (B) Annex A and Annex B of this DPA shall replace Appendix 1 and Appendix 2 of the Model Clauses. It is not the intention of either party, nor the effect of this DPA, to contradict or restrict any of the provisions set forth in the Model Clauses. Accordingly, if and to the extent the Model Clauses conflict with any provision of this DPA, the Model Clauses shall prevail to the extent of such conflict. The Model Clauses will not apply to Customer Data that is not transferred, either directly or via onward transfer, outside the EEA or the United Kingdom.

iv. 代替移籍メカニズム。 Couchbaseが、適用される欧州データ保護法で規定される顧客データの移転のための代替データエクスポートソリューションを採用する場合、およびその範囲内で（以下「」）。代替移籍メカニズム"）、代替譲渡メカニズムが代わりに適用されるものとする（ただし、当該代替譲渡メカニズムが譲渡に適用される範囲に限る）。

v. データ保護影響評価。 適用される欧州データ保護法によりCouchbaseが要求される範囲において、Couchbaseは、お客様がデータ保護影響評価または監督当局との事前協議を実施できるように、本契約に基づくCouchbaseの個人データ処理に関する合理的に要求された情報を提供するものとします。

b. カリフォルニア州 顧客データがCCPAの対象となる範囲において、両当事者は、お客様が事業者であり、本契約（本DPAを含む）およびCCPAの下で許可されるように、または書面で別途合意された目的のために、顧客データを処理するサービスプロバイダーとしてCouchbaseを任命することに同意します（以下「本契約」）。許可された目的").お客様とCouchbaseは以下の事項に同意します：(i)Couchbaseは、許可された目的以外の目的で個人情報を保持、使用、または開示しないこと、(ii)顧客データはCouchbaseに販売されておらず、Couchbaseは個人情報を「販売」しないこと（CCPAで定義）、(iii)Couchbaseは、顧客とCouchbase間の直接的なビジネス関係以外で個人情報を保持、使用、または開示しないこと、(iv)Couchbaseは、クラウドサービスを提供する過程で個人情報を非識別化または集約する場合があることに同意します。Couchbaseは、本第8条(b)に定める制限を理解し、遵守することを証明します。

9.責任の制限

a.契約、不法行為（過失を含む）、またはその他の責任理論に基づくか否かを問わず、本DPA（モデル条項を含む）に起因または関連する各当事者およびそのすべての関連会社の責任は、合算して、本契約における責任の制限および排除に従うものとし、条項における当事者の責任への言及は、本契約および本DPAの下で、および本DPAに関連して、当該当事者およびそのすべての関連会社の責任の合算を意味します。

b. Except where Applicable Data Protection Laws require a Customer Affiliate to exercise a right or seek any remedy under this DPA against Couchbase directly by itself, the parties agree that (i) solely the Customer entity that is the contracting party to the Agreement shall exercise any right or seek any remedy any Customer Affiliate may have under this DPA on behalf of its Affiliates, and (ii) the Customer that is the contracting party to the Agreement shall exercise any such rights under this DPA not separately for each Affiliate individually but in a combined manner for all of its Affiliates together.

10.その他

a. Except for the changes made by this DPA, the Agreement remains unchanged and in full force and effect.

b. This DPA may be executed in counterparts, each of which will be deemed an original, but all of which together will constitute one and the same instrument.

c. If any provision or part-provision of this DPA is or becomes invalid, illegal or unenforceable, it shall be deemed deleted, but that shall not affect the validity and enforceability of the rest of the DPA.

d.本DPAは、欧州データ保護法により別段の定めがない限り、本契約の準拠法および裁判管轄の規定に準拠し、これに従って解釈されるものとします。

 

付録A
データ処理

本付属書Aは、DPAの一部を構成し、(i)該当する場合、Couchbaseが管理者または処理者としてお客様に代わって処理者またはサブ処理者としてお客様データに対して実行する処理、および(ii)Couchbaseが管理者として実行する利用データの移転について説明します。

1) 顧客データ

期間

本DPAに基づくデータ処理の期間は、本契約の条項に従って本契約が終了するまでと、本契約の終了から本契約の条項（本DPAを含む）に従ってCouchbaseが個人データを削除するまでの期間を加えた期間とします。

データのカテゴリー

処理される個人データは、以下のカテゴリーに分類されます（具体的にご記入ください）：

● 顧客コンテンツにおける個人データ:クラウドサービスにより、またはクラウドサービスを通じて、お客様または認定ユーザーのために提供されたコンテンツまたはデータに含まれる個人データ。

特別カテゴリーのデータ（適切な場合）

両当事者は、本契約に基づき、いかなる特別カテゴリーのデータも処理することを意図していません。

データ対象者

処理される個人データは、以下のデータ対象者のカテゴリーに属します（具体的にご記入ください）：

● Data subjects include individuals about whom data is provided to Couchbase via the Cloud Service by or at the direction of Customer, including Authorized Users. Data subjects may include Customer’s customers, employees, suppliers and end-users.

加工作業

個人情報は以下の基本的な処理活動の対象となります（具体的にご記入ください）：
● processing to provide the Cloud Service in accordance with the Agreement;
本契約の履行に必要な処理を行うこと；
お客様がクラウドサービスを利用する際に開始した処理。
● processing to comply with other reasonable instructions provided by Customer (e.g. via email or support tickets) that are consistent with the terms of the Agreement.

頻度
個人データは継続的に転送される可能性があります。

ii) 利用データ

期間

利用データは、関連する契約の期間に加えて、Couchbaseの正当な事業努力のために利用データが必要な期間、転送および維持されます。ユーザーアクションの特定の集計および匿名化された記録は、永久に保持される場合があります。

データのカテゴリー

移転される個人情報は、以下のカテゴリーに分類されます（具体的にご記入ください）：

●  利用データにおける個人データ:利用データには、アカウントIDおよび電子メールアドレスを含むユーザーアカウント情報、IPアドレスを含む個人識別情報、雇用情報、連絡先情報、ブラウザ情報およびメタデータが含まれる場合があります。

特別カテゴリーのデータ（適切な場合）

両当事者は、本契約に基づき、特別カテゴリーのデータが移転されることを意図していません。

データ対象者

処理される個人データは、以下のデータ対象者のカテゴリーに属します（具体的にご記入ください）：

●  Data subjects may include Customer, Customer’s employees and other Authorized Users and any other permitted collaborators.

加工作業

個人情報は以下の基本的な処理活動の対象となります（具体的にご記入ください）：

●  processing to provide and administer the products, services and support;
●  Processing to derive insights in order to improve the products, services and support and support business development;
●  Processing to engage and respond to customer questions, perform marketing and sales activities, and analyze business metadata.

頻度

個人データは継続的に転送される可能性があります。

 

アネックスB
セキュリティ対策

本付属書は、Couchbaseのセキュリティ対策について説明します。お客様は、クラウドサービスが責任共有モデルに従って運営されていることを認め、特に、お客様がお客様コンテンツ (お客様の管理下でお客様の環境内に保存されたまま) のセキュリティを保護するなどの特定の措置を講じることを要求します。Couchbaseがクラウドサービスに関連してお客様の代わりに顧客データを処理する場合、または標準契約条項の対象となる利用データを転送する範囲において、Couchbaseは以下のセキュリティ対策を実施および維持するものとします：

データ暗号化対策

● All customer data is encrypted in-transit using TLS 1.2 (or higher) and encrypted at-rest  using AES-256 encryption.
● Employee laptops are encrypted using full disk AES-256 encryption.
● All credentials are encrypted in transit using TLS 1.2 (or higher) and encrypted at-rest.
暗号化キーは年単位でローテーションされ、AWS Key Management Service で保管・管理される。

可用性と回復可能性の対策

Couchbaseは、クラウドサービスの可用性を合理的に確保するように設計された災害復旧および事業継続計画および手順を維持します。
Couchbase Capellaは、Amazon (AWS)、Microsoft (Azure)、Google (GCP)(該当する場合)など、業界で認められたパブリッククラウドサービスプロバイダーが運営する地理的に分散されたデータセンターで展開されます。
冗長性は、Couchbase Capellaをサポートするシステムインフラに組み込まれています。プライマリシステムに障害が発生した場合、別のアベイラビリティゾーンにある冗長インフラがその代わりとなるように構成されています。
バックアップはクラウドインフラ内の管理された環境に保存される。バックアップデータへの論理的なアクセスは適切な担当者に制限され、高可用性ストレージに保存される。
● On an annual basis, a backup restoration test is performed where operations personnel restore a backup from a snapshot to ensure that data could be recovered in the event of an incident.

組織のセキュリティ対策

Couchbaseは、Couchbase Capella提供と情報システムの機密性、完全性、可用性を保護し、データと情報システムに対するセキュリティ管理の有効性を確保するために、正式な情報セキュリティ管理システム（ISMS）を確立しています。
● Employees are required to undergo Anti-Bribery & Corruption, Ethics and Code of Conduct, Insider Trading, Global Data Privacy and annual Security Awareness Training.
● Employees are required to sign non-disclosure and Confidentiality agreements upon hire.
● Formal policies and procedures are in place for employee onboarding and offboarding activities. Account provisioning and de-provisioning processes are defined and implemented.
● Employee access is removed upon termination or adjusted as required as a result of  role change.
● Multi-factor Authentication (MFA) is enforced for access to critical and production resources.
● Password complexity requirements are enforced.
● Segregation of responsibilities and duties is implemented to reduce opportunities for unauthorized or unintentional modification or misuse.
● Couchbase maintains signed non-disclosure agreements with third parties.
● Couchbase networks are segregated based on trust levels and protected by firewalls.

ロギングとモニタリング

● Logging of user activities, exceptions, faults, and information security events are enabled. Logs are retained, as necessary.
● All logs can be accessed only by authorized Couchbase employees and access controls are in place to prevent unauthorized access.
● Write access to logging data is strictly prohibited. Logging facilities and log information are protected against tampering and unauthorized access through use of access controls and security measures.
● Couchbase has various monitoring measures in place to generate security alerts and identify irregular activity.
● The Couchbase Capella operations team regularly reviews security alerts and their underlying configuration to ensure they are operating as intended and that controls are modified as conditions change.

アクセス・コントロール対策

● Couchbase implements security best practices and uses a role-based security architecture across the database, network, and application layers and strictly follows principles of least privilege when granting access to key systems.
● Couchbase has defined job functions and roles to support proper segregation of duties.
● Access to operational, production and disaster recovery environments is protected by use of unique user accounts, strong passwords, use of Multi-Factor Authentication (MFA), role-based access, and principle of least privileges.
● Access keys used by production Couchbase applications (e.g. AWS Access Keys) are accessible only to authorized personnel. They are rotated (changed) as required (e.g., pursuant to a security advisory or personnel departure) and at least yearly.
● User activity in operational environments including access, modification or deletion of data is logged.
● Authorization requests and provisioning is logged, tracked and audited.
● Web Application Firewalls (WAF), in addition to the network-based firewalls, are deployed.

物理的なセキュリティ対策

● The Couchbase Capella offering is deployed in geographically distributed data centers operated by industry recognized public cloud service providers such as Amazon (AWS), Microsoft (Azure) and Google (GCP) (as applicable).
● Physical access to all facilities containing sensitive data is restricted and managed.
● All information resource facilities (e.g. network closets and storerooms) are physically protected in proportion to the criticality or importance of their function.
● Access to information resource facilities is granted only to company personnel and contractors whose job responsibilities require access to those facilities.
● All information resource facilities that allow access to visitors are configured to track visitor access with a sign-in log.
● Card access records and visitor logs for information resource facilities are kept for routine review based upon the criticality of the information resources being protected.
● Equipment is protected to reduce the risks from environmental threats, hazards, and opportunities for unauthorized access.

安全なシステム構成

● Couchbase has a Change Management policy and procedure in place.
● Couchbase monitors changes to in-scope systems to ensure that the applicable standard process is followed and to mitigate any risk of un-detected changes to production. Changes are tracked in the change management system.
● Access Control policy and procedures are in place to prevent unauthorized changes.
● Mobile device management controls are in place.

ガバナンス

● Couchbase has established a formal Information Security Management System (ISMS) in order to protect the confidentiality, integrity and availability of the Couchbase Capella offering and information systems, and to ensure the effectiveness of security controls over data and information systems.
● Couchbase has in place a documented and approved information security policy, including supporting documentation.
● The authority and responsibility for managing Couchbase’s information security program has been delegated to Information Security and Compliance Group, who is authorized by senior management to take actions necessary to establish, implement, and manage Couchbase’s information security program.

コンプライアンス

● Couchbase is audited by an independent third-party auditor and has achieved SOC 2 Type 1 compliance, attesting to our commitment to controls that safeguard the confidentiality and availability of information stored and processed in the Couchbase Capella service.

データへの最低限のアクセス

● Privacy assessments are performed related to implementation of new products/services and processing of personal data by third parties.
● Data collection is limited to the purposes of the processing (or the data that the customer chooses to provide).
● Security measures are in place to provide only the minimum amount of access necessary to perform required functions.
● Data retention requirements are identified
● Access to personal data is restricted to the personnel  involved in the processing, adhering to the “need to know” principle, and according to defined roles and responsibilities of the individuals.

説明責任対策

● Customer Privacy Assessments are required when introducing any new product/service that involves processing of personal data.
● Data protection impact assessments are part of any new processing initiative.

データ対象者のアクセス要求

● Data subjects are eligible to request the export of their personal data in an industry standard format.
● Processes are in place that allow individuals to exercise their privacy rights (e.g. right of erasure or right to data portability), as described in Couchbase’s publicly available Privacy Policy.

Couchbaseは、GDPRの妥当性要件を満たすための補足措置に関する欧州データ保護委員会の最近のガイダンス、および欧州のデータ保護当局が発行したその他のガイダンスが発生した場合は、その分析を継続します。

 

アネックスC
データの転送

本付属書は、お客様がクラウドサービスを使用する際に、管轄区域から管轄区域外にあるCouchbaseに合法的に個人データを転送するためのオンワード転送メカニズムが必要な場合に適用される条件を規定します。

1.英国標準契約条項  英国標準契約条項が適用される英国からのデータ移転については、英国標準契約条項が以下のように締結され（参照により本DPAに組み込まれ）、完了したものとみなされます：

a. The UK Controller to Processor SCCs will apply where Couchbase is processing Customer Data.  The illustrative indemnification clause will not apply.  Annex A serves as Appendix 1 of the UK Controller to Processor SCCs.  Annex B serves as Appendix 2 of the UK Controller to Processor SCCs. Annex D sets out Couchbase’s and Customer’s interpretation of their respective obligations under specific clauses of the UK Controller to Processor SCCs, as applicable.

b. The UK Controller to Controller SCCs will apply where Couchbase is transferring Usage Data.  In Clause II(h), Couchbase will transfer personal data in accordance with the data processing principles set forth in Annex A of the UK Controller to Controller SCCs.  The illustrative commercial clause will not apply. Schedule A of this DPA serves as Annex B of the UK Controller to Controller SCCs.

2.2021年標準契約条項。  GDPRおよび/またはスイスFDPAの対象となるデータ移転については、以下の方法で2021年標準契約条項が適用されます：

a.モジュール1（コントローラーからコントローラー）は、お客様が使用データのコントローラーであり、Couchbaseが使用データのコントローラーである場合に適用されます。

b.モジュール2（管理者から処理者）は、お客様が顧客データの管理者であり、Couchbaseが顧客データの処理者である場合に適用されます；

c.モジュール3（処理者対処理者）は、お客様が顧客データの処理者であり、Couchbaseが顧客データのサブ処理者である場合に適用されます；

d.各モジュール（該当する場合）：
(i) 第 7 条において、オプションのドッキング条項が適用される；
(ii) 第9条において、オプション2が適用され、サブプロセッサー変更の事前通知期間は、本DPAの第3条（サブプロセッシング）に定めるとおりとします；
(iii) 第11条では、オプションの文言は適用されない；
(iv) 第 17 条（オプション 1）において、2021 年標準契約条項は、データ輸出者が設立されている EU 加盟国の法律に準拠し、そのような法律がない場合はアイルランドの法律に準拠する。
(v) 第18条(b)において、紛争はデータ輸出者が設立されているEU加盟国の裁判所で解決され、そのような法律がない場合はアイルランド共和国の裁判所で解決されます。
(vi) 附属書 I のパート A：

データエクスポーター：  お客様およびお客様の認定関連会社。

連絡先  クラウドサービスに基づく通信を受信するための関連アカウントとして指定されたお客様の電子メールアドレス

データエクスポーターの役割  お客様は、該当する場合、顧客データの管理者または処理者であり、利用データの管理者です。

署名と日付  データ輸出者は、本契約を締結することにより、本契約の発効日において、付属文書を含め、本契約に組み込まれたこれらの標準契約条項に署名したものとみなされる。

データインポーター：  Couchbase, Inc.

連絡先 Couchbase リーガルチーム - legal@couchbase.com

データインポーターの役割 Couchbaseは、該当する場合、顧客データの処理者またはサブ処理者であり、利用データの管理者です。

署名と日付 本契約を締結することにより、データインポーターは、本契約の発効日において、付属文書を含め、本契約に組み込まれた本標準契約条項に署名したものとみなされます。

(vii) 附属書 I のパート B：
データ対象者の分類は、本DPAの付属文書Aに記載されています。

移転される機微データは、本DPAの付属書Aに記載されている。

移籍の頻度は契約期間中、継続的に行われる。

処理の性質は、本DPAの付属書Aに記載されています。

処理の目的は、本DPAの付属書Aに記載されています。

処理の期間は、本DPAの付属書Aに記載されています。

サブプロセッサーへの移管については、処理の対象、性質、および期間について、以下に概説する。 https://info.couchbase.com/cloud-subprocessors.html

(viii) 附属書IのパートC：上記第3項(d)(iv)で指定されたEU加盟国の監督当局が管轄監督当局として行動する。

(ix) スケジュール2は、標準契約条項の付属書IIとなる。

4.矛盾する用語。 標準契約条項と本DPAのその他の条項との間に矛盾がある場合は、標準契約条項の規定が優先されます。

 

付録D

本付属書は、以下に特定される英国の管理者から処理者へのSCC（条項ともいう）の特定の条項に基づくそれぞれの義務に関する当事者の解釈を定めるものである。当事者が本付属書に定める解釈に従う場合、当該当事者は、他方当事者から、本条項における約束を遵守したとみなされるものとする。
本付属書において、「DPA」とは、データ輸入者とデータ輸出者の間で締結され、本条項が組み込まれたデータ処理補遺を意味し、「合意」とは、DPAにおいて与えられる意味を有するものとします。

第4条(h)および第8条：本条項の開示

1.データ輸出者は、本条項が本契約で定義されているとおり、データ輸入者の秘密情報であり、本契約に従って許可されている場合を除き、データ輸入者の事前の書面による同意なしにデータ輸出者が第三者に開示することができないことに同意するものとします。ただし、第 4 条(h)に従ったデータ主体または第 8 条に従った監督当局への本条項の開示を妨げるものではありません。

第5条(a)：データ転送の停止および終了：

1.両当事者は、データ輸入者がデータ輸出者に代わり、データ輸出者の指示および本条項に従ってのみ個人データを処理できることを認めるものとします。

2.この場合、データ輸出者はデータの転送を停止および/または契約を終了する権利を有します。

3.データ輸出者が個人データの転送を停止し、および/または本条項を終了する場合、データ輸入者に通知し、データ輸入者に非遵守を是正するための合理的な期間を提供するよう努めるものとします（""）。治療期間").

4.治療期間後、データ輸入者がコンプライアンス違反を治療しなかった場合、または治療でき ない場合、データ輸出者は個人データの転送を直ちに停止または終了することができます。データ輸出者は、データ対象者またはその個人データに重大な危害が及ぶ恐れがあると判断した場合、このような通知を行う必要はないものとします。

第5条(f)監査

1.データ輸出者は、データ輸入者が DPA 第 4 条（セキュリティおよび監査）に記載されている監査措置を遵守するよう指示することにより、第 5 条（f）に基づく監査権を行使することを認め、同意するものとします。

第5条(j)：サブプロセッサー契約の開示

1.両当事者は、データ輸入者が本条項に基づいて締結した前方サブプロセッサー 契約のコピーをデータ輸出者に速やかに送付する義務を認めるものとします。

2.両当事者はさらに、サブプロセッサの守秘義務制限に従い、データ輸入者がデータ輸出者に 対して以降のサブプロセッサ契約を開示することが制限される場合があることを認める。これにかかわらず、データ輸入者は、データ輸出者にサブプロセッサー契約を開示することを許可するよう、データ輸入者が指名するサブプロセッサーに要求する合理的な努力を払うものとします。

3.データ輸入者がデータ輸出者にサブプロセッサー契約を開示できない場合であっても、データ輸出者の要求があれば、データ輸入者はデータ輸出者に対し、当該サブプロセッサー契約に関連する合理的な範囲ですべての情報を（機密情報として）提供することに両当事者は同意するものとします。

第6条責任

1.本条項に基づいて提起される請求はすべて、本契約に定める除外および制限を含むがこれに限定されない条件に従うものとする。いかなる場合においても、いかなる当事者も、本条項に基づいてデータ対象者の権利に関する責任を制限することはできない。

第11条：オンワード・サブプロセシング

1.両当事者は、「指令 95/46/EC に基づき第三国に設立された処理業者への個人データの移転に 関する標準契約条項に関する 2010 年 2 月 5 日の EU 委員会決定 2010/87/EU の発効により提起されたいくつかの問題に対処するための FAQ」と題された第 29 条作業部会文書 WP 176 の FAQ II.1 に従い、データ輸出者がデータ輸入者による前方へのサブ処理に一般的な同意を提供できることを認めます。

2.従って、データ輸出者は、本条項第 11 項に従って、データ輸入者に対 してオンワード・サブプロセッサーと契約することに一般的な同意を提供します。かかる同意は、データ輸入者が DPA の第 8 項（a）に規定された要件を遵守することを条件とします。