このデータ処理補遺は、当社が事業顧客であるあなたに代わって行動する場合に、eFindが個人情報をどのように取り扱うかを規律します。広告主契約またはパブリッシャー契約に付属し、各当事者のデータ保護上の役割を定め、セキュリティ、副処理者、国際移転、侵害対応をカバーする具体的な義務をeFindに課します。
このデータ処理補遺(DPAと呼びます)は、eFind LLC(「eFind」)が事業顧客に代わって個人情報を処理するあらゆる場合に適用される条件を、一か所で説明するために存在します。現代の広告は多くの当事者間でのデータの移動を伴い、データ保護法は、個人情報の使用方法と理由を決定する当事者に、処理を実行する当事者との書面による取り決めを求めます。このDPAがその取り決めです。eFindが従う指示、eFindが維持する保護措置、そして各当事者が依拠できる権利と救済を記録します。GDPR、英国GDPR、CCPA、CPRA、および同等のデータ保護法の要件を満たしつつ、それを扱わなければならない事業主にとって読みやすいものであるよう書かれています。
本DPAは、eFindが顧客に代わって処理者として行う処理、すなわち顧客が管理し、eFindが本サービスの提供過程において顧客の指示のもとで取り扱う個人情報の処理にのみ適用されます。これは、eFindが自社の事業運営、本サービスの保護および改善、自社の法的義務の履行、そして顧客への請求およびサポートのために収集する個人情報など、eFind自身が管理者となる処理を規律するものではありません。その独立した管理者としての処理については、以下に記載されています: プライバシーポリシー および、関連する場合は GDPRプライバシー通知 と、スニペットに埋め込まれた カリフォルニア州プライバシー通知。単一のデータの流れに両方の役割が関与する場合、本DPAはeFindが処理者として行動する部分に適用され、プライバシーポリシーはeFindが管理者として行動する部分に適用されます。
本DPAは、eFindと広告主契約またはパブリッシャー契約を締結し、本サービスを通じて個人情報を提供、利用可能にする、または処理を指示する事業者顧客に適用されます。また、準拠法がこの種の取り決めのもとで執行可能な権利をデータ主体に与える範囲において、その個人情報が処理されるデータ主体の利益のためにも適用されます。これは、eFindといかなるデータ主体との間にも直接の契約を成立させるものではなく、事業関係の外で純粋に個人的な立場で本サービスを利用する個人には適用されません。
広告主、パブリッシャー、個人情報、処理、管理者、処理者、再委託処理者、データ主体、標準契約条項など、本DPAで使用される大文字で始まる用語は、以下で与えられる意味を有します: マスター定義集。本DPAは、それらの意味を基礎として、各データ保護上の役割が実際にどのように機能するかを説明します。
A 管理者 とは、個人情報がなぜ、どのように処理されるかを決定する当事者を意味します。本DPAにおいては、顧客がどのキャンペーンを実施するか、どのオーディエンスに到達するか、どの測定を有効にするか、そしてどのデータをeFindに送るかを選択するため、通常、顧客が管理者となります。CCPAおよびCPRAのもとでは、管理者はそれらの法律が「事業者」と呼ぶ役割を占めます。
A 処理者 とは、管理者に代わり、その文書化された指示のもとで個人情報を処理する当事者を意味します。本DPAにおいては、通常eFindが処理者となります。CCPAおよびCPRAのもとでは、処理者はそれらの法律が「サービスプロバイダー」と呼ぶ役割を占めます。
A データ主体 とは、個人情報が関係する識別された、または識別可能な個人を意味し、CCPAおよびCPRAのもとでは「消費者」と称されます。データ主体は、広告を閲覧または操作するユーザー、パブリッシャープロパティの訪問者、または顧客がその個人情報を提供する、もしくはeFindに処理を指示するその他の個人であり得ます。
A 副処理者 とは、ホスティングプロバイダー、専門的な測定ベンダー、またはサポートツールなど、顧客に代わって本サービスを提供する過程で個人情報を処理するためにeFindが関与させる第三者を意味します。再委託処理者は、顧客が別途データを送ることを選択する独立した第三者とは区別されます。
GDPRで使用される「個人データ」および「処理」という語は、ここでは個人情報および処理と同じ意味を有します。当社は、本DPAが他のすべてのeFind文書と一貫して読めるよう、信頼フレームワークの用語を一貫して使用します。
本DPAは、広告主契約およびパブリッシャー契約の一部を構成し、参照によりそれらに組み込まれます。顧客が、本サービスを通じて個人情報の処理を提供または指示する事業者である限り、本DPAを参照する契約に顧客が同意した時点で、別途の署名を必要とせず自動的に発効します。記録のために署名済みの控えを必要とする顧客は、以下を通じてこれを請求することができます: support@efind.com。eFindは、合理的な範囲で署名版を提供します。
本DPAは、eFindが顧客に代わって個人情報を処理する全期間にわたって適用され、これは顧客が本サービスを通じて初めて個人情報の処理を提出または指示した時点から始まり、以下の削除および返還のセクションに従ってeFindがその個人情報を削除または返還するまで継続します。基礎となる契約の終了は、それ自体では、機密保持、清算期間中のセキュリティ、および削除または返還など、存続することを意図した本DPAの義務を終了させるものではありません。
本DPAの対象となる処理について、顧客が管理者として、eFindが処理者として行動します。顧客は、処理のための適法な根拠を確立すること、準拠法がデータ主体から要求するあらゆる通知の提供およびあらゆる同意の取得、そしてeFindへの指示が適法であることを確保する責任を負います。eFindは、本DPAおよび顧客の文書化された指示が許可する範囲でのみ当該個人情報を処理する責任、そして以下に記載する保護措置を維持する責任を負います。
顧客は、eFindに個人情報を提供する、またはその処理を指示するにあたり、そうする権限を有しており、管理者としての自らの義務を果たしていることを確認します。eFindはその確認に依拠し、顧客の適法な根拠の正確性を検証する責任を負いませんが、eFindの合理的な見解において、ある指示が準拠法に違反すると思われる場合、eFindはこれを顧客に伝え、また、合理的に違法であると考える指示に基づいて行動することを拒否することがあります。
一部の顧客は、自身のクライアントに代わって行動する処理者そのものである場合があります。顧客が第三者の管理者のための処理者としての立場でeFindに個人情報を提供する場合、eFindはその顧客に対する再委託処理者として行動し、顧客は、eFindを任命し、最終的な管理者を少なくとも本DPAと同程度に保護的な条件に拘束させる権限を最終的な管理者から得ていることを確認します。顧客は、最終的な管理者の行為および指示について、あたかもそれが顧客自身のものであるかのようにeFindに対して引き続き責任を負います。
eFindは、本サービスを提供している間であっても、自らの目的のために行う特定の処理について、処理者としてではなく独立した管理者として行動します。これには、プラットフォーム全体にわたる不正行為および無効トラフィックの検出および防止、本サービスの完全性の保護および監視、支払いの請求および回収、法的および規制上の義務の遵守、集計データおよび非識別化された分析の作成、そして個々の顧客の指示に依存しない方法での本サービスの開発および改善のために個人情報を処理することが含まれます。eFindが独立した管理者として行動する場合、本DPAではなくプライバシーポリシーのもとでそれを行い、各当事者はその処理について独立して自らのコンプライアンスに責任を負います。両当事者は、特定の活動について書面で合意しない限り、共同管理者ではありません。
eFindは、準拠法が別段の処理を要求しない限り、国際移転に関するものを含め、顧客の文書化された指示に基づいてのみ個人情報を処理します。顧客の完全かつ最終的な指示は、本DPA、広告主契約もしくはパブリッシャー契約、顧客が本サービス内で選択する設定および構成、ならびにeFindが従うことに同意する顧客が後日与える書面による指示に定められます。ドキュメントに従って本サービスを利用すること自体が指示となります。準拠法がeFindに顧客の指示を超えて個人情報を処理することを要求する場合、法律がこれを禁じない限り、eFindは処理の前にその要件を顧客に通知します。
eFindは、個人情報の処理を許可する要員が、契約または法定義務のいずれかによる適切な機密保持義務に拘束され、データ保護に関する責任についての研修を受けることを確保します。eFindは、個人情報へのアクセスを、本サービスの提供、保護、またはサポートのためにこれを必要とする要員に限定し、不要になった時点で速やかにアクセス権を削除します。
eFindは、個人情報を偶発的または違法な破壊、喪失、改ざん、不正な開示、またはアクセスから保護するために、適切な技術的・組織的措置を導入し維持します。これらの措置は、技術水準、実施費用、および処理の性質、範囲、状況、目的、ならびにデータ主体に対するリスクを考慮に入れます。現行の措置の概要は以下の付属書Bに記載されており、より広範なプログラムは以下に記載されています: セキュリティポリシー。eFindは、保護水準が実質的に低下しないことを条件に、その措置を随時更新することがあります。
eFindは、適切な技術的・組織的措置により、合理的に可能な範囲で、アクセス、訂正、削除、制限、移植性、異議申し立ての権利、そして準拠法が定める場合には販売、共有、またはターゲティング広告のオプトアウトの権利など、データ主体が自身の権利を行使するための要求への対応において顧客を支援します。eFindが顧客に代わって処理する個人情報に関連するデータ主体からの直接の要求を受け取った場合、eFindは、その要求が受領されたことを確認する、またはデータ主体を顧客に案内する場合を除き、要求自体には応答せず、準拠法が別途指示しない限り、その要求を速やかに顧客に転送します。
eFindは、処理の性質およびeFindが利用可能な情報を考慮に入れ、個人情報の安全確保、監督当局および影響を受けるデータ主体への個人データ侵害の通知、必要な場合のデータ保護影響評価(DPIA)の実施、そして法律が要求する場合の監督当局との事前協議に関する顧客の義務の履行を支援します。この支援は、eFindが処理者として行う処理、およびeFindの合理的な管理下にある情報に限定されます。
顧客は、本サービスに関連して個人情報を処理させるために再委託処理者を関与させる一般的な許可をeFindに与えます。eFindは、クラウドホスティングおよびストレージ、コンテンツ配信、測定および分析、通信、カスタマーサポートツールなど、本サービスが依存するインフラストラクチャおよび専門的な能力を提供するために再委託処理者を使用します。eFindは、本DPAに基づく各再委託処理者の義務の履行について、顧客に対して引き続き責任を負います。
eFindは、本DPAが対象とする処理のために関与させる再委託処理者の最新リストを、各再委託処理者が行うことおよびその活動国の説明とともに維持します。eFindは、顧客の請求に応じてそのリストを提供し、顧客が通知を購読している場合、対象となる処理について新たな再委託処理者を追加する、または既存の再委託処理者を置き換える前に事前通知を提供します。eFindは、セキュリティ、法的、または継続性のリスクに対処するためにより短い期間が必要な場合を除き、新しい再委託処理者が個人情報の処理を開始する少なくとも30日前にその通知を行います。
顧客が新しい再委託処理者に対してデータ保護に関する合理的な異議を有する場合、顧客は通知期間内に書面でeFindに通知し、その異議の根拠を説明することができます。両当事者は、その後、eFindが代替の取り決めを提供すること、その顧客のために本サービスの構成を調整すること、または顧客がその再委託処理者を必要とする機能を使用しないことを選択することを含む解決策を見つけるため、誠実に協力します。合理的な解決策が見つからず、eFindがその再委託処理者を続行させる場合、顧客は唯一の救済策として、書面による通知をもって本サービスの影響を受ける部分を終了することができ、eFindは終了後の期間をカバーする終了部分の前払い済み料金を返金します。
再委託処理者が個人情報の処理を開始する前に、eFindは、その再委託処理者が行う処理の性質に応じて、本DPAに定める義務と同等以上に保護的なデータ保護義務を課す書面による契約をその再委託処理者と締結します。再委託処理者が個人情報の発生元となる地域の外に所在する場合、eFindは以下に説明する適法な移転の仕組みを整備します。eFindは、自らがその処理を行った場合と同程度に、その再委託処理者の作為および不作為について顧客に対して全面的に責任を負い続けます。
eFindおよびその再委託処理者は、米国、ならびにeFindまたはその再委託処理者が活動するその他の国において個人情報を処理することがあります。これが欧州経済領域、英国、スイス、または国境を越える移転を制限するその他の法域からの個人情報の国際移転を伴う場合、eFindは、その個人情報が引き続き実質的に同等の保護水準を受けられるよう適切な移転の仕組みを整備します。
GDPRの対象となる個人情報を、十分性認定を受けていない国へ移転する場合、両当事者は、以下のとおり完成させた欧州委員会承認の標準契約条項を、本参照により組み込みます。すなわち、適用されるモジュールは当事者の役割に対応するもの、すなわち顧客が管理者である場合は管理者から処理者へ、顧客が処理者でeFindが再委託処理者として行動する場合は処理者から処理者へのモジュールとします。顧客はデータ輸出者、eFindはデータ輸入者とします。任意のドッキング条項が適用されます。準拠法および紛争のための管轄は、他の欧州経済領域の法域が必要とされない限り、アイルランド共和国のものとします。そして本DPAの付属書Aおよび付属書Bは、標準契約条項が求める処理およびセキュリティ対策の説明を提供します。標準契約条項が、それが規律する移転に関して本DPAの他の部分と抵触する場合、その移転については標準契約条項が優先します。
英国GDPRの対象となる個人情報の移転については、両当事者は、標準契約条項と併せて用いられ、英国のために必要に応じてそれを修正する、英国情報コミッショナーが発行する国際データ移転補遺を組み込みます。当該補遺について、当事者は本DPAで特定された当事者とし、表は本DPAおよびその付属書の情報を用いて完成させ、顧客は、保護を低下させる英国法の変更に続いて補遺が許容する場合、その移転を終了することができます。スイスのデータ保護法の対象となる移転については、標準契約条項が、GDPRへの言及がスイスの制度への言及として読み替えられること、および適切な場合にはスイスの当局およびスイス法が規律することを含め、スイス連邦データ保護情報コミッショナーが要求する調整を伴って適用されます。
eFindは、国際移転に関連するリスクを評価し、個人情報を保護するために必要な場合、転送中および保存中の暗号化、アクセス制御、そして公的機関からの要求を取り扱うための内部方針など、補完的な措置を適用します。eFindが顧客に代わって処理する個人情報について政府または法執行機関から法的拘束力のある要求を受けた場合、法的に禁止されない限り、eFindは顧客に通知し、違法または過度に広範に見える要求に異議を唱え、法的に要求される最小限のみを開示します。
eFindは、顧客に代わって処理する個人情報に影響を及ぼす個人データ侵害を検出、調査、封じ込め、是正するための手順を維持します。個人データ侵害とは、当該個人情報の偶発的または違法な破壊、喪失、改ざん、不正な開示、またはアクセスにつながるセキュリティ侵害を意味します。
eFindは、顧客の個人情報に影響を及ぼす個人データ侵害を認識した後、不当な遅滞なく、いかなる場合においても72時間以内に顧客に通知します。この処理についてeFindは処理者であるため、監督当局および影響を受けるデータ主体に通知するかどうか、そしてどのように通知するかを決定するのは管理者としての顧客であり、本DPAはその決定をeFindに移すものではありません。
eFindの侵害通知は、その時点で判明している範囲で説明され、より多くの情報が判明するにつれて更新されるものとして、影響を受けたデータ主体および記録のカテゴリーおよびおおよその数を含む侵害の性質、侵害の生じ得る結果、侵害に対処しその影響を軽減するためにeFindが講じたまたは講じることを提案する措置、そして顧客がさらなる情報を得ることができる連絡先を記載します。eFindがこれらすべての情報を一度に提供できない場合、それ以上の不当な遅滞なく段階的に提供します。
個人データ侵害に関するeFindからの通知は、eFindによる過失または責任の承認ではなく、そのように解釈されるべきではありません。その目的は、顧客が自らの法的義務を迅速に果たすために必要な情報を顧客に提供することです。
eFindは、本DPAの遵守を証明するために合理的に必要な情報を顧客に提供し、準拠法が要求する場合、本DPAが対象とする処理についての検査を含む監査を許可し、これに協力します。これを両当事者にとって実用的なものとし、本サービスのセキュリティおよび他の顧客の個人情報を保護するため、監査は以下のとおり実施されます。第一に、eFindは合理的な情報提供の要求に対し、現行の認証、第三者による監査報告書、セキュリティの概要、そして合理的なセキュリティ質問票への回答を提供することにより対応します。第二に、その情報が顧客の懸念を合理的に解消しない場合、顧客は、準拠法または監督当局がそれ以上を要求しない限り12か月の期間内に一回を超えず、少なくとも30日前の書面による通知をもって、通常の営業時間内に、eFindの業務を妨げることなく、そして機密保持義務に従うことを条件として、監査を要求することができます。監査は、対象となる処理に関連しないeFindの秘密情報、他の顧客の個人情報、または他の顧客のセキュリティを損なうことになるシステムには及びません。顧客は、監査がeFindによる本DPAの重大な違反を明らかにする場合を除き、自らが要求する監査の費用を負担し、その場合、eFindはその監査の支援にかかる自己の合理的な費用を負担します。
処理に関連する本サービスの終了または満了時に、そして顧客の選択に従い、eFindは、準拠法がその一部または全部の保持を要求しない限り、顧客に代わって処理する個人情報を削除または返還し、既存の複製を削除します。顧客が終了後30日以内に選択を行わない場合、eFindはその個人情報を削除します。削除は、商業的に合理的な期間内、通常90日以内に実行され、その後、通常のスケジュールで期限が到来する定期的なバックアップサイクル、および本DPAに記載される目的でeFindが独立した管理者として保持する個人情報を除き、eFindの本番システムにおいて当該個人情報にアクセスできなくなります。要求があれば、eFindは削除または返還を完了した旨を書面で確認します。eFindが保持を義務付けられている個人情報は、eFindがそれを保有する限り、本DPAの機密保持およびセキュリティ義務の対象であり続けます。
eFindが顧客に代わってカリフォルニア州居住者の個人情報を処理する範囲において、eFindはCCPAおよびCPRAで使用される「サービスプロバイダー」として、顧客は「事業者」として行動します。その処理について、eFindは以下を約束します。
顧客は、本DPAに記載される限定的かつ特定された目的のためにのみeFindに個人情報を開示することを確認します。本セクションのいかなる内容も、CCPAおよびCPRAがサービスプロバイダーに追求することを認める限定的な目的、例えばセキュリティインシデントの検出および不正行為からの保護などのため、または法律により要求される場合に、eFindが独立した管理者として個人情報を処理することを妨げるものではありません。
本DPAから生じる、またはこれに関連する各当事者の責任は、広告主契約またはパブリッシャー契約に定める責任の制限および除外の対象となり、それらの契約における当事者の責任への言及は、契約と本DPAを合わせた当該当事者の総合的な責任を意味します。これは、標準契約条項に基づくデータ主体に対する特定の責任を含め、準拠法のもとで制限できないいかなる責任も制限するものではありません。
関係を構成する文書の間に矛盾がある場合、争われている事項について、以下の優先順位が高いものから低いものへと適用されます。第一に、それらが規律する国際移転について標準契約条項および英国補遺。第二に本DPA。第三に広告主契約またはパブリッシャー契約。そして第四に、ポリシーを含むその他の文書。この順位は、個人情報の処理に関する真の矛盾にのみ適用され、自らが優先すると明確に定めるより具体的な規定を無効にするものではありません。
本付属書は、eFindが顧客に代わって処理者として行う処理を説明します。標準契約条項または英国補遺が処理の説明を要求する場合、本付属書がそれを提供します。
| 項目 | 説明 |
|---|---|
| 対象事項 | 契約に基づき、キャンペーンおよび在庫の配信、ターゲティング、測定、およびサポートを含め、顧客に広告サービスおよびパブリッシャーネットワークサービスを提供するために必要なeFindによる個人情報の処理。 |
| 期間 | 契約の期間、それに加えて本DPAに記載されるとおりeFindが個人情報を削除または返還するまでの期間、それに加えて準拠法が保持を要求するいかなる期間。 |
| 処理の性質 | 本サービスを運営し顧客の指示を遵守するために必要な、収集、受領、保存、整理、使用、分析、承認された再委託処理者への開示、移転、制限、削除、その他の操作。 |
| 処理の目的 | 広告を計画、作成、ターゲティング、配信、最適化、測定、報告すること、コンバージョンを帰属させること、顧客の活動に関連して無効トラフィックおよび不正行為を検出および防止すること、サポートを提供すること、そして契約に基づく当事者の義務を履行すること。 |
| データ主体のカテゴリー | 広告を閲覧または操作するユーザー、パブリッシャープロパティの訪問者、顧客がそのデータを提供する、もしくはeFindに処理を指示する顧客の見込み客、顧客、およびオーディエンスのメンバー、そして顧客の承認済みユーザーのうち、その個人情報が関与する範囲において。 |
| 個人情報のカテゴリー | Cookieおよびデバイス識別子、IPアドレスなどのオンライン識別子、IPアドレスから導出されるおおよその位置情報、ブラウザ、デバイス、および技術情報、クリック、インプレッション、コンバージョンなどの操作データ、顧客が提供または選択するオーディエンスおよびセグメントの属性、そして顧客が提供する場合には、ハッシュ化または仮名化された形式でオーディエンスマッチングに使用される連絡先識別子。 |
| 機微個人情報 | 本サービスは、顧客に代わって機微な個人情報を処理するよう設計されておらず、顧客は、本サービスが明示的にこれをサポートし、顧客が適法な根拠を有する場合を除き、機微な個人情報を提供または処理を指示しないことに同意します。そのような処理は、準拠法が要求する追加の保護の対象となります。 |
| 移転の頻度 | 顧客が本サービスを使用する限り、継続的。 |
| 受領者 | 本サービスの提供、保護、およびサポートのためにアクセスを必要とするeFindの要員、そして本DPAおよびeFindの再委託処理者リストに記載される承認済みの再委託処理者。 |
本付属書は、eFindが処理者として処理する個人情報を保護するために維持する技術的・組織的措置を要約します。標準契約条項または英国補遺がセキュリティ対策の説明を要求する場合、本付属書がそれを提供します。完全なプログラムは以下に記載されています: セキュリティポリシー。eFindは、保護水準が実質的に低下しないことを条件に、自社の慣行および脅威の状況の進展に応じてこれを更新することがあります。
| 領域 | 対策 |
|---|---|
| アクセス制御 | 知る必要性のある要員に限定された役割ベースのアクセス、固有のアカウント、管理アクセスおよびリモートアクセスに対する多要素認証、そして不要になったアクセスの定期的な見直しおよび速やかな削除。 |
| 暗号化 | 現行のトランスポート層プロトコルを使用した転送中の個人情報の暗号化、本番データストアにおける保存中の個人情報の暗号化、そして暗号化キーの管理された取り扱い。 |
| ネットワークおよびシステムセキュリティ | ネットワークのセグメント化、ファイアウォールおよびアクセス制限、システムの堅牢化、適時のパッチ適用、そして疑わしい活動を検出し警告するよう設計された監視およびログ記録。 |
| 仮名化および最小化 | 可能な場合には直接の連絡先情報ではなく識別子の使用、オーディエンスマッチングに使用される連絡先識別子のハッシュ化、そして明示された目的に必要なもののみを収集し保持するよう本サービスを構成すること。 |
| 回復力および復旧 | バックアップ、冗長性、そしてインシデント発生後、個人情報の可用性およびアクセスを適時に復旧するよう設計された、文書化された事業継続計画および災害復旧計画。 |
| インシデント管理 | 本DPAにおける侵害通知の約束事項を含め、検出、トリアージ、封じ込め、是正、通知を対象とする文書化されたインシデント対応プロセス。 |
| ベンダーおよび再委託処理者の管理 | 再委託処理者を関与させる前のデューデリジェンス、保護的義務を課す書面による契約、そして各再委託処理者が行う処理に応じた継続的な監督。 |
| 要員およびガバナンス | 要員に対する機密保持義務、セキュリティおよびプライバシーに関する研修、適法かつ適切な場合の経歴調査、書面によるセキュリティ方針、そして対策の有効性の定期的なテストおよび評価。 |
| 物理的セキュリティ | 個人情報のホスティングに適した物理的アクセス制御、環境保護、および監視を維持するデータセンター施設への依拠。 |
本DPAに関する質問、署名版の請求、eFindの再委託処理者リストもしくはセキュリティ文書の請求、およびデータ保護に関する通知は、以下のeFind信頼・法務室宛てに送ることができます: support@efind.com または以下の電話番号で: 1-214-444-8126。書面による通知は、eFind LLC, 2451 West Grapevine Mills Circle, Suite 324, Grapevine, TX 76051, United States 宛てに送ることができます。
人々が信頼できるテクノロジーを築く。
© 2026 eFind. All rights reserved.