データ処理契約書（DPA）のテンプレート

データ処理契約書（DPA）

当事者: 委託者 · 受託者

第1条（目的及びサービス契約との関係）

1　本契約は、受託者が委託者のために個人データを取り扱う方法を定める。本契約は、当事者間の次の契約（以下「サービス契約」という。）に追加して適用され、サービス契約に基づく業務を提供するにあたり、受託者が委託者のために行う個人データの取扱いに適用される。サービス契約：[[サービス契約の名称及び締結日]]

2　個人データに関して本契約とサービス契約が抵触するときは、本契約が優先する。その他の事項については、サービス契約がそのまま適用される。

第2条（用語）

1　「個人データ」とは、識別された又は識別可能な人に関する情報をいう。「取扱い」とは、収集、保存、利用、送信、削除など、個人データに対して行う一切の行為をいう。「委託者」は個人データを何のために、どのように取り扱うかを決める当事者であり、「受託者」は委託者のために取り扱う当事者である。「本人」とは、個人データが関する人をいう。

2　「再委託先」とは、受託者が取扱いの一部を委ねる第三者をいう。「個人データの侵害」とは、個人データが偶発的に又は違法に破壊、紛失、改ざん、開示され又はアクセスされる安全上の事故をいう。本契約が用いるその他の用語で、委託者に適用される法令が定義するものは、その法令が定める意味を有する。

第3条（取扱いの内容）

受託者は、次の目的及び方法でのみ個人データを取り扱う。

1　取扱いの対象及び目的：[[取扱いの目的。例：委託者の顧客データベースのホスティング]]

2　取扱いの性質：[[例：保存、バックアップ、サポートのためのアクセス]]

3　個人データの種類：[[例：氏名、メールアドレス、注文履歴]]

4　本人の区分：[[例：顧客、従業員]]

5　期間：サービス契約が続く間、及びその後は返還及び削除の条項に定める期間とする。

6　個人データに法令が特に慎重な取扱いを求める情報が含まれる場合、委託者はこれを受託者に知らせた：[[なし／慎重な取扱いを要する情報の種類]]

第4条（指示）

1　受託者は、委託者の文書化された指示に従ってのみ個人データを取り扱う。文書化された指示とは、本契約、サービス契約、及び業務の範囲内で委託者がその後に書面又は電磁的方法で行った指示をいう。受託者は、自己の目的のために個人データを取り扱わない。

2　受託者は、指示が適用される法令に違反すると考えるときは、遅滞なく委託者に通知し、委託者が確認し又は変更するまでその指示の実行を停止することができる。法令により受託者が別の方法で取り扱う必要があるときは、法令が禁じない限り、受託者は事前に委託者に通知する。

第5条（担当者の秘密保持）

受託者は、業務のために個人データを必要とする者にのみアクセスを許し、その者が契約又は法令による秘密保持義務を負うようにする。この義務は、その者が受託者のための業務を終えた後も存続する。

第6条（安全管理措置）

1　受託者は、リスク、技術水準及び費用を考慮して、個人データが偶発的に又は違法に破壊、紛失、改ざん、開示され又はアクセスされないよう、適切な技術的及び組織的な安全管理措置を講じる。措置には、少なくとも次のものを含む。[[措置の内容。例：アクセス制御、暗号化、バックアップ、ログ記録、従業員教育、又は添付する安全管理の説明の参照]]

2　受託者は、措置を定期的に見直し、保護の水準が下がらない範囲でこれを変更することができる。受託者は、業務が許す範囲で、委託者の個人データを他の顧客のデータから分離して管理する。

第7条（再委託先）

1　委託者は、受託者が再委託先を用いることを一般的に許諾する。効力発生日に用いている再委託先は次のとおりである。[[再委託先の名称、所在地及び業務。ない場合はなし]]

2　受託者は、再委託先を追加し又は変更するときは、少なくとも[[30]]日前までに書面又は電磁的方法により委託者に通知する。委託者は、その期間内に個人データ保護に関する合理的な理由により異議を述べることができ、この場合、当事者は誠実に解決策を探り、見つからないときは、委託者は影響を受ける業務を終了することができる。

3　受託者は、すべての再委託先に本契約に劣らない水準の個人データ保護義務を課し、再委託先の行為について委託者に対して責任を負う。

第8条（本人の権利その他の支援）

1　受託者は、取扱いの性質を考慮して、本人が法令により認められた開示、訂正、削除などの権利を行使する請求に委託者が応じられるよう、適切な技術的及び組織的措置により支援する。受託者がそのような請求を直接受けたときは、遅滞なく委託者に伝え、委託者が指示しない限り自ら回答しない。

2　受託者は、安全管理、侵害の通知、本人に対するリスクの評価、監督機関との協議など、適用される法令に基づく委託者自身の義務のために委託者が合理的に必要とする情報及び協力も提供する。業務に照らして合理的な範囲を超える協力については、サービス契約の単価又は事前に合意した金額により費用を請求することができる。[[含まれる／サービス契約の単価で請求する]]

第9条（個人データの侵害）

1　受託者は、委託者の個人データに関する個人データの侵害を知った後、遅滞なく、いかなる場合も[[48]]時間以内に、委託者に通知する。通知には、判明している範囲で、何が起きたか、関係する人及び記録の種類と概数、予想される結果、受託者が行ったこと及び行うことを記載する。まだすべては判明していないときは、残りを段階的に知らせる。

2　受託者は、侵害を封じ込め被害を抑えるための合理的な措置を講じ、法令が求める通知を委託者が行うことに協力する。法令に別段の定めがない限り、監督機関及び本人に通知するかどうか及びその方法は、委託者が決定する。

第10条（国外への移転）

1　受託者は、次の場所でのみ個人データを取り扱う。[[個人データを保存し又はアクセスする国又は地域]]

2　受託者は、委託者の指示又は承認がある場合にのみ、かつ、委託者に適用される法令が認める場合にのみ、他国へ個人データを移転し又は他国からのアクセスを許す。その法令がこのような移転に保護措置を求めるときは、当事者は移転の前にこれを整え、書面又は電磁的方法で記録する。

第11条（監査及び情報提供）

1　受託者は、本契約が守られていることを確認するために委託者が合理的に必要とする情報、例えば書面による質問への回答及び受託者が保有する関連のセキュリティ報告書又は証明書を提供する。

2　それで足りないときは、委託者又は委託者が指名し秘密保持義務を負う監査人は、監査を行うことができる。監査は、侵害が生じた場合又は法令がより多くを求める場合を除き[[12]]か月に1回を超えず、少なくとも[[30]]日前に通知し、業務時間中に、受託者を不当に妨げず、他の顧客のデータを危険にさらさない方法で行う。監査の費用は各自が負担するが、監査により受託者の重大な違反が判明したときは、合理的な監査費用は受託者も負担する。

第12条（返還及び削除）

業務が終了したとき、又は委託者が書面若しくは電磁的方法でより早く求めたときは、受託者は、委託者の選択に従い、[[30]]日以内にすべての個人データを一般的な形式で返還し又は削除し、再委託先が保有する複製を含め、残っている複製を削除する。ただし、適用される法令により一部を保存する必要があるときは、この限りでない。保存が必要な情報は、本契約に従って引き続き保護され、法令が求める目的にのみ使用される。受託者は、求めがあれば、削除したことを書面又は電磁的方法で確認する。

第13条（適用される個人データ保護法令）

1　個人データ保護法令は国ごとに異なる。各当事者は、業務に関連して自己に適用される個人データ保護法令を遵守する。委託者の取扱いに適用される法令は次のとおりである。[[適用される個人データ保護法令。例：委託者の国の法令]]

2　各当事者は、自己に適用される個人データ保護法令がこのような契約に何を求めているかを、自ら確認する責任を負う。その法令が本契約にない条件又は本契約と異なる条件を求めるときは、当事者はこれを書面又は電磁的方法により追加し又は変更し、その後は、本契約はその条件とともに適用される。本契約のいかなる定めも、その法令が求める水準より低い保護を与えるものではない。

第14条（責任、期間及び変更）

1　本契約に基づく各当事者の責任は、サービス契約の責任の条項による。これは、法令上制限できない責任及び適用される法令に基づき本人が有する権利に影響しない。

2　本契約は、受託者がサービス契約に基づき委託者のために個人データを取り扱う間効力を有し、受託者が個人データを保有する間はその義務も存続する。本契約の変更は、当事者が書面又は電磁的方法により合意した場合に限り効力を有する。

第15条（準拠法及び紛争解決）

本契約は、準拠法の欄に記載した法律に従って解釈する。本契約に関する紛争は、当事者がまず誠実に協議して解決を図り、協議が調わないときは、強行法規に別段の定めがある場合を除き、管轄の欄に記載した裁判所を専属的合意管轄裁判所とする。

準拠法

[[適用する法律。例：日本法]]

管轄裁判所

[[紛争を扱う裁判所。例：東京地方裁判所]]