処理者は、管理者に対して合意されたサービスを提供する目的のためにのみ個人データを処理します。当該個人データに関して、管理者が管理者であり、Nashuaが処理者となります。各当事者は、適用されるデータ保護法に基づく自らの義務を遵守します。処理の詳細、データ主体のカテゴリーおよび個人データの種類は、附属書Aに定めるとおりです。

処理者は、契約および本DPAを含む管理者の文書化された指示に基づき、かつサービス提供に必要な範囲でのみ個人データを処理します。ただし、EU法または加盟国法により処理が求められる場合はこの限りではなく、その場合、当該法が禁止していない限り、処理者は事前に管理者に通知します。処理者は、ある指示がデータ保護法に違反すると判断する場合、その旨を管理者に通知します。

処理者は、個人データを処理する権限を有する者が適切な秘密保持義務に拘束され、かつ指示された範囲でのみデータを処理することを確保します。アクセスは、サービス提供のためにそれを必要とする要員に限定されます。

処理者は、GDPR第32条により求められるとおり、リスクに応じた適切な水準のセキュリティを確保するための適切な技術的および組織的措置を実施します。これらの措置は附属書Bに記載され、ISO/IEC 27001およびSOC 2のトラストサービス基準に整合した情報セキュリティプログラムを反映するとともに、オランダ法において実施されるDORAおよびNIS2に基づく処理者の義務を考慮します。処理者は、保護の水準が低下しないことを条件として、当該措置を更新することができます。

管理者は、附属書Cに記載されるホスティングおよびインフラストラクチャの提供者を含め、サービス提供のために副処理者を利用することについて、処理者に対して一般的な承認を与えます。処理者は、各副処理者に対し、契約により、本DPAに定めるものと同等のデータ保護義務を課し、各副処理者の履行について引き続き管理者に対して全面的な責任を負います。処理者は、副処理者の変更予定について管理者に通知し、合理的なデータ保護上の理由に基づいて異議を申し立てる合理的な機会を管理者に与えます。

処理者は、十分性認定またはGDPR第V章に基づく適切な保護措置、特に欧州委員会の標準契約条項および必要とされる補完的措置がない限り、個人データを欧州経済領域外に移転しません。個人データは、既定では、オランダおよびEEA域内でホストされます。

処理者は、処理の性質を考慮し、可能な限り、適切な技術的および組織的措置により、データ主体がその権利を行使する請求に対応する管理者の義務の履行を支援するとともに、処理者が利用可能な情報を考慮したうえで、セキュリティ、侵害通知、データ保護影響評価および事前協議を含むGDPR第32条から第36条までに基づく義務の遵守を確保することについて管理者を支援します。

処理者は、管理者の個人データに影響を及ぼす個人データ侵害を認識した後、不当な遅滞なく管理者に通知し、監督機関およびデータ主体に対する自らの通知義務を履行するために管理者が合理的に必要とする情報を提供します。処理者は、侵害および講じた是正措置を文書化します。

サービスの終了時に、管理者の選択に応じて、処理者は、EU法または加盟国法により保管が求められる場合を除き、すべての個人データを削除または返還し、既存の複製を削除します。要請があった場合、処理者はその旨を書面により確認します。

処理者は、GDPR第28条の遵守を証明するために必要な情報を管理者に提供し、管理者またはその委託する監査人が実施する監査（検査を含む）を許容し、これに協力します。処理者は、ISO/IEC 27001証明書やSOC 2報告書などの現行の認証および証明を提供することにより監査の要請に応じることができ、監査は、合理的な予告のうえ、営業時間内に、秘密保持を条件とし、かつ処理者の業務に不合理な支障を生じさせることなく実施されます。

本DPAに基づく各当事者の責任は、強行法規により許容される範囲において、主契約で合意された責任の制限に服します。本DPAのいかなる規定も、GDPRに基づくデータ主体の権利、または監督機関に対するいずれかの当事者の責任を制限するものではありません。

本DPAは、契約とともに発効し、処理者が管理者に代わって個人データを処理する限り効力を有します。本DPAはオランダ法に準拠し、紛争は主契約で合意された管轄に服します。データ保護に関する事項について本DPAと主契約との間に矛盾がある場合、本DPAが優先します。

対象事項および期間：契約の期間中における合意されたサービスの提供。性質および目的：管理者の指示に従った、Nashua 360 Enterprise Platformおよび関連サービスのホスティング、保存、処理、分析、サポートおよび運用。データ主体のカテゴリー：管理者が決定するとおりであり、管理者の従業員、顧客、供給者および連絡先を含み得ます。個人データの種類：管理者がサービスの利用を通じて決定するとおりであり、識別、連絡先、契約、財務、雇用および取引に関するデータを含み得ます。管理者は、明示的に合意され、かつ適切な追加措置により対処される場合を除き、特別なカテゴリーの個人データの処理を指示しません。

処理者は、リスクに応じた措置を維持します。これには次のものが含まれます：ISO/IEC 27001およびSOC 2のトラストサービス基準に整合した情報セキュリティマネジメントシステム、多要素認証を伴う役割ベースのアクセス制御および最小権限、転送中および保管時における個人データの暗号化、ネットワークのセグメンテーションおよび境界防御、集中化されたログ記録、監視およびアラート、セキュアなソフトウェア開発、コードレビューおよび変更管理、脆弱性管理およびペネトレーションテスト、合意された復旧目標に整合したバックアップおよび試験済みの災害復旧、供給者および副処理者のリスク管理、DORAに沿った事業継続および運用上のレジリエンス、要員の審査、秘密保持義務およびセキュリティ意識向上のトレーニング、ならびに文書化されたインシデント管理および侵害通知のプロセス。現行の詳細な措置は、要請があれば管理者に提供されます。

処理者は、主としてオランダおよびEEA域内でのホスティングおよびインフラストラクチャのため、ならびに通信およびサポートツールのために、限定された副処理者を利用します。副処理者の現行の一覧は、その役割および所在地とともに、要請があれば管理者に提供され、処理者は、第5条に従い、追加または交代の予定を管理者に通知します。