RTBおよびプログラマティックパートナー向けデータ保護補足条項
Last Update: May 29, 2024
RTBおよびプログラマティックパートナー向けデータ保護補足条項
発効日：2024年5月29日
TaboolaがプログラマティックおよびRTBパートナー（各々を「パートナー」といいます）との間で適切なデータ保護条項を整備していることを保証するため、Taboolaは本データ保護補足条項（以下「DPA」といいます）を提供します。
本DPAは、RTBおよびプログラマティックサービスの提供に関するパートナーとTaboola間の既存の契約上の事業取り決め（「基本契約」）を自動的に補完し、その一部を構成する。
本DPAにおいて使用されるが、本DPAにおいて定義されていない大文字表記の用語は、原契約において与えられた意味を有するものとする。 本DPAと基本契約との間に矛盾が生じた場合、当該矛盾の範囲において本DPAが優先する。
1.定義
「適用されるデータ保護法」とは、随時改正または廃止される可能性のある、適用されるあらゆる連邦、国家、州その他のプライバシーおよびデータ保護法（該当する場合、かつこれに限定されないが、以下に定義するCCPAおよび欧州データ保護法を含む）を意味する。
「CCPA」とは、カリフォルニア州消費者プライバシー法（Cal.シヴ。カリフォルニア州プライバシー権法（Cal.シヴ。コード§§ 1798.100 – 1798.199）。
「管理者」とは、個人情報の処理の目的及び手段を決定する主体を意味し、CCPA / CPRAの下で「事業者」または「第三者」として個人情報を処理する主体を含む。
「データプライバシーフレームワーク」または「DPF」とは、EU-米国データプライバシーフレームワークおよびEU-米国間のUK拡張米国が定めるDPF商務省
「欧州データ保護法」とは、EUデータ保護法およびUKデータ保護法を意味する。
「EUデータ保護法」とは、(i) EU規則2016/679（「EU GDPR」、「EU一般データ保護規則（GDPR）」）、 (ii) EU指令2002/58/EC；および(iii) (i)または(ii)に基づき制定された、これに従って制定された、またはこれを実施する、もしくは個人データの処理に関連する各EEA加盟国の国内法。いずれの場合も、随時改正または置き換えられたものを含む。
「個人情報」とは、特定された、または特定可能な自然人に関連するあらゆる情報を指し、適用されるデータ保護法において定義される「個人データ」または「個人情報」に該当するあらゆる情報を含みます。
「許可された目的」とは、基本契約に基づきオンライン広告の売買に関連するリアルタイム入札の目的を指し、これに関してTaboolaが別紙Iに定める通り、共有データをパートナーに開示またはその他の方法で提供し、処理を可能とすることを意味する。
「制限付き移転」とは、(i) EU GDPRが適用される場合、欧州委員会による十分性認定の対象となっていないEEA域外の国への個人データの移転（「EU制限付き移転」）、 及び（ii）UK GDPRが適用される場合、UKから、UKデータ保護法2018年第17A条に基づく十分性規制の対象とならない、またはそれに基づかないその他の国への個人データの移転（「UK制限付き移転」）。
「セキュリティインシデント」とは、共有データの偶発的または違法な破壊、紛失、改ざん、不正開示、または不正アクセスにつながるセキュリティ侵害を意味する。
「販売」および「共有」は、CCPA / CPRAならびにそれらの施行規則に定める意味を有する。
「共有データ」とは、本DPAの別紙Iに記載された個人情報のカテゴリーを意味する。
「Standard Contractual Clauses」とは、(i) EU GDPRが適用される場合、欧州議会及び理事会規則（EU）2016/679に基づき第三国への個人データ移転に関するStandard Contractual Clausesについて欧州委員会が2021年6月4日に採択した実施決定2021/914に付属する契約条項（以下「EU SCCs」という）； 及び（ii）UK GDPRが適用される場合、情報コミッショナーが2018年データ保護法（DPA 2018）第119A条(1)に基づき発行した「欧州委員会Standard Contractual Clausesに対する国際データ移転補遺」（「UK Addendum」）。
「UKデータ保護法」とは、以下のものを意味する：(i) 2018年欧州連合（離脱）法第3条によりUK法の一部を構成するEU GDPR（以下「UK GDPR」という）； (ii) 2003年プライバシー及び電子通信（EC指令）規則；(iii) 2018年データ保護法；並びに(iv) (i)又は(ii)に基づき制定され、これに従い制定され、又はこれを実施する、もしくは個人データの処理に関連するその他のUK法。いずれの場合も、随時改正又は廃止されるものとする。
2.データの開示
パートナーが基本契約および本DPAを遵守することを条件として、Taboolaは共有データをパートナーに開示またはその他の方法で提供し、パートナーが許可された目的のために厳密に処理することを認める。
3.当事者間の関係
当事者は、Taboolaがパートナーに開示する共有データの管理者であることを認め、パートナーは許可された目的のためにのみ、管理者として共有データを処理することを認める。
4.パートナーの義務
パートナーは、以下の事項を保証し、表明し、かつ約束する：
(a) 共有データは、常に許可された目的のためのみに、かつ適用されるデータ保護法に従って処理する。
(b) 適用されるデータ保護法が、許可された目的のための共有データの処理に関する義務の履行を妨げると信じる理由がないこと；
(c) パートナーが、適用されるデータ保護法に従い、許可された目的のために共有データを処理できないと判断した場合、速やかにTaboolaに通知するものとします。
(d) 適用されるデータ保護法の要件に準拠し、データ保護に関する問い合わせをデータ主体が行える連絡先情報を提供する、一般に公開されたプライバシー通知を、常に自社のウェブサイトに掲載し維持すること。
(e) データ主体が、適用されるデータ保護法に基づき、自身のデータ保護権利を行使できるようにするものとし、これには（限定されないが）自身の共有データの処理に対する異議申立ての権利を含む。
(f) 欧州データ保護法に基づき保護される共有データの処理に関しては、以下のことを行うものとする：
(g) 欧州データ保護法の要件に準拠し、同意を得た場合に限り共有データを取り扱うこと；および
(h) 共有データをセキュリティインシデントから保護するため、少なくとも附属書IIに定める措置を含む適切な技術的及び組織的措置を実施するものとする。
5.合理的かつ適切な措置
Taboolaは、パートナーが基本契約および本DPAに基づき、適用されるデータ保護法に準拠した方法で共有データを処理することを確保するため、合理的かつ適切な措置を講じることがあります。
パートナーが基本契約、本データ処理補足契約、または適用されるデータ保護法に違反した場合、Taboolaは共有データの不正使用を停止し是正するために合理的かつ適切な措置を講じます（共有データのパートナーへの開示の一時停止または終了を含みます）。
6.適用法令の遵守
パートナーは、適用されるデータ保護法に準拠し、共有データに対して適用されるデータ保護法で要求されるのと同等のプライバシー保護を提供するものとする。
7.協力義務
いずれかの当事者が、データ主体、規制当局またはその他の第三者から、（a）許可された目的のための共有データの開示、 または（b）相手方による共有データの処理に関して、当該通信等の詳細を速やかに相手方に通知するものとし、両当事者は、適用されるデータ保護法に基づく要件に従い当該通信等に対応するため、合理的にかつ誠実に協力するものとする。
8.EUおよびUKからの制限付き移転
Taboolaからパートナーへの共有データの移転が制限付き移転に該当する場合、Standard Contractual Clausesは本DPAに組み込まれ、以下の通り適用される：
(a) 制限付き移転がEU制限付き移転である場合、EU SCCsは、Taboola（データ輸出者）とパートナー（データ輸入者）との間で以下の通り適用される：
(i) モジュール1が適用される。
(ii) 第7条においては、任意のドッキング条項が適用される。
(iii) 第11条において、任意の文言は適用されない。
(iv) 第17条においては、オプション1が適用され、EU SCCsはアイルランド法に準拠する。
(v) 第18条(b)項において、紛争はアイルランドの裁判所において解決されるものとする。
(vi) 附属書Iにおいて：
(A) パートA及びパートBは、本DPAの附属書Aに記載された情報をもって完了したものとみなされる。
(B) パートCは、EU SCCsの第13条(a)項に定める基準に従って完了したものとみなされる。
(vii) 本DPAの附属書Bに定める保安措置をもって、附属書IIは完了したものとみなす。
(b) 制限付き譲渡がUK制限付き譲渡である場合、UK Addendumは当事者間で以下の通り適用される：
(i) 上記に定める通り作成されたEU SCCs（EU SCCs）は当事者間で適用され、かつUK Addendum（以下(ii)項に定める通り作成されたもの）により修正されるものとする；および
(ii) UK Addendumの表1から表3は、上記に定める通り記入されたEU SCCsからの関連情報により記入済みとみなされ、表4の「輸出者」および「輸入者」の選択肢はチェック済みとみなされる。 UK Addendumの開始日（表1に記載の通り）は、本DPAの発効日とする。
パートナーは、適用されるデータ保護法およびTaboolaと締結したStandard Contractual Clausesに準拠した制限付き移転を確保するために必要な一切の行為を完了しない限り、共有データの制限付き移転を第三者に対して行わない。
上記にかかわらず、パートナーがDPFに基づき認証を受け、かつDPFを遵守している場合、DPFに基づきパートナーに対して行われる共有データの移転は、制限付き移転とはみなされない。 かかる場合、パートナーは、DPF認証の遵守に失敗した場合、またはDPF認証が失効もしくはその他の理由で無効となった場合、直ちにTaboolaに通知するものとし、その場合には：
(a) Taboolaからパートナーへの共有データの移転は、直ちに制限付き移転とみなされ、上記の制限付き移転に関する規定が適用されるものとする；および
(b) Taboolaは、その絶対的な裁量により、ペナルティなしでパートナーへの共有データの転送を一時停止または終了することを選択できる。
9.補償
パートナーは、Taboola及びその取締役、役員、従業員、代理人、並びにクライアント（以下「Taboola補償対象者」という）に対し、パートナーが本DPA又は適用されるデータ保護法に違反したとの申し立てに関連する一切の請求、要求、訴訟、 手続および訴訟からTaboolaおよびその取締役、役員、従業員、代理人、顧客（以下「Taboola補償対象者」）を防御し、パートナーが本DPAまたは適用されるデータ保護法に違反したとの申し立てに関連して第三者によって提起されたものとし、かかる請求に起因または結果としてTaboola補償対象者が被ったすべての損害、損失、費用および経費（合理的な弁護士費用を含む）についてTaboola補償対象者を補償するものとします。
10.その他
パートナーは、共有データの処理において、適用されるデータ保護法への自らの遵守について単独で責任を負う。
適用されるデータ保護法に変更が生じた場合、Taboolaは当該変更に準拠するために必要な範囲において、本DPAを修正および更新することがあります。
本DPAの発効日より、本DPAまたは基本契約における「契約」の言及は、本DPAにより補完された基本契約を意味するものとします。
附属書I
データ共有説明
A.当事者一覧
| Taboola - Data exporter(s) | |
|---|---|
| Name: | See Taboola’s details set out in the Underlying Agreement. |
| Address: | See Taboola’s details set out in the Underlying Agreement. |
| Contact person’s name, position and contact details: | privacy@taboola.com |
| Activities relevant to the data transferred under these Clauses: | Disclosure of Shared Data for the Permitted Purpose. |
| Signature and date: | This DPA shall automatically be deemed executed upon execution of the Underlying Agreement. |
| Role (controller/processor): | Controller. |
| Partner - Data importer: | |
|---|---|
| Name: | See Partner’s details set out in the Underlying Agreement. |
| Address: | See Partner’s details set out in the Underlying Agreement. |
| Contact person’s name, position and contact details: | See Partner’s details set out in the Underlying Agreement. |
| Activities relevant to the data transferred under these Clauses: | Receipt and processing of Shared Data for the Permitted Purpose. |
| Signature and date: | This DPA shall automatically be deemed executed upon execution of the Underlying Agreement. |
| Role (controller/processor): | Controller. |
B. 移転の説明
| Description of Transfer | |
|---|---|
| Categories of data subjects whose personal data is transferred | Visitors to digital properties (such as websites and mobile applications) owned by customers of Taboola and who have integrated Taboola’s advertising technologies on those properties. |
| Categories of personal data transferred | Pre-partnership Integration: Unique User IDs from RTB partners Cookie match / sync / table (either Taboola or Partner can host and the non-hosting party must share data points) Bid request includes: Unique ID of the bid request (provided by the exchange) IMP object representing the impression offered Publisher site or app represented App Device Auction Type Maximum Time Currency Blocked Categories Device ID Taboola User ID Calling Tag Partners: URL |
| Sensitive data transferred (if applicable) and applied restrictions or safeguards that fully take into consideration the nature of the data and the risks involved, such as for instance strict purpose limitation, access restrictions (including access only for staff having followed specialised training), keeping a record of access to the data, restrictions for onward transfers or additional security measures | Not applicable. |
| The frequency of the transfer (e.g. whether the data is transferred on a one-off or continuous basis) | Continuous for the duration of the Underlying Agreement. |
| Nature of the processing | Processing of Shared Data by Partner for the purposes of real-time bidding in order to buy and sell advertising inventory on digital properties of Taboola’s customers. |
| Purpose(s) of the data transfer and further processing | Partner processes Shared Data, for the following purposes: Serve personalized and behavioral recommendations. Determine whether to bid on a placement and serve personalized recommendations. |
| The period for which the personal data will be retained, or, if that is not possible, the criteria used to determine that period | For the duration of the Underlying Agreement and as otherwise required by applicable law. |
| For transfers to (sub-) processors, also specify subject matter, nature and duration of the processing | Not applicable. |
C. 管轄監督当局
| Competent Supervisory Authority | |
|---|---|
| Competent supervisory authority where the EU GDPR applies | The competent supervisory authority shall be determined in accordance with Clause 13 of Module 1 of the EU Standard Contractual Clauses. |
| Competent supervisory authority where the UK GDPR applies | The Information Commissioner’s Office |
附属書II
セキュリティ対策
各当事者が実施する技術的及び組織的措置（関連する認証を含む）の説明。これには、処理の性質、範囲、文脈及び目的、並びに自然人の権利及び自由に対するリスクを考慮した、適切なセキュリティレベルの確保が含まれる。パートナーは、下記に明記するTaboolaのセキュリティ対策と実質的に同等の適切な技術的及び組織的措置を講じていることを表明し保証する。
個人データの仮名化および暗号化措置：Taboolaは仮名化されたデータのみを収集します。つまり、ユーザーの名前、メールアドレス、その他の識別可能なデータを把握または処理しないため、当社はユーザーが誰であるかを知りません。当社が収集するユーザー情報には、ユーザーのデバイスおよびオペレーティングシステムに関する情報、IP Address、顧客ウェブサイト内でユーザーがアクセスしたウェブページ、ユーザーを顧客ウェブサイトに誘導したリンク、ユーザーが顧客ウェブサイトにアクセスした日時、その他のウェブ閲覧データなどが含まれますが、これらに限定されません。CookieIDはBcryptを用いて匿名化され、IP Addressは切り詰められます。
処理システムおよびサービスの継続的な機密性、完全性、可用性、および回復力を確保するための措置：Taboolaは複数のレベルの電子セキュリティを採用しています（例：エンドポイントセキュリティ、サーバーサイドセキュリティ、検知追跡、定期的なペネトレーションテスト、事後検証イベントをレビューするための深いインテリジェンス収集）。
物理的または技術的なインシデント発生時に、個人データの可用性およびアクセスを適時に復元する能力を確保するための措置：Taboolaは世界中で稼働する9つのデータセンターを維持しています。すべてのデータセンターは相互に複製として機能するため、1つがダウンしても他のデータセンターからデータを抽出できる。
処理の安全性を確保するための技術的及び組織的措置の有効性を定期的にテスト、評価、検証するプロセス：Taboolaは、自社の管理措置（技術的および組織的の両方）の効果を検証するための厳格なプロセスを維持している。システムログ記録と監視体制を整備し、月次（最低）の災害復旧テスト、四半期ごとのペネトレーションテストを実施しています。ウェブを保護するファイアウォールと、ネットワーク全体に配置されたハニーポットにより、あらゆる悪意ある活動を検知します。さらに、当社ではネットワークを常時監視するための報奨金プログラムを導入しています。
ユーザー識別および認証のための措置：Taboolaのすべてのユーザーには、専用のユーザー名とパスワードが割り当てられています。Taboolaの内部ネットワークへのアクセスはすべて、Google認証を使用した2段階認証（2FA）によって行われます。ユーザーはIT部門によってのみ作成され、オンボーディングプロセス中に、かつ人事部門からすべての詳細情報と署名済み契約書を受領した後に限って作成されます。
データ伝送時の保護対策：Taboolaは、安全な伝送プロトコル（最低でもHTTPSおよびTLS v1.2）を介したあらゆるデータ伝送をサポートします。さらに、個人を特定できる情報（PII）を含む可能性のあるシステムは保護され、データはハッシュ化および匿名化された状態で保持されます。
保存中のデータ保護のための措置：当社のデータベース内に保存されるデータは、Bcryptを用いて匿名化およびハッシュ化されます。データベースへのアクセスは最小限に抑えられ、「業務上知る必要のある範囲」の原則に基づいて行われる。
個人データが処理される場所の物理的セキュリティを確保するための措置：Taboolaのグローバルデータセンター（米国、欧州、アジア）では、各サーバーがTaboola専用に管理される施錠されたキャビネット内に設置されています。これらのキャビネットは、SOC2-certified企業、またはTaboolaがセキュリティ対策を審査した企業によって管理されています。さらに、サーバーへのアクセスには書面による許可と記録が必要である。Taboolaの全オフィスも管理下にあり、従業員は入室にアクセスカードの使用が義務付けられています。さらに、Taboolaのサーバーへのアクセス権限を持つ従業員は限られており、アクセスには書面による許可とログ記録が必須です。
イベント記録を確保するための措置：Taboolaは監視ツールを導入し、ログは当社のSIEMシステムに収集されます。これにより不審な事象が発生した際にアラートが通知され、NOCチームによる監視も実施されています。
システム構成（デフォルト構成を含む）を確保するための措置：サーバーは設定のドリフトとパッチレベルの両方についてスキャンされます。両方にレポートおよび／またはアラートが設定され、関連するパッチレベルが確認されている。新しいパッチはPuppetを使用して配布されます。すべての技術レビューはR&Dアプリケーションを通じて管理され、コーディングおよびCI/CD processesが実装された後、正式なレビュープロセス（QA）を通じて取得されます。
内部ITおよびITセキュリティのガバナンスと管理に関する措置：TaboolaはISO/IEC 27001:2013およびISO/IEC 27701:2019の認証を取得しています。Taboolaは情報セキュリティポリシーを策定しており、取締役会および経営陣は、組織全体における全ての物理的および電子的な情報資産の機密性、完全性、可用性を維持することにコミットしていることを明記しています。Taboolaは、全新入社員を対象としたセキュリティ研修、全世界の全従業員を対象としたフィッシング対策研修、全従業員向けの定期的なセキュリティ研修を実施しており、さらに研究開発グループ向けの特別セッションも設けています。
プロセスおよび製品の認証／保証のための措置：四半期ごと／半年ごと／年ごとの内部監査を複数プロセスおよびシステムに対して実施し、Taboolaが定義されたセキュリティ目標および対策に準拠していることを検証する。
データ最小化を確保するための措置：Taboolaは、当社の特定の事業目的に必要な限定的なデータのみを処理するというグローバルなデータ最小化原則に基づき、収集するデータを意図的に制限しています。さらに、Taboolaは、サービス提供のためにアルゴリズムで使用されるデータポイントを「リバースエンジニアリング」する能力も、ビジネス上の必要性も一切持ち合わせていません。より具体的には、Taboolaが収集するデータポイントは、ユーザーの身元を示すものではありません。Taboolaは、ユーザー名、電話番号、メールアドレス、住所などの情報を収集または処理しないためです。代わりに、Taboolaは単なる仮名識別子のみを収集します。これはユーザーのデバイスに関する特性のみを識別するものです。これにはIP Address（収集時に切り詰められ、デバイスの大まかな郵便番号エリアを特定できるが、正確な地理的位置を特定することは決してない）と、一部の限定的なケースではハッシュ化されたメールアドレス（本質的に元に戻すことが不可能であり、元のメールアドレスを復号化することはできない）が含まれます。さらに、収集したデータをまとめて使用した場合でも、個人の氏名、電話番号、メールアドレス、住所を特定することは決してできず、当社のエンジニアはこれを達成するために一切の作業を行いません。さらに、Taboolaはサービス、プロセス、ポリシーにおけるプライバシーリスクを最小限に抑えるため、プライバシー影響評価を実施し記録しています。
データ品質を確保するための措置：データはユーザーから直接収集され、ユーザーはTaboolaデータ主体アクセス要求ポータル（https://accessrequest.taboola.com/access）を通じて、自身のCookieIDに関連するデータを修正する機会が与えられます。
限定的なデータ保持を確保するための措置：広告配信を目的として直接収集したユーザー情報は、ユーザーが当社サービスと最後にやり取りした時点から最大13か月間（多くの場合より短い期間）保持します。その後、一意の識別子を削除するかデータを集計することで、データを匿名化します。この処理は自動的に行われます。
説明責任を確保するための措置：Taboolaは複数のセキュリティ監査とペネトレーションテストを実施しています（ただし、すべてのシステムに対してではありません）。Taboolaはまた、サーバーの物理的保護措置を維持するため、ISO認証を取得し、その他のクラウド関連の認証に準拠しているクラウドプロバイダーを利用しています。
データポータビリティを可能にし、消去を確保するための措置：Taboolaは、個人識別情報（PII）を含む可能性があるため、あらゆる種類のメディアについて、メディア廃棄に関する対応を統一しています。あらゆるメディアは、再利用または廃棄する前に完全に消去されなければなりません。あらゆるメディア廃棄は記録される。従業員は、個人情報を含む可能性のある書類を一切印刷しないよう指示されています。