個人データ取扱委託契約書

個人データ取扱委託契約書

〔甲の名称〕（委託元。以下「甲」という。）と〔乙の名称〕（委託先。以下「乙」という。）は、〔契約締結日〕付で合意する。

第1条（委託範囲と期間）

1. 甲は〔委託目的〕のために別紙の取扱いを委託する。取扱期間は〔取扱開始日〕から〔取扱終了日〕までとし、主契約が先に終了した場合はその終了時までとする。

2. 対象者・項目、処理内容、保存期間・場所・取扱者は別紙のとおりとする。乙は甲の文書化した指示の範囲だけで取り扱い、独自の広告・AI学習・他の顧客のための利用・第三者提供を行わない。

3. 個人データの取扱範囲、安全管理、再委託、事故、返却・消去並びにその違反についての責任と取扱委託の解除に関し、主契約と抵触する場合は本契約及びその別紙を優先する。

4. 業務の対価・通常の給付その他ここに定めない事項は主契約による。優先関係を変更する場合は、対象条項と変更内容を明示して双方が書面等で合意する。

5. 甲乙は取扱開始前に、主契約並びにこれに組み込まれる注文書、約款、SLAその他の文書の全文及び適用版を相互に確認し、その名称・日付・版を別紙に特定する。

6. 確認できない文書がある間、甲は対象データを交付せず、乙はその取扱いを開始しない。主契約の責任上限等を含めて照合し、抵触条項が黙示に併存するとは扱わない。

第2条（適法性と本人対応）

1. 甲は取得・利用・委託に必要な法的根拠及び本人への対応を確保する。乙は指示が法令に違反するおそれを認識したら通知し、当該処理だけを解決まで保留する。

2. 本人対応・当局対応は原則甲が担当し、乙は本人からの請求を直ちに甲へ転送し、必要な検索・訂正・消去・事実提供に協力する。乙自身の法定義務を免除するものではない。

第3条（安全管理と守秘）

1. 乙は別紙の技術的・組織的措置を実施し、必要な従事者へのアクセス制限、守秘、教育、権限管理、暗号化、ログ保全、脆弱性対策をリスクに応じて行う。

2. 取扱状況と措置を記録し、甲に合理的な確認資料を提供する。乙は甲の非公開の運用・認証情報も本件以外に用いず、必要な従事者と承諾済み再委託先以外に開示しない。これらの者の行為について乙が責任を負う。

第4条（再委託・外国取扱い）

1. 乙は再委託先・業務・所在地・取扱場所・アクセス国・安全管理を示し、甲の事前承諾を得る。乙は同等の義務を契約で負わせ、監督し、その行為に責任を負う。

2. 変更も同じ手続による。外国にある設備への保存、外国からの個人データへのアクセス及び外国にある第三者への提供は本契約による取扱範囲から除外する。乙は、対象国・設備・取扱者とアクセス経路、適用される提供の条件、必要な本人対応、安全管理及び継続的な監督を具体化した甲乙の追加書面合意が成立するまで、これらを開始しない。

3. 国外設備への保存だけをもって外国にある第三者への提供と判断するものではない。

第5条（事故）

1. 乙は漏えい・滅失・毀損又はそのおそれを知ったら直ちに、遅くとも〔事故第一報の期限時間数〕時間以内（1時間以上24時間以下で指定）に別紙の甲窓口へ第一報を行う。未確定事項があっても報告を待たず、対象・件数・原因・措置・今後の対応を判明次第更新する。乙は封じ込め、証拠保全、原因調査、本人通知・当局報告及び再発防止に協力する。

2. 法定報告を甲が行う場合も、乙の報告義務の免除要件が満たされない限り乙自身の義務は残る。本条の時間指定は法定期限を延ばさない。

第6条（監督・変更・解除）

1. 甲は合理的な事前通知により、質問票・資料・必要な監査で取扱状況を確認できる。事故等の緊急時は速やかに確認する。監査では他顧客の秘密・安全管理を不必要に害さない。

2. 乙は是正計画・期限・結果を報告する。処理の範囲・期間・費用の変更は双方が書面等で合意する。

3. 重大違反が書面催告後14日以内に是正されない場合、甲は取扱委託を解除できる。重大な事故・違法処理又は措置不足でデータの保護ができない場合は、甲は当該処理を直ちに停止させ、目的達成不能の場合は無催告で解除できる。主契約の解除は主契約及び法令に従い、委託解除だけで主契約全体を自動終了しない。

第7条（返却・消去）

1. 甲は終了時又は取扱いが不要になった時に「返却後消去」又は「消去のみ」を指示する。乙は別紙の初期指定に従い、終了又は指示受領から〔返却・消去期限の日数〕日以内（1日以上30日以下で指定）に処理し、指示がない場合も初期指定を適用する。

2. 返却は甲が受領・読取りできる安全な形式・経路を用いる。返却後の乙の残存複製も消去し、再委託先に同じ処理を行わせる。「消去のみ」のときは引渡しを別途要求しない。

3. 法令により保存が義務付けられる分は根拠・対象・保存期限を甲に通知し、分離しアクセスを限定して、保存目的以外に利用せず期限後速やかに消去する。通常バックアップ内の対象データは通常業務に復元利用せず、別紙の更新周期にかかわらず、取扱終了又は当該データの消去指示受領のうち早い時から〔バックアップ消去期限の日数〕日以内（1日以上90日以下で指定）に消去する。

4. 乙は必要に応じて媒体の更新・失効を早め、期限まで隔離してアクセスを制限する。契約継続中に不要となった一部データにもこの期限と隔離・再消去・証跡の義務を適用する。

5. 事故復旧で復元した場合は対象データを再消去する。乙は対象・方法・実施日・再委託先の処理及び残存保存分を記載した完了証跡を、処理後7日以内に別紙の方法で提出する。

6. バックアップの消去後にも追加証跡を提出する。

第8条（責任と存続）

1. 双方は自己の責めに帰すべき違反による通常かつ直接の損害を賠償する。故意・重大な過失及び法令上制限できない責任はこの範囲限定の対象外とする。

2. 返却・消去・証跡・保存分の保護及び必要な事故協力の義務は完了まで存続し、非公開運用情報の守秘は終了後3年間、残存する個人データの守秘と目的外利用禁止は消去完了まで存続する。

3. 甲乙は反社会的勢力を利用しない。日本法に準拠し、〔合意管轄裁判所名〕を第一審の専属的合意管轄裁判所とする。

【別紙（取扱条件）】

主契約及び組込み文書（注文書・約款・SLA等）の名称・日付・適用版：〔主契約・組込み文書の特定情報〕

対象者・データ項目：〔対象者・データ項目〕

処理業務・処理内容：〔処理業務・処理内容〕

保存場所・システム・取扱者・アクセス国：〔保存場所・システム等〕

保存期間又は消去を開始する条件：〔保存期間・消去開始条件〕

技術的・組織的措置：〔安全管理措置〕

承諾済み再委託先・業務・所在・アクセス国（なければ「なし」）：〔承諾済み再委託先等〕

初期の終了処理（返却後消去／消去のみ）・返却形式：〔終了時の処理方法・返却形式〕

バックアップ更新周期・隔離方法：〔バックアップ更新周期・隔離方法〕

法令保存分の根拠・対象・期限（なければ「なし」）：〔法令保存分の根拠等〕

完了証跡の形式・提出方法：〔完了証跡の形式・提出方法〕

双方の担当者・事故連絡先：〔担当者・事故連絡先〕

〔契約締結日〕

甲：〔甲の名称〕　署名者：________________

乙：〔乙の名称〕　署名者：________________