情報セキュリティ付属合意書
〔甲の名称〕（委託元・顧客。以下「甲」という。）と〔乙の名称〕（受託者・提供者。以下「乙」という。）は、〔合意の対象〕について、〔合意日〕付で次のとおり合意する。
第1条（対象・優先関係）
1. 本別紙は〔本文契約の締結日〕付契約の下で乙が扱う甲のデータ、システム及び認証情報に適用する。
2. 対象環境、情報区分及び追加規格は末尾の表による。安全管理、事故対応、再委託管理及び返還・消去について本合意を主契約に優先し、料金、成果権利及び責任上限は主契約を変更しない。
3. 主契約に明示したデータ取得期間がある場合、第7条の消去はその取得完了後に行う。
第2条（組織的措置）
乙は情報セキュリティ責任者を指名し、従事者の教育、秘密保持、アクセス権の付与・変更・削除及び委託先の監督を行う。甲の情報へのアクセス者と権限を記録し、退職・異動時に遅滞なく見直す。
第3条（技術的措置）
1. 乙は認証、暗号化、脆弱性管理、マルウェア対策、ネットワーク分離、ログ保全及びバックアップをリスクに応じて実施する。最低限、個人別ID、管理者及びリモートアクセスの多要素認証、通信TLS1.2以上、保存暗号化と鍵分離、月次の更新確認、重大脆弱性の認知後72時間以内の遮断等の暫定対策、四半期ごとの権限見直し、操作ログ180日保持を行う。別紙で特定したバックアップ対象は毎日取得・30日保持・四半期復元試験を行う。
2. 追加水準は別紙に記す。技術上適用できない措置は対象、理由、代替措置、期間と残リスクを乙が示し、甲の記録に残る事前承認を得た場合に限り代替できる。
第4条（再委託と変更）
1. 乙は再委託先と取扱場所を甲に示し、事前承認を得る。再委託先に同等の義務を課し、その実施に責任を負う。取扱場所・リモートアクセスは国内に限る。
2. 重要な構成又は安全水準の低下は影響と代替策を示し、事前承認を得るまで変更しない。国外取扱いには本合意の変更と必要な個人情報保護上の手続を先に完了する必要がある。
第5条（事故対応）
1. 乙は漏えい、不正アクセス又は可用性に重大な影響を与える事故を知ったら〔事故の第一報期限の時間数〕時間以内に甲へ第一報を送り、判明事項を更新する。
2. この時間数は1以上24以下とする。第一報には概要、対象、時点、影響、応急措置及び窓口を含め、原因、件数、再発防止を判明次第追報し、最終報告は調査完了後10営業日以内に行う。
3. 乙は証拠を保全し、封じ込め、原因調査、復旧、本人・当局への対応に協力する。
第6条（確認と是正）
1. 甲は合理的な頻度と事前通知で質問票、第三者報告書又は監査により実施状況を確認できる。乙は重大な不備を通知された後5営業日以内に対象、暫定策、最終期限及び担当者を示す是正計画を提出し、甲と期限を確認する。具体的な危険の遮断等は計画合意を待たず実施し、遅延見込みを速やかに報告する。
2. 是正されない重大違反の停止・解除と費用は主契約の救済に従い、主契約に定めがなければ甲は14日の催告後も是正されない対象部分を解除できる。
3. 確認時は他顧客の秘密と乙の防御情報を保護する。
第7条（終了と存続）
1. 終了後1営業日以内に不要なアクセス権を停止し、乙は甲の求める機械可読形式で10営業日以内に保有情報を返却する。主契約の取得期間が長い場合はその期間を確保する。
2. 返却・取得期間完了後15日以内に稼働系の情報を消去し、隔離バックアップはその後90日以内に消去する。法令保存分は対象・根拠・期限を知らせ隔離し期限後消去する。
3. 乙は対象、実施日と方法を示す完了報告を交付する。目的限定、安全管理、事故・監査協力及び再委託管理は情報保有中存続する。
第8条（秘密保持と終了）
1. 両当事者は本契約に関連して知った相手方の非公開情報を目的外に利用しない。公知、適法な既保有、第三者取得及び独自開発情報を除き、秘密保持は終了後3年間、保存中の甲データ保護は第7条に従う。
2. 料金精算は主契約に従い、本条を理由に第7条の取得期間より先にデータを消去しない。
第9条（責任・準拠法）
自己の責めに帰すべき違反による通常かつ直接の損害を賠償する。故意・重大な過失にはこの限定を適用しない。本契約は日本法に準拠し、〔第一審の合意管轄裁判所〕を第一審の専属的合意管轄裁判所とする。
【別紙（確定する実施条件）】
上記の各条件は本文の同種事項を具体化する。空欄の項目は合意済みとみなさず、業務開始前に権限のある担当者が確認する。手順書、仕様書、価格表その他の資料を参照するときは名称、版及び作成日を特定する。担当窓口又は承認者を変更したときは、変更日と後任を相手方へ通知する。対象範囲、費用又は期限に影響する変更は、変更内容、発効日及び既存案件への適用範囲を記録して合意する。
対象システム・環境と情報種類・個人データ目的範囲：〔対象システム・環境と情報種類〕
第3条への追加水準・規格又は承認する例外の対象理由代替策期間：〔追加セキュリティ水準・例外〕（なければなし）
バックアップ対象：〔バックアップ対象〕（対象なしならその理由を記載）
再委託先の名称・処理範囲・国内保存場所：〔再委託先の名称・処理範囲・保存場所〕（なければなし）
事故時第一報と双方通知先：〔事故の第一報期限の時間数〕時間・〔事故時の双方通知先〕
甲の確認担当・乙の責任者：〔甲の確認担当・乙の責任者〕
主契約の名称・版及びデータ取得期間：〔主契約の名称・版・取得期間〕
〔合意日〕
甲：〔甲の名称〕 署名者：________________
乙：〔乙の名称〕 署名者：________________
Word・PDFのダウンロードは有料プラン