1. データ処理委託の目的

本条項により、FDEZ. BURGOS-MAPELLI-CABELLO, S.R.C.（所在地：C/ DUQUESA DE PARCENT, Nº 8、納税者番号：C92117258）に対し、CEGECO&ALAR; SLU（以下「データ管理者」という）に代わって、以下に明記するサービスの提供に必要な個人データを処理する権限を付与する。

本サービスの内容は、法律相談および税務申告となります。

2. 影響を受けた情報の特定

本委託の目的の達成に起因する業務の遂行にあたり、データ管理者であるCEGECO&ALAR; SLU社は、FDEZ. BURGOS-MAPELLI-CABELLO, S.R.C.に対し、顧客の識別情報および銀行口座情報を提供します。

3. 期間

本契約の期間は1年間とし、いずれかの当事者が更新しない旨の決定を行わない限り、自動的に更新されるものとする。

本契約が終了した時点で、データ処理委託業者は、処理対象となった個人データをデータ管理者に返還するか、データ管理者が指定する別の委託業者に引き渡すとともに、その保有するすべてのコピーを削除しなければならない。 ただし、CEGECO&ALAR; SLUとの取引関係から生じうる責任に対応するために必要な最小限の期間に限り、当該データをブロックした状態で保持することができ、当該期間の終了時には、安全かつ完全に破棄しなければならない。

4. データ処理委託者の義務

データ管理責任者およびその全従業員は、以下の義務を負う：

• 処理の対象となる個人情報、または本委託の目的で収集した個人情報は、本委託の目的のみに利用すること。いかなる場合においても、当該データを自己の目的のために利用してはならない。

データ管理者の文書化された指示に従ってデータを処理する。委託処理者が、提供された指示のいずれかが一般データ保護規則（GDPR）またはその他のデータ保護に関する規定に違反していると判断した場合は、直ちにデータ管理者に報告しなければならない。

• データ管理者のために実施されるあらゆる種類の処理活動について、以下の事項を含む記録を文書で作成すること：
• データ処理者および各データ管理者の氏名および連絡先情報、ならびに当該データ処理者がその代理として行動する各データ管理者の情報、および該当する場合、データ管理者またはデータ処理者の代表者、ならびにデータ保護責任者の情報。
• 各責任者が実施する処理のカテゴリー。
• 現在実施している適切な技術的および組織的なセキュリティ対策の概要。
• データ管理責任者の明示的な許可がある場合、または法的に認められる場合を除き、データを第三者に開示または提供してはならない。委託業者が本契約の対象となるサービスの全部または一部を再委託しようとする場合は、データ管理責任者にその旨を通知し、事前の許可を得なければならない。
• 本委託に基づきアクセスした個人情報については、契約終了後も秘密保持義務を遵守すること。
• 個人データの処理を許可された者が、機密保持を遵守し、適切なセキュリティ対策を講じることを、明示的かつ書面により確約するよう確保すること。なお、これらの措置については、データ処理責任者が当該者に適切に通知しなければならない。
• 前項に定める義務の遵守を証明する書類を、責任者がいつでも閲覧できるよう備えておくこと。
• 個人データの処理を許可された者に対し、個人データ保護に関する必要な研修を確実に実施すること。
• データ主体が、データ管理者に対し、データへのアクセス、訂正、削除、ポータビリティの権利、および処理への異議申立てや制限の権利を行使した場合、データ管理者は、責任者が指定したメールアドレス宛てに、速やかに電子メールでその旨を通知しなければならない。 通知は直ちに行われなければならず、いかなる場合も請求を受領した翌営業日までに、必要に応じて、その解決に関連するその他の情報とともに通知されなければならない。データ管理者が権利の行使に対応し、これに応答できるよう、可能な限りデータ処理責任者はデータ管理者を支援しなければならない。
• データセキュリティ侵害の通知：

処理担当者は、自身の管理下にある個人データのセキュリティ侵害について知得した場合は、当該事案の記録および報告に必要なすべての関連情報とともに、遅滞なく、かつデータ管理責任者が指定した電子メールアドレスを通じて、データ管理責任者に通知しなければならない。 また、処理・情報管理システムにおいて発生した、処理対象となる個人データの安全性、完全性、または可用性を脅かすおそれのある不具合、ならびに契約の履行中にアクセスしたデータや情報が第三者に開示されたことに起因する機密性の侵害の可能性についても、通知しなければならない。

少なくとも以下の情報を提供するものとする：

1. 個人データのセキュリティ侵害の性質に関する説明。これには、可能な場合には、影響を受けたデータ主体のカテゴリーおよびおおよその人数、ならびに影響を受けた個人データ記録のカテゴリーおよびおおよその件数を含める。
2. 詳細については、以下の担当者までお問い合わせください。
3. 個人情報のセキュリティ侵害により生じうる影響の説明。
4. 個人情報のセキュリティ侵害に対処するために講じられた、または提案されている措置の説明。これには、該当する場合、想定される悪影響を軽減するために講じられた措置も含める。

情報を同時に提供することができない場合、その範囲において、当該情報は不当な遅延なく段階的に提供されるものとする。

FDEZ. BURGOS-MAPELLI-CABELLO, S.R.C.は、責任者の要請に基づき、当該データセキュリティ侵害が自然人の権利および自由に高いリスクをもたらす可能性が高い場合、可能な限り速やかに当該侵害をデータ主体に通知する。

通知は、明確かつ平易な言葉で行われ、責任者が各ケースごとに指定する事項を含め、少なくとも以下の要素を盛り込まなければならない：

1. データ漏洩の性質。
2. 詳細情報を入手できる、責任者または担当者の連絡先情報。
3. 個人情報のセキュリティ侵害によって生じうる影響について説明する。
4. 個人データのセキュリティ侵害に対処するために、データ管理者が講じた、または提案した措置について記述すること。これには、該当する場合、想定される悪影響を軽減するために講じた措置も含めること。

• 責任者に対し、その義務の履行を証明するために必要なすべての情報を提供するとともに、責任者またはその責任者が承認したその他の監査人が実施する監査や検査を可能にし、その実施に協力すること。
• 個人データの処理システムおよびサービスの機密性、完全性、可用性、および継続的な回復力を確保するために必要な技術的および組織的なセキュリティ対策を講じる。
• データの利用先：

委託された個人データ処理サービスの提供が終了した時点で、すべての個人データを削除するか、責任者に返却するか、あるいはCEGECO&ALAR; SLUの決定に基づき、必要に応じて新たな受託者に引き渡すものとする。

データの保存を義務付ける法的規定が存在する場合、当該データの破棄は行わないものとする。その場合は、当該データを責任者に返還し、当該責任者は、当該義務が存続する間、データを適切に利用不能な状態にしておき、その保存を保証しなければならない。

返却に際しては、委託先が使用していた情報機器に保存されているデータを完全に消去しなければならない。ただし、データ管理責任者に対するサービスの提供に起因して責任が生じる可能性がある期間中は、委託先は、適切に利用不能化されたデータのコピーを保持することができる。

5. データ管理者の義務

データ管理者は、以下の義務を負う：

1. 担当者がサービスを提供できるよう、必要な情報を担当者に提出する。
2. 治療開始前から治療期間を通じて、データ処理委託者がデータ保護に関する現行の規定を遵守するよう確保すること。
3. 本契約に定められた義務の履行状況を確認するため、情報の提供を求める可能性を含め、当該処理を監督する。

データの取り扱い

データ管理者の情報：

法人名：CEGECO&ALAR; SLU – 法人番号：B92526318
郵便番号：P.I. Guadalhorce, Ctra.Azucarera Intelhorce Nº 68
電話番号：952247790 – メールアドレス：protecciondedatos@cegecoalar.com

CEGECO&ALAR; SLUでは、お客様からご提供いただいた情報を、ご注文の処理およびご契約いただいた製品・サービスの請求管理を行う目的で取り扱います。 ご提供いただいたデータは、取引関係が継続する間、または法的義務を履行し、データ収集の目的に基づいて生じ得る責任に対応するために必要な期間、保管されます。法的義務がある場合を除き、データは第三者に提供されることはありません。 お客様には、CEGECO&ALAR; SLUがお客様の個人データを処理しているかどうかに関する情報を得る権利があります。したがって、CEGECO&ALAR; SLU（P.I. Guadalhorce, Ctra.Azucarera Intelhorce Nº 68 宛て、または電子メールアドレス protecciondedatos@cegecoalar.com 宛てに、身分証明書（DNI）またはそれに相当する書類の写しを添付してご連絡ください。 また、特に権利の行使に関して十分な対応が得られなかったとお考えの場合は、スペインデータ保護庁（Agencia Española de Protección de Datos、C/ Jorge Juan, 6 – 28001 Madrid）に連絡し、国家監督機関に対して苦情を申し立てることができます。