本 SpaceX Super Intelligence パートナーデータ取扱い契約 (以下「パートナー DPA」) は、テキサス州法人である Anysphere, Inc. (以下「Anysphere」) と、同契約を承認した事業体 (以下「パートナー」) との間で締結される SpaceX Super Intelligence Partner Network 契約 (以下「パートナー契約」) の一部を構成します。本パートナー DPA は、パートナー契約第 12.2 条 (データ取扱い契約) に定めるパートナーデータ取扱い契約であり、いずれかの当事者がパートナープログラムに関連して相手方から受領する個人データの取扱いについて定めるものです。本パートナー DPA はパートナー契約の補遺です。パートナー契約は https://cursor.com/terms/spn (または Anysphere が指定する後継 URL) およびパートナーポータルで閲覧可能であり、パートナーポータルを通じて管理されます。

パートナーは、パートナー契約を受け入れること、パートナーポータル上で本パートナー DPA に同意する旨をクリックすること、または本パートナー DPA の提示もしくはアクセスの提供を受けた後にパートナープログラムに参加することのいずれかにより、本パートナー DPA を受け入れたものとみなされます。パートナーを代表して本パートナー DPA を受け入れる個人は、パートナー、およびパートナー契約第 2.3 条に基づきパートナープログラムへの参加を承認されたパートナーの関連会社を法的に拘束する権限を有していることを表明します。

1. 定義。

   1. 解釈 本パートナーDPAにおいて使用され、かつ定義されていない大文字で始まる用語は、パートナー契約において定められた意味を有します。「管理者 (controller) 」、「処理者 (processor) 」、「データ主体 (data subject) 」、「取扱い (processing) 」 (および「取り扱う (process) 」) 、「事業者 (business) 」、「サービスプロバイダー (service provider) 」、「請負業者 (contractor) 」、「第三者 (third party) 」、「販売 (sell) 」、「共有 (share) 」および「監督機関 (supervisory authority) 」の各用語は、適用されるデータ保護法において定められた意味を有し、当該法令で使用される同等の用語を含むものとします。

   2. 定義語。 本パートナーDPAにおいて、以下の用語は次の意味を有します。

      「コンプライアンス審査データ」とは、パートナーの所有者、役員、取締役、従業員等または代理人に関する個人データであって、Anysphere がパートナープログラムへの参加資格および継続参加の可否を評価するために収集するものをいい、現在または過去における政府での職務もしくは政府との関係、Anysphere またはその従業員等との雇用関係もしくは取引関係、制裁対象者および取引制限対象者への該当状況、ならびに腐敗防止法、マネーロンダリング防止法、制裁法または輸出管理法に関する違反、自主開示、調査、照会、申し立てまたは執行措置に関する情報を含みます。

      「データ保護法」とは、当事者による本プログラム個人データの取扱いに適用される、プライバシー、データ保護、データセキュリティ、または電子マーケティングに関するすべての法令を意味し、該当する場合には以下を含みます：(a) EU一般データ保護規則2016/679 (「GDPR」) およびeプライバシー指令2002/58/EC、ならびにこれらを実施する各国の国内法、(b) 英国法の一部を構成するGDPR (「UK GDPR」) 、2018年英国データ保護法、および2003年プライバシー・電子通信規則、(c) スイス連邦データ保護法 (「FADP」) 、(d) 米国の州プライバシー法、(e) カナダの個人情報保護および電子文書法ならびにカナダ迷惑メール防止法、(f) オーストラリアの1988年プライバシー法および2003年スパム法、(g) シンガポールの2012年個人データ保護法、(h) 日本の個人情報の保護に関する法律、(i) インドの2023年デジタル個人データ保護法、ならびに(j) ブラジルの一般データ保護法 (Lei Geral de Proteção de Dados) 。いずれも、随時行われる改正、置換または補完を反映したものとします。

      「開示当事者」とは、プログラム個人データを相手方当事者に提供し、または利用可能な状態に置く当事者 (その関連会社およびその代理として行動する者を含む) をいい、「受領当事者」とは、当該データを受領する当事者 (その関連会社を含む) をいいます。

      「パートナー提供データ」とは、パートナー、その関連会社、またはそれらの代理人が、Anysphere またはその関連会社に提供し、または利用可能にするプログラム個人データをいいます。

      「個人データ」とは、識別された、または識別可能な自然人に関するあらゆる情報、およびデータ保護法において「個人データ」、「個人情報」またはこれらに類する用語として定義されるその他一切の情報をいいます。

      「個人データ侵害」とは、受領当事者または受領当事者に代わってプログラム個人データの取扱いを行う人が当該プログラム個人データを保有、保管または管理している間に、セキュリティ違反により生じた、プログラム個人データの偶発的もしくは違法な破壊、紛失、改変、または不正な開示もしくはアクセスをいいます。

      「プログラム個人データ」とは、開示当事者がパートナープログラムに関連して受領当事者に提供し、または利用可能にする個人データをいい、パートナーポータル、パートナープログラムのフォーム、案件登録の申請、アカウントマッピングツール、共有のコラボレーションチャネル、メール、会議その他いかなる手段によるかを問いません。ただし、第2.2条に定めるデータおよび活動を除外します。

      「制限付き移転」とは、GDPR、UK GDPR、またはFADPの適用を受けるプログラム個人データを、個人データについて十分な水準の保護を提供していると所管当局が認めていない国または地域へ移転することであって、他に適用可能な適法な移転メカニズムが存在しないものをいいます。

      「SCCs」とは、2021年6月4日付の欧州委員会実施決定 (EU) 2021/914に附属する標準契約条項 (随時改正または差し替えられたものを含む) を意味し、「Module One」および「Module Two」とは、それぞれSCCsのうち管理者間移転モジュールおよび管理者から処理者への移転モジュールを意味します。

      「機密データ」とは、以下のものを指します：(a) データ保護法上の特別な種類の個人データ、機微な個人データ、または機微な個人情報 (人種的もしくは民族的出自、政治的見解、宗教的もしくは哲学的信条、または労働組合への加入を明らかにするデータ、遺伝データ、生体データ、健康に関するデータ、ならびに人の性生活もしくは性的指向に関するデータを含む) 、(b) 犯罪の有罪判決、犯罪行為、または犯罪の嫌疑に関する個人データ、(c) 政府発行の識別子 (社会保障番号、納税者番号、パスポート番号、運転免許証番号を含む) 、(d) 金融口座番号、銀行口座番号、または支払いカード番号、(e) 精密な位置情報データ、(f) アカウントのパスワードその他の認証情報、ならびに (g) 子どもの個人データ。

      「Anysphere提供データ」とは、Anysphere、その関連会社、またはそれらに代わって行動する者が、パートナーまたはその関連会社に対して提供し、または利用可能にするプログラム個人データをいいます。

      「SpaceXSI Privacy Notice」とは、https://cursor.com/privacy (またはAnysphereが指定する後継URL) で利用可能なAnysphereのプライバシー通知 (随時更新されるものを含みます) を意味します。

      「英国補遺」とは、英国情報コミッショナーが発行した、欧州委員会の標準契約条項に対する国際データ移転補遺 (バージョン B.1.0) をいい、その後随時改正または差し替えられたものを含みます。

      「米国州プライバシー法」とは、2020年カリフォルニア州プライバシー権法 (California Privacy Rights Act of 2020) による改正後の2018年カリフォルニア州消費者プライバシー法 (California Consumer Privacy Act of 2018) およびその施行規則 (「CCPA」) 、ならびにその他すべての米国州の包括的な消費者プライバシー法 (いずれも随時改正される最新のもの) をいいます。

2. 作業範囲を定める。

   1. 適用。 本パートナーDPAは、各当事者が相手方当事者から受領するプログラム個人データの取扱いに適用されます。プログラム個人データは、通常、別紙1 (取扱いの説明) に記載されるパートナープログラムの活動 (プログラムの規則において随時更新される当該活動を含みます) から生じます。

   2. 適用除外。 本パートナーDPAは以下には適用されず、また、プログラム個人データには以下は含まれません。

      1. パートナーによる本サービスの利用。 パートナー (またはその関連会社) が顧客として本サービスを購入、アクセス、または利用することに関連して取り扱われる個人データ (会社プラン、評価ライセンス、サンドボックス、または再販不可のアクセスに基づくものを含みます) 。これらには、マスターサービス契約その他の適用される顧客向け条件、https://cursor.com/terms/dpa に掲載されているデータ処理付属書、および適用される利用規約が適用されます。

      2. パートナーサービスおよび顧客データ。 顧客データ、およびパートナーがパートナーサービスを実施する際に顧客のために、または顧客との契約に基づいて取り扱うその他の個人データ。これらには、パートナーと当該顧客との間の契約のみが適用されます。パートナーが顧客にパートナーサービスを提供し、かつAnysphereが同一の顧客に本サービスを提供する場合、各当事者は、当該顧客とのそれぞれの契約に基づいて当該顧客の個人データを取り扱うものとし、いずれの当事者も相手方当事者の処理者または再処理者として行動しないものとします。

      3. マーケットプレイスでの活動。 プラグインまたはパートナーのマーケットプレイスへの参加に関連して取り扱われる個人データ (SpaceXSI Marketplace Termsにおいて「Plugin Data」または「ユーザーコンテンツ」とされるデータを含みます) 。これらには、SpaceXSI Marketplace Termsが適用されます。

      4. 別個の契約。 パートナーに本サービスの再販、頒布、もしくは再委託を認める別個の書面による契約、または独自のデータ保護条項を含む当事者間のその他の別個の契約に基づいて取り扱われる個人データ (当該契約の適用範囲内に限ります) 。

      5. 独自に収集されたデータ。 当事者が相手方当事者を介さず独自に収集する個人データ (同一の個人または組織に関するものであっても同様とし、Anysphereが顧客または見込み顧客から直接収集する個人データを含みます) 。

   3. 第12.1条との関係。 本パートナーDPAは、パートナー契約第12.1条 (通知および同意) に基づくパートナーの義務を補足するものであり、これを制限するものではありません。

3. 当事者のロール

   1. 独立した管理者。 第8条 (処理者に関する取決め) に定める場合を除き、各当事者は、相手方当事者から受領するプログラム個人データに関して、独立した管理者 (米国州プライバシー法が適用される場合は、事業者またはサードパーティ) として行動します。各当事者は、自らの取扱いの目的および手段をそれぞれ独自に決定します。両当事者は共同管理者ではなく、いずれの当事者も、相手方当事者の名においてプログラム個人データを取り扱うことはありません。

   2. 各当事者によるコンプライアンス。 各当事者は、プログラム個人データの取扱いに関し、データ保護法を自ら遵守することについて責任を負います。これには、通知の提供、適法な根拠の確立、データ主体への対応、取扱いの記録の保持、および監督機関に対する義務の履行が含まれます。いずれの当事者も、相手方当事者がデータ保護法に違反することとなるような方法で、故意にプログラム個人データを取り扱ってはなりません。

4. プログラム個人データの開示

   1. 適法な開示。 各開示当事者は、自らによるプログラム個人データの収集および受領当事者への当該データの開示が、データ保護法を遵守するよう確保するものとします。パートナー契約第12.1条 (通知および同意) を制限することなく、パートナーは、すべてのパートナー提供データについて、(a) パートナーが当該データを Anysphere に開示すること、および (b) Anysphere が第5.1条(a)に記載された目的 (本サービスに関して関連する顧客または見込み顧客に連絡すること、ならびに当該顧客とのパートナーのエンゲージメントを確認することを含む) のために当該データを取り扱うことについて、データ保護法上必要とされるすべての通知を行い、すべての同意を取得し、すべての適法な根拠を確立していることを表明し、保証します。

   2. 顧客および見込み顧客への通知。 適用法により必要とされる場合、パートナーは、案件登録を送信する前、またはその他の方法で顧客もしくは見込み顧客の担当者の個人データを Anysphere に開示する前に、関連する個人に対し、パートナーがその連絡先情報および商談情報を Anysphere と共有する場合があること、Anysphere が当該情報を SpaceXSI プライバシー通知に記載されたとおりに使用する場合があること、ならびに顧客または見込み顧客が Anysphere から購入した場合にパートナーがパートナープログラムの特典を受ける場合があることを通知する (または通知済みであることを確保する) ものとします。パートナーは、自らの個人データを Anysphere と共有することに異議を述べた個人、またはこれをオプトアウトした個人の個人データを Anysphere に開示してはなりません。

   3. パートナー従業員等への通知。 パートナーは、自らが Anysphere に個人データを提供する、パートナーおよびその関連会社の従業員、委託先、所有者、役員および取締役 (パートナーポータルのユーザーおよび管理者、認定の取得を目指す個人、共有コラボレーションチャネルのメンバー、ならびにコンプライアンス審査データにおいて特定される個人を含む) に対し、Anysphere が本パートナー DPA および SpaceXSI プライバシー通知に記載されたとおりにその個人データを取り扱うことを通知するものとし、これには SpaceXSI プライバシー通知を当該者が閲覧できる状態にすることを含みます。

   4. データ最小化および機密データ。 各開示当事者は、関連するパートナープログラムの目的のために合理的に必要なプログラム個人データのみを開示するものとします。パートナーは、次の場合を除き、Anysphere に機密データを提供してはなりません。(a) Anysphere がパートナーポータルのフォーム、プログラムの規則、またはその他の書面によるリクエストを通じて要求した場合 (料金の支払いに必要な支払先情報および税務情報、またはコンプライアンス審査データなど) 、または (b) Anysphere が別途書面で承認した場合。かかるリクエストは、要求された機密データに限り、パートナー契約第12.1条 (通知および同意) の適用上、Anysphere による明示的な書面によるリクエストとみなされます。マーケティング活動の証拠、イベントの成果またはこれに類する情報を送信する際、パートナーは、実行可能な限り、個人単位の個人データではなく、集計されたメトリクス、会社のドメインまたは役職名を使用するものとします。

   5. 正確性および更新。 各開示当事者は、自らが開示するプログラム個人データが正確かつ最新であるよう合理的な措置を講じるものとし、自らが開示したプログラム個人データが不正確もしくは最新でないこと、または個人が受領当事者による取扱いへの同意を撤回し、もしくはこれに異議を述べたことを知った場合は、速やかに受領当事者に通知するものとします。パートナーは、自らのパートナーポータルのユーザー情報を最新の状態に保つものとし、パートナーポータルのアカウント、有効な認定、または共有コラボレーションチャネルのメンバーシップを有する個人がパートナーの組織を離れた場合、またはパートナーのパートナープログラム活動に参加しなくなった場合は、パートナーポータルを通じて、または partnersupport@x.ai 宛てに、速やかに Anysphere に通知するものとします。

5. 受領当事者による取扱い

   1. 目的の限定。

      1. Anysphere。 Anysphereは、パートナー提供データを次の目的で取り扱うことができます。(i) 附属書1に記載された目的を含め、パートナープログラムを運営、管理、および改善するため。(ii) SpaceXSIプライバシー通知およびデータ保護法に従い、本サービスのマーケティング、販売、提供、およびサポートを行うため、ならびにパートナー提供データにおいて特定された顧客および見込み顧客との関係を管理するため。(iii) パートナーがパートナー契約、プログラムの規則、および適用法を遵守しているかを検証するため、ならびに不正行為、濫用、およびセキュリティインシデントを検出し、防止するため。(iv) 法的義務を遵守するため、ならびに法的請求を立証、行使、または防御するため。(v) データ保護法で認められ、かつSpaceXSIプライバシー通知に記載されたその他の目的のため。

      2. パートナー。 パートナーは、Anysphere提供データを、Anysphereが当該データを提供した特定のパートナープログラム上の目的 (例：特定された案件における共同販売、Anysphereと共同で行うアカウントプランニング、またはパートナーのパートナープログラムへの参加に関する管理) のためにのみ、パートナー契約、プログラムの規則、本パートナーDPA、およびデータ保護法に従って取り扱うものとします。パートナーは、次の行為を行ってはなりません。(i) Anysphere提供データを販売、賃貸、またはライセンス供与すること。(ii) Anysphere提供データを、本サービスと競合する製品もしくはサービスのマーケティングもしくは販促に使用すること、またはAnysphereが当該データを提供した目的と無関係なマーケティングに使用すること。(iii) パートナープログラムと無関係な目的で連絡先データベース、プロファイル、またはリードリストを構築または拡充するために、Anysphere提供データを他のデータと組み合わせること。(iv) 第5.4条で認められる場合を除き、Anysphere提供データをサードパーティに開示すること。

      3. その他の取扱い。 いずれの当事者も、適用法により求められる場合、個人の生命に関わる利益を保護するために必要な場合、または当該個人が追加の取扱いに同意している場合には、プログラム個人データを他の目的で取り扱うことができます。

   2. 透明性。 各当事者は、プログラム個人データの取扱いについて、データ保護法の要件を満たすプライバシー通知を維持し、利用可能な状態に置かなければならない。Anysphere がパートナーから受領した個人データに係る個人に連絡する場合、Anysphere は、データ保護法により求められる情報を、同法の定める期限内に当該個人に提供しなければならない。当該期限は、Anysphere が当該個人と最初に通信を行う時点となる場合がある。

   3. 機密保持およびセキュリティ。 各受領当事者は、(a) 最新の技術水準、実装の費用、取扱いの性質、範囲、コンテキストおよび目的、ならびに個人に対するリスクを考慮したうえで、個人データ侵害からプログラム個人データを保護するための適切な技術的および組織的措置を実装し、維持するものとし、当該措置には、少なくとも別紙2 (最低限のセキュリティ措置) に記載された措置を含めるものとする。(b) プログラム個人データへのアクセスを、第5.1条に基づき許可された目的のためにアクセスを必要とする従業員、請負業者およびサービス提供事業者に限定するものとする。(c) プログラム個人データの取扱いを認可された者が、適切な守秘義務を負うことを確保するものとする。パートナーは、パートナー契約の第8条 (パートナーポータルへのアクセス) に従い、自らのパートナーポータルのアカウントおよび認証情報を保護する責任を負う。

   4. サービス提供事業者および第三者への再提供

      1. 処理者。 各受領当事者は、自らに代わってプログラム個人データを取り扱わせるため、処理者およびサービス提供事業者を起用することができます。これには、パートナーポータルおよびパートナー関係管理プラットフォーム、顧客関係管理システム、アカウントマッピングツール、コラボレーションツールおよびコミュニケーションツール、学習管理システム、決済サービスおよび税務サービス、クラウドホスティング、ならびにAIを活用した生産性ツールの各プロバイダーが含まれます。受領当事者は、本パートナーDPAおよびデータ保護法と一貫した方法でプログラム個人データを保護することを義務付ける書面による契約に基づく場合に限り、かかる処理者を起用するものとし、当該処理者による取扱いについて引き続き責任を負うものとします。

      2. Anysphereの関連会社。 Anysphereは、第5.1条(a)に定める目的のために、パートナー提供データを自らの関連会社に開示することができます。パートナー提供データを受領する各Anysphere関連会社は、本パートナーDPAに従って当該データを取り扱うものとします。

      3. その他の開示。 本第5.4条で認められる場合を除き、受領当事者は、次に掲げる場合を除き、プログラム個人データをサードパーティに開示しないものとします。(i) 守秘義務を負う、自らおよびその関連会社の専門アドバイザーに開示する場合、(ii) パートナー契約で認められる範囲で、合併、買収、企業再編、またはその資産のすべてもしくは実質的にすべての売却に関連して承継人に開示する場合、(iii) 第5.7条に従うことを条件として、適用法、裁判所命令、または管轄権を有する政府当局により要求される場合、(iv) その他データ保護法により認められる場合 (ただし、パートナーについては、Anysphereの事前の書面による同意がある場合に限ります) 。

   5. データ主体からの請求。 各当事者は、自らが管理するプログラム個人データに関し、データ保護法に基づく権利を行使する個人からの請求に応答する責任を負います。一方の当事者が、他方の当事者による取扱いに関する請求を受領した場合、当該当事者は、適法である限り、速やかに(いかなる場合も5営業日以内に)当該請求を他方の当事者に転送するか、または当該個人に対して他方の当事者への連絡方法を通知するものとし、両当事者は応答のために合理的に協力するものとします。個人がマーケティング通信に異議を述べ、同意を撤回し、または削除を請求した場合で、当該請求が他方の当事者によるプログラム個人データの取扱いに関連するときは、請求を受領した当事者は、他方の当事者がデータ保護法で求められる措置を講じられるよう、速やかに他方の当事者に通知するものとします。

   6. 個人データ侵害。 受領当事者は、開示当事者から受領したプログラム個人データに関わる個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も72時間以内に、開示当事者に通知するものとします。当該通知には、その時点で判明している範囲で、個人データ侵害の性質、影響を受ける個人および記録の種類とおおよその数、想定される結果、ならびに個人データ侵害に対処しその影響を軽減するために講じた、または講じる予定の措置を記載するものとし、受領当事者は追加の情報が判明し次第、当該通知を補足するものとします。受領当事者は、個人データ侵害を封じ込め、調査し、是正するための合理的な措置を講じ、開示当事者と合理的に協力するものとします。各当事者は、管理者としてデータ保護法により自らに求められる監督機関および個人への通知について責任を負い、両当事者は当該通知の内容および時期について誠実に調整するものとします。法令により求められる場合を除き、いずれの当事者も、他方の当事者の事前の書面による同意なく、個人データ侵害に関する通知または公表において他方の当事者の名称を挙げてはならないものとします。パートナーは、本第5.6条に基づく通知を legal@cursor.com 宛てに送付するものとし、当該通知をもって、当該個人データ侵害に関するパートナー契約第5条(g)(パートナーの義務)上の義務も履行されたものとみなします。

   7. 政府および規制当局からの要請。 受領当事者が、監督機関、法執行機関、またはその他の政府当局から、他方の当事者から受領したプログラム個人データに関する要請を受けた場合、受領当事者は、法的に許容される範囲で、速やかに開示当事者に通知し、応答に必要な最小限のプログラム個人データのみを開示し、当該要請への応答または異議申立てに向けた開示当事者の取り組みに合理的に協力するものとします。

   8. データ保持および削除

      1. 一般条項。 各受領当事者は、プログラム個人データを第5.1条に基づき許可される目的に必要な期間に限り保持し、その後はこれを削除または匿名化するものとします。ただし、適用法により要求または許可される場合はこの限りではありません。

      2. Anysphere提供データ。 パートナー契約の期間満了もしくは終了時、またはそれ以前にAnysphereから書面による要請があった場合、パートナーはAnysphere提供データの使用を中止し、30日以内にこれを削除 (またはAnysphereの要請に応じて返却) するものとし、Anysphereの要請があった場合には、これを実施したことを書面で証明するものとします。ただし、適用法によりパートナーに保持が義務付けられている範囲についてはこの限りではありません。定期バックアップ内に保持されているプログラム個人データについては、本パートナーDPAに従って引き続き保護され、かつ積極的に使用されないことを条件として、パートナーの標準的なバックアップサイクルに従って削除することができます。

      3. パートナー提供データ。 Anysphereは、パートナー契約の期間満了または終了後も、以下の目的のために合理的に必要な範囲で、パートナー提供データを保持することができます。(i) 終了前に発生した登録料金、紹介料金その他の金額を処理すること、(ii) パートナー契約第20.5条 (記録) に定める期間を含め、パートナープログラムに関する記録を保持すること、(iii) 顧客および見込み顧客との直接的な関係を継続すること、(iv) 法的義務を遵守すること、(v) 法的請求を立証、行使または防御すること。Anysphereは、コンプライアンス審査データについては、それが収集されたコンプライアンス目的に必要な期間、および適用法により要求される期間に限り保持するものとします。

   9. 自動化されたツールおよびAI。 Anysphereは、パートナーの申請、案件登録、特典リクエスト、マーケティングアクティビティの提出物、その他パートナープログラムに関する提出物および通信のレビューおよび処理を支援するため、Anysphere、その関連会社またはそのサービス提供事業者が運用するAIモデルおよびエージェントを含む自動化されたツールを使用することがあります。パートナーの申請または案件登録の承認、拒否、条件付与または取消しの決定はAnysphereの担当者が行います。また、Anysphereは、データ保護法で認められる場合を除き、個人を、当該個人に関して法的効果を生じさせる決定、またはこれと同様に当該個人に重大な影響を及ぼす決定であって、自動化された取扱いのみに基づくものの対象としません。Anysphereは、パートナー提供データに含まれる個人データを、Anysphereが第三者に一般提供するAIモデルのトレーニングに使用しません。パートナーは、パートナー以外の者の利益のために当該データをモデルのトレーニングに使用するAIツールその他のサードパーティサービス、またはその他自らの目的のために当該データを使用するAIツールその他のサードパーティサービスに、Anysphere提供データを入力してはなりません。

   10. 協力。 各当事者は、相手方当事者がプログラム個人データに関するデータ保護法上の義務を遵守するために必要な範囲で、データ保護影響評価、取扱いの記録および監督機関からの照会に関するものを含め、自己の費用負担により、合理的な情報の提供および協力を行うものとします。

6. 米国州プライバシー法。

   1. 販売に該当しないこと。 両当事者は、パートナープログラムに基づき提供される登録料金、紹介料金その他のパートナー特典が、パートナー契約の第7条(案件登録、料金および支払い)に定めるパートナーによる紹介、案件創出、共同販売および関連する本サービスの対価であり、プログラム個人データの対価ではないことを確認します。いずれの当事者も、金銭その他の有価の対価と引き換えにプログラム個人データを相手方に開示するものではなく、両当事者は、本パートナーDPAに基づくいかなる開示についても、米国州プライバシー法上の個人データの販売または共有に該当させることを意図していません。

   2. サードパーティに関する条件。 受領当事者が米国州プライバシー法上のサードパーティとしてプログラム個人データを受領する場合、または本パートナーDPAに基づく開示がその他の理由により販売もしくは共有とみなされる場合、その範囲において、受領当事者は次の事項を遵守するものとします:(a) 当該プログラム個人データを、第5.1条および別紙1に定める限定的かつ特定された目的のためにのみ処理すること、(b) 米国州プライバシー法に基づき適用される義務を遵守し、当該プログラム個人データについて米国州プライバシー法が求めるものと同等のプライバシー保護を提供すること、(c) 受領当事者による当該プログラム個人データの使用が米国州プライバシー法上の開示当事者の義務と一貫した方法で行われることを確保するため、開示当事者が書面による通知をもって合理的かつ適切な措置を講じること、ならびに不正な使用を停止および是正することを認めること、(d) 米国州プライバシー法上の義務をもはや履行できないと判断した場合には、開示当事者に通知すること、ならびに (e) 米国州プライバシー法の定めに従い開示当事者から伝達されたオプトアウトその他の消費者リクエストに対応すること。

7. 国際データ移転。

   1. 総則. 各当事者は、データ保護法に定める移転要件を遵守することを条件として、米国、ならびに当該当事者、その関連会社またはその処理者が事業を行うその他の国において、プログラム個人データを処理することができます。

   2. EEA からの移転. 開示当事者から受領当事者へのプログラム個人データの開示が GDPR の適用を受ける制限付き移転に該当する場合、両当事者は SCC のモジュール1(または、第8条が適用され、受領当事者が開示当事者の処理者として行動する場合は SCC のモジュール2)に合意します。当該 SCC は参照により本パートナー DPA に組み込まれるものとし、以下が適用されます。

      1. 開示当事者を「データ輸出者」、受領当事者を「データ輸入者」とします。

      2. 第7条の任意のドッキング条項が適用されます。

      3. モジュール2の第9条については、オプション2(一般的な書面による認可)が適用され、通知期間は第8.2条(d)に定めるとおりとします。

      4. 第11条(a)の任意の文言は適用されません。

      5. 第13条については、所轄監督機関は第13条(a)に従って決定されます。ただし、データ輸出者が EEA 内に設立されておらず、かつ GDPR 第27条に基づく代理人を選任していない場合、所轄監督機関はアイルランドデータ保護委員会とします。

      6. 第17条については、オプション1が適用され、SCC はアイルランド法に準拠します。

      7. 第18条(b)については、紛争はアイルランドの裁判所において解決されます。

      8. SCC の附属書 I には、本パートナー DPA の附属書1に記載の情報を記入するものとします。

      9. SCC の附属書 II には、本パートナー DPA の附属書2に記載の情報を記入するものとします。

   3. 英国からの移転. 制限付き移転が UK GDPR の適用を受ける場合、SCC は、参照により本パートナー DPA に組み込まれる英国補遺による修正を加えたうえで、第7.2条に定めるとおり適用されます。また、(a) 英国補遺の表1から表3には、第7.2条ならびに本パートナー DPA の附属書1および附属書2に記載の情報を記入するものとし、(b) 表4については、いずれの当事者も英国補遺第19条に基づき英国補遺を終了することはできません。

   4. スイスからの移転. 制限付き移転が FADP の適用を受ける場合、SCC は以下の変更を加えたうえで、第7.2条に定めるとおり適用されます。(a) GDPR への言及は FADP への言及と読み替えます。(b) 「EU」、「連合」および「加盟国」への言及にはスイスを含むものとし、「加盟国」という用語は、スイスのデータ主体がその常居所地において請求を提起することを妨げるものではありません。(c) 所轄監督機関はスイス連邦データ保護・情報コミッショナーとします。

   5. 代替移転メカニズム. 各当事者は、SCC に代えて、十分性認定、EU-米国データプライバシーフレームワークおよびその英国・スイス拡張(当該当事者が認証済みである場合)、またはデータ保護法に基づき認められるその他の移転メカニズムに依拠することができます。本第7条に基づき依拠する移転メカニズムが無効とされた場合または利用できなくなった場合、両当事者は代替となる適法な移転メカニズムを導入するために誠実に協力するものとし、Anysphere はその目的のために第11.2条に基づき本パートナー DPA を更新することができます。

   6. その他の法域. その他の法域のデータ保護法が、当該法域外へのプログラム個人データの移転について特定の契約条件を求める場合、両当事者は、本パートナー DPA(許容される場合には、当該法域向けに適応させた SCC を含む)が当該条件を構成することに合意し、各当事者は、当該要件を満たすために Anysphere がパートナーポータルを通じて合理的に提供する追加の移転条件を締結するものとします。

   7. 抵触. 本パートナー DPA と SCC(英国補遺または第7.4条による修正後のものを含む)との間に抵触がある場合、当該抵触の範囲において SCC が優先されます。

8. 処理者に関する取り決め

   1. 適用範囲。 本第8条は、一方当事者 (以下「処理当事者」) が、他方当事者 (以下「指示当事者」) の名において、かつその文書化された指示に基づいてプログラム個人データを処理することを、両当事者が補遺、プログラムの規則、またはその他の書面において明示的に合意した場合にのみ適用されます。例えば、Anysphereが主催するイベントについて、パートナーがAnysphereの名において参加登録を受け付ける場合がこれに該当します。当該処理に関しては、指示当事者が管理者 (コントローラー) 、処理当事者がその処理者 (および、該当する場合は米国州プライバシー法に基づくサービスプロバイダーまたは請負業者) となり、第3.1条および第5.1条は当該処理には適用されません。

   2. 処理者の義務。 処理当事者は、以下を行うものとします。

      1. 適用法により別段の定めがある場合 (この場合、法律で禁止されていない限り、処理に先立ち指示当事者に通知するものとします) を除き、移転に関するものを含め、指示当事者の文書化された指示にのみ基づいてプログラム個人データを処理すること。また、指示がデータ保護法に違反すると判断した場合は、速やかに指示当事者に通知すること。

      2. プログラム個人データの処理を認可された者に守秘義務を負わせること。

      3. 附属書2に記載された措置、および該当する場合はGDPR第32条で要求されるその他の措置を実装すること。

      4. 指示当事者の一般的な書面による認可なしに、他の処理者を起用しないこと。なお、指示当事者は、当該取り決めの合意時に処理当事者が特定した処理者について、この認可を付与します。処理者の追加または交代を予定する場合は、少なくとも30日前までに指示当事者に通知すること (Anysphereはパートナーポータルまたは再処理者ページを通じて通知できます) 。指示当事者は、この期間中、合理的なデータ保護上の理由に基づき異議を申し立てることができます。各処理者に対し、本第8条と少なくとも同等の保護水準を定める書面上の条件を課すこと。また、各処理者の義務の履行について引き続き責任を負うこと。

      5. 処理の性質を考慮し、データ主体からのリクエストへの対応、ならびにセキュリティ、個人データ侵害の通知、データ保護影響評価、および監督機関との事前協議に関する義務の履行について、適切な措置を通じて指示当事者を支援すること。

      6. 指示当事者の名において処理するプログラム個人データに影響を及ぼす個人データ侵害を認識した場合、不当な遅滞なく、遅くとも認識後48時間以内に指示当事者に通知すること。

      7. 適用法によりデータ保持が求められる場合を除き、処理終了時に、指示当事者の選択に従ってプログラム個人データを削除または返却し、既存の複製物を削除すること。

      8. 本第8条の遵守を証明するために合理的に必要な情報を指示当事者に提供し、指示当事者またはその委任を受けた独立監査人による、検査を含む監査を受け入れ、これに協力すること。ただし、監査は12か月につき1回を上限とし (個人データ侵害の発生後、または監督機関により要求された場合を除く) 、少なくとも30日前までに通知したうえで、合理的な守秘義務の下、指示当事者の費用負担で実施されるものとします。なお、処理当事者は、監査の範囲に合理的に対応するものである場合、監査に代えて最新の独立した認証または監査レポートを提供することができます。

      9. 米国州プライバシー法が適用される場合：プログラム個人データを販売または共有しないこと。指示当事者が指定した事業目的以外の目的で、または両当事者間の直接的な事業関係の範囲外で、これを保持、使用、または開示しないこと。米国州プライバシー法で認められる場合を除き、他のソースから受領した個人データと組み合わせないこと。米国州プライバシー法を遵守し、同法が要求するのと同等のプライバシー保護を提供すること。義務を履行できなくなった場合は指示当事者に通知すること。また、無許可の使用を停止し是正するための合理的かつ適切な措置を指示当事者が講じることを認めること。

9. 責任および救済措置

   1. 責任。 本パートナーDPAに起因または関連する各当事者の責任(当事者間におけるSCCに基づく責任を含む)は、パートナー契約第17条(責任の制限)(同条における除外請求の取扱いを含む)に従うものとし、適用される補遺による修正を受けるものとします。本パートナーDPAのいかなる規定も、SCCに基づくデータ主体に対するいずれかの当事者の責任、または適用法上制限することができない責任を制限するものではありません。

   2. 補償。 パートナーによる本パートナーDPAの違反は、パートナー契約第16.1条(パートナーによる補償)の適用上、パートナー契約の違反とみなされます。

   3. 停止。 パートナーが本パートナーDPAに違反した場合、またはパートナーへのプログラム個人データの開示を継続することがデータ保護法に違反するとAnysphereが合理的に判断した場合、Anysphereは、パートナー契約第18条(期間および解除)に基づく権利に加えて、何ら責任を負うことなく、パートナーへのAnysphere提供データの開示、およびパートナーによるプログラム個人データの送信を停止することができます。

10. コンプライアンス認証。

    1. パートナー。 パートナーは、Anysphereから合理的な書面による要請があった場合、本パートナーDPAの遵守を示すため、プライバシーおよびセキュリティに関する合理的な書面の質問票に回答し、合理的な裏付け資料を提供するものとします。ただし、当該要請は12か月ごとに1回を上限とします (個人データ侵害が発生した場合、監督機関から要請があった場合、またはAnysphereが不遵守を疑う合理的な根拠を有する場合を除きます) 。パートナー契約第20.5条 (記録) に基づくAnysphereの権利は、パートナーによる本パートナーDPAの遵守にも及ぶものとします。

    2. Anysphere。 Anysphereは、SOC 2 Type IIレポートを含む自社のセキュリティプログラムに関する情報を、トラストセンター https://trust.cursor.com (またはAnysphereがパートナーへの通知により随時指定するその他のURL) にて公開し、パートナー提供データの取扱いに関するパートナーからの合理的な書面による質問に回答するものとします。

11. 契約期間、更新および一般条項

    1. 期間。 本パートナーDPAは、(a) パートナーがパートナーポータルを通じて本パートナーDPAを受け入れた日 (パートナー契約の受け入れによる場合を含む) 、または (b) 本パートナーDPAを提示され、もしくは本パートナーDPAへのアクセスを提供された後、Anysphereが許可するところに従いパートナーが初めてパートナープログラムに参加した日のいずれか早い日に効力を生じ、いずれかの当事者が他方の当事者から受領したプログラム個人データを取り扱う限り存続します。第5.8条、第9条および第11条は、本パートナーDPAまたはパートナー契約の期間満了または終了後も存続します。

    2. 更新。 Anysphereは、パートナー契約第20.4条 (改定およびプログラムの更新) に従い、更新後のパートナーDPAをパートナーポータルまたは該当するURLに投稿することにより、本パートナーDPAを更新することができます。データ保護法、または監督機関の指針もしくは決定を遵守するために必要な更新は、投稿時または法律で別途要求される時点で効力を生じる場合があります。いかなる更新も、SCCまたは英国補遺を改変するものではありません。ただし、管轄当局が発行した改正版または差替え版を採用する場合はこの限りではありません。

    3. 優先順位。 本パートナーDPAは、パートナー契約に基づく補遺の1つです。本パートナーDPAに定める場合を除き、パートナー契約は改変されることなく、引き続き完全な効力を有します。プログラム個人データの取扱いに関して矛盾が生じた場合、その矛盾の範囲において、次の優先順位が適用されます：(a) SCC (適用される範囲に限る) 、(b) 本パートナーDPA、(c) パートナー契約およびその他の補遺、(d) プログラムの規則。

    4. 準拠法および紛争。 SCCまたはデータ保護法により要求される場合を除き、本パートナーDPAは、パートナー契約第19条 (紛争解決) に定める法律に準拠し、本パートナーDPAに基づく紛争は同条に定める方法により解決されます。

    5. 関連会社。 パートナーの関連会社がパートナー契約第2.3条に基づきパートナープログラムに参加する場合、パートナーは当該関連会社に代わって本パートナーDPAを受け入れ、当該関連会社が本パートナーDPAを遵守するよう確保するものとし、その遵守について引き続き責任を負います。パートナー提供データを取り扱うAnysphereの関連会社は、パートナー契約第20.6条 (第三者受益者) に定める第三者受益者の権利に加えて、明示的な第三者受益者として本パートナーDPAに依拠し、これを執行することができます。

    6. プライバシー窓口。 パートナーはパートナーポータルにおいてプライバシー窓口を指定するものとし、指定がない場合、Anysphereは本パートナーDPAに基づく通知をパートナーのパートナーポータル管理者に送付することができます。Anysphereのプライバシー窓口は legal@cursor.com、またはAnysphereがパートナーポータルを通じて、もしくはパートナーが指定したプライバシー窓口へのメールにより随時指定するその他の連絡先とします。

    7. その他の第三者受益者の不存在。 第11.5条に定める場合およびSCCにおいてデータ主体について定める場合を除き、本パートナーDPAはいかなる第三者に対しても権利を創設するものではありません。

附属書1 – 取扱いの説明

本附属書1は、第7条に基づきSCCが適用される場合、SCCの附属書Iも構成します。

パートA – 当事者一覧

パートB – パートナープログラムの活動別の取扱い

パートC – その他の取扱いの詳細

取扱いの目的: 第5.1条に記載のとおり。

取扱いの性質: 収集、記録、編成、構造化、保存、検索、参照、利用、分析(第5.9条に基づく自動化されたレビューおよびAI支援によるレビューを含む)、送信による開示、整列または結合、制限、消去、ならびに破棄。

機密データ: 両当事者は、(a) 公的部門との関係および犯罪の嫌疑に関する情報を含む場合があるコンプライアンス審査データ、ならびに (b) 支払いおよび税務上の識別子を除き、機密データを交換することを意図していません。保護措置: 第4.4条および第5.8条に記載のとおり、目的の限定、知る必要性に基づくアクセス制限、転送時および保存時の暗号化、ならびに保持期間の限定。

移転の頻度: パートナー契約の有効期間中、継続的に行われます。

保持期間: 第5.8条に記載のとおり。

受領者および再移転: 第5.4条に記載のとおり。

管轄監督機関: EEAからの移転については第7.2条(e)に記載のとおり、英国からの移転については英国情報コミッショナー、スイスからの移転についてはスイス連邦データ保護・情報コミッショナー。

附属書2 – 最低限のセキュリティ対策

第7条に基づきSCCが適用される場合、本附属書2はSCCの附属書IIも構成します。各当事者は、自らが保有、保管または管理するプログラム個人データについて、少なくとも以下の対策を維持するものとします。

1. ガバナンス。 責任者を指名した書面による情報セキュリティプログラム、および少なくとも年1回見直されるセキュリティおよびプライバシーポリシー。

2. アクセス制御。 最小権限の原則に基づくロールベースのアクセス、一意のユーザーID、プログラム個人データを保存するシステム(利用可能な場合はパートナーポータルのアカウントを含む)に対する多要素認証、および個人のロール変更または組織からの離脱後、速やかに(いかなる場合も5営業日以内に)行うアクセス権の削除。

3. 人員。 アクセス権を持つすべての人員に対する守秘義務、適法でありかつロールに照らして適切な場合のバックグラウンドチェック、および少なくとも年1回のセキュリティおよびプライバシー研修。

4. 暗号化。 TLS 1.2以上を使用した転送時のプログラム個人データの暗号化、および業界標準の暗号化方式による保存時の暗号化。

5. エンドポイントおよびネットワークのセキュリティ。 エンドポイント保護を備えた管理対象デバイス、適時のセキュリティパッチ適用、ならびにファイアウォールや侵入検知などのネットワーク制御。

6. ログ記録および監視。 プログラム個人データを保存するシステムへのアクセスのログ記録、および不正アクセスを検出するための監視。

7. 脆弱性管理。 定期的な脆弱性スキャン、および特定された脆弱性の深刻度に応じた適時の修正。

8. 処理者の管理。 処理者の起用前に行うセキュリティおよびプライバシーに関するデューデリジェンス、ならびに本パートナーDPAと整合する書面による契約上の保護。

9. インシデント対応。 当事者が本パートナーDPAに定める通知期限を遵守できるよう、文書化され定期的にテストされるインシデント対応計画。

10. 事業継続。 リスクに応じた適切なバックアップおよび復旧手順。

11. 最小化および廃棄。 必要な範囲に限定した収集、ならびに不要となったプログラム個人データの安全な削除または匿名化。

12. 承認済みツール。 プログラム個人データの取扱いは承認済みの業務システムでのみ行い、個人のメールアカウント、適切なコントロールのない個人デバイス、または未承認のAIツールでは行わないこと。

さらに、Anysphereは、自社のSOC 2 Type IIレポートおよびトラストセンター(https://trust.cursor.com、またはAnysphereがパートナーへの通知により随時指定するその他のURL)に記載された技術的および組織的対策を維持します。