DPA規約

定義

本附則において、次の用語は以下のように定義されるものとします：

1. アフィリエイトとは、対象企業を直接的または間接的に管理する、または対象企業によって管理される、もしくは対象企業と共通の管理下にあるいずれかの法人を指します。 本定義において「管理」とは、対象企業の議決権益の50%以上を直接的または間接的に所有または管理していることを意味します。
2. 適用法とは、顧客データの処理に適用されるすべての法律を意味します。これには、EUデータ保護法、欧州連合またはその加盟国の法律、および顧客または顧客データの対象となる他の国の法律が含まれます。
3. 管理者とは、単独または他者と共同で、個人データの処理の目的および手段を決定する主体を指します。
4. データ主体とは、本附則の範囲内で個人データが処理される自然人を指します。
5. EUデータ保護法とは、GDPRとe-Privacy Directive2002/58/EC（指令2009/136/ECで改正され、随時改正され置き換えられたもの）および各国の適用法（該当する場合）を意味します。
6. GDPRとは、EU一般データ保護規則2016/679を意味します
7. 個人データとは、特定または特定可能な自然人に関連する情報を意味します。
8. プロセッサーとは、管理者の代理として個人データを処理する主体を指します。
9. 処理または処理活動とは、個人データに対して単独または一連の操作として実施され、手動または自動化された手段を問わず、収集、記録、整理、構造化、保存、調整または変更、検索、参照、使用、送信による開示、配布またはその他の手段による利用可能化、整合または結合、制限、削除、または消去などの操作またはその組み合わせを指します。
10. サービスとは、契約に基づいてKeeperが顧客のために提供または実施するサービスおよびその他の活動を指します。
11. 標準契約条項とは、個人データの適切なデータ保護レベルを確保していない第三国に所在するプロセッサーへの転送のための標準契約条項を指し、これは2021年6月4日の欧州委員会決定2021/914に記載されており、契約の副付録Cとして添付されています。
12. サブプロセッサーとは、Keeper Securityが本サービスに関連して個人データを処理するために雇用したプロセッサーを指します。

個人データの処理

1. 本補遺に基づく処理の目的は、本契約の定めに従ってKeeperが本サービスを提供することにあります。両当事者は、Keeperによるお客様を代行した処理に関して、お客様が管理者、Keeperが処理者であることに合意するものとします。ただし、以下の第4項で説明する限定的な処理については、Keeperが例外的に独立的管理者となります。Keeperが処理する個人データの分類と種類は、副付録Aに列挙されています。本補遺に基づく個人データの処理期間は、適用法で別途定められる場合を除き、本契約の期間に準じるものとします。
2. Keeperは、法的に指示なしで行動することが求められない限り、顧客からの文書による指示（「指示」）に従ってのみ個人データを処理し、行動することができます。本附則の締結時の指示では、Keeperは契約に記載されているサービスの提供目的でのみ個人データを処理することがあります。 本附則の条件に従い、かつ当事者間の相互合意に基づき、顧客は本附則の条件に一致する追加の書面による指示を発行することができます。顧客は、書面による指示を提供するすべての個人がその権限を有していることを確認する責任を負います。
3. Keeperは、適用法（EUデータ保護法を含む）に違反していると判断した指示については顧客に通知し、確認または修正されるまでその指示を実行しません。

機密性とセキュリティ

1. Keeperは、すべての個人データを厳格に機密情報として取り扱うものとします。個人データは、顧客が書面で同意しない限り、指示に反してコピー、転送、またはその他の方法で処理してはならないものとします。Keeperの従業員は、すべての個人データを附則に基づき厳格に機密として取り扱うことを確保する機密保持義務を負うものとします。個人データは、サービスの提供および本附則に基づく業務遂行のためにアクセスが必要な従業員にのみ提供されるものとします。
2. Keeperは、契約および適用法に定められた適切な技術的および組織的措置を実施するものとし、これにはGDPR第32条に従った措置が含まれます。セキュリティ措置は、技術の進歩および開発に従って更新されます。Keeperは、全体的なセキュリティの低下を引き起こさない限り、随時セキュリティ措置を更新または修正することができます。Keeperの情報セキュリティポリシーは、副付録Dに記載されています。

データ主体の権利

1. 顧客がデータ主体から適用法に基づく権利行使の要求を受けた場合、その要求に対する正当かつ適切な回答にはKeeperの支援が必要な場合、Keeperは顧客に必要な情報および文書を提供することにより、顧客を支援するものとします。Keeperは、適用法に従ってそのような要求に関して顧客を支援するために、合理的な期間を与えられるものとします。
2. Keeperがデータ主体から適用法に基づく権利行使の要求を受け、その要求が顧客の個人データに関連する場合、法的に禁止されていない限り、Keeperは直ちにその要求を顧客に転送し、顧客から別途指示があるまで、直接その人物に対応することを控えます。

個人データ侵害

1. Keeperは、顧客の個人データに関して、顧客の代理として送信、保存、またはその他の方法で処理されている個人データの偶発的または違法な破壊、喪失、変更、無許可の開示、またはアクセスを引き起こす可能性のある違反が発生した場合、直ちに顧客に通知するものとします（「個人データ侵害」）。
2. Keeperは、そのような違反の原因を特定するために合理的な努力を払い、原因を確定し、再発防止のために必要と判断される措置を講じるものとします。

コンプライアンスと監査権の文書化

1. 顧客の要求に応じて、理由がある場合やGDPR第28条に基づき必要とされる範囲で、Keeperは本附則に対する遵守を証明するために必要なすべての関連情報を顧客に提供し、顧客または顧客が指名した監査人による監査、検査を許可し、合理的に協力するものとします。顧客は、実施される監査または文書検査について通知し、その監査または検査の過程でKeeperの施設、設備および業務に損害や混乱を引き起こさないよう、合理的な努力を払うものとします。監査または文書検査は、少なくとも60暦日以上の合理的な事前書面通知をもって実施され、1年に1回を超えて実施されてはならないものとします。
2. 顧客は、上記の情報を提供される前に、Keeperが合理的に受け入れ可能な秘密保持契約に署名するよう求められる場合があります。

データ転送

1. 当事者が欧州経済領域（「EEA」）から発生した個人データを、欧州委員会からの適切性に関する拘束力のある決定を受けていないEEA外の国に所在する当事者に転送する場合、その転送は適用されるデータ転送に関する法的要件に従って行われ、顧客からの文書による指示に基づいてのみ行われるものとします。
2. 顧客がこれらの措置が特定の状況における法的要件を満たすには不十分であると考える場合、顧客はその意見の根拠を記載した書面による通知をKeeperに提供し、当事者は互いに誠意を持って協力し、双方が合意できる代替案を見つけるものとします。

サブプロセッサー

1. Keeperは、顧客からのさらなる書面による特定の承認を得ることなく、第三者（「サブプロセッサー」）を雇用して個人データを処理する一般的な承認を与えられるものとします。Keeperは、サブプロセッサーと書面でサブプロセッサー契約を締結するものとします。 このような契約は、少なくとも本附則に基づく義務を含む、Keeperに適用されるものと最低でも同じデータ保護義務を規定するものとします。 Keeperは、継続的にサブプロセッサーの適用されるデータ保護法への遵守を監視および管理し、その監視および管理の文書を顧客が書面で要求した場合、顧客に提供するものとします。
2. サブプロセッサーがEU/EEA外で合意されたサービスを実施する場合、Keeperは適切な措置を講じることによって、データ保護法に基づくその適法性を確保するものとします。
3. 契約締結時点で、Keeperは副付録Bに記載されているサブプロセッサーを使用しています。Keeperは新しいサブプロセッサーについて顧客に通知し、その通知はhttps://www.keepersecurity.com/GDPR.htmlにて利用可能なサブプロセッサーの一覧に追加の詳細を掲載するか、顧客が本附則の締結後10日以内にgdpr@keepersecurity.comに電子メールで通知を受け取ることを要請した場合、電子メールで行うことができます。この通知は、新たなサブプロセッサーの承認前に10営業日以上の期間をもって行われるものとします。
4. 顧客は、合理的な理由に基づき誠実に新たなサブプロセッサーの使用に異議を唱えることができ、その場合、顧客は新しいサブプロセッサーに関する通知を受け取ってから10営業日以内に、gdpr@keepersecurity.comのメールアドレスを通じてプロセッサーに書面で通知を行うものとします。当該書面による通知には、最低限、顧客が誠実かつ合理的に異議を唱える根拠が記載されていなければなりません。Keeperは、異議が申し立てられたサブプロセッサーによる個人データの処理を回避するために、商業的に合理的な範囲でサービスの変更を顧客に提供するよう努めるか、または顧客によるサービスの利用方法の商業的に合理的な変更を提案するものとします。顧客が10営業日以内に異議を申し立てなかった場合、当該サブプロセッサーに対する同意があったものとみなされます。
5. 顧客が新たなサブプロセッサーに異議を唱え、Keeperがその異議に対応できない場合、顧客はKeeperに書面で通知することにより、異議が申し立てられた新たなサブプロセッサーを使用せずにはKeeperが提供できないサービスに限り解約することができます。
6. Keeperは、サブプロセッサーの行為および不作為について、自らの行為および不作為と同様に顧客に対して責任を負うものとします。

契約の終了; 個人データの返還または削除

1. 契約の有効期限の満了または契約の終了後、Keeperは契約に基づき保持しているすべての個人データを顧客に返還するか、または削除します。ただし、適用される法律により一部またはすべての個人データを保持する必要がある場合を除きます。（その場合、Keeperはデータをアーカイブし、個人データのさらなる処理を防止するための合理的な措置を講じます）。本附則の条項は、その個人データに対して引き続き適用されます。

データ保護影響評価および事前相談

1. Keeperの支援が必要かつ関連する場合、当事者は、GDPR第35条に従ってデータ保護影響評価を準備し、GDPR第36条に従って事前相談を行うために、合理的に必要な範囲で協力します。各当事者は、これらの義務を履行する際のそれぞれの費用を負担します。

その他

1. 附則の修正: 本附則は、各当事者によって署名された書面による修正によってのみ変更できます。

2. 準拠法: 本附則は、契約に適用される法律に従って解釈され、かつその法律に基づいて規定されます。
3. 無効と分割可能性; 紛争:本附則の規定が管轄区域の裁判所または行政機関によって無効または執行不可能であると判断された場合、その規定の無効性または執行不能性は、本附則の他の規定に影響を与えず、そのような無効性または執行不可能性によって影響を受けないすべての規定は、完全な効力を持つものとします。 本附則と当事者間で締結された標準契約条項（存在する場合）との間に矛盾がある場合は、標準契約条項が優先されるものとします。

副付録A

個人データ

1. Keeperはサービスの提供に関連して以下の種類の個人データを処理します。
2. 転送される個人データは、連絡先情報（名前、住所、メール、電話）、エンティティデータ、IPアドレス、デバイス識別子、アプリケーションバージョン情報に関連するものです。

データ主体のカテゴリ

1. Keeperは顧客に代わって以下のカテゴリーのデータ主体に関する個人データを処理します。
   1. 顧客
   2. 顧客の承認エンドユーザー（顧客の従業員を含む）。

副付録B – 承認済みサブプロセッサー

1. Keeperのサブプロセッサーの最新リストは、https://www.keepersecurity.com/ja_JP/legal/sub-processors/でご覧いただけます。リストには、サブプロセッサーの事業体名と所在地情報が含まれます。サブプロセッサーは随時更新されます。お客様はKeeperのトラストセンターで最新情報を受信するように登録できます。

副付録C

（EU標準契約条項）

標準契約条項 (プロセッサー)

組織を特定するために必要なその他の情報: 該当なし

（データ輸入者）

各々を「当事者」とし、総称して「当事者ら」とする。

個人データの保護および個人のプライバシー、基本的権利および自由の保護に関して十分な保証を提供するため、副付録Aに記載された個人データのデータ輸出者からデータ輸入者への移転について、以下の契約条項（以下「条項」）に合意しました。

契約の拘束力（該当する場合）に必要なその他の情報：

第1項

目的と範囲

1. これらの標準契約条項の目的は、（1）個人データの第三国への移転についての、自然人の個人データの処理およびそのデータの自由な移動に関する2016年4月27日の欧州議会および理事会の規則（EU）2016/679の要件（一般データ保護規則）への準拠を確保することです。
2. 当事者ら:
   1. 附属書Iに記載の、個人データを移転する自然人または法人、公共当局、機関、その他の団体（以下「事業者」）（以下、「データ輸出者」）、
   2. 附属書Iに記載の、データ輸出者から個人データを受け取る第三国の法人または団体（以下、「データ輸入者」）（直接または他の契約当事者を通じて間接的に受け取る場合を含む）

これらの標準契約条項（以下「条項」）に同意しました。

3. これらの条項は附属書Iに指定された個人データの移転に適用されます。
4. 契約条項の附属書を含む付録は、契約条項の不可分の一部を構成します。

第2項

条項の効果と不変性

1. 契約条項は、規則（EU）2016/679の第46条第1項および第46条第2項(c)に基づく、執行可能なデータ主体の権利および有効な法的救済を含む適切な保護措置を定めるものであり、また、管理者からプロセッサーへのデータ移転および/またはプロセッサーから処理者へのデータ移転に関して、規則（EU）2016/679の第28条第7項に基づく標準契約条項を規定する。ただし、適切なモジュールの選択または付録内の情報の追加・更新を除き、契約条項は改変されないものとする。これにより、当事者がこれらの条項に定められた標準契約条項をより広範な契約に含めること、および/またはその他の条項または追加の保護措置を追加することを妨げるものではなく、ただし、それらが契約条項と直接的または間接的に矛盾せず、データ主体の基本的権利または自由を害することがない場合に限る。
2. これらの条項は、データ輸出者が規則（EU）2016/679 に基づき負う義務に対して、いかなる不利益を与えるものではない。

第3項

第三者受益者

1. データ主体は、以下の例外を除き、第三者受益者として、データ輸出者および/またはデータ輸入者に対してこれらの条項を主張し、強制することができます。
   • 第1項、第2項、第3項、第6項、第7項;
   • 第8項 – モジュール1: 8.5(e)と8.9(b); モジュール2: 8.1(b)、8.9(a)、(c)、(d)、(e); モジュール3: 8.1(a)、(c)、(d)、8.9(a)、(c)、(d)、(e)、(f)、(g); モジュール4: 8.1(b)と8.3(b);
   • 第9項 – モジュール2: 9(a)、(c)、(d)、(e)
   • 第12項 –モジュール2: 12(a)、(d)、(f)
   • 15.1(c)、(d)、(e)
   • 16(e)
   • 第18項 – 18(a)、(b)
2. (a)項は、規則（EU）2016/679 に基づくデータ主体の権利を損なうものではありません。

第4項

解釈

1. これらの条項で規則（EU）2016/679に定義されている用語が使用されている場合、これらの用語は同規則と同じ意味になるものとします。
2. これらの条項は、規則（EU）2016/679の規定に照らして読み、解釈されるものとします。
3. これらの条項を、規則（EU）2016/679に規定される権利および義務と矛盾する形で解釈することはできません。

第5項

優先度

これらの条項と当事者間で締結した関連契約の条項の間に、これらの条項が合意された時点、またはその後締結された時点で矛盾が発生した場合は、これらの条項が優先されるものとします。

第6項

移転に関する説明

移転に関する詳細、特に移転される個人データのカテゴリーとその移転目的については附属書Iに記載されています。

第7項 (任意)

ドッキング条項

1. これらの条項の当事者でない法人は、当事者の合意の下に、データ輸出者またはデータ輸入者として、付録に記入し附属書Iに署名することで、いつでも本条項に加入することができます。
2. 付録に記入し附属書Iに署名すると、かかる加入法人はこれらの条項の当事者となり、附属書Iの指定に従ってデータ輸出者またはデータ輸入者の権利と義務を有するものとします。
3. 加入法人は、当事者になる前の期間からこれらの条項に基づいて発生した権利または義務については責任を負わないものとします。

セクションII – 当事者の義務

第8項

データ保護措置

データ輸出者は、これらの条項に基づく義務を満たすためにデータ輸入者が適切な技術的および組織的な措置を実施していることを判断できるように、合理的な努力を払っていることを保証するものとします。

モジュール2: 管理者からプロセッサーへの移転

8.1 説明

1. データ輸入者は、データ輸出者からの文書化された指示に基づいてのみ個人データを処理するものとします。データ輸出者は、契約期間中を通してこれらの指示を出すことができます。
2. データ輸入者は、これらの指示に従えない場合は直ちにデータ輸出者に通知するものとします。

8.2 目的に関する制限

データ輸入者は、データ輸出者からの追加の指示がない限り、附属書Iに定められた特定の移転目的のためにのみ個人データを処理するものとします。

8.3 透明性

データ輸出者は、要請に応じて、当事者が記入した付録を含めたこれらの条項のコピーをデータ主体に無料で提供するものとします。企業秘密またはその他の機密情報（附属書IIに記載されている措置と個人データを含む）を保護するために必要な範囲内で、データ輸出者はコピーを共有する前にこれらの条項の付録のテキストの一部を改正することができますが、データ主体がその内容を理解し、権利を行使することができるように有意義な要約を提供する必要があります。当事者は要請に応じて、編集された情報を明示することなく、可能な限りの編集の理由をデータ主体に提供するものとします。本条項は、規則（EU）2016/679の第13条および第14条に基づくデータ輸出者の義務を損なうものではありません。

8.4 正確性

データ輸入者は、受領した個人データが不正確であるか、または古くなっていることに気づいた場合には、不当に遅延することなくデータ輸出者に通知するものとします。この場合、データ輸入者はデータ輸出者と協力してデータを消去または訂正するものとします。

8.5 データの処理と消去または返却にかかる期間

データ輸入者による処理は附属書Iに指定された期間のみ行われるものとします。処理サービス提供の終了後、データ輸入者はデータ輸出者の選択に従って、データ輸出者のために処理したすべての個人データを削除し、データ輸出者にデータが削除されたことを証明するか、データ輸出者に代って処理したすべての個人データをデータ輸出者に返却し、既存のコピーを削除するものとします。データが削除または返却されるまで、データ輸入者はこれらの条項を引き続き遵守するものとします。データ輸入者に適用される現地法で、個人データの返却または削除が禁止されている場合、データ輸入者は、これらの条項を引き続き遵守し、当該の現地法で要請される範囲と期間にのみ処理することを保証するものとします。これは、第14項、特に、契約期間中に、データ輸入者が第14項(a)の要件に準拠していない法律や慣行の対象となっていると信じるに足る理由がある場合には、その旨を通知することを義務付けている第14項(e)に記載されている要件を損なうものではありません。

8.6 処理におけるセキュリティ

1. データ輸入者（および送信中はデータ輸出者も含めて）は、データのセキュリティを確保するために適切な技術的および組織的な措置を講じるものとします。これには、偶発的または違法なデータの破壊、損失、改ざん、不正開示またはアクセスにつながるセキュリティ違反（以下「個人データ侵害」）からの保護も含まれます。適切なレベルのセキュリティを評価する際に、当事者は技術的な状態、実装にかかるコスト、処理の性質、範囲、文脈および目的、およびデータ主体の処理に伴うリスクを考慮に入れるものとします。当事者は、特に処理目的をその方法で達成できる場合には、暗号化または偽名化（送信時を含む）を検討するものとします。 偽名化の場合、個人データを特定のデータ主体に帰属するために使用する付加情報は、可能な限り、データ輸出者の排他的な管理下に置かれるようにする必要があります。本項に基づく義務を遵守するにあたって、データ輸入者は少なくとも附属書IIに指定された技術的および組織的措置を実施するものとします。データ輸入者は、これらの措置が依然として適切なレベルのセキュリティを提供していることを確認するために、定期的にチェックするものとします。
2. データ輸入者は、契約の実施、管理、監視に必要となる範囲内でのみ、その従業員に個人データへのアクセスを付与するものとします。 データ輸入者は、個人データの処理を許可された担当者に機密保持の厳守を約束させるか、適切な法的機密保持義務を追わせることを保証するものとします。
3. これらの条項に基づいて、データ輸入者が処理した個人データに対して個人データ侵害が発生した場合、データ輸入者は、その悪影響を軽減するための措置を含め、侵害に対処するための適切な措置を講じる必要があります。データ輸入者は、侵害に気づいた後には、不当に遅延することなくデータ輸出者に通知するものとします。この通知には、詳細情報を入手できる連絡先の詳細、侵害の性質の説明（可能な場合には、関連するデータ主体と個人データレコードのカテゴリーとおおよその数を含む）、想定される結果、および侵害に対処するために取られた措置または提案された措置（該当する場合には、起こりうる悪影響を軽減するための措置を含む）の説明を含める必要があります。すべての情報を同時に提供することが不可能な場合は、この場合に限り、最初の通知時にはその時点で入手可能な情報を含めて、その後にさらなる情報が入手可能になり次第、不当に遅延させることなく情報を提供するものとします。
4. データ輸入者は、データ輸出者が規則（EU）2016/679に基づく義務を遵守できるように、データ輸出者と協力し、特に処理の性質とデータ輸入者が利用できる情報を考慮しながら、監督機関や影響を受けるデータ主体に通知できるように支援を提供するものとします。

8.7 機密データ

移転するデータに、人種または民族的出身、政治的意見、宗教または哲学的信念、労働組合への加盟の有無、遺伝データ、または自然人を一意に特定するための生体認証データ、健康または個人の性生活または性的指向に関する情報、または前科および犯罪に関連するデータ（以下「機密データ」）が含まれている場合、データ輸入者は附属書Iに記載されている特殊な制限および/または追加の保護措置を適用するものとします。

8.8 再移転

データ輸入者は、データ輸出者からの文書化された指示に基づいてのみ第三者に個人データを開示するものとします。さらに、データは、第三者が適切なモジュールに基づいてこれらの条項に拘束されているか、拘束されることに同意した場合、または次の場合にのみ欧州連合外（データ輸入者と同じ国または他の第三国、以下「再移転」）に開示できるものとします。

1. 再移転が、再移転に関する規則（EU）2016/679の第45条に基づく妥当性決定からの利益を受ける国への移転である場合

2. それ以外の場合は、第三者が規則（EU）2016/679の第46条または第47条に従って

   適切な保護措置を確保している場合

3. 特定の行政、規制、または司法手続のコンテキストにおいて、法的主張の確立、行使、または防御のために再移転が必要となる場合
4. データ主体または他の自然人の重大な利益を保護するために再移転が必要となる場合

すべての再移転では、データ輸入者がこれらの条項に基づく他のすべての保護措置、特に目的制限を遵守することが前提とされます。

8.9 文章化とコンプライアンス

1. データ輸入者は、これらの条項に基づく処理に関連したデータ輸出者からの問い合わせがあれば、速やかかつ適切に処理するものとします。
2. 当事者は、これらの条項への遵守を証明できる必要があります。特にデータ輸入者は、データ輸出者に代わり実施した処理活動について、適切な文書を保持するものとします。
3. データ輸入者は、これらの条項に定められた義務への遵守を証明するために必要となるすべての情報をデータ輸出者に提供し、データ輸出者からの要請に応じて、合理的な間隔でまたは不遵守の兆候がある場合に、これらの条項が適用される処理活動を監査できるようにして、監査に貢献する必要があります。データ輸出者は、レビューまたは監査を決定する際に、データ輸入者が保持する関連証明を考慮することができます。
4. データ輸出者は、監査を自ら実施するか、独立監査人に委託するかを選択できます。監査には、データ輸入者の敷地または物理的施設での検査が含まれる場合があり、適切な場合には、合理的な通知をもって実施されるものとします。
5. 当事者は要請に応じて、(b)および(c)に記載された情報を、監査の結果を含めて監督機関に提供するものとします。

第9項

モジュール2: 管理者からプロセッサーへの移転

1. 特別な事前承認 データ輸入者は、これらの条項に基づいてデータ輸出者に代わって行う処理活動を、データ輸出者から事前に書面で特別な許可を得ることなくサブプロセッサーに委託することはできません。 データ輸入者は、サブプロセッサーと契約する少なくとも4週間前に、データ輸出者が承認を決定するために必要な情報を添えて、特別承認の要請を提出するものとします。データ輸出者によって承認済みのサブプロセッサーの一覧は、副付録Bに記載されています。当事者は、副付録を最新の状態に保つものとします。
2. データ輸入者が（データ輸出者に代わり）特定の処理活動を実施する際にサブプロセッサーに従事させる場合、サブプロセッサーは、これらの条項に従ってデータ輸入者に課されるものと実質的に同等のデータ保護義務（データ主体の第三者受益者の権利を含む）が規定された、書面による契約に従って処理を行うものとします。当事者は、本条項を遵守することで、データ輸入者が第8.8項に基づく義務を履行することに同意するものとします。データ輸入者は、これらの条項に従ってデータ輸入者が負う義務を、サブプロセッサーが必ず遵守するようにする必要があります。
3. データ輸入者は、データ輸出者の要請に応じて、当該のサブプロセッサー契約のコピーおよび後続の改正事項のコピーをデータ輸出者に提供するものとします。データ輸入者は、企業秘密または個人データを含むその他の機密情報を保護するために必要な範囲内で、コピーを共有する前に契約のテキストを編集することができます。
4. データ輸入者は、データ輸入者との契約に基づくサブプロセッサーの義務の履行について、データ輸出者に全面的な責任を負うものとします。 データ輸入者は、サブプロセッサーが当該の契約に基づく義務を履行しなかった場合にはデータ輸出者に通知するものとします。
5. データ輸入者は、サブプロセッサーと第三者の受益者条項を締結するものとし、データ輸入者が事実上消失した場合、法律上存在しなくなった場合、または支払不能になった場合には、データ輸出者はサブプロセッサーとの契約を解除し、サブプロセッサーに個人データの消去または返却を指示する権利を有するものとします。

第10項

データ主体の権利

モジュール2: 管理者からプロセッサーへの移転

1. データ輸入者は、データ主体から要求を受領した際には速やかにデータ輸出者に通知するものとします。また、データ輸出者から許可を得た場合を除き、データ輸出者自身でその要請に応じることはできません。
2. データ輸入者は、データ主体から規則（EU）2016/679に基づく権利の行使を求められた場合、その要請に応じる義務をデータ輸出者が履行できるように支援する必要があります。この点に関して、当事者は、支援が提供されるべき処理の性質および必要とされる支援の範囲と程度を考慮して、附属書IIに適切な技術的および組織的措置を定めるものとします。
3. データ輸入者は、(a)および(b)に基づく義務を履行するにあたって、データ輸出者からの指示に従うものとします。

第11項

是正

1. データ輸入者は、個別の通知または自社のウェブサイトを通じて、透明性がありアクセスしやすい形式で、苦情を処理する権限を有する連絡窓口についてデータ主体に通知するものとします。データ主体から苦情を受け取った際には、速やかに処理する必要があります。

モジュール2: 管理者からプロセッサーへの移転

2. データ主体といずれかの当事者の間で、これらの条項の遵守に関して紛争が発生した場合、当該の当事者は、適時に友好的に問題を解決するために最善の努力を払うものとします。当事者は、そのような紛争が発生した場合には相互に情報を通知し、適切な場合には、これらの紛争の解決にあたって協力するものとします。
3. データ主体が第3項に基づいて第三者の受益者権利を使用する場合、データ輸入者は、次の条件のもとにデータ主体の決定を受け入れるものとします。
   1. (a) 本人が常居する居住地または勤務地の加盟国にある監督当局、または第13項に基づく監督機関に苦情を申し立てていること
   2. 第18項内の意義の範囲内で紛争を管轄裁判所に付託していること
4. 当事者は、規則（EU）2016/679の第80(1)条に規定された条件に基づいて、データ主体が非営利団体、組織、または協会によって代理される可能性があることを容認する必要があります。
5. データ輸入者は、適用されるEUまたは加盟国の法律のもとに拘束される決定に従うものとします。
6. データ輸入者は、データ主体が行った選択が、適用される法律に基づいて救済を求める実質的および手続上の権利を損なわないことに同意する必要があります。

第12項

責任

モジュール2: 管理者からプロセッサーへの移転

1. 各当事者は、これらの条項に違反したことで相手方当事者に損害が発生した場合には、その当事者に責任を追うものとします。
2. データ輸入者はデータ主体に対して責任を負うものとします。データ主体は、これらの条項に基づく第三者の受益者の権利をデータ輸入者またはそのサブプロセッサーが侵害したことで、物質的または非物質的な損害がデータ主体に生じた場合には補償を受ける権利があります。
3. 第(b)項にかかわらず、データ輸出者はデータ主体に対して責任を負います。データ主体は、これらの条項に基づく第三者の受益者の権利をデータ輸出者またはデータ輸入者（またはそのサブプロセッサー）が侵害したことで、物質的または非物質的な損害がデータ主体に生じた場合には補償を受ける権利があります。これにより、データ輸出者の責任や、データ輸出者が管理者を代行するプロセッサーである場合は、規則（EU）2016/679または該当する規則（EU）2018/1725に基づく管理者の責任が損なわれることはありません。
4. 当事者は、データ輸入者（またはそのサブプロセッサー）によって引き起こされた損害に対して(c)項に基づき責任を負う場合、データ輸入者の損害に対する責任に相当する賠償の一部を、データ輸入者が請求する権利を有することに同意するものとします。
5. これらの条項の違反によってデータ主体に生じた損害に対して複数の当事者が責任を負う場合、すべての責任を負う当事者が共同で複数の責任を負うものとし、データ主体はこれらの当事者のいずれに対しても裁判所で訴訟を起こす権利があります。
6. 当事者は、一方の当事者が第(e)項に基づいて責任を負う場合、他方の当事者に対し、損害に対する自らの責任に該当する賠償の一部を請求する権利を有することに同意するものとします。
7. データ輸入者は、自らの責任を回避するためにサブプロセッサーを行使することはできません。

第13項

監督

モジュール2: 管理者からプロセッサーへの移転

1. データ移転に関して、データ輸出者による規則（EU）2016/679への遵守を確保する責任を有する監督当局は、附属書Iに示されているとおりに、監督機関として行動するものとします。
2. データ輸入者は、これらの条項の遵守を確保することを目的としたあらゆる手続きにおいて、監督機関の管轄権を遵守し、協力することに同意する必要があります。特にデータ輸入者は、問い合わせに対応し、監査に提出し、救済措置および補償措置を含めた監督当局が採択した措置を遵守することに同意するものとします。また、監督当局に、必要な措置が講じられたことを示す書面による確認で提供する必要があります。

セクションIII – 公共機関がアクセスする場合の現地法と義務

第14項

条項の遵守に影響を与える現地法と慣行

モジュール2: 管理者からプロセッサーへの移転

1. 当事者は、データ輸入者による個人データの処理に適用される第三国の法律および慣行（個人データの開示要件または公共機関によるアクセスを許可する措置を含む）が、データ輸入者がこれらの条項に基づく義務の履行を妨げると信じる理由がないことを保証するものとします。これは、基本的人権と自由の本質を尊重し、規則（EU）2016/679の第23(1)条に記載された目的の1つを保護するために、民主社会において必要かつ適切な範囲を超えない法律と慣行は、これらの条項に矛盾しないという理解に基づいています。
2. 当事者は、(a)の保証を行うにあたり、特に以下の点を十分に考慮したことを表明する必要があります。
   1. 移転に関する具体的な状況（処理連鎖の長さ、関与する関係者の人数、使用された移転チャネルなどを含む）、想定される再移転、受信者のタイプ、処理目的、移転される個人データのカテゴリーと形式、移転が発生する経済部門、移転されたデータの保存場所
   2. 公共機関へのデータ開示を義務付けるものや、そのような機関にアクセスを許可するものを含む、第三国の法律と慣行（移転の特定の状況に照らして関連するもの）、および適用される制限と保護措置
   3. これらの条項に基づく保護措置を補完するために実施される契約上、技術的または組織的な保護措置（移転中に適用される措置と移転先の国での個人データの処理に適用される措置を含む）
3. データ輸入者は、(b)項に基づく評価を行うにあたって、データ輸出者に関連情報を提供するために最善の努力を払ったことを保証し、これらの条項の遵守を確保するために、引き続きデータ輸出者に協力することに同意する必要があります。
4. 当事者は、(b)項に基づく評価を文書化し、要請に応じて監督機関に提供することに同意するものとします。
5. データ輸入者は、これらの条項に同意した後、契約期間中に、(a)の要件に準拠しない法律または慣行の適用を受けている、または受けるようになったと信じるに足る理由がある場合には、速やかにデータ輸出者に通知することに同意するものとします。これには、(a)の要件に沿わない第三国の法律の変更、または(a)の要件に沿っていない実際の法律の適用を示す措置（開示要求など）が含まれます。
6. (e)項に基づく通知に続いて、またはデータ輸入者がこれらの条項に基づく義務を履行できなくなったと信じる理由がある場合、データ輸出者は、状況に対処するためにデータ輸出者および/またはデータ輸入者がとるべき適切な措置（セキュリティと機密性を確保するための技術的または組織的な措置など）を速やかに特定するものとします。 データ輸出者は、そのデータ移管に対して適切な保護措置が確保できないと判断した場合、または監督機関からデータ移管を停止するように指示された場合、データ移管を停止する必要があります。この場合、データ輸出者は、これらの条項に基づく個人データの処理に関する限りにおいて、契約を終了する権利を有します。契約に複数の当事者が関与する場合、データ輸出者は、当事者が別途合意していない限り、関係当事者に対してのみこの終了する権利を行使することができます。本条項に基づいて契約が終了した場合、第16(d)項および(e)が適用されます。

第15項

公共機関がアクセスする場合のデータ輸入者の義務

モジュール2: 管理者からプロセッサーへの移転

15.1. 通知

1. データ輸入者は、次の場合に、データ輸出者および可能な場合はデータ主体に（必要な場合は、データ輸出者の支援を得ながら）通知することに同意するものとします。
   1. 司法当局を含む公共機関から、移転先の国の法律に基づいて、本条項に従って移転された個人情報の開示に対して法的拘束力のある要請を受けた場合。この通知には、要求された個人データ、要求中の機関、要求の法的根拠、および提供された回答に関する情報を含める必要があります。
   2. 移転先の国の法律に従い、これらの条項に従って移転された個人情報に公共機関が直接アクセスしていることに気付いた場合。この通知には、輸入者がアクセスできるすべての情報を含める必要があります。
2. 移転先の国の法律で、データ輸入者がデータ輸出者および/またはデータ主体に通知することが禁止されている場合、データ輸入者は、可能な限り早急に可能な限り多くの情報を伝達することを目的として、禁止事項の免除を得るために最善の努力を払うことに同意するものとします。データ輸入者は、データ輸出者の要求があった場合に最善の努力を払ったことを証明できるように、実施した最善の努力について文書化することに同意するものとします。
3. データ輸入者は、移転先国の法律で許可される場合、データ輸出者に対して、契約期間中にわたり定期的に受信した要求（特に、要求された回数、要求されたデータの種類、要求している機関、要求に対する異議申し立ての有無とその結果など）に関する可能な限り多くの関連情報を提供することに同意するものとします。
4. データ輸入者は、契約期間中を通して(a)から(c)に基づく情報を保持し、要請に応じて監督機関に提供する必要があります。
5. (a)から(c)は、第14(e)項および第16項に定められている、これらの条項を遵守できない場合でも速やかにデータ輸出者に通知することが求められているデータ輸入者の義務を損なうものではありません。

15.2. 合法性とデータ最小化のレビュー

1. データ輸入者は、開示要求の合法性、特に要請元の公共機関に与えられた権限の範囲内に留まっているかどうかを検討、慎重な評価の後、要請が移転先の国の法律、国際法の下で適用される義務、および国際礼譲の原則のもとで非合法であると判断するに足る合理的な根拠があると結論づけた場合には、その要請に異議を申し立てることに同意するものとします。データ輸入者は、同じ条件下において、控訴の可能性を追求するものとします。要請に対して異議を唱える場合、データ輸入者は監督機関がその是非を決定するまで、要請の影響を停止するための暫定措置を求めるものとします。適用される手続規則の下に必要となるまで、要求された個人データを開示することはできません。これらの要件は、第14(e)項の下に定められているデータ輸入者の義務を損なうものではありません。
2. データ輸入者は、開示要求に対する法的評価とすべての異議を文書化し、移転先の国の法律で許可される範囲内で、これらの文書をデータ輸出者に提供することに同意するものとします。また、要請に応じて、監督機関にも提供するものとします。
3. データ輸入者は、開示要求に応答する際には、その要求の合理的な解釈に基づいて、許可される最小限の情報を提供することに同意するものとします。

セクションIV – 最終条項

第16項

条項に対する不遵守と解約

1. データ輸入者は、いかなる理由であれ、これらの条項を遵守できない場合には速やかにデータ輸出者に通知するものとします。
2. データ輸入者がこれらの条項に違反した場合、またはこれらの条項を遵守できない場合、データ輸出者は、コンプライアンスが再び確保されるか、契約が解約されるまで、データ輸入者への個人データの移転を停止するものとします。これによって、第14(f)項が損なわれるものではありません。
3. データ輸出者は、これらの条項に基づく個人データの処理に関する限りにおいて、以下の場合に契約を解約する権利を有するものとします。
   1. データ輸出者が(b)に基づいてデータ輸入者への個人データの移転を停止しており、これらの条項への遵守が、合理的な時間内に、またいかなる場合も停止から1ヶ月以内に、回復されることがない場合
   2. データ輸入者がこれらの条項に著しく違反しているか、違反を繰り返している場合
   3. データ輸入者が、これらの条項に基づく義務に対する、管轄裁判所または監督機関の拘束力のある決定を遵守しない場合。

   これらの状況では、当該の不遵守について監督機関[モジュール3の場合は管理者]に通知するものとします。契約に当事者が複数関与する場合、データ輸出者は、当事者間で別段の合意がない限り、関連する当事者に対してのみこの解約する権利を行使できます。

4. (c)に基づく契約の解約より前に移転された個人データは、データ輸出者の選択により、直ちにデータ輸出者に返却されるか、完全に削除される必要があります。データのすべてのコピーに対しても同様とします。データ輸入者は、データ輸出者に対してデータの削除を証明するものとします。データが削除または返却されるまで、データ輸入者は引き続きこれらの条項を遵守するものとします。データ輸入者に適用される現地法で、移転された個人データの返却または削除が禁止されている場合、データ輸入者は、これらの条項への遵守を引き続き確保し、現地法で要求される範囲と期間に限定して、データを処理することを保証する必要があります。
5. いずれの当事者も、（i）欧州委員会が規則（EU）2016/679の第45(3)条に従い、これらの条項が適用される個人データの移転を対象に含める決定を採択した場合、または（ii）規則（EU）2016/679が、個人データの移転先となる国の法的枠組みの一部となる場合には、本条項に拘束されることに対する合意を取り消すことができます。これは、規則（EU）2016/679に基づいて問題の処理に適用される他の義務を損なうものではありません。

第17項

準拠法

これらの条項は、データ輸出者が設立されたEU加盟国の法律に準拠するものとします。 当該の法律で、第三者の受益者権利が認められていない場合、第三者の受益者権利が認められている別のEU加盟国の法律に準拠するものとします。当事者は、これをアイルランドの法律にすることに同意するものとします。

第18項

モジュール2: 管理者からプロセッサーへの移転

1. これらの条項から生じる紛争は、EU加盟国の裁判所によって解決されるものとします。
2. 当事者は、この裁判所がアイルランド（加盟国を指定）の裁判所となることに同意するものとします。
3. データ主体は、データ輸出者および/またはデータ輸入者に対して、常居所の加盟国の裁判所で法的手続を提起することもできます。
4. 当事者は、当該の裁判所の管轄権に服從することに同意するものとします。

標準契約条項の附属書I

標準契約条項の附属書II

本付録は条項の一部を形成しており、当事者が記入および署名する必要があります。

副附録D

Keeper Security, Inc.

セキュリティの開示

Keeper Security, Inc.（KSI）は、Keeperモバイルおよびデスクトップセキュリティソフトウェアを通して顧客の情報を保護することに尽力しています。数百万にもおよぶ消費者やビジネスが、パスワードと個人情報を保護しアクセスを管理するにあたり、Keeperを信頼しています。

ユーザーのみな様へ最新テクノロジーと保護機能を提供すべく、Keeper ソフトウェアは随時改善ならびにアップデートされています。当ページには、現時点で公開されているバージョンの Keeper セキュリティアーキテクチャ、暗号化方式、ホスティング環境の概要が掲載されています。本文書には暗号化ならびにセキュリティ方式を含む技術的詳細に関する概要が記載されています。

データ保護

ゼロトラストはパスワードセキュリティから始まります。KSIでは、アーキテクチャ内のすべてのユーザーを信頼しないことに基づく、ゼロトラストのセキュリティフレームワークを使用して製品を作成しています。ゼロトラストでは、すべてのユーザーとデバイスに侵害される可能性があることを前提としているため、ユーザーがウェブサイト、アプリケーション、あるいはシステムにアクセスできるようになるには、検証と認証を受ける必要があります。このサイバーセキュリティフレームワークがKeeperのサイバーセキュリティプラットフォームを支えています。プラットフォームから、IT管理者はアクセスしているすべてのユーザー、システム、およびデバイスを完全に可視化できるようになり、業界や規制の義務への順守を確保するのに役立ちます。組織でゼロトラストフレームワークを構築するには、ゼロ知識セキュリティアーキテクチャでサポートされる世界クラスのパスワードセキュリティを確保する必要があります。

KSIはゼロ知識のセキュリティプロバイダです。Keeperユーザーのみが、自身のデータの暗号化や暗号解読をすべて管理できます。Keeperでは、暗号化と暗号解読はボルトにログインしたユーザーのデバイス上でのみ実行されます。ユーザーのボルトに保存されている各レコードは、ユーザーのデバイス上で生成されたランダムな256ビットAESキーで暗号化されます。レコードキーは、データキーと呼ばれる追加のキーによって保護されます。データキーは、デバイス上でユーザーのマスターパスワードから派生したキーで暗号化されます。また、ユーザーのデバイスに保管されているデータは、クライアントキーと呼ばれる別のキーによっても暗号化されています。ユーザーのデバイス間での安全なレコード同期もネットワーク層で暗号化され、Keeperのクラウドボルトを介してルーティングされます。この多層暗号化モデルは、業界で最も高度なデータ保護を提供します。

データの暗号を解読する際に必要となる暗号化鍵は、常にKeeperユーザー側に保管されます。KSIがユーザーの保存されたデータの暗号を解読することはできません。KSIはユーザーのマスターパスワードにアクセスできないだけでなく、Keeperボルト内に保管されているレコードにアクセスすることもできません。 KSIは顧客のデバイスにリモートアクセスすることも、顧客のボルトの暗号を解読することもできません。Keeper Securityがアクセスできる唯一の情報は、ユーザーのメールアドレス、デバイスのタイプ、およびサブスクリプションプランの詳細（Keeperアンリミテッドなど）のみです。ユーザーがデバイスを紛失するか、盗難にあった場合には、デバイスが交換され次第ユーザーのボルトを復元できるように、KSIが暗号化されたバックアップファイルにアクセスできるようにサポートします。

Keeperに保管され、アクセスされている情報は、使用しているデバイス上で瞬時に暗号化および解読されるため、Keeperウェブアプリを使用している場合でも、情報にアクセスできるのは顧客だけです。Keeperが採用している暗号化メソッドは、AES（Advanced Encryption Standard）と呼ばれる256ビットの鍵長を使用した、よく認知されてる信頼性の高いアルゴリズムです。米国国家安全保障システム委員会が公表したCNSSP-15によると、256ビットの鍵長を持つAESは、米国政府の機密データから最高機密に分類されるまでのデータを暗号化するのに十分な安全性があるとされています。KeeperはFIPS 140-3の認証を受けており、NIST CMVPの認定を受けています（証明書番号3976 - https://csrc.nist.gov/projects/cryptographic-module-validation-program/certificate/3976）

顧客のレコードの暗号化と暗号解読に使用する暗号化鍵が、Keeperのクラウドボルトに保管されたり、送信されることはありません。代わりに、複数のデバイス間で同期できるようにするために、この暗号化鍵の暗号化されたバージョンがクラウドボルトに保存され、ボルトへのログインと多要素認証に成功した際に、ユーザーのアカウントにあるデバイスへと提供されます。この暗号化された暗号化鍵は、その後データ暗号化鍵として使用するデバイス上でのみ解読できます。

強固なマスターパスワード

Keeperアカウントでは、強固なマスターパスワードを選択することが強く推奨されます。このマスターパスワードを、Keeper以外の場所で使用するべきではありません。ユーザーは決して誰とも、マスターパスワードを共有してはなりません。

二要素認証

ボルト、ウェブサイト、およびアプリケーションが不正にアクセスされるのを防止するため、Keeperでは二要素認証も提供しています。二要素認証とは、3つの認証要素となる知識要素、所有要素、および生体要素のうちの2つ以上の使用が必須となる認証方法です。

Keeperはユーザーが知っていること（パスワード）と、所有しているもの（所持している携帯電話）を使用して、マスターパスワードまたはデバイスが侵害された場合に追加のセキュリティを提供します。これを実行するにあたり、TOTP（時間制限付きの1回限りのパスワード）が生成されます。

TOTP MFA/2FA方法を使用する際、Keeperは暗号化する上で安全な乱数ジェネレータを使用して、10バイトの秘密鍵を生成します。このコードは約1分間有効になり、SMS、Duo Security、RSA SecurID、TOTPアプリケーション、Google Authenticator、およびApple WatchやAndroid WearなどのKeeper DNAとの互換性のあるウェアラブルデバイスからユーザーに送信されます。

モバイルデバイスでGoogle AuthenticatorまたはTOTPアプリケーションを使用する場合、Keeperサーバー内部で秘密鍵が含まれるQRコードが生成されますが、第三者に通信されることは決してありません。ユーザー側で二要素認証を無効にし、再度有効にする度に、新しい秘密鍵が生成されます。

二要素認証を有効にするには、Keeperアプリケーションの設定画面またはセキュリティ画面にアクセスします。Keeperビジネスの顧客は、Keeper管理コンソールのロール強制適用機能から、ボルトと対応している2FAメソッドにログインする際に二要素認証の使用を任意で強制することができます。

FIDO2 セキュリティキー

KeeperはYubiKeyやGoogle TitanなどのFIDO2に対応したU2Fハードウェアベースのセキュリティキーデバイスを第二要素としてサポートしています。セキュリティキーを使用すると、ユーザーが手動で6桁のコードを入力する必要なく、便利かつ安全に二要素認証を実行できます。ユーザーのボルトには、複数のセキュリティキーを設定できます。セキュリティキーデバイスに対応していないプラットフォームでは、ユーザーは設定済みの他の2FA方法に切り替えることができます。セキュリティキーやその他の二要素認証方法を設定するには、Keeperアプリケーションの「設定」画面にアクセスします。

緊急アクセス（デジタルレガシー）

Keeperの消費者向け製品では、緊急時や死亡時にボルトにアクセスすることができる緊急連絡先を最大5つ登録できます。指定された待ち時間が経過すると、緊急連絡者はユーザーのボルトにアクセスできるようになります。ボルトを共有するプロセスはゼロ知識であり、ユーザーのマスターパスワードが直接共有さることは一切ありません。元のユーザーが設定した待ち時間が終了した後に、2048ビットのRSA暗号化を使用して、256ビットのAESキーが緊急連絡先に共有されます。 したがって、緊急連絡先は、招待を受け取るにあたりKeeperアカウント（および公開/秘密RSAキーのペア）を所有している必要があります。

アカウントの復元

アカウント登録時に、ユーザーは、セキュリティ質問とそれに対する回答、または別のタイプの復元方法を選択するように求められる場合があります。 また、登録時にはKeeperからデータキーが生成されます。このキーは、各ボルトレコードに保管されているレコードキーの暗号化および暗号の解読に使用します。ユーザーのデータキーは、1,000,000回の反復でPBKDF2を使用してマスターパスワードから派生したキーで暗号化され、各レコードキーはデータキーで暗号化されます。 ユーザーのボルト内の各レコードには、個別の異なるレコードキーがあります。

アカウント復元（セキュリティ質問を使った方法）では、選択したセキュリティ回答で暗号化された、ユーザーのデータキーの2番目のコピーが保存されます。ボルト復元を完了させるには、ユーザーがメール認証コードと二要素認証コード（アカウントで有効になっている場合）を入力する必要があります。強固なセキュリティ質問と回答を作成し、さらに「設定」画面からKeeperの二要素認証機能を有効にすることをお勧めします。Keeperビジネスアカウントの設定に基づいて、復元キーや複数の分割キーなど、ユーザーが使用できる復元方法には各種あります。さらに、アカウント復元は顧客が無効にすることもできます。Keeperビジネスの顧客も、Keeper管理コンソールを通して二要素認証を適用することができます。

ビジネスおよびエンタープライズの顧客は、Keeperのアカウント転送ポリシーを使用して、自社のユーザーにアカウント復元のためのゼロ知識メソッドを使用することができます。

クライアント暗号化

データは、クラウドボルトではなくユーザーのデバイスで暗号化および解読されます。この方法では、クライアント（iPhone、Androidデバイス、デスクトップアプリなど）がデータのローカル暗号化と解読を実行することから「クライアント暗号化」と呼ばれています。クラウドボルトは、侵入者にとって基本的に役に立たない256ビットの暗号化された暗号テキストを保存します。クライアントデバイスとクラウドボルト間を送信中にデータが収集されたとしても、暗号を解読して、ユーザーの秘密データを攻撃または侵害するために使用することはできません。

対称キーとなる256ビットのキーを侵害またはハッキングするには、128ビットのキーの2128倍の計算能力が必要になります。理論上、これを達成するには、256ビットのキースペースを消費するのに3×1051年かかるデバイスが必要になります。

共有

各ユーザーは、ユーザー間で他のキー（レコードキー、フォルダキー、チームキーなど）を共有するために使用される公開と秘密のRSAキーペアを持ちます。共有情報は、受信者の公開キーで暗号化されます。受信者は、自身の秘密鍵で共有情報を解読します。この仕組みでは、受信者だけが暗号を解読できるため、ユーザーはレコードを意図した受信者とのみ共有することができます。

キーの生成

KeeperはPBKDF2とHMAC-SHA256を使用して、最大1,000,000回反復することでユーザーのマスターパスワードを256ビットの暗号化鍵へと変換します。PBKDF2の反復回数はデバイスプラットフォームに基づいており、ユーザーがKeeperの「高度設定」画面から管理します。

キーの保管

各ユーザーのRSA秘密鍵やデータキーなどの秘密鍵はすべて、保管または送信される前に暗号化されます。マスターパスワードでログインする消費者およびビジネスユーザーの場合、保存されたキーを解読するためにキーがマスターパスワードから派生されます。SSO IDプロバイダを使用してログインした企業の顧客の場合、認証に成功した後、暗号化されたキーがデバイスに提供され、ユーザーの秘密鍵がデータキーやその他のボルトキーを解読するために使用されます。Keeperのクラウドボルトがユーザーのマスターパスワードあるいは暗号化鍵にアクセスすることはできず、保存されているキーあるいはデータを解読することはできません。

Keeperのクラウドボルト

クラウドボルトは、Amazon Web Services (AWS) インフラ内に物理的にホストされているKSI独自のソフトウェアとネットワークアーキテクチャを指します。ユーザーがアカウント内の他のデバイスでKeeperレコードを同期すると、暗号化されたバイナリデータが暗号化されたTLSトンネルを介して送信され、暗号化された形式でKeeperのクラウドボルトに保存されます。

レコードのバージョニング

Keeperでは、ユーザーのボルトに保存されたすべてのレコードの履歴を完全に暗号化したバージョンを維持しており、重要なデータが失われることがない安心が得られます。ユーザーは、Keeperクライアントアプリケーションからレコード履歴を調べることができ、任意の個々のボルトレコードに対して復元を実行できます。Keeperに保存されたパスワードまたはファイルが変更または削除されても、ユーザーは常にポイントインタイム復元を実行することができます。

Keeper Business

Keeperビジネスを購入された顧客には、ユーザーとデバイスを管理できるさらなるセキュリティ層が追加されています。Keeper管理者はクラウドベースの管理コンソールにアクセスすることができ、ユーザーのオンボーディング、オフボーディング、ロールに基づく権限、委任管理、チーム、Active Directory/LDAP統合、二要素認証、シングルサインオン、セキュリティ実施ポリシーをすべて管理することができます。Keeperのロールに基づく実施ポリシーはすべてカスタマイズ可能であり、あらゆる規模の組織に合わせて拡張できます。

記録レベルの暗号化

暗号化層では、Keeperプラットフォームに保管されたすべてのレコード（パスワードや認証情報など）に独自のレコードID（レコードUID）が付けられます。各レコードは、レコードキーで暗号化されます。共有フォルダには共有フォルダキーが付けられ、各チームにはチームキーと公開/秘密鍵のペア、各ユーザーはユーザーデータキー、クライアントキーおよび公開/秘密鍵のペアが付けられます。ユーザーアカウントの移行機能を必要とするすべてのロールには、ロールエンフォースメントキーと公開/秘密鍵のペアが付けられます。ユーザーのデバイス上に保存されているデータは、ユーザーのクライアントキーで暗号化されています。ユーザーのデータキーとクライアントキーは、ユーザーのマスターパスワードで暗号化されます。

ユーザーが作成したレコードには、ユーザーのデータキーで暗号化されたレコードキーが付いています。レコードが共有フォルダに追加される際には、レコードキーが共有フォルダキーで暗号化されます。レコードがユーザーと直接共有される際には、ユーザーの公開キーでレコードキーが暗号化されます。ユーザーが共有フォルダに追加される際には、ユーザーの公開キーで共有フォルダキーが暗号化されます。チームを共有フォルダに追加する際には、チームの公開キーで共有フォルダキーが暗号化されます。ユーザーをチームに追加する際には、ユーザーの公開キーでチームキーが暗号化されます。

ロール、チーム、共有フォルダ、および委任管理者

Keeper for Businessは、組織単位、ロール、チームおよび共有フォルダを安全かつ堅牢に管理するための一連の機能を提供します。Keeperの強力なバックエンド管理を利用することで、最小特権アクセスと完全委託型の管理を提供する、非常に堅牢なセキュリティ層が得られます。

ユーザーアカウントの移行機能が必要となるロールの場合：

エンフォースメントキーは、移行を実行する権限のある各管理者の公開キーで暗号化されます。個々のユーザーグループに適用される各エンフォースメントは、それぞれ別の管理者グループが移行を実行できるように指定することができます。

ユーザーのデータキー（エンフォースメントが適用されるロールのユーザー）は、ロールエンフォースメントの公開キーで暗号化されます（下記ではユーザーの共有データキーとして参照）。

アカウントの移行では、ユーザーのアカウントはロックされてから移行され、その後削除されます。これにより、操作が隠れて実行されるのを防止します。ユーザーの共有データキーは、管理者によって取得され、解読されます。このキーが、移行されたユーザーがアクセスできるすべてのレコードキー、チームキー、フォルダキーを解読するのに使用され、移行先のユーザーの公開キーと共有されます。管理者がレコードやフォルダデータを受け取ることはなく、代わりにキーが転送されます。レコードやフォルダデータにアクセスできるのは受信者のみです。

すべての暗号化はクライアント側で行われ、Keeperが共有された、あるいは移行中の情報を解読できることは一切ありません。また、ユーザーのクライアントキーが共有されることも一切ありません。したがって、ユーザーのデバイスにキャッシュされたデータは、ユーザーのマスターパスワードなしに解読することはできません。チーム、共有フォルダ、または直接共有から削除されたユーザーが、チーム、共有フォルダ、またはレコードからの新しいデータを受け取ることはありません。レコード、フォルダ、チームキーは管理者に漏洩されますが、このキーを下層にあるレコードあるいはフォルダデータにアクセスするために使うことはできません。

階層ツリーの一部に複数の異なる管理者権限を関連づけて、権限を持つロールのメンバーがKeeper管理コンソールで操作を実行できるようにすることができます。

サーバー側およびクライアント側のエンフォースメントポリシーをロールに適用して、特定のグループのクライアントの動作を制御することもできます。

Teamsでは、共有フォルダをユーザーグループに簡単に配布することができます。

権限保護と暗号化保護は、弊社セキュリティにおける全く異なる2つのモデルです。権限保護ではキー交換は必要なく、十分な権限を持つKeeperの人員が権限を変更することができるため、アクセス権があるもののレコードを編集する権限のないユーザーに、レコードを編集する権限を付与することができます。キーがユーザーに漏洩されると、暗号化ではなく、下層にあるデータの権限が問題となります。

Keeper Active Directory ／ LDAP Bridge

Keeperブリッジは、ユーザーのプロビジョニングとオンボーディングにおいて、Active DirectoryとLDAPサーバーと統合されています。Keeperブリッジの通信では、まず最初にブリッジを管理する権限を持つ管理者が承認します。送信キーが生成され、その後のすべての通信で利用できるようにKeeperと共有されます。 送信キーを使用することで、ブリッジの初期化を除くブリッジが実行すすべての操作が承認されます。送信キーはいつでも再生成することができ、30日ごとに自動的にローテーションされます。

通信キーは通信専用であり、危殆化したキーはデータや許可を失うことなく、再初期化または失効される可能性があることを意味します。

Keeperブリッジでロールまたはユーザーに権限を与えることはできません。エンフォースメントキーが必要でない場合は、権限のあるロールにユーザーを追加することができます。Keeperブリッジは管理しているツリーの範囲を超えて、自身やユーザーの権限を拡張することはできません。Bridgeですべての操作を使用できるわけではありません。例えば、Bridgeはアクティブなユーザーを無効にできますが、ユーザーを削除することはできません。ユーザーを削除するか移行するかは、管理者が選択する必要があります。

シングルサインオン (SAML 2.0) 認証

Keeperビジネスの顧客は、標準のSAML 2.0 ID製品を使用してユーザーをKeeperボルトに認証できるように、Keeperを設定することができます。Keeperは、Google Apps、Microsoft Azure、Okta、Ping Identityなど、主要なすべてのSSO IDプロバイダで事前に設定済みのサービスプロバイダです。Keeperがユーザーをゼロ知識環境内のボルトに認証するために使用するメカニズムは、Keeper SSOコネクト®と呼ばれる特許出願中のものです。Keeper SSOコネクト®は、Keeperビジネスの管理者が自社のインフラ（オンプレミスまたはクラウド）にインストールするソフトウェアアプリケーションで、SAML 2.0サービスプロバイダエンドポイントとして機能します。特定の組織単位で有効にすることで、Keeper SSOコネクト®でKeeperビジネスのエンドユーザーのすべての暗号化鍵を管理することができます。ビジネスシングルサインオンIDプロバイダへの認証に成功した後、ユーザーはボルトを解読するために必要となる暗号化鍵でKeeperにログインします。Keeper SSOコネクト®ソフトウェアは、Windows、Mac、Linux環境で動作します。

クラウドSSOコネクト®

KeeperクラウドSSOコネクト®は、Keeperエンタープライズの顧客に、ユーザーを認証し、ゼロ知識で暗号化されたボルトに保管されたデータの暗号を解除できるようにする方法を提供します。この認証は、完全なクラウド環境で標準的なSAML 2.0プロトコルを採用しているサードパーティーのIDプロバイダ（IdP）経由で行われます。

この実装により、ユーザーは自身のSSO IDプロバイダを介して認証し、その後自身のデバイス上でローカルにボルトの暗号テキストを解読することができます。各デバイスには独自のEC（楕円曲線）公開/秘密鍵ペアと暗号化されたデータキーがあります。各ユーザーは、独自のデータキーを持っています。新しいデバイスにサインインするには、ユーザーは既存のデバイスを使用して承認を実行するか、権限を持つ管理者に新しいデバイスを承認してもらう必要があります。

この機能の重要な点は、ユーザーがKeeperクラウドに保存されている暗号化鍵を使用してボルトを解読できることです。Keeperクラウドでは、ユーザーのデバイス上でユーザーのデータキーを解読できないため、ゼロ知識が維持されます。ユーザーのデータキー（「DK」）は、デバイスの秘密鍵（「DPRIV」）で解読され、暗号化されたデータキー（「EDK」）は、指定されたIDプロバイダ（Okta、Azure、AD FSなど）からの認証に成功したユーザーのみに提供されます。

クラウドSSOコネクト®ユーザーの場合、楕円曲線秘密鍵が生成され、各デバイスにローカルに保存されます。Chromiumベースのウェブブラウザの場合、KeeperボルトはローカルデバイスのEC秘密鍵（「DPRIV」）をエクスポートできないCryptoKeyとして保存します。iOSおよびMacデバイスでは、キーはデバイスKeyChainに保存されます。Keeperは、利用できる場合には安全なストレージメカニズムを使用します。

デバイス秘密鍵は、ボルトデータの暗号化または解読に直接使用されることはありません。IDプロバイダからの認証に成功すると、ボルトデータの解読には別のキー（保存されていないキー）が使用されます。ローカルデバイス秘密鍵をオフラインで抽出して、ユーザーのボルトを解読することはできません。

デバイス/プラットフォームによってセキュリティレベルは異なるため、最適のセキュリティが得られるように、最新のChromiumベースのウェブブラウザの使用を推奨します。

侵害されたデバイスからの攻撃に対抗する一般的な保護として、すべてのデバイス（デスクトップコンピュータなど）をディスクレベルの暗号化と最新のマルウェア対策ソフトウェアで保護することも推奨します。

SSOデバイス承認

新しいデバイスにサインインするには、ユーザーは既存のデバイスを使用して承認を実行するか、権限を持つ管理者に新しいデバイスを承認してもらう必要があります。新しいデバイスで新たな公開/秘密鍵セットが生成され、承認するデバイスではユーザーのデータキーが新しいデバイスの公開キーで暗号化されます。新しいデバイスの暗号化データキー（EDK）が要求するユーザー/デバイスに提供され、その後ユーザーはデータキーを解読してユーザーのボルトデータを解読することができます。復号化されたボルトデータ内で、ユーザーはレコードキー、フォルダキー、チームキーなどの他の秘密暗号化鍵を解読することができます。

この機能の重要な点は、ユーザーがKeeperクラウドに保存された暗号化鍵を使用してボルトを解読できるため、暗号化鍵を管理するにあたりオンプレミスまたはユーザーにホストされたアプリケーションサービスが必要なくなることです。Keeperクラウドでは、ユーザーのデバイス上でユーザーのデータキーを解読できないため、ゼロ知識が維持されます。ユーザーのデータキーは、デバイス秘密鍵（DPRIV）で復号化され、EDKは、指定されたIDプロバイダ（Okta、Azure、AD FSなど）からの認証に成功したユーザーのみに提供されます。

管理者の観点から見ると、Keeperの現行SSOコネクト®暗号化モデルで説明されている通り、セットアップの容易さと、暗号化鍵の管理にホストされたソフトウェアが必要がないことがメリットになります。当モデルのワークフローの唯一の変更点は（オンプレミス版Keeper SSOコネクト®と比較した場合）、ユーザーがアクティブなデバイスで新規デバイスの承認を実行するか、Keeper管理者にデバイス承認を委任しなければならないことだけです。

KeeperオンプレミスSSOコネクト®

オンプレミスSSOコネクト®は、WindowsまたはLinuxでホストされたアプリケーションサーバーを必要とするセルフホスト型統合です。ゼロ知識セキュリティを維持し、ユーザーにスムーズなSSO体験を確保するためには、Keeper SSOコネクト®を顧客のサーバーにインストールする必要があります。Windows、Mac、Linux環境には、高可用性（HA）ロードバランシング動作モードで完全に対応しています。

Keeper SSOコネクト®は、プロビジョニングされた各ユーザーに対してマスターパスワードを自動的に生成し、維持します。このパスワードはランダムに生成された256ビットキーです。このマスターパスワードは、SSOキーで暗号化されます。SSOキーは、ツリーキーで暗号化されます。SSOキーは、Keeper SSOコネクト®サービス開始時にサーバーから取得され、その後自動サービス開始をサポートするために、サーバーにローカル保存されたツリーキーを使用して解読されます。SSOコネクト®とKeeperのクラウドボルト間の通信は、送信キーで保護されています。SAML通信は暗号で署名され、顧客から提供される暗号化鍵（RSAまたはEC）の種類に応じて、RSA-SHA256またはECDSA-SHA256署名アルゴリズムで保護されます。

BreachWatch

BreachWatchは、Keeperレコードを絶え間なく公開データ漏洩と照会しており、ボルト内のユーザーにアラートを通知します。BreachWatchは、顧客の情報を保護するために複数の階層化された手法を使用するゼロ知識アーキテクチャです。簡単に説明します。

1. パスワードを、漏洩アカウント情報のデータベースに照らし合わせて比較する際に、安全で鍵がかけられた暗号ハッシュ関数と匿名化を使用します。
2. 顧客のパスワードは、漏洩パスワードやBreachWatchサーバーに保管されたパスワードと照らし合わせて確認される前に、ハードウェアセキュリティモジュール（HSM）とエクスポートできない秘密鍵を使用して処理されます。
3. Keeperの顧客は、別のKeeper顧客IDにリンクされていない、匿名のBreachWatch IDを使用してBreachWatchとやり取りを行います。
4. BreachWatchは独自の匿名IDを使用して、パスワードからユーザー名やドメインへのリンクを外し、ユーザー名とパスワードをそれぞれ別のサービスへと振り分けます。
5. BreachWatchの顧客はドメインをダウンロードするだけで、ドメイン情報をアップロードすることは決してありません。

BreachWatchを通してハッシュ化された顧客のパスワードデータのパス。HSMとエクスポートできないキーで強化されたパスワードのみがBreachWatchサーバーに保存されます。BreachWatchの顧客は、BreachWatchサーバーとやりとりする際に匿名化されたIDを使用します。

安全なサービスを構築するために、KeeperはBreachWatchを3つのサービスに分割します。各サービスは、ドメイン、ユーザー名、パスワード、ユーザー名+パスワードのペアを確認するために使用されます。Keeperクライアントアプリケーションは、暗号化されたREST APIを使用して、これらすべてのバックエンドサービスに問い合わせます。

ドメインスキャニング

BreachWatch のお客様は漏洩したドメインのリストをダウンロードし、ローカルでチェックを実行します。

ユーザー名とパスワードのスキャニング

クライアントデバイスはBreachWatchに接続し、ハッシュ化されたユーザー名（またはパスワード）のリストをクライアントが選択したランダムID（ユーザー名とパスワードをチェックするサービスとは別の識別子）とともにアップロードします。 これらのパスワードハッシュは、アップロード時に、ハードウェアセキュリティモジュール（HSM）と、エクスポート不可（HSMはHMACをローカルでのみ処理し、鍵は抽出されないという意味）とマークされたHSMに保存されている秘密鍵を使用して、HMACで処理されます。これらのHMACの入力（ユーザー名またはパスワード）が、同じHMACとキーで処理された漏洩データセットに照らし合わせて比較されます。一致があればすべて、クライアントデバイスに報告されます。一致しない値は、クライアントの匿名化されたIDと一緒に保存されます。

新たな漏洩したユーザー名やパスワードがシステムに追加されると、HSM上のHMACで処理され、BreachWatchデータセットへと追加され、保存されたクライアント値と照らし合わせて比較されます。一致があると、そのクライアントIDのアラートのキューに含まれます。

クライアントは定期的に BreachWatch へチェックインし、それぞれの BreachWatch ID を提出します。送信待ちメッセージがすべてダウンロードされ、クライアントは同様に処理された新しいあるいは変更されたユーザー名やパスワードをアップロードします。

BreachWatch サービスのセキュリティは trust-on-first-use（TOFU）です。つまり、クライアントがハッシュ値をアップロードする際に、クライアント側は BreachWatch サーバー側に悪意がない（攻撃者に侵入された状態ではない）ことを前提としなければなりません。HSM で処理されたハッシュ値はオフラインのクラッキング攻撃に対して安全です。言い換えるならば、攻撃者が保管されたクライアント値のデータセットを盗んだとしても、HSM 上の HMAC キーがないために、オフラインでこれらの数値をクラッキングすることは不可能となります。

パスワードの漏洩が検知されると、クライアントデバイスから BreachWatch サーバーに対してユーザー名とパスワードのコンビネーションハッシュが送信され、サーバーはそこで同様の HMAC ハッシュ比較を実行することで、ユーザー名とパスワードのコンビネーションが漏洩したかを確認します。漏洩していたとみなされた場合、漏洩に関連するドメインが返還され、それによりクライアントデバイスはユーザー名とパスワードとドメインが一致するかどうかを確認することができます。3 つのすべての情報がクライアントデバイスで一致した場合、ユーザーは漏洩の重度について警告を受けます。

BreachWatch Business

Business と Enterprise のお客様向けに BreachWatch が有効化されると、ユーザーが Keeper でログインするたびに、エンドユーザーボルトが自動的にスキャンされます。ユーザーのデバイス上でスキャンされた BreachWatch サマリーデータはエンタープライズ公開鍵で暗号化され、Keeper 管理コンソールにログインする際にエンタープライズ管理者によって復号されます。この暗号化された情報には、メールアドレス、ハイリスクな記録の数、解決された記録数、無視された記録数が含まれます。Keeper 管理者は、管理コンソールのユーザーインターフェイス内でユーザーレベルのサマリー統計を表示することができます。

イベントロギングとレポーティング

高度なレポートとアラートモジュールと統合する場合、オプションで、詳細なリアルタイムイベントをサードパーティのSIEMソリューションとKeeper管理コンソールのレポートインターフェイスに送信するようにKeeperエンドユーザーデバイスを設定することもできます。イベントデータには、メールアドレス、レコードUID、IPアドレス、デバイス情報が含まれています（Keeperはゼロ知識プラットフォームであり、ユーザーデータを解読することはできないため、イベントに解読されレコードデータは含まれません）。

デフォルトでは、詳細なBreachWatchイベントデータは、高度なレポートとアラートモジュールまたは接続されている外部のロギングシステムに送信されません。BreachWatchデータのイベントレベルのレポートを高度なレポートとアラートモジュールで有効にするには、［ロール] > [実施ポリシー] > [ボルト機能]画面でイベントロール実施ポリシーを有効にする必要があります。有効化すると、エンドユーザーのクライアントデバイスがこのイベントデータの送信を開始します。サードパーティ機関のSIEMソリューションとの統合は、KeeperバックエンドからターゲットSIEMへと送信されるため、このイベントの情報はターゲットSIEMで読み取ることができ、どのレコードと組織内のどのユーザーが高リスクパスワードを持っているかを特定するために使用することができます。Keeper管理者が、レコードレベルのイベントデータを高度なレポートとアラートに送信したくない場合には、この設定は無効にできます。

オフラインモード

オフラインモードでは、Keeperまたは自社のSSO IDプロバイダにオンライン接続できないときでも、ユーザーがボルトにアクセスすることができます。この機能は、Keeperのモバイルアプリ、デスクトップアプリケーションで利用でき、人気のウェブブラウザでもビジネスユーザーに拡張されています。

この機能は、ボルトのコピーをユーザーのローカルデバイスに作成することで機能します。オフラインに保存されたボルトデータは、256ビットの「クライアントキー」を使ってAES-GCM暗号化されており、PBKDF2-HMAC-SHA512でランダムに生成され、最大1,000,000回の反復とランダムなソルトで保護されています。ソルトと反復はローカルに保存されます。ユーザーがマスターパスワードを入力すると、ソルトと反復を使用してキーが派生され、クライアントキーの復号化が試みられます。その後、クライアントキーは、保存されたレコードキャッシュを解読するために使用されます。ユーザーのボルトで自己破壊保護が有効になっている場合、ログイン試行が5回失敗した時点で、ローカルに保存されたすべてのボルトデータが自動的に消去されます。

ネットワークアーキテクチャ

KSIはKeeperソリューションとアーキテクチャをホストおよび運用するにあたり、北米、ヨーロッパ、オーストラリアのAmazon AWSを利用することで、ローカライズされたデータプライバシーと地理的な分離を実現しています。Amazon AWSを活用することで、Keeperはオンデマンドでシームレスにリソースを増減し、非常に高速かつ安全なクラウドストレージ環境を実現しています。KSIはマルチゾーン環境とマルチリージョン環境の両方で動作し、アップタイムを最大化し、顧客への応答時間を最大限にまで高速化します。

サーバ認証

Keeperクラウドボルトは、クライアントデバイスからの各要求を認証するAPIで保護されています。クライアントデバイス側では、PBKDF2-HMAC-SHA256とランダムなソルトを使用して、マスターパスワードから256ビットの「認証キー」が派生されます。「認証ハッシュ」は、SHA-256を使用して「認証キー」をハッシュすることで生成されます。ログインする際には、認証ハッシュがクラウドボルトに保存されている認証ハッシュと比較されます。ログイン後は、その後の要求に対してクライアントデバイスが使用できるように、セッショントークンが生成されます。この認証トークンは、30分ごと、またはサーバーの要求に応じて更新する必要があります。

トランスポート層の暗号化

KSIは256ビットおよび128ビットSSLに対応しており、クライアントアプリとKSIのクラウドベースのストレージ間のすべてのデータ転送を暗号化します。これは、オンラインバンキング、オンラインショッピング、株式取引、医療情報へのアクセス、納税申告書の提出など、セキュリティを必要とするウェブトランザクションにおいて、日々数百万人もの個人や企業が信頼を寄せて利用している暗号化と同じレベルです。

KSIは、SHA2アルゴリズムを使用して署名されたTLS証明書を採用しています。これは、現在商業認証局が提供しているものの中でも最も安全な署名アルゴリズムです。SHA2は、より後半に使用されているSHA1よりもはるかに安全です。SHA1は、アルゴリズムに内在する数学的な弱点により悪用される可能性があります。SHA2は、攻撃者がウェブサイトを偽装するために使用する可能性のある、偽造証明書の発行の防止に役立ちます。

KSIは、Googleの新しいイニシアチブである証明書の透明性（CT）もサポートしています。CTは、認証局によって署名された証明書の、公開で監査可能なレコードを作成するためのイニシアチブです。CTは、権限のないエンティティが証明書を発行するのを防止します。CTは現在、最新バージョンのChromeウェブブラウザでサポートされています。証明書の透明性に関する詳細については、https://www.certificate-transparency.orgをご覧ください。Keeperは、次のTLS暗号スイートをサポートしています：

• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

キーピンニング

Keeperのネイティブクライアントは、不正な認証情報を使用した攻撃者によるなりすましを阻止するセキュリティメカニズムであるキーピンニングを実装しています。

クロスサイトスクリプティング（XSS）攻撃保護

クロスサイトスクリプティング攻撃のベクターをできる限り削減あるいは除外するために、Keeper ウェブボルトには厳格なコンテンツセキュリティポリシーが実装されています。Keeper が明確に情報源を明示している対象を除き、インライン（埋め込み）スクリプトやイベントハンドラ HTML 属性を含め、外部送信されるリクエストの発信元情報は表示されず、すべてのスクリプトは実行が禁止されています。

KeeperSecurity.comとKeeperSecurity.euドメイン名へのアクセスは、TLS v1.3のHTTPSに制限されており、これはHTTP Strict Transport Securityで強制されています。これにより、パケットスニッフィング、データ改ざん、中間者攻撃などの幅広い攻撃を防ぐことができます。

Keeperブラウザ拡張機能内で、Keeperがユーザーにページフレームエリア内でボルトにログインするように求めることはありません。拡張機能へのログインは、ブラウザのブラウザ拡張ツールバーエリア内で発生します。ウェブブラウザのボルトへのログインは、常にKeeperSecurity.comドメイン、KeeperSecurity.euドメイン、またはコンテンツページ外に存在するKeeperブラウザ拡張ツールバーから行われます。

Chrome、Firefox、Edge、OperaのKeeperブラウザ拡張機能では、ウェブサイトのログイン画面にレコードデータを注入するにあたりiFramesを活用しており、悪意のあるウェブサイトが注入されたコンテンツにアクセスできないようになっています。iFramesに注入されたレコードコンテンツは、ターゲットウェブサイトのドメインと一致するユーザーのボルトに保存されたボルトレコードのみに制限されます。Keeperは、ウェブサイトドメインがKeeperボルトレコードのウェブサイトドメインフィールドと一致しない限り、ログインまたはパスワードデータに自動入力を提供しません。

Internet Explorer拡張機能では、ログインとレコードへのアクセスを実行するにあたり、別のネイティブアプリケーションウィンドウを使用します。これらの別ウィンドウはブラウザからアクセスできないため、XSS攻撃の対象にはなりません。これにより、Internet Explorerの拡張機能がページ内でログインウィンドウを提供できるようになります。拡張機能は、レコードがウェブサイトアドレスのルートドメインに一致しない限り、レコードを表示しません。

サードパーティのブラウザ拡張機能は、ウェブブラウザの権限を昇格させ、ページ内の情報にアクセスできる可能性があります。したがって、Keeper管理者は、ユーザーがブラウザのアプリストアから承認されていない第三者機関のブラウザ拡張機能をインストールしないように防止することが推奨されます。

iOSキーチェーン、Touch ID®、およびFace ID®

iOSデバイスのTouch IDとFace IDでは、生体認証を使用してKeeperボルトにアクセスすることができます。この便利な機能では、ランダムに生成された256ビットの「生体認証キー」がiOSキーチェーンに保存されます。この機能用に作成されたiOSキーチェーンアイテムは、iCloudキーチェーンに同期するように指定されていないため、iOSモバイルデバイスから離れることはありません。

暗号化されたKeeperボルトのセキュリティを最大限に高めるため、複雑なマスターパスワードを使用し、多要素認証を有効にすることを強く推奨します。Touch IDとFace IDを使用することで、iOSモバイルデバイスでの複雑なマスターパスワードの使用がより簡単になります。また、iOSキーチェーンを保護するために、最小である4桁以上の桁数を持つパスコードを設定することを推奨します。

iOSキーチェーンは、認証情報を安全に保管するためにiOSやアプリで使用されます。iOSアプリはiOSキーチェーンを使用して、ウェブサイトのパスワード、キー、クレジットカード番号、Apple Pay™情報などを含めた様々な機密情報を保管します。KeeperはiOSキーチェーンを使用してKeeperレコードを保存しません。すべてのKeeperレコードは256ビットのAES暗号化で保護され、Keeperボルトに安全に保管されます。iOSキーチェーンも、デバイスのパスコードを使用した256ビットAES暗号で暗号化されています。デバイスが紛失したり盗難された場合、または攻撃者が物理的にモバイルデバイスにアクセスする方法を取得した場合でも、保管されているKeeper情報にアクセスすることはできません。パスコードなしでiOSキーチェーンの暗号を解除することはできず、ユーザーのKeeperマスターパスワードなしでKeeperボルトの暗号を解除することはできません。

生体認証

Keeperは、Windows Hello、Touch ID、Face ID、Androidの生体認証をネイティブにサポートします。通常、マスターパスワードまたはエンタープライズSSOログイン（SAML 2.0）を使用してKeeperボルトにログインしている顧客は、生体認証を使用して自身のデバイスにログインすることができます。生体認証は、Keeper管理者がロールポリシーで有効にする必要があります。オフラインアクセス機能が有効になっている場合、マスターパスワードとSSO利用ユーザーの両方で、生体認証を使ったオフラインアクセスも可能です。

デバイスで生体認証ログインが有効になっている場合、キーはローカルでランダムに生成され、デバイスのセキュアなエリア（キーチェーンなど）に保存されます。ユーザーのデータキーは、生体認証キーで暗号化されます。生体認証に成功するとキーが取得され、ユーザーはボルトを解読できます。

Apple Watch®

Apple Watchのお気に入り機能により、ペアリングしたApple Watchで指定された記録を見ることが可能です。Apple Watchで記録を見るためには、それらのKeeper記録を事前にWatchお気に入りに登録する必要がります。ペアリングしたApple WatchはKeeperのWatch拡張と通信します。その拡張はiOS Keeperアプリと分離されているサンドボックス環境で透過的に動作しています。iOS Keeperアプリとの安全かつシームレスな通信を実現するため、KeeperのWatch拡張もiOS Keychainを使って、安全にキーを保存したり、アクセスします。

Keeper DNA®

Keeper DNAは、スマートウォッチデバイスを使用した多要素認証方法を提供します。ペアリングされたApple Watchと併用した場合、Keeper DNAは非常に利便性とセキュリティが高い多要素認証方法を提供します。Keeper DNAは、Keeperボルトに保存されたセキュアなトークンを使用して、多要素認証用の時間ベースのコードを生成します。これらの時間ベースの認証要求は、AppleWatch（またはAndroid Wearデバイス）の画面をタップするか、ユーザーが手動で入力することで、ウォッチから自動的に承認および送信されます。複数層の暗号化、Touch ID、多要素認証を採用するKeeper DNAは、非常にエレガントでセキュアかつ高度な認証方法となります。

コンプライアンスと監査

FedRAMP High認証取得

Keeper ICAM & Identity Security Platform for Governmentは、Keeper Securityの公共機関向けのパスワード管理およびサイバーセキュリティプラットフォームです。AWS GovCloud (米国) 環境で運用されるFedRAMP High認証取得済みプロバイダとして、FedRAMP Marketplaceに登録されています。

連邦リスクおよび認可管理プログラム（FedRAMP）は、クラウド製品およびサービスに、セキュリティの評価、認可、継続的な監視に対する標準化されたアプローチを提供することを目的とした米国連邦政府のプログラムです。FedRAMPは、セキュリティと連邦情報の保護に重点を置いた、政府機関による最新のクラウドベースのソリューションの導入を推進することを目指しています。

GovRAMP High (高影響レベル) 認可取得

GovRAMP は、FedRAMP の約 10 年後に開発されたもので、州および地方政府レベルでの安全なクラウドベースのソリューションの採用を促進することを目的としています。GovRAMP 認可を取得するには、通常 2 年間のプロセスが必要ですが、Keeper は FedRAMP 認可されているおかげで、互恵プログラムを通じて合理化されました。

SOC 2 準拠

お客様のボルトの記録は、厳格かつ厳重に監視された内部統制慣行を使用して保護されています。Keeper は、AICPA のサービス組織管理フレームワークに従い、10 年以上にわたり SOC 2 タイプ 2 に準拠するものとして認定されています。SOC 2 コンプライアンスは、AICPA Trust サービス原則フレームワークで定義された標準化されたコントロールの実装を通じて、ユーザーボルトが安全に保たれていることを保証することに役立ちます。

ISO 27001、27017、27018認定

KeeperはISO 27001、27017、27018の認定を取得しています。これらの認証はKeeperセキュリティ情報管理システムおよびクラウドインフラストラクチャを対象としており、Keeperエンタープライズプラットフォームをサポートしています。KeeperのISO認証には、デジタルボルトとクラウドサービスの管理および運用、クラウドセキュリティ対策、データプライバシー対策、ソフトウェアおよびアプリケーションの開発、デジタルボルトとクラウドサービス両方のデジタル資産の保護が含まれています。

GDPR コンプライアンス

KeeperはGDPRに準拠しています。弊社は欧州連合の顧客に対し、弊社のビジネスプロセスと製品がコンプライアンスを維持することをお約束いたします。

ITAR 準拠

Keeper ICAM & Identity Security Platform for Government は米国国際武器取引規制（ITAR）への準拠をサポートしています。ITAR 輸出規制の対象となる企業は、保護されたデータへのアクセスを米国市民に制限し、保護されたデータの物理的な場所を米国内に制限することで、意図しない輸出を制御する必要があります。

Keeper ICAM & Identity Security Platform for Government's の FedRAMP Moderate 環境は、以下を通じて ITAR 要件をサポートしています：

• 完全に準拠したデータストレージはAWS GovCloud上にホストされており、米国内に限定されています。
• Keeper ICAM & Identity Security Platform for Government は、転送中および保存時に安全なデータ暗号化を提供します。
• ゼロ知識、ゼロトラストセキュリティときめ細かなアクセス許可により、企業は承認された担当者のみが機密データにアクセスできるよう保証できます。
• 堅牢なコンプライアンスレポート機能により、実行されたすべてのアクションと入力されたデータに対する追跡可能な電子監査証跡が提供されます。
• 分離されているカスタマーサクセスチームは、輸出規制のあるITARで管理されているデータの安全な取り扱いについて特別な訓練を受けた米国市民で構成されており、米国以外からのサポートはありません。

Keeper FedRAMP 環境は、顧客の輸出コンプライアンスプログラムをサポートするために適切なコントロールが実施されていることを検証するために、独立した第三者評価機関（3PAO）によって監査されており、コンプライアンスを維持するために必要な監査を毎年継続的に受けています。

ITARの詳細な情報。

FSQS-NL 認証

Keeper Security EMEA Limited は、オランダでセキュリティ、品質、イノベーションが最高水準を満たしていることを認定する Hellios Financial Services Qualification System-Netherlands (FSQS-NL) の下で認定されています。この規格は、Financial Conduct Authority（金融行動監視機構） と Prudential Regulation Authority （英国の金融監督機関）に準拠していることを示し、大手銀行や金融機関向けの Keeper Enterprise ソフトウェアの信頼性を保証しています。

患者医療データの保護

Keeper ソフトウェアは世界的な医療データ保護標準に準拠し、これに制限されることなく、HIPAA（医療保険の携行性と責任に関する法律）ならびにデータ処理補遺条項（DPA）をカバーしています。

HIPAA コンプライアンスと事業提携契約

Keeperは、SOC2認定、ISO 27001、27017、27018認定を受けたゼロ知識のセキュリティプラットフォームであり、HIPAAに準拠しています。プライバシー、機密性、完全性、および可用性において、厳格な遵守と管理を維持しています。このセキュリティアーキテクチャでは、KeeperはユーザーのKeeperボルトに保存されている情報（ePHIを含む）を解読、表示、あるいはアクセスすることはできません。前述の理由から、Keeperは医療保険の携行性と責任に関する法律（HIPAA）に定義されている業務提携者ではなく、業務提携契約の対象ではありません。

医療機関と医療保険会社にとってのさらなるメリットの詳細については、本セキュリティ開示の全文をお読みいただき、弊社のエンタープライズガイドをご覧ください。

デジタルオペレーションレジリエンス法（DORA）の遵守

デジタルオペレーショナルレジリエンス法（DORA）の遵守を支援するため、KeeperではKeeperのソフトウェアとシステムを保護するために徹底した運用およびセキュリティ措置を維持しています。これには、効果的なリスク管理プロセスの実施、アップタイム可用性の追跡と管理、セキュリティ確保のための厳格な社内ポリシーの維持、社内セキュリティトレーニングの義務付け、インシデント対応プロトコルの確立が含まれますが、これらに限定されることはありません。Keeperは、リスクを軽減し、Keeperソフトウェアとサービス全体における運用機能とセキュリティを確保するために、継続的に手順を監視、更新、および改良しています。

侵入テストの実施

Keeperは、NCC Group、Secarma、Rhino Security、Cybertest、および独立したセキュリティ調査団体などの第三者機関の専門家の協力を得て、定期的に侵入テストを実施しています。Keeperはまた、Bugcrowdとも提携して脆弱性開示プログラム（VDP）を管理しています。

第三者機関によるセキュリティスキャニングと侵入テスト

KSIに対して毎日McAfee SECUREのテストを実施することで、既知の遠隔からの悪用、脆弱性、およびDoS攻撃に対してKeeperウェブアプリケーションとKSIのクラウドボルトを安全に保っています。Keeperウェブサイトに掲載されているMcAfee Secureバッジは、Keeperウェブサイト、ウェブアプリケーション、クラウドボルトに対して毎日テストが実施されていることを示しています。

McAfee Secureによる包括的な外部のセキュリティスキャンが、Keeperウェブサイト、Keeperウェブアプリケーション、およびKeeperクラウドボルトに対して毎月実施されています。Keeperの従業員は、定期的にMcAfee Secureを通してオンデマンド外部スキャンを実施しています。

支払い処理とPCIコンプライアンス

KSIでは、KSI支払い用ウェブサイトでクレジットカードやデビットカードを安全に処理するにあたり、PayPalとStripeを使用しています。PayPalとStripeは、PCI-DSSに準拠したトランザクション処理ソリューションです。

KSIは、McAfee SecureによってPCI-DSSへのコンプライアンスが認証されています。

EU・米国間のプライバシーシールド

Keeperウェブクライアント、Androidアプリ、Windows Phoneアプリ、iPhone/iPadアプリ、およびブラウザ拡張機能は、米国商務省のEU・米国プライバシーシールドプログラムに認定されており、欧州委員会のデータ保護指令を満たしています。

米国商務省の米国・EUプライバシーシールドプログラムの詳細については、https://www.privacyshield.govをご覧ください。

FIPS 140-3 承認済み

Keeperは、政府および公共部門の厳格なセキュリティ要件に対応するにあたり、FIPS 140-3認証を受けた暗号化モジュールを活用しています。Keeperの暗号化は、NIST CMVPによって認定されており、公認の第三者機関のラボでFIPS 140規格への準拠が検証されています。KeeperにはNIST CMVPの下に証明書番号3967が発行されています。

FDA 21 CFR Part 11 準拠

Keeper は、臨床試験を行う研究者を含む、高度に規制された環境で働く科学者に適用される 21 CFR Part 11 に準拠しています。この規制は、電子記録と署名が信頼でき、確実性が高く、手書きの署名付きの紙の記録と同等と見なされる FDA 基準を規定しています。具体的には、科学者は使用するすべてのソフトウェアが、以下に関する 21 CFR Part 11 の規則に準拠していることを保証する必要があります：

ユーザー識別のためのセキュリティ管理 - Keeper は、すべてのユーザーが固有のユーザー名とパスワードを持つこと、不正なシステムアクセスを検出および防止する機能、漏洩したアカウントをロックする機能など、ユーザーアクセスおよびその特権を制限するセキュリティ機能に関する 21 CFR Part 11 要件に準拠しています。

詳細な監査証跡

FDA 査察の際、規制当局は研究者にすべての操作の時系列記録を詳述する監査証跡を提供するよう要求します。Keeper のコンプライアンスレポート機能により、研究者は簡単に追跡可能な電子監査証跡を作成することができます。

電子署名

21 CFR Part 11 は、文書が法的拘束力のある電子署名を必要とする場合、固有のログイン情報とパスワードまたは生体認証に署名が添付されることを要求しています。Keeper では、すべてのユーザーが固有のユーザー名とパスワードを持ち、そのユーザーだけがアクセスできるデジタルボルトへと安全に保管されていることを研究者が保証できることにより、この要件をサポートしています。

EAR対象品として 米国商務省の輸出許可取得済み

Keeperは米国商務省産業安全保障局によって、米国輸出規制（EAR）に基づいて輸出規制品目分類管理番号5D992に認定されています。

EARの詳細情報：https://www.bis.doc.gov

24時間年中無休のリモート監視

Keeperでは、グローバルなサードパーティの監視ネットワークを通して24時間年中無休で監視されており、世界中で弊社ウェブサイトとクラウドボルトの利用可能性を確保しています。

このセキュリティ開示に関してご質問があれば、弊社にお問い合わせください。

フィッシングまたはなりすましメール

KSIを名乗る送信者からメールを受信した際に何か疑わしいと感じた場合、送信者のメールアドレスが偽装されているか、なりすましによるフィッシングメールである可能性が考えられます。この場合、メール内にKeeperSecurity.comを装ったウェブサイトへのリンクが含まれている場合がありますが、これは弊社のウェブサイトではありません。これらのウェブサイトではKeeper Securityのマスターパスワードの入力を求めたり、ユーザーのコンピュータ内にある個人情報を盗む目的で、望ましくないソフトウェアをコンピュータにインストールしようと試みたります。その他にも、危険な可能性のある他のウェブサイトにリダイレクトされる可能性のあるリンクが含まれている場合もあります。メッセージに、通常「マルウェア」と呼ばれる不要なソフトウェアが含まれた添付ファイルが添付されている場合もあります。受信ボックスに疑わしいメールを受信した場合には、リンクをクリックしたり、添付ファイルを開いたりせずに、削除する必要があります。

偽装が疑われるKSIを名乗る送信者からのメールがあり報告したい場合、あるいはKSIに関連したその他のセキュリティに関連した問題がある場合は、弊社にお問い合わせください。

非常に厳格な業界基準の認定を受けたホスティングインフラストラクチャ

Keeperのウェブサイトとクラウドストレージはアマゾンウェブサービス(AWS)の保護されたクラウドコンピューティングインフラストラクチャー上で運営されています。Keeperのシステム設計を提供するAWSクラウドインフラストラクチャーは下記のサードパーティーの認証、報告、証明をもって保証されています。

• SOC 1/ SSAE 26/ISAE 3402 (SAS70)
• SOC 2
• SOC 3
• PCI DSS Level 1
• ISO 27001
• FedRAMP High
• DIACAP
• FISMA
• ITAC
• FIPS 140-3
• CSA
• MPAA

脆弱性レポート作成とバグバウンティプログラム

Keeper Securityは、潜在的なセキュリティ問題の責任ある開示という業界ベストプラクティスに取り組んでいます。弊社では顧客のセキュリティとプライバシーに真摯に取り組んでおり、顧客のプライバシーと個人データを保護することに努めています。KSIの使命は、世界で最も安全で革新的なセキュリティアプリを構築することであり、世界中のセキュリティ研究者が集うコミュニティからのバグレポートは、KSIの製品とサービスのセキュリティを確保するための貴重な要素であると考えています。

ユーザーの安全の確保が、弊社の組織としての価値観の中核にあります。私たちは、誠意ある研究者からの情報を大切にしており、サイバーセキュリティコミュニティとの継続的な関係が弊社のセキュリティとプライバシーの確保に役立ち、インターネットをより安全なものにすると考えています。これには、責任あるセキュリティテストとセキュリティ脆弱性の開示の奨励も含まれます。

ガイドライン

善意のハッカーと共同作業を実施する際は、Keeper の脆弱性情報開示ポリシーをもとに見積りを掲示し、同様にハッカー側も見積りを出せるものとします。

本ポリシーのガイドラインに従ってセキュリティテストならびにレポート作成が実施された場合：

• コンピューター不正行為防止法に従い、弊社はこれを正当な行為だとみなします。
• 当該の行為をDMCAから除外し、セキュリティまたは技術的コントロールを迂回したことについて訴訟を提起しません。
• 行為は適法であるとみなし、本プログラムに関連するいかなる法的措置も追求および支援しません。
• 協力して、早急に問題を理解および解決できるように支援します。
• その問題に対する初めての報告であった場合には、その貢献度を公表し、問題に基づいてコードや設定に変更を加えます。

本ガイドラインならびに本ポリシーの適用範囲でのテストの実施において、疑問や不明な点がある場合は、テストを実施する前にsecurity@keepersecurity.comにお問い合わせください。

善意のセキュリティテストならびに発見した脆弱性の情報開示を奨励するにあたり、弊社から以下のお願いがございます：

• プライバシーの侵害、ユーザーエクスペリエンスの低下、実稼働システムや法人システムの妨害、および/またはデータを破壊する行為は避けてください。
• 下記リンク先にあるBugcrowd社の脆弱性開示プログラムで定められた範囲内でのみ調査を行い、範囲外となるシステムやアクティビティを尊重してください。
• テスト中に何らかのユーザーデータが発見された場合は、即座にsecurity@keepersecurity.comに連絡してください。
• 報告された問題を分析、確認し、解決するために合理的な時間を提供いただいた後で、脆弱性の発見を公開することとします。

レポートの送信

Keeperは弊社の脆弱性情報開示プログラムを管理するにあたりBugcrowdと提携しています。

レポートはhttps://bugcrowd.com/keepersecurityから送信してください。

追加情報

製品ドキュメント

Keeperのドキュメントポータルからは、製品マニュアル、技術情報、リリースノート、およびエンドユーザーガイドを入手することができます：https://docs.keeper.io/keeper-documentation-jp/

システムステータス

リアルタイムのシステムステータスについては、こちらでご確認いただけます：https://statuspage.keeper.io

副付録E

英国の附則

S119A（1）データ保護法2018に基づいて警視総監が発行する標準データ保護条項

EU委員会の標準契約条項の国際データ移転附則

バージョンB1.0、2022年3月21日に執行

本附則は、制限された移転を実行する当事者のための情報コミッショナーが発行しています。情報コミッショナーは、法的拘束力のある契約として締結された場合、その契約は制限された移転に対して適切な保護措置を提供していると判断します。

パート1：表

表1：当事者

表2：SCC、モジュール、条項の抜粋

表3：付録情報

「付録情報」とは、承認済みのEU SCC（当事者以外）の付録に定められている一部のモジュールに対して提供される必要がある情報を意味し、本附則では以下で定められています：

附属書1A：当事者リスト：当事者間の附則の附属書1を参照してください。

附属書1B：移転の説明：当事者間の附則の副付録Aを参照してください。

附属書II：データのセキュリティを確保するための技術的および組織的措置を含む技術的および組織的な措置：当事者間の附則の副付録Dを参照してください。

附属書III: サブプロセッサーのリスト（モジュール2および3のみ）：当事者間の附則の副付録Bを参照してください。

表4：承認済み附則が変更された際の本附則の終了

パート2：必須条項

本附則を締結するにあたり、

1. 各当事者は、本附則に定められた条項に拘束されることに同意し、他方の当事者も本附則に定められた条項に拘束されることに同意するものとします。
2. 承認済みEU SCCの附属書1Aおよび第7項には当事者の署名を必要としますが、制限付移転を行う目的で、両当事者は両当事者を法的に拘束し、データ主体が本附則に定められた権利を行使できるような方法で、本附則を締結することができます。本附則の締結は、承認済みのEU SCCおよび承認済みEU SCCの任意の部分への署名と同等の効果を発揮するものとします。

本附則の解釈

3. 本附則で承認済みEU SCCで定義されたている用語が使用されている場合、これらの用語は、承認済みEU SCCと同じ意味を持つものとします。さらに、以下の用語は以下の意味を持つものとします。

4. 本附則は、常に英国のデータ保護法と合致した方法で解釈され、適切な保護措置を提供する当事者の義務を履行するものとして解釈されなければなりません。
5. EU SCC附則に含まれる条項が、承認済みEU SCCまたは承認済みの附則で許可されていない方法で承認済みSCCを修正するものである場合、そのような修正は本附則に組み込まれず、承認済みEU SCCの同等の条項が組み込まれるものとします。
6. 英国データ保護法と本附則の間に一貫性がない場合や矛盾がある場合には、英国データ保護法が適用されます。
7. 本附則の意味が不明瞭である場合、または複数の意味が含まれる場合、英国のデータ保護法に最も近い意味が適用されます。
8. 法律（または法律の特定の条項）への参照は、時間の経過と共に変更される可能性のある法律（または特定の条項）を意味します。これには、本附則が締結された後に、法律（または特定の条項）が統合、再制定、および/または変更された場合も含まれます。

優先度

9. 承認済みEU SCCの第5項は、承認済みEU SCCが当事者間で交わされたすべての関連契約よりも優先されることを規定していますが、当事者は、制限された移転に関しては、第10条の順序が優先されることに同意するものとします。
10. 承認済み附則とEU SCC附則（該当する場合）の間に一貫性がない部分や矛盾がある場合、承認済み附則がEU SCC附則よりも優先されるものとします。ただし、EU SCC附則の一貫性のない条項または矛盾する条項がデータ主体により大きな保護を提供する場合（およびこの場合に限り）はかかる条項が承認済み附則よりも優先されます。
11. 本附則に、一般データ保護規則（EU）2016/679の対象となる移転を保護するために締結されたEU SCC附則が組み込まれている場合、当事者は本附則がこれらのEU SCC附則にいかなる影響も与えないことを認めるものとします。

EU SCCの組み込みと変更

12. 本附則には、次の目的で必要な範囲で改正されたEU SCC附則が組み込まれています：
    1. 両附則が、データ輸出者がデータ輸入者にデータを移転する際に、当該のデータ転送を行うときにデータ輸出者の処理に英国データ保護法が適用される範囲で適用されること、およびこれらのデータ転送に適切な保護措置が提供されること
    2. 第9項から第11項は、EU SCC附則の第5項（階層）よりも優先されること
    3. 本附則（附則に組み込まれたEU SCC附則を含む）が、（1）イングランドとウェールズの法律に準拠し、（2）本附則から生じる紛争は、スコットランドまたは北アイルランドの法律および/または裁判所が両当事者によって明示的に選択されない限り、いずれの場合もイングランドおよびウェールズの裁判所によって解決されること
13. 当事者がセクション12の要件を満たす代替の修正に合意していない限り、セクション15の規定が適用されます。
14. 承認済みEU SCCへの変更は、セクション12の要件を満たしていない限り改正されません。
15. EU SCC附則を（第12項の目的で）以下のように改正します：

    1. 「条項」とは、本EU SCC附則が組み込まれた本附則を意味します。

    2. 第2項で、以下の言葉が削除されます：

       「および、管理者からプロセッサーおよび/またはプロセッサーへのデータ移管に関して、規則（EU）2016/679の第28（7）条に基づく標準契約条項」

    3. 第6項（移転の説明）は、以下に置き換えられます：

       「移転の詳細、特に移転される個人データのカテゴリーと移転目的）は、英国のデータ保護法がかかる移転を行う際にデータ輸出者の処理に適用される附属書I.Bに指定されたものとなります。」;

    4. モジュール1の第8.7(i)項は、次のように置き換えられます：

       「再移転について定めた英国GDPRの第17A条に基づく妥当性規制の恩恵を受ける国」

    5. モジュール2および3の第8.8(i)項は、以下に置き換えられます：

       「再移転について定めた英国GDPRの第17A条に基づく妥当性規制の恩恵を受ける国に対する再移転」

    6. 「規則（EU）2016/679」、「個人データの処理に関する自然人の保護と当該データの自由な移転に関する2016年4月27日付けの欧州議会および理事会の規則（EU）2016/679（一般データ保護規則）」および「かかる規則」への参照はすべて、「英国データ保護法」に置き換えられます。「規則（EU）2016/679」の特定の条項への参照は、英国データ保護法の同等の条項またはセクションに置き換えられます。

    7. 規則（EU）2018/1725への参照は削除されます。

    8. 「欧州連合」、「連合」、「EU」、「EU加盟国」、「EUまたは加盟国」への参照は、すべて「英国」に置き換えられます。

    9. モジュール1の第10(b)(i)項の「12(c)(i)条項」への参照は、「11(c)(i)条項」に置き換えられます。

    10. 第13(a)項および附属書IのパートCは使用されません。

    11. 「監督機関」と「監督当局」は、どちらも「情報コミッショナー」に置き換えられます。

    12. 第16(e)項の(i)は、以下に置き換えられます：

        
        

        「国務長官は、本条項が適用される個人データの移転を対象とするデータ保護法2018の第17A条に基づく規則を制定します。」

    13. 第17項は、次のように置き換えられます：

        
        

        「これらの条項は、イングランドとウェールズの法律の対象となります。」;

    14. 第18項は、次のように置き換えられます：

        
        

        「これらの条項から生じる紛争は、イングランドとウェールズの裁判所によって解決されます。データ主体は、データ輸出者および/またはデータ輸入者に対して、英国のいずれかの国の裁判所でも法的手続を提起することができます。当事者は、そのような裁判所の管轄権に服従することに同意するものとします。」および

    15. 承認済みEU SCCの脚注は、脚注8、9、10、11を除いて、附則の一部ではありません。

本附則の修正

16. 当事者は、EU SCC附則の第17項および/または18項を、スコットランドまたは北アイルランドの法律および/または裁判所に参照するよう変更することに、同意することができます。
17. 当事者が「パート1：承認済み附則の表」に含まれる情報のフォーマットを変更したい場合、変更が適切な保護措置を縮小しないことを条件に、書面で変更に同意することで行うことができます。
18. ICOは随時、改正された承認済み附則を発行できるものとし、
    1. 承認済み附則に対して合理的かつ相応な変更を加える（承認済み附則のエラーの訂正を含む）か、
    2. 英国データ保護法の変更点を反映させるかのいずれまたはその両方を行うことがあります。

改正された承認済み附則では、承認済み附則の変更が有効になる開始日と、当事者が付録情報を含む本附則をレビューする必要の有無について指定するものとします。本附則は、指定された開始日から、改正された承認済み附則に記載された通りに自動的に修正されます。

19. ICOが第18項に基づいて改正された承認済み附則を発行した場合、表4「承認済み附則が変更された場合の附則の終了」で選択された当事者に対して、承認済み附則に対する変更の直接の結果として、
    1. 本附則に基づく義務の履行に伴う直接コストおよび/または
    2. 附則に基づくリスクの点において実質的かつ不当で、実証可能な増加が発生する場合で、

いずれの場合においても、当事者がかかるコストまたはリスクが実質的かつ不当にならないように、コストまたはリスクを削減するために最初の合理的な措置を講じている場合、当該の当事者は改正された承認済み附則の開始日前の合理的な通知期間内に、相手側の当事者に書面による通知を提供することで、本附則を終了することができます。

20. 当事者は、本附則の変更を行うために第三者の同意を必要としませんが、いかなる変更も附則の条件に従って行われるものとします。

代替パート2の必須条項：