データ処理条件

最終更新日：2026年7月1日

1. 本条件について

本データ処理条件は、nuaxia Limited とクライアントとの間のクライアント基本規約の一部を構成します。

本条件は、nuaxia が以下のいずれかとしてクライアント個人データを処理する場合にのみ適用されます。

クライアントまたはエンドクライアントを代理する処理者として；又は
クライアント自身が処理者として行動する場合における副処理者として。

本条件は、両当事者が書面により明示的に異なるデータ処理条件に合意しない限り、当該処理に自動的に適用されます。

2. nuaxia が管理者として行動する場合

nuaxia は、個人データがなぜ収集または利用されるか、および当該処理の本質的な手段を決定する場合、通常、独立した管理者として行動します。

これには、以下に関連する処理が含まれ得ます。

nuaxia 自身の医療従事者、医療組織その他の専門的連絡先に関するデータベースの維持および発展；
専門的な身元、資格、役割、勤務先および適格性の確認；
参加者のプロフィールおよび関係の履歴の維持；
調査、教育的活動その他の活動に誰を招待するかの特定および決定；
参加者との通信および関係の管理；
参加者のアカウントおよび謝礼の管理；
不正、重複、悪用およびセキュリティ事案の防止；
品質、コンプライアンスおよび業務の記録の維持；
nuaxia 自身のウェブサイト、アラート、アプリケーションおよびサービスの管理；及び
nuaxia 自身の法律上、規制上、医薬品安全性監視上および専門的な義務の履行。

nuaxia が独立した管理者として処理する個人データは、本データ処理条件ではなく、nuaxia のプライバシー通知および適用されるデータ保護法により規律されます。

nuaxia がクライアントのプロジェクトに関連して情報を保有または処理しているという事実は、それ自体では nuaxia が管理者であるか処理者であるかを決定しません。各処理活動は、両当事者の実際の役割に応じて評価されます。

3. nuaxia が処理者として行動する場合

nuaxia は、クライアントまたはエンドクライアントを代理し、かつその文書化された指示に基づいて個人データを処理する場合にのみ、処理者または副処理者として行動します。

これは、例えば以下の場合に生じ得ます。

クライアントが、クライアントのプロジェクトにおいてのみ使用する連絡先リストを提供する場合；
nuaxia が、クライアントが管理する識別可能なデータをホストまたは処理する場合；
クライアントが、分析、検証または報告のために識別可能なデータを提供する場合；
nuaxia が、クライアント固有のサービスを提供するために、クライアントまたはエンドクライアントの人員情報を処理する場合；又は
代理店が、エンドクライアントを代理して nuaxia を副処理者として任命する場合。

nuaxia がある活動については処理者として、別の活動については独立した管理者として行動する場合、本条件は処理者としての活動にのみ適用されます。

4. 定義

本条件において：

クライアント個人データとは、nuaxia が契約に基づき処理者または副処理者として処理する個人データをいいます。
これには、nuaxia が独立した管理者として行動する個人データは含まれません。
データ保護法とは、英国 GDPR、改正後のデータ保護法2018、該当する場合の EU GDPR、およびこれらを置き換えまたは補完する法令を含む、当該処理に適用されるすべてのデータ保護およびプライバシーに関する法律をいいます。
個人データ侵害とは、クライアント個人データの偶発的もしくは違法な破壊、喪失、改変、無断開示、またはこれへの無断アクセスをもたらすセキュリティの侵害をいいます。
副処理者とは、クライアント個人データを処理するために nuaxia が任命した別の組織をいいます。
管理者、処理者、個人データ、処理、データ主体および特別な区分のデータという用語は、適用されるデータ保護法においてこれらに与えられた意味を有します。
その他の頭文字が大文字の用語は、クライアント基本規約に定められた意味を有します。

5. 処理の既定の記述

提案が明示的に別段の定めをしない限り、nuaxia が処理者または副処理者としてクライアント個人データを処理するときは常に、以下の記述が適用されます。

5.1 対象事項

処理の対象事項は、提案に記載されたサービスのうち、当該サービスがクライアント個人データを伴う場合における当該サービスの提供です。

5.2 期間

処理は、以下の期間継続します。

当該サービスの期間；
サービスを完了するために合理的に必要な期間；
合意された保持期間；及び
クライアント個人データを日常的なバックアップシステムから返還、削除または安全に除去するために合理的に必要な時間。

5.3 処理の性質

処理には以下が含まれ得ます。

受領および収集；
記録および整理；
保存およびアクセス；
レビューおよび検証；
適応および構造化；
分析および報告；
認可された受領者への送信および提供；
制限および保護；
返還；及び
クライアント個人データの削除または匿名化。

nuaxia は、サービスを提供し、クライアントの文書化された指示を遵守するために合理的に必要な処理操作のみを行います。

5.4 目的

処理の目的は、提案に記載されたサービスを提供し、当該サービスに関する適法な文書化された指示を遵守することです。

5.5 個人データの種類

クライアント個人データには以下が含まれ得ます。

氏名および連絡先の詳細；
雇用および職業に関する情報；
役職、役割、資格および組織上の所属；
職業上の識別子；
調査、インタビュー、研究または相談の情報；
アカウント、ポータルおよびサービス利用の情報；
通信およびプロジェクト運営の情報；及び
合意されたサービスのためにクライアントまたはその代理により提供されるその他の個人データ。

nuaxia は、当該処理が提案その他の文書化された指示において明示的に合意されない限り、処理者として特別な区分のデータまたは犯罪歴データを処理しません。

5.6 データ主体の区分

関係する個人には以下が含まれ得ます。

クライアントおよびエンドクライアントの従業員および代表者；
クライアントにより特定または提供された専門的連絡先；
クライアントまたはエンドクライアントの顧客、供給者、助言者または請負業者；
その情報がクライアントにより提供または管理される調査、研究またはインタビューの回答者；及び
クライアント資料において特定されるその他の個人。

5.7 変更

サービスが異なるまたは追加の処理を伴う場合、提案その他の合意された書面のプロジェクト指示は、この既定の記述を補足または変更することがあります。

変更が記録されていない場合、本条項の既定の記述が適用されます。

6. クライアントの責任および権利

クライアントは、以下を確保する責任を負います。

クライアントまたは該当するエンドクライアントが、クライアント個人データの管理者として行動する権利を有すること；
処理に法的根拠があること；
特別な区分のデータまたは犯罪歴データの処理に必要な条件が満たされていること；
必要なすべてのプライバシー情報が提供されていること；
クライアント個人データが適法に収集および開示されたこと；
その指示がデータ保護法に適合すること；
クライアント個人データが十分、関連性があり、合理的に必要な範囲に限定されていること；
クライアント個人データが合理的に正確かつ最新であること；及び
エンドクライアントを代理して指示を発する権限を有すること。

クライアントは以下の権利を有します。

処理に関する適法な文書化された指示を発すること；
nuaxia の本条件の遵守を示す合理的な情報を受領すること；
当該サービスの終了時にクライアント個人データの返還または削除を求めること；及び
以下に定める監査の権利を行使すること。

クライアントがエンドクライアントのために行動する場合、クライアントは以下を確認します。

nuaxia を任命する権限を有すること；
nuaxia を副処理者として任命するために必要な承認が取得されていること；
エンドクライアントを代理して指示を発する権限を有すること；及び
エンドクライアントの指示を正確に伝達すること。

クライアントは、データ保護法に違反するような方法で個人データを処理するよう nuaxia に指示してはなりません。

7. 処理に関する指示

nuaxia は、以下の場合にのみクライアント個人データを処理します。

クライアントの文書化された指示に基づく場合；
サービスを提供するために合理的に必要な範囲；
契約により認められる範囲；又は
適用法により要求される場合。

文書化された指示は、以下に含まれることがあります。

クライアント基本規約；
本データ処理条件；
提案；
承認されたプロジェクト資料；
合意された変更依頼；又は
クライアントの認可された代表者からの書面による通信。

nuaxia が、ある指示がデータ保護法に違反すると合理的に判断する場合、nuaxia はクライアントに通知し、当該指示が明確化、修正または撤回されるまで、影響を受ける処理を停止することができます。

適用法により nuaxia がクライアントの指示以外の方法でクライアント個人データを処理することが求められる場合、nuaxia は、法律が当該通知を禁止しない限り、これを行う前にクライアントに通知します。

8. 守秘義務およびアクセス

nuaxia は、クライアント個人データを処理する権限を有する者が以下を満たすことを確保します。

適切な守秘義務に服すること；
その役割のために合理的に必要な場合にのみアクセスを受けること；
合意されたサービスのためにのみ、かつ認可された指示に従って情報を処理すること；及び
適切なデータ保護およびセキュリティの研修を受けること。

nuaxia は、アクセスが不要となった場合、これを削除または変更します。

これらの守秘義務は、当該個人がサービスに関する業務を停止した後も存続します。

9. セキュリティ

nuaxia は、以下を考慮して、クライアント個人データを保護するための適切な技術的および組織的措置を維持します。

処理の性質、範囲、状況および目的；
利用可能な技術の水準；
実装費用；及び
個人に対するリスクの可能性および重大性。

措置には、適切な場合、以下が含まれ得ます。

守秘要件および職員研修；
個別のアカウントおよび役割ベースのアクセス制御；
パスワード制御および多要素認証；
安全な送信および保存；
適切な場合の暗号化；
システム、ネットワークおよびエンドポイントの保護；
セキュリティ更新および脆弱性管理；
バックアップおよび復旧の取決め；
インシデントの検出および対応の手続；
プロジェクトおよびデータの論理的分離；
安全な削除および廃棄；及び
副処理者に対する適切な管理。

nuaxia は、変更が全体的な保護水準を実質的に低下させない場合、そのセキュリティ措置を更新することができます。

クライアントは、以下を行います。

そのアカウントおよび認証情報を安全に保持すること；
アクセスを認可された人員に限定すること；
疑わしい無断アクセスについて速やかに nuaxia に通知すること；
クライアント個人データを送信するために合意された安全な方法を使用すること；及び
サービスに関する合理的なセキュリティ指示を遵守すること。

10. 副処理者

クライアントは、サービスを提供するために合理的に必要な場合に副処理者を任命することについて、nuaxia に一般的な書面による承認を与えます。

nuaxia は、以下を行います。

クライアント個人データを処理する重要な副処理者に関する情報を、要求に応じて、または維持されているオンラインの一覧を通じてクライアントに提供すること；
重要な新規または交代の副処理者について合理的な事前通知を行うこと；
副処理者に対し、本条件の該当する要件と実質的に同等のデータ保護の保護措置を提供することを義務付ける書面の条件を締結すること；及び
データ保護法により求められる範囲において、当該義務の副処理者による履行について引き続き責任を負うこと。

クライアントは、クライアント個人データの保護に特に関連する合理的な理由に基づき、提案された副処理者に異議を申し立てることができます。

クライアントは、通知の受領後速やかに異議を提起し、その理由を説明しなければなりません。

両当事者は、有効な異議に対処するため誠実に協力します。合理的な解決策が得られない場合、いずれの当事者も、影響を受ける部分のサービスを解除することができます。

nuaxia は、セキュリティ事案、供給者の障害、法律上の要件その他の重大な運用上のリスクに対処するために合理的に必要な場合、緊急に副処理者を変更することができます。nuaxia は、合理的に実行可能な限り速やかにクライアントに通知します。

11. 国際的な移転

nuaxia は、適法な移転メカニズムまたは例外が適用される場合を除き、クライアント個人データの制限付き国際移転を行いません。

要求される場合、nuaxia は適切な保護措置を使用し、これには以下が含まれ得ます。

適用される十分性に関する規則または決定；
承認された標準契約条項；
承認された英国国際移転契約または附属書；
拘束的企業準則；又は
その他の適法な移転メカニズム。

nuaxia は、該当する副処理者に対し、適用される国際移転の要件を遵守するよう求めます。

提案が明示的に別段の定めをしない限り、サービスは、すべてのクライアント個人データが特定の国に留まることを保証しません。

12. データ主体の請求

nuaxia がクライアント個人データに関するデータ主体からの請求を受けた場合、nuaxia は、以下を行います。

不当に遅滞することなくクライアントに通知すること；
入手可能な関連する詳細を提供すること；及び
クライアントの指示または法律による要求がない限り、実質的な回答を行わないこと。

クライアントは、以下について引き続き責任を負います。

請求者の身元の確認；
当該請求が有効か否かの判断；
どのように回答するかの決定；及び
適用される法定期限の遵守。

処理の性質を考慮し、nuaxia は、クライアントまたはエンドクライアントが当該請求に回答できるよう、合理的な支援を提供します。

13. コンプライアンス支援

処理の性質および自らが入手可能な情報を考慮し、nuaxia は、以下に関するクライアントの義務について合理的な支援を提供します。

処理のセキュリティ；
データ主体の権利；
個人データ侵害；
データ保護影響評価；
データ保護監督機関との協議；及び
データ保護法の遵守の証明。

クライアントは、支援を要請する際、合理的な通知および十分な情報を提供しなければなりません。

nuaxia は、請求が以下に該当する場合、合理的な追加料金を請求することができます。

異常に広範である場合；
サービスの通常の範囲外である場合；
実質的な技術的開発または検索作業を要する場合；又は
不完全、不正確または変更されたクライアントの指示に起因する場合。

nuaxia は、合理的に実行可能な場合、重大な追加費用が発生する前にクライアントに通知します。

14. 個人データ侵害

nuaxia は、クライアント個人データに影響する個人データ侵害を認識した後、不当に遅滞することなくクライアントに通知します。

入手可能な範囲において、nuaxia は以下に関する情報を提供します。

侵害の性質；
影響を受けるクライアント個人データの区分；
影響を受ける個人および記録の区分および概数；
生じ得る結果；
侵害を封じ込め、調査し、対処するために講じたまたは講じる予定の措置；及び
詳細情報のための適切な連絡先。

すべての情報が直ちに入手できない場合、nuaxia は、調査の進展に応じて段階的に提供することができます。

nuaxia は、以下を行います。

侵害を封じ込め、調査するために合理的な措置を講じること；
生じ得る悪影響を軽減するために合理的な措置を講じること；
関連情報を保存すること；及び
クライアントの評価および通知の義務に合理的な協力を提供すること。

クライアントまたは該当するエンドクライアントは、以下に対して通知を行わなければならないか否かを判断する責任を負います。

データ保護監督機関；
影響を受けるデータ主体；
別の規制当局；
プロジェクトのスポンサー；又は
別の第三者。

nuaxia は、以下の場合を除き、クライアントまたはエンドクライアントを識別する通知を行いません。

クライアントの指示による場合；
両当事者間で合意された場合；又は
法律により要求される場合。

侵害の通知は、責任の承認を構成しません。

15. コンプライアンス情報および監査

合理的な要求に応じて、nuaxia は、本条件の遵守を示すために合理的に必要な情報を提供します。

これには以下が含まれ得ます。

関連するセキュリティ情報；
記入済みのセキュリティ質問票；
ポリシーの要約；
副処理者に関する情報；
入手可能な独立した保証報告書；及び
コンプライアンスに関する質問への合理的な書面による回答。

当該情報が合理的に不十分な場合、クライアントは、nuaxia の本条件の遵守を監査することができます。

重大な侵害を受けて、または管轄の規制当局により監査が求められる場合を除き：

クライアントは合理的な事前の書面通知を行わなければなりません；
いかなる12か月の期間においても、監査は1回を超えて実施することはできません；
監査は通常の営業時間中に行われなければなりません；
監査は本条件が対象とする処理に限定されなければなりません；
監査は nuaxia の業務への支障を最小限に抑えなければなりません；及び
監査は、守秘義務に服する適切な資格を有する者によって実施されなければなりません。

監査人は、nuaxia の事前の書面による合意なく、nuaxia の直接の競合者であってはなりません。

監査は、以下を露出させてはなりません。

別の顧客の個人データまたは秘密情報；
nuaxia のソースコード；
法的秘匿特権のある資料；
セキュリティ認証情報；又は
重大なセキュリティ上の脆弱性を生じさせる詳細情報。

クライアントは、自らの監査費用、および異常に広範な監査を支援するための nuaxia の合理的な費用を負担します。監査が nuaxia による本条件の重大な違反を特定した場合、nuaxia は自らの合理的な費用を負担します。

本条項のいかなる規定も、管轄のデータ保護監督機関の権限を制限しません。

16. 返還および削除

当該サービスが終了する場合、nuaxia は、クライアントの書面による選択に従い、以下を行います。

クライアント個人データを返還すること；
これを削除すること；又は
一部を返還し、残りを削除すること。

ただし、適用法が継続的な保持を要求する場合を除きます。

クライアントは、当該サービスの完了または解除後30日以内に、その返還または削除の指示を提供しなければなりません。

クライアントが当該期間内に指示を提供しない場合、nuaxia は、その通常の保持および削除の手続に従ってクライアント個人データを削除することができます。

安全なバックアップに含まれるクライアント個人データは、通常のバックアップサイクルを通じて削除または上書きされるまで残ることがあります。ただし、当該データが以下を満たすことを条件とします。

引き続き適切に保護されていること；
別の目的のために使用されないこと；及び
災害復旧、セキュリティまたは法律上の目的のために合理的に必要な場合にのみ復元されること。

本条項は、nuaxia に以下の削除を求めるものではありません。

nuaxia が独立した管理者として行動する個人データ；
法律により保持が要求される情報；
不可逆的に匿名化された情報；
個人、クライアントまたはエンドクライアントをもはや識別しない統計情報；又は
契約が別途 nuaxia による保持を認める情報。

17. クライアント基本規約との関係

本データ処理条件に基づき生じる責任は、クライアント基本規約の責任に関する規定により規律されます。

本条件のいかなる規定も、法律上制限できない場合に責任を制限しません。

クライアント個人データに関して齟齬がある場合、以下の優先順位が適用されます。

強行的な国際移転契約または文書；
当該サービスについて両当事者が明示的に署名したデータ処理条件；
本データ処理条件；
適用される提案；及び
クライアント基本規約。

18. 期間

本データ処理条件は、nuaxia が契約に基づき処理者または副処理者としてクライアント個人データを処理する限り適用されます。

守秘義務、セキュリティ、返還および削除、監査ならびに責任に関する規定は、nuaxia が該当するクライアント個人データを保持する限り存続します。

言語

本書面は英語から翻訳されたものです。本翻訳版と英語版との間に不一致または矛盾がある場合、適用法令が別段の定めをする場合を除き、英語版が優先します。