データ処理に関する補足条項

最新バージョン V 4.1（現在）

完全なタイトル：VORTEXデータ処理に関する補足条項

文書 ID：ISMS-DPA-001

バージョン：4.1

発効日：2026年7月28日

分類：公開

規格の適合：GDPR、UK GDPR（DUAA 2025）、スイスFADP（2023）、カナダPIPEDA/ケベック州法25、台湾PDPA（2025）、日本APPI、オーストラリアプライバシー法1988（2024）。EU AI法（規則 2024/1689）、ニュージーランドプライバシー法2020 + 生体認証コード2025、ISO/IEC 27701:2025、ISO/IEC 27018:2025、ISO/IEC 27017:2015、ISO/IEC 27001:2022

1.当事者、役割、および範囲

このデータ処理に関する補足条項（「DPA」）は、EUAセクション5に従って、参照によりVORTEXエンドユーザー規約v2.1（「EUA」）に組み込まれるものとします。個人データの処理および保護に関連するすべての事項について、本DPAはEUAに優先します（EUAセクション9.8、優先順位に従います）。

データ管理者：処理の目的と手段を決定するVORTEXのお客様（EUAで定義される「ユーザー」）。

データ処理者：VORTEX VSaaSサービスの提供者であるVIVOTEK Inc.（台湾（中華民国）新北市中和区連城路192号6階、郵便番号235）。

VIVOTEKは、データ管理者の文書による指示にのみ基づいて個人データを処理します。VIVOTEKが自らの正当な目的（請求、アカウント管理、匿名化された分析）のために個人データを処理する範囲において、VIVOTEKは独立したデータ管理者として機能します。これらの目的は、VIVOTEKプライバシーポリシー（VIV-ISP-PL01）に開示されています。

1.1適用される規制

本DPAは以下へのコンプライアンスを保証します：EU GDPR（採択されている場合はDigital Omnibusを含む）、UK GDPR（DUAA 2025）、スイス連邦データ保護法（FADP、2023年改訂）、カナダPIPEDAおよびケベック州法第25号、台湾PDPA（2025年改正、PDPC）、日本APPI、オーストラリア1988年プライバシー法（2024年改正）、ニュージーランド2020年プライバシー法および2025年生体認証処理プライバシーコード、ならびにISO/IEC 27701:2025、27018:2025、27017:2015、27001:2022。

2.データ管理者の責任

データ管理者は、すべての監視活動の適法性および妥当性に対する主要な責任を負います。データ管理者は、以下の事項を表明し、保証します。

1. 各処理カテゴリに対して有効な法的根拠を有し、必要に応じてDPIAを実施する責任を負います。
2. ビデオ監視に適用されるすべての通知、標識、および透明性の要件を遵守するものとします。
3. 使用可能なオプション（付属書A、セクションA.2）からクラウドデータセンターを選択し、カメラ/NVRが設置されている場所と一致するDC地域を選択するというVIVOTEKの推奨事項を考慮し、その選択がデータ保護に与える影響について責任を負います。オンボーディング中に選択されると、DCの割り当ては固定されます。管理者がAI顔認識をサブスクライブする場合、管理者は追加で以下を保証します。（i）第9条第2項に基づく有効な法的根拠（明示的な同意、重大な公共の利益、または法的請求）を有すること。（ii）顔認識に特化したDPIAを完了していること。（iii）リアルタイムのエッジ検出において、管理者が単独の管理者であり、VIVOTEKはデータ処理者として行動しないこと。（iv）該当する場合、EU AI法の展開者の義務を遵守すること。（v）英国での展開においては、監視カメラ実施基準（2012年自由保護法第33条第5項）、顔認識技術に関するICOガイダンスに適切な注意を払い、生体認証処理に関するDPA 2018第10条および別表1の条件を満たしていること。（vi）ホワイトリスト/ブロックリスト機能を使用する場合、管理者はウォッチリストのエントリーが厳密に必要かつ比例しており、定期的に見直され、不要になった場合は削除されることを保証すること。
4. 適用される保管制限の原則（例：GDPR第5条第1項（e））に準拠して、クラウドアーカイブの保持を管理する責任があります。データ管理者は、クラウドアーカイブデータの保持期間を決定し、本来の目的のために不要になったアーカイブコンテンツを削除する責任を負います。
5. データ主体の管轄外からコンテンツにアクセスする場合（例：米国に本社を置く管理者がEUサイトのカメラを閲覧する場合）、そのアクセスが制限付き転送に該当するかどうかを評価し、独自のアクセスに対する適切なメカニズムを実装しています。
6. セクション9に定義される禁止された用途のいずれにもVORTEXを使用してはなりません。
7. VORTEXのアドオン機能（AI顔認識を含む）のサブスクリプションは、第28条（3）（a）の目的における文書化された処理指示を構成します。AI顔認識において、VIVOTEKは以下のデータ処理者として機能します。（i）クラウドベースのプロファイル管理（カメラ間のホワイトリスト/ブロックリストの同期）、および（ii）AI Hubを介した検索後のベクトル処理（転送 2）。エッジベースのリアルタイム検出（顔検出、照合、およびアクセス制御の決定）は、コントローラーのカメラハードウェアで実行されます。ただし、プロファイルデータ（生体認証テンプレートおよび関連するメタデータ）は、一元化されたホワイトリスト/ブロックリスト管理のために、コントローラーが選択したクラウドDCにアップロードされます。このクラウド処理は転送1の対象となります。
8. 処理指示は、適用されるデータ保護法に準拠するものとします。VIVOTEKは、コンプライアンスに違反する指示から生じる違反について責任を負いません。VIVOTEKは、指示が適用される法律を侵害していると考える場合、データ管理者に速やかに通知し、指示が撤回されるか合法であることが確認されるまで、影響を受けるデータの処理を一時停止することがあります。
9. VIVOTEKが従うべき欧州連合またはその加盟国の法律によって個人データを処理することが義務付けられている場合、その法律が公共の利益の重要な理由によりそのような通知を禁止していない限り、VIVOTEKは処理の前にデータ管理者にその法的要件を通知するものとします。
10. 管轄区域固有の義務（PIPEDAの透明性通知、ケベック州のPIA、ニュージーランドの生体認証コード、オーストラリアの法定不法行為の認識、台湾のPDPC通知、スイスのFADP要件）については、付属書Dに詳述されています。

3.処理の説明

VORTEXは、クラウドベースのVideo Surveillance as a Service（VSaaS）プラットフォームです。監視コンテンツデータは、データ管理者の機器（カメラのSDカード、NVR）にローカルに保存されるとともに、データ管理者が選択した地域データセンターにあるVIVOTEKのクラウドインフラストラクチャに保存されます。

データ管理者は、オンボーディング時にクラウドデータセンターを選択します。VIVOTEKは、データ管理者のカメラおよびNVRが物理的に配置されている場所（例：EUベースのカメラの場合はフランクフルト）と一致するDC地域を選択することをお勧めします。詳細なストレージアーキテクチャ、データセンターのオプション、クラウドサービス、リモートアクセスパス（直接ストリーミングとリレーサービス）、AI/分析処理、ライセンス階層プロファイル、保持期間、およびデータカテゴリは、付属書Aに記載されています。

VIVOTEKは、オプションの埋め込み/ベクトルデータ処理サービスも提供しており、これを介してAI生成の埋め込みと車両識別番号（VIN）がベクトル類似性検索のためにクラウドデータベースサービスプロバイダー（米国）に転送されます。詳細は付属書A、セクションA.5に記載されています。

処理は以下の目的のみに行われます：監視コンテンツのクラウドホスティングおよびストレージ、セキュリティ監視およびイベント検出、AI分析（有効な場合）、サービスの運用、保守、およびテクニカルサポート、ならびにコンテンツの検索、再生、およびエクスポート。商業的プロファイリング、行動分析、または広告のための処理を行いません。マーケティング目的での使用への同意は、VORTEXを提供する条件とはならないものとします。VIVOTEKは、サービスの向上、セキュリティ調査、および統計の目的で、個人が特定されない、または特定できない完全に匿名化された集計データ（GDPR前文26の基準）を作成および使用する場合があります。このようなデータはもはや個人データではなく、本DPAの対象外となります。生体認証テンプレート、顔認識特徴ベクトル、および顔画像から派生したエンベディング（付属書A、セクションA.5およびA.9）は、この除外の対象外であり、このような匿名化されたデータセットの作成に使用してはならないものとします。

4.復処理者管理

VIVOTEKは、一般的な書面による承認モデルの下で、データ管理者に代わって個人データを処理するために復処理者を起用する場合があります。現在の復処理者リストは付属書Cに記載されており、https://www.vivotek.com/ja/user_agreement/data_processing_addendum?tab=復処理者リストで維持されています。

1. VIVOTEKは、新しい復処理者を起用する場合、または既存の復処理者を変更する場合、その少なくとも30日前に通知するものとします。
2. データ管理者は、15日以内に異議を申し立てることができます。解決できない場合、データ管理者は違約金なしで契約を解除することができます。
3. VIVOTEKは、書面による契約によって、すべての復処理者に同等のデータ保護義務を課すものとします。
4. VIVOTEKは、セクション17に従い、復処理者の不履行に対して責任を負うものとします。
5. 付属書Cは、復処理者の変更を反映するためにVIVOTEKによって更新される場合があります。このような更新には、上記の通知および異議申し立てメカニズムが適用されます。

5.セキュリティ対策

VIVOTEKは、個人データを偶発的または違法な破壊、紛失、改ざん、または不正な開示やアクセスから保護するために、適切な技術的および組織的措置を講じます。主な確約事項には、保存時および転送時の暗号化、多要素認証、ロールベースのアクセス制御、包括的な監査ログの記録、定期的な脆弱性スキャンとペネトレーションテスト、マルチテナントデータの分離、従業員へのトレーニングと守秘義務、および第三者認証（ISO 27001、ISO 27701、ISO 27018、IEC 62443-4-1）が含まれます。具体的な対策は付属書Bに詳述されています。

VIVOTEKは、セキュリティ対策の改善を反映するために付属書Bを更新する場合があります。更新により、全体的な保護レベルが低下することはありません。

6.データ侵害の通知

1. ベースライン：VIVOTEKは、侵害を確認してから72時間以内にデータ管理者に通知するものとします。VIVOTEKの内部手続きは、このコミットメントを上回り、24時間以内の通知を目標としています。
2. 通知には、性質、範囲、結果、講じられた措置、および指定された連絡先が含まれます。
3. VIVOTEKは、すべての違反の文書化された記録を保持し、フォレンジック証拠を少なくとも90日間保存するものとします。
4. VIVOTEKは、監督機関およびデータ主体に対するデータ管理者の通知義務に協力するものとします。
5. 管轄区域に固有のデータ侵害通知のタイムラインとしきい値（台湾PDPAの24時間、日本APPIの3～5日間の予備通知、カナダPIPEDA RROSH、スイスFADPの「高リスク」しきい値、英国DUAAを含みます）は、付属書Dに記載されています。
6. 製品サイバーセキュリティ法に基づくVIVOTEKによる規制当局への報告（EUAセクション5A.6に基づく、ENISAおよび各国のCSIRTへのサイバーレジリエンス法第14～16条の報告を含みます）は、このセクション6に基づきデータ管理者に対して負う通知義務とは別個のものであり、当該通知義務を変更し、またはその履行時期を前倒しするものではありません。

7.データ主体の権利

VIVOTEKは、データ管理者がデータ主体の権利に関する義務を履行するのを支援するものとします。15日以内の回答。データ管理者は、VIVOTEKに対応を指示する前に、データ主体の身元を確認する責任があります。データ主体の権利要求（DSR）が明らかに根拠のない、または過剰な場合（GDPR第12条第5項）、VIVOTEKは、データ管理者との合意を条件として、管理コストに対する合理的な手数料を請求するか、対応を拒否することができます。データ管理者による身元確認を条件とした、映像固有のDSR（映像の特定、エクスポート、削除）のための技術的メカニズム。VIVOTEKは、法的に要求されない限り、データ管理者の承認なしに直接のDSR（データ主体の権利要求）に応答しないものとします。標準のセルフサービスツールは無料。手作業による処理は、事前の見積もりに基づく専門サービス料金で行われます。

8.国際データ転送

国境を越えたデータ転送のプロファイルは、データ管理者が選択したクラウドデータセンターおよびサービス構成によって異なります。

1. フランクフルトを選択したEU/EEAのデータ管理者：クラウドコンテンツはEU内に保持されます。国境を越えたデータ転送の要素は以下の通りです。（a）US-West-2アプリケーションプラットフォームを介した運用データ。（b）米国のクラウドデータベースサービスプロバイダーへの埋め込み/ベクトル（別表1（AI Hubセクション）の対象）。（c）NATが無効な場合のUS-West-2を介したリレーサービス（一時的、データ保持ゼロ）。（d）VIVOTEK台湾スタッフのリモートアクセス。これらの要素は、EU SCCモジュール2（別表1）の対象となります。
2. 非EUのDCを選択したEU/EEAデータ管理者：すべてのクラウドコンテンツは国境を越えた転送の対象となります。完全なSCCの適用対象となります。VIVOTEKは、カメラ/NVRの場所と一致するDCを選択することを強くお勧めします。
3. 英国のデータ管理者：英国国際データ転送文書（別表2）が適用され、DUAA 2025の「実質的に低くない」基準が反映されています。
4. スイスのデータ管理者：スイスの補足条項付きEU SCCが適用されます（別表3、スイス国際データ転送文書）。FDPICは管轄の監督機関です。スイスのデータ主体は、スイスの裁判所に請求を提起することができます。米国の受領者がスイス・米国データプライバシーフレームワーク（Swiss-US Data Privacy Framework）に基づく認証を受けている場合、当該認証はデータ転送の追加的な法的根拠となります。スイス連邦データ保護法（FADP）第16条および第17条の要件は、標準契約条項（SCC）および補完的措置によって満たされます。
5. 日本のデータ管理者：個人情報保護法（APPI）第28条の契約上の保護措置が適用されます。東京のコンテンツは日本国内に留まります。
6. オーストラリア / ニュージーランドのデータ管理者：APP 8/IPP 12の遵守。シドニーのコンテンツはオーストラリア国内に保持されます。
7. カナダのデータ管理者：PIPEDA説明責任モデル — SCCは不要です。このDPAは、PIPEDA原則4.1.3に基づく契約上の保護措置として機能します。転送前にケベック州法第25号に基づくPIAが必要です。
8. 米国/中南米のデータ管理者：US-West-2上のすべてのデータ。米国については、国境を越えた転送メカニズムは必要ありません。
9. リレーサービス：NATトラバーサルが使用できない場合、ビデオ/オーディオストリームはAWS US-West-2にあるVIVOTEKのリレーサーバーを経由します。これは一時的なものです（永続的保存はゼロ）。データ管理者はNATを有効にすることでリレーを回避できます。現在、リレーはUS-West-2のみです。地域リレーの展開が計画されています。リレー転送は、データ管理者の該当する地域別表（1、2、または3）の対象となります。
10. 管理者の国境を越えたアクセス：データ管理者のユーザーがデータ主体の管轄外からコンテンツにアクセスする場合（EUのカメラから米国のブラウザへの直接ストリーミングなど）、これは管理者自身の転送となります。VIVOTEKは、コンプライアンスをサポートするために、地域制限制御、RBAC、監査ログ、およびエクスポート制御を提供します。
11. 転送影響評価（TIA）：VIVOTEKは、米国の法的枠組み（FISAセクション702、CLOUD法、EO 14086）を評価するTIAを実施しました。TIAは、データ管理者の要求に応じて提供されます。
12. 補足措置の詳細は、付属書B、セクションB.11に記載されています。

9.禁止される使用およびデータ制限

9.1意図的な使用の禁止。データ管理者は、VORTEXを以下の目的で使用してはなりません。（a）特別なカテゴリのデータ属性に基づく体系的なプロファイリング、（b）従業員への通知なしの機密の職場監視、（c）有効な法的根拠および文書化されたDPIAなしの大量の生体識別、（d）書面による許可なしの法執行機関向けのリアルタイム顔認識、（e）ソーシャルスコアリング、差別のための感情分析、または予測的ポリシング、（f）必要な場合の親/保護者の同意なしの未成年者の生体データの処理、（g）EU AI法第5条（1）（h）の例外の下で明示的に認可され、署名された処理指示書に文書化されている場合を除く、公共のアクセス可能なスペースでのリアルタイムのリモート生体識別、（h）人種、民族、宗教、性別、障害、またはその他の保護された特性に基づく差別的なアクセス制御のための顔認識ホワイトリスト/ブロックリスト機能の使用

9.2偶発的なキャプチャ。両当事者は、ビデオ監視が本質的に特別カテゴリデータの偶発的なキャプチャを伴うことを認識するものとします。VIVOTEKの処理は、保存、送信、トランスコード、インデックス作成、および表示に限定されます。VIVOTEKは、特別カテゴリの属性に基づいて分類またはプロファイリングを行いません。データ管理者は、DPIA要件の評価について単独で責任を負うものとします。

9.3データタイプの制限。 データ管理者は、監視サービスに無関係なデータ（医療記録、犯罪記録、無関係な財務記録、人事ファイル、秘匿特権データ）をVORTEXに送信してはなりません。そのようなデータが本条項に違反して送信された場合、VIVOTEKは責任を負わず、データ管理者はセクション18に従ってVIVOTEKを補償するものとします。

10.プライバシー・バイ・デザインおよび開示管理

• デフォルト設定は最高レベルのプライバシーを提供します（顔認識はデフォルトで無効になっています）。

• VIVOTEKは、法律で要求されない限り、データ管理者の許可なしに個人データを第三者に開示することはありません。
• 政府からのアクセス要請：VIVOTEKは、（a）禁止されていない限りデータ管理者に速やかに通知し、（b）合理的な場合は要請に異議を唱え、（c）必要最小限のみを開示するものとします。
• VIVOTEKは、第三者へのすべてのPII開示の登録簿を維持し、データ管理者の要求に応じて使用できるようにするものとします。
• VIVOTEKは、共同責任の文書、コンプライアンスサポート情報、およびプライバシー保護の構成ガイダンスを提供するものとします。

11.期間、終了、およびデータの削除

このDPAは、EUAが有効である限り有効です。データの取得：契約終了後30日間は無料でデータエクスポートが可能です。削除：さらに30日以内（合計60日）。リクエストに応じた削除の書面による証明。非標準のエクスポートフォーマットには、合理的な手数料が発生する場合があります。匿名化データの除外（セクション3）およびセクション2、6、14、17、18は、本契約の終了後も効力を有します。

12.監査および検査

30日前の事前の書面による通知をもって、12か月の期間につき1回の監査。第三者監査機関：機密保持契約（NDA）が必要、競合他社は不可、営業時間内。VIVOTEKは、ISO 27001認証、ISO 27701/27018認証（使用可能な場合）、またはSOC 2 Type IIレポートを通じて要求を満たす場合があります。VIVOTEKは、適用される法律に基づく規制当局の検査に協力するものとします。

13.DPIAへの協力

VIVOTEKは、DPIA、特に公共/半公共の監視、生体認証処理、および大規模な監視について合理的な支援を提供するものとします。データ管理者は、DPIAの主要な責任を保持します。

14.機密保持

すべての担当者は機密保持義務に拘束されます。業務上知る必要がある場合のみのアクセス。プライバシーに関する年次トレーニング。相互の機密保持：データ管理者は、VIVOTEKのセキュリティ情報を機密として扱うものとします。契約終了後も3年間効力を有するものとします。

15.苦情処理

VIVOTEKは、容易に問い合わせることができる苦情窓口を設け、30日以内に受領を確認し、不当な遅延なく回答するものとします。

16.準拠法

16.1 データ管理者が欧州連合、英国、スイス、日本、オーストラリア、ニュージーランド、またはカナダに所在する場合、本DPAは、抵触法の規定に関わらず、アイルランドの法律に準拠します。

16.2 データ管理者が台湾（中華民国）に所在する場合、本DPAは中華民国（台湾）の法律に準拠します。

16.3 その他のすべての管轄区域において、本DPAは、法の抵触に関する規定にかかわらず、米国カリフォルニア州法に準拠します。

16.4 適用される別表（別表1、2、または3）が、その別表の範囲内の事項について異なる準拠法を指定している場合、それらの事項については当該別表の準拠法の規定が優先されます。

16.5 このDPAから生じる紛争は、EUAの紛争解決条項（セクション9.4）に従うものとします。本DPAがEUAの終了後も効力を有する場合（データ削除期間中）、紛争は上記で指定された準拠法に対応する裁判所によって解決されるものとします。

16.6 本セクションは、データ管理者の管轄区域において適用される必須のデータ保護法を妨げるものではありません。本項のいかなる規定も、適用される法律に基づくデータ主体または監督機関の権利を制限するものではありません。

17.責任の制限

17.1一般的な限度額。セクション17.2からセクション17.4に規定されている場合を除き、本DPAに起因または関連する各当事者の総責任額は、責任の原因となった事象の直前12か月間にVORTEXに対してデータ管理者が支払った手数料の総額を超えないものとします。

17.2データ保護に関する請求に対する補償限度額の引き上げ。本DPAに対するVIVOTEKの違反、付属書Bに記載されたセキュリティ対策のVIVOTEKによる不履行、またはVIVOTEKが引き起こした個人データ侵害に起因する請求について、VIVOTEKの総責任額は、セクション17.1に記載される金額の2倍を超えないものとします。セクション18に基づくVIVOTEKの補償義務は、本セクション17.2に従うものとします。

17.3行政罰金。各当事者は、自身の侵害に関して管轄の監督当局または規制当局から課された行政罰金に対して、単独で責任を負うものとします。当事者は、当該罰金が他方の当事者による本DPAの違反に直接的かつ主として起因する範囲においてのみ、当該罰金に相当する金額を他方の当事者から回収することができます。VIVOTEKからのそのような回収は、セクション17.2の限度の対象となります。セクション18に基づくデータ管理者の補償義務（違法な指示、準拠しない展開、および禁止された使用に対するものを含みます）は、本セクション17の限度の対象にはなりません。

17.4限度なき責任。本セクション17のいかなる規定も、故意の不法行為もしくは重過失、詐欺、死亡もしくは人身傷害、または適用される別表（EU SCC）の12条項に基づくデータ主体に対する責任を含む、適用される法律の下で制限または除外できない責任を制限または除外するものではありません。

17.5排他的チャネリング。ユーザー個人データ（EUAで定義）への不正アクセスまたは不正開示から生じる請求は、本セクション17およびセクション18を含む本DPAによってのみ規律されるものとし、本セクション17における上限を回避する目的で、EUAまたは本DPAに基づく守秘義務違反として特徴づけられてはならないものとします。

17.6 損害賠償の除外。いずれの当事者も、間接的、付随的、特別、結果的、または懲罰的損害について責任を負わないものとします。

18.補償

データ管理者は、違法な指示、準拠しない展開、禁止された使用、または適用される法律の違反に起因する請求からVIVOTEKを補償します。VIVOTEKは、以下から生じる請求についてデータ管理者を補償します。VIVOTEKによる本DPAの違反、付属書Bのセキュリティ対策の実施の不履行、またはVIVOTEKの過失もしくは故意の違法行為に起因する不正アクセス/開示。迅速な通知、防御の合理的な管理、および協力を条件とします。

19.不可抗力

いずれの当事者も、合理的な管理が及ばない事由による不履行について責任を負いません。影響を受ける当事者は速やかに通知するものとします。解約の60日トリガー。

20.指定プライバシー連絡窓口

VIVOTEKは、VORTEXデータ管理者のための主要なプライバシー連絡窓口としてIT ISMSマネージャーを指定します。

電子メール：privacy@vivotek.com

住所： 台湾（中華民国）235 新北市中和区連城路192号6階

文書管理および付属書の更新

本DPAの本文は、毎年、または重大な規制の変更があった場合に見直されるものとします。VIVOTEKは、処理活動、技術的措置、復処理者、または規制要件の変更を反映するために、付属書AからDを更新する場合があります。VIVOTEKは、いかなる付属書の重大な変更についても、少なくとも30日前に通知するものとします。各付属書の最新バージョンは、https://www.vivotek.com/ja/user_agreement/data_processing_addendumで管理されています。

（DPAの付属書および関連する別表は、ご要望に応じてご提供いたします）

DPAに関する文書またはお問い合わせについては、当社までご連絡ください。VIVOTEK

次回のレビュー：2027年7月、または重要な規制変更があった場合。

復処理者リスト

現行バージョン — 最終更新日：2026年7月28日（VORTEXデータ処理に関する補足条項v4.1の付属書Cに従って維持されます）

このページには、VORTEXサービスに関連してデータ管理者（Data Controller）に代わりユーザーデータに含まれる個人データを処理するために、データ処理者（Data Processor）としてVIVOTEK Inc.が関与する復処理者のリストが記載されています。このリストは、VORTEXデータ処理に関する補足条項（ https://www.vivotek.com/ja/user_agreement/data_processing_addendumで入手可能）の付属書Cを構成し、そのセクション4（復処理者の管理）に準拠します。VIVOTEKがデータ管理者として機能するサービスデータの受領者は、VORTEXプライバシーポリシー（ https://www.vivotek.com/ja/user_agreement/vortex?tab=プライバシーポリシーで入手可能）に別途記載されています。

現在の復処理者

台湾（中華民国）に所在するVIVOTEKのエンジニアリングおよびサポートの担当者は、トラブルシューティング、メンテナンス、およびサポートのために、暗号化されたVPNを介して任意の地域のデータセンターの個人データにアクセスする場合があります。このアクセスは、RBAC、監査ログ、MFA、および機密保持義務の対象となります。

高度なAIアドオン（データ処理に関する補足条項、付属書A、セクションA.11）：推論はデータ管理者のカメラハードウェア（エッジ）で実行され、上記に記載されたもの以外の復処理者は関与しません。将来の第三者のAIモデルプロバイダーとの契約は、発効する前にセクション4の通知および異議申し立てメカニズム（30日前の通知）の対象となります。

更新、通知、および異議申し立てメカニズム

データ処理に関する補足条項のセクション4に従い、VIVOTEKは一般的な書面による承認モデルの下で復処理者を関与させることができ、このリストは復処理者の変更を反映するために更新される場合があります。このような更新は、以下のメカニズムに従うものとします。

• VIVOTEKは、新しい復処理者を起用する前、または既存の復処理者を交代させる前に、少なくとも30日前までに通知を提供するものとします。
• データ管理者は、15日以内に異議を申し立てることができます。解決できない場合、データ管理者は違約金なしで契約を解除することができます。
• VIVOTEKは、書面による契約によって、すべての復処理者に同等のデータ保護義務を課すものとします。
• VIVOTEKは、データ処理に関する補足条項のセクション17に従い、復処理者の不履行に対して責任を負うものとします。

上記の復処理者への国際転送は、データ処理に関する補足条項（セクション7および付属書B）およびその転送別表に定められた転送メカニズムに基づいて行われます。

本付属書の効力発生日：2026年4月29日。最終更新日：2026年7月28日。

このリストに関するご質問については、DSARを提出し、Privacy@vivotek.comまでお問い合わせください。