データ処理契約

版 2026-11-08・最終更新 2026年11月8日

第1条（この契約について）

1.1 このデータ処理契約（以下「本契約」）は、Studio Hedera（個人事業、事業主：IVY COMILANG VENENOSO、長野県飯山市豊田5081-1。以下「当方」）と、当方の利用規約に基づいてBantoを使う事業者（以下「顧客」）との間の契約です。

1.2 本契約は利用規約の一部です。顧客が利用規約に同意したとき（Bantoで組織を作成したとき、または申込書を締結したとき）に効力を生じます。別の署名は要りません。顧客が署名した書面を必要とする場合は、依頼に応じてこの版に署名します。

1.3 文書の間で内容が食い違うときは、(a) 第14条で適用されるSCCと英国補遺がほかのすべてに優先し、(b) 個人データの保護については本契約が利用規約に優先し、(c) それ以外のこと（サービスの内容、料金、期間、責任の制限を含みます）は利用規約が優先します。

1.4 日本国外に拠点を置く顧客には英語版の本契約が正本となり、日本語版に優先します。日本国内に拠点を置く顧客には日本語版が正本となり、英語版に優先します。SCCと英国補遺は、その公式の英語の文言で適用します。

第2条（定義）

2.1 「管理者」「処理者」「データ主体」「個人データ」「処理」「監督機関」は、GDPRの意味によります。ほかのデータ保護法令が同じ意味の言葉を使う場合（たとえばCCPAの「事業者（business）」「サービス提供者（service provider）」、個人情報保護法の「個人情報取扱事業者」「委託」）も、同じように扱います。

2.2 本契約で次の言葉は、次の意味です。

• 「顧客個人データ」：顧客、その利用者または宿泊者がBantoに入力した個人データ、またはBantoが顧客の接続したサービスから受け取った個人データで、当方がBantoを提供するために顧客のために処理するもの。第3.3項の情報は含みません。
• 「データ保護法令」：利用規約に基づく顧客個人データの処理に適用されるデータ保護の法令。適用される場合には、EU一般データ保護規則（規則(EU) 2016/679。以下「GDPR」）、英国法の一部となったGDPRと英国2018年データ保護法（以下「英国GDPR」）、スイス連邦データ保護法（以下「FADP」）、日本の個人情報の保護に関する法律（以下「個人情報保護法」）、カリフォルニア州消費者プライバシー法（改正を含みます。以下「CCPA」）などの米国の州のプライバシー法を含みます。
• 「個人データ侵害」：当方または当方の委託先が処理している顧客個人データの、偶発的または違法な破壊、紛失、改変、無権限の開示またはアクセスにつながる安全の侵害。
• 「委託先」：当方が使う第三者で、顧客個人データを処理するもの。顧客が自ら接続し、または選んだサービスは委託先ではありません（第8.6項）。
• 「SCC」：2021年6月4日の欧州委員会実施決定(EU) 2021/914の附属書の標準契約条項。
• 「英国補遺」：英国情報コミッショナーが2018年データ保護法119A条に基づき発行した、EU標準契約条項への国際データ移転補遺（版B1.0、2022年3月21日施行）。

第3条（役割）

3.1 顧客は顧客個人データの管理者、または自らの管理者のために処理する処理者（たとえば物件の所有者のために運営する管理会社）です。当方は顧客の処理者です。CCPAでは顧客のサービス提供者です。個人情報保護法では、顧客が当方に個人データの取扱いを委託します（27条5項1号）。

3.2 顧客が処理者である場合、顧客は、その管理者が顧客の指示、当方の起用と当方の委託先を承認していることを表明します。当方の窓口は顧客だけとし、顧客は本契約に基づく情報と通知をその管理者に伝えます。当方はその管理者に対して直接の義務を負いません。ただし、SCCが適用される場合のSCC上の義務は除きます。

3.3 当方は、次の範囲に限り、処理者ではなく独立した管理者として扱います。(a) 顧客の利用者の氏名・連絡先、ログインの記録、サポートのやり取り、請求と支払いの記録、サービスの利用の記録。(b) Bantoとその利用者の安全を守るため（不正利用や攻撃の発見と停止など）、顧客への請求のため、または当方に適用される法令を守るために厳密に必要な顧客個人データの処理。当方はこれらをプライバシーポリシーとデータ保護法令に従って扱い、ほかの目的には使いません。

3.4 顧客は当方に、個人も顧客も特定できない、Bantoの利用に関する集計した統計情報（扱った予約の件数、機能の使われ方、応答時間など）の作成を指示します。当方はこの統計情報を、Bantoの運営・安全の確保・改善に使えます。当方はこれから個人を特定しようとしません。この統計情報は顧客個人データではありません。

3.5 当方は、顧客個人データを販売せず、広告に使わず、当方自身の目的のために個人のプロファイルを作ることにも使いません。

第4条（顧客の責任）

4.1 顧客は、次のことに責任を負います。

1. 処理の法的根拠を持ち、宿泊者・スタッフその他の個人に、データ保護法令が求める情報（保存場所と当方の委託先を含みます）を知らせること。Bantoは宿泊者に標準の「宿泊者向けプライバシーのご案内」を表示します。顧客は、それが自らに適用される法令に足りるかを確かめ、自らの案内に必要なことを加えます。
2. 自らの指示、設定と接続するサービスがデータ保護法令に合っていることを確かめ、必要な同意を得ること。顧客が有効にする任意の機能（パスポートのAI確認や自動返信など）についても同じです。
3. 顧客と利用者が入力・接続する情報の正確さと品質に責任を持ち、必要な情報だけを集めること。特別な種類の個人データ（健康、宗教など）は、必要かつ適法な場合（宿泊者が伝える食事や身体の配慮など）を除き、Bantoに入れないこと。
4. 自らの利用者、その権限とログイン情報、自らの端末と接続するサービスの安全を管理すること。
5. 宿泊者名簿、警察その他の機関への届出、地方税など、宿泊事業者としての自らの法的義務を果たし、自らの法令が求める保存期間を決めること（第12.4項）。

4.2 顧客は、顧客の第4.1項の違反によって当方に生じた損害、費用（合理的な弁護士費用を含みます）と制裁金を、その違反が原因である範囲で当方に賠償します。

第5条（指示）

5.1 当方は、他国への移転を含め、文書化された顧客の指示に基づいてのみ顧客個人データを処理します。ただし、当方に適用される法令が別の処理を求める場合はこの限りでなく、その場合は、その法令が禁じない限り、処理の前に顧客に知らせます。

5.2 顧客の指示は、利用規約、本契約、および顧客によるBantoの利用と設定（利用者がサービスで行う操作と、顧客が接続するサービスを含みます）です。これ以外の指示は書面で合意したものに限り、料金がかかることがあります。

5.3 指示がデータ保護法令に違反すると当方が考える場合、当方は顧客に知らせます。当方はその指示に従う義務を負わず、顧客が指示を確認または変更するまで、関係する処理を止めることができます。当方は法的な助言をせず、顧客の指示の適法性を調べる義務も負いません。

第6条（秘密保持）

6.1 当方が顧客個人データの処理を認める者は、すべて契約または法令による守秘義務を負います。

6.2 当方が顧客個人データにアクセスするのは、サービスの提供、不具合の修正、顧客から依頼されたサポート、サービスの安全の確保、または法令の遵守に必要な範囲に限ります。

第7条（安全管理措置）

7.1 当方は、GDPR 32条と個人情報保護法23条が求めるとおり、リスクに見合った別紙2の技術的・組織的な措置を講じます。

7.2 当方は、全体としての保護の水準を下げない限り、これらの措置を変更できます。

7.3 顧客は、自らが管理するもの、すなわち利用者とそのログイン情報、権限、端末と設定、接続するサービス、Bantoから書き出したデータの安全に責任を負います。

第8条（委託先）

8.1 顧客は、当方が委託先を使うことを一般的に書面で承認します。現在の一覧は別紙3のとおりです。

8.2 当方は、各委託先と、その提供するサービスに応じて本契約と同等以上の保護を与えるデータ保護の義務を定めた書面の契約を結びます。当方は、データ保護法令が求めるとおり、第17条の範囲で、委託先によるその義務の履行について顧客に責任を負います。

8.3 当方は、新しい委託先が顧客個人データの処理を始める14日以上前に、別紙3を更新し、顧客の組織のオーナーにメールで知らせます。安全上の理由や委託先のサービス終了などで急いで交代する必要がある場合は、それより早く交代し、できるだけ早く知らせます。

8.4 顧客は、その通知の期間内に、データ保護上の合理的な理由により書面で異議を述べることができます。当方は誠実に協議し、新しい委託先を使わない設定などの代わりの方法を示すことがあります。解決できない場合、顧客がとれる手段は、変更の効力が生じる前に書面で通知して、影響を受けるサービスまたは契約を終了することだけです。この場合、中途解約の料金はかかりません。支払い済みの料金は、利用規約に定めがある場合を除き返金しません。通知の期間内に異議がなければ、顧客は変更を承諾したものとします。

8.5 依頼があれば、委託先との契約のうちデータ保護の条項の写しまたは要約を顧客に渡します。商業上の情報は除くことがあります。

8.6 顧客が自ら接続し、または選ぶサービス（予約システム〈PMS〉、チャネルマネージャーや予約サイト、スマートロック、清掃・運営のサービス、LINEなど）は当方の委託先ではありません。これらは、顧客とそれぞれの事業者との契約に基づき、顧客の指示で情報を受け取るもので、当方は責任を負いません。利用者自身の端末の機能（スマートフォンの音声認識など）は、利用者自身の規約に基づき端末のメーカーが提供します。

第9条（本人からの請求）

9.1 Bantoには、顧客が本人からの請求に応えるための機能があります。宿泊者はオンラインチェックインの間に自分の情報を訂正でき、マネージャーは宿泊者名簿を書き出し、宿泊者の個人データを消去でき、スタッフは自分のアカウントを削除できます。

9.2 本人から顧客個人データについて直接連絡があった場合、当方は本人に顧客へ問い合わせるよう伝え、法令が求める場合を除き、自ら請求には応じません。

9.3 これらの機能で足りない場合、当方は処理の性質を考慮し、適切な技術的・組織的な措置で顧客に協力します。機能を超える協力は、当方の本契約の違反から生じた請求を除き、事前に顧客に伝える合理的な費用を顧客の負担とします。

第10条（影響評価と事前協議）

10.1 当方は、顧客がデータ保護影響評価と監督機関との事前協議に合理的に必要とする当方の処理についての情報を、主に本契約、その別紙と質問への書面の回答によって提供します。それを超える協力は、事前に顧客に伝える合理的な費用を顧客の負担とします。

第11条（個人データ侵害）

11.1 当方は、個人データ侵害を知った後、遅滞なく顧客に知らせます。

11.2 通知には、その時点で分かっている範囲で、侵害の内容、関係する個人と記録の種類とおおよその数、起こりうる結果、講じた措置または講じる予定の措置、連絡先を含めます。残りの情報は、分かり次第知らせます。

11.3 当方は、通知を顧客の組織のオーナーと、顧客が当方に伝えたプライバシーの担当者にメールで送ります。顧客はこれらの宛先を最新に保ちます。

11.4 当方は、侵害を封じ込め、その影響を小さくするために合理的な措置をとり、データ保護法令が顧客に求める監督機関と本人への通知に協力します。個人情報保護法については、当方の通知は26条1項ただし書に基づく委託先からの通知であり、顧客はこれをもとに個人情報保護委員会への報告と本人への通知を行います。

11.5 当方の通知と協力は、過失や責任を認めるものではありません。法令が当方自身に通知を求める場合を除き、監督機関や本人に通知するかは顧客が決めます。

11.6 顧客個人データの安全を損なわない未遂の試みや出来事（防いだログインの試みやネットワークの走査など）は、個人データ侵害ではありません。

第12条（削除と返還）

12.1 契約の間、顧客はBantoの機能でデータを書き出し、削除できます。

12.2 顧客は、残したいデータを契約の終了前に書き出してください。契約の終了後30日以内に顧客が書面で依頼した場合、当方は顧客個人データを一般的な機械で読める形式（CSVやJSONなど）で1回、無料で書き出して渡します。これを返還の方法とします。

12.3 当方は、契約の終了後90日以内に顧客個人データをBantoから削除します。ただし、法令が保存を求める場合は、その目的と期間に限って保存し、本契約に従って保護します。バックアップの写しは、バックアップの期限とともに、さらに60日以内に消えます。委託先が保存する記録は、それぞれの期限で消えます（別紙3）。依頼があれば、削除したことを書面で確認します。

12.4 契約の間、Bantoは一部のデータを別紙1の期間の後に自動で削除します。この既定の期間は日本の法令に合わせたものです。顧客は、それが自らに適用される法令に合うかを確かめる責任を負い、別の期間や一時停止（訴訟などに備えた保存など）が必要なときは当方に知らせます。

第13条（情報の提供と監査）

13.1 当方は、本契約とGDPR 28条の遵守を示すために必要な情報として、本契約とその別紙、および顧客の合理的な質問（セキュリティの質問票など）への書面の回答を提供します。回答は年1回まで無料で、それを超える依頼は合理的な費用を顧客の負担とします。当方は、委託先の認証や監査報告書（Google CloudのISO/IEC 27001の認証やSOC 2の報告書など）も用いることができます。

13.2 顧客は、まず第13.1項の情報を用います。顧客または顧客が選ぶ独立した監査人による監査や立入りを含む検査は、次の場合に限り行います。(a) 監督機関または法令が求めるとき。(b) 顧客個人データに関わる個人データ侵害の後。(c) 第13.1項の情報では本契約の遵守を示すのに足りないとき、または違反をうかがわせる合理的な兆しがあるとき。

13.3 第13.2項の監査は、次の条件で行います。

1. 第13.2項(a)または(b)の場合を除き、12か月に1回まで。
2. 予定する範囲を示し、30日以上前に書面で通知すること。
3. 当方の営業時間内（日本時間）に、当方の業務を不当に妨げずに行い、足りる場合は遠隔で行うこと。
4. 書面の秘密保持のもとで行い、監査人は当方の競合事業者でないこと。
5. 当方による顧客のデータの処理に限り、ほかの顧客のデータや委託先の施設（各社の報告書で確認します）には及ばないこと。
6. 顧客は自らの費用を負担し、当方の合理的な費用（事前に伝える単価による当方の作業時間を含みます）を支払うこと。ただし、監査で当方の本契約の重大な違反が判明した場合を除きます。
7. 顧客は監査報告書の写しを当方に渡すこと。

13.4 SCCが適用される場合、SCC第8.9条の監査は、この第13条の方法で行います。

第14条（処理の場所と国際的な移転）

14.1 顧客個人データは米国に保存します（Google Cloud：データベースは米国の複数地域、ファイルは米国中部〈us-central1〉、毎日のバックアップも米国）。また、日本（当方と、Google Cloudの東京リージョンのサーバー関数）と、委託先が業務を行う場所（別紙3）でも処理します。

14.2 欧州経済領域（EEA）。当方は日本に拠点を置いており、欧州委員会は日本が十分な保護の水準を確保していると認定しています（欧州委員会実施決定(EU) 2019/419）。この決定に基づいてEEAから受け取る個人データについて、当方は個人情報保護委員会の補完的ルール（外国への再移転のルールを含みます）にも従います。EEAから当方への、または当方を通じた委託先への顧客個人データの移転が十分性認定で保護されない範囲では、SCCを適用し、参照により本契約に組み込みます。顧客が管理者の場合はモジュール2（管理者から処理者へ）、顧客が処理者の場合はモジュール3（処理者から処理者へ）とし、顧客をデータ輸出者、当方をデータ輸入者として、別紙4の選択によります。

14.3 英国。英国からの移転が英国の十分性の規則で保護されない範囲では、第14.2項のSCCを英国補遺で修正して適用し、英国補遺を別紙4の選択により参照で本契約に組み込みます。

14.4 スイス。スイスからの移転がスイスの十分性の認定で保護されない範囲では、第14.2項のSCCを別紙4のFADPのための調整を加えて適用します。

14.5 再移転。委託先が十分性の認定のない国で顧客個人データを処理する場合、当方は、SCC、または委託先が認証を受けている場合はEU・米国データプライバシーフレームワーク（その英国・スイスへの拡張を含みます）など、データ保護法令が認める移転の仕組みを整えます。

14.6 日本。個人情報保護法が適用される顧客について、顧客から当方への個人データの提供は27条5項1号の委託であり、そのため本人の同意は要りません。外国にある委託先が個人データを扱う場合、当方は、各委託先が当方との契約により個人情報保護委員会規則の基準に適合する体制を整備していることに基づいて提供し（28条1項）、その相当措置の継続的な実施を確保するために必要な措置（定期的な確認を含みます）を講じ（28条3項）、顧客が当方の監督（25条）と本人への回答に必要な情報（外国の名称、その国の個人情報の保護に関する制度、委託先の講じる措置）を顧客に提供します。外国の名称は別紙3のとおりです。米国には包括的な連邦のデータ保護法はなく、一部の州に独自の法律があります。

14.7 その他の国。ほかのデータ保護法令が移転の仕組みを求める場合は、その法令が求める調整を加えたSCC、または当方が示す、その法令が認める別の仕組みによります。

14.8 移転の仕組みが無効とされ、または置き換えられた場合、当方はほかの有効な仕組みに切り替えることができ、顧客はその整備に協力します。

第15条（米国）

15.1 CCPAまたはこれに類する米国の州のプライバシー法が適用される顧客個人データについて、当方は顧客のサービス提供者または処理者として行動します。当方は、(a) これを販売または共有せず（これらの法律の定義によります）、(b) 第15.2項の事業目的以外の目的で、または顧客との直接の取引関係の外で、これを保持・利用・開示せず（これらの法律が認める場合を除きます）、(c) これを他から受け取った個人情報と組み合わせず（これらの法律が認める場合を除きます）、(d) これらの法律が当方に課す義務を守り、求められる水準のプライバシーの保護を与え、(e) これらの義務を果たせなくなったときは顧客に知らせます。顧客は、第11条と第13条に基づき、当方が顧客の義務に沿ってデータを使うことを確かめ、無権限の利用を止めて是正するための合理的で適切な措置をとることができます。当方は、この条項を理解し、守ることを証明します。

15.2 事業目的は、別紙1のとおり、顧客のためにBantoを提供し、保守し、安全を確保し、サポートすることです。

第16条（公的機関からの要請）

16.1 公的機関から顧客個人データを求められた場合、当方は、できる限り顧客に問い合わせるよう伝えます。開示しなければならない場合は、法令が禁じない限り事前に顧客に知らせ、法的に必要な範囲に限って開示します。SCCが適用される場合は、SCC第15条にも従います。

第17条（責任）

17.1 本契約に基づく当方の責任と、SCCが認める範囲でSCCに基づく当方の責任は、利用規約第10条の制限に従い、これらを合わせて一つの上限とします。すなわち、利用規約、本契約とSCCに基づく当方の責任の総額は、原因が生じた日の前12か月に顧客が当方に支払った料金の総額を上限とし、当方は逸失利益や間接的な損害について責任を負いません。ただし、故意または重大な過失の場合を除きます。

17.2 監督機関が顧客に科した制裁金は、当方の本契約の違反が原因である範囲を除き、当方に請求できません。その範囲でも第17.1項の上限に従います。

17.3 本契約は、データ保護法令またはSCCが制限を認めないデータ主体への責任その他の責任を制限しません。

第18条（期間と変更）

18.1 本契約は、当方が顧客個人データを処理する間（契約の終了後、第12条の削除までを含みます）適用されます。

18.2 当方は、利用規約第13条に従って本契約を変更できます。法令で必要な場合や顧客に不利でない場合を除き、効力が生じる30日以上前にサービス内でお知らせします。委託先の一覧の変更は第8条によります。変更によって、データ保護法令が求める保護を下げたり、SCCに優先させたりすることはありません。

18.3 本契約の各版は、このページに版の番号を表示します。

第19条（準拠法と裁判所）

19.1 本契約は日本法に従います。利用規約と同じく、長野地方裁判所を第一審の専属的合意管轄裁判所とします。

19.2 SCCは別紙4で選んだ法と裁判所に、英国補遺はイングランドおよびウェールズの法に従います。この条は、データ保護法令がデータ主体に認める裁判所や監督機関への申立ての権利を制限しません。

第20条（連絡先）

20.1 本契約に関する通知とお問い合わせ：privacy@bantohq.com、Studio Hedera（〒389-2411 長野県飯山市豊田5081-1）

別紙1　処理の内容

対象と期間

利用規約に基づく宿泊施設の運営支援サービス「Banto」の提供。契約の期間と、第12条の削除までの間。

処理の性質と目的

データの保管、顧客が接続する予約システムからの予約の取込みと同期、オンラインチェックインと宿泊者名簿、本人確認書類の確認（顧客が有効にした場合はパスポートの画像のAI確認）、宿泊者とのメッセージとメールの送受信、AIによる返信の下書き・翻訳・ご要望の整理、タスクの作成と割当て、スタッフの予定・勤怠・チームのチャット・日誌・音声通話、接続したスマートロックのドアコード、プッシュ通知、サポート、バックアップ、自動の削除。

データ主体

宿泊者とその同行者、Bantoを使う顧客のスタッフ・マネージャー・オーナー、物件の所有者その他の顧客の連絡先、顧客の業者の担当者。

個人データの種類

特別な種類の個人データ

扱うことを予定していません。宿泊者がご要望やメッセージで健康、身体の配慮、食事の情報を伝えることがあります。パスポートの画像は顔の照合その他の生体による識別には使いません。保護の措置：本人確認書類の二重の暗号化、マネージャーに限ったアクセス、パスポートの写しを開くたびの記録、自動の削除、パスポートのAI確認は顧客が有効にしない限りオフ。

頻度

顧客がBantoを使う間、継続して行います。

既定の保存期間

別紙2　技術的・組織的な安全管理措置

• 暗号化：すべての通信にTLSを使います。保存したデータはGoogle Cloudが暗号化します。本人確認書類の画像、過去の宿泊者名簿のファイル、接続するサービスの接続の鍵は、データとは別に保管する鍵でアプリがもう一度暗号化します。
• アクセスの制御：利用者は役割で認められたものだけを見られ、これをサーバーで強制します。最も厳しい記録（本人確認書類、時給、宿泊者名簿）はマネージャーに限ります。パスポートの写しを開くたびに記録します。宿泊者へのリンクは推測できない鍵を使い、期限があり、無効にできます。受付のタブレットのセッションは30分で終わります。
• 人的な措置：システムとそのアクセスに責任を持つ者を1人置き、アクセスは必要な範囲に限って守秘義務のもとで与えます。
• 可用性と復旧：毎日のバックアップを60日保存し、7日間は時点を指定して復元できます。データベースには削除の保護をかけ、削除したファイルは7日間復元できます。
• 最小化と削除：別紙1の期間の後に自動で削除します。依頼に応じて一人の宿泊者の個人データを消去する機能があります。
• 監視と事故への対応：ログ、稼働の確認と警報を使い、書面の手順（封じ込め、評価、通知、振り返り）で事故に対応します。
• 変更の管理：変更は公開の前に確認と試験を行い、管理された手順だけで公開します。
• AI：AIの事業者は有料の事業者向けサービスとして、送った内容をモデルの学習に使わせない規約のもとで使います。AIの出力は人が確かめる提案です。パスポートのAI確認は既定でオフで、顔の照合はしません。
• 物理的な措置：当方は自らのサーバーを持たず、データはISO/IEC 27001の認証とSOC 2の報告書を持つGoogle Cloudのデータセンターにあります。

別紙3　委託先

2026年11月8日時点の一覧です。変更は第8.3項に従ってお知らせします。

委託先ではないもの（第8.6項）：顧客が接続するサービス（予約システム〈Beds24、Hostfullyなど〉、スマートロック〈SwitchBot、TTLockなど〉、清掃・運営のサービス、LINE）。当方の料金のカード払いを始めるときは、当方の請求のための事業者としてStripeを使います。Stripeは顧客個人データを受け取りません。

別紙4　SCC・英国補遺・スイスのための選択

EUのSCC

• 顧客が管理者の場合はモジュール2、処理者の場合はモジュール3。
• 第7条（ドッキング条項）：使いません。
• 第9条(a)：オプション2（一般的な書面の承認）。通知の期間は本契約第8.3項のとおり（14日以上）。
• 第11条(a)：任意の独立した紛争解決機関は使いません。
• 第13条と附属書I.C：所轄の監督機関は、顧客について第13条(a)で定まる機関とします。
• 第17条：オプション1。アイルランド法。
• 第18条(b)：アイルランドの裁判所。
• 附属書I.A：データ輸出者は顧客（詳細はBantoのアカウントのとおり。役割：管理者または処理者。活動：Bantoの利用）。データ輸入者はStudio Hedera（詳細は第1.1項のとおり。連絡先 privacy@bantohq.com。役割：処理者。活動：Bantoの提供）。利用規約への同意を、同意の日の署名とみなします。
• 附属書I.Bは本契約の別紙1、附属書IIは別紙2、附属書IIIは別紙3とします。
• 第8.5条（削除）、第8.6条(c)（侵害の通知）と第8.9条（監査）は、SCCに反しない範囲で、本契約の第12条・第11条・第13条のとおり行います。

英国補遺

• 表1：当事者とその詳細は上の附属書I.Aのとおり。開始日は本契約が効力を生じた日。
• 表2：承認されたEUのSCCは、本契約が組み込むSCC（上のモジュールと選択）とします。
• 表3：本契約の別紙1・2・3。
• 表4：輸入者は、英国補遺の第19節に従って英国補遺を終了できます。
• 英国補遺の第2部（必須条項）は、情報コミッショナーが発行したとおり適用します。

スイス

• FADPが適用される移転については、GDPRへの言及をFADPへの言及と読み替え、所轄の監督機関を連邦データ保護・情報コミッショナーとします。
• SCCの「加盟国」という言葉は、スイスのデータ主体が常居所地で訴えを起こすこと（第18条(c)）を妨げません。