データ処理補遺 (DPA) — MultiLipi

1) Definitions

Capitalized terms not defined here have the meaning in the Agreement. "データ保護法 「 とは、GDPR (EU) 2016/679 および英国 GDPR を含む、本契約に基づく個人データの処理に適用されるすべての法律および規制、および現地の施行法を意味します。 個人データ ", " コントローラ ", " プロセッサー ", " データ主体 ", " 加工 "、および" Supervisory Authority」はGDPRの意味を持ちます。

"Sensitive Data" means information requiring extra protection or subject to special rules (for example: special‑category data under GDPR Article 9 such as health/biometric/genetic data; personal data of children under 16; government‑issued identifiers; financial account or payment data; precise geolocation; or credentials/passwords/API keys/secrets). The Services are not designed to process Sensitive Data.

2) 範囲と役割

1. 顧客は コントローラ で、MultiLipiは プロセッサー に記載されている個人データに関連して 附属書I .
2. お客様が第三者のコントローラーの処理者として機能する場合、MultiLipiはお客様の サブプロセッサ . Customer warrants it has the Controller's authorization to appoint MultiLipi.
3. MultiLipiは、(a)サービスを提供するため。(b) お客様が本契約および本 DPA に文書化したとおり。(c)法律で義務付けられている場合。

3) お客様の指示

1. お客様は、翻訳、言語によるルーティング、用語集/TM、メディア翻訳、分析、およびお客様が有効にするSEO機能を含む、サービスを提供および改善するために(プライバシーを保護する方法で)個人データを処理するようMultiLipiに指示します。
2. Customer will not submit or cause the Services to Process Sensitive Data. If Customer nevertheless submits Sensitive Data, Customer is solely responsible for obtaining all necessary consents and safeguards; MultiLipi has no obligation to monitor for Sensitive Data.
3. MultiLipi will notify Customer if it cannot follow instructions due to a legal requirement, unless prohibited.
4. MultiLipi will not sell Personal Data, nor use it to build or train generalized AI models without Customer's explicit opt‑in.

4) Confidentiality

MultiLipi ensures persons authorized to Process Personal Data are bound by confidentiality obligations and receive appropriate data protection training.

5) Security Measures

MultiLipiは、適切な技術的および組織的対策を実施および維持します(" トムズ ") に記載されている個人データを保護するため 附属書II 、最先端の技術、実装コスト、処理の性質、範囲、コンテキスト、目的、ならびに自然人の権利と自由に対するリスクを考慮に入れます。

6) サブプロセッサー

1. お客様は、MultiLipiがサービスを提供するために副処理者を雇うための一般的な許可を提供します。現在のサブプロセッサーは、 /legal/サブプロセッサー .
2. MultiLipiは、本DPAと同等のデータ保護義務をサブプロセッサーに課し、その履行に対して引き続き責任を負います。
3. If Unsatisfied with the Subprocessors, Customer must contact MultiLipi and provide an opportunity to object on reasonable grounds related to data protection. If unresolved in good faith, Customer may suspend or terminate the affected Services (pro‑rata refund of prepaid fees).

7) 支援、DPIA、事前相談

Taking into account the nature of Processing and information available to MultiLipi, we will assist Customer in ensuring compliance with obligations under Articles 32–36 GDPR (security, breach notifications, DPIAs and prior consultations), including by providing relevant documentation about our TOMs and subprocessors.

8) 個人データ侵害の通知

1. MultiLipiはお客様に通知します without undue delay顧客データに影響を与える個人データ侵害に気付いた後。通知には、侵害の性質、データ主体と記録のカテゴリとおおよその数、起こり得る結果、侵害に対処するために講じられた、または提案された措置など、その時点でMultiLipiが合理的に入手可能な情報が含まれます。
2. MultiLipi will promptly take steps to mitigate adverse effects and cooperate with Customer's reasonable requests to meet any breach notification obligations.

9) データ主体の要求

To the extent legally permitted, MultiLipi will promptly notify Customer if we receive a request from a Data Subject exercising rights under Data Protection Laws relating to Customer Data. MultiLipi will not respond except on Customer's documented instructions and will provide reasonable assistance for Customer to respond to such requests.

10) データの返却と削除

1. On Customer's documented request, MultiLipi will delete or return all Personal Data (and delete existing copies) within a commercially reasonable period, unless retention is required by law.
2. Backups are overwritten on scheduled cycles; deletion from backups will occur in the ordinary course.

11) 国際データ転送 (SCC/英国補遺)

1. EEA転送。 Where Processing involves a transfer of Personal Data subject to GDPR to a third country without an adequacy decision, the parties agree that the 標準契約条項 決定(EU)2021/914で欧州委員会によって承認されました(「 SCCの ")は参照により組み込まれ、以下に定めるように本DPAの一部を形成します。
   • モジュール 2 (コントローラからプロセッサ) および/またはモジュール 3 (プロセッサからサブプロセッサ) (該当する場合)。
   • 第7条(ドッキング条項): 適用 .
   • 第11条(救済): しない 申し込む。
   • 第17条(準拠法):の法律 アイルランド .
   • 第18条(法廷地および管轄権):の裁判所 アイルランド .
   • SCCの附属書I〜IIIは、次の情報によって完成されます。 附属書I , 附属書II そして 附属書III このDPAの。
2. 英国への送金。 英国GDPRの対象となる転送については、両当事者は、参照により組み込まれたEU SCCに対するICOの国際データ転送補遺(IDTA)補遺Bに同意します。紛争が発生した場合、英国の譲渡には英国の補遺が優先されます。
3. スイス送迎。 For transfers subject to the Swiss FADP, references to the GDPR in the SCCs shall be read as references to the FADP; references to EU Member States become Switzerland; and the competent authority is the FDPIC.

13) Liability & Indemnity

Liability under this DPA is subject to the limitations and exclusions of liability in the Agreement, except to the extent prohibited by applicable law. Each party shall be liable for its own acts and omissions under Data Protection Laws.

14) その他

1. 本DPAと本契約の間に矛盾がある場合、データ保護に関する矛盾の範囲で本DPAが優先されます。
2. このDPAのいずれかの条項が無効と判断された場合でも、残りの条項は引き続き有効です。
3. MultiLipiは、法律または当社のサービスの変更を反映するために、このDPAを更新する場合があります。

附属書I — 処理の説明

A. 当事者

B. 処理内容

C. Competent Supervisory Authority

For the SCCs, the competent authority is determined in accordance with Clause 13 of the SCCs (e.g., the authority of the Member State of Customer's main EU establishment or Data Subjects).

附属書 II — 技術的および組織的措置 (TOM)

1. Information Security Program. Written policies covering access control, data handling, incident response, change management, vendor risk, and secure development.
2. アクセス制御。 ロールベースのアクセス、最小権限、強力な認証、管理者向けの MFA、セッション管理、定期的なアクセス レビュー、ロールの変更/終了時の即時失効。
3. 暗号化。 TLS for data in transit; encryption of stored secrets and keys; key rotation and limited access to key material.
4. Network & Application Security.セグメント化されたネットワーク。ファイアウォール/WAF;DDoS 保護 (該当する場合は CDN/エッジ経由)。ベースラインの強化。コードレビューと依存関係スキャンを含む安全なSDLC。
5. Logging & Monitoring. Centralized logging of security-relevant events; alerting on anomalies; time synchronization; tamper-resistant log storage.
6. Vulnerability & Patch Management. Regular vulnerability scanning; timely remediation; third‑party testing as appropriate.
7. Business Continuity & Disaster Recovery. Redundant infrastructure for critical components; tested backups; documented RTO/RPO targets.
8. データの分離。 顧客環境とデータの論理的な分離。
9. Personnel Security & Training. Background checks as permitted by law; onboarding/annual security and privacy training; confidentiality undertakings.
10. インシデント対応。 Documented plan with defined roles, triage, containment, eradication, recovery, lessons learned, and customer notification workflows.
11. ベンダーとサブプロセッサーの管理。 Risk-based assessment, contractual security/privacy obligations, continuous monitoring.
12. Physical Security. Data centers operated by vetted providers with industry-standard controls (badging, CCTV, visitor logs).
13. データの最小化。 Collect only what is necessary; retention limits; anonymization/pseudonymization where suitable.
14. 顧客コントロール。 Admin tools for access management; audit trails in the dashboard (where available); API key management; MFA support.

附属書III — サブプロセッサー

承認されたサブプロセッサーの現在のリストは、 https://multilipi.com/legal/subprocessors.MultiLipiは、サブプロセッサごとに、名前、目的、処理の場所、および転送メカニズム(SCCなど)を開示します。

署名

顧客	MultiLipi Technologies Private Limited
名前：___________________________ Title: ___________________________ 日付：___________________________ 署名：______________________	名前:Kunal Singh Shekhawat Title: Co-Founder @MultiLipi 日付: 10/09/2025 署名：

署名することにより、両当事者は、EU SCC (決定 (EU) 2021/914) および該当する場合は英国国際データ転送補遺が参照により組み込まれ、本 DPA に規定されているとおりに完成することに同意します。