データ処理契約

本書は、英語の原文書を参考のために翻訳したものです。本翻訳と英語版との間に矛盾または不一致がある場合は、英語版が優先します。

本データ処理契約（以下「DPA」）は、署名ページにおいて「お客様」と特定される事業体（以下「お客様」）と、デラウェア州法人であり、主たる事務所を8 The Green, STE A, Dover, DE 19901に置くSaturday Inc.（以下「Saturday」）との間で締結されます。本DPAは、Coach Terms of Service（以下「Coach Terms」）、およびお客様によるSaturdayコーチポータルの利用を規律するお客様とSaturdayとの間のその他の契約（総称して以下「本契約」）を補完し、その一部を構成します。

両当事者は、以下のとおり合意します。

1. 定義

本DPAにおいて定義されない大文字で始まる用語は、本契約においてそれらに付された意味を有します。本DPAにおいて：

「管理者」とは、お客様、すなわち単独でまたは他者と共同で、本個人データの処理の目的および手段を決定する自然人もしくは法人、公的機関、団体その他の組織をいいます。

「データ主体」とは、個人データが関係する、識別されたまたは識別され得る自然人をいいます。

「EEA」とは、欧州経済領域をいいます。

「GDPR」とは、2016年4月27日付の欧州議会および理事会の規則（EU）2016/679（一般データ保護規則）であって、随時改正、補足または置換されるものをいいます。

「個人データ」とは、識別されたまたは識別され得る自然人に関する情報であって、お客様がコーチポータルに関連して作成し、Saturdayがお客様に代わって処理するもの（第 2.1 条および別紙 1に記載するもの）をいいます。「個人データ」は、GDPR第 4(1) 条における「personal data（個人データ）」に付された意味を有します。

「個人データ侵害」とは、送信、保存またはその他の方法で処理された個人データの偶発的もしくは違法な破壊、滅失、改変、無権限の開示、またはこれらへの無権限のアクセスをもたらすセキュリティの侵害をいいます。

「処理」（およびその派生形である「処理する」「処理された」）とは、自動的な手段によるか否かを問わず、個人データに対して行われるあらゆる単一の操作または一連の操作をいい、収集、記録、編成、構造化、保存、適応もしくは改変、検索、参照、利用、送信による開示、頒布もしくはその他の利用可能化、整列もしくは結合、制限、消去、または破壊を含みます。

「処理者」とは、本DPAに記載されるとおり、管理者に代わって個人データを処理するSaturday Inc.をいいます。

「特別な種類の個人データ」とは、人種的もしくは民族的出自、政治的意見、宗教的もしくは哲学的信条、または労働組合への加入を明らかにする個人データ、ならびに自然人を一意に識別する目的での遺伝データ、生体データの処理、健康に関するデータ、または自然人の性生活もしくは性的指向に関するデータであって、GDPR第 9 条に記載されるものをいいます。

「標準契約条項」または「SCCs」とは、2021年6月4日付の欧州委員会の実施決定（EU）2021/914に附属する標準契約条項であって、随時改正、補足または置換されるものをいいます。

「副処理者」とは、コーチポータルに関連してお客様に代わって個人データを処理するためにSaturdayが関与させる第三者をいいます。

「監督機関」とは、GDPR第 51 条に従ってEU加盟国により設立される独立した公的機関をいいます。

「UK Addendum」とは、UK Information CommissionerがData Protection Act 2018のSection 119Aに基づいて発行し、2022年2月2日に英国議会に提出したInternational Data Transfer Addendum to the EU Commission Standard Contractual Clauses（Version B1.0）であって、当該AddendumのMandatory ClausesのSection 18に基づいて改訂されたものをいいます。

「UK GDPR」とは、European Union (Withdrawal) Act 2018のSection 3により、イングランドおよびウェールズ、スコットランドならびに北アイルランドの法の一部を構成するGDPRであって、Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019により改正されたものをいいます。

2. 範囲および適用

2.1 本DPAは、お客様がコーチとして作成し、Saturdayがお客様に代わって処理する個人データに適用されます。すなわち、(a) お客様がアスリートについて書くメモ、(b) お客様が作成するアスリートのアカウント（アスリートがそのアカウントを引き継ぐまで）、(c) お客様の名簿の構成（お客様の組織、組織のメンバーとその役割、お客様のアスリートのグループ、名簿の並び順、およびアスリートごとのアラート設定）、ならびに(d) お客様がStripe Connectを通じてアスリートと定める請求の取り決めです。

2.2 本DPAは、両当事者による締結時に発効し、お客様が本契約に基づきコーチポータルアカウントを保有している間、無料のCoachティアを含むいずれのティアであっても効力を有します。有料のコーチティアの解約またはダウングレードによって本DPAが終了することはありません。本契約の終了は、第 15 条（個人データの返却または削除）の義務を条件として、本DPAを自動的に終了させます。

2.3 本DPAと本契約との間に矛盾がある場合、個人データの処理に関しては本DPAが優先します。

2.4 本DPAは、Saturdayが自らの権利において管理者である個人データには適用されません。Saturdayは、アスリートのSaturdayアカウントとその中のデータ（プロフィール、健康データおよび生体データ、アクティビティ、製品、設定、接続されたプラットフォームのデータ、ならびにそれらから作成されたレポートとプランを含み、お客様がコーチポータルを通じてこれらのデータを閲覧または変更する場合を含みます）、コーチとアスリートの関係の記録およびコーチへのアラート、Saturdayがサービスを保護するために保持する監査ログおよびなりすましの記録、お客様のアカウント登録データ、ならびにSaturdayが自らの事業目的のために収集するデータの管理者です。お客様が作成したアカウントをアスリートが引き継いだ場合、Saturdayがそのアカウントの管理者となります。Saturdayは、すべてのSaturdayアカウントについて行っているのと同様に、お客様が作成するアスリートのアカウントのコピーを、マーケティングの配信登録なしで、そのメール配信事業者および分析記録に保持しており、これらのコピーの管理者でもあります。かかるデータのSaturdayによる処理は、Saturdayのウェブサイトプライバシーポリシー、アプリプライバシーポリシー、およびコーチプライバシーポリシーにより規律されます。

3. 役割および責任

3.1 管理者としてのお客様。 お客様は、第 2.1 条に記載する個人データの管理者です。お客様は処理の目的および手段を決定し、コーチポータルの利用がGDPRを含む適用あるデータ保護法を遵守することを確保する責任を負います。

3.2 処理者としてのSaturday。Saturdayは個人データの処理者であり、お客様の文書化された指示に従い、かつお客様に代わってのみ個人データを処理するものとします。Saturdayは、本DPA、本契約、およびお客様の文書化された指示に記載されるとおりのコーチポータルサービスの提供、保護および監視以外のいかなる目的のためにも個人データを処理しません。

3.3 文書化された指示。 個人データの処理に関するお客様からSaturdayへの指示は、以下に文書化されています：(a) Coach Terms of Service、(b) コーチプライバシーポリシー、(c) 本DPA、および(d) 両当事者により合意され署名された書面による追加条項または変更。Saturdayは、Saturdayの見解において、お客様からの指示がGDPRまたはその他の適用あるデータ保護法に違反する場合、速やかにお客様に通知します。

3.4 指示外の処理。Saturdayは、Saturdayが服する適用法により求められる場合を除き、お客様の文書化された指示の範囲外で個人データを処理しません。かかる場合、Saturdayは、重要な公共の利益を理由として法がかかる通知を禁止する場合を除き、処理の前に当該法的要件をお客様に通知します。

4. 処理の記述

GDPR第 28(3) 条に従い、以下の詳細は本DPAに基づいて実施される処理を記述します：

• 主題： お客様に対するSaturdayコーチポータルの提供であり、お客様がアスリートについてのメモを保持し、アスリートのアカウントを作成し、名簿と組織を構成し、Stripe Connectを通じて請求の取り決めを定めることを可能にします。
• 期間： お客様が本契約に基づきコーチポータルアカウントを保有している間（ティアを問いません）、ならびに第 15 条に定める終了後の保持期間。
• 性質および目的：コーチポータルサービスの提供に必要な範囲での個人データの保存、検索、表示、編成、構造化、適応、送信および消去であり、アスリートについてのメモ、アスリートのアカウントの作成、名簿および組織の管理、ならびに請求業務を含みます。
• 個人データの種類： 第 5 条（データの種類）および別紙 1に記載のとおり。
• データ主体の種類： アスリート（お客様のメモの対象となる者、お客様がアカウントを作成する者、お客様の名簿に載っている者、またはお客様が請求を行う者）、コーチ（個々のコーチング専門家）、およびコーチ組織のメンバー（管理者、アシスタントコーチ、請求管理者、閲覧専用コーチ）。
• 特別な種類： お客様が作成するアスリートのアカウントには、体重や発汗プロファイルなどの健康データが含まれ、お客様のメモには健康に関する情報が含まれる場合があります。お客様は、特別な種類の個人データの処理について、GDPR第 9(2) 条に基づく適法な根拠を確保する責任を負います。

5. データの種類

以下の表は、コーチポータルを通じて処理されるデータの種類および適用ある保持期間を記述します。お客様は、「コーチのメモ」、「コーチが作成したアスリートのアカウント」、「名簿の構成」、「メンバーシップ」、「組織」、および「請求」の各種類の管理者であり、これらが本DPAの対象となる個人データです。Saturdayはその他の種類の管理者であり（第 2.4 条）、それらはSaturdayがどのくらいの期間保持するかをお客様が把握できるよう記載しています。アカウントの削除をもって期間が終了する場合、Saturdayの削除処理はアカウントの削除から数分以内にデータを消去し、取りこぼしがあれば毎日のチェックで消去します。期間が終了すると、データはSaturdayの稼働中のシステムから削除されます。Saturdayのデータベースのバックアップ内のコピーはその後84 日以内に、データウェアハウス内のコピーは100 日以内に削除されます。

6. 副処理者

6.1 承認された副処理者。 お客様は、別紙 2に記載される副処理者をSaturdayが関与させることについて、一般的な書面による承認を与えます。発効日現在、Saturdayはコーチポータルデータについて以下の副処理者を使用しています：

6.2 変更の通知。Saturdayは、新たな副処理者を関与させるか、または既存の副処理者を交代させる前に、お客様に対し少なくとも30日前に書面による事前通知を行います。当該通知は、副処理者を特定し、実施される処理を記述し、副処理者の所在地を示すものとします。

6.3 異議申立権。 お客様は、第 6.2 条に基づく通知の受領後14日以内にSaturdayに書面で通知することにより、新たなまたは交代する副処理者に異議を申し立てることができます。異議は、データ保護に関する合理的な理由を述べなければなりません。Saturdayは、異議の対象となった副処理者による個人データの処理を回避するため、コーチポータルの変更をお客様に利用可能とするか、または商業的に合理的な代替手段を推奨するよう、商業的に合理的な努力を行います。Saturdayが異議の受領後30日以内にお客様の異議に対応できない場合、お客様はSaturdayへの書面による通知によりコーチポータルサブスクリプションを終了することができ、Saturdayは未使用の前払い料金がある場合これを按分して返金します。

6.4 副処理者の義務。Saturdayは、(a) 書面による契約により、各副処理者に対し、本DPAに定めるものと同等以上の保護を有するデータ保護義務を課し、かつ(b) 各副処理者の義務の履行についてお客様に対し全責任を負い続けます。

7. セキュリティ対策

GDPR第 28(3)(c) 条および第 32 条に従い、Saturdayは個人データを保護するために以下の技術的および組織的対策を実装し維持します。これらの対策は別紙 3にさらに詳述されています。

7.1 暗号化

• 転送中： すべてのAPIおよびウェブのトラフィックはTLS 1.3を使用して暗号化されます。
• 保存時： 保存されるすべてのデータは、Google Cloud Platformのデフォルト暗号化によりAES-256を使用して暗号化されます。

7.2 アクセス制御

• データベースレベルのスコープ設定：Firestore Security Rulesがドキュメントごとのアクセス制御を実施します。コーチのアクセスは、コーチのアクティブな名簿内のアスリートに限定されます。セキュリティルールは、読み取りまたは書き込みアクセスを許可する前にコーチ・アスリート関係のステータスを検証します。
• ロールベースアクセス制御（RBAC）：9 つの定義された役割と23の個別の権限がコーチポータルの機能へのアクセスを規律します。権限の解決はAPIミドルウェア層で実施され、無権限のリクエストに対してはHTTP 403を返します。
• 知る必要の原則：Saturdayの担当者は、書面による秘密保持義務を条件として、職務の遂行に必要な範囲でのみ個人データにアクセスします。

7.3 監査ログ記録

• 管理上の操作およびなりすましイベントは、追記専用の監査ログに記録されます。監査ログのエントリは書き込まれた後に変更されることはなく、1年後（セキュリティ関連のエントリは2年後）に削除されます。
• 各監査エントリは、実行者の身元、操作タイプ（40以上の定義された操作）、対象、該当する場合は変更前/変更後の状態、ユーザーエージェント、コーチポータルでの多くの操作におけるIPアドレス、およびタイムスタンプを記録します。

7.4 なりすまし制御

• 管理上のなりすましセッションは30分に制限され、書面による正当化理由を要します。
• なりすましセッションはそれぞれ社内で記録されます（誰がどのアカウントをいつ閲覧したか）。
• なりすましを開始できるのはSaturdayのスタッフのみです。

7.5 認証

• 認証はFirebase Authenticationを通じて管理されます。
• 多要素認証（MFA）はすべてのユーザーが利用可能であり、Enterpriseティアのお客様については、設定可能な猶予期間および許可される方式（TOTP、SMS）とともに組織レベルで強制することができます。

7.6 組織的対策

• 個人データにアクセスするSaturdayの担当者は、書面による秘密保持義務に拘束されます。
• Saturdayは、コーチポータルインフラストラクチャの脆弱性評価を定期的に実施します。
• Saturdayは、第 11 条に記載される侵害通知プロセスを含むインシデント対応手順を維持します。
• Saturdayは、その技術的および組織的対策の年次セキュリティレビューを実施します。

8. 秘密保持

8.1 Saturdayは、GDPR第 28(3)(b) 条に従い、自らに代わって個人データを処理することを許可された者が秘密保持義務を約束し、または適切な法定の秘密保持義務に服することを確保します。

8.2 Saturdayは、以下の場合を除き、個人データを第三者に開示しません：(a) 別紙 2に記載される承認された副処理者を通じてコーチポータルサービスを提供するために必要な場合、(b) 適用法、規制、または裁判所もしくは政府機関の拘束力のある命令により求められる場合、または(c) お客様により書面で明示的に承認された場合。

8.3 Saturdayが公的機関から個人データの開示を求める法的拘束力のある要求を受領した場合、Saturdayは、法により禁止される場合を除き、いかなる開示も行う前に速やかに当該要求をお客様に通知します。Saturdayは、当該機関がお客様に直接データを要求するよう仕向けるための合理的な努力を行います。

9. 副処理者の関与

9.1 GDPR第 28(2) 条および28(4) 条に従い、Saturdayは、第 6.2 条および6.3 条の通知および異議申立メカニズムを条件として、お客様が第 6.1 条に基づいて与えるお客様の事前の一般的な書面による承認なしに副処理者を関与させません。

9.2 Saturdayは、GDPR第 28(4) 条に従った書面による契約により、各副処理者に対し、本DPAに基づいてSaturdayに課されるものと実質的に同等のデータ保護義務を課し、これには秘密保持、セキュリティ対策、国際データ移転、ならびに管理者および監督機関との協力に関する義務が含まれます。

9.3 Saturdayは、自ら処理を行った場合にSaturdayが負うであろう責任と同じ範囲において、その副処理者の作為および不作為についてお客様に対し全責任を負い続けます。

9.4 お客様の書面による要求に応じて、Saturdayは、本条の遵守を検証できるようにするため、副処理者契約の写し（データ保護に関連しない商業上機微な情報を除去するために編集される場合があります）をお客様に提供します。

10. データ主体の権利に関する支援

10.1 GDPR第 28(3)(e) 条に従い、Saturdayは、適切な技術的および組織的対策により、かつ処理の性質を考慮して、GDPR第 III 章に基づくデータ主体の権利（アクセス、訂正、消去、データポータビリティ、処理の制限、および異議の権利を含む）を行使するためのデータ主体の要求に対応するお客様の義務の履行において、お客様を支援します。

10.2 Saturdayは、本条に基づくお客様の支援要求に5営業日以内に対応します。支援には以下が含まれます：データのエクスポートの提供、アカウント削除時のデータ削除の実行（アクセスはアカウントの削除をもって終了し、Saturdayの削除処理は第 5 条でアカウントの削除まで保持するとされているデータを数分以内に消去し、取りこぼしがあれば毎日のチェックで消去します）、お客様の通知に基づくデータの訂正、および指示に従った処理の制限。

10.3 Saturdayが本DPAに基づいて処理される個人データに関してデータ主体から直接要求を受領した場合、Saturdayは速やかに当該データ主体をお客様に仕向けるか、または適切でありお客様の事前の書面による承認がある場合には、お客様に代わって要求を履行します。Saturdayは、要求がお客様に付託された旨をデータ主体に通知する場合を除き、お客様の承認なしにデータ主体の要求に直接対応しません。

10.4 お客様は、データ主体に代わって、アクセス、エクスポートおよび削除の要求をsupport@saturdaymorning.fitへのメールにより提出することができ、履行のためのサービスレベルは30日です。

11. 個人データ侵害の通知

11.1 GDPR第 28(3)(f) 条に従い、Saturdayは、個人データ侵害を認識した後、不当な遅滞なく、いかなる場合も72時間以内に、個人データ侵害をお客様に通知します。

11.2 通知には、通知の時点で合理的に入手可能な範囲で、以下が含まれます：

1. 影響を受けるデータ主体の種類およびおおよその人数、ならびに影響を受ける個人データレコードの種類およびおおよその件数を含む、個人データ侵害の性質の記述；
2. さらなる情報を入手できるSaturdayの連絡窓口の氏名および連絡先；
3. 個人データ侵害の起こり得る結果の記述；および
4. 個人データ侵害に対処するためにSaturdayが講じたまたは講じることを提案する対策（その起こり得る悪影響を軽減するための対策を含む）の記述。

11.3 すべての情報を同時に提供することが不可能な場合、Saturdayは、さらなる不当な遅滞なく、段階的に情報を提供します。

11.4 Saturdayは、個人データ侵害の調査、軽減および是正に関して、ならびにGDPR第 33 条および34 条に基づくお客様の義務の遵守において、お客様と協力し支援します。

11.5 本条に基づくSaturdayの個人データ侵害の通知または対応は、当該侵害に関するSaturdayの過失または責任の承認と解釈されないものとします。

12. データ保護影響評価に関する支援

12.1 GDPR第 28(3)(f) 条に従い、Saturdayは、GDPR第 35 条に基づくデータ保護影響評価（以下「DPIAs」）の実施において、および該当する場合にはGDPR第 36 条に基づく関連する監督機関との協議において、いずれの場合も本DPAに基づく個人データの処理に関してのみ、かつ処理の性質およびSaturdayが入手可能な情報を考慮して、お客様に合理的な支援を提供します。

12.2 Saturdayは、第 7 条および別紙 3に定める技術的および組織的対策の記述を含め、お客様がDPIAを実施するために合理的に必要なコーチポータルの処理活動に関する情報をお客様に利用可能とします。

13. 監査権

13.1 GDPR第 28(3)(h) 条に従い、Saturdayは、GDPR第 28 条および本DPAに定める義務の遵守を証明するために必要なすべての情報をお客様に利用可能とし、お客様またはお客様が委任した監査人が実施する監査（検査を含む）を可能とし、これに協力します。

13.2 お客様は、12か月の期間ごとに1回の監査を実施できます。監査は以下のとおり実施されます：(a) お客様の費用負担で、(b) Saturdayの通常の営業時間中に、(c) Saturdayへの少なくとも30日前の書面による事前通知をもって、かつ(d) Saturdayの業務を不合理に妨げない方法で。

13.3 Saturdayは、本DPAに基づく処理活動を対象とする関連する第三者監査報告書または認証（SOC 2 Type II報告書、ISO 27001認証、またはこれらと同等のものなど）の写しを提供することにより、お客様の監査要求に応じることができます。かかる報告書がお客様の合理的な懸念に適切に対処しない場合、お客様は第 13.2 条に基づき直接監査を実施する権利を保持します。

13.4 お客様が委任した監査人は、書面による秘密保持義務に拘束され、Saturdayの競合相手であってはなりません。お客様は、監査の前に監査人の身元をSaturdayに提供します。

13.5 監査により本DPAの重大な不遵守が判明した場合、Saturdayは速やかに自らの費用で不遵守を是正し、講じた是正措置をお客様に通知します。

14. 国際データ移転

14.1 データの所在地。Saturdayは、米国内のGoogle Cloudに個人データを保存します。一部の副処理者（Brevo）は欧州連合にデータを保存し、一部の副処理者（Cloudflare）はグローバルエッジネットワーク全体でデータを処理し、2026年11月9日からは、Google Cloud Vertex AIが、Googleがデータセンターを運営するいずれの国においてもAIレポートのリクエストを処理することがあります。

14.2 移転メカニズム — EEA。 個人データがEEAから米国または欧州委員会による十分性決定の対象とならないその他の国に移転される範囲において、両当事者は、2021年EU標準契約条項（委員会実施決定（EU）2021/914）のモジュール 2（管理者から処理者）が引用により本DPAに組み込まれ、かかる移転に適用されることに合意します。SCCsの目的のため：

• 「データ輸出者」はお客様（管理者）です；
• 「データ輸入者」はSaturday（処理者）です；
• 第 7 条（ドッキング条項）：任意のドッキング条項は適用され、追加の事業体がSCCsに加入することを認めます；
• 第 9(a) 条（副処理者）：オプション 2（一般的な書面による承認）が適用され、副処理者の追加または交代の意図について30日前の事前通知を伴います；
• 第 17 条（準拠法）：SCCsはアイルランド法に準拠します；
• 第 18 条（裁判地および管轄の選択）：SCCsから生じる紛争はアイルランドの裁判所において解決されます；
• 附属書 I.A（当事者一覧）、附属書 I.B（移転の記述）、および附属書 I.C（管轄監督機関）は、本DPAの別紙 1において記入されます；
• 附属書 II（技術的および組織的対策）は、本DPAの別紙 3において記入されます；
• 附属書 III（副処理者一覧）は、本DPAの別紙 2において記入されます。

14.3 移転メカニズム — 英国。 個人データが英国から移転される範囲において、UK International Data Transfer Addendum to the EU Commission Standard Contractual Clauses（Version B1.0、ICOにより発行され2022年2月2日に議会に提出され、当該Mandatory ClausesのSection 18に基づき改訂されたもの）がかかる移転に適用され、引用により本DPAに組み込まれます。UK AddendumのTable 1からTable 4までで求められる情報は、第 14.2 条に基づき組み込まれたSCCsに定めるとおりであり、以下を条件とします：

• Table 2で言及されるApproved EU SCCsは、Appendix Informationを含む、本DPAの第 14.2 条に基づき組み込まれたSCCsです；
• いずれの当事者も、その条項に従ってUK Addendumを終了させることができます；
• UK Information Commissioner's Officeは、UK GDPRの対象となる移転についての管轄監督機関です。

14.4 移転メカニズム — スイス。 個人データがスイスから移転される範囲において、第 14.2 条に基づき組み込まれたSCCsは、以下の修正を伴って適用されます：(a) GDPRへの言及は、該当する範囲でスイス連邦データ保護法（以下「FADP」）への言及として解釈されます；(b) 「加盟国」への言及は、スイスを含むものと解釈されます；(c) 「管轄監督機関」への言及は、スイス連邦データ保護および情報コミッショナー（以下「FDPIC」）への言及として解釈されます；かつ(d) 「EU」、「連合」および「加盟国法」への言及は、スイスのデータ主体がスイスの常居所地においてその権利を行使することを排除しないように解釈されます。

14.5 補完的対策。Saturdayは、本DPAに基づいて移転される個人データについて、以下の対策を実装します：

• 技術的対策： 転送中（TLS 1.3）および保存時（AES-256）の個人データの暗号化；ドキュメントごとのアクセス制御；正当化理由の記録を伴う時間制限付きのなりすまし；
• 契約上の対策： 同等の保護を要求する副処理者契約；法的に許容される範囲で政府のアクセス要求に異議を申し立てる旨のコミットメント；受領した政府のアクセス要求（ある場合かつ法的に許容される範囲）に関する透明性；
• 組織的対策： 知る必要に基づくアクセス制限；すべての担当者の秘密保持義務；定期的なセキュリティレビュー；インシデント対応手順。

14.6 お客様の表明。 お客様は、国際的な国境を越える移転を含め、個人データをSaturdayに移転する権限を有すること、およびかかる移転が適用あるデータ保護法を遵守して実施されることを表明し保証します。

15. 個人データの返却または削除

15.1 GDPR第 28(3)(g) 条に従い、本契約の終了または満了に際し、Saturdayは、お客様の選択および書面による要求に応じて、以下のいずれかを行います：(a) すべての個人データを一般的に使用される機械可読形式でお客様に返却する；または(b) すべての個人データをSaturdayの稼働中のシステムから削除する。Saturdayは、お客様の書面による要求の受領後30日以内にかかる返却または削除を完了します。Saturdayのデータベースのバックアップ内のコピーは稼働中のシステムからの削除後84日以内に、データウェアハウス内のコピーは100日以内に削除されます。

15.2 お客様は、コーチポータルの「アカウントを閉じる」ページまたはSaturdayアプリからSaturdayアカウントを削除することにより、本契約を終了します。これにより、アプリのデータを含むアカウント全体が削除されます。Saturdayの削除処理は、数分以内に、お客様がアスリートについて書いたメモ、お客様の個人用のアスリートのグループ、名簿の並び順、およびアラート設定、ならびに、お客様が作成したアスリートアカウントのうち、アスリートがサインイン、使用、アプリとの連携、受け取りまたは支払いを一度も行っておらず、かつ他に誰も保持していないものを削除し、お客様とアスリートとの請求の取り決めを取り消し、お客様が所有する各組織を第 5 条の「組織」の行に記載するとおりに取り扱います。取りこぼしがあれば毎日のチェックで消去し、バックアップおよびデータウェアハウスについては第 15.1 条に定める期間が適用されます。Saturdayは、次のものを保持します：第 15.3 条に記載する請求記録および監査ログのエントリ；組織におけるお客様のメンバーシップの記録（お客様のアカウントIDと役割を含み、メールアドレスを除く）；ならびにお客様が存続する組織内で作成したグループ（その組織に残ります）。それ以外のアスリートアカウントは、お客様が作成したその他のアカウントを含め、削除されず、引き続きアスリートのものです。お客様のアカウントが存在している間に本契約が終了した場合、個人データは、お客様がアカウントを削除するか、第 15.1 条に基づき書面で要求するまで保持されます。

15.3 例外。Saturdayは、以下を含め、適用法により求められる範囲で、終了後に個人データを保持することができます：

• 請求記録： 適用ある金融および税務規制により求められるとおり、取引後少なくとも7年間保持されます；
• 監査ログのエントリ：GDPR第 17(3)(e) 条に基づく法的請求の確立、行使または防御のため、各エントリの書き込みから1年間（セキュリティ関連のエントリは2年間）保持されます；
• 裁判所の命令または規制上の指令により求められるデータ。

Saturdayは、かかる保持要件についてお客様に通知し、保持されたデータの処理を、保持が求められる特定の法的目的に限定します。

15.4 返却または削除の完了に際し、Saturdayは、書面による要求に応じて、削除の書面による証明をお客様に提供します。

15.5 GDPRの意味における個人データを構成しなくなるように匿名化されたデータは、Saturdayが制限なく保持することができます。

16. 責任および補償

16.1 本DPAに基づく各当事者の責任は、本契約に定める責任の除外および制限の対象となります。ただし、かかる制限は、かかる制限が許容されない場合に、SCCsまたは適用あるデータ保護法に基づくデータ主体に対する当事者の責任を制限しないものとします。

16.2 各当事者は、補償当事者による本DPAの違反に起因する第三者の請求から生じるかまたはこれに関連するすべての請求、損害、損失、費用および経費（合理的な弁護士費用を含む）について、相手方当事者を補償し、免責します。

16.3 本DPAに基づいて生じるすべての請求についてのSaturdayの総責任は、契約、不法行為その他のいずれによるかを問わず、請求を生じさせる事象の直前12か月間に本契約に基づいてお客様がSaturdayに支払った料金の総額を超えないものとします。この制限は、以下には適用されません：(a) SCCsに基づくSaturdayの責任；(b) Saturdayの故意の不正行為または重過失に起因する範囲での第 16.2 条に基づくSaturdayの補償義務；または(c) 監督機関によりお客様に直接課される規制上の制裁金であって、お客様の単独の責任にとどまるもの。

17. 期間および終了

17.1 本DPAは、締結の日に発効し、お客様が本契約に基づきコーチポータルアカウントを保有している間、無料のCoachティアを含むいずれのティアであっても効力を有します。

17.2 いずれの当事者も、違反当事者が当該通知期間内に違反を是正する機会を与えられていることを条件として、相手方当事者への30日前の書面による通知により、重大な違反について本DPAを終了することができます。

17.3 本契約の終了は、本DPAを自動的に終了させます。有料のコーチティアの解約またはダウングレードによって本契約または本DPAが終了することはありません。

17.4 以下の条項は、本DPAの終了または満了後も存続します：第 1 条（定義）、第 8 条（秘密保持）、第 11 条（個人データ侵害の通知）、第 13 条（監査権、終了後12か月の期間）、第 14 条（国際データ移転、個人データがSaturdayの保有にとどまる範囲）、第 15 条（個人データの返却または削除）、第 16 条（責任および補償）、ならびに第 22 条（準拠法）。

18. 締結

18.1 本DPAは、複数の副本により締結することができ、各副本は原本とみなされ、それらすべてが一体となって単一の同一の文書を構成します。

18.2 電子署名（DocuSignまたは同等の電子署名サービスを通じて提供されるものを含む）は、原本の自筆署名と同一の法的効力および効果を有します。

18.3 本DPAの締結済みの写しについては、alex@saturdaymorning.fitにてSaturdayまでご連絡ください。DocuSignによる電子署名はご要望に応じて利用可能です。

別紙1: 処理の記述

本別紙は本DPAの一部を構成し、標準契約条項（モジュール 2：管理者から処理者）の附属書 Iの要件を満たします。

A.当事者一覧

B.移転の記述

C.管轄監督機関

管轄監督機関は、SCCsの第 13 条に従って決定されます。データ輸出者がEU加盟国に設立されている場合、当該加盟国の監督機関が管轄機関となります。データ輸出者がEU加盟国に設立されていないものの、GDPR第 3(2) 条に基づきGDPRの地理的適用範囲内にある場合、データ輸出者が署名ページにおいて指定した加盟国の監督機関が管轄機関となります。かかる指定がない場合、アイルランドデータ保護委員会が管轄監督機関を務めます。

別紙2: 副処理者一覧

本別紙は本DPAの一部を構成し、標準契約条項（モジュール 2：管理者から処理者）の附属書 IIIの要件を満たします。

別紙3: 技術的および組織的対策

本別紙は本DPAの一部を構成し、標準契約条項（モジュール 2：管理者から処理者）の附属書 IIの要件を満たします。以下の対策は、Saturday（データ輸入者）が実装する技術的および組織的なセキュリティ対策を記述します。

個人データの暗号化

• 転送中のすべてのデータはTLS 1.3を使用して暗号化されます。
• 保存されるすべてのデータは、Google Cloud Platformのデフォルト暗号化によりAES-256を使用して暗号化されます。Googleは、GoogleのKey Management Serviceに従って暗号鍵を管理します。

機密性、完全性、可用性および回復力

• Firestore Security Rulesがドキュメントごとのアクセス制御を実施し、コーチのアクセスをコーチのアクティブな名簿内のアスリートに限定します。
• 9 つの定義された役割と23の個別の権限がアプリケーションレベルのアクセスを規律します。
• Google Cloud Platformは、インフラストラクチャレベルの冗長性、バックアップ、および災害復旧の機能を提供します。
• Saturdayは、可用性の障害の適時の特定および是正のためのインシデント対応手順を維持します。

可用性およびアクセスを復元する能力

• Saturdayは、複数の可用性ゾーンにわたるFirestoreの自動レプリケーションを含む、Google Cloud Platformのインフラストラクチャレベルのバックアップおよび復旧メカニズムに依拠します。

定期的な試験および評価

• Saturdayは、その技術的および組織的対策の年次セキュリティレビューを実施します。
• Saturdayは、コーチポータルインフラストラクチャの脆弱性評価を定期的に実施します。
• Saturdayは、個人データ侵害シナリオへの備えを確保するため、そのインシデント対応手順を試験します。

ユーザーの識別および認可

• 認証はFirebase Authenticationを通じて管理され、メール/パスワードおよびOAuthベースのサインインをサポートします。
• 多要素認証（MFA）は利用可能であり、設定可能な猶予期間および許可される方式（TOTP、SMS）とともに、Enterpriseティアのお客様について組織ごとに強制可能です。
• APIミドルウェアは、すべてのエンドポイントでロールベースの権限を実施し、無権限のアクセス試行に対してはHTTP 403を返します。
• セッション管理には、セッションの列挙、個々のセッションの取り消し、およびその他すべてのセッションの取り消しが含まれます。

送信および保存中のデータの保護

• クライアントとSaturdayのサービスとの間のすべてのAPIおよびウェブのトラフィックに対するTLS 1.3暗号化。
• すべてのFirestoreコレクション、Cloud Storageオブジェクト、およびその他のGCPストレージサービスに対する保存時のAES-256暗号化。
• StripeはPCI-DSS準拠のインフラストラクチャで決済カードデータを取り扱います；Saturdayはカード所有者データを保存、処理または送信しません。

処理場所の物理的セキュリティ

• すべての個人データはGoogle Cloud Platformのデータセンターに保存されます。Googleは、アクセス制限、監視、および環境制御を含む、SOC 2 Type IIおよびISO 27001認証の物理的セキュリティ制御を維持します。

イベントのログ記録

• Saturdayは、管理上の操作（40以上の定義された操作タイプ）、なりすましイベント（正当化理由を伴う）、実行者の身元、対象、変更前/変更後の状態のスナップショット、ユーザーエージェント、コーチポータルでの多くの操作におけるIPアドレス、およびタイムスタンプを記録する追記専用の監査ログを維持します。
• 監査ログのエントリは書き込まれた後に変更されることはなく、1年後（セキュリティ関連のエントリは2年後）に削除されます。
• Google Cloud Loggingは、アプリケーションレベルおよびインフラストラクチャレベルのイベントを含む、すべての構造化ログを取得します。

データ最小化

• コンプライアンス指標（アクティビティの新しさ、アクティビティ数）はリアルタイムで算出され、永続的には保存されません。
• コーチは、アスリートの統合トークン（TrainingPeaksやIntervals.icuなどの第三者サービスのOAuth認証情報）、購入記録、または決済認証情報にアクセスできません。

データの保持および削除

• 保持期間は、本DPAの第 5 条においてデータの種類ごとに定められています。
• アカウントの削除により、アクセスは直ちに終了します。第 5 条の期間がアカウントの削除までとされている場合、Saturdayの削除処理はそのデータを数分以内に消去し、取りこぼしがあれば毎日のチェックで消去します。データベースのバックアップ内のコピーは84日以内に、データウェアハウス内のコピーは100日以内に削除されます。
• アスリートによる関係の取り消しは、Firestore Security Rulesを通じてコーチのアクセスを直ちに終了させ、過去の記録は適用ある保持期間に従って保持されます。

アカウンタビリティ

• Saturdayは、本DPA、コーチプライバシーポリシー、およびCoach Terms of Serviceを、そのデータ保護に関するコミットメントの文書化された記録として維持します。
• SaturdayのTerms of Serviceの同意フローは、タイムスタンプ、IPアドレス、およびユーザーエージェントを含め、各ユーザーによる現行のToSバージョンの同意を記録します。

副処理者のセキュリティ

• 各副処理者は、本DPAに含まれるものと実質的に同等のデータ保護義務により契約上拘束されます。
• Google Cloud Platformは、SOC 2 Type II、ISO 27001、およびISO 27017の認証を維持します。
• Stripeは、PCI-DSS Level 1認証およびSOC 2 Type II報告書を維持します。
• Brevoは、欧州連合内でGDPR準拠のインフラストラクチャを維持します。
• Cloudflareは、SOC 2 Type IIおよびISO 27001の認証を維持します。

19. 一般条項

19.1 完全合意。 本DPAは、本契約とともに、個人データの処理に関する両当事者間の完全な合意を構成し、これに関するすべての従前または同時期の合意、了解または表明に取って代わります。

19.2 変更。 本DPAは、両当事者により署名された書面によってのみ変更することができます。前述にかかわらず、Saturdayは、かかる更新が個人データに付与される保護の全体的な水準を実質的に低下させないことを条件として、第 7 条および別紙 3に記載される技術的および組織的対策を随時更新することができます。

19.3 分離可能性。 本DPAのいずれかの条項が無効または執行不能と判断された場合でも、残りの条項は完全に効力を有し続けます。

19.4 第三者受益者の不存在。 本DPAは、両当事者ならびにそれぞれの承継人および許可された譲受人の利益のためにのみ存在します。ただし、データ主体は、本DPAに組み込まれたSCCsの第三者受益者です。

19.5 通知。 本DPAに基づくすべての通知は書面により行い、本契約に定める住所、またはSaturdayについてはalex@saturdaymorning.fit宛てに送付されます。

20. 監督機関との協力

20.1 Saturdayは、GDPR第 31 条に従い、要求に応じて、その任務の遂行において管轄監督機関と協力します。

20.2 Saturdayは、本DPAに基づく個人データの処理に関する監督機関からの照会、苦情または調査を受領した場合、速やかにお客様に通知します。

21. 本契約との関係

21.1 本DPAのいかなる規定も、個人データの保護に関する本契約に基づくSaturdayの義務を軽減するものではなく、また本契約に基づき許容されない方法でSaturdayが個人データを処理することを認めるものでもありません。

21.2 本DPAによって行われる変更を除き、本契約は変更されず、完全に効力を有し続けます。

22. 準拠法

22.1 本DPA、およびこれに起因しもしくは関連して生じる契約外の義務は、その抵触法の規定にかかわらず、米国デラウェア州法に準拠し、これに従って解釈されます。

22.2 第 22.1 条にかかわらず、SCCsにより求められる範囲において、SCCsは、SCCsの第 17 条に定める法（アイルランド法）に準拠し、これに従って解釈され、SCCsに基づいて生じる紛争は、SCCsの第 18 条に定める裁判所（アイルランドの裁判所）において解決されます。

22.3 UK Addendumにより求められる範囲において、UK Addendumは、イングランドおよびウェールズの法に準拠し、これに従って解釈されます。