データ処理契約

コントローラーはSport99のサブスクリプションを保有し、これらの条件を承諾した管理者がいるクラブ、連盟、または組織です。処理者はスロベニアのInovitus 9 d.o.o.で、Sport99プラットフォームを運営しています。個人選手がクラブ外で自身のSport99アカウントを持つ場合、Inovitus 9がそのアカウントのコントローラーとなり、本契約は適用されず、プライバシーポリシーが適用されます。

対象はSport99プラットフォーム提供に必要な個人データ処理で、選手・スタッフ管理、育成計画、出席、パフォーマンス・負荷記録、コミュニケーション、ウェアラブルデータ取り込み、AI支援分析、請求を含みます。処理期間はサブスクリプション期間および第11条に定める保存期間です。

プラットフォームの管理者による設定、機能の利用、および本契約は、文書化された指示を構成します。指示がGDPRまたはその他のEUまたは加盟国のデータ保護法に違反すると判断した場合、遅滞なく管理者に通知し、解決までその指示を一時停止することがあります。

本契約の下で個人データを処理する権限を与えられた全員は、書面による機密保持義務または適切な法定の守秘義務に拘束され、その義務は契約終了後も存続します。アクセスは必要最小限に限定され、定期的に見直され、役割変更時に取り消されます。健康記録や医療メモへのアクセスには高度な承認が必要で、監査のために記録されます。

当社は第32条に基づき、最新技術、実施コスト、データ主体へのリスクを考慮した適切な技術的および組織的対策を実施しています。ここでは子どもの健康データを処理するためリスクが高まっています。実施中の対策は付属書IIに記載されており、保護レベルを実質的に下げない範囲で更新することがあります。

管理者は付属書IIIに記載のサブプロセッサーに対し一般的な書面による承認を与えます。当社は彼らのパフォーマンスに対して管理者に完全に責任を負い、本契約と同等以上のデータ保護義務を課します。サブプロセッサーの追加または変更は少なくとも30日前に管理者に通知し、合理的なデータ保護上の理由で異議があれば解決を試みます。解決できない場合、管理者は該当部分の契約をペナルティなしで解約し、日割り返金を受けられます。

Sport99を通じて処理されるすべての個人データは欧州連合内に保存されます。付属書IIIに記載のサブプロセッサーが承認された転送メカニズム（標準契約条項、適合性決定、EU-USデータプライバシーフレームワーク）および転送評価で特定された補足措置の下で欧州経済領域外に転送する場合を除き、個人データを転送しません。新たな転送カテゴリが開始される前に管理者に通知します。

プラットフォームは管理者に対し、アクセス、エクスポート、訂正、制限、消去のセルフサービスツールを提供し、これがリクエスト対応の主な手段です。データ主体が直接当社に連絡した場合、管理者の代わりに応答せず、遅滞なく管理者に転送し、その旨をデータ主体に伝えます。セルフサービスツールで対応できない場合は、処理の性質を考慮し適切な技術的・組織的措置で支援します。

管理者のデータに影響する個人データ侵害を認識した場合、遅滞なく、かついかなる場合も48時間以内に管理者に通知します。通知には侵害の性質、関係するデータ主体および記録の種類と概数、想定される影響、取られたまたは提案された対策、連絡先を記載し、全容が不明な場合は段階的に補足します。管理者の指示がない限り、監督機関やデータ主体への通知は行いません。

プラットフォームは未成年者の特別カテゴリー健康データを大規模に処理するため、管理者は第35条に基づくデータ保護影響評価が必要となる可能性があります。当社は付属書IおよびIIの説明、セキュリティ体制、サブプロセッサーの状況など、合理的に必要な情報を提供し、監督機関との事前協議にも支援します。

契約終了時、管理者は30日間プラットフォームのエクスポートツールでデータを出力できます。その後、EUまたはスロベニア法により保存が義務付けられている場合を除き、アクティブシステムから個人データを削除し、さらに90日以内にバックアップからも削除します。特に会計法で7年間保存が義務付けられた請求記録や、コンプライアンス証明として保持する同意記録が該当します。削除完了は書面で確認可能です。

当社は第28条の遵守を示すために必要な情報を管理者に提供し、管理者またはその指名した監査人による監査・検査に協力します。監査は12か月に1回までで、違反や監督機関の要請がある場合を除きます。30日前に通知が必要で、サービスの不当な妨害や他の管理者データの機密保持を損なわず、費用は管理者負担です。監査要請には、適切な第三者評価やセキュリティ文書の提供で対応することがあります。

各当事者は、それぞれの役割においてGDPRの遵守責任を負います。本契約には利用規約の責任条項が適用されますが、第82条に基づくデータ主体への責任は制限されません。データ保護に関して本契約が利用規約またはプライバシーポリシーと矛盾する場合、本契約が優先します。強制法規と矛盾する場合は法令が優先し、本契約のその他の部分は有効です。

データ主体のカテゴリ：アスリート（未成年含む）、保護者、コーチ・技術スタッフ、クラブ管理者、クラブがアクセスを許可した医療・理学療法スタッフ、受付機能を利用する来訪者や見込み会員。

• 本人確認・連絡先データ：氏名、メールアドレス、電話番号、生年月日、プロフィール写真、所属クラブ・チーム、役割。
• トレーニング・パフォーマンスデータ：出席状況、セッション、負荷、ベンチマーク、テスト結果、コーチのメモ、競技結果、GPS・動作記録。
• 第9条に基づく特別カテゴリー情報：怪我の記録、医療・理学療法メモ、メンタルウェルビーイングのチェックイン、栄養記録、ウェアラブル機器からの生体情報（心拍数・変動、睡眠、回復・準備スコア）。
• 保護者・安全管理データ：保護者の本人確認・連絡先、同意記録、年齢に基づくアクセス制限。
• 財務データ：会費、請求書、支払い状況、VAT識別番号。カード情報はStripeが処理し、当社は保存しません。
• 技術データ：認証イベント、IPアドレス、デバイス・ブラウザ情報、監査ログ。
• 性質と目的：スポーツクラブのアスリート管理、トレーニング計画、運営のための収集、記録、整理、構造化、保存、検索、参照、分析（AI支援分析含む）、認可クラブユーザーへの開示、制限、消去、破棄。
• 期間：サブスクリプション期間および第11節の保存期間。

• データ居住地：すべての個人データは欧州連合内（Microsoft Azure、スウェーデン中央）で保存・処理。
• テナント分離：マルチテナントの行レベルセキュリティ。すべてのクエリは要求テナントに限定され、アプリケーション層下で強制。
• 暗号化：転送中はTLS、保存時はデータベース・バックアップ・ファイルストレージを暗号化。
• アクセス制御：役割ベースアクセス、最小権限、全アカウントに必須の多要素認証、健康・医療記録は昇格認可と監査ログ付き。
• 特別カテゴリー保護措置：健康データは明示的同意がある場合のみ処理し、同意がない場合はAI処理前に自動的に健康情報を伏せ字化。
• AI利用範囲制限：AI機能は要求したアスリートのデータとクラブテナントのみに適用。ウェアラブル・健康データは広告、プロファイリング、他クラブや顧客向けモデル育成には使用しません。
• ログ記録・監視：認証・管理操作の監査ログ、異常・レート制限の監視、特権アクセスのアラート。
• 耐障害性：自動バックアップと復元テスト、EU内インフラの冗長化。
• 人事：機密保持契約、役割変更時のアクセス見直し、退職時の即時権限剥奪。
• 安全な育成：コードレビュー、依存関係スキャン、本番環境と開発環境の分離。

管理者は以下のサブプロセッサーを承認しています。最新リストはここおよびプライバシーポリシーに掲載され、変更は第6節の通知手順に従います。

• Microsoft Ireland Operations Ltd（Microsoft Azure）— クラウドインフラ、データベースホスティング、AI推論。欧州連合。
• Stripe Payments Europe Ltd — 決済処理と請求。EUサーバーでデータ居住性対応済み。非EU転送には標準契約条項および／またはEU-USデータプライバシーフレームワーク適用。
• Microsoft Ireland Operations Ltd（Azure Communication Services）— トランザクションおよび多要素認証メール配信。欧州連合。
• アスリート自身が選択したウェアラブル・フィットネス提供者 — Garmin、Apple Health、Fitbit、Google Fit、Whoop、Polar、Strava、Suunto — は各自のサービスに関して独立した管理者です。Sport99はアスリートの指示によりこれらからデータを受け取り、個人データを返送しません。