このプライバシーポリシーは、Inovitus 9 d.o.o.が運営するSport99が、アスリート、コーチ、クラブ管理者、その他のユーザーの個人データをどのように収集、利用、保護するかを説明します。接続されたウェアラブルデバイスやサードパーティのフィットネスサービスからのデータも含まれます。Sport99はGDPRに準拠しており、特にGDPR第9条の健康データに配慮しています。
1. データ管理者
Sport99を通じて処理される個人データのデータ管理者は以下です：
Sport99はInovitus 9 d.o.o.の製品で、完全に欧州連合内で運営されています。監督機関はスロベニア共和国情報コミッショナーです。 ip-rs.si
2. 収集する個人データ
アカウント・プロフィールデータ
氏名、メールアドレス、任意の電話番号、生年月日、スポーツ種目、クラブ所属、役割、プロフィール写真。
利用データ
ログファイル、セッション後の匿名化IPアドレス、ブラウザ種類、プラットフォーム内の操作履歴（セキュリティ、デバッグ、サービス改善のため）。
トレーニング・パフォーマンスデータ
出席記録、コーチのトレーニングメモ、同意に基づくAI生成パフォーマンス要約、怪我の記録、ベンチマーク結果。
支払い・請求データ
クラブの請求情報（法人名、VAT番号）、Stripe経由の支払い方法。カード番号の全桁は保存しません。
3. ウェアラブル・活動データ
明示的な同意により、Sport99はサードパーティのフィットネスプラットフォームやウェアラブル提供者と連携し、アスリートの健康・活動データを取り込みます：
広告利用なし： ウェアラブルや健康データを広告、マーケティングプロファイリング、商業的ターゲティングには一切使用しません。
AIモデルの学習なし： クラブ外の他ユーザーや他クラブのためにAIや機械学習モデルの学習にウェアラブルデータを使いません。
販売・開示なし： データブローカー、広告主、保険会社、無許可の第三者にウェアラブルデータを販売、貸与、共有しません。
範囲限定のAIアクセス： AI機能がウェアラブルデータを使う場合、対象アスリートのデータのみ利用可能です。
切断： ダッシュボードから任意のウェアラブル連携を切断できます。Sport99はOAuthトークンを取り消し、新しいデータの取り込みを停止します。
4. 個人データの利用方法
サービス提供のため
アスリートプロフィールの運用、準備度と回復スコアの計算、トレーニング記録の生成、コーチングツールの提供のため。
AI支援インサイト（同意が必要です）
明示的な同意を得た上で、ウェアラブルや健康データをAIが処理し、トレーニングインサイト、怪我リスク指標、回復推奨を認可されたコーチングスタッフに提供します。
セキュリティとプラットフォームの整合性
不正検知、レート制限の適用、不正アクセス防止、監査ログの維持のため。
コミュニケーション
セキュリティ警告、MFAリマインダー、請求通知、重要なポリシー変更通知の送信のため。アスリートには別途オプトインがない限りマーケティングメールは送信しません。
法的および規制上の義務
EUおよびスロベニアの法律遵守、法的要請への対応、紛争管理のため。
5. 処理の法的根拠
| 処理活動 | 法的根拠（GDPR） |
|---|---|
| アカウント登録とサービス提供 | 第6条1項b号 — 契約 |
| 請求および請求書発行 | 第6条1項b号 — 契約；第6条1項c号 — 法的義務 |
| セキュリティログと不正防止 | 第6条1項(f) — 正当な利益 |
| 健康データ、ケガ記録、ウェアラブルデータ、メンタルウェルネス | 第6条1項(b) — 契約 + 第9条2項(a) — 明示的同意（全ての健康データ処理に必須） |
| コーチのメモとトレーニング記録（非健康情報） | 第6条1項(b) — 契約（クラブサービス） |
| 多要素認証とセキュリティ通知 | 第6条1項(f) — 正当な利益 |
| 法的要請への対応 | 第6条1項(c) — 法的義務 |
6. 誰があなたのデータにアクセスできるか
クラブ内
あなたのデータは、クラブが設定した役割ベースのアクセス制御に基づき、許可されたクラブメンバーに表示されます。
18歳以上のアスリートのプライバシー
成人アスリートで、保護者アクセス制御に同意していない場合、親や保護者はトレーニングメモやAI要約にアクセスできません。
Sport99スタッフ
Sport99のエンジニアリングおよびサポートスタッフは、運用目的で匿名化されたプラットフォームデータにアクセスします。健康・医療記録へのアクセスはフィールドレベルの制御で保護されており、アクセスには権限昇格が必要で、監査ログが記録されます。
ウェアラブルAPI提供者
ウェアラブルを接続すると、Sport99はその提供者からあなたの代わりにデータを受け取ります。個人データをこれらの提供者に戻すことはありません。
インフラサブプロセッサー
GDPRに準拠したデータ処理契約のもと、信頼できるインフラパートナーを利用しています。
7. データ保持
| データカテゴリ | 保持期間 |
|---|---|
| アカウント・プロフィールデータ | アカウント有効期間＋削除依頼後30日間の復旧期間 |
| ウェアラブル・活動データ | 同期有効期間＋30日間のソフト削除期間；依頼により完全削除 |
| トレーニングノート・AI要約 | クラブ契約期間中；アカウント削除時に完全消去 |
| 請求記録 | 7年間（スロベニアおよびEU会計法に準拠） |
| セキュリティ・監査ログ | 最大12ヶ月保持；以降は匿名化 |
| 同意撤回記録 | 適用法の時効期間に合わせ5年間保持し、遵守証明として管理 |
8. サブプロセッサーとデータ所在地
すべての個人データは欧州連合内で保存・処理しています。以下のサブプロセッサーを利用しています：
| プロバイダー | 目的 | 場所 |
|---|---|---|
| Microsoft Azure | クラウドインフラ、データベースホスティング、AI推論 | 欧州連合 |
| Stripe | 決済処理と請求書発行 | EUサーバー（データ居住権対応）；非EU転送には標準契約条項またはEU-USデータプライバシーフレームワークを適用 |
| Azure Communication Services | MFAメールコード配信 | 欧州連合 |
適切な保護措置（標準契約条項またはGDPR第V章承認済み転送メカニズム）なしに欧州経済領域外へ個人データは転送されません。
9. プライバシー権利
GDPRのデータ主体として、ダッシュボード設定またはお問い合わせで権利を行使できます。
保有するすべての個人データの完全エクスポートを請求できます。
プロフィールの誤った個人データをいつでも修正できます。
アカウントと関連データの完全削除を請求できます。
紛争解決中はデータ処理の一時停止を依頼できます。
CSVやJSONなどの機械可読形式でデータを受け取れます。
正当な利益に基づく処理にいつでも異議を申し立てられます。
健康データやウェアラブルの同意をいつでも即時に撤回できます。
すべての権利請求には30日以内に対応することを目指しています。スロベニア情報委員会への苦情申し立ても可能です。 ip-rs.si
10. 子どもと未成年者
Sport99はあらゆる年齢のアスリートが組織されたスポーツクラブ内で利用します。18歳未満のアスリートには追加の保護が適用されます：
- クラブ管理者は未成年アスリート登録時に親または保護者の同意を確認する必要があります。
- アスリートプロフィールに紐づく親または保護者は、クラブ設定に応じてトレーニングや出席記録にアクセスできます。
- 自己管理型Sport99アカウントは13歳以上が必要です。それ未満はクラブアスリートとしてのみ存在し、コーチがトレーニングプランを所有します。
- 16歳未満のアスリートはAIトレーニングプランや健康機能利用前に保護者の同意が必要です。GDPR第8条は各国が13～16歳の範囲で設定可能（スロベニアはZVOP-2で15歳設定）ですが、当社は最も厳しい16歳を適用します。
- ウェアラブル連携やその他同意が必要な健康機能も同じ16歳の基準です。
保護者の同意はアスリート本人の申告からは取得しません。指定保護者に招待メールを送り、行動があって初めて同意が記録されます。それまでは同意依存機能は利用不可です。
11. 自動処理とプロファイリング
Sport99はアスリートの準備度スコア、回復指標、ケガリスク信号を自動処理で算出します。これらはコーチや認可スタッフへの情報提供用であり、法的または同等に重大な影響を与える完全自動決定には使いません（GDPR第22条は適用外）。AI生成の洞察は必ず有資格者が確認してから対応します。影響を受けるAI評価の人間による再検討はprivacy@sport99.aiまでご依頼ください。
12. ポリシー更新
プラットフォームの進化や法令変更に伴い本ポリシーを更新することがあります。重要な変更は、変更発効の少なくとも14日前にアカウント保有者へメールとアプリ内通知でお知らせします。
13. お問い合わせとデータ保護責任者
このポリシーに関するご質問、ご自身の権利行使、またはプライバシーの懸念については、以下までご連絡ください：