データ処理契約別紙

1. はじめに

本DPAは、Customer と Route X との間の Agreement を補足するものです。Route X が本サービスの提供に関連して、Customer に代わって Customer Personal Data を処理する場合に適用されます。

Route X は、Cornerstone Strategy LLC が提供するサービスであり、個人コーチ、クライアント、コーチングファーム、Organization Admin、所属コーチ、法人参加者、その他権限を有するユーザーを対象とした、All-in-One のコーチング管理 SaaS です。

本DPAは Agreement の一部を構成します。Customer が Agreement、Order Form、または本DPAを参照もしくは組み込む書面契約に同意した場合、Customer は本DPAの条件に拘束されます。本DPAは、Customer Personal Data の処理に関する両当事者の合意事項を定めるものであり、適用される Applicable Data Protection Laws の遵守を支援することを目的としています。

2. 定義

本DPAで使用される用語のうち本DPAで定義されていないものは、Agreement で定義された意味を有します。本DPAにおいて、以下の用語は次の意味を有します。

• 「Applicable Data Protection Laws」とは、本DPAに基づく Customer Personal Data の処理に適用されるデータ保護およびプライバシーに関するすべての法令を意味し、適用される場合、EU 一般データ保護規則 2016/679（以下「GDPR」）、英国 Data Protection Act 2018 および UK GDPR（以下「UK GDPR」）、スイス連邦データ保護法（以下「Swiss FADP」）、日本の個人情報の保護に関する法律（以下「APPI」）、California Consumer Privacy Act および California Privacy Rights Act（以下「California privacy laws」）、その他適用されるプライバシー・データ保護法を含みます。
• 「Controller」とは、単独でまたは他の者と共同で Personal Data の処理目的および手段を決定する自然人、法人、公的機関、エージェンシーその他の主体、または Applicable Data Protection Laws 上のこれに相当する役割（適用される場合、California privacy laws の "business" を含みます）を意味します。
• 「Processor」とは、Controller に代わって Personal Data を処理する自然人、法人、公的機関、エージェンシーその他の主体、または Applicable Data Protection Laws 上のこれに相当する役割（適用される場合、California privacy laws の "service provider" または "contractor" を含みます）を意味します。
• 「Customer Personal Data」とは、Customer、Customer の authorized users、または Customer の代表者が本サービスに送信、アップロード、保存、その他利用可能とする Personal Data であって、Route X が Customer に代わって処理するものを意味します。
• 「Personal Data」とは、識別された、または識別可能な個人に関する情報、その他 Applicable Data Protection Laws において "personal data"、"personal information"、"個人情報"、またはこれに相当する用語に該当する情報を意味します。
• 「Processing」または「Process」とは、Personal Data に対して行われる、自動化された手段によるか否かを問わず、収集、記録、整理、構成、保存、検索、参照、利用、開示、送信、変更、削除、破棄等の一切の処理操作またはその一連の操作を意味します。
• 「Services」または「本サービス」とは、Agreement で定義される意味を有し、Route X が提供する Route X のウェブサイト、ウェブアプリケーション、機能、連携機能および関連ツールを総称します。
• 「Subprocessor」とは、本サービスに関連して Customer Personal Data を Route X に代わって処理することを Route X が委託する第三者を意味します。
• 「Security Incident」とは、Route X が処理する Customer Personal Data について、偶発的または違法な破壊、喪失、改ざん、無権限開示、または無権限アクセスにつながる確認済みのセキュリティ侵害を意味します。Security Incident には、ログイン失敗、ping、ポートスキャン、サービス妨害攻撃、その他類似の事象であって Customer Personal Data のセキュリティを損なわない不成功の試行や行為は含まれません。
• 「Data Subject」とは、Personal Data が関連する識別された、または識別可能な個人を意味します。
• 「Agreement」とは、Customer と Route X との間で締結される、Customer が本サービスにアクセスし、または利用するための合意、Order Form、Terms of Service、Master Services Agreement、Statement of Work、その他書面契約を意味します。
• 「Customer」とは、適用される Agreement または Order Form に記載された主体（コーチングファーム、組織その他法人または事業体である顧客、および適用される場合、事業目的で行為する個人ユーザーを含みます）を意味します。
• 「Route X」とは、Cornerstone Strategy LLC（Route X として事業を行います）を意味します。

3. 当事者の役割

本DPAにおいて、Applicable Data Protection Laws が適用される範囲で、原則として（generally）、Customer は Customer Personal Data の Controller であり、Route X は Customer に代わって Customer Personal Data を処理する Processor です。Customer が他の controller のための processor として行為する場合、Customer は本DPAに基づき Route X に指示する権限を有することを保証します。Applicable Data Protection Laws により求められる場合、または書面契約で別段の定めがある場合（unless otherwise stated in a written agreement）、特定の状況において異なる役割が適用される場合があります。

Customer は、Customer Personal Data の処理目的および手段を決定します。Customer は、どの Personal Data を本サービスに送信するか、どのユーザーにアクセスを許可するか、本サービスをどのように設定し利用するかについて責任を負います。

Route X は、本DPA、Agreement、Customer の文書化された指示、および Applicable Data Protection Laws に従い、Customer に代わって Customer Personal Data を処理します。

Route X は、Customer による指示が Applicable Data Protection Laws に違反すると判断した場合、法律上禁止されない限り、Customer に対しその旨を通知します。Route X は、Customer による Applicable Data Protection Laws の遵守状況を監視する義務を負わず、当該指示が修正または確認されるまで関連する処理を停止することができます。

4. 顧客の指示

Customer は、Route X に対し、以下の目的で Customer Personal Data を処理するよう指示します。

• 本サービスの提供、運用、維持、保護およびサポート
• ユーザー登録、認証、アカウント管理および role-based access controls
• クライアントおよびコンタクトの管理
• コーチングセッション管理（セッション予約、セッションログおよび関連記録を含みます）
• 目標管理
• アクションアイテムの管理
• 振り返りログおよび成長記録
• スケジューリング、予約、カレンダー空き状況、ミーティングリンクの生成、外部連携
• 請求、サブスクリプション、支払い、関連する管理機能
• カスタマーサポート、トラブルシューティング、メンテナンス、セキュリティ、本サービス関連の連絡
• Agreement、Applicable Data Protection Laws および Customer の文書化された指示に基づく義務への対応

Customer の指示は、Agreement、本DPA、Order Form、Customer による本サービスの設定、Customer による本サービスの利用、および両当事者が合意した追加の書面指示によって構成されます。Customer は、本サービスおよび Applicable Data Protection Laws と整合する範囲で、追加の文書化された指示を行うことができます。Route X は、本サービスの標準機能を実質的に超える指示について、法令で別段の定めがある場合を除き、合理的な費用を請求することができます。

5. 処理の詳細

本DPAに基づく処理の対象、期間、性質および目的、Data Subjects のカテゴリ、ならびに処理対象となる Customer Personal Data のカテゴリは、別紙A（処理の詳細）に記載されます。

本サービスは、Route X が明示的にこれをサポートし、かつ Customer が Agreement に基づき当該データを送信することを許可されている場合を除き、高度にセンシティブな情報、医療記録、心理療法記録、法務記録、税務記録、金融助言記録、緊急対応記録を収集または保存することを目的として設計されていません。

Customer は、Customer が本サービスに送信することを選択する Personal Data の種類および類型に対して、本サービスが適切であるかを判断する責任を負います。Customer は、本サービスが想定または適合していない Personal Data を送信してはなりません。

6. Route X の処理義務

Route X は、以下を行います。

• Customer の文書化された指示、本DPA、Agreement および Applicable Data Protection Laws にのみ従って Customer Personal Data を処理すること（Route X が服する法律により別途求められる場合を除きます）
• Customer Personal Data を処理する権限を有する人員に対し、適切な機密保持義務を課すこと
• Customer Personal Data を保護するために設計された適切な技術的・組織的措置を実施・維持すること（第 9 条（セキュリティ措置）および別紙B（セキュリティ措置）に詳細を記載します）
• 処理の性質および Route X が利用可能な情報を踏まえ、Applicable Data Protection Laws に基づく Customer の義務の履行を合理的に支援すること
• 第 12 条に従い、Data Subject Requests への対応について Customer に合理的な支援を提供すること
• 第 14 条に従い、Security Incident を Customer に通知すること
• 本DPAに従い、第 10 条に定める方法によってのみ Subprocessors を利用すること
• 第 15 条に従い、本サービス終了または満了時に Customer Personal Data を削除または返却すること

7. 顧客の責任

Customer は、以下について責任を負います。

• 本サービスの利用に関連する Applicable Data Protection Laws の遵守
• Route X が Agreement および本DPAで想定される方法で Customer Personal Data を処理できるようにするために必要な通知、同意、許可、承認および法的根拠の取得
• Agreement で想定される目的のために Customer Personal Data を Route X に提供する権利を有していること
• Customer の利用方法に応じた本サービスの適切な設定
• 本サービス内のユーザーアクセス、ロール、権限、招待およびアカウントライフサイクルの管理
• authorized users が Agreement および Acceptable Use Policy を含む適用される Route X のポリシーを遵守すること
• Agreement で禁止されているデータ、または本サービスにとって不適切なデータを送信しないこと
• 本サービスの機能を用いて対応可能な Data Subject Requests への対応
• 正確な請求、アカウント、組織情報の維持
• Customer がコーチングファームまたは組織である場合、firm administrators、affiliated coaches、organization administrators、clients、participants、employees、contractors および invited users のアクセスを、Customer の内部ポリシー、適用法令および契約上の義務に従って管理すること

8. 機密保持

Route X は、Customer Personal Data を処理する権限を有する人員に対し、雇用契約、業務委託契約、社内ポリシーその他法的拘束力ある手段を通じて、適切な機密保持義務を課します。

Route X は、Customer Personal Data へのアクセスを、本サービスの提供、保護、サポートおよび改善のため、または Agreement で許可されたその他の目的のためにアクセスを必要とする人員に限定します。

9. セキュリティ措置

Route X は、Customer Personal Data を、無権限または違法な処理および偶発的な喪失、破壊、損傷、改ざん、開示から保護するために設計された適切な技術的・組織的措置を実施・維持します。これらの措置は、技術水準、実施費用、処理の性質、範囲、状況および目的、ならびに自然人の権利および自由に対する発生可能性および重大度の異なるリスクを考慮します。

Route X のセキュリティ措置には、適用される範囲で、利用可能な範囲で、実施されている範囲で、またはインフラストラクチャがサポートする範囲で（as applicable, where available, where implemented, or where supported by infrastructure）、以下が含まれます。

• HTTPS / TLS による通信時暗号化
• サポートされる範囲での infrastructure-level encryption at rest
• アクセス制御および認証要件
• role-based permissions
• 管理アクセス制御および least-privilege の実務
• credential and secret management の実務
• OAuth トークンおよび連携用 credentials の保護
• 利用可能な範囲での security-relevant events のログ記録および監視
• 適用される範囲でのバックアップおよびリカバリの実務
• secure development の実務
• ファイルアップロードまたはストレージが利用される場合の、ファイルストレージおよびアクセス権限の制御

Route X のセキュリティ措置の詳細は、別紙B（セキュリティ措置）および Security Overview に記載されています。Route X は、Agreement の期間中、Customer Personal Data に対する全体的な保護水準を実質的に低下させない限り、随時セキュリティ措置を更新することができます。

いかなるサービスもリスクを完全に排除することはできません。本DPAに記載される措置は、セキュリティリスクを排除するものではなく、低減することを目的としています。

10. サブプロセッサ

Customer は、Route X が本サービス提供のために Subprocessors を利用することを一般的に承認します。Route X は、Subprocessor が提供するサービスの性質を踏まえ、本DPAと実質的に同等のデータ保護義務を、書面契約により Subprocessors に課します。

Route X は、Applicable Data Protection Laws により求められる範囲で、Subprocessors の Customer Personal Data に関する義務履行について責任を負います。

Route X は、現在の Subprocessor List を公開 URL で維持し、または要請に応じて提供することがあります。初期の Subprocessor のカテゴリは別紙C（サブプロセッサのカテゴリ）に記載されます。

Route X は、Applicable Data Protection Laws または Agreement で求められる場合、Subprocessors の重要な変更について通知します。Customer は、Route X が指定する期間内（指定がない場合は、通知後合理的な期間内）に、合理的なデータ保護上の理由により新しい Subprocessor に異議を述べることができます。両当事者は、誠実に当該異議の解決に努めます。両当事者が異議を解決できない場合、Customer は、Customer の唯一の救済として、かつ Agreement に従い、影響を受ける本サービスの該当部分を Agreement に従い終了することができます。

11. 国際データ移転

Customer は、Route X および Subprocessors が、米国および Route X または Subprocessors が事業を営むその他の国において Customer Personal Data を処理する場合があることを認識します。Customer Personal Data は、本サービスの提供を可能とするために国境を越えて移転される場合があります。

Applicable Data Protection Laws により適法な移転メカニズムが必要とされる場合、Route X は、適用される範囲で、欧州委員会の Standard Contractual Clauses、英国 International Data Transfer Agreement または Addendum、十分性認定（adequacy decision）、その他承認された移転メカニズムなど、適切な移転メカニズムを使用します。

必要な場合、両当事者は、関連する Standard Contractual Clauses またはその他の移転条項を締結し、または引用により組み込みます。Customer は、Applicable Data Protection Laws により許可される場合、Route X が Customer に代わって Subprocessors との間で Standard Contractual Clauses またはこれと同等の移転条項を締結することを承認します。

12. データ主体からの請求

Route X は、処理の性質を踏まえ、技術的に可能かつ法的に求められる範囲で、適切な技術的・組織的措置により、Customer Personal Data に関して Data Subjects が Applicable Data Protection Laws 上の権利を行使するために行う請求（以下「Data Subject Requests」といいます）への Customer による対応を合理的に支援します。

Route X が Data Subject から Customer Personal Data に関する Data Subject Request を直接受領した場合、Applicable Data Protection Laws により Route X が直接対応することが求められる場合を除き、Route X は当該 Data Subject を Customer に案内し、または当該請求を Customer に転送することができます。

Customer は、Data Subject Requests への対応について第一次的な責任を負い、本サービスの機能を通じて対応可能な範囲（例えば、利用可能なツールにより Customer Personal Data にアクセス、エクスポート、修正または削除すること）でこれを行います。

13. コンプライアンス支援

Route X は、処理の性質および Route X が利用可能な情報を踏まえ、以下に関する Customer の義務について Customer に合理的な支援を提供します。

• 処理のセキュリティ
• 個人データ侵害の通知
• data protection impact assessments（データ保護影響評価）
• 必要な場合における監督機関との事前協議
• Data Subject Requests
• その他 Applicable Data Protection Laws に基づく関連義務

Route X は、当該支援が Route X による本DPA違反に起因する場合を除き、標準サポートを実質的に超える支援について合理的な費用を請求することができます。

14. セキュリティインシデント

Route X は、Customer Personal Data に影響する Security Incident を認識した後、不当な遅滞なく Customer に通知します。

当該通知には、通知時点で Route X が合理的に利用可能な情報の範囲で、以下を含めるものとします。

• Security Incident の性質
• 影響を受けた、または影響を受けた可能性のある Customer Personal Data のカテゴリ
• 影響を受けた、または影響を受けた可能性のある Data Subjects のカテゴリ
• Security Incident に対処するために実施または実施が提案された措置（適切な場合、起こり得る悪影響を軽減するための措置を含みます）
• Customer が潜在的な悪影響を軽減するために取り得る措置

Route X は、利用可能となり次第、追加の情報を適宜提供することがあります。Security Incident の通知または対応は、Route X による過失または責任の自認を構成するものではありません。

Customer は、Route X が法令により直接通知を行う義務を負う場合を除き、Data Subjects、規制当局、顧客、従業員、参加者、その他第三者への通知の要否を判断する責任を負います。

15. Customer Personal Data の削除または返却

Agreement の終了または満了時、Route X は、Agreement、Customer の文書化された指示および Applicable Data Protection Laws に従って、Customer Personal Data を削除または返却します。

Customer は、本サービスがサポートする範囲で、終了または満了前に、利用可能な本サービスの機能を用いて Customer Personal Data をエクスポートすることができます。Customer がコピーの保持を希望する場合、Customer は、終了または満了前に Customer Personal Data を適切にエクスポートまたはバックアップする責任を負います。

上記にかかわらず、Route X は、請求、法務、コンプライアンス、セキュリティ、バックアップ、監査、紛争解決、その他正当な事業目的のため、法令により求められるまたは許容される範囲で、Customer Personal Data を保持することができます。Customer Personal Data のバックアップコピーは、Route X のバックアップおよび保持実務に従って一定期間残存し、当該実務の通常の過程において上書きまたは削除されます。

16. 監査および情報提供に関する権利

Route X は、機密性、セキュリティおよび法的制約に従い、本DPAの遵守を示すために合理的に必要な情報を Customer に提供します。

Customer は、Route X のセキュリティ措置、Subprocessors およびデータ取扱実務に関する情報の提供を求めることができます。Route X は、文書、Security Overview、利用可能な場合には認証報告書、セキュリティ質問票への回答、その他関連情報を提供することにより対応することができます。

Applicable Data Protection Laws または契約上の義務により on-site その他の監査が求められる場合、当該監査は以下に従うものとします。

• 本DPAの遵守を示すために合理的に必要な情報に限定されること
• 通常の営業時間内に行われること
• 合理的な事前の書面通知に基づき行われること
• Route X の事業運営を不当に妨げない方法で行われること
• Route X のシステム、他の顧客のデータ、または第三者情報のセキュリティ、機密性または可用性を損なわない方法で行われること

Route X は、過剰、重複、不合理であるか、またはセキュリティもしくは機密性に関するリスクを生じさせる監査要求を拒否または制限することができます。両当事者は、本DPAの遵守に関する具体的な懸念事項について誠実に協議します。Applicable Data Protection Laws により求められる監査を超えて要求される監査については、合理的な費用が課される場合があります。

17. 顧客データの所有権

両当事者間において、Customer は Customer Personal Data に関するすべての権利、権原および利益を保持します（Agreement に基づき付与される利用許諾に従います）。Route X は、本DPAまたは Agreement に基づき Customer Personal Data の所有権を取得しません。

Route X は、本DPA、Agreement、Customer の文書化された指示、および Applicable Data Protection Laws にのみ従って Customer Personal Data を処理します。

18. 匿名化・集計化データの利用

Route X は、本サービスの利用から得られる de-identified、aggregated、または anonymized data（Customer、Customer の authorized users または個別の Data Subject を識別せず、合理的に識別する能力を有しないデータに限ります）を、セキュリティ、分析、サービス改善、信頼性、パフォーマンス監視および製品開発等の目的で処理することができます。

Route X は、Agreement、Privacy Policy、または Applicable Data Protection Laws により求められまたは許容される場合を除き、Customer または該当ユーザーの明示的な承認なく、識別可能な Coaching Content を AI model training に使用しません。

19. 規制対象データおよびセンシティブデータ

Route X はコーチング管理プラットフォームです。本サービスは、書面で明示的に合意される場合を除き、医療、心理療法、法務、税務、金融、緊急対応、その他規制対象の専門サービスのための記録システムとして機能することを目的として設計されていません。

Customer は、以下のすべてを満たす場合を除き、規制対象または高度にセンシティブなデータを本サービスに送信してはなりません。

• Customer が必要な権利、同意、通知、承認および法的根拠を有していること
• 当該データの送信が Agreement で許可されていること
• 本サービスが当該データに対して適切であること
• 必要な場合、Route X が書面により明示的に同意していること

センシティブデータには、health information、mental health information、biometric data、政府発行の identification numbers、financial account information、trade secrets、employment records、その他 Applicable Data Protection Laws またはその他の適用法令により高度な法的保護を受けるデータのカテゴリが含まれる場合があります。

20. 第三者連携

本サービスは、Customer または authorized users が、calendar providers、video meeting providers、payment processors、email tools、storage providers、その他の外部連携を接続することを可能とする場合があります。

Customer は、Customer およびその authorized users が、第三者アカウントを接続し、当該連携を通じてデータを処理する権利を有することを確保する責任を負います。Customer はまた、当該接続を通じてアクセスされ得るデータの主体となる個人から、必要な同意を取得する責任を負います。

Route X は、第三者連携から受領するデータを、本サービスの connected features の提供に必要な範囲でのみ処理します。例として、availability calculation、calendar event creation or update、meeting link generation、billing event processing、関連ワークフロー等が挙げられます。

Route X は、Route X が管理しない第三者サービスについて責任を負いません。当該第三者サービスは、それぞれの terms、privacy policies、security practices、data processing terms に従ってデータを処理する場合があります。Customer は、Customer 自身の評価の一環として、関連する第三者プロバイダのポリシーを確認することが望まれます。

21. 優先順位

Customer Personal Data の処理に関して、本DPAと Agreement の内容が矛盾する場合、本DPAが優先します。

本DPAと、Applicable Data Protection Laws の下で適用される Standard Contractual Clauses またはその他必須の移転条項との間に矛盾がある場合、当該条項または移転条項が当該矛盾の範囲で優先します。

本DPAと、Customer Personal Data の処理について個別に対象とした Customer と Route X との間の別途の書面契約との間に矛盾がある場合、当該別途の書面契約が当該矛盾の範囲で優先します。

22. 責任

本DPAに起因し、または関連する各当事者の責任は、Applicable Data Protection Laws により制限が禁止される場合を除き、Agreement に定める責任の制限および除外に従います。

本DPAのいかなる規定も、Applicable Data Protection Laws により制限が禁止される範囲において、いずれの当事者の責任も制限するものではありません。

23. 本DPAの変更

Route X は、本サービス、Applicable Data Protection Laws、Subprocessors、セキュリティ実務または事業運営の変更を反映するため、本DPAを随時更新することができます。

Route X が、Customer Personal Data に関する Customer の権利または Route X の義務を実質的に減少させる重要な変更を行う場合、Route X は、email、in-app notice、website notice、customer account notice、その他合理的な方法により、Customer に対し合理的な通知を行います。

Customer が更新後の本DPAの発効日以降も本サービスの利用を継続する場合、Applicable Data Protection Laws または両当事者間の別途の書面契約により別段の定めがない限り、Customer は更新後の本DPAを承諾したものとみなされます。

24. お問い合わせ

本DPAに関するご質問またはご通知は、以下までお寄せください。

別紙A: 処理の詳細

1. 処理の対象

Route X は、個人コーチ、コーチングファーム、組織、クライアント、参加者および関連ユーザーを対象としたコーチング管理 SaaS を提供するために Customer Personal Data を処理します。

2. 処理期間

Customer Personal Data は、Agreement の期間中、ならびに法務、請求、セキュリティ、バックアップ、監査、コンプライアンス、紛争解決、その他正当な事業目的のために必要な期間にわたって処理されます。

3. 処理の性質

処理操作には、適用される範囲で以下が含まれます。

• collection（収集）
• recording（記録）
• organization（整理）
• structuring（構成）
• storage（保存）
• retrieval（検索）
• consultation（参照）
• display（表示）
• transmission（送信）
• modification（変更）
• deletion（削除）
• export（エクスポート）
• access control（アクセス制御）
• 運用およびセキュリティ目的の analysis（分析）
• サポートおよびトラブルシューティング

4. 処理目的

Customer Personal Data は、適用される範囲で以下の目的のために処理されます。

• ユーザー登録およびアカウント管理
• 認証および権限管理
• クライアントおよびコンタクトの管理
• コーチングセッションのスケジューリングおよび予約
• セッションログおよびコーチング記録
• 目標管理
• アクションアイテムの追跡
• 振り返りおよび成長記録の管理
• 組織およびメンバーシップの管理
• role-based permissions
• カレンダーおよびミーティング連携
• 請求およびサブスクリプション管理
• カスタマーサポート
• セキュリティ、不正防止、監視および監査
• 本サービスの維持および改善

5. Data Subjects のカテゴリ

Customer Personal Data は、適用される範囲で以下のカテゴリの Data Subjects に関連する場合があります。

• 個人コーチ
• 所属コーチ（affiliated coaches）
• コーチングファームの管理者（coaching firm administrators）
• 組織管理者（organization administrators）
• クライアント
• 法人参加者（corporate participants）
• Customer の従業員または業務委託先
• 招待ユーザー（invited users）
• 請求担当者（billing contacts）
• サポート担当者（support contacts）
• その他、Customer または authorized users により本サービスに情報が送信されるその他の個人

6. Customer Personal Data のカテゴリ

Customer Personal Data には、適用される範囲で以下が含まれる場合があります。

• 氏名
• email address
• 提供される場合は電話番号
• 組織または会社名
• 役割、肩書き、ユーザータイプ
• アカウント認証情報または認証 identifiers
• プロフィール情報
• コーチング関係情報
• クライアント記録
• セッション日時、ノート、ログおよび関連メタデータ
• 目標、アクションアイテム、振り返りおよび成長記録
• 予約およびスケジューリング情報
• タイムゾーンおよび空き状況情報
• カレンダー連携メタデータ
• ミーティング連携メタデータ
• 請求 identifiers、プラン情報およびサブスクリプションのステータス
• サポートとのコミュニケーション
• 適用される場合、アップロードファイルまたは共有資料
• 監査およびセキュリティログ
• 適用される場合、連携用 tokens または identifiers

7. 特別カテゴリまたはセンシティブデータ

本サービスは、本サービスがこれを明示的にサポートし、かつ書面で合意される場合を除き、special categories of Personal Data または高度にセンシティブなデータを収集または保存することを目的とするものではありません。ただし、Customer またはそのユーザーが入力する内容によっては、コーチング関連の素材にセンシティブまたは機密性のある情報が含まれる可能性があります。Customer は、本サービスに送信されるセンシティブデータが適法、適切かつ権限あるものであり、Agreement および Applicable Data Protection Laws に従うことを確保する責任を負います。

8. 処理頻度

処理は、Customer による本サービスの利用中、継続的または必要に応じて行われます。

別紙B: セキュリティ措置

本別紙は、Customer Personal Data を保護するために Route X が実施する、または実施しつつある技術的・組織的措置を、適用される範囲で、利用可能な範囲で、実施されている範囲で、またはインフラストラクチャがサポートする範囲で（as applicable, where available, where implemented, or where supported by infrastructure）記載するものです。Route X は、Agreement の期間中、Customer Personal Data に対する全体的な保護水準を実質的に低下させない限り、これらの措置を随時更新することができます。

1. アクセス制御（Access Control）

• 本サービスの保護領域に対する authentication の要求
• role-based access controls
• 管理アクセスの制限
• アカウント、ロール、組織または authorization level によって制限されたユーザーアクセス
• 適用される範囲で、アカウントの停止、有効期限切れ、またはブロック

2. 認証およびセッションセキュリティ（Authentication and Session Security）

• ログインおよびセッション管理の制御
• 利用可能な範囲で、パスワードリセットおよびアカウントリカバリの制御
• token handling の制御
• 適用される範囲で、ログアウトおよびセッション無効化
• 保護されたルートおよび API への無権限アクセスに対する保護

3. データ保護（Data Protection）

• HTTPS / TLS による通信時暗号化
• サポートされる範囲での infrastructure-level encryption at rest
• Personal Data、コーチング関連データ、請求 identifiers および連携データに対する合理的な保護措置
• data minimization の実務
• 適切な業務上の必要性を有する人員にアクセスを限定すること

4. 連携セキュリティ（Integration Security）

• サポートされる範囲での OAuth ベースの認可フロー
• OAuth access または refresh tokens がフロントエンドの URL、ブラウザ履歴またはクライアントサイドのログに露出しないように設計された制御
• token storage の保護
• 適用される範囲で、文書化された OAuth scopes および callback 設定
• 適用される範囲で、連携の切断または再接続フロー

5. 決済セキュリティ（Payment Security）

• Stripe 等の第三者 payment processors を通じた決済処理
• Route X は、完全なペイメントカード番号を保管しない
• サブスクリプション、請求書および支払方法の管理に、billing portal または payment processor のツールが使用される場合があること
• 適用される範囲で、webhook の検証およびサブスクリプションステータスの同期

6. ファイルおよびストレージのセキュリティ（File and Storage Security）

• アップロードファイルまたは共有ファイルへのアクセス制限
• 適用される範囲で、private storage の構成
• 実施されている範囲で、signed URL 等の制御されたアクセス方式
• 適用される範囲で、ストレージシステムに対する least-privilege アクセス
• 適用される範囲で、アップロード上限またはコンテンツ制限

7. ログおよび監視（Logging and Monitoring）

• 利用可能な範囲で、security-relevant logs
• 利用可能な範囲で、管理アクションログ
• 利用可能な範囲で、組織、ロール、サブスクリプションおよびユーザーステータスの変更ログ
• 信頼性およびサポート用のエラーおよびパフォーマンスログ
• 実施されている範囲で、不審な活動を検知するために設計された監視

8. セキュア開発（Secure Development）

• secret およびcredential 管理の実務
• environment variable の管理
• サンプル設定ファイル内の実 credentials の除去または回避
• コードレビューまたは開発レビューの実務
• 依存関係の管理
• DTO バリデーション、入力バリデーション、API エラー処理の実務
• 重要なワークフローに対するリリース前テスト

9. インシデント対応（Incident Response）

• Security Incident の疑いがあるイベントの評価
• 封じ込めおよび調査
• 復旧措置
• 適用法令または契約上の義務により求められる場合の通知
• 適切な場合、インシデント後の改善

別紙C: サブプロセッサのカテゴリ

本サービス提供を支えるために、Route X は、適用される範囲で、以下のカテゴリの Subprocessors を利用することがあります。具体的なプロバイダは時とともに変更される場合があり、すべてのカテゴリがすべての Customer または機能について利用されるわけではありません。

Route X は、プロバイダの追加、変更、削除に応じて、現在の Subprocessor List を別途維持・更新することが望ましい。

別紙D: 法域別補足条項

1. GDPR / UK GDPR

Customer Personal Data の処理に GDPR または UK GDPR が適用される場合、両当事者は、本DPAが GDPR 第 28 条（および UK GDPR の対応する規定）に基づく processor contract の要件を満たすことを意図しています。当該要件には、以下に関する義務が含まれます。

• Controller の文書化された指示にのみ従って処理を行うこと
• Personal Data の処理を権限付けられた人員に対する機密保持義務
• 適切な技術的・組織的セキュリティ措置
• Subprocessors の利用
• Data Subject Requests への支援
• セキュリティ、breach notification、data protection impact assessments および事前協議への支援
• Personal Data の削除または返却および遵守を示すために必要な情報の提供

Customer Personal Data が、欧州経済領域、英国またはスイス外であって十分なデータ保護水準を有しない国に移転される場合、両当事者は、適用される範囲で、Standard Contractual Clauses、英国 International Data Transfer Agreement または Addendum、その他適法な移転メカニズムを使用します。

2. 日本の個人情報保護法（APPI）

日本の個人情報の保護に関する法律（「APPI」）が適用される場合、Customer は、Personal Data を Route X に提供するための適法な根拠を確立し、APPI 上必要な通知を行い、必要な同意を取得する責任を負います。

Route X は、本DPAに従って Customer Personal Data を処理し、処理の性質に応じた適切なセキュリティ措置を講じます。

APPI 上の越境移転要件が適用される場合、Route X が書面契約で当該責任を明示的に引き受けない限り、Customer は、追加の通知、同意、契約措置、またはその他の移転メカニズムが必要かどうかを判断する責任を負います。

3. California Privacy Laws

California privacy laws が適用され、Route X が Customer の "service provider" または "contractor" として Customer Personal Data を処理する場合、以下が適用されます。

• Route X は、Agreement および本DPAに記載された business purposes のためにのみ Customer Personal Data を処理します。
• Route X は、Customer により明示的に承認され、かつ Applicable Data Protection Laws により許容される場合を除き、Customer Personal Data を "sell" せず、cross-context behavioral advertising のために "share" しません。
• Route X は、Applicable Data Protection Laws および Agreement で許容される場合を除き、Customer との直接的な事業関係の範囲外で Customer Personal Data を保持、利用、または開示しません。

別紙E: 顧客の指示および設定責任

Customer は、本サービスを適切に設定および利用する責任を負います。Customer の責任には、適用される範囲で以下が含まれます。

• 適切なユーザーロールの割当
• アクセスを必要としなくなったユーザーの削除
• 組織管理者およびファーム管理者の権限の見直し
• クライアント、参加者、コーチおよびメンバーの招待管理
• 権限を有する第三者アカウントのみを接続すること
• 必要な場合、カレンダー、ミーティング、ファイルおよびデータ共有に関する同意の取得
• 不必要に高度にセンシティブなデータを送信しないこと
• Customer がコピーの保持を希望する場合、キャンセルまたは満了前にデータをエクスポートすること
• 本サービスの機能を通じて Customer が対応可能な範囲での Data Subject Requests への対応

Route X は、本サービス内で意図しないデータ処理、アクセス、または開示が生じる結果となる、Customer、その管理者またはその authorized users による作為、不作為または設定上の選択について責任を負いません。