# 開発者向けのGDPR対応アストロロジーAPI

**最初の EU 居住型アストロロジー REST API。** EU 市場向けの B2C 製品を開発する場合、GDPR への対応は最初のコードを書く前に検討すべき課題です。AstroWay は追加料金や法的手続きなしで、これをデフォルトで解決します。

<GetApiKeyBlock variant="compact" />

## なぜこれが重要なのか

他のアストロロジー API（DivineAPI、AstrologyAPI、Prokerala）は**米国/インドにホスト**されています。これは次のような問題を引き起こします。

- `birth.date`、`birth.time`、`birth.lat`、`birth.lon`（GDPR 上の個人情報）が米国/インドを経由する
- プライバシーポリシーで subprocessor の開示が必要：管轄地域を列挙しなければならない
- DPA（データ処理契約）は Enterprise プランでのみ利用可能、または別契約が必要
- **EU-EUR データ保護当局による監査リスク**：SCC なしの越境移転は €10M 以上の罰金につながる可能性

AstroWay の Pro プラン（$59/月）では、**EU 居住型をデフォルトで提供**：全データが Hetzner Nuremberg で処理され、越境移転はありません。

## 技術スタック

| 層 | 場所 / プロバイダー |
|---|---|
| **Compute** | Hetzner CPX32, Nuremberg (Germany) |
| **データベース** | 同一 VPS 上の EU 居住型 — **データは Nuremberg インフラから出ない** |
| **CDN / DNS** | Cloudflare with EU-region cache rules（EU からのリクエストは EU エッジで処理） |
| **トランザクションメール** | Brevo（旧 Sendinblue）、EU 拠点、GDPR 対応 SMTP |
| **PDF ストレージ** | Hetzner Storage Box（Nuremberg）— 署名付き URL TTL 24h、越境複製なし |
| **アナリティクス** | anonymizeIp を有効化した GA4 + イベントに個人データなし（Plausible self-hosted はロードマップ上） |
| **ログ** | 構造化 JSON、IP はハッシュ化のみ（生 IP なし）、保持期間 30 日 |

## GDPR — 提供するもの

### デフォルト（Pro+ キー向け）

- ✅ **EU 内のみのデータフロー** — birth-data は Nuremberg から出ない
- ✅ **個人データの越境移転なし** — インフラレベルの設定で確認済み
- ✅ **IP ハッシュ化** — ログには SHA-256 ハッシュ + リクエスト制限用の先頭 16 ビットのみ保存
- ✅ **ログ保持期間 30 日** — 30 日後に自動削除
- ⚠️ **匿名化アナリティクス（GA4）** — anonymize_ip + イベントに個人データなし。Plausible self-hosted（cookie なし）はロードマップ上。移行までの間、B2C フロントエンドに独自の cookie バナーを実装することを推奨。
- ✅ **削除権（Right to erasure）**：`DELETE /v1/me/account`（Bearer JWT、ボディ `{"confirmation": "DELETE"}`）— アカウントと関連データを即座に削除

### 要望時（Pro+ サブスクライバー向け）

- 📄 **DPA（データ処理契約）** — GDPR Art. 28 標準テンプレート、双方署名済み。5 営業日以内に提供。`legal@astroway.info` までメールで。
- 📋 **Sub-processor リスト** — Hetzner、Cloudflare、SMTP プロバイダー、Stripe（Stripe 顧客向け）などの完全リストと各社のコンプライアンス文書。Brevo は DPA 付録に記載。
- 🗂️ **DPIA（データ保護影響評価）への技術的入力** — 顧客の法務チームが DPIA を実施する場合、当社側の技術資料を提供。

<Aside type="tip">
**DPA は Enterprise プランに限定されません。** 競合他社では DPA = 営業への問い合わせ → 2 週間の交渉 → 個別価格設定となるのに対し、当社では Pro プラン（$59/月）で標準提供され、メールで即座に入手可能です。
</Aside>

### Enterprise 顧客向け（個別プラン）

- 🛡️ **SOC 2 Type II** — ロードマップ上（監査会社未決定、ETA TBD）。これが統合の障害となる場合は `legal@astroway.info` までご連絡ください。個別監査の可能性を検討します。
- 🇪🇺 **EU 内法人** — 現在の法人形態はウクライナの個人事業主（Maxim Burkhan）。調達部門がドイツ/エストニアの GmbH を要求する場合は `legal@astroway.info` 経由で個別に対応（4–8 週間）。
- 🔐 **専用インフラ（要望時）** — Nuremberg の専用 VPS、独立した DB、共有 compute なし
- 📞 **セキュリティ専用連絡先** — インシデント対応用 `security@astroway.info`

## 比較：AstroWay vs 米国ホストの競合他社

| EU 開発者にとって重要な要素 | AstroWay Pro $59 | DivineAPI | AstrologyAPI | Prokerala |
|---|---|---|---|---|
| EU 内 Compute | ✅ Hetzner Nuremberg | ❌ 米国 | ❌ 米国 | ❌ インド |
| 標準 DPA 利用可 | ✅ Pro+ 向け | ❌ Enterprise のみ | ❌ Enterprise のみ | ❌ Enterprise のみ |
| GDPR 対応（デフォルト） | ✅ インフラレベル | ⚠️ SCC 経由 | ⚠️ SCC 経由 | ⚠️ SCC 経由 |
| Cookie なしアナリティクス | ⚠️ GA4 匿名化（Plausible はロードマップ上） | ❌ GA4 | ❌ GA4 | ❌ GA4 |
| EU 内データフロー保証 | ✅ 書面で保証 | ❌ | ❌ | ❌ |
| DPIA への技術的入力 | ✅ 提供可 | ❌ | ❌ | ❌ |
| 削除権エンドポイント | ✅ `DELETE /v1/me/account` | ❌ チケット経由 | ❌ チケット経由 | ❌ チケット経由 |

## 価格

EU 居住型、DPA、インフラレベルの GDPR 対応 — **全て Pro プラン（$59/月）に含まれています**。別料金、営業への問い合わせ、個別価格設定は不要です。

これは意図的な戦略です：Hetzner へのホスティングは追加費用がかからず（当社 VPS は常に Nuremberg にあるため）、DPA はメールで一度署名するだけの標準テンプレートです。プライバシーのために余分にお金を払う必要はありません。

<CtaBlock
  title="EU 居住型、DPA、GDPR 対応 — 全て含まれています"
  subtitle="標準の Pro プラン。交渉不要、カスタムプライシング不要、5 営業日で DPA を提供。"
  ctaText="Pro を利用する"
  ctaPriceTag="$59/月"
  href="/pricing/#pro"
/>

## FAQ

### GDPR 感受性の高いプロジェクトに Free プランを使用できますか？

可能です — Free プランでも同じインフラ（Hetzner Nuremberg）、同じ匿名化アナリティクス、同じ 30 日ログ保持期間を提供しています。**Free プランでは DPA は利用できません**（管理オーバーヘッドが大きく、有料プランでのみカバー）。技術的にはデータ処理は同一です。

顧客の法務チームが署名済み DPA を要求する場合、Indie プラン（$5/月）でも DPA は提供されません。DPA が必要な場合の最安プランは **Pro（$59/月）** です。

### ECJ Schrems II 判決への対応は？Cloudflare CDN は米国企業ですが？

Cloudflare は米国企業ですが、**EU-region cache rules** を使用しています（EU からの IP は EU エッジで処理）。また、**origin server**（実際のデータ処理場所）は Hetzner Nuremberg です。個人情報（birth-data）は Cloudflare エッジを通過しますが、同一地域内であり、エッジに保存されることはありません。

医療アプリケーションや B2G などの機密性の高いシナリオでは、**Cloudflare をバイパス**して DNS ルーティングでオリジンに直接接続することも可能です。`legal@astroway.info` までご連絡ください。

### Pro プラン加入後に DPA を受け取るまでの時間は？

- **標準 DPA**（当社テンプレート）— 初回決済後にダッシュボードで `astroway-dpa-v1.pdf` を即座に入手可能
- **顧客の法務チームによるカスタム修正** — 3–5 営業日。Art. 28 の標準条項については柔軟に対応します。

### PII を扱わない B2B 開発者でも DPA に署名する必要はありますか？

顧客の製品が PII を扱う場合（birth-data は PII に該当）は、顧客の法務チームが sub-processor 全社との DPA 署名を要求する可能性が高いです。当社では標準で DPA を提供します。社内利用（従業員のみ）の場合は DPA が不要な場合もありますが、署名することを推奨します。

### `DELETE /v1/me/account` を実行した場合、AstroWay はどう処理しますか？

- API キー — ソフト削除（abuse 防止のための cooldown あり）
- アカウントとキーの関連付け — 解除され、キーは再割り当て不可
- ユーザープロファイル — 削除フラグとタイムスタンプ付きでマーク
- 使用ログ — IP ハッシュは PII ではないため、課金監査用に保持
- 注文履歴 — GDPR Art. 17 §3 e に基づく法定財務保持期間 7 年で保持
- トランザクションメール — SMTP プロバイダーにより 90 日後に自動削除

完全なフローは `legal@astroway.info` までご依頼ください。

## お問い合わせ

- **法務/DPA**: [legal@astroway.info](mailto:legal@astroway.info)
- **セキュリティインシデント**: [security@astroway.info](mailto:security@astroway.info)
- **Subprocessor リスト / DPIA**: [hello@astroway.info](mailto:hello@astroway.info)

<CtaBlock
  title="接続を開始しますか？"
  subtitle="Pro プラン $59/月 — EU 居住型、DPA、GDPR 対応をデフォルトで提供。"
  ctaText="Pro を利用する"
  ctaPriceTag="$59/月"
  href="/pricing/#pro"
/>