開発者向けのGDPR対応アストロロジーAPI
EU域内で完全なデータレジデンシーを持つ最初のアストロロジーAPI。 EU市場向けにB2C製品を開発している場合、GDPR準拠の問題は最初のコード行を書く前から発生するだろう。AstroWayは、追加料金や法的な複雑さなしに、これをデフォルトで解決する。
なぜこれが重要なのか
Section titled “なぜこれが重要なのか”他のアストロロジーAPI（DivineAPI、AstrologyAPI、Prokerala）は米国/インドにホストされている。これは次のことを意味する：
- 君の
birth.date、birth.time、birth.lat、birth.lon（GDPRにおけるPII）が米国/インドを経由する。 - プライバシーポリシーにおけるサブプロセッサーの開示：彼らの管轄区域をリストアップする必要がある。
- DPA（データ処理契約）：利用できないか、エンタープライズプランでのみ個別契約となる。
- EU-EURデータ保護機関による監査のリスク：SCCなしの国境を越えたデータ転送は、1,000万ユーロ以上の罰金につながる可能性がある。
AstroWayのProプラン（月額$59）では、EUレジデンシーがデフォルトで提供される。すべてのデータはHetzner Nurembergに保存され、そこで計算される。我々はウクライナからこれらのマシンを管理しており、DPAはこのアクセスを標準契約条項でカバーしている。あたかもアクセスがないかのように振る舞うのではなく、明確にしている。
テクニカルスタック
Section titled “テクニカルスタック”| レイヤー | ロケーション / プロバイダー |
|---|---|
| Compute | Hetzner, Nuremberg (ドイツ) |
| データベース | EUレジデント、同じデータセンター内 - データはNurembergから出ない |
| CDN / DNS | Cloudflare with EU-region cache rules (EUからのリクエストはEUエッジで処理される) |
| トランザクションメール | Brevo (旧Sendinblue), EU拠点、GDPR準拠SMTP |
| レポートファイル | Nurembergにある我々のインフラ：署名付きの期間限定リンクでのみアクセス可能、EU外へのレプリケーションなし |
| アナリティクス | anonymizeIpを有効にしたGA4 + イベントに個人データなし (Plausible self-hostedはロードマップ上) |
| ログ | 構造化JSON、IPハッシュのみ (生IPなし)、保持期間30日 |
GDPR: 提供内容
Section titled “GDPR: 提供内容”デフォルトで（すべてのPro+キー向け）
Section titled “デフォルトで（すべてのPro+キー向け）”- ✅ EU内のみのデータフロー：生年月日データはNurembergから決して出ない
- ✅ データはEU内に留まり、その意味を正確に伝える：生年月日データはNurembergに保存され、そこで計算され、他のどこにもコピーされない。我々はウクライナからこれらのシステムを管理しており、GDPR第5章は、データが移動しない場合でもリモートアクセスを転送と見なすため、DPAはこのアクセスを標準契約条項でカバーしている。
- ✅ IPアドレスのハッシュ化：ログには、ソルト付きのSHA-256ハッシュと、ネットワークは見えるがノードは特定できないアドレスの最初の16ビットのみが保存される。生のアドレスはどこにも保存しない。リクエストレート制限はプロセスメモリ内で計算され、アドレスもどこにも書き込まれない。
- ✅ ログの30日間保持：この期間後、ログは自動的に削除される。
- ⚠️ 匿名化されたアナリティクス (GA4)：anonymize_ip + イベントに個人データなし。Plausible self-hosted（クッキーなし）はロードマップ上にある。移行までは、B2Cフロントエンドに独自のクッキーバナーを設置することを推奨する。
- ✅ 消去権：
DELETE /v1/me/account(Bearer JWT, ボディ{"confirmation": "DELETE"}) は、アカウントのすべてのキーを即座に無効にし、30日間の削除保留を設定する。この期間中、POST /v1/me/account/cancel-deletionを通じてリクエストを取り消すことができ、その後、毎日のタスクが君のデータを消去する。この期間は意図的なもので、誤ったコマンドによる削除は元に戻せないべきではない。
リクエストに応じて（Pro+サブスクライバー向け）
Section titled “リクエストに応じて（Pro+サブスクライバー向け）”- 📄 DPA（データ処理契約）：標準的なGDPR第28条テンプレート。/legal/dpa/で全文を読み、ダッシュボードのボタンで同意すると、同意記録（アカウント、バージョン、日付）が記載されたPDFをすぐにダウンロードできる。第28条第9項は、「書面による、電子的形式を含む」契約を認めているため、署名を待つ必要はない。署名入りの紙のコピーは
legal@astroway.infoへのリクエストに応じて作成する。 - 📋 サブプロセッサーのリスト：完全なリスト（Hetzner、Cloudflare、我々のSMTPプロバイダー、決済プロバイダー）と、それぞれの準拠文書。BrevoはSMTPベンダーとして、DPAに署名したクライアント向けのDPA付属書に記載されている。
- 🗂️ DPIA（データ保護影響評価）への技術的インプット：君の法務チームが製品のDPIAを作成する場合、我々は我々の側から技術的な情報を提供する。
エンタープライズクライアント向け（個別プラン）
Section titled “エンタープライズクライアント向け（個別プラン）”- 🛡️ SOC 2 Type II：ロードマップ上（監査法人は未定、完了予定日未定）。これが君の統合を妨げる場合は、legal@astroway.infoまで連絡してほしい。個別の監査協力も検討する。
- 🇪🇺 EU域内の法人：現在の法人形態はウクライナの個人事業主（Maxim Burkhan）。君の調達部門がEU GmbH（ドイツ/エストニア）を要求する場合は、legal@astroway.infoを通じて個別に相談する。プロセスには4〜8週間かかる。
- 🔐 オプションの専用インフラストラクチャ：Nurembergに個別のサーバーと隔離されたデータベース
- 📞 セキュリティ直通チャネル：インシデント対応のための
security@astroway.info
比較: AstroWayと米国ホスティングの競合他社
Section titled “比較: AstroWayと米国ホスティングの競合他社”| EUのデベロッパーにとって重要 | AstroWay Pro $59 | DivineAPI | AstrologyAPI | Prokerala |
|---|---|---|---|---|
| EUでのコンピュート | ✅ Hetzner Nuremberg | ❌ 米国 | ❌ 米国 | ❌ インド |
| 標準DPAが利用可能 | ✅ Pro+で | ❌ エンタープライズのみ | ❌ エンタープライズのみ | ❌ エンタープライズのみ |
| デフォルトでのGDPR準拠 | ✅ インフラレベルで | ⚠️ SCC経由 | ⚠️ SCC経由 | ⚠️ SCC経由 |
| クッキーなしのアナリティクス | ⚠️ GA4匿名化済み (Plausibleはロードマップ上) | ❌ GA4 | ❌ GA4 | ❌ GA4 |
| EU内のみのデータフロー保証 | ✅ 書面で | ❌ | ❌ | ❌ |
| DPIAへの技術的インプット | ✅ 提供される | ❌ | ❌ | ❌ |
| 消去権エンドポイント | ✅ DELETE /v1/me/account | ❌ チケット経由 | ❌ チケット経由 | ❌ チケット経由 |
EUレジデンシー、DPA、インフラレベルでのGDPR準拠は、すべてPro $59/月プランに含まれている。個別のプランではなく、営業への問い合わせも、個別見積もりも不要だ。
これは意図的な戦略だ。Hetznerでのホスティングは我々に追加費用を発生させない（我々のインフラはすでにNurembergにあるため）、そしてDPAはメールを通じて一度署名される標準テンプレートだ。デフォルトであるべきプライバシーに対して、追加で支払う必要はない。
よくある質問
Section titled “よくある質問”GDPRに敏感なプロジェクトで無料プランを使用できますか？
Section titled “GDPRに敏感なプロジェクトで無料プランを使用できますか？”はい、無料プランは同じインフラ（Hetzner Nuremberg）、同じ匿名化されたアナリティクス、同じ30日間のログ保持期間を持つ。無料プランではDPAは利用できない（これは有料レベルでのみ回収される管理上のオーバーヘッドである）が、技術的にはデータは同じように処理される。
君の弁護士が署名済みのDPAを要求する場合は、Indie（月額$5）でも提供されない。DPA付きの最も安価なオプションはPro $59だ。
ECJ Schrems IIについてはどうですか？Cloudflare CDNは米国企業ですか？
Section titled “ECJ Schrems IIについてはどうですか？Cloudflare CDNは米国企業ですか？”Cloudflareは米国企業だが、我々はEUリージョンキャッシュルールを使用しており（EU IPからのリクエストはEUエッジで処理される）、オリジンサーバー（データが実際に処理される場所）はHetzner Nurembergだ。PII（生年月日データ）は同じリージョンのCloudflareエッジを通過し、エッジには保存されず、通過するだけだ。
特に機密性の高い利用シナリオ（医療アプリケーション、B2G）の場合、DNSルーティングを介してCloudflareをバイパスすることができる。legal@astroway.infoまで連絡してほしい。
Proに登録後、DPAはどのくらいで受け取れますか？
Section titled “Proに登録後、DPAはどのくらいで受け取れますか？”- 標準DPA（我々のテンプレート）：すぐに。テキストは/legal/dpa/で公開されており、ダッシュボードで同意し、同意記録が記載されたPDFをそこでダウンロードできる。
- 君の弁護士による個別の修正：検討するが、我々には社内弁護士がいないため、期間は約束できない。第28条の標準条項については交渉しない。これらは欧州委員会のテンプレートから採用されており、議論の余地がないようにするためだ。
独自のPIIを持たないB2B開発者であっても、DPAに署名する必要がありますか？
Section titled “独自のPIIを持たないB2B開発者であっても、DPAに署名する必要がありますか？”君の最終製品がPII（生年月日データはPIIである）を処理する場合、君の弁護士はすべてのサブプロセッサーとの署名済みDPAを要求する可能性が高い。我々はそれを標準で提供する。君の統合が内部利用（従業員のみ）である場合、DPAはそれほど重要ではないかもしれないが、それでも署名することをお勧めする。
DELETE /v1/me/accountを実行した場合、AstroWayは何をしますか？
Section titled “DELETE /v1/me/accountを実行した場合、AstroWayは何をしますか？”- APIキー：ソフト削除される（不正利用防止クールダウン）
- アカウントとキーの関連付け：切断される。キーは再割り当てできない。
- ユーザープロファイル：タイムスタンプ付きで削除済みとしてマークされる。
- 利用ログ：IPハッシュはもはやPIIではなく、請求監査のために保持される。
- 注文履歴：税法で義務付けられているため保持される。個人事業主の場合、税法第44.3条により1095日間、つまり3年間であり、7年間ではない。GDPR第17条第3項(b)は、そのような記録を消去権の対象外としている。
- トランザクションメール：SMTPプロバイダーによって90日後に自動削除される。
完全なフローはlegal@astroway.infoへのリクエストに応じて利用可能だ。
お問い合わせ
Section titled “お問い合わせ”- 法務/DPA：legal@astroway.info
- セキュリティインシデント：security@astroway.info
- サブプロセッサーリスト / DPIA：hello@astroway.info