# Data Processing Agreement

{/* Generated from api-calc/src/legal/dpa-v1.md by scripts/generate-dpa-page.mjs.
    Do not edit here: the agreement, this page and the downloadable PDF are the
    same text by construction, and an edit in one place is how they stop being. */}

# データ処理契約、バージョン 1

_Effective 2026-09-20. AstroWay API, api.astroway.info._

## 1. 私たちが誰で、何をカバーしているか

この契約は、データ管理者として行動する **あなた、顧客** と、**ウクライナの個人事業主（ФОП）Maksym Burkhan** が、Article 28 GDPR に基づき `api.astroway.info` をあなたのデータ処理者として運営することの間のものです。

この契約は、あなたのアカウントが存在し、API にリクエストを送信している限り適用され、API を通じて送信したデータのみを対象とします。あなた自身のアカウント詳細は別問題で、当社が管理者となり、当社の[プライバシーポリシー](/privacy)が適用されます。

## 2. 私たちが処理するものとその理由

**対象と目的。** あなたは出生データ（日時、タイムゾーンまたはオフセット、座標）を API に送ります。私たちは占星術結果を計算し、返します。これが全ての目的であり、API 呼び出しはあなたの指示です。

**データ主体のカテゴリ。** あなたのエンドユーザー、または出生時刻を送信するすべての人。

**データの種類。** 出生日時、座標、そしてオプションの `name` と `city` フィールド。**`name` と `city` は決して保存されません**：リクエストの処理中のみメモリに保持され、どこにも書き込まれません。

**期間。** セクション9に従い、あなたのアカウント存続期間中。

**個人ではなく呼び出しに関して記録する項目。** エンドポイント、メソッド、ステータス、レイテンシ、バイト数、呼び出し元IPアドレスの塩付不可逆ダイジェストとその最初の16ビット、User-Agent、オリジン、そして大まかな国・都市・ネットワーク事業者。これらは30日間保持します。

## 3. 私たちが約束すること

- 私たちは **あなたの文書化された指示** に基づいてのみデータを処理します。これはあなたが行う API 呼び出しと、送信する書面による指示です。EU または加盟国の法律で別途要求される場合を除き、その場合は法律が禁止しない限り、処理前にあなたに通知します。
- **指示が違法に見える場合、静かに実行せずにすぐにその旨を伝えます**。
- サービスは一人の人物によって運営されており、**機密保持義務** を負い、管理アクセス権を持つ唯一の人間です。
- **セクション5のセキュリティ対策** を保持しています。
- データ主体のリクエストへの対応や、Article 32〜36に基づくあなたの義務の支援を、**可能な範囲で、当社が保持している情報を考慮して** 行います。この限定は法律そのもののもので、具体的には：名前、メール、識別子を保持していないため、通常は当社側で個人の行を特定できません。あなたは自分の記録を通じて、`DELETE /v1/me/account` によりアカウントに関する全てを削除できます。
- 私たちはあなたのデータを自社目的で使用せず、販売もせず、モデルの学習にも使用しません。

## 4. サブプロセッサー

| サブプロセッサー | 役割 | 場所 |
|---|---|---|
| Hetzner Online GmbH | 計算、データベース、ファイルストレージ | ニュルンベルク、ドイツ |
| Cloudflare, Inc. | CDN、DNS、DDoS保護、EUリージョンのキャッシュルール付き | 米国企業、EUエッジがEUトラフィックを提供 |

私たちは彼らにもここで課すのと同じデータ保護義務を課し、彼らの行為について **完全にあなたに対して責任を負います**。

あなたはこの二者に対して一般的な許可を与えます。追加または置換する際はメールで通知し、合理的なデータ保護上の理由で異議を申し立てることができます。異議が解決できない場合、サービスの利用を停止でき、支払済み期間の未使用分を返金します。

**支払いおよびメールベンダーは意図的にこの表に入れていません**。なぜなら彼らは本契約でカバーされるデータにアクセスしないからです。Brevo が取引メールを送信し、Monobank がカード決済を受け取り、LiqPay が2026年10月に追加されました。どちらもエンドユーザーではなくあなたのアカウントに関わるため、プライバシーポリシーで名前が挙げられています。

## 5. セキュリティ

- 通信はTLSのみで、平文HTTPはリダイレクトされます。
- パスワードはbcryptでハッシュ化され、APIキーもハッシュ化して保存されます。
- IPアドレスは塩付SHA-256でのみ保存され、行が書き込まれる際に計算されます。塩はサーバー環境にあり、コード内にはありません。
- データベースアカウントは利用者ごとに分離され、最小限の権限で動作し、データベースはループバックのみでリッスンします。
- バックアップはマシンから出る前にAES-256で暗号化されます。
- 管理アクセスはSSHキーによる一人のみで、共有認証情報はありません。

**当社が持っていないもの**、それを主張するよりも言う方が悪いので：SOC 2レポートも自社のISO 27001証明書も保持していません。Hetzner はサーバーが置かれるデータセンターに対して ISO/IEC 27001 を取得しています。

## 6. 移転、簡潔に説明

あなたのデータは **ドイツ・ニュルンベルク** のサーバーで処理され、EEA 外へは複製しません。

しかし当社は **ウクライナ** に拠点を置いており、Article 45 の適合性決定がありません。EDPB ガイドライン 05/2021 により、これは第三国への移転とみなされ、ウクライナからドイツサーバーへの管理アクセスも同様です。リモートアクセスは何もコピーしなくても移転とカウントされます。したがって、越境移転がないとは言いません。移転はあり、これがその根拠です。

当社は **Standard Contractual Clauses of Implementing Decision (EU) 2021/914, Module Two (controller to processor)** に参加しており、参照により本契約に組み込まれ、矛盾があれば優先されます。本契約のセクション2、5、4がそれぞれ付録I、II、IIIに相当します。両当事者の署名入りコピーは `legal@astroway.info` でリクエスト可能です。

実際に転送されるのは、データベースのエクスポートではなく、ドイツのシステムへの認証済み管理アクセスです。

## 7. コンプライアンスの証明

本契約と上記のセキュリティ記述を通じて、Article 28 のコンプライアンスを示すために必要な情報を提供し、**12か月ごとに合理的な書面によるセキュリティ質問票を1回** 無料で完了します。

それでも不十分な場合、12か月ごとに1回、30日間の書面通知をもって、**リモートで** 営業時間内に監査を実施できます。対象はあなた向けの処理のみで、他の顧客データは含みません。監査費用と監査人の費用はあなたが負担します。監督機関が検査を要求する場合はこの制限は適用されません。

## 8. 侵害が発生した場合

私たちは、あなたのデータに影響する個人データ侵害に気付いたら **遅滞なく** あなたのアカウントメールアドレスにメールで通知します。最初の通知は不完全な場合があり、情報が増え次第追って連絡します。

エンドユーザーの連絡先情報は保持していないため、Article 34 に基づく通知はあなたの責任です。

## 9. 終了時

アカウントが終了したら、保持しているデータを返却するか削除するかを教えてください。指示がなければ削除します。

唯一の例外は税法で保存が義務付けられているものです：ウクライナ税法第44条第3項に基づき 1095日間（3年）保管する支払記録です。以前の草案が推測した7年ではありません。Article 17(3)(b) GDPR は法的義務のために保持される記録は削除権の対象外とするため、削除要求はそれらに及びません。

## 10. 本契約の受諾

あなたはダッシュボードで本契約を受諾し、その受諾記録にはアカウント、バージョン、時点が記載されます。Article 28(9) は契約を文書（「電子形式を含む」）で行うことを求めているため、その記録が契約となり、待つものはありません。ダウンロードできるPDFも同じ記録を含みます。署名済みの紙コピーはリクエストで入手可能です。

本テキストを実質的に変更した場合、新しいバージョンとなり、あなたにその受諾を求めます。既に受諾したバージョンはあなたが合意したまま残ります。