Data Processing Agreement

データ処理契約、バージョン 1

Effective 2026-09-20. AstroWay API, api.astroway.info.

1. 私たちが誰で、何をカバーしているか

この契約は、データ管理者として行動する あなた、顧客 と、ウクライナの個人事業主（ФОП）Maksym Burkhan が、Article 28 GDPR に基づき api.astroway.info をあなたのデータ処理者として運営することの間のものです。

この契約は、あなたのアカウントが存在し、API にリクエストを送信している限り適用され、API を通じて送信したデータのみを対象とします。あなた自身のアカウント詳細は別問題で、当社が管理者となり、当社のプライバシーポリシーが適用されます。

2. 私たちが処理するものとその理由

対象と目的。 あなたは出生データ（日時、タイムゾーンまたはオフセット、座標）を API に送ります。私たちは占星術結果を計算し、返します。これが全ての目的であり、API 呼び出しはあなたの指示です。

データ主体のカテゴリ。 あなたのエンドユーザー、または出生時刻を送信するすべての人。

データの種類。 出生日時、座標、そしてオプションの name と city フィールド。name と city は決して保存されません：リクエストの処理中のみメモリに保持され、どこにも書き込まれません。

期間。 セクション9に従い、あなたのアカウント存続期間中。

個人ではなく呼び出しに関して記録する項目。 エンドポイント、メソッド、ステータス、レイテンシ、バイト数、呼び出し元IPアドレスの塩付不可逆ダイジェストとその最初の16ビット、User-Agent、オリジン、そして大まかな国・都市・ネットワーク事業者。これらは30日間保持します。

3. 私たちが約束すること

• 私たちは あなたの文書化された指示 に基づいてのみデータを処理します。これはあなたが行う API 呼び出しと、送信する書面による指示です。EU または加盟国の法律で別途要求される場合を除き、その場合は法律が禁止しない限り、処理前にあなたに通知します。
• 指示が違法に見える場合、静かに実行せずにすぐにその旨を伝えます。
• サービスは一人の人物によって運営されており、機密保持義務 を負い、管理アクセス権を持つ唯一の人間です。
• セクション5のセキュリティ対策 を保持しています。
• データ主体のリクエストへの対応や、Article 32〜36に基づくあなたの義務の支援を、可能な範囲で、当社が保持している情報を考慮して 行います。この限定は法律そのもののもので、具体的には：名前、メール、識別子を保持していないため、通常は当社側で個人の行を特定できません。あなたは自分の記録を通じて、DELETE /v1/me/account によりアカウントに関する全てを削除できます。
• 私たちはあなたのデータを自社目的で使用せず、販売もせず、モデルの学習にも使用しません。

4. サブプロセッサー

サブプロセッサー	役割	場所
Hetzner Online GmbH	計算、データベース、ファイルストレージ	ニュルンベルク、ドイツ
Cloudflare, Inc.	CDN、DNS、DDoS保護、EUリージョンのキャッシュルール付き	米国企業、EUエッジがEUトラフィックを提供

私たちは彼らにもここで課すのと同じデータ保護義務を課し、彼らの行為について 完全にあなたに対して責任を負います。

あなたはこの二者に対して一般的な許可を与えます。追加または置換する際はメールで通知し、合理的なデータ保護上の理由で異議を申し立てることができます。異議が解決できない場合、サービスの利用を停止でき、支払済み期間の未使用分を返金します。

支払いおよびメールベンダーは意図的にこの表に入れていません。なぜなら彼らは本契約でカバーされるデータにアクセスしないからです。Brevo が取引メールを送信し、Monobank がカード決済を受け取り、LiqPay が2026年10月に追加されました。どちらもエンドユーザーではなくあなたのアカウントに関わるため、プライバシーポリシーで名前が挙げられています。

5. セキュリティ

• 通信はTLSのみで、平文HTTPはリダイレクトされます。
• パスワードはbcryptでハッシュ化され、APIキーもハッシュ化して保存されます。
• IPアドレスは塩付SHA-256でのみ保存され、行が書き込まれる際に計算されます。塩はサーバー環境にあり、コード内にはありません。
• データベースアカウントは利用者ごとに分離され、最小限の権限で動作し、データベースはループバックのみでリッスンします。
• バックアップはマシンから出る前にAES-256で暗号化されます。
• 管理アクセスはSSHキーによる一人のみで、共有認証情報はありません。

当社が持っていないもの、それを主張するよりも言う方が悪いので：SOC 2レポートも自社のISO 27001証明書も保持していません。Hetzner はサーバーが置かれるデータセンターに対して ISO/IEC 27001 を取得しています。

6. 移転、簡潔に説明

あなたのデータは ドイツ・ニュルンベルク のサーバーで処理され、EEA 外へは複製しません。

しかし当社は ウクライナ に拠点を置いており、Article 45 の適合性決定がありません。EDPB ガイドライン 05/2021 により、これは第三国への移転とみなされ、ウクライナからドイツサーバーへの管理アクセスも同様です。リモートアクセスは何もコピーしなくても移転とカウントされます。したがって、越境移転がないとは言いません。移転はあり、これがその根拠です。

当社は Standard Contractual Clauses of Implementing Decision (EU) 2021/914, Module Two (controller to processor) に参加しており、参照により本契約に組み込まれ、矛盾があれば優先されます。本契約のセクション2、5、4がそれぞれ付録I、II、IIIに相当します。両当事者の署名入りコピーは legal@astroway.info でリクエスト可能です。

実際に転送されるのは、データベースのエクスポートではなく、ドイツのシステムへの認証済み管理アクセスです。

7. コンプライアンスの証明

本契約と上記のセキュリティ記述を通じて、Article 28 のコンプライアンスを示すために必要な情報を提供し、12か月ごとに合理的な書面によるセキュリティ質問票を1回 無料で完了します。

それでも不十分な場合、12か月ごとに1回、30日間の書面通知をもって、リモートで 営業時間内に監査を実施できます。対象はあなた向けの処理のみで、他の顧客データは含みません。監査費用と監査人の費用はあなたが負担します。監督機関が検査を要求する場合はこの制限は適用されません。

8. 侵害が発生した場合

私たちは、あなたのデータに影響する個人データ侵害に気付いたら 遅滞なく あなたのアカウントメールアドレスにメールで通知します。最初の通知は不完全な場合があり、情報が増え次第追って連絡します。

エンドユーザーの連絡先情報は保持していないため、Article 34 に基づく通知はあなたの責任です。

9. 終了時

アカウントが終了したら、保持しているデータを返却するか削除するかを教えてください。指示がなければ削除します。

唯一の例外は税法で保存が義務付けられているものです：ウクライナ税法第44条第3項に基づき 1095日間（3年）保管する支払記録です。以前の草案が推測した7年ではありません。Article 17(3)(b) GDPR は法的義務のために保持される記録は削除権の対象外とするため、削除要求はそれらに及びません。

10. 本契約の受諾

あなたはダッシュボードで本契約を受諾し、その受諾記録にはアカウント、バージョン、時点が記載されます。Article 28(9) は契約を文書（「電子形式を含む」）で行うことを求めているため、その記録が契約となり、待つものはありません。ダウンロードできるPDFも同じ記録を含みます。署名済みの紙コピーはリクエストで入手可能です。

本テキストを実質的に変更した場合、新しいバージョンとなり、あなたにその受諾を求めます。既に受諾したバージョンはあなたが合意したまま残ります。