データ処理補遺（DPA）

お客様（先生または音楽教室）が Note & Key を利用して EU／英国／EEA に居住する生徒のデータを取り扱う場合、 GDPR／UK GDPR の意味において、お客様は管理者（Controller）であり、Note & Key は処理者（Processor）です。

本 DPA は、当社がそのデータを処理する際の条件を定めるものです。本 DPA に依拠する必要があるすべてのお客様について、 本 DPA は 利用規約に組み込まれます。貴組織のレターヘッドに当社が副署した写しが必要な場合は、 [email protected] までメールをお送りください。無料で副署いたします。

Note & Key 上での生徒の個人データの処理目的と処理手段は、お客様が決定します。当社は、文書化されたお客様の 指示に基づいてのみそのデータを処理します。その指示とは、(a) お客様がアプリ内で行う操作（生徒の作成、録音の アップロード、請求書の送付など）、および (b) noteandkey.app に記載されたサービスの提供に必要な事項です。

当社は次の種類の個人データを処理します。

• 生徒データ：氏名、生年月日、楽器、技術レベル、レッスンのスケジュール、先生のメモ、 検定試験の履歴。
• 保護者データ：氏名、メールアドレス、電話番号。
• 練習コンテンツ：音声録音、動画のアップロード、楽譜の PDF、写真。未成年が関わることが多くあります。
• コミュニケーション：アプリ内メッセージ、フィードバックのコメント、請求書のメモ。
• 請求に関するメタデータ：請求額、支払い方法、支払い状況。カード番号は決して含みません。

データ主体の種類：教室の管理者、先生、生徒（未成年を含む）、生徒の保護者。

当社は、お客様の教室のアカウントが有効である限りデータを処理します。お客様がアカウントを削除した場合 （または当社が正当な理由によりアカウントを閉鎖した場合）、当社は30日以内に個人データを削除します。バックアップは、 さらに90日以内に消去されます。

匿名化・集計されたデータ（例：「全教室の月間アップロード総数」）は、無期限に保持される場合があります。

当社は、お客様のデータへのアクセスを、サービスの提供に必要とする担当者に限定しています。すべての担当者は、 書面による守秘義務を負っています。アクセスは記録されます。

当社は、それ以外の目的でお客様のデータにアクセスしません。お客様のデータで機械学習モデルを学習させることは ありません。いかなる第三者のためにも、データを販売、貸与、または分析することはありません。

当社は、サービスを提供するために次の再委託先を利用しています。お客様は、本 DPA に同意することにより、 この一覧を承認します。変更がある場合は、少なくとも14日前までにメールおよび本ページでお知らせします。合理的な 理由により異議がある場合、お客様は契約を終了することができます。

• Supabase Inc.（データベース、認証、ストレージ）。リージョンに応じて US-East または EU-West にデータを保存します。EU 域外への移転は SCC に基づきます。
• Fly.io Inc.（コンピューティング／ウェブホスティング）。サーバーはカリフォルニア州 サンノゼにあります。SCC に基づきます。
• Stripe Inc.（請求書の支払いのためにお客様が Stripe アカウントを連携した場合）。Stripe は、 カード決済の処理については自社の規約に基づく独立した管理者であり、その工程において当社の再委託先ではありません。
• Resend, Inc.（当社がメールで送付する請求書の、取引に関するメールの配信）。米国拠点、 SCC に基づきます。
• Apple Inc. および Google LLC （プッシュ通知およびアプリの配信）。

当社は、リスクに応じた適切な技術的・組織的措置を講じています。これには次のものが含まれます。

• 通信時（TLS 1.2 以上）および保存時（AES-256）の暗号化。
• Postgres における行レベルセキュリティ（RLS）のポリシー。すべてのクエリは、呼び出したユーザーの教室の範囲に 限定されます。
• サービスロールキーは Fly のシークレットに保管し、コード内には決して置きません。
• 有効期限の短いユーザーごとのアクセストークンと、リフレッシュトークンのローテーション。
• 管理機能へのアクセスの記録。
• 本番データベースに対する管理者セッションを常時維持しないこと。

生徒／保護者から GDPR に基づく権利（アクセス、訂正、消去、制限、ポータビリティ、異議）の行使を求められた場合、 その対応はお客様の責任となります。当社は、次の方法を含めてお客様を支援します。

• 教室ごとに JSON 形式のセルフサービスによるデータのエクスポートを提供すること（「設定」→ 「アカウント」→「エクスポート」）。
• 依頼から30日以内に、ご家庭のアカウントを完全に削除すること（「設定」→「アカウント」→ 「削除」）。
• 個別の事案に関するご質問に [email protected] でお答えすること。

お客様の教室に影響する個人データの漏えいを発見した場合、当社は不当な遅滞なく、いかなる場合も認識してから72時間以内に、書面でお客様に通知します。通知には、漏えいの性質、影響を受けたデータ主体の 種類とおおよその人数、想定される結果、および講じた措置または講じる予定の措置を記載します。

GDPR 第33条〜第34条に基づき、監督機関および影響を受けた個人に通知する責任はお客様が負います。

当社のインフラは主に米国にあります。EEA、英国、またはスイスから十分性認定を受けていない国へデータが移転される 場合、当社は該当するところに応じて、標準契約条項（欧州委員会決定 2021/914）または英国の国際データ移転契約 （IDTA）に依拠します。

利用規約の終了時、当社はすべての個人データを30日以内（本番環境）および90日以内（バックアップ）に削除します。 匿名化・集計されたデータは無期限に保持される場合があります。

合理的な書面による要請があった場合、年1回を上限として、当社のセキュリティ管理策の概要を書面で提供し、具体的な 懸念事項について話し合う機会を設けます。個人で教える先生のお客様に対して、標準では実地監査は認めていません。 より大規模な教育機関のお客様は、別途監査条項を求めることができます。

本 DPA と 利用規約との間に抵触がある場合、データ処理に関する事項については本 DPA が優先します。

Note & Key で教室を作成し、そこに個人データを保存することにより、お客様は本 DPA に同意したものとみなされます。 レターヘッドに副署した版が必要な場合は、貴組織の名称と（いる場合は）データ保護責任者の住所を添えて [email protected] までメールをお送りください。