データ処理契約（DPA）

最終更新日: 2026年6月7日

1. 本契約の趣旨

本データ処理契約（以下「本DPA」）は、Crane Valley合同会社（以下「処理者」または「当社」）が提供するFramedashサービス（以下「本サービス」）に関し、EU一般データ保護規則（GDPR）第28条に基づき、データ管理者（以下「管理者」または「お客様」）と処理者との間の個人データの処理に関する義務を定めるものです。

本DPAは、利用規約（以下「主契約」）の一部を構成します。主契約と本DPAに矛盾がある場合、個人データの処理に関しては本DPAが優先します。

2. 定義

「個人データ」「処理」「管理者」「処理者」「データ主体」「監督機関」は、GDPRに定める意味を有します。
「サブプロセッサー」とは、処理者が個人データの処理の全部または一部を再委託する第三者をいいます。
「SCCs」とは、欧州委員会実施決定（EU）2021/914に基づくEU標準契約条項をいいます。

3. 処理の詳細

3.1 処理の対象・目的

処理の目的: 本サービスの提供（テレメトリーデータの収集、保存、分析、可視化）
処理の期間: 主契約の有効期間中および本DPA第11条に定める削除完了まで
処理の性質: 自動処理（収集、記録、保存、構造化、分析、削除）

3.2 個人データの種類

テレメトリーデータ: デバイス情報、セッションメタデータ、プレイヤー座標、パフォーマンスメトリクス、およびSDKを通じて管理者が送信するよう設定したその他のデータ
プレイヤー初回観測記録: 擬似的なプレイヤー識別子をキーとする永続的なプレイヤー単位の集計記録で、当該プレイヤーが最初に観測された日時を保持します。テレメトリーデータから派生し、リテンションコホート分析のために保持されます（第11条参照）。
ネットワークメタデータ: テレメトリー取り込みエッジで処理者が観測するエンドユーザーのIPアドレス。レート制限および不正検知の目的のみで処理され（Upstash Redisにスライディングウィンドウカウンターとして短期間保持）、テレメトリーデータベースには保存されません。
テレメトリーアラート通知データ: 管理者がテレメトリーアラート配信用に設定したアラートルール名、プロジェクト名、マップ名、対象メトリクス、アラートステータス、失敗セル数および総セル数、失敗セルの割合（パーセント）、パーセント表示のしきい値、ダッシュボードリンク、および通知先メールアドレス

注記: アカウント情報（氏名、メールアドレス、組織名）およびダッシュボード利用データは、処理者がプライバシーポリシーに基づき独立した管理者として処理するものであり、本DPAの適用範囲に含まれません。

3.3 データ主体のカテゴリー

管理者が開発するゲームまたはアプリケーションのエンドユーザーで、テレメトリーデータに個人データが含まれる場合のデータ主体
管理者がテレメトリーアラート通知先として設定した担当者その他の受信者

4. 処理者の義務

処理者は以下の義務を負います。

管理者の文書による指示に基づいてのみ個人データを処理すること。ただし、EU法または加盟国法により処理が義務付けられる場合はこの限りではなく、その場合は法的制限がない限り管理者に事前通知します。
個人データの処理に従事する者に秘密保持義務を課すこと。
GDPR第32条に従い、処理のセキュリティに関する適切な技術的・組織的措置を講じること（詳細は第7条）。
サブプロセッサーの利用に関し第6条の条件を遵守すること。
データ主体の権利行使の要請に対応するため、管理者を支援すること。
データ保護影響評価および監督機関への事前相談に関し、管理者を支援すること。
主契約終了後、第11条に従い個人データを削除すること。
GDPR第28条第3項(h)に基づき、本DPAの遵守を証明するために必要な情報を管理者に提供し、監査を可能にすること。

5. 管理者の義務

管理者は以下の義務を負います。

処理者に対する指示が適用法令に適合していることを確認すること。
データ主体に対し、適切なプライバシー通知を提供すること。
個人データの処理に必要な同意またはその他の法的根拠を確保すること。
テレメトリーデータに個人識別子を含める場合、その旨を処理者に通知すること。

6. サブプロセッサー

6.1 承認済みサブプロセッサー

管理者は、本DPAに基づく個人データの処理について、以下のサブプロセッサーの利用を承認します。

ClickHouse Cloud（所在地: 米国。親会社ClickHouse B.V.はオランダ） — テレメトリーデータの保管およびクエリ処理
Cloudflare（Workers、Queues、R2。所在地: 米国） — テレメトリーデータの取り込みおよびキューバッファリングパイプライン、ならびにユーザーアップロードファイル（マップ画像、プロジェクトロゴ）の保管
Neon（所在地: 米国） — PostgreSQLデータベースホスティング（テレメトリーに関連するプロジェクトメタデータ）
Sentry（Functional Software, Inc.、所在地: 米国） — 本DPAの適用範囲においては、Webダッシュボードのサーバーサイド処理（テレメトリーデータをクエリ・集計する経路）、テレメトリー取り込みWorkerおよびコンシューマWorkerのエラー監視およびパフォーマンストレース。例外発生時のスタックトレース、リクエスト／キューメッセージのメタデータ（IPアドレス、テナントID、プロジェクトID等の処理コンテキスト）、ならびに本番環境では当該経路で処理されたリクエストの約10%（Webサーバー）および約5%（Worker）のパフォーマンストランザクション（ルート、処理時間、スパンメタデータ等）が米国のSentryインフラに送信されます。なお、テレメトリーデータを処理しない経路（公開Webページ、認証、オンボーディング等）におけるサーバーサイドの例外およびパフォーマンストレース、ならびに本サービスのWebアプリケーション全体（公開ページ、認証、オンボーディング、ダッシュボード等を含む）の利用者を対象とするブラウザサイドのSentry基本エラー監視・パフォーマンストレースおよび同意ベースのSentry Session Replayは、ダッシュボード利用データを含む独立管理者処理であり、処理者がプライバシーポリシーに基づき独立した管理者として処理するため本DPAの適用範囲には含まれません（プライバシーポリシー第2.3条(a)・(b)・(c)）。
Upstash, Inc.（米国） — テレメトリー取り込みパイプラインのレート制限／不正検知用Redis。エンドユーザーのIPアドレスおよびAPIキーハッシュプレフィックスを識別子としてスライディングウィンドウカウンターに保存します（短期間のみ保持）。
Vercel（所在地: 米国） — 本DPAの適用範囲においては、Webアプリケーションホスティングおよびサーバーレス実行環境（テレメトリーデータを提供するダッシュボード）。なお、Vercel Web Analyticsは、本サービスのWebアプリケーション全体（公開ページ、認証、オンボーディング、ダッシュボード等）の利用状況データを収集するものであり、本DPAの対象であるテレメトリーデータは処理しないため、本DPAの適用範囲には含まれず、処理者のプライバシーポリシー第2.3条に従って取り扱われます。
Resend（所在地: 米国） — 本DPAの適用範囲においては、管理者が設定した通知先へのテレメトリーアラートメール配信。メール本文には、アラートルール名、プロジェクト名、マップ名、対象メトリクス、アラートステータス、失敗セル数および総セル数、失敗セルの割合（パーセント）、パーセント表示のしきい値、ダッシュボードリンクが含まれる場合があります。通知先メールアドレスは、メール配信の宛先として処理されます。

プライバシーポリシーには、テレメトリー以外の文脈で個人データを取り扱うその他の第三者サービスも記載しています。Stripe（決済処理）およびOAuthプロバイダー（サインイン）は、当該個人データについて独立した管理者として行動するため、処理者のサブプロセッサーには該当しません。Resend（トランザクションメール配信）は、上記のテレメトリーアラートメール処理に加え、テレメトリー以外のアカウント関連個人データについてもサブプロセッサーとして処理します。Checkly（外形監視、公開ステータスページ、ステータスページ購読者への通知）は、運用上の個人データおよびステータスページ関連の個人データのみを取り扱います。Checklyは、本DPAの対象であるテレメトリーデータを処理しません。

管理者がメール以外のアラート通知チャンネル（Slack incoming webhookまたは汎用のWebhookエンドポイント）を設定した場合、処理者は、アラートデータ（アラートルール名、プロジェクト名、マップ名、対象メトリクス、アラートステータス、失敗セル数および総セル数、失敗セルの割合、しきい値、ダッシュボードリンク）を管理者が設定した送信先へ送信します。Slackチャンネルの場合、送信先はSlackが運営するSlack incoming webhookとなります。これらの送信先は管理者が選定・管理する受信者であって処理者のサブプロセッサーではないため、第6.1条の一覧には記載していません。

6.2 変更通知

処理者は、サブプロセッサーの追加または変更を行う場合、少なくとも30日前にメールで管理者に通知します。管理者が通知の受領後14日以内に合理的な理由に基づき書面で異議を申し立てた場合、両当事者は誠意をもって解決策を協議します。合理的な期間内に解決に至らない場合、管理者は主契約を解約することができます。

6.3 サブプロセッサーへの義務

処理者は、各サブプロセッサーとの間で、本DPAと実質的に同等のデータ保護義務を課す契約を締結します。サブプロセッサーが義務を履行しない場合、処理者は管理者に対し当該サブプロセッサーの行為について責任を負います。

7. セキュリティ措置

処理者は、処理のリスクに応じた適切な技術的・組織的セキュリティ措置を実施します。これには以下が含まれます。

転送中のデータのTLS暗号化
保存データの業界標準の暗号化
アクセス制御およびロールベースの権限管理
インフラストラクチャの監視およびログ記録
定期的なセキュリティレビューおよび脆弱性対策

8. データ侵害の通知

処理者は、個人データの侵害を認識した場合、不当な遅滞なく、かつ48時間以内に管理者に通知します。通知には以下を含みます。

侵害の性質（影響を受けるデータ主体のカテゴリーおよび概数を含む）
処理者のデータ保護担当の連絡先
侵害により生じ得る結果
侵害に対処するために講じた措置または講じることを提案する措置

9. データ主体の権利

処理者は、データ主体からの権利行使の要請（アクセス、訂正、削除、処理の制限、データポータビリティ、異議申立て）に管理者が対応するため、技術的・組織的に合理的な支援を行います。処理者がデータ主体から直接要請を受けた場合、速やかに管理者に転送します。エンドユーザー（プレイヤー）であるデータ主体の消去については、処理者は、該当プロジェクトに保存されている当該プレイヤーの生イベントおよび初回観測記録を削除する、プレイヤー単位の消去エンドポイント（デベロッパープラットフォームAPI）を提供します。このエンドポイントは実行時点で保存されているレコードを削除します。同一プレイヤーのイベントが取り込みキューに残っている場合、または管理者のSDKがリクエスト後も同じプレイヤー識別子を送信し続ける場合、後から新しいレコードが作成される可能性があるため、管理者は送信停止後に消去リクエストを再実行してください。

10. 国際データ移転

10.1 十分性認定に基づく移転

欧州委員会による日本に対する十分性認定（2019年1月23日付決定）および英国による日本に対する十分性認定の適用対象となる個人データの移転については、当該十分性認定を移転の法的根拠とし、追加の保護措置は不要とします。

10.2 十分性認定が適用されない移転

十分性認定の適用対象とならない第三国への移転が発生する場合、当事者はEU標準契約条項（SCCs）（欧州委員会実施決定（EU）2021/914）のモジュール2（管理者から処理者）を適用します。SCCsは本DPAの別紙として組み込まれ、以下の通り補完されます。

第9条(a)（サブプロセッサー）: オプション2（一般的な書面による承認）を適用します。
第11条: 任意の苦情処理条項は適用しません。
第17条（準拠法）: アイルランド法を適用します。
第18条（管轄裁判所）: アイルランドの裁判所を管轄とします。
別紙I（当事者の詳細、移転の説明）: 本DPA第3条の記載に準じます。
別紙II（技術的・組織的措置）: 本DPA第7条の記載に準じます。

英国からの移転で十分性認定が適用されない場合は、英国国際データ移転補遺（UK Addendum）を適用します。

SCCs第17条および第18条の準拠法および管轄裁判所の規定は、SCCsが定めるデータ移転メカニズムにのみ適用されます。本DPAまたは主契約に基づくその他のすべての紛争は、主契約に定める準拠法および管轄裁判所に従います。

11. データの返却・削除

主契約の終了後、管理者の選択に基づき、処理者は本DPAに基づき処理された個人データを管理者に返却するか、または削除します。データの返却は、構造化され、一般的に利用され、機械可読な形式で行います。本番システムからの削除は、主契約に定める猶予期間の終了後30日以内に完了します。バックアップからの完全な消去は、本番システムの削除完了後90日以内に完了します。ただし、処理者は、適用法令により保存が義務付けられる場合、またはコンプライアンス、不正防止もしくはセキュリティインシデント調査のために必要な場合に限り、監査証跡記録（ユーザー識別子、IPアドレス、操作内容を含むアクションログ等）を保持することができます。処理者は本DPAをもって、当該監査証跡記録について、保持するデータの種類（ユーザー識別子、IPアドレス、操作内容を含むアクションログ等）、保持期間（最長7年間とし、当該期間の経過後は削除します）、および法的根拠（日本の法人税法施行規則および会社法第432条第2項に基づく帳簿書類保存義務、ならびにGDPR第6条第1項(c)（法令遵守）および同(f)（不正防止およびセキュリティのための正当な利益））を管理者に通知します。

プレイヤー初回観測記録（第3.2条参照）も、主契約の存続期間中保持されます。これらは、基礎となる生イベントが期限到来により削除された後もリテンションコホート分析の正確性を維持するため、プラン別の定期的なテレメトリーパージの対象外としていますが、アカウント削除時には他のすべてのテナントテレメトリーと同様に、上記と同一の期限で削除されます。また、管理者の要請に基づき、処理者は第9条の運用上の留意事項に従い、その時点を待たず、個別のプレイヤーの初回観測記録および生イベントを消去します。

12. 監査

処理者は、管理者またはその委任する第三者監査人による監査に協力し、本DPAの遵守を証明するために合理的に必要な情報を提供します。監査の実施にあたっては、以下の条件を適用します。

管理者は30日前に書面で監査の実施を通知するものとします。
監査は営業時間中に実施し、処理者の業務を不当に妨げないものとします。
監査人は適切な守秘義務契約を締結するものとします。
監査は年1回を上限とします。ただし、監督機関が命じる監査またはデータ侵害に関連する監査はこの限りではありません。
処理者が第三者によるセキュリティ評価報告書、ペネトレーションテスト報告書、またはこれらと同等のセキュリティ管理体制の証跡を提供した場合、管理者は当該報告書をもって当年度の監査権の行使に代えることができるものとします。

13. 責任

本DPAに基づく各当事者の責任は、主契約に定める責任制限に従います。

14. お問い合わせ

本DPAに関するお問い合わせ、またはサブプロセッサー変更に対する異議の申立ては privacy@framedash.dev までご連絡ください。