個人データ処理契約

保育園と 4V3D OÜ との間の、Minute Mission グループサービスに関する契約です。バージョン 1.0、2026年9月23日。

これは本契約の日本語訳です。本契約は英語とエストニア語でも公開しており、エストニアのお客様はエストニア語の条文に署名します。効力を有するのは英語およびエストニア語の条文であり、この翻訳がそれらと異なる場合は英語の条文が優先します。

本契約への同意の方法

方法は2つあり、効力は同じです。

• お申し込み時に。本契約のバージョン 1.0 に同意する旨のチェックボックスにチェックを入れてください。バージョンと日付がお客様のアカウントに記録され、同意いただいた条文そのものの写しがメールで送られ、アカウント内でいつでもご確認いただけます。
• 署名が必要な組織の場合は書面で。info@4v3d.ee までご連絡いただければ、同じ条文を、貴園の情報をご記入いただく表を付した文書としてお送りします。電子的にご署名のうえ（eIDAS 適格電子署名、DocuSign、Adobe Sign、または貴国の制度のいずれでも結構です）、ご返送ください。4V3D OÜ が同じファイルに署名してお返しします。本契約は、2つの署名のうち遅い方の日に発効します。

処理者：4V3D OÜ、登録番号 17515961、Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, エストニア。代表者：Oskar Viil（取締役会構成員）。連絡先：info@4v3d.ee。

1. 本契約が対象とする事項

保育園（管理者）は、4V3D OÜ（処理者）が運営するウェブアプリケーション Minute Mission を利用します。このアプリでは、保育士がグループのミッションとごほうびのボードを管理します。そのために 4V3D OÜ は、保育園のために、かつその指示に基づき、附属書 II に記載する個人データを処理します。

本契約は、GDPR および UK GDPR の Article 28(3) が管理者と処理者との間で書面により合意することを求める事項のすべてを定めるものです。保育園が EEA または英国に設立されているかどうかを問わず適用されます。

2. お客様に適用される法

• EEA 内の保育園。GDPR が適用されます。第3節も適用されます。
• 英国内の保育園。UK GDPR および Data Protection Act 2018 が適用されます。以下の GDPR への言及は UK GDPR への言及と読み替え、監督機関への言及は Information Commissioner への言及と読み替えます。第3節は適用されません。
• それ以外の国の保育園。お客様にはお客様の国のデータ保護法が適用され、本契約の条件は契約として 4V3D OÜ に適用されます。4V3D OÜ は欧州連合に設立されているため、本処理についていずれにせよ GDPR の適用を受けます。本契約のいかなる定めも、お客様の国の法がお客様に与える権利を減じるものではありません。

3. 欧州委員会の標準契約条項

保育園が EEA に設立されている場合、両当事者は、欧州委員会実施決定 Decision (EU) 2021/915 の附属書に定める管理者と処理者との間の標準契約条項を、その正式な英語版の文言で適用します。これらの条項は本契約の一部を構成し、以下の附属書はその附属書となります。Clause 5（ドッキング条項）は適用しません。Clause 7.7 では選択肢2を採用します：副処理者について一般的な書面による承認を与え、変更の際は30日前に通知します。これらの条項と本契約とが矛盾する場合は、これらの条項が優先します。

4. 双方が約束すること

4V3D OÜ は次のことを行います。

• 個人データを、サービスの提供のためにのみ、かつ保育園の文書化された指示（第三国への移転に関する指示を含みます）に基づいてのみ処理します。本契約および保育園によるサービスの利用が、その指示にあたります。EU または加盟国の法によりそれ以外の処理を求められる場合、4V3D OÜ は、その法が禁じていない限り、事前に保育園に通知します。
• データを自社の目的で利用せず、販売せず、いかなるものの学習にも用いず、附属書 IV に記載する副処理者以外の誰にも開示しません。
• アクセス権を持つすべての者に守秘義務を課します。
• 附属書 III の安全管理措置を維持し、その水準を下げません。
• 附属書 IV に記載する副処理者のみを利用します。4V3D OÜ は副処理者を追加または変更することができますが、その際は事前に保育園の担当者へ30日前までに書面で通知します。保育園はその30日以内に異議を述べることができ、異議が解決できない場合、保育園はサービスを終了することができ、当該月の未使用分が返金されます。
• 保護者または職員からの請求への対応を支援します。保育士および園長は、サービス内でこれらのデータをすでにご自身で閲覧、訂正、書き出し、削除することができます。請求が 4V3D OÜ に届いた場合は、5営業日以内に保育園の担当者へ引き継ぎ、直接には回答しません。
• Articles 32 to 36（安全管理、侵害の通知、影響評価、事前協議）に基づく保育園の義務の履行を、4V3D OÜ が実際に把握している範囲を踏まえて支援します。
• 個人データ侵害を認識してから24時間以内に保育園の担当者へ通知し、その時点で判明している内容をお伝えし、残りは判明次第お知らせします。
• サービスの終了時に30日以内にデータを削除します。保育園がご希望の場合は、その前にデータをお返しします。暗号化されたバックアップからは90日以内に消去されます。4V3D OÜ は消去が完了したことを書面で確認します。
• これらの義務が履行されていることを示すために必要な情報を提供し、監査に応じます。実際には、ご請求に応じて書面での回答と資料をお出しすることを意味します。現地監査または第三者による監査は、30日前の通知により、保育園のご負担で、侵害があった場合を除き年1回を上限として実施することができます。
• 指示がデータ保護法に違反すると思われる場合は、直ちに保育園に通知します。

保育園は次のことを行います。

• 本処理について適法な根拠があること、および保護者にご説明済みであることを確認してください。4V3D OÜ は保護者と接点がなく、これを代わりに行うことはできません。
• サービス内のデータを附属書 II に記載する範囲にとどめてください。特に、子どもの姓、健康に関する情報、子どもの評価、家庭の事情に関することを自由記述欄に入力しないでください。
• ご自身のアカウント情報を正確に保ち、担当者が変わったときは 4V3D OÜ にご連絡ください。
• ご自身の職員アカウントを管理してください。保育士が退職したときは、そのログインを削除してください。

5. 保育園のための処理にあたらない2つの事項

後から迷うことがないよう、ここで明記します。

• 職員アカウント。保育士や園長の氏名、メールアドレス、パスワードは、そもそもサービスを動かすために必要なものであり、その運営方法は 4V3D OÜ が決めています。この限られた目的については、4V3D OÜ は処理者ではなく管理者であり、4V3D OÜ 自身のプライバシーポリシーが適用されます。子どもに関するものはすべて保育園のための処理であり、本契約の対象です。
• 料金のお支払い。保育園がカードでお支払いになる場合、決済は Stripe Payments Europe Ltd が取り扱います。Stripe が受け取るのは保育園の請求先氏名、住所、VAT 番号、メールアドレスおよびカード情報であり、子どもに関するデータは一切含まれません。この請求関連データの管理者は 4V3D OÜ です。したがって Stripe は本契約にいう副処理者ではなく、附属書 IV にも記載していません。

6. 期間、準拠法および責任

本契約は、4V3D OÜ が保育園のデータを処理している間、効力を有し、サービス終了後もデータが削除されるまで存続します。

準拠法はエストニア法とし、ハリュ県裁判所が管轄権を有します。ただし、保育園が自らの規則により自国の法および裁判所によることを求められる公的機関である場合は、両当事者が署名前にその旨を合意します。

責任については、Minute Mission 利用規約に定めるとおりです。本契約は同規約を補完するものであり、これに代わるものではありません。

附属書 I. 当事者

管理者：保育園。お申し込み時にご入力いただく情報、または署名する写しにご記入いただく情報により特定されます。役割：グループボードに保存される子どものデータの管理者。

処理者：4V3D OÜ、登録番号 17515961、Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, エストニア。連絡先：Oskar Viil（取締役会構成員）、info@4v3d.ee。データ保護責任者は選任していません。本件について GDPR が選任を求めていないためです。

いずれの当事者も、相手方に書面で通知することにより担当者を変更することができます。

附属書 II. 処理の内容

附属書 III. 安全管理措置

• データは欧州連合内にあります。アプリケーションとそのバックアップは、Hetzner Online GmbH のフィンランド、ヘルシンキのデータセンター（ISO/IEC 27001 認証取得）で稼働しています。サービスのメールはフランスの Scaleway SAS から送信されます。第三国への移転はありません。
• 通信はすべて暗号化されています（HTTPS、Content Security Policy を適用）。パスワードは保存せず、そのハッシュのみを保存します。セッショントークンもハッシュ化して保存するため、データベースの写しがそのまま使える鍵の束になることはありません。
• グループごとに別のアカウントです。保育士は自分のグループの子どもだけを見ることができます。園長は自分のグループ全体で1つのログインを持ち、他の人のグループにはアクセスできません。
• グループアカウントに写真をアップロードすることはできず、プッシュ通知は無効で、子どもの絵は決められたイラストの中から選びます。
• 毎日の暗号化バックアップをサーバー上に14日間、社外に90日間保管します。バックアップはサーバー自身が持たない公開鍵で暗号化しているため、サーバーは自らのバックアップを読むことができません。バックアップからの復元は検証済みです。
• サーバーへのアクセスは 4V3D OÜ の取締役会構成員に限られます。アクセス権を持つ従業員、委託先、サポート担当者はいません。
• アクセス解析、広告ツール、いかなる種類の追跡も行いません。定期的な報告は、登録数、稼働中のアカウント数およびエラー数の日次集計だけで、氏名は含まれません。
• サインインと登録にはレート制限を設けており、ミッションにチェックを入れてさかのぼれるのは30日までです。そのため、誤りや不正があっても数か月分の履歴が書き換えられることはありません。
• ソース全体の書面によるセキュリティレビューを外部のモデルにより2回実施しており、直近は2026年9月20日です。指摘事項はすべて対応済みです。

附属書 IV. 副処理者

いずれも欧州連合内にあります。EU 域外の副処理者はなく、評価すべき国際移転もありません。