The Rehab Labのオンライン運動処方ソフトウェアは、購読者およびそのクライアントにサービスを提供するために個人データを使用します。The Rehab Labは、これらのデータのプライバシーとセキュリティを重視し、その保護を目的とした技術的および組織的措置を実施しています。
一般データ保護規則（GDPR）は、欧州経済領域内の個人に関する個人データの処理を規定しています。個人データには、氏名、電子メールアドレス、連絡先情報、オンライン識別子などの情報が含まれる場合があります。
このページでは、The Rehab Labが個人データをどのように処理するか、データ管理者およびデータ処理者としての当社の役割、データの保持期間、ならびにThe Rehab Lab内に保存されている個人データを管理するために購読者が利用できる手段について説明します。
The Rehab Labのプライバシーポリシーも併せてご確認ください。
The Rehab Labは、ニュージーランドを拠点とするチームメンバーをデータ保護責任者（DPO）に任命しています。The Rehab LabのDPOは、社内のデータ保護慣行に加え、プライバシーおよびGDPRへの準拠に関する幅広い事項を監督します。
当社のDPOには、以下の電子メールアドレスでお問い合わせいただけます：
data.protection@therehablab.com
The Rehab Labは、当社の購読者およびそのアカウントに直接関連する個人情報について、データ管理者として機能します。これには、購読者の氏名、連絡先電子メールアドレス、連絡先住所、ユーザー名、アカウント情報などが含まれる場合があります。
購読者は、該当する場合、自身の個人データへのアクセス、訂正、エクスポート、または削除を要求できます。要求は、The Rehab Labのデータ保護責任者に連絡することで行うことができます。
当社は、購読者がマーケティング、製品アップデート、および特別オファーに関する電子メールの受信を停止できるオプションを提供しています。ただし、支払い情報、購読に関する通知、セキュリティ通知、サービス情報、または誤ってThe Rehab Labに送信されたクライアントからの依頼など、アカウントの管理、セキュリティ、または運用に必要な連絡は対象外です。
ご注意：The Rehab Labは、当社のシステムにクレジットカード情報を保存しません。カード決済は、当社の決済処理業者であるWindcaveによって処理されます。
購読者がThe Rehab Lab内に自身のクライアントに関する情報を保存することを選択した場合、その情報については購読者がデータ管理者となり、The Rehab Labはデータ処理者として機能します。
The Rehab Labを通じて処理されるクライアント情報には、クライアントの氏名や電子メールアドレスなどが含まれる場合があります。購読者は、これらの情報をThe Rehab Labに入力するかどうかを決定し、自身のクライアントの個人データを処理するための適切な法的根拠を確立する責任を負います。
The Rehab Labは、クライアント情報をマーケティング目的で使用せず、リハビリテーションプログラムの提供など、購読者が要求したサービスを提供するために必要な場合、または法律により別途義務付けられている場合を除き、購読者のクライアントに独自に連絡することはありません。
購読者がクライアントから、その個人情報へのアクセス、訂正、ポータビリティ、または削除に関する有効な要求を受けた場合、関連情報がThe Rehab Labを通じて処理されている範囲において、The Rehab Labは購読者がその要求に対応できるよう合理的な支援を提供します。
購読者は、The Rehab Lab内から個々のクライアント記録を削除できます。削除すると、クライアント記録は稼働中の本番システムから削除されます。過去のコピーは、以下に記載するバックアップ保持スケジュールに従って当該バックアップの保持期間が終了するまで、安全な災害復旧用バックアップ内に一時的に残る場合があります。
購読者は、The Rehab LabのDPO（data.protection@therehablab.com）に連絡することで、クライアントデータのエクスポートまたは削除に関する支援を要求できます。
購読者は、The Rehab Labのクライアントセクションを使用しないことも選択できます。The Rehab Labサポートまたは当社のDPOに連絡することで、購読アカウント内のすべてのユーザーに対してクライアントセクションを無効にすることができます。
有効な購読
購読が有効である間、The Rehab Labは、The Rehab Labのサービスを提供するために必要な範囲で、購読者のアカウントデータおよび購読者が保存したクライアントデータを保持します。
購読者は、データ管理者として、The Rehab Labに入力するクライアント情報およびその情報を保持すべき期間を決定する責任を引き続き負います。権限を有するユーザーは、いつでもThe Rehab Labの稼働中のシステムからクライアント記録を削除できます。
期限切れの購読
購読の有効期限が切れると、アカウントへのアクセスは停止されます。The Rehab Labは、購読者のアカウントおよび関連データを購読の有効期限から最長12か月間保持します。
この保持期間により、購読者は既存のアカウント情報、クライアント記録、およびリハビリテーションプログラムを失うことなく購読を再有効化できます。
購読の有効期限から12か月以内に再有効化されなかった場合、購読者のアカウントおよび関連データは、The Rehab Labの稼働中の本番システムから完全に削除されます。
早期削除
購読者は、12か月の保持期間が終了する前に、The Rehab Labのデータ保護責任者（data.protection@therehablab.com）に連絡することで、自身のアカウントおよび関連データの削除を要求できます。
セキュリティ上の理由から、The Rehab Labは削除を実行する前に、削除要求が権限を有するアカウント所有者によって行われたことの確認を求める場合があります。
アカウントが稼働中の本番システムから削除されると、The Rehab Labの通常の利用を通じて復元することはできません。
法的目的で保持される情報
購読者のアカウントを削除しても、購読者のアカウントとは別にThe Rehab Labが法律上保持する義務を負う情報まで必ずしも削除する必要があるわけではありません。
たとえば、The Rehab Labは、適用される会計、税務、法的または規制上の要件を遵守するために保持が必要な場合、請求書、支払いおよび取引記録、その他の情報を保持することがあります。
これらの目的で保持される情報は、該当する目的および保持期間に限って保持され、購読者の有効なThe Rehab Labアカウントの一部として引き続き利用可能になることはありません。
The Rehab Labは、セキュリティ、災害復旧、および事業継続を目的として、安全なオフサイトのデータベースバックアップを維持しています。
個人データがThe Rehab Labの稼働中の本番データベースから削除された場合、その情報の過去のコピーが、削除前に作成されたデータベースバックアップ内に一時的に残る場合があります。
バックアップ保持スケジュール
日次復旧ポイントは最長30日間保持されます。
週次復旧ポイントは最長8週間保持されます。
月次復旧ポイントは最長12か月間保持されます。
データベースのバックアップは、該当する保持期間が終了すると自動的に削除されます。The Rehab Labは、データベースのバックアップを無期限または恒久的に保持しません。そのため、稼働中の本番システムから削除された個人データは、削除後最長12か月間、過去の災害復旧用バックアップ内に残る場合があります。
過去のバックアップは、セキュリティ、災害復旧、および事業継続のみを目的として維持され、The Rehab Labの通常の運用の一環として使用されることはありません。
過去のデータベースバックアップが復元された場合、The Rehab Labは、当該バックアップの作成後に行われた該当する削除要求および関連するデータ変更が再適用されるよう適切な措置を講じたうえで、復元されたデータベースを通常の本番環境での使用に戻します。
The Rehab Labのデータベースバックアップは、非公開のAmazon Web Services（AWS）S3環境内に保存されます。バックアップストレージへの一般公開アクセスは無効化されており、バックアップはサーバー側暗号化によって保護されています。バックアップ環境へのアクセスは制限され、AWSのIDおよびアクセス管理権限を使用して管理されています。
ユーザーとThe Rehab Lab間の通信は、転送中、暗号化されたHTTPS/TLS接続によって保護されます。The Rehab Labの本番データベースは、当社の本番サーバーインフラストラクチャ上でホストされています。データベースのバックアップは24時間ごとに自動的に作成され、災害復旧を目的として、非公開のAmazon Web Services（AWS）S3ストレージへ安全に転送されます。
データベースのバックアップは、アクセス制御およびサーバー側暗号化によって保護され、以下に記載する保持スケジュールに従って自動的に削除されます。
以下は、The Rehab Labが収集および処理する主な個人データの一覧です：
収集されるデータ
備考
氏名
連絡および購読者の購読請求書／領収書の作成に使用されます
ユーザー名
The Rehab Labへのログインに使用されます
パスワード
認証のため、一方向のパスワードハッシュを使用して保存されます
電子メールアドレス
アカウント管理、購読に関する連絡、請求書／領収書、セキュリティ通知、およびサービスに関する連絡に使用されます（暗号化）
タイムゾーン
The Rehab Lab内の日付および時刻に関連する機能に使用されます
連絡先住所
購読者の購読請求書／領収書の作成に使用されます（暗号化）
収集されるデータ
備考
氏名
暗号化された形式で保存されます
電子メールアドレス
リハビリテーションプログラムおよび関連する患者アクセス情報の送信に使用されます（暗号化）
注：購読者は、The Rehab Labのクライアントセクションを使用しないことを選択できます。また、購読アカウント内のすべてのユーザーに対してクライアントセクションを無効にすることもできます。これを希望される場合は、The Rehab LabサポートまたはThe Rehab LabのDPO（data.protection@therehablab.com）までお問い合わせください。
The Rehab Labは、サービスを運営および提供するために、選定された第三者のサービスプロバイダーおよびインフラストラクチャを利用しています。提供されるサービスに応じて、これらの組織が当社に代わってデータを処理する場合、またはThe Rehab Labが使用するインフラストラクチャを提供する場合があります。
Amazon Web Services (AWS)
サービス：クラウドインフラストラクチャ、ストレージ、電子メール配信、データベースバックアップの保存
所在地：AWSのサービスは、米国を含む欧州経済領域外の地域でデータを処理または保存する場合があります
ポリシーへのリンク
Google Analytics
サービス：ウェブサイト分析
所在地：Googleは、米国からの提供を含め、国際的にサービスを提供しています
ポリシーへのリンク
Windcave (Payment Express)
サービス：決済処理
所在地：オーストラリア／ニュージーランド
ポリシーへのリンク
Hotjar
サービス：ウェブサイト分析およびユーザーエクスペリエンス分析
所在地：Hotjarは国際的に事業を展開しており、本社は欧州連合加盟国のマルタにあります
ポリシーへのリンク
The Rehab Labは、個人データを保護し、適用されるデータ保護法に基づく当社の義務の履行を支援するために設計された技術的および組織的措置を維持しています。
これらの措置には、機微な個人情報の暗号化、安全な認証、暗号化された通信、アクセス制御、管理者アクセスの制限、安全なオフサイトバックアップ、定められたデータ保持期間、および個人データに関する要求に対応するためのプロセスが含まれます。
当社は、プライバシーおよびデータ保護に関する当社の慣行を明確な言葉で説明することを目指しており、サービスおよびインフラストラクチャの進化に合わせて、技術的および組織的措置を見直しています。
The Rehab Labは、当社のサービスの提供および管理、法的義務の遵守、当社サービスのセキュリティ保護のために必要な場合、またはその他の適切な法的根拠が適用される場合に、購読者の個人データを処理します。
特定の種類の処理について同意を法的根拠とする場合、同意を求め、該当する場合にはその同意を撤回することができます。
購読者は、The Rehab Labを通じて処理することを選択したクライアントの個人データについて、適切な法的根拠を確立する責任を負います。
The Rehab Labは、個人データ侵害の疑いを特定、評価し、対応するための手順を整備しています。
個人データ侵害が発生した場合、The Rehab Labは侵害の性質および潜在的な影響を評価し、適用されるデータ保護法に基づき通知が必要な場合には、影響を受ける購読者、監督機関、またはその他の関係者に通知します。
個人は、該当する状況において、自身について保持されている個人データへのアクセスを要求する権利を有します。
購読者は、The Rehab Labがデータ管理者である個人データへのアクセスを要求するため、The Rehab LabのDPOに連絡することができます。購読者が、自身がデータ管理者であるクライアントデータに関する要求を受けた場合、The Rehab Labは、当社サービスを通じて処理されている情報の特定およびエクスポートについて合理的な支援を提供します。
The Rehab Labは、購読者が稼働中の本番システムから個々のクライアント記録を削除するためのツールを提供しています。
購読者は、当社のDPO（data.protection@therehablab.com）に連絡することで、アカウント全体およびそれに関連する個人データの削除を要求することもできます。アカウントの削除には、権限を有するアカウント所有者による確認が必要です。
個人データが削除されると、The Rehab Labの稼働中の本番システムから削除され、通常のサービス利用を通じてアクセスすることはできなくなります。
削除された情報の過去のコピーは、The Rehab Labのバックアップ保持スケジュールに従って当該バックアップの保持期間が終了するまで、安全な災害復旧用バックアップ内に一時的に残る場合があります。データベースのバックアップは最長12か月間保持され、セキュリティ、災害復旧、および事業継続のみを目的として維持されます。
以前に削除された個人データを含むバックアップが復元された場合、The Rehab Labは、復元されたデータベースが通常の本番環境で再び使用される前に、該当する削除要求が再適用されるよう適切な措置を講じます。
The Rehab Labが法律により保持を義務付けられている場合、会計、税務、法的または規制上の目的などのために、特定の情報が引き続き保持される場合があります。
GDPRに基づくデータポータビリティの権利が適用される場合、The Rehab Labは、合理的に可能な範囲で、関連する個人データを構造化され、一般的に使用され、機械で読み取り可能な形式で提供します。
購読者が、自身がデータ管理者であるクライアントデータに関するポータビリティ要求を受けた場合、The Rehab Labは、当社サービス内に保持されている関連情報のエクスポートについて合理的な支援を提供します。
データのエクスポートを要求する場合は、The Rehab Labサポートまたは当社のDPO（data.protection@therehablab.com）までお問い合わせください。
The Rehab Labは、当社サービスの設計、開発、および保守において、プライバシーとセキュリティを考慮しています。
技術的および組織的な保護措置には、暗号化された通信、保存されている機微な個人情報の暗号化、パスワードのハッシュ化、アクセス制御、管理者アクセスの制限、安全なオフサイトのデータベースバックアップ、および定められたバックアップ保持ポリシーが含まれます。
これらの措置は、The Rehab Labのソフトウェア、インフラストラクチャ、およびセキュリティ要件の進化に応じて見直され、更新されます。
The Rehab Labは、ニュージーランドのオークランドを拠点とするチームメンバーを、当社の社内データ保護慣行ならびにプライバシーおよびGDPRへの準拠に関する事項を監督する担当者として任命しています。
当社のデータ保護責任者には、data.protection@therehablab.comからお問い合わせいただけます。