クライアントのデータを、真剣に扱う

Gymkeeは、コーチとそのクライアントに代わって健康データを保管しています。このページでは、そのデータがどこにあり、誰が触れられて、私たちが何を約束するのかを、マーケティング抜きで説明します。ここに書いてあることはすべて、実際のインフラと法的文書に照らして確認したものです。

最終確認

5,000+
コーチ
150+
か国
2019年から
自己資金・独立経営

ホスティングはヨーロッパ、主にパリ

コーチングのデータ（クライアント、プログラム、測定値、メッセージ、メディア）は欧州連合内で処理されます。本番データがアメリカに保管されることはありません。

  • アプリケーションとAPI：AWS、パリ（eu-west-3）

    Gymkeeのバックエンド、検索クラスター、ファイルストレージ（動画、写真、書類）は、Amazon Web Servicesのパリリージョンで動いています。AWSはこのリージョンでHDS認証を取得したホスティング事業者ですが、Gymkee自体はHDS認証を保有していません。

  • データベース：MongoDB Atlas、欧州連合内

    アプリケーションのデータはすべて、EU内にあるMongoDB Atlasのクラスターに保存され、保存時に暗号化されています。

  • マーケティングサイトのみ：Cloudflare

    gymkee.com（このウェブサイト）はCloudflare Pagesから配信しています。クライアントデータや健康データがCloudflareで処理されることはありません。

  • 一部のツールはEUの外にあります

    サポートのメッセージ機能、アナリティクス、プッシュ通知、AIプロバイダーはアメリカの企業で、標準契約条項にもとづき、認証を受けている場合はEU-USデータプライバシーフレームワークにもとづいて運営しています。いずれもサブプロセッサー一覧に記載していて、新しい事業者を追加する30日前に通知します。

カード情報がGymkeeのサーバーに触れることはありません

Gymkee PayはStripe Connectの上に構築しています。Gymkeeがカード番号の全桁を見ることも、保存することも、送信することもありません。

  • カードはStripeが扱います

    コーチ用ダッシュボードと決済リンクのカード入力欄は、Stripeがホストしている要素です。カード番号はクライアントのブラウザやスマートフォンから直接Stripeへ送られます。PCI DSSへの準拠はStripeが担っていて、Gymkeeが独自に作り直しているわけではありません。

  • 自分のStripeアカウント、自分への入金

    コーチごとにStripeの連結アカウントが作られます。クライアントの支払いはそのアカウントに入り、Stripeからあなたの銀行口座へ振り込まれます。Gymkeeの手数料は0.97%と標準のStripe手数料で、隠れた決済手数料の上乗せはありません。

  • Gymkeeの利用料も同じルール

    Gymkee自体の支払いに使うカードも、私たちのデータベースではなくStripe Payments Europe（アイルランド）が保管します。請求書はいつでもアカウントから確認できます。

  • Webhookは署名を検証しています

    Stripeから届くイベント（支払いの成功、サブスクリプションの更新、異議申立ての発生）はすべて、署名シークレットで検証してから、あなたのアカウントに書き込みます。

GDPRはスローガンではなく契約で

GDPRのもとで、クライアントに対する管理者はあなたであり、Gymkeeはあなたの処理者です。この関係はデータ処理契約に書かれていて、営業と話さなくても今すぐ読めます。

  • 健康データを対象にした、公開のDPA

    体重、測定値、栄養、パフォーマンスのデータは、GDPR第9条の健康データとして扱います。DPAでGymkeeは、目的の限定、アクセスの記録、保存時の暗号化、そして同意の撤回から30日以内の削除を約束しています。

  • Gymkeeアプリで取得する、クライアントの明示的な同意

    クライアントはGymkeeのモバイルアプリの中で、健康データについて個別かつ具体的な同意を行い、いつでも設定から撤回できます。その証跡はあなたの手元に残ります。

  • エクスポートと削除

    あなたはダッシュボードからクライアントを削除でき、クライアントはGymkeeアプリから自分のアカウントを削除できます。どのユーザーも、機械可読な形式（JSONまたはCSV）で自分のデータ一式を請求でき、1か月以内に回答します。解約すると、コンテンツは30日間は取り出せる状態で残り、その後は削除されます。会計法で保管が義務づけられているものは例外です。

  • 48時間以内の侵害通知

    個人データの侵害がクライアントに影響する場合、それを把握してから48時間以内に、事実関係と講じた対策をあわせて通知します。あなた自身の72時間以内のCNILへの届出義務を果たせるようにするためです。私たちが個人データを販売することはなく、ターゲティング広告に使うこともありません。

Dwayneが見てよいもの

Gymkeeに内蔵されたAIコパイロットのDwayneは、外部のモデル（Anthropic、OpenAI、Google Gemini）を呼び出します。私たちのインフラから何が出ていき、何が絶対に出ていかないのかを、そのまま書きます。

  • 外に出る前に最小化する

    クライアントのデータがAIプロバイダーに届く前に、データ最小化のレイヤーを通します。名だけ、生年月日ではなく年齢、そして自由記述のメモやコメントからはメールアドレス、電話番号、リンクを取り除きます。クライアントが書いたテキストは、指示として解釈されることが決してないように囲って隔離します。

  • クライアントのデータでモデルを学習させない

    私たちのAIプロバイダーは、送信されたデータを学習に使わないAPI利用条件のもとでリクエストを処理します。プロンプトは不正利用の防止のために最長30日間だけ保持され、その後は削除されます。クライアントの健康データは、Gymkeeによるものも他の誰かによるものも含め、あらゆるAIの学習から契約上除外されています（DPA第5条）。

  • 請求できる処理ログ

    Dwayneとのやり取りは1回ごとに、GDPRの処理ログに記録されます。どのクライアントのレコードか、どのカテゴリーのデータか、どのモデルか、どのバージョンの同意にもとづくか。記録するのはカテゴリーだけで、プロンプトの中身は残しません。GDPR第15条のアクセス請求に正確に答えられるようにするための仕組みです。

  • あなた自身のコンテンツは、スイッチひとつ

    クライアントのデータとは別に、Gymkeeはあなたの匿名化されたコーチングコンテンツ（プログラム、テンプレート）をDwayneの改善に使うことがあります。これはあなたが選ぶことです。スイッチはワークスペース設定にあり、オフにすると学習の対象から外れます。

実際に運用している対策

  • 転送時と保存時の暗号化

    アプリ、API、各プロバイダーの間のすべての通信でTLS 1.2以上を使っています。保存時のデータは、データベースでもファイルストレージでもAES-256で暗号化しています。

  • 社内での最小権限

    本番データへのアクセスは、業務上必要なチームメンバーに限っています。健康データへのアクセスは記録され、開発・テスト・本番の環境は分離しています。

  • あなたのチームの中でも最小権限

    チームプランでは、機能ごと（クライアント、トレーニング、栄養、決済、設定）に役割単位で権限を与えます。クライアントの連絡先を特定の役割から隠すこともできるので、アシスタントコーチには「Marie D.」とだけ表示され、メールアドレスも電話番号も見えません。すべての操作は、あなたが読めるアクティビティログに記録されます。

  • APIの堅牢化

    公開エンドポイントにはレート制限をかけ、入力はすべてサーバー側で検証し、リクエストはすべてあなたのワークスペースに限定されます。あるコーチのデータが別のコーチに返ることは決してありません。

  • バックアップと復旧

    DPAで、暗号化された定期バックアップと災害復旧計画を約束しています。計画的なメンテナンスは事前に告知し、可能な限りピーク時間を避けて行います。

  • 脆弱性を見つけたら

    件名に「security」と入れて hello@gymkee.com にメールしてください。創業者に直接届きます。すべての報告に返信し、善意の調査に対して法的措置をとることはありません。

サインインの仕組み

  • パスワードかマジックリンク

    コーチはメールアドレスとパスワード、またはメールで届くパスワード不要のマジックリンクでサインインします。パスワードはbcryptでハッシュ化していて、私たちが読むことはできません。

  • 署名付きのセッション

    セッションは非対称鍵で署名したトークン（RS256）です。データベースが流出しても、セッションを偽造することはできません。

  • チームのアクセスはあなたが決める

    チームメンバーを役割つきで招待し、役割ごとに見える範囲を制限し、アクセスをすぐに取り消せます。アクティビティログには、誰がいつ何をしたかが表示されます。

稼働について約束できること

今のところ稼働率の数値もステータスページも公開していないので、数字を挙げることはしません。契約上たしかなことは、次のとおりです。

  • 約束は「合理的な努力」まで

    利用規約で私たちが約束しているのは、Gymkeeを利用できる状態に保つための合理的な努力と、計画的なメンテナンスを事前に告知し、可能な限りピーク時間を避けて行うことです。

  • 侵害を黙っていることはありません

    インシデントが個人データに関わる場合、事実関係、想定される影響、講じた対策をあわせて48時間以内にコーチへ通知し、法律が求める場合は72時間以内にCNILへ届け出ます。

DPAへの署名、セキュリティ質問票への記入、率直な答えが必要ですか？

私たちはパリを拠点にする小さな独立チームです。セキュリティとプライバシーの質問は、チケットの列ではなく創業者に届きます。ベンダー審査をしているスタジオやチームの方は、質問票を送ってください。答えが「まだできていません」になる項目も含めて、一行ずつ正直に回答します。

hello@gymkee.com にメール DPAを読む

任せる前にコーチが聞くこと

データはどこにホスティングされていますか？

欧州連合内です。アプリケーション、API、検索、ファイルストレージはAmazon Web Servicesのパリリージョン（eu-west-3）で、データベースはEU内のMongoDB Atlasで動いています。Cloudflareが配信しているのはマーケティングサイトだけで、クライアントデータがそこを通ることはありません。

データをエクスポートできますか？

はい。どのユーザーも、hello@gymkee.com にメールすれば、機械可読な形式（JSONまたはCSV）で自分の個人データ一式を請求できます。1か月以内に回答します。サブスクリプションを解約した場合も、プランの終了後30日間はコンテンツを取り出せます。

解約したら、クライアントのデータはどうなりますか？

有料期間の終わりまではアクセスできます。その後、取り出せるようにコンテンツを30日間保持し、それを過ぎると削除します。ただし、フランスの会計法で10年間の保管が義務づけられている請求関連の記録は例外です。

クライアントのデータは誰が見られますか？

あなた、あなたが招待したチームメンバー（あなたが与えた権限の範囲で）、そして運用上のアクセスが必要なGymkeeのチームメンバーです。Gymkee側の健康データへのアクセスは記録されます。サブプロセッサーはそれぞれの役割に必要なものしか受け取らず、AIプロバイダーは最小化されたデータしか受け取りません。それ以外は誰も見られません。

GymkeeはGDPRに準拠していますか？

Gymkeeは、GDPR第28条にもとづくあなたの処理者として業務を行っています。公開のデータ処理契約、変更の30日前に通知するサブプロセッサーの公開一覧、健康データについての明示的な同意（Gymkeeアプリで取得）、定められた保管期間、そしてコーチへの48時間以内の侵害通知の約束があります。Gymkeeを運営する会社KEEZOKUは、パリで登記されたフランスのSASで、CNILの管轄下にあります。

Gymkeeは私やクライアントのデータを販売しますか？

いいえ。個人データを第三者に販売することはなく、ターゲティング広告にも使いません。クライアントの健康データを、Gymkee自身の製品調査やAIの学習、その他あなたにGymkeeを提供する以外の目的に使うことはできません。それはDPAに書いてあります。

AIは私のデータで学習しますか？

クライアントのデータは、契約上、絶対に使いません。第三者のAIプロバイダーは学習を行わないAPI利用条件のもとでDwayneのリクエストを処理し、最小化されたデータしか見ません。あなた自身のコーチングコンテンツ（プログラム、テンプレート）は、匿名化した形でDwayneの改善に使われることがありますが、ワークスペース設定からいつでもオフにできます。

決済はどのように守られていますか？

Gymkee PayはStripe Connectの上で動いています。カード情報はStripeがホストする入力欄に入力され、Gymkeeのサーバーに届くことはないので、PCI DSSへの準拠はStripeが担っています。コーチはそれぞれ自分のStripe連結アカウントを持ち、Stripeから直接入金を受け取ります。