越境移転に関する説明

株式会社ORGO（英文名: ORGO Inc.、以下「当社」といいます。）は、当社が提供する動作解析サービス「MYoACT」（以下「本サービス」といいます。）における越境移転に関する本説明（以下「本書」といいます。）を定めます。

本書は、本サービスがクラウド基盤、AI 推論、動画解析処理、アクセス解析、エラー監視、広告計測、決済処理、カスタマーサポート、文書共有、およびメール配信のために利用する国外処理経路について、利用者および顧客に説明するものです。

本書で用いる主な用語および略語は、次のとおりです。

• 健康関連データ: 解析の対象となる方の心身の状態に関連するデータ（生動画、骨格・姿勢データ、解析結果、身体属性および関連メタデータ）をいいます。
• 利用者: 本サービスのアカウントの発行を受けて本サービスを利用する方をいいます。
• 再委託先: 当社が本サービスの提供に必要な処理を委託する事業者をいいます。
• 個人情報保護法: 個人情報の保護に関する法律（平成 15 年法律第 57 号）をいいます。
• GDPR: EU 一般データ保護規則をいいます。
• HIPAA: 米国の医療保険の相互運用性と説明責任に関する法律をいいます。
• PHI / ePHI: HIPAA 上の保護対象保健情報（Protected Health Information）およびその電子的形式をいいます。
• CCPA: カリフォルニア州消費者プライバシー法をいいます。
• DPA: 個人データの取扱いを定めるデータ処理契約をいいます。
• BAA: HIPAA に基づく事業協力者契約（Business Associate Agreement）をいいます。
• SCC: 欧州委員会が採択した標準契約条項をいいます。
• UK IDTA: 英国の国際データ移転契約をいいます。
• Swiss Addendum: スイスのデータ保護法に対応するための補遺をいいます。
• TOMs: 個人データの保護のために実施する技術的および組織的措置をいいます。
• DSR: 開示、訂正、利用停止等のご請求をいいます。
• LLM: 大規模言語モデル（Large Language Model）をいいます。

本書は機能カテゴリー単位で国外処理経路を説明します。各機能カテゴリーに対応する委託先・再委託先の個社名、主な所在国・地域および保護措置の種類は、当社がウェブサイトで公開する再委託先一覧に記載します。

本サービスは、日本国外に所在し、または日本国外からアクセスされ、もしくは日本国外でデータを処理する可能性のあるサービス提供者を利用します。対象となる機能カテゴリーは、クラウド基盤（ホスティング、認証、データベース、ストレージ、ログ、コンテンツ配信）、AI 推論、動画解析処理、アクセス解析・データウェアハウス、エラー監視、広告計測、決済処理、カスタマーサポート、文書共有・ナレッジ管理、メール配信、ならびに開発・保守・運用の再委託です。各機能カテゴリーの処理場所、個人情報保護法第 28 条上の根拠および保護措置は、後述の「主な国外処理経路」表に従って管理し、越境移転に該当する経路については本書の各セクションで取り扱います。メール配信は国内事業者を用い、患者識別子および健康関連データを送信しない運用とします。当該配信に係る処理・バックアップ等に国外処理が含まれる場合には、本書の他経路と同様に越境移転として取り扱います。

当社はまた、開発・保守・運用上の再委託先（フィリピン）を利用します。当該再委託先がフィリピンから本サービスのシステムへアクセスする処理は、日本からフィリピンへの越境移転として取り扱います。EU 顧客対応時には、EU からフィリピンへの越境移転としても取り扱います。

個人データを外国にある第三者へ提供する場合、当社は個人情報保護法第 28 条に基づき、必要な場合には本人の同意を取得し、または同等措置を継続的に確保する体制その他の適用可能な根拠に依拠します。個人情報保護法第 28 条に基づく同意を取得する場合、当社は、同意取得前に、以下の事項を同意画面または個別通知において提示します。

1. 当該外国の名称。移転先の国を特定できない場合には、当該外国の名称に代えて、(i) 移転先の国を特定できない旨、(ii) その理由、(iii) これに代わる本人に参考となる情報（移転先の国・地域カテゴリー〔米国・EU・アジア太平洋その他の国・地域等〕および講ずる保護措置）を、個人情報保護委員会のガイドライン（移転先国を特定できない場合の取扱い）に従って提示します。
2. 当該外国における個人情報保護制度の概要（個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」および「個人情報保護に関する制度」の公表情報を踏まえて提示します。）。
3. 当該提供先が講ずる契約上および補完的措置。

すべての国外処理が個人情報保護法第 28 条の本人同意を根拠とするものではなく、契約上の措置、同等措置の継続的確保、その他の適用可能な根拠により管理する場合もあります。各機能カテゴリーの個人情報保護法第 28 条上の根拠区分は、下記の「主な国外処理経路」表に示します。各カテゴリーに対応する提供先の個社名は、当社がウェブサイトで公開する再委託先一覧に記載します。

本人同意を根拠とする経路は、広告計測のみです。当社は、上記 1〜3 の事項を、同意取得前に本サービスの Web アプリケーションの同意管理ツールにおいて提示します。当該同意は本サービスの利用条件ではなく、同意されない場合でも本サービスをご利用いただけます。これらの同意取得時の情報提供は、再委託先一覧の公開に委ねるものではありません。

顧客組織を通じて本サービスをご利用いただく場合、対象者からの同意の取得は当該顧客組織の責任であり、当社が対象者に対して同意画面を表示することはありません。当社は、顧客組織が個人情報保護法第 28 条への対応を行うために必要な情報を提供し、協力します。

本人から利用停止、消去、第三者提供停止その他の請求があった場合、当社は個人情報保護法第 35 条を含む適用法令に従い、遅滞なく対応します。

GDPR が適用される場合、EEA 外への移転は GDPR Art.44-46 に基づき、ベンダー固有の標準契約条項（SCC）、適用される場合の UK IDTA、Swiss Addendum（FADP/FDPIC 向け補正を含む）、および補完的な技術的・組織的措置により管理します。

SCC の適用にあたり、当社が EU 顧客の処理者として再委託する経路は SCC Module 3 を、顧客（管理者）から当社（処理者）への移転は SCC Module 2 を用います。UK 向けには UK IDTA または UK Addendum、スイス向けには Swiss Addendum（FADP/FDPIC 向け補正を含む）を併用します。

当社は、各経路について、処理内容に応じて DPA および SCC（UK IDTA および Swiss Addendum を含みます。）を締結または受諾し、HIPAA が適用される経路では BAA を締結または受諾します。AI 推論基盤で利用する外部 LLM は、クラウド基盤事業者のサービスおよび再委託先連鎖の一部として、クラウド基盤事業者との契約、DPA および BAA の枠組みの中で取り扱います。各経路に対応する個社名は、当社がウェブサイトで公開する再委託先一覧に記載します。

HIPAA の適用有無は、本サービスのすべての利用に一律に適用されるものではありません。当社は、顧客の属性、利用目的、データの性質、ならびに対象事業体（Covered Entity）および事業協力者（Business Associate）の関係の有無に基づいて、HIPAA の適用有無を評価します。

米国の病院その他 HIPAA の対象事業体向けに本サービスを提供し、事業協力者の関係が発生する場合、当社は HIPAA 対応の構成および BAA の要否を確認します。HIPAA の対象事業体である顧客向けには、クラウド基盤は HIPAA eligible services のみを利用する前提で構成し、クラウド基盤事業者との BAA の範囲内で取り扱います。AI 推論基盤については、クラウド基盤事業者の BAA の枠組み内で取り扱います。動画解析処理経路については、BAA、DPA、SCC（UK IDTA および Swiss Addendum を含みます。）および TOMs により保護措置を講じます。

病院、医療機関その他の医療・リハビリテーション文脈の顧客（以下「医療分野の顧客」といいます。）については、一般の国外移転説明に加えて、以下のより厳格な前提を適用します。

1. AI アシスタントは設計上、元動画、画像その他の原本バイナリを受け取らない構成です。AI 推論基盤への呼び出しは、テキストおよび数値系列（利用者入力テキスト、会話文脈、解析メタデータ、骨格座標、関節角度、説明文）に限定されます。
2. 動画解析処理経路については、BAA、DPA、SCC（UK IDTA および Swiss Addendum を含みます。）および TOMs により保護措置を講じます。
3. AI アシスタントの入力、出力および運用ログは、プライバシー通知「14. 保持期間および削除」に定める期間に限り保持します。
4. 開示等のご請求（DSR）には、当社の対応手順に従い、個人情報保護法第 35 条、GDPR Art.17、および CCPA に基づく削除権に対応します。
5. 再委託先連鎖の個社名は、当社がウェブサイトで公開する再委託先一覧に記載します。

本サービスが利用する主要な機能カテゴリーごとの所在地（国・地域カテゴリー）、取扱い、個人情報保護法第 28 条上の根拠および保護措置の種類は、以下のとおりです。各カテゴリーに対応する個社名および主な所在国・地域は、当社がウェブサイトで公開する再委託先一覧に記載します。

当社は、データの種類、処理内容、健康関連データまたは直接識別子への接触可能性に応じて、経路ごとに必要な契約条件および保護措置を確認します。

健康関連データ、決済データ、または直接識別子を含むペイロードを取り扱う経路（クラウド基盤、AI 推論、動画解析処理、決済、アクセス解析・データウェアハウス、カスタマーサポート、広告計測、文書共有・ナレッジ管理）については、DPA、SCC（UK IDTA および Swiss Addendum を含みます。）、TOMs、ならびに HIPAA が適用される経路については BAA により、必要な保護措置を講じます。

動画解析処理経路については、患者氏名、患者 ID、診療記録 ID 等の直接識別子をファイル名・メタデータに含めない患者識別子除外ルール、ならびに一時的な処理環境を組み合わせて、識別子の最小化を図ります。

AI 推論基盤（外部 LLM）は、クラウド基盤事業者のサブサービスとして、クラウド基盤事業者の契約（DPA、BAA 等）配下で取り扱います。AI アシスタントから AI 推論基盤に送信されるテキストおよび数値系列は、機微性の高い健康関連データに分類されるため、当該経路について個人情報非接触の主張は行いません。

各機能カテゴリーに対応する個社名および主な所在国・地域は、当社がウェブサイトで公開する再委託先一覧に記載します。

---

最終改定日: 2026年9月1日