再委託先一覧
Subprocessor List
最終改定日2026年9月1日
本書は、株式会社ORGO（英文名: ORGO Inc.、以下「当社」といいます。）が動作解析サービス「MYoACT」の提供にあたり利用する委託先・再委託先の公開リストです。本ページを最新版とします。
本リストは、次の役割を兼ねます。(1) 顧客との DPA の別紙 III が参照により組み込む一覧（契約上の一般的承認の対象は、基本契約への署名または電子的承諾の時点の掲載内容です。）、(2) 個人情報保護法第28条3項に基づく本人への情報提供、(3) 公開しているプライバシー通知および越境移転に関する説明（機能カテゴリー単位）に対応する個社名の開示。内部の契約条件、価格・交渉条件、内部識別子、インフラ構成の詳細は含めません。所在は国・地域レベルで記載します。
本リストで用いる主な用語および略語は、次のとおりです。
- 健康関連データ: 解析の対象となる方の心身の状態に関連するデータ（生動画、骨格・姿勢データ、解析結果、身体属性および関連メタデータ）をいいます。
- 再委託先: 当社が本サービスの提供に必要な処理を委託する事業者をいいます。
- 個人情報保護法: 個人情報の保護に関する法律（平成 15 年法律第 57 号）をいいます。
- GDPR: EU 一般データ保護規則をいいます。
- HIPAA: 米国の医療保険の相互運用性と説明責任に関する法律をいいます。
- ePHI: HIPAA 上の保護対象保健情報（Protected Health Information）のうち電子的な形式のものをいいます。
- DPA: 個人データの取扱いを定めるデータ処理契約をいいます。
- BAA: HIPAA に基づく事業協力者契約（Business Associate Agreement）をいいます。
- SCC: 欧州委員会が採択した標準契約条項をいいます。
- LLM: 大規模言語モデル（Large Language Model）をいいます。
- PCI-DSS AOC: 決済カード業界データセキュリティ基準への準拠証明書をいいます。
当社が委託先・再委託先として利用するサービス提供者
| サービス提供者 | 機能カテゴリー | 主な所在国・地域 | 取り扱うデータの区分 | 個人情報保護法第28条上の根拠 | 主な保護措置の種類 |
|---|---|---|---|---|---|
| Amazon Web Services (AWS) | クラウド基盤（ホスティング、認証、データベース、ストレージ、CDN・配信） | 主たる処理は日本。配信・エッジセキュリティはグローバルな配信網（米国・EU・アジア太平洋等を含む）から提供 | 健康関連データ全般、認証情報、ログ | 同等措置の継続的確保 | データ処理契約(DPA)、標準契約条項（SCC、EU 移転時）、Business Associate Agreement（BAA、HIPAA 適用時） |
| RunPod, Inc. | 動画解析処理（AI 推論） | 複数の国・地域（米国、カナダ、EU、アジア太平洋等） | 解析対象の動画、骨格データ、解析結果 | 同等措置の継続的確保 | DPA、SCC、BAA（HIPAA 適用時）等 |
| Amazon Bedrock（Anthropic のモデル） | 外部 LLM 推論（AI アシスタント） | 日本 | AI アシスタントの入力・出力 | 同等措置の継続的確保 | クラウド基盤事業者の DPA / BAA / 再委託先連鎖の枠組み |
| Google LLC（Google Analytics 4、Google Tag Manager） | アクセス解析、タグ配信 | 米国 | サービス利用イベント（健康関連データは対象外） | 同等措置の継続的確保 | Google の DPA、SCC |
| Google LLC（BigQuery） | データウェアハウス | 日本 | アクセス解析のエクスポート・派生データ（健康関連データは対象外） | 同等措置の継続的確保 | Google の DPA |
| Google LLC（Google Drive / Google Workspace） | 文書共有・ファイル保管 | 米国（グローバル処理を含む） | 健康関連データ（動画）、社内文書 | 同等措置の継続的確保 | Google Workspace の DPA、HIPAA BAA（適用時） |
| Functional Software, Inc.（Sentry） | エラー監視（アプリケーションおよび API のエラー・性能監視、セッションリプレイ） | 事業者は米国。データの保管は事業者の EU リージョン（ドイツ） | エラー発生時の技術情報（エラーの内容、ブラウザおよび端末の情報、閲覧ページの URL、IP アドレス）、MYoACT アカウント ID、セッションリプレイを有効にした場合の画面操作の記録 | 同等措置の継続的確保 | Sentry の DPA、SCC、EU リージョンでのデータ保管 |
| Zendesk, Inc. | カスタマーサポート | 米国 | サポートチケットの内容（患者識別子・健康関連データは含めない運用） | 同等措置の継続的確保 | Zendesk の DPA |
| Notion Labs, Inc. | ナレッジ管理 | 米国 | 社内ナレッジ・業務メモ | 同等措置の継続的確保 | Notion の DPA |
| Blastmail（ラクス株式会社） | メール配信 | 日本（国内事業者） | 配信先のメールアドレス（患者識別子・健康関連データは対象外） | 国内事業者による配信（処理・バックアップ等に国外処理が含まれる場合は越境移転として取り扱う） | 委託契約、委託先の監督（同法第25条） |
| Vananaz Technologies Inc. | 開発・保守・運用の再委託 | フィリピン | 業務支援上、健康関連データまたは ePHI へアクセスする場合がある | 同等措置の継続的確保 | 委託契約（個人情報保護法第25条 / GDPR Art.28 / HIPAA 適用時の Subcontractor BAA に対応する条項）、SCC（EEA 由来データの移転時）。フィリピンの制度情報（Data Privacy Act 2012 (RA 10173)／National Privacy Commission）は本人の求めに応じて提供 |
| Meta Platforms, Inc. | 広告計測 | 米国 | クッキー、IP アドレス、ブラウザ識別子、ハッシュ化連絡先識別子（健康関連データ・動画・画像・数値系列は送信しない） | 本人同意 | Meta の Data Processing Terms、SCC |
| Google LLC（Google 広告） | 広告計測 | 米国 | クッキー、広告のクリック識別子、IP アドレス、ブラウザ識別子（健康関連データ・動画・画像・数値系列は送信しない） | 本人同意 | Google 広告のデータ保護条項、SCC |
| LinkedIn Corporation（LinkedIn Insight Tag） | 広告計測 | 米国 | クッキー、IP アドレス、ブラウザ識別子（健康関連データ・動画・画像・数値系列は送信しない） | 本人同意 | LinkedIn の広告サービスに係るデータ保護条項、SCC |
| X Corp.（X ピクセル） | 広告計測 | 米国 | クッキー、IP アドレス、ブラウザ識別子（健康関連データ・動画・画像・数値系列は送信しない） | 本人同意 | X の広告サービスに係るデータ保護条項、SCC |
| Stripe（Stripe Payments Europe, Ltd. または Stripe, Inc.） | 決済処理 | アイルランドまたは米国 | 決済額、請求先情報、決済識別子、顧客のメールアドレス（カード番号等は決済事業者側で保持） | 同等措置の継続的確保 | Stripe の DPA、SCC、PCI-DSS AOC |
| Usercentrics A/S（Cookiebot） | 同意管理（本サービスの Web アプリケーションのクッキー同意バナー） | デンマーク（EU）。同意記録の保管・処理は EU 域内（アイルランド、オランダ）。バナーの配信およびエッジ処理には、同社の再委託先として米国の CDN 事業者を含む | 同意状態、同意記録の識別子、同意日時、IP アドレス、ブラウザ情報（ユーザーエージェント、リファラ）、閲覧 URL、言語設定、地域情報（健康関連データ、動画、画像、数値系列は対象外） | 個人情報保護法第28条の規律の対象外（提供先である Usercentrics A/S は、同条の「規則で定める国」である EU に所在） | Usercentrics の DPA（EU／EEA 域内での処理、再委託先の事前承認および変更通知、EEA 域外への移転が生じる場合の SCC）、委託先の監督（同法第25条） |
注: Meta、Google（Google 広告）、LinkedIn、X、Stripe および Usercentrics は、当社自身が管理者として行う広告計測・決済処理・同意管理のベンダーであり、顧客の健康関連データを処理する再委託先ではありません。透明性の観点から本リストに併記しています。
変更のお知らせ
- 再委託先を追加・変更する場合、当社は本リストを更新します。契約顧客への事前通知および異議の取扱いは、顧客との DPA の定めによります。
- 本リストの改定履歴は、本ページ末尾の「改定履歴」に記録します。
補足
- 移転先の国を特定できない経路については、当該外国の名称に代えて、(i) 特定できない旨、(ii) その理由、(iii) 移転先の国・地域カテゴリー（米国・EU・アジア太平洋その他の商用リージョン等）および講ずる保護措置を、個人情報保護委員会のガイドラインに従って提示します。
- EU 域内または英国にある第三者への提供は、個人情報保護法第28条の「外国」から除外される国・地域（同条の規則で定める国）への提供に当たるため、同条の規律の対象外です。この場合も、当社は委託先に対する監督（同法第25条）を行います。
- 各サービス提供者の保護措置の実施状況に関する追加情報は、個人情報保護法第28条3項に基づき、本人の求めに応じて合理的な範囲で提供します。お問い合わせは当社の受付窓口（support@myoact.com）まで。
最終改定日: 2026年9月1日
改定履歴
| 改定日 | 変更の概要 |
|---|---|
| 2026年9月1日 | 制定 |