データ処理アグリーメント（DPA）

本データ処理アグリーメント（以下「本契約」または「DPA」）は、TITU サービスの発行者である KAWLET EURL が事業者たるパートナーのために行う個人データの処理について、附属書1に記載する場合および方法に従い、その枠組みを定めるものである。

本契約は、規則（EU）2016/679 第28条（以下「GDPR」）に基づいて締結され、両当事者間で締結されるサービス契約、掲載に関する取決めまたは連携に関する取決め（以下「主契約」）と不可分の一体をなす。

1.1. 両当事者

• 「処理者」とは、société à responsabilité limitée à associé unique（フランス法に基づく一人会社）であって、本店所在地を 15 Square Rameau, 59000 Lille (France) とし、Lille Métropole 商業・会社登記簿に登録番号 993 159 250 で登録され、TITU サービスを発行する KAWLET EURL をいう。
• 「パートナー」とは、主契約に署名した事業者たる法人であって、管理者として行為するものをいう。すなわち、スポーツ施設の運営者、クラブ、団体、協会、リーグ、地区連盟または技術連携のパートナーである。

1.2. 定義

「個人データ」、「処理」、「管理者」、「処理者」、「データ主体」、「個人データ侵害」および「監督機関」の各用語は、GDPR 第4条が与える意味を有する。

「委託データ」とは、パートナーが主契約の履行のために処理者に送信し、または処理者にアクセスを与える個人データのみをいう。

1.3. 本契約が対象としないもの

本契約は、KAWLET が管理者として行為する処理には適用されない。それらの処理は第2.2項に記載されており、本契約ではなく TITU サービスのプライバシーポリシーによって規律される。

本契約は、TITU サービスの個人利用者にも同様に適用されない。いかなるプレイヤー、グループのメンバーおよびグループの運営者も、本契約の当事者ではなく、これに署名せず、署名すべき立場にもない。

当事者の位置づけは、契約上の呼称にも両当事者の意思にも由来せず、処理の目的および方法を実際に決定しているかどうかによって定まる（GDPR 第4条7号）。両当事者は、次の振分けを明示的に合意する。

2.1. 本契約が対象とする処理

パートナーの文書化された指示に基づき、かつその利益のために行われる、附属書1に記載する処理についてのみ、次のとおりとする。

• パートナーが管理者である。
• KAWLET が処理者である。

2.2. 対象外の処理：KAWLET が管理者となる場合

TITU サービスの利用者向け領域の全体について、KAWLET は管理者として行為するのであって、処理者としては行為しない。これには、とりわけ次のものが含まれる。

• プレイヤーのアカウントの作成と管理、SMS で受け取るワンタイムコードによる認証、アカウントのプロフィールと言語。
• グループの活動：定期開催セッション、出欠、待機列、控え、招待者、スコア、順位表および投票。
• プレイヤーに宛てられる通知。
• プロダクトの利用状況の計測。
• プレイヤーが自ら求め、かつ確認した場合における、プレイヤーのアカウントと公式戦の公開結果との任意の突合。

次の各号を明示的に合意する。

1. データ主体の同意は、いかなる責任の移転ももたらさない。 自らのクラブを申告し、提示された一致を確認するプレイヤーは、GDPR 第6条1項(a)の意味における法的根拠を与えるにすぎない。そのプレイヤーは引き続きデータ主体であり、いかなる意味においても管理者とはならない。
2. KAWLET が単独でこれらの処理の目的および方法を決定する。 すなわち、どの公開情報源をいつ参照するか、対象でない者の匿名化、提示の期間、悪用防止のためのカウンター、異議および撤回の手続である。
3. グループの運営者または管理役は、そのグループのメンバーのデータの管理者ではない。 本サービスが設ける管理のロール（admin、co-admin）は、アマチュアのグループを運営するためのアプリケーション上の機能である。これらは GDPR 上のいかなる位置づけももたらさず、第28条のいかなる義務も、処理に関する運営者個人のいかなる責任も生じさせない。

2.3. 各当事者が独立した管理者となる処理

パートナーと KAWLET が、それぞれ別個のデータについて自らの目的を追求する場合 — たとえばパートナーは自らの顧客関係のために、KAWLET は自らのディレクトリの運営のために — 各当事者は独立した管理者として行為し、自らの義務を単独で負う。本契約は、これらの処理には適用されない。

KAWLET がパートナーのために行う処理の特性 — 対象、性質、目的、期間、データの種類およびデータ主体の種類 — は、GDPR 第28条3項に従い、本契約の附属書1に記載する。

附属書1は限定列挙である。附属書1に記載のない処理は、本契約の適用範囲外とみなされ、両当事者が署名する当該附属書の書面による変更を経てはじめて実施することができる。

両当事者は、附属書1に記載する利用場面のいくつかにおいては、いかなる個人データも KAWLET に送信されないことを確認する。施設、予約オファーまたはクラブの掲載は、識別された、または識別可能な自然人に関係しない組織のデータ（名称、住所、営業時間、料金、収容人数）に依拠するものである。この場合、本契約は当該役務について対象を欠くこととなるが、両当事者がこれを解除する必要はない。

管理者として、パートナーは次の事項を約束する。

• 適法性。 GDPR 第6条の意味における有効な法的根拠に基づき、適法に収集され処理されたデータのみを KAWLET に送信すること、および附属書1に記載する目的のためにこれを処理者に委託する権利を有すること。
• データ主体への情報提供。 GDPR 第13条および第14条に基づくデータ主体への情報提供を、KAWLET を処理者として用いることを含めて確保すること、および必要に応じてその同意を取得すること。
• 文書化された指示。 電子的手段を含め、書面によって指示を行うこと。主契約および附属書1を含む本契約が、パートナーの当初の指示を構成する。その後の指示はすべて、第8条に記載する連絡先宛に送付しなければならない。
• 最小化。 役務に厳密に必要なデータのみを送信すること。パートナーは、とりわけ、いかなる経路によっても、GDPR 第9条の特別な種類のデータ（とりわけ健康データ、意見、労働組合への所属、生体データ）、有罪判決に関するデータ（第10条）、ならびに登録選手、役員、審判または未成年者の連絡先を KAWLET に送信しないものとする。TITU サービスは、これらを用いる用途も、受け入れる構造も有していない。
• 正確性。 委託データの正確性および最新性に配慮し、反映すべき訂正、異議または削除を遅滞なく KAWLET に通知すること。
• データ主体の権利。 第5.5項に定める KAWLET の支援を得たうえで、データ主体からの権利行使の請求に自ら回答すること。
• 自らの環境のセキュリティ。 自らの従業者に交付したアクセス識別情報の秘密を保持し、漏えいの疑いを遅滞なく通知すること。
• 文書化。 自らの処理活動の記録を保持し、必要に応じて GDPR 第35条に定めるデータ保護影響評価を実施すること。

パートナーは、本条に基づき自らが負う義務の不履行から生じるあらゆる請求、訴訟または制裁について、KAWLET を補償する。

GDPR 第28条3項に従い、KAWLET は次の事項を約束する。

5.1. 文書化された指示に基づく処理

KAWLET は、第三国への移転に関するものを含め、パートナーの文書化された指示に基づいてのみ委託データを処理する。ただし、KAWLET が服する法令上の義務がある場合はこの限りでない。この場合、KAWLET は処理の前にその法的義務をパートナーに通知する。ただし、適用される法が重要な公益上の理由からそのような通知を禁じる場合を除く。

KAWLET は、受領した指示が GDPR の違反またはデータ保護に関する他の適用規定の違反を構成すると判断する場合、直ちにパートナーに通知する。この場合、KAWLET は、パートナーによる書面での確認または修正があるまで、当該指示の実行を停止することができる。

KAWLET は、委託データを自らの目的のために利用しないものとする。とりわけ、営業活動、自らのディレクトリの拡充、商品化しうる統計の作成、または機械学習モデルの学習の目的で利用しない。

5.2. 秘密保持

KAWLET は、委託データが厳格に秘密として保持されることを保証する。この点について、

• データへのアクセスは、役務の履行のためにこれを必要とする者に、最小権限の原則に従って限定される。
• データの処理を許可された者は、その業務の終了後を含め、契約上または法令上の秘密保持義務に服する。
• KAWLET は、附属書2に列挙する再委託先および所轄当局の要請による場合を除き、いかなるデータも第三者に開示しない。
• 委託データに関する司法上または行政上の要請があった場合、KAWLET は、法令により禁じられる場合を除き、可及的速やかにパートナーに通知する。

5.3. 処理のセキュリティ

KAWLET は、GDPR 第32条の意味における適切な技術的および組織的措置を実施する。その内容は附属書3に記載する。これらの措置は、本契約の日付時点で実際に実施されているとおりに記載されている。KAWLET はセキュリティまたは適合に関するいかなる認証も主張しない。

KAWLET は、全体としてのセキュリティ水準を低下させないことを条件に、技術水準の進展を踏まえてこれらの措置を変更することができる。その場合、附属書3が更新される。

5.4. 再委託

パートナーは処理者に対し、GDPR 第28条2項および4項の条件に従い、再委託先を用いることについての一般的な書面による承認を与える。

本契約の日付時点で有効な再委託先の一覧は、附属書2に記載する。この一覧は、個人データを一切処理しないものを含め、TITU サービスが実際に呼び出す第三者サービスの網羅的な目録として作成されており、パートナーがデータの流れの全体像を把握できるようにするためのものである。

KAWLET は次の事項を約束する。

• 再委託先の追加または変更について、合理的な予告期間をもって、いかなる場合も新たな再委託先が委託データを処理する前に、パートナーに通知すること。
• パートナーに対し、理由を付した異議を述べるための30日の期間を与えること。両当事者が解消できない異議がある場合、パートナーは当該役務を賠償なしに解除することができる。
• 各再委託先に対し、本契約と実質的に同等のデータ保護義務を契約上課すこと。
• 再委託先による義務の履行について、パートナーに対し全面的に責任を負い続けること。

5.5. パートナーへの支援

処理の性質および自らが保有する情報を考慮し、KAWLET はパートナーを次のとおり支援する。

• データ主体の権利。 パートナーがアクセス、訂正、消去、制限、異議および可搬性の請求に対応できるよう、適切な技術的および組織的措置を実施することによる。KAWLET が直接受領した請求は、別段の指示がない限り、KAWLET が処理することなく遅滞なくパートナーに転送される。
• セキュリティ、侵害、影響評価。 データ保護影響評価および監督機関への事前協議を含め、パートナーが GDPR 第32条から第36条に定める義務を遵守するために必要な情報を提供することによる。

5.6. 個人データ侵害

KAWLET は、委託データに影響を及ぼす個人データ侵害を、GDPR 第33条2項に従い、これを認識した後可及的速やかにパートナーに通知する。これは、パートナーが必要に応じて、第33条1項に定める72時間以内の監督機関への通知義務を履行できるようにするためである。

通知には、発出の時点で入手可能な情報の範囲で、侵害の性質、対象となる者および記録のおおよその種類と数、想定される結果、講じたまたは提案する措置、ならびに連絡窓口を記載する。不足する情報は、不当な遅滞なく、順次提供される。

本条のいかなる定めも、管理者としてパートナーが負う、監督機関またはデータ主体に対する通知の義務を KAWLET に負わせるものではない。

5.7. 文書化および監査

KAWLET は、GDPR 第28条の義務の遵守を証明するために必要なすべての情報をパートナーに提供する。

KAWLET は、次の条件の下で、パートナーまたはパートナーが指名する監査人による、立入検査を含む監査の実施を認める。

• 監査は、確認されたセキュリティインシデントによる緊急の場合を除き、少なくとも30日の予告期間をもって書面で通知されること。
• 監査は営業時間中に行われ、業務に不相当な支障を与えないこと。
• 監査が、KAWLET の他の顧客または利用者のデータの秘密性、および営業秘密を害さないこと。
• 監査人が秘密保持の義務に服すること。
• その頻度が、確認されたセキュリティインシデントまたは監督機関の要請がある場合を除き、暦年につき1回を超えないこと。

KAWLET は、関連する文書（存在する場合には自らの再委託先の監査報告書または証明書を含む）を提供することによって、この義務を履行することができる。

5.8. 処理活動の記録

KAWLET は、GDPR 第30条2項に従い、パートナーのために行う処理活動の種類の記録を保持し、監督機関の要請に応じてこれを提供する。

5.9. 欧州連合域外への移転

KAWLET は、委託データを欧州連合内でホスティングする。附属書2に列挙する再委託先の利用から生じる第三国への移転は、同附属書に記載する適切な保護措置、とりわけ欧州委員会が採択した標準契約条項によって枠づけられる。

KAWLET は、パートナーの文書化された指示なしに、欧州連合域外への他のいかなる移転も行わない。

6.1. 返還

主契約の有効期間中いつでも、およびその終了から30日の間、パートナーは委託データの返還を請求することができる。KAWLET は、これを構造化され、一般に用いられ、機械可読な形式で提供する。

6.2. 削除

この30日の期間の満了時、またはパートナーの書面による指示があれば直ちに、KAWLET は、法令上の保存義務がある場合を除き、委託データおよび現存する複製を削除する。KAWLET は、パートナーの請求に応じ、この削除を書面で証明する。

6.3. 削除されないもの

第6.2項に定める削除の対象とならないものは、次のとおりである。

• 第2.2項に基づき KAWLET が管理者として処理するデータ。これらは独自のライフサイクルに従う。
• 公開情報源または掲載に由来する、個人に関わらない組織上の事実（施設またはクラブの名称、住所、コートの特性、競技日程）。これらは個人データを構成せず、本契約ではなく主契約によって規律され続ける。
• 技術ログおよびバックアップ。これらは独自のローテーションの周期に従って削除される。

各当事者は、自らに固有の義務に関して、GDPR 第82条および第83条に基づき自らが負う責任を引き受ける。

KAWLET が処理によって生じた損害について責任を負うのは、処理者に特に向けられた GDPR の義務を遵守しなかった場合、またはパートナーの適法な指示の範囲外もしくはこれに反して行為した場合に限られる（GDPR 第82条2項）。

主契約に定める責任の上限および免責は、適用される法令が許す範囲において、本契約にも適用される。

本契約に関するご質問、指示、通知または請求は、次の宛先に送付する。

KAWLET EURL 15 Square Rameau 59000 Lille — France RCS Lille Métropole 993 159 250

データ保護に関する連絡先：yo@titu.app

8.1. データ保護責任者の不在

KAWLET は、現時点でその選任を義務づける要件を満たしていないため、GDPR 第37条の意味におけるデータ保護責任者（DPO）を選任していない。上記の連絡先は、本契約に関わる事項についての唯一の窓口であるが、データ保護責任者という職務に伴う地位および独立性の保障を有するものではない。

この状況は、事業に重要な変化があるたびに再検討される。責任者を選任する場合には、本条を更新する。

8.2. 監督機関

KAWLET について管轄する監督機関は、情報処理と自由に関する国家委員会（CNIL）、3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France である。

9.1. 文書の優先順位

本契約は主契約の不可分の一部を構成する。主契約の定めと本契約の定めとが個人データの処理に関して矛盾する場合には、本契約が優先する。その他の事項については、主契約が優先する。

本契約と、欧州委員会が採択し両当事者が署名した標準契約条項とが矛盾する場合には、後者が優先する。

9.2. 有効期間

本契約は主契約の効力発生日に発効し、KAWLET がパートナーのために委託データを処理する限り効力を有する。第5.2項（秘密保持）、第6条（データの取扱い）および第7条（責任）の定めは、本契約の終了後も存続する。

9.3. 変更

KAWLET は、法令の改正、監督機関の決定または本サービスの技術的な変化を踏まえて、本契約を変更することができる。実質的な変更はすべて、合理的な予告期間をもってパートナーに通知される。30日以内に理由を付した書面による異議がない場合、当該変更は承諾されたものとみなされる。

附属書2および3は、それぞれ第5.4項および第5.3項に定める方法により更新することができ、その更新は本契約の実質的な変更を構成しない。

9.4. 一部無効

本契約のいずれかの定めが無効または適用不能と判断された場合であっても、他の定めは引き続き効力を有する。両当事者は、無効とされた定めに代えて、経済的および法的に同等の効果を有する有効な定めを置くよう努める。

9.5. 準拠法および管轄裁判所

本契約はフランス法に準拠する。円満な解決に至らない場合、その有効性、解釈または履行に関するあらゆる紛争は、適用される強行的な管轄規定に服することを条件として、Lille の管轄区域の裁判所の専属管轄に属する。

本附属書は、GDPR 第28条3項に従い、KAWLET がパートナーのために行う処理を記述する。本附属書は限定列挙である。

A1.1. 施設およびクラブのディレクトリの提供

パートナーには、氏名入りの連絡先ではなく、部署名の連絡先（「受付」「事務局」）を送信することを推奨する。個人データが一切送信されない場合、本契約は当該役務について対象を欠く。

A1.2. 施設運営者の予約オファーの掲載

予約そのものは KAWLET が行うものではない。 クリックしたプレイヤーはパートナーのサービスへ遷移し、そこでパートナーの顧客となる。このリダイレクト以降に収集されるデータは、独立した管理者としてのパートナーの単独の責任に属し、本契約の適用範囲外である。

A1.3. オファーへのクリックの集計報告

プレイヤーがパートナーのオファーのリンクを起動すると、KAWLET は日次の集計カウンターを1つ増やす。

このカウンター — テーブル venue_offer_click_daily — が含むのは、次のフィールドのみである。

このカウンターは、IP アドレス、クッキーもしくは端末識別子、アカウント、プレイヤーの識別子、リクエストのヘッダーおよびペイロードのいずれも含まない。 この不在は構造的である。当該テーブルにはこれらの要素を受け入れうるカラムが一切なく、加算を行う関数もオファーの識別子と画面しか受け取らない。

ここから、両当事者が明示的に確認する3つの帰結が導かれる。

1. このカウンターは個人データの処理を構成しない。 これら6つのフィールドから自然人が識別されることも、識別可能となることもない。
2. このカウンターは個人単位のアクセス解析を構成しない。 これによってユニークな訪問者を数えることも、行動の経路を再構成することも、1人による10クリックと10人による1クリックを区別することもできない。KAWLET もパートナーも、これをアクセス解析、成果報酬型の課金データ、または不正もしくは濫用の検知の仕組みとして提示してはならない。
3. これはあくまで参考としてパートナーに提供される。 生のプロダクト指標であり、正確性、網羅性、およびパートナー自身のシステムで確認されるコンバージョンとの一致について、いかなる保証も伴わない。

A1.4. パートナーの技術連携

データおよびデータ主体の種類が書面で列挙されない限り、いかなる連携も本番稼働させることはできない。第4条の除外（特別な種類のデータ、有罪判決、役員・審判・未成年者の連絡先）は全面的に適用される。

A1.5. 附属書1から除外される処理

疑義を避けるため、次のものは本契約の対象とならず、KAWLET が管理者として処理する。

• プレイヤーのアカウント、グループおよび試合に関するデータの全体。
• プレイヤーに宛てられる通知。
• 公開情報源または協会に由来する組織上の事実（クラブ名、住所、スタジアム、カテゴリー、日程、順位）の収集、検証および再公開。これらは個人データを一切含まない。
• プレイヤーの請求と確認に基づいて任意に行われる、そのアカウントと公式戦の公開結果との突合。

本一覧は、本契約の日付時点で TITU サービスが実際に呼び出す第三者サービスの網羅的な目録として作成されており、個人データが一切送信されないものも含む。したがって本一覧は、GDPR 第28条4項の意味における再委託先の上位集合である。

A2.1. 個人データを処理する可能性のある事業者

A2.2. 個人データを一切処理しない事業者

これらのサービスは透明性のために列挙する。本サービスまたはその公開データ処理のチェーンから呼び出されるが、アカウント、プレイヤーまたはデータ主体に関するデータが送信されることはない。

A2.3. Google Gemini の利用に関する実際の状況

TITU サービスには言語モデルの2つの異なる用途があり、いずれもコートに関する事実および記述に限定されている。両者に共通して、

• プレイヤー、アカウント、グループまたはデータ主体に関するデータがプロンプトに入ることはない。 送信される内容は、もっぱら施設の情報および公開情報源に由来する。
• ブラウジング、外部検索、または商用の場所データベースへのアクセスのツールは一切有効化されていない。
• モデルの出力が自動的に公開されることはない。

用途1 — 技術的事実の抽出。 この処理は既定では無効であり、本番環境で実行されたことは一度もない。その起動には、複数の独立した条件が同時に揃う必要がある。コマンドラインの明示的なフラグ、バージョン管理されたマニフェストにおける有効化、専用の環境変数、対応する実行対象、計画の厳密な暗号学的ハッシュ、およびローカルのデータベースである。API キーがあるだけでは何も起動しない。範囲は、ローンチ前の3件の検証事例に限定されている。

用途2 — 記述の下書き。 別の処理が、コートの記述の下書きを生成することがある。これらの下書きは公開不可かつ未レビューの印が付され、識別された人によるレビューなしに公開されることは決してなく、公開ディレクトリにもインデックス対象のページにも一切用いられない。この処理は、継続的インテグレーションの環境に API キーが設定されている場合にのみ実行される。

本記述は、本契約の日付時点における本サービスの実際の状況を反映するものであり、将来の展開を先取りするものではない。

A2.4. 設定済みだが稼働していないサービス

透明性のために記すと、次のサービスは本サービス内に技術的な参照が存在するが、現時点で呼び出されていない。Google Maps / Places（コード内に呼出しは存在しない。将来、不透明な場所識別子のみが別個のテーブルに保持されうるが、いかなるコンテンツも取り込まれない）、Mapbox および OpenCage（予備の位置情報サービス。有効化されていない）。これらのサービスはいずれも、本契約の日付時点でいかなるデータも受け取っていない。これらを有効化する場合には、第5.4項に従って本附属書を更新する。

以下の措置は、本契約の日付時点で実際に実施されているとおりに記述されている。KAWLET は、セキュリティまたは適合に関するいかなる認証（とりわけ ISO/IEC 27001、SOC 2、HDS、PCI-DSS のいずれも）も主張せず、本契約においてこれらを援用しない。

A3.1. データへのアクセス制御

• 行レベルでの隔離。 PostgreSQL の行レベルセキュリティ（row level security）が、パーティションを含むアプリケーションテーブルの全体で有効化されている。問い合わせは、テーブルに付されたポリシーが要求者に対して許可する行しか返すことができない。
• 明示的に付与される権限。 匿名ロールはテーブルに対していかなる権限も持たない。認証済みロールは、厳密に必要な操作のみを、テーブルごとに付与される。したがってアクセスは、セキュリティポリシーの評価よりも前に、権限の段階で拒否される。
• サービスロール。 サーバー側処理専用の信頼された技術ロールは、行レベルのセキュリティポリシーに服さない。これはその用途上必要な性質である。その識別情報がクライアントアプリケーション、とりわけ公開のウェブアプリケーションに配布されることは決してない。

A3.2. 処理の完全性

• 業務ロジックはサーバー上にある。 機微な操作は、権限を定めたデータベース側のトランザクション処理の中で実行され、判断の前に対象の行をロックする。クライアントは操作を呼び出すのであって、その結果を決めるのではない。
• 判断はクライアントに委ねられない。 重要な値、とりわけ待機列における順位はデータベースが付与する。いかなる呼出しのシグネチャによっても、クライアントがこれを指定することはできない。
• 時間による遷移はサーバーによって起動される。 データベース上の定期タスクによるものであり、アプリケーションによるものではない。端末の時計を変更しても効果はない。

A3.3. 外部情報源のデータの隔離

• 協会データの内部リザーブを構成するテーブルは、いかなるポリシーもなしに行レベルセキュリティが適用され、匿名ロールおよび認証済みロールについて権限が明示的に取り消されている。公開のルートも、認証なしでアクセスできる手続も、これらを読み取ることはない。
• 公開されるのは、組織上の事実に限定され、人を受け入れうるカラムを一切持たない、別個の公開用の射影のみである。
• これらのテーブルに個人データが存在しないことは、運用上の指示ではなく、スキーマの構造的な性質である。

A3.4. ファイルの保管

• プロフィール写真の保存領域は非公開であり、この状態は各マイグレーションのたびに冪等に再適用される。
• 恒久的な公開アドレスは一切生成されない。アクセスは、ファイルの所有者または同じグループのチームメイトに限定された、短時間有効な署名付き URL によって行われる。
• アカウントの削除は、専用の定期タスクによるファイルの消去を起動し、失敗時には再試行される。

A3.5. シークレットの管理

• データベースが用いるシークレット（サーバー関数の呼出し先アドレスとトークン、名義突合トークンの暗号鍵）は、データベース提供事業者に組み込まれた保管庫に保存され、利用の時点で読み出される。
• 本番環境のシークレットは、コードリポジトリにもその履歴にも一切含まれない。

A3.6. 暗号化

• 通信時。 アプリケーション、データベースおよび第三者サービスの間の通信は HTTPS/TLS で行われる。個人データを扱う経路に平文の呼出しは一切存在しない。TLS の終端はホスティングのプラットフォームが担う。
• アプリケーション層。 名義突合トークンは、保管庫に保存された鍵を用いてデータベース内で暗号化され（pgcrypto）、10分で失効する。
• 保存時。 アプリケーションデータの保存時の暗号化は、ホスティングの処理者が自らの契約上の約束に従って提供する。KAWLET は、これを自ら実施している措置としては提示しない。

A3.7. 最小化とトラッカーの不在

• 利用状況の計測は、自動取得もセッション記録も伴わない、名前付きイベントの閉じた一覧に依拠する。これらの機能を可能にするライブラリは導入されていない。
• パートナーのオファーへのリダイレクトは、クッキーを設置も読取りもせず、IP アドレス、端末識別子およびアカウント識別子のいずれも保持しない（附属書1、A1.3 を参照）。
• 通知の組立てのために送信されるデータは、その表示に厳密に必要な範囲に限定される。

A3.8. 消去とデータのライフサイクル

• 請求に基づく消去。 アカウント消去の手続が実装されている。この手続は利用者自身によって起動され、第三者を指定するパラメータを一切持たず、明示的な確認を要し、アカウントを閉じる前に今後のセッションで保有する枠を解放し、消去を試みる前にアカウントへのアクセスを閉じ（これにより、消去が失敗してもアカウントにはアクセスできない）、紐づくデータを削除する。
• 全走査による検証。 自動化されたテストが、あらかじめ定めたテーブルの一覧ではなく、アプリケーション、認証および保管の各スキーマのすべてのテキスト型および構造化型のカラムにおいて、削除されたアカウントの痕跡を探索する。
• 機能上の期間。 いくつかの技術的な期間が構造として適用されている。突合トークンの失効（10分）、欠席申告の取消可能時間、呼びかけの再送防止の間隔、予約枠およびオファーの失効、予約時間枠の失効である。
• この約束の範囲。 KAWLET は、アプリケーションログおよび試合履歴の定期的かつ自動的な削除の方針を主張しない。個人データの消去は、データ主体または管理者によって起動され、検証される。残存する試合のデータは匿名化される。

A3.9. 組織

• 本番環境へのアクセスは、業務上必要とする者に限定される。
• 開発、テストおよび本番の各環境の分離。開発用データはデモンストレーション用のデータである。
• バージョン管理され、レビューされたマイグレーションによるスキーマ変更の追跡。
• とりわけ、隔離、投票へのアクセスの相互性、アカウントの消去、およびファイル保管の非公開性に関する自動テスト。