GDPR の遵守における Shopify の活用

Shopify を使用すると、一般データ保護規則 (GDPR) を遵守するために役立つツールや情報を利用できます。Shopify の使用は GDPR の遵守に役立ちますが、GDPR に基づくお客様自身の義務を理解し、GDPR やその他の適用されるデータ保護法で定められた要件を遵守する方法でプラットフォームを設定および使用することは、お客様の責任です。

データを処理または保存するための GDPR の地理的要件

GDPR では、個人データをヨーロッパで処理または保存することは義務付けられていません。GDPR では、ヨーロッパ外に転送されるヨーロッパ居住者の個人データを、適用法に従って保護することが義務付けられています。国際的なデータ転送について詳しくはこちら。

お客様のプライバシー

管理画面から [設定] > [お客様のプライバシー] に移動すると、プライバシーポリシー、Cookie バナー、データ販売のオプトアウトページなどのプライバシー設定を構成したり、インストール済みのプライバシーアプリを表示したり、一部のマーケティング設定を管理したりできます。お客様のプライバシー設定の管理について詳しくはこちら。

データ処理に関する補遺

Shopify データ処理に関する補遺には、マーチャントと Shopify との間の責任の概要が記載されています。Shopify は、データ処理者またはサービスプロバイダーとして機能する場合、お客様の個人データの取り扱い方法についてマーチャントの指示に従います。また、この契約は、ヨーロッパのデータ保護法やその他の適用される世界的なデータ保護法に従って個人データが処理されることを保証するのに役立ちます。

また、マーチャントが強化サービスを利用する場合、Shopify のデータ処理に関する補遺の付録Eには、データ管理者または事業者としての Shopify の役割が概説されています。

Shopify Network Intelligence

マーチャントがShopify Network Intelligence を有効にして強化サービスを利用している場合、GDPR に基づく追加のプライバシーコンプライアンス義務を負うことになります。次の要件を満たす必要があります。

• プライバシーポリシーに Shopify の消費者プライバシーポリシーへのリンクを記載し、ストアの目立つ場所 (ホームページの下部など) にプライバシーポリシーへのリンクを掲載します。
• 利用規約とプライバシーポリシーで、ストアが Shopify によってホストされていること、および Shopify が強化サービスの提供を含む (ただしこれに限定されない) 目的で、お客様の個人データを収集および処理することを、お客様に通知します。これらの強化サービスは、マーチャントと Shopify が以下のことを行えるようにするものとして説明できます。(i) お客様に、よりカスタマイズされた体験を提供する、(ii) お客様に、より関連性の高い広告を配信する、(iii) お客様がストアや広告とどのようにインタラクションしているかを理解する。
• マーチャントとお客様に、強化サービスを含む (ただしこれに限定されない) サービスを提供するために、ストアでのアクティビティに関する情報が Shopify および他の国に所在する可能性のある外部サービスと共有されることを、お客様に通知します。
• お客様が、法域に応じて、特定の用途に対する Shopify によるデータ処理をオプトアウトまたは異議申し立てできる方法へのリンクを記載します。https://privacy.shopify.com

Shopify Network Intelligence を有効にして強化サービスを利用する際の義務の概要については、追加サービス規約を確認してください。また、ご自身のビジネスが適用法に準拠していることを確認するために、ご自身の弁護士に相談してください。

GDPR の法的根拠

GDPR では、マーチャントが個人データを処理する際に依拠する法的根拠をユーザーに通知することが義務付けられています。

Shopify は強化サービスを提供する際、お客様にパーソナライズド広告を表示するために個人データを処理することについて、同意に依拠しています。

Shopify はまた、独自の正当な利益に依拠して、以下のことを行う場合があります。

• 商品とサービスの提供および改善
• レポートと分析の提供
• 機能または追加サービスのテスト
• マーケティング、広告、またはその他のコミュニケーションの支援

Shopify が個人データを収集および使用する方法について選択を行うには、Shopify のプライバシーコントロールにアクセスしてください。

法的根拠の開示の例

以下は、オンラインマーチャントが依拠する一般的な法的根拠を説明した法的根拠開示のサンプルです。データ処理に適切な法的根拠を判断するには、ご自身の弁護士にご相談ください。

We generally process your information when we need to do so to fulfill a contractual obligation (for example, to process your payments for goods or services), or where we, our partner Shopify, or someone else we work with needs to use your personal data for a reason related to their business (for example, to provide you with a service). Laws in the European Economic Area ("EEA") and in the United Kingdom ("UK") call these reasons "legitimate interests". These "legitimate interests" include:

* Preventing risk and fraud
* Answering questions or providing other types of support
* Helping merchants find and use apps through our app store
* Providing and improving our products and services
* Providing reporting and analytics
* Testing out features or additional services
* Assisting with marketing, advertising, or other communications

We process personal data for these "legitimate interests" only after considering the potential risks to your privacy and balancing any risks with certain measures — for example, by providing clear transparency into our privacy practices, offering you control over your personal data where appropriate, limiting the information we keep, limiting what we do with your information, who we send your information to, and how long we keep your information for, or the technical measures we use to protect your information. You may have the right to ask us to stop or restrict our processing of personal information for certain purposes.

We may also process your personal data where you have provided your consent. In particular, where we use your personal data to show customers personalized advertisements, where we cannot rely on an alternative legal basis for processing, or where we are required by applicable law to ask for your consent. At any time, you have a right to withdraw your consent by changing your preferences here [Note to merchant: insert a link to the relevant customer portal where your customers can exercise their rights to withdraw consent] or by contacting us.

データへのアクセスと削除

リクエストに応じて、Shopify はお客様のデータにアクセス、編集、削除できるツールを提供しています。これにより、マーチャントは GDPR で義務付けられている、お客様の個人データにアクセス、修正、または消去する権利を履行できます。お客様のデータリクエストの処理について詳しくはこちら。

さらに、Shopify Network Intelligence を有効にして強化サービスを利用している場合、お客様は Shopify に対して直接の権利を有します。マーチャントは、Shopify 強化サービスに記載されているこれらの権利と Shopify による処理について、お客様に通知する必要があります。

Shopify の自動プライバシー設定 (Cookie バナーやオプトアウトページなど) またはCustomer Privacy APIと適切に統合された外部サービスのツールを使用している場合、Shopify は Shopify Network Intelligence において、マーチャントのサイトでのお客様の同意の選択を尊重します。この仕組みについて、以下で詳しく説明します。

Shopify Network Intelligence が有効な場合：

• お客様がグローバルプライバシーコントロール (GPC) ヘッダー、Shopify のデータ共有オプトアウトページ、またはCustomer Privacy APIと適切に統合された外部サービスのツールを使用して、マーチャントとのデータ販売/共有をオプトアウトした場合、そのお客様のサイトでのアクティビティは、広告目的で Shopify Network Intelligence によって使用されないようにマークされます。
• お客様が、Shopify の Cookie 同意バナーまたは Customer Privacy API と適切に統合された外部サービスの Cookie バナーアプリ (推奨テキストはこちら) を使用して、マーチャントによる必須ではない Cookie やその他の追跡技術の使用に同意しない場合、そのサイトからのお客様のデバイスデータは、広告目的を含む (ただしこれに限定されない) 必須ではない目的で Shopify Network Intelligence によって使用されないようにマークされます。
• お客様がマーチャントにデータの削除をリクエストした場合、そのデータは Shopify Network Intelligence からも削除されます。お客様は、Shopify のプライバシーポータルを使用して、広告目的での Shopify によるデータ共有の削除またはオプトアウトを直接リクエストすることもできます。

プライバシーポリシーのテンプレート

管理画面から [設定] > [お客様のプライバシー] に移動して、プライバシーポリシーを設定します。オンラインストアにプライバシーポリシーを追加する方法について詳しくはこちら。

または、Shopifyが提供する自動プライバシー設定を使用し、事前に構築されたポリシーテンプレートをカスタマイズして、データ処理の慣行を伝えることもできます。Shopifyの自動プライバシーポリシーを使用しており、ストアまたはお客様が英国、欧州経済地域、またはスイスに拠点を置いている場合は、自動プライバシーポリシーに以下の更新を含める必要がある場合があります (この更新は、私たちがお客様に代わって自動化することはできません)。

• 個人データを処理する各目的の法的根拠を含めます。個人データ処理の適切な法的根拠がわからない場合は、弁護士にご相談ください。
• データ保護責任者 (DPO) を任命している場合はその連絡先情報、また欧州経済地域、英国、スイスに拠点がない場合は、欧州経済地域、英国、スイスにおける代理人の連絡先情報を含めます。

これらのテンプレートをカスタマイズすることで、お客様の個人データをどのように収集、使用、保護するかについて、透明性を確保できます。ストアポリシーの追加について、詳しくはこちらをご覧ください。

セキュリティ対策

Shopify は、個人データを保護するため、暗号化、ファイアウォール、定期的なセキュリティ監査などの堅牢なセキュリティ対策を導入しています。Shopify の セキュリティ認証と基準に関する詳細は、こちらからご確認いただけます。