個人データの再移転

サービスを効果的に提供するため、マーチャントが契約する Shopify 法人に提供した個人データは、以下の受信者に移転されます。

特定の他の Shopify 法人、および
慎重に選定された信頼できるサブプロセッサ

このセクションでは、再移転がどのように管理されているかについて説明します。

このページの内容

欧州経済地域 (EEA) およびイギリス (UK) からの個人データの再移転

アイルランドで登録された法人である Shopify International Limited は、EMEA (ヨーロッパ、中東、アフリカ) および LATAM (ラテンアメリカ) のマーチャントと契約を交わす Shopify の主要法人です。また、International Limited は、一般データ保護規則 (GDPR) の目的において、Shopify の主要な事業拠点としての役割も担っています。

GDPR およびそれに相当するイギリスの法律では、個人データを EEA およびイギリス域外の法人と共有する場合、移転先の国で本質的に同等の保護レベルを確保することが義務付けられています。このため、こうした国際移転は、強力な法的メカニズムによって保護される必要があります。

Shopify が国際データ移転に関する GDPR の要件をどのように満たしているか

この要件を満たすため、Shopify International Limited がカナダで登録された親会社である Shopify Inc. に個人データを移転する際には、Shopify は欧州委員会のカナダに対する十分性認定に依拠しています。十分性認定について詳しくはこちら。

これに加えて Shopify は、以下を規定するために、欧州委員会によって承認された最新版の標準的契約条項 (SCC) を組み込んだ、包括的なデータ移転および処理に関する契約 (DPA) も採用しています。

Shopify グループ内での移転、および
私たちのサブプロセッサへの再移転

私たちは、サブプロセッサが個人データを保護するための適切な技術的および組織的対策を講じていることを確認し、適切な移転影響評価を実施するために、サブプロセッサを慎重に評価しています。SCC について詳しくはこちら。

十分性認定と SCC の両方は、EEA およびイギリスのデータ保護当局によって、法的に有効かつ十分な移転メカニズムであると見なされています。

補足的な措置として、Shopify はグループ内での移転をさらに規定するため、拘束的企業準則も申請しています。この申請は、GDPR における Shopify の主要監督機関であるアイルランドのデータ保護委員会に対して行われました。これは、私たちの企業グループ内での移転を保護するための追加の法的移転メカニズムとなります。私たちはこの申請の最終段階にあり、間もなく承認される見込みです。

その他すべての地域からの個人データの再移転

EEA およびイギリス以外の法域における特定の個人情報保護法でも、個人データの国際移転に関して特定の保護措置が求められます。これらの要件を満たすため、Shopify グループ内での移転を規定する Shopify の DPA、および私たちのサブプロセッサへの再移転を規定する DPA には、該当する場合にカナダ、アメリカ合衆国 (米国)、シンガポールの個人情報保護法を確実に遵守するための、適切な保護措置が含まれています。また、私たちは必要に応じてこれらの DPA を更新し、維持しています。

データホスティングロケーション

Shopify は、すべてのマーチャントのデータベース全体で予測不可能なボリュームを処理できる、信頼性が高くスケーラブルなインフラを提供できるよう、複数の Google Cloud Platform のリージョン間でストレージを動的に再調整しています。私たちはサービスを運営するために地理的にデータを移動させる必要があり、GDPR を含む適用法および規制に従ってそれを行うためのメカニズムを整備しています。

Shopify は現在、特定のマーチャントおよびお客様の個人データを、以下のようにヨーロッパ (すなわち、EEA、イギリス、スイスのいずれかまたはすべて) に保存しています。

ヨーロッパの新規マーチャントは、この新しいインフラストラクチャを自動的に利用し、ストアデータ、注文データ、お客様の個人データは、デフォルトでヨーロッパに保管されるようになっています。
既存の Shopify 機能はすべて、引き続き機能します。
マーチャントのお客様の個人データがヨーロッパに保管されている場合でも、私たちはその個人データの処理のために国際的なデータ移転に依拠します。

Shopify がサブプロセッサを選択する方法

GDPR およびその他の適用されるデータ保護法に沿って、Shopify はサブプロセッサを起用する際に、以下のようなさまざまなベストプラクティスを採用しています。

提携する会社は慎重に選択します。
私たちは限られた数の外部サービスプロバイダーのみを利用します。
私たちは、カナダ、米国、シンガポールの個人情報保護法への準拠を保証するための適切な保護措置に加えて、SCC を組み込んだ包括的な DPA にサブプロセッサが署名することを要求します。
私たちはサブプロセッサの使用を、クラウドホスティング、エラーロギング、ロードバランシング、コンテンツ配信、マッピング配信、データ分析、内部ロギング (ログファイル) といった技術サービスに限定しています。
移転は継続的かつ安全な方法で行われます。
管理者による指示がない限り、機密性の高い、または特別なカテゴリーの個人データが意図的に処理されることはありません。
私たちはサブプロセッサのプライバシーおよびセキュリティプログラムを慎重に審査します。

Shopify の主要なサブプロセッサについて詳しくはこちら。