お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

メモ: 本コンテンツは法的助言を目的としたものではありません。GDPR が自社にどのような影響を与えるか、また GDPR に準拠するために何を行う必要があるかについては、必ず自社の法務担当者または顧問弁護士にご相談ください。

GDPR とは？

EU（欧州連合）の一般データ保護規則（GDPR）は、2018 年 5 月 25 日に施行された新しい規則です。EU 域内のデータ保護法を統一し、とくに EU 居住者の個人データの取扱いに関する権利を保護することを目的としています。GDPR は EU 居住者のデータ保護に関する権利を認め、その個人データの処理に関するルールを定めています。

個人データとは？

GDPR が適用されるのはいつ、どこで？

なぜ GDPR に準拠する必要があるのか

• データ管理者およびデータ処理者が責任を持って行動し、GDPR のガイドラインを順守するよう抑止するため
• GDPR 違反により、物質的または非物質的な損害を被った個人に対する補償とするため

GDPR が定義する主な役割

• データ主体（Data Subject）: データが収集および／または処理される対象となる EU 居住者
• データ管理者（Data Controller）: データの収集および処理の目的と手段を決定する個人または組織
• データ処理者（Data Processor）: データ管理者に代わって収集されたデータを処理する個人または組織

この文脈では、次の 2 つのシナリオが考えられます。

• Zoho にサインアップし、Zoho Creator をサブスクリプション契約する場合:
  
  • お客様はデータ主体としての立場になります。
  • Zoho はデータ管理者としての立場になります。
• Zoho Creator を使用してアプリを作成する場合:
  
  • お客様がデータを収集する自然人（たとえば、アプリを共有するユーザー）は、そのアプリにおけるデータ主体となります。
  • お客様は、自身のワークスペース内のすべてのアプリについてデータ管理者としての立場になります。
  • Zoho はデータ処理者としての立場になります。

Zoho Creator の GDPR 対応状況

データ主体の権利への対応

• 通知を受ける権利: フォームにメモ項目を追加する
  
  • データ主体には、自身の個人データがどのように取得・処理されてきたか、現在どのように処理されているか、今後どのように処理されるかについて通知を受ける権利があります。フォームで個人データを収集する項目の横にメモ項目を追加することで、そのデータがなぜ必要なのか、何に利用するのか、どのように処理されるのかを説明できます。また、メモ内に自社のプライバシーポリシーへのハイパーリンクを挿入することもできます。
• アクセス権、消去権、および忘れられる権利: ユーザーから受け取ったこれらのリクエストは、support@zohocreator.com宛てに転送する必要があります。弊社サポートチームがリクエスト内容を確認し、どのように対応すべきかをご案内します。
  
  • アクセス権により、データ主体はデータ管理者に対し、収集・処理された自身の個人データ、その取得方法、処理方法、および共有先など、収集時点から保管時点までのすべての詳細情報の提供を求めることができます。
  • 消去権により、データ主体はデータ管理者に対し、自身のすべての個人データの消去を求めることができます。
  • 忘れられる権利により、データ主体は自身のデータを完全に消去するよう求めることができます。
• 訂正を求める権利: ユーザーは、該当するレポートにアクセスして自身のデータを編集できます。
  
  • データ主体は、データ管理者に対し、不正確な個人データの訂正および未完了のデータ項目の補完を、不当な遅延なく行うよう求める権利を有します。
• 処理に異議を唱える権利: フォームにディシジョンボックスを追加する
  
  • 個人データの処理に対するデータ主体の同意を取得するために、専用のディシジョンボックス項目を使用し、これらの権限が処理前に必ず確認されるようにワークフローを定義します。データ主体は、該当するディシジョンボックス項目を更新するだけで、同意の付与や撤回を行うことができます。
• データポータビリティの権利: ユーザーが送信したデータは、スプレッドシートやPDFとしてエクスポートできます。
  
  • データ主体は、データ管理者に送信した自身のすべての個人データを受け取る権利を有します。これを行うには、ユーザーがレポートから自身のデータをエクスポートするだけで済みます。

ベストプラクティスを実装する

• 個人データを含む項目を指定する: 個人データを含む 項目プロパティを使用すると、その項目がユーザーによって個人データが入力される項目かどうかを定義できます。
• データを暗号化する: この項目プロパティを有効にすると、その項目にユーザーが入力したデータは暗号化された形式で保存されます。 詳細はこちら
• 位置情報を取得する: Zoho Creator アプリのフォームでは、ユーザーの同意を得たうえで、ユーザーが入力内容を送信した地理的な位置情報を取得できます。 詳細はこちら
• IP アドレスを取得する: Zoho Creator アプリのフォームでは、ユーザーが入力内容を送信する際に使用した公開 IP アドレスを取得できます。 詳細はこちら
• 同意を取得する: データ主体には、アプリまたはアプリ内のフォームがなぜデータを収集するのか、またそのデータがどのように処理されるのかについて通知を受ける権利があります。さらに、データ管理者として、ユーザーがこれに同意したかどうかを示す必要がある場合があります。以下の方法で対応できます。
  
  • フォームが既に収集しているデータとあわせて同意が必須となる場合は、メモ追加 項目（特定のデータを収集する理由と、その処理方法を表示するため）と、ユーザーが同意を示すための必須の 判定ボックス 項目を追加します。
  • アプリ全体で同意が必須となる場合は、新しいフォームを追加し、上記と同様に メモ追加 項目と 判定ボックス 項目の組み合わせを使用します。
  • ユーザーが何に同意したかを知らせるために、同意が行われたことを通知するメールを送信できます（メールのメッセージ本文に、メモ追加 項目の内容をコピー＆ペーストします）。
• フォームまたはアプリに ダブルオプトインの仕組み を用意する: ダブルオプトインは、対象ユーザーに進行前の意思確認を行うために広く利用されている仕組みです。アプリ内の任意のフォームにユーザーをアクセスさせる前に、ダブルオプトインを設定できます。設定方法は次のとおりです。
  
  • アプリに新しいフォームを追加し、その中に、ユーザーに知らせたい情報を記載するための メモ追加 項目、メール送信先を指定するための メール 項目（ここにメールを送信します）、およびメールの受信に同意したかどうかを取得するための 判定ボックス 項目を追加します。
  • フォーム送信時に送信するメールには、対象となるフォームへのリンクを含めてください。