GDPR準拠について

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

一般データ保護規則 (GDPR) は、EU 在住の個人データの収集と処理を対象とし、EU 居住者のデータとプライバシーをこれまでよりもはるかに効果的に保護する枠組みを提供します。GDPR により、フォーム回答者の個人データに対する透明性、アクセス権、管理権限が強化されます。EU 在住の顧客データを扱う企業向けに、安全なデータ処理とデータプライバシーに関するガイドラインも定められています。Zoho Forms には、フォームを GDPR 準拠にするために必要な機能が備わっています。

免責事項: ここで提供する情報は法的助言ではありません。GDPR 要件への準拠にあたり何を行うべきかについては、必ず法律の専門家にご相談ください。

GDPR 準拠フォームについて

GDPR に関して知っておくべき 3 つの用語:

データ主体: フォーム回答者のうち、あなたが個人情報を収集する相手がデータ主体です。GDPR による保護対象となる個人を指します。

データ管理者 (Data Controller): データを収集するフォームを作成する者です。安全な収集、保管、管理についての責任を負う立場になります。

データ処理者 (Data Processor): これは Zoho Forms です。あなたが収集するデータを管理することはありませんが、あなたに代わってそのデータを処理します。

GDPR

B2C 企業であり、EU に顧客または見込み顧客がいる場合は、EU 域外に拠点がある場合でも GDPR が適用されます。

GDPR に準拠しない場合、あなたやあなたの組織に多額の制裁金が科される可能性があります。

Zoho Forms では、フォームを GDPR 準拠にするためのさまざまな方法を用意しています

ダブルオプトインでのフォーム送信

ダブルオプトインを使用すると、フォーム回答者はメールでオプトインの意思を確認できます。これにより、そのフォーム送信に関する処理について回答者から明示的な同意を取得できるほか、本物の回答者からのデータのみを収集していることを確認できます。

項目を「個人情報」項目として設定

個人情報としてマークされた項目を利用すると、フォーム回答者を特定できるデータを、より高い機密性をもって取り扱うことができます。これらの機微な項目を他サービスとの連携やその他の処理に利用する際には、誤って個人データを共有してしまわないよう、事前に警告が表示されます。

項目データの暗号化

暗号化が必要な任意の項目を設定し、Zoho Forms に標準搭載されている HTTPS プロトコルによる暗号化に加えて、さらなるセキュリティ層を追加できます。項目を暗号化すると、その内容は権限のない人には判読できなくなります。この暗号化データを処理・取り扱う者は、そこから情報を取得できないため、顧客の機微な情報に対する安全性が一層高まります。

アクセス権と訂正権

フォーム回答者には、自分のデータがどのように、なぜ収集・処理されているのかを知る権利があり、いつでも自分が送信したデータへアクセスし、それを編集できる手段を持つ権利があります。

関連情報:

回答者にフォーム回答の PDFを共有することができます。フォーム送信メールに編集リンクを含めることで、回答者が自ら訂正権を行使できるセルフサービス手段も提供できます。

フォーム回答の編集を参照してください。

通知を受ける権利 (インフォームドコンセント)

回答者から同意を取得することは必須です。

メモ: フォームで同意を取得するためのチェックボックスや項目は、あらかじめチェック済みにしておくことはできません。同意を取得する各目的と処理の種類を、それぞれ個別に明示する必要があります。

たとえば、新しい商品のメールを送信することについて有効な同意を得るには、フォーム入力時に、回答者が「今後の商品のプロモーションメールを受け取りたい」というチェックボックスを自らオンにする必要があります。

フォームに利用規約項目を追加し、必要な条件をすべて平易な言葉で記載するか、プライバシーポリシーへのリンクを追加できます。

ダブルオプトイン機能を有効にして、送信後に回答者へ同意確認メールを送信することもできます。ダブルオプトインが有効な場合、回答者が同意を示した後にのみ、送信されたデータがその後の処理に回されます。

忘れられる権利 (消去権)

フォーム回答者は、いつでも自分のデータをあなたのシステムから完全に削除（忘却）するよう依頼することができます。回答者から依頼があった場合は、遅滞なくその要求に応じなければなりません。

関連情報: フォームエントリーの削除

データポータビリティの権利

フォーム回答者には、自分があなたに送信した個人データをエクスポートする権利があります。要求があった場合、そのデータを提供できるようにしておく必要があります。

関連情報:

フォームエントリーのエクスポート

処理に対する異議申立て・制限の権利
フォーム回答者に対して、送信されたデータをどのように利用するかを明示した場合、回答者はその一部または全部に異議を唱える権利を持ちます。たとえば、ユーザー登録時に「回答者のデータを利用してプロモーションメールを送信する」というオプションを設ける場合（これはアクセス権に基づき開示が必要です）、回答者はこのチェックボックスをオンにしないことで、その利用に異議を示すことができます。後になって何らかの紛争が生じた場合に備え、回答者が同意を与え、データの利用に異議を唱えなかったことを証明できるようにしておく必要があります。また、回答者は、プロモーションメールの受信など特定の種類の処理を停止するよう求めることもできます。その場合は、該当するフォーム回答に「処理しない (Do Not Process)」ステータスを適用してください。