GDPR に関する重要な情報と、コンプライアンスを開始する方法。

一般データ保護規則 (EU GDPR) は、個人および組織が個人データを収集、使用、保持する方法を規制する欧州で適用されるプライバシー法です。

グレートブリテンおよび北アイルランド連合王国 (UK) の欧州連合 (EU) からの離脱に伴い、EU GDPR は、英国データ保護法とともに、英国に存続する EU 法 (UK GDPR) の一部を形成します。 2018 年法 (DPA 2018) は引き続き英国法の一部です。

このガイドで GDPR とその規定に言及する際には、EU GDPR と UK GDPR の両方に適用される法律が含まれます。

欧州経済領域 (EEA)、英国、またはスイスの個人がお客様の WebサイトまたはAcuity ページにアクセスする場合、このガイドには Squarespace ユーザーとして知っておくべきことが記載されています。 世界の他の地域におけるデータ プライバシーに関する一般的な情報については、「データ プライバシーと Squarespace」をご覧ください。

備考: このガイドは資料として利用できますが、法的アドバイスとして解釈したり依拠したりはしないでください。当社のサービス利用規約に基づき、Squarespace はお客様のサイトやビジネスに適用される法律に関するアドバイスや推奨を行いません。

Squarespaceにおける GDPR のベスト プラクティス

Squarespaceが法的なアドバイスを提供することはできませんが、GDPR への準拠に役立つベスト プラクティスをいくつかここにご紹介します。

個人データ監査

Webサイト、スケジューラー、その他の Squarespace 商品を確認し、GDPR による個人データの定義が変更されたことを念頭に置いて、個人データを収集する領域を確認しましょう。

検討すべきいくつかの質問:

• サードパーティーのサービスを利用する Squarespace 商品を通じて個人データを収集しているか？(例: Googleアナリティクス、Mailchimp および Google Drive に接続されたフォーム ブロック)。 これらのサービスのプライバシー ポリシーをお読みください。
• Squarespace 商品から別のシステムにデータをダウンロードまたはエクスポートするか？
• 収集した個人データを他のデータソースと組み合わせるか？
• 必要のない情報を集めていないか？

プライバシー ポリシーを作成 (または更新) する

GDPR は、データ収集活動を行う組織が、個人データの収集および処理方法に関する情報をデータ主体となる個人に提供することを義務付けています。 プライバシー ポリシーは、訪問者の情報がどのように使用されるかを明確に説明するためのものです。 サイトまたはスケジューラーに、以下を記載したプライバシー ポリシー ページを設けることを検討してください。

• 収集する情報。(たとえば、規約に、サイトで使用される Cookie リストを含めることができます。)
• それらの情報を収集する理由
• 情報の共有先
• 情報保管期間
• そのような情報を欧州経済地域外に移転する場合。
• GDPR で義務付けられているその他の情報

Webサイトのプライバシー ポリシーに関するその他のヒントについては、「ポリシーと利用規約をサイトに掲載する」および「Squarespace Webサイトのプライバシー ポリシーのサンプル メッセージ」をご覧ください。Acuity インテーク フォームを使用してプライバシー ポリシーをスケジューラーに追加する方法については、「 Acuity のクライアント インテーク フォームと契約」をご覧ください。

GDPR の適用対象者

GDPR は EU/英国の規制ですが、EU/英国の居住者にサービスを提供する他の国の組織にも適用されます。 これは、次の組織に影響を及ぼします。

• EU、英国、スイスに拠点を置く組織
• EU、英国、スイス以外の地域で、EU、英国、またはスイスの居住者に商品やサービスを提供、または監視する組織

個人データとは？

GDPR では、個人データとは、単独でまたは他の情報と組み合わせて使用することで、生存する特定の個人を合理的に識別することができるあらゆる情報を指します。この広範な定義には、生年月日、氏名、物理的住所、メール アドレスといった従来の個人データに加え、位置情報、生体情報、財務情報なども含まれます。

EU および英国で個人データとみなされるものの詳細については、欧州委員会、アイルランド データ保護委員会および英国個人情報保護監督機関の関連ページをご覧ください。

Squarespaceの DPA に署名する必要があるか？

Squarespaceにサインアップすると、サービス利用規約と DPA に同意したことになります。物理的な文書を別途請求したり、署名したりする必要はありません。Squarespaceのプライバシー ポリシーをご確認ください。

Cookie および類似の技術

Cookie は、Webサイトがデバイスに保存する小規模のデータを指します。Cookie は、Webサイトが基本設定を記憶し、各ユーザーが様々な機能をどのように使用するかを理解するのに役立つため、訪問者のブラウジング エクスペリエンスを向上させることができます。同様のテクノロジーには、ピクセル、タグ、ローカル ストレージ、デバイス フィンガープリントなどがあります。 Webサイトはこれらのテクノロジーを使用して、次のことを行っています。

• 訪問者を識別する
• Webサイトが効率的に機能できるようにする
• コンテンツをパーソナライズする
• オンライン行動ターゲティング広告を許可する

EU と英国では現在、Cookie 関連法はそれぞれe プライバシー指令、および 2003年プライバシーおよび電子通信規則 (SI 2003/2426) (PECR 2003) (改定版) に準拠しています。 PECR 2003 は、引き続き EU 法として英国で適用されます。 EU および英国の Cookie 関連法では、Webサイトの所有者が EU/UK の訪問者の元に必須ではない Cookie を配置する前に、特定の手順を実行することを義務付けています。

必須ではない Cookie について訪問者に警告する

必須ではない Cookie を配置する Webサイトは、Cookieバナーを使用して、以下の最低限の措置を講じる必要があります。

1. Webサイトの Cookie の使用に関する明確かつ包括的な情報を提供します。
2. 訪問者が簡単にアクセスできるよう、その情報を目立つように表示します。
3. 必須ではない Cookie を配置することについて Webサイト訪問者から同意を得ます。

GDPR は、訪問者に求められる同意の概念を変えました。 GDPR が施行される以前は、Webサイトは黙示的な同意に依拠しており、必須ではない Cookie を配置するには、Webサイトの継続的な利用が十分な同意を意味するとみなされていました。 現在では明確な同意が必要です。つまり、訪問者は必須ではない Cookie の使用について「明確かつ積極的な同意」を提供する必要があります。 訪問者のデバイスに必須ではない Cookie を配置する前に、積極的な同意を得る必要があります。 Webサイトでは、訪問者が Cookie の設定を管理できるようにする必要もあります。

Cookie および同様のテクノロジーの詳細については、英国個人情報保護監督機関が提供するこのガイダンスをご覧ください。

Webサイトに対する GDPR および EU/UK Cookie 要件に準拠するために、Squarespace はどのように役立つか？

デフォルトでは、Cookie を使用してサイトを実行し、Squarespace Analytics のために、訪問者情報を取得します。 EU および英国の法的要件への準拠に役立てるため、次の操作が可能です。

• アクティビティ ログを無効にして、訪問者の IP アドレスやその他の個人データを収集または表示しないようにすること。
• Squarespaceの分析 Cookie を無効にして、これらの必須ではない Cookie が訪問者のブラウザーに配置されないようにすること。
• 訪問者が Cookie の使用をオプトインできるように、カスタマイズ可能な Cookie バナーを表示すること。

Squarespaceの編集ツールを使用すると、独自の法的条件やプライバシー ポリシーを投稿できます。 たとえば、次の操作が可能です。

• テキスト ブロックなど、カスタマイズ可能なテキストを追加できる場所ならどこにでもデータを収集するタイミングと方法を訪問者に知らせるコンテンツを表示させること。
• 免責事項を使用してニュースレターブロックをカスタマイズすること。
• マーケティング メールを送信する同意を得る
• カスタマイズされた同意言語とポリシーへのリンクを含む Cookie バナーを追加すること。

これらをサイトに追加する方法については、 「ポリシーと利用規約をサイトに掲載する」をご覧ください。

備考: Squarespace サイトで使用される Cookie を管理するためのツールを構築していますが、接続されたアカウント、商品の統合、またはコードベースの変更を通じてお客様が使用するサードパーティーのサービスをSquarespaceが管理することはできません。 Squarespace サイトに接続されているすべてのサービスのポリシーを確認して、サイトに配置される Cookie について理解を深めてください。

Acuity Schedulingは GDPR への準拠にどのように役立つか？

Acuity には GDPR への準拠を支援するツールがありますが、GDPR に準拠するか否かは最終的にはお客様にかかっています。アカウントの使用方法と設定方法、および顧客から収集するデータは法令遵守に欠かせません。Acuity 上で、次の操作が可能です。

• スケジュールの指示に利用規約を表示すること。
• インテーク フォームに同意リクエストを含めます。パッケージを購入したりサブスクリプションにサインアップしたりする前に、顧客に規約への同意を求めることもできます。
• 顧客リストに記載される顧客情報の削除、非アクティブな顧客の削除、顧客の一括削除を行います。
• 顧客のデータ ポータビリティー リクエストに応じて顧客データをエクスポートします。

Squarespace とサードパーティー サービスを連携させて使用する

GDPR は、お客様が使用する Squarespace 商品が個人データを処理する方法だけでなく、他のサービスがお客様に代わってデータを処理する方法にも影響します。 組み込みの連携機能を使用して Squarespace 商品をサードパーティーのサービスに連携したり、次のような他の方法で追加サービスに連携したりできます。

• 接続済みのアカウント
• コード ブロック
• コード挿入 (Google AdSense などのサービスを使用できるようにします)
• 埋め込みブロック
• Meta Pixel
• フォーム ブロック ストレージ (メール、Google Drive、Mailchimp)
• Googleアナリティクス
• 支払い処理業者 (Stripe または PayPal)
• ソーシャル ブロック
• 特定の統合またはブロック (例: Acuity 、 ChowNow 、 Mailchimp)
• Squarespace Extensions

通常、サードパーティー サービスは、サイトや他の Squarespace 商品からデータを受け取ったり、サイトや他の Squarespace 商品にコンテンツを埋め込んだりします。 Squarespace は、そのようなデータや表示コンテンツのパススルーとして機能します。 これらのサービスには、Squarespace とは異なる独自の利用規約、プライバシー ポリシー、およびその他の慣行が適用される場合があります。 Squarespace 商品に接続されているすべてのサービスのポリシーを注意深く確認することが重要です。

Squarespace は顧客と訪問者のデータを EU および英国外にどのように転送するか？

GDPR は、欧州経済領域 (EEA) 、英国、スイス以外の国から「第三国」(これらの保護対象地域以外のすべての国。米国を含みます) に個人データを移転する場合、特定の保護措置を義務付けています。 Squarespace は、EEA、英国、スイス、および世界中のその他の地域から受け取った個人データを安全かつプライバシーを最優先した方法で取り扱っています。また、欧州委員会および英国の標準契約条項を満たす方法で個人データを処理しています。

標準契約条項

Squarespace では、個人データを米国を含む第三国に移転する際の法的根拠として、欧州委員会標準契約条項 (モデル契約条項としても知られています) および英国の国際データ移転補遺 (英国補遺)を採用しています。

欧州委員会は2021年6月4日、以下の項目を取り込む形で標準契約条項を更新しました。

• 現代社会におけるデータ処理のあり方。
• EU GDPR の要件。
• 欧州データ保護委員会の勧告　欧州連合司法裁判所のSchrems II事件判決

2022年3月21日には、国際データ移転契約および更新された標準契約条項の英国補遺の使用を含む、英国外へのデータ転送に関する英国情報委員会事務所の最新要件が発効しました。

Squarespace はお客様の個人データを保護し、これらの基準を満たすために適切な技術的および組織的な保護措置を講じています。 詳細については、「セキュリティ対策」ページをご覧ください。

データ プライバシー フレームワーク

GDPR 第45条に従い、EU-米国データ プライバシー フレームワーク、スイス-米国データ プライバシー フレームワーク、およびEU-米国データ プライバシーフレームワークの英国拡張 (それぞれ個別および総称で、以下「データ プライバシー フレームワーク」) の十分性の認定が採択されました。

Squarespace, Inc. は、データ プライバシー フレームワークに準拠し、EEA、スイスおよび英国 (該当する場合) から米国の Squarespace, Inc. に個人データを転送するための法的根拠を提供します。 Squarespace, Inc. は、データ プライバシー フレームワークへの準拠を証明しています。 当社の認定はここでご覧いただけます。 データ プライバシー フレームワークと DPF 原則の詳細については、データ プライバシー フレームワーク プログラム サイトを参照してください。

その他の移転要件

GDPR の第 45 条から第 50 条は、適切なレベルの保護を提供する第三国または国際機関に個人データを合法的に移転するためのさまざまな要件を定めています。 これらには以下が含まれます。

適切性

第三国、第三国の特定部門、または国際機関が十分なデータ保護レベルを提供していると EU 委員会が判断した場合、十分性が認定されます。

GDPR は、管理者または処理者が「適切な保護措置」を講じている場合に限り、移転を許可します。これには以下が含まれます。

• 承認された行動規範または承認された認証メカニズム
• 拘束力のある企業ルール
• 標準契約条項

例外

例外として、特定の状況下での移転が認められています。これには、同意が得られた場合や以下の場合などが含まれます。

• 契約の履行または締結のため
• 法的請求権の行使のため
• データ主体が同意できない場合にデータ主体の重要な利益を保護するため、または公共の利益のため

詳細については、欧州データ保護委員会または英国の個人情報保護監督機関が提供するガイダンスをご覧ください。

適切なデータ保護を確保するために、他の移転手法を使用する場合があります。 第三国への個人データの合法的な移転として、他の移転手法が使用されている場合は、必要に応じてSquarespaceが詳細を提供します。

GDPR に関する詳細情報の入手先

EU と英国の規制当局は、GDPR と Cookie に関する具体的なガイダンスを提供しています。 関連資料はこちらからご覧になれます。

• Agencia Española de Protección de Datos (スペイン)
• Bundesministerium des Innern (ドイツ)
• Commission Nationale de l'Informatique et des Libertés (フランス)
• データ保護委員会 (アイルランド)
• GDPR の全文
• 個人情報保護監督機関 (英国)
• EU GDPR の公式 Webサイト
• 欧州データ保護会議 (EDPB)

ヒント: お客様のビジネスがプレミアム サポートを求める大企業やエンタープライズである場合、契約、支払い、サポートのニーズを満たすカスタム ソリューションが必要になる場合があります。 詳しくは、「Enterprise」ページをご覧ください。