米国のデータ プライバシー法をよりよく理解し、これに準拠するのに役立つリソース。

米国のいくつかの州では、一般に次のようなデータ プライバシー法を制定しています。

• 対象となる企業に適用される個人情報の使用方法に関するルールを設定します。
• 企業が個人情報をどのように使用するかについて、個人がより認識しやすく、管理しやすくなるようにします。

このガイドでは、これらの州のプライバシー法の概要、Squarespaceが法令遵守にどのように役立つか、およびそれらの州で訪問者や顧客に対応するSquarespace ユーザーが知っておくべきことについて説明します。

備考: このガイドは資料として利用できますが、法的アドバイスとして解釈したり依拠したりはしないでください。当社のサービス利用規約に基づき、Squarespaceはお客様のサイトやビジネスに適用される法律に関するアドバイスや推奨を行いません。

Squarespaceサイトにおける米州データ プライバシー法のベスト プラクティス

法的なアドバイスはできませんが、コンプライアンスを徹底するのに役立つベスト プラクティスをいくつかご紹介します。ここで解決されないご質問がある場合は、データ プライバシーの専門家に相談することをおすすめします。

個人情報の監査

これらの法律における個人情報の定義を念頭に置きながら、ウェブサイトを見直し、個人情報を収集する分野を検討します。次の質問について考えてみましょう。

• GoogleアナリティクスやMailchimpなどのサードパーティー サービスを使用してサイト上の個人情報を収集しているか？その場合は、それらのサービスのプライバシー ポリシーをお読みください。
• サイトから別のシステムにデータをダウンロードまたはエクスポートするか？
• 収集した個人情報を他のデータソースと組み合わせるか？
• 訪問者データを第三者と共有する可能性のある広告/マーケティング技術 (Meta Pixelを含む) をサイトで使用しているか？

プライバシー ポリシーを作成 (または更新) する

個人情報の収集方法と使用方法を特定したら、これらの法律により、顧客の個人情報の収集および使用方法に関する具体的な情報を提供することが義務付けられています。プライバシー ポリシーは、訪問者の情報がどのように使用されるかを明確に説明するためのものです。サイトに、以下を記載したプライバシー ポリシー ページを設けることを検討してください。

• 収集する情報
• それらの情報を収集する理由
• 情報の共有先
• 情報保管期間
• 情報の販売の可能性
• これらの法律で義務付けられているその他の情報

Webサイトのプライバシー ポリシーに関するその他のヒントについては、「ポリシーと利用規約をサイトに掲載する」および「Squarespaceサイトのプライバシー ポリシーのサンプル メッセージ」をご覧ください。Acuityインテーク フォームを使用してプライバシー ポリシーをスケジューラーに追加する方法については、「Acuityのクライアント インテーク フォームと契約」をご覧ください。

ヒント: お客様のビジネスがプレミアム サポートを求める大企業やエンタープライズである場合、契約、支払い、サポートのニーズを満たすカスタム ソリューションが必要になる場合があります。詳しくは、「Enterprise」ページをご覧ください。

米国連邦データ プライバシー法

GDPRが適用されるEU/英国とは異なり、米国には一般に適用されるデータ プライバシー法がありません。しかし、州法に加えて、データ プライバシーに関連する業界固有の連邦法がいくつかあります。例:

• 財務情報に関するグラム リーチ ブライリー法 (金融サービス近代化法、GLBA)。
• 備考: Squarespaceサイトおよびその他のSquarespace製品は、GLBAに準拠していません。これらのサイトや商品は、(GLBAで定める)「非公開個人情報」を収集するために使用しないでください。
• 保護対象保健情報に関する医療保険の相互運用性と説明責任に関する法律 (HIPAA)。
• 備考:Acuity Schedulingは、HIPAAセキュリティ ルールの要件に準拠できるように設計されています。詳細については、 「Acuity SchedulingとHIPAA」をご覧ください。
• 教育情報に関する家族の教育権利とプライバシー法 (FERPA)。
• 備考: Squarespaceと特別な書面による契約を結んでいない限り、FERPAの対象となる情報を収集するためにSquarespaceサイトおよびその他のSquarespace製品を使用することはできません。

適用性

州法では、それぞれに異なる適用性のしきい値が設けられています。ご自身とお客様の事業が州法の適用対象であるかどうかを判断するには、法律を確認し、必要に応じて法律上の助言を求めてください。

たとえば、カリフォルニア州のデータ プライバシー法は、株主/所有者のメリットまたは金銭的利益のために組織または運営され、カリフォルニア州で事業を行う次のような事業体に適用されます。

• 年間総売上が2,500万米ドルを超えている
• 年間 5万人 (CPRA　はこれを10万人に変更）以上の消費者または世帯の個人情報を購入、販売、または共有する
• 個人情報の販売（CPRAは「共有」の概念を明記し、これを「販売および共有」に変更している) による収益が年間売上の50%以上の収益を得ている

以下にリストされている他の州法には、異なる適用基準があります。

個人情報

州法は、個人情報の定義方法も異なる場合があります。しかし、一般的にこれらの法律では、この用語は広く定義されており、生年月日、氏名、物理的住所、メールアドレスといった従来の個人データだけでなく、位置情報、生体情報、家計情報なども含まれる場合があります。

例:

• カリフォルニア州のデータ プライバシー法では、個人情報を「直接的もしくは間接的に、特定の消費者または世帯を識別し、関連し、記述し、関連付け、または合理的に結びつけることができる情報」と定義しています。
• バージニア州のデータ プライバシー法では、個人情報を「特定された個人または特定可能な個人に関連付けられる、または合理的に結びつけることができる情報」と定義しています。

これらの法律に基づく個人の権利

これらの州法は、対象となる事業が所有する個人情報について当該個人に与える権利が異なります。法律は、以下を知る権利または要求する権利の一部またはすべてを個人に付与している場合があります。

• 個人に関するデータが収集されているかどうか。
• 対象となる事業が収集した個人情報のカテゴリーと具体的な個人情報。
• 個人情報が収集された場所。
• 個人情報の用途。
• 該当する場合、対象となる事業による個人情報の販売先または共有先。
• 個人情報が販売または共有されないこと (対象となる事業が個人情報を販売または共有する場合)。
• 対象となる事業が個人情報を更新または修正すること。
• 個人情報を削除すること。

米国における州のデータ プライバシー法の例

以下は、データ プライバシーとデータ セキュリティに関して可決された米国の州法の例です。

都道府県	詳細
カリフォルニア州	カリフォルニア州消費者プライバシー法 (CCPA) は、2020年1月1日に施行されたカリフォルニア州のデータ プライバシー法です。CCPAは、カリフォルニア州プライバシー権法 (CPRA) に改正されました。CCPAの改正法案となるCPRAのほとんどの部分が、2023年1月1日に施行されました。 CPRAは、カリフォルニア州プライバシー保護庁 (CPPA) と呼ばれる州機関を設立しました。CCPA/CPRAについて詳しくは、 CPPAのWebサイトをご覧ください。
コロラド州	コロラド州プライバシー法は、2023年7月1日に施行されたコロラド州のデータ プライバシー法です。
コネチカット州	コネチカット州の個人データ プライバシーおよびオンライン モニタリング法は、2023年7月1日に施行されたコネチカット州のデータ プライバシー法です。
デラウェア州	デラウェア州個人データ プライバシー法は、2025年1月1日に施行されるデラウェア州のデータ プライバシー法です。
インディアナ州	インディアナ州消費者データ保護法は、2026年1月1日に施行されるインディアナ州のデータ プライバシー法です。
アイオワ州	アイオワ州消費者データ保護法は、2025年1月1日に施行されるアイオワ州のデータ プライバシー法です。
ケンタッキー州	ケンタッキー州消費者データ保護法は、2026年1月1日に施行されるケンタッキー州のデータ プライバシー法です。
メリーランド州	メリーランド州オンライン データ プライバシー法は、2025年10月1日に施行されるメリーランド州のデータ プライバシー法です。
ミネソタ州	ミネソタ州消費者データ プライバシー法は、2025年7月31日に施行されるミネソタ州のデータ プライバシー法です。
モンタナ州	モンタナ州消費者データプライバシー法は、2024年10月1日に施行されるモンタナ州のデータ プライバシー法です。
ネブラスカ州	ネブラスカ州データ プライバシー法は、2025年1月1日に施行されるネブラスカ州のデータ プライバシー法です。
ネバダ州	ネバダ州オンライン データ プライバシー法 (ネバダ州改正法第603A章) は、2017年に初めて施行されましたが、その後何度か改正されています。
ニューハンプシャー州	上院法案第255号は、2025年1月1日に施行されるニューハンプシャー州のプライバシー法です。
ニュージャージー州	ニュージャージー州プライバシー法は、2025年1月15日に施行されるニュージャージー州のプライバシー法です。
オレゴン州	オレゴン州消費者プライバシー法は、2024年7月1日に施行されたオレゴン州のデータ プライバシー法です。
ロードアイランド州	ロードアイランド州データ透明性およびプライバシー保護法は、2025年1月1日に施行されるロードアイランド州のデータ プライバシー法です。
テネシー州	テネシー州情報保護法は、2025年7月1日に施行されるテネシー州のデータ プライバシー法です。
テキサス州	テキサス州データ プライバシーおよびセキュリティ法は、2024年7月1日に施行されたテキサス州のデータ プライバシー法です。
ユタ州	ユタ州消費者プライバシー法は、2023年12月31日に施行されたユタ州のデータ プライバシー法です。
バージニア州	バージニア州消費者データ保護法 (VCDPA) は、2023年1月1日に施行されたバージニア州のデータ プライバシー法です。

 

Squarespaceはこれらの米国州法への準拠にどのように役立つか？

デフォルトでは、Cookieを使用してサイトを運営し、訪問者に関する情報を取得します。この情報は、 Squarespace Analyticsで見つけることができます。これらの法律に準拠するために、次の操作が可能です。

• アクティビティ ログを無効にして、訪問者のIP アドレスやその他の個人データを収集または表示しないようにすること。
• Squarespaceの分析Cookieを無効にして、これらの分析CookieやパフォーマンスCookieが訪問者のブラウザーに配置されないようにすること。
• WebサイトでCookieを使用している旨を訪問者に伝えることができるよう、カスタマイズ可能なCookieバナーを表示すること。
• カスタマイズされた精算フォームを作成して、オンラインストアのお客様からの「私の個人情報を販売しない」リクエストを受け付けられるようにすること。

独自の法的条件やプライバシー ポリシーを投稿することもできます。たとえば、次の操作が可能です。

• プライバシー ポリシーまたは関連する利用規約をテキスト ブロックに追加して、いつ、どのように、どこで情報を収集するかを訪問者に知らせること。
• 免責事項を使用してニュースレターブロックをカスタマイズすること。
• カスタマイズされた言語とポリシーへのリンクを含むCookieバナーを追加すること。

これらをサイトに追加する方法については、 「ポリシーと利用規約をサイトに掲載する」をご覧ください。

備考: SquarespaceサイトのCookieは、お客様のアカウントで利用可能なツールを使用して管理できます。ただし、商品の連携、コードベースの変更、または接続されたアカウントを通じて、使用するサードパーティーのサービスを管理することはできません。詳細については、下記の「Squarespaceとサードパーティー サービスを連携させて使用する」セクションをご覧ください。Squarespaceサイトに接続されているすべてのサービスのポリシーを確認して、サイトに配置されるCookieについて理解を深めてください。

Acuity Schedulingはこれらの米国州法への準拠にどのように役立つか？

Acuityは、これらの米国州法への準拠を徹底できるように設計されていますが、最終的には法律に準拠するか否かはお客様にかかっています。アカウントの使用方法と設定方法、および顧客から収集するデータは法令遵守に欠かせません。Acuity上で、次の操作が可能です。

• スケジュールの指示に利用規約を表示すること。
• 顧客から規約への同意を取り付けるためにインテーク フォームを使用し、パッケージを購入したりサブスクリプションにサインアップしたりする前に顧客に規約への同意を求めること。
• 顧客リストに記載される顧客情報を削除すること。 非アクティブな顧客を削除したり、複数の顧客を一括で削除したりすることもできます。
• 顧客のデータ ポータビリティー リクエストに応じて顧客データをエクスポートすること。

自分または顧客の個人データをSquarespaceから削除する

以下をはじめとするアカウント内の個人データにアクセスし、更新または削除を実施できます。

• アカウントのメールアドレス
• 作成者プロフィール
• 接続済みのアカウント
• 期限切れまたはキャンセルされたサイト

適切な手順を実行した後で、セルフサービス オプションを通じてアカウントを削除することもできます。

Squarespaceにログインすると、顧客の個人情報のほとんどにアクセスできます。一部の商品では、顧客の個人情報をお客様が更新または削除することもできます。顧客の特定の個人データの更新または削除するリクエストを受け取り、これらが実行できない場合は、 privacy@squarespace.comまでご連絡ください。

Squarespaceとサードパーティー サービスを連携させて使用する

米国の州法は、お客様が使用するSquarespace製品が個人情報を処理する方法、および他のサービスがお客様に代わってデータを処理する方法に影響します。組み込みの連携機能を使用してSquarespace製品をサードパーティーのサービスに連携したり、次のような他の方法で追加サービスに連携したりできます。

• 接続済みのアカウント
• コード ブロック
• コード挿入 (Google AdSenseなどのサービスを使用できるようにします)
• 埋め込みブロック
• Facebookピクセル
• フォーム ブロック ストレージ (メール、Googleドライブ、Mailchimp)
• Googleアナリティクス
• 支払い処理業者
• ソーシャル ブロック
• 特定の統合またはブロック (例: Acuity 、 ChowNow 、 Mailchimp)
• Squarespace Extensions

通常、サードパーティー サービスは、サイトや他のSquarespace製品からデータを受け取ったり、サイトや他のSquarespace製品にコンテンツを埋め込んだりします。Squarespaceは、そのようなデータや表示コンテンツのパススルーとして機能します。これらのサービスには、Squarespaceとは異なる独自の利用規約、プライバシー ポリシー、およびその他の慣行が適用される場合があります。Squarespace製品に接続されているすべてのサービスのポリシーを注意深く確認することが重要です。