GDPR に関するよくある質問

このページで学べること

GDPRが同意、顧客データの開示請求、そしてKlaviyoで使用するツールとどのように関係するかをご確認ください。

GDPRは一般データ保護規則（GDPR）を指し、2016年に採択されたEUの規則で、2018年5月25日に施行されました。EU域内に設立された企業による個人データの処理、およびEU域外に所在していてもEU域内の人々に商品またはサービスを提供する、もしくは域内での行動を監視する企業による個人データの処理を規定します。GDPRの詳細については、ブログシリーズをご覧ください。

ヨーロッパの顧客のデータを Klaviyo に転送することは合法ですか？

GDPRでは、個人データをEU域外に移転するための複数の法的メカニズムが認められています。KlaviyoはData Privacy Frameworkに基づいて自己認証しており、該当地域で有効な移転メカニズムとして認められている間は、移転にこれを使用します。Standard Contractual Clausesは、 利用規約 に組み込まれている データ処理契約 に記載されているとおり、フォールバックとして適用されます。組織が行う可能性のあるデータ移転について適切な移転メカニズムを判断するために、法務チームにご相談することをおすすめします。

レガシー プロファイルについて明示的なオプトインを証明できない場合、メールで同意を確認する方法はありますか？

GDPR の施行前（2018/05/25）は、EU の購読者に対して再許諾キャンペーンを送信することを推奨していました。ただし、現在は GDPR が施行されているため、この方法は推奨していません。明示的なオプトインを証明できない既存の顧客または購読者に連絡する前に、法務チームにご相談ください。

購読者がオプトインした日を含め、同意をどのように証明しますか？

Klaviyoでは、メールの購読にはダブルオプトインを推奨しています。同意があったことを示すために、購読者が同意を提供したフォーム、メール、またはウェブページに表示された文言を、同意した日時および同意した内容（同意した項目）とともに保管してください。国ごとのオプトイン要件については、法務チームにご相談ください。

ウェブサイトのメールフィールドについて、詳細を送信する前にお客様がチェックを入れるチェックボックスをさらに追加する必要はありますか？

Klaviyoは、複数のチェックボックスを備えたGDPR準拠のフォームを提供しており、同意をきめ細かく取得できます（例：メールマーケティングとフェイスブックマーケティングで同意を分ける）。

ポップアップ、フライアウト、埋め込み、またはフルページのサインアップフォームをゼロから作成する場合は、Enable data protection fieldsをオンにしてください。マーケティングプログラムの言語とチェックボックスをカスタマイズし、フォームを公開する前に法務チームに確認してもらってください。他のプラットフォームを通じてEUの消費者に関する個人情報を収集する場合は、それらのプラットフォームでも変更を行う必要があります。

メール同意を収集するためにカスタムチェックボックスを使用している場合は、そのプロファイルプロパティを使用して、選択した購読者のセグメントを作成してください。チェックボックスには、$consentではなく専用のカスタムプロパティを割り当ててください。誰かが購読すると、Klaviyoは自動的に$consentにメールを追加するため、その値だけでは選択内容を示しません。そのセグメントにマーケティングを送信し、マーケティングフローに一致するフィルターを追加してください。カスタムチェックボックスの保存済みの値では、フォームの送信によってメールマーケティングが購読されるかどうかは制御されません。

処理する個人データの種類、ホスト場所、共有先、保持期間はどのようになっていますか？

当社が処理するデータに関する情報およびその保護のために当社が講じる対策については、当社のデータ処理契約（DPA）をご覧ください。別紙1には、データのカテゴリおよび処理の目的が記載されています。セキュリティ対策は別紙2に記載されています。また、当社の利用規約の全文もお読みいただけます。

Klaviyo に保存される方法に関する情報が含まれるメールアドレスを取得する際、免責事項を更新する必要がありますか？

はい、EU の見込み客と顧客に関しては、以下のガイダンスを反映するように細則を更新してください：

• 理解しやすい、明確で平易な言葉を使用してください
• データが必要な理由と、そのデータで行うことを指定します。
• 組織名と、使用するすべての第三者処理者の名前を入力します。
• 同意を撤回できることを個人に伝えます。

GDPR に準拠するために、現地の言語でのオプトインメールを用意する必要はありますか？

必ずしもそうとは限りません。具体的な要件は国によって異なる場合があるため、国別の要件については法務チームに相談することをおすすめしますが、Klaviyo は複数の言語でデフォルトのオプトイン文言を提供しています。

消費者からのすべての個人データについて同意を得る必要がありますか？

特別カテゴリに該当しない個人データについては、同意を含め、処理の適法な根拠がいくつかあります。GDPRでは、明示的な同意を含め、特別カテゴリのデータの処理に関する一般的な禁止の例外がいくつか示されています。ただし、同意がある場合でも、KlaviyoのAcceptable Use Policyでは、健康情報などの特別カテゴリのデータをKlaviyoで収集、保存、または処理することを禁止しています。

特別なカテゴリーに該当しない個人データを処理するその他の法的根拠には、以下が含まれます：

• 処理は、契約の履行に必要であるか、または契約を締結する前に、データ主体からの要請に応じて措置を講じるために必要です
• この処理は、法的義務の遵守のために必要です。
• この処理は、データ主体または別の人物の重大な利益を保護するために必要です。
• この処理は、事業の正当な利益のために必要であり、その利益はデータ主体の利益または基本的権利に優先されません。
• この処理は、公共の利益のために行われるタスクの実行、または公務員としての責務を果たすために必要です。

組織によるデータ処理に適した適法な根拠を判断するため、法務チームに相談することを推奨します。

個人を特定できる情報を表示せずにプロファイルを閲覧できるよう、データを匿名化できますか？

Klaviyoでは、既存のプロファイルの匿名化バージョンを表示する方法は提供していません。プロファイルを削除すると、そのイベント履歴内の識別情報は編集されます。一方、イベントデータ（例：注文の確定イベント）は、パフォーマンスメトリックの正確性を維持するためにアカウント内に残ります。エクスポートしたデータはKlaviyo外で匿名化できます；ただし、エクスポートしてもアカウント内のプロファイルは匿名化されません。

プロファイルの削除は元に戻せません。プロファイルを削除し、データプライバシーに関するリクエストを記録できます。削除ダイアログで、削除を確定する前にデータプライバシーに関するリクエストに従ってプロファイルを削除を選択してください。連絡先から依頼があった場合は、指定したプロファイルのすべてのデータをエクスポートすることもできます。

カゴ落ちメールは GDPR に準拠していますか？

この点については完全には明確ではありませんが、多くの組織は、正当な利益に基づき、マーケティングコミュニケーションに関する明示的な同意がなくてもカゴ落ちメールを送信できるという見解を示しています。カゴ落ちメールは、ビジネスとの取引を完了するという明確な意図に関連するコミュニケーションと見なせる場合があります。一方で、閲覧放棄やウィンバックなどの他のトリガーメールは、GDPR に準拠した形で顧客が以前にマーケティングメールの受信に同意していない限り、許可されない可能性があります。

つまり、正当な利益やその他の法的根拠が適用できるかどうかは、たとえばメールの数と頻度、カート放棄から経過した時間の長さなど、個別の状況によって異なります。適用法令に準拠していることを確認するため、メールキャンペーンについて法務チームに相談することを強く推奨します。

Google Fonts の使用は GDPR に準拠していますか？

Google Fonts を使用すると、フォント配信のために Google のサーバーが受信者の IP アドレスを必要とするため、GDPR のコンプライアンス問題が生じる可能性があります。GDPR によると、IP アドレスは個人情報に該当し、ユーザーの特定に使用される可能性があります。フォントライブラリに Google Fonts を含めることで、Google Fonts を使用しているとみなされますのでご注意ください。

Google Fontsの代替として、Klaviyoでは、サインアップフォーム、同意ページ、メールで使用できるKlaviyoホストのフォントを複数ご用意しています。これらのフォントを読み込んでも、訪問者や受信者のIPアドレスがGoogleに送信されることはありません。Klaviyoホストのフォントに切り替える場合は、既存のコンテンツ内のフォントを更新し、フォントライブラリからGoogle Fontsも削除してください。

その他のリソース