GDPR に関するよくある質問

このページで学べること

GDPR に関するよくある質問について確認し、コンプライアンス対応にお役立てください。

GDPR は一般データ保護規則（General Data Protection Regulation）の略称で、2016 年に欧州委員会によって制定され、2018 年 5 月 25 日に施行された法律です。EU 市民のプライバシーを保護することを目的としており、欧州連合（EU）域外に所在する事業者と当該市民が関わる場合も含めて、個人データに関する規制を課しています。GDPR の詳細については、ブログシリーズをご覧ください。

ヨーロッパの顧客のデータを Klaviyo に転送することは合法ですか？

はい。GDPR では、EU 域外へデータを移転するための法的メカニズムが複数認められています。EU-US プライバシーシールド枠組みの無効化を受け、Klaviyo は欧州委員会の Standard Contractual Clauses を データ保護補遺に組み込んでおり、これは 利用規約に組み込まれています。組織が行う可能性のあるデータ移転について適切な移転メカニズムを判断するため、法務チームに相談することをおすすめします。

レガシー プロファイルについて明示的なオプトインを証明できない場合、メールで同意を確認する方法はありますか？

GDPR の施行前（2018/05/25）は、EU の購読者に対して再許諾キャンペーンを送信することを推奨していました。ただし、現在は GDPR が施行されているため、この方法は推奨していません。明示的なオプトインを証明できない既存の顧客または購読者に連絡する前に、法務チームにご相談ください。

購読者がオプトインした日を含め、同意をどのように証明しますか？

ダブルオプトインを使用することに加えて、消費者が同意を提供したフォーム、メール、またはウェブページで提示された文言を保持する必要があります。そのため、同意した日時と、同意した内容を正確に提示できる必要があります。

ウェブサイトのメールフィールドについて、詳細を送信する前にお客様がチェックを入れるチェックボックスをさらに追加する必要はありますか？

Klaviyo では、複数のチェックボックスを備えた GDPR 準拠フォームを提供しており、同意を細かく取得できます（例：（メールマーケティングと Facebook マーケティングに対する同意を個別に取得する）。

GDPR 準拠として識別されているフォームを選択し、マーケティングプログラムに応じて適切にカスタマイズする必要があります。他のプラットフォームを通じて EU の消費者に関する個人情報を収集している場合は、それらのプラットフォームでも変更が必要です。

処理する個人データの種類、ホスト場所、共有先、保持期間はどのようになっていますか？

当社が処理するデータおよびそれを保護するために講じる対策に関する情報は、データ処理補遺（DPA）でご確認いただけます。セキュリティ対策は、追補書の別紙 2 に具体的に記載されています。利用規約の全文もご覧いただけます。

Klaviyo に保存される方法に関する情報が含まれるメールアドレスを取得する際、免責事項を更新する必要がありますか？

はい、EU の見込み客と顧客に関しては、以下のガイダンスを反映するように細則を更新してください：

• 理解しやすい、明確で平易な言葉を使用してください
• データが必要な理由と、そのデータで行うことを指定します。
• 組織名と、使用するすべての第三者処理者の名前を入力します。
• 同意を撤回できることを個人に伝えます。

GDPR に準拠するために、現地の言語でのオプトインメールを用意する必要はありますか？

必ずしもそうとは限りません。具体的な要件は国によって異なる場合があるため、国別の要件については法務チームに相談することをおすすめしますが、Klaviyo は複数の言語でデフォルトのオプトイン文言を提供しています。

消費者からのすべての個人データについて同意を得る必要がありますか？

機密データを収集または処理するための適法な根拠として選択できるのは、明示的な同意のみです。その他の個人データについては、適法な根拠を確立する際に複数の選択肢がある場合がありますが、同意は組織が頻繁に依拠する根拠の 1 つです。

その他の適法な根拠には、次が含まれます：

• 処理は、契約の履行に必要であるか、または契約を締結する前に、データ主体からの要請に応じて措置を講じるために必要です
• この処理は、法的義務の遵守のために必要です。
• この処理は、データ主体または別の人物の重大な利益を保護するために必要です。
• この処理は、事業の正当な利益のために必要であり、その利益はデータ主体の利益または基本的権利に優先されません。
• この処理は、公共の利益のために行われるタスクの実行、または公務員としての責務を果たすために必要です。

組織によるデータ処理に適した適法な根拠を判断するため、法務チームに相談することを推奨します。

個人を特定できる情報を表示せずにプロファイルを閲覧できるよう、データを匿名化できますか？

現在、顧客がプロファイルを匿名化することはできませんが、パフォーマンスメトリックの正確性を維持するため、そのプロファイルに関連付けられた匿名化データ（例：注文の確定イベント）はアカウントに残ります。データはシステムから抽出する際に匿名化できますが、Klaviyo 内では、あらゆるプロファイルに組み込まれたデータを完全に可視化できます。

同様に、コンプライアンスを証明するために削除記録のある連絡先を削除することも、連絡先から依頼があった場合に特定のプロファイルに関するすべてのデータをエクスポートすることも可能です。

カゴ落ちメールは GDPR に準拠していますか？

この点については完全には明確ではありませんが、多くの組織は、正当な利益に基づき、マーケティングコミュニケーションに関する明示的な同意がなくてもカゴ落ちメールを送信できるという見解を示しています。カゴ落ちメールは、ビジネスとの取引を完了するという明確な意図に関連するコミュニケーションと見なせる場合があります。一方で、閲覧放棄やウィンバックなどの他のトリガーメールは、GDPR に準拠した形で顧客が以前にマーケティングメールの受信に同意していない限り、許可されない可能性があります。

つまり、正当な利益やその他の法的根拠が適用できるかどうかは、たとえばメールの数と頻度、カート放棄から経過した時間の長さなど、個別の状況によって異なります。適用法令に準拠していることを確認するため、メールキャンペーンについて法務チームに相談することを強く推奨します。

Google Fonts の使用は GDPR に準拠していますか？

Google Fonts を使用すると、フォント配信のために Google のサーバーが受信者の IP アドレスを必要とするため、GDPR のコンプライアンス問題が生じる可能性があります。GDPR によると、IP アドレスは個人情報に該当し、ユーザーの特定に使用される可能性があります。フォントライブラリに Google Fonts を含めることで、Google Fonts を使用しているとみなされますのでご注意ください。

Google Fonts の代替として、Klaviyo ではサインアップフォーム、同意ページ、メールで使用できる、Klaviyo でホストされているフォントをいくつか提供しています。これらには受信者の IP は必要ありません。

その他のリソース