Normio ブログ
プライバシーとコンプライアンスのずれに関する実践ガイド。
プライバシー文書、ベンダー開示、Cookie、コンプライアンス対応を製品の実態と一致させるための、SaaS チーム向けの分かりやすい記事です。
SaaS チーム向け GDPR 対応チェックリスト
プライバシーポリシー、処理者、保存期間、権利、法的根拠、Cookie 開示を確認する実践的なチェックリストです。
GDPR に対応したポリシーでは、誰が処理を決定し、どのように連絡でき、本人がどこへ請求できるかを明確にします。管理者、目的、法的根拠、受領者、移転、保存、権利の情報を適切な時点で提供する必要があります。
このガイドの内容
- 管理者の説明から始める
- 目的ごとに法的根拠を対応させる
- 処理者と再処理者を確認する
第三者処理者の開示ガイド
SaaS の法的文書でサービス提供者、処理者、再処理者、ベンダーポリシーへのリンクを開示する方法です。
処理者の開示は初回リリース時の一覧ではなく、現在製品を動かすツールを反映すべきです。サポート、セッションリプレイ、分析、決済、メール、AI API、ログ、クラウド基盤は特に漏れやすい項目です。
このガイドの内容
- 運用の実態を示す
- 役割を説明する
- 処理者と独立した受領者を分ける
プライバシーポリシーのドリフトとは？
製品の挙動、ベンダー、データフローが変わっても公開文書が更新されない状態を説明します。
ベンダー追加、分析変更、新しいフローや入力項目の導入ではページが壊れなくてもポリシーだけが古くなります。
このガイドの内容
- ドリフトは静かに起きる
- 透明性を損なう可能性がある
- ベンダーのドリフトは見落としやすい
製品チーム向け GDPR の法的根拠の例
契約、同意、正当な利益、法的義務を SaaS の実際の処理目的へ対応させる方法です。
同じメールアドレスでも、アカウント提供、任意マーケティング、安全通知では目的が異なり、根拠も別に評価します。
このガイドの内容
- 法的根拠は目的に従う
- 契約は万能ではない
- 同意には本当の選択が必要
Cookie ポリシーとプライバシーポリシーの違い
それぞれの文書が答える内容と、同意バナーや実際の追跡動作との整合方法です。
プライバシーポリシーは目的、根拠、受領者、保存、移転、権利という広い処理を説明します。Cookie ポリシーはブラウザ保存等の名称、提供者、目的、カテゴリー、有効期間へ焦点を当てます。
このガイドの内容
- 異なる質問に答える
- バナーと文書を一致させる
- 必須 Cookie を狭く定義する
GDPR におけるデータ保存ポリシー
保存原則を SaaS のデータカテゴリー、期間、削除手順、実行可能な規則へ変える方法です。
「必要な期間だけ」では利用者にも開発者にも十分ではありません。固定期間、または固定できない場合は期間を決める基準を示します。
このガイドの内容
- 保存説明を曖昧にしない
- 目的制限から始める
- 判断基準でもよい
SaaS における国際データ移転
国境を越えるデータフローを特定し、十分性認定、SCC、その他の保護措置を正確に説明する方法です。
チームが国内にいても、ホスティング、分析、サポート、メール、AI 事業者により国外処理が起こります。再処理者や遠隔サポートも移転になり得ます。
このガイドの内容
- 移転はベンダーに伴う
- 保護措置を名称で説明する
- 十分性だけが経路ではない
プライバシーポリシーにおける本人の権利
アクセス、訂正、消去、制限、ポータビリティ、異議、同意撤回を明確に説明する方法です。
権利の列挙だけでなく、請求窓口、本人確認、予定期間、適用される制限を説明します。
このガイドの内容
- 権利には実際の手順が必要
- アクセスとポータビリティは異なる
- 消去には例外がある
AI SaaS のプライバシーポリシーで考慮すべき点
AI 機能、モデル提供者、学習利用、自動決定、利用者の管理機能を説明する方法です。
どの機能が AI を使い、何を送信し、どう出力し、人が確認するかを説明します。「インテリジェント処理」のような曖昧な表現でフローを隠さないでください。
このガイドの内容
- AI 処理を平易に説明する
- 提供者と目的を結び付ける
- GDPR と AI 規制を分ける
小規模 SaaS チームの GDPR 監査準備
顧客、監査人、規制当局からの質問前に、処理記録、ベンダー証拠、権利手順、安全資料を整える方法です。
難しいのはポリシー不足より実施を証明できないことです。承認、契約、評価、削除記録、訓練、変更証跡を継続的に保存します。
このガイドの内容
- 依頼前に証拠を集める
- 処理活動記録から始める
- 契約とベンダー証拠を確認する
再処理者リストのベストプラクティス
正確で利用しやすく、GDPR 第 28 条の約束と一致する公開リストの保ち方です。
古いリストは顧客審査と契約上のリスクになります。ベンダー追加、交代、削除時に公開ページと内部台帳を同時更新します。
このガイドの内容
- 最新でなければ価値がない
- 顧客が必要な項目を含める
- 第 28 条の約束と合わせる
プライバシーポリシー監視ツールの選び方
文書変更、サイト信号、ベンダードリフト、証拠品質、実行可能な通知を評価するポイントです。
単純な差分は書式、日付、ナビゲーション変更に埋もれます。目的、ベンダー、権利、保存、移転、Cookie の実質的な変化を識別すべきです。
このガイドの内容
- 文字ではなく意味を比較する
- 法的ページの外も見る
- 担当者別に通知を分ける