第三者処理者の開示ガイド

運用の実態を示す

処理者の開示は初回リリース時の一覧ではなく、現在製品を動かすツールを反映すべきです。サポート、セッションリプレイ、分析、決済、メール、AI API、ログ、クラウド基盤は特に漏れやすい項目です。

設定、タグマネージャー、バックエンド連携、決済・メール・OAuth・サポート・インフラの証拠から確認すると、公開文書を実システムへ追跡できます。

名称だけでなく、ベンダーまたは受領者の種類、目的、データカテゴリー、必要な場合は場所や移転の背景を結び付けます。

決済サービスが扱う取引情報と、エラー監視が受け取る診断情報は異なるリスクであり、曖昧な一文へまとめるべきではありません。

書面の指示だけで処理する事業者も、自らの法的義務や目的で独立管理者になる事業者もいます。

決済、アプリ市場、ID、通信サービスの役割は製品によって異なります。すべてが単なる処理者だと過剰に約束しないでください。

一般的な承認を使う場合、追加・交代の前に管理者へ通知し、異議の機会を与えることが求められます。そのため多くの SaaS は公開リストを維持します。

名称、目的、場所、プライバシー・データ処理資料へのリンクと、変更通知を受ける方法を掲載します。

分析 SDK、サポート基盤、AI 機能、メール事業者を追加するときに法的文書は取り残されがちです。

製品、開発、法務、安全の担当者がツール、データ、目的、移転、契約、公開開示への影響を一か所で記録する運用が必要です。