privacy-policy-drafting

プライバシーポリシーの草案作成

適用される可能性のあるプライバシー関連の法令や枠組みに対応し、未解決の事業上の確認事項を明らかにする、法的知見に基づいたプライバシーポリシーの文案を作成します。結果は作業用の草案および確認用チェックリストとして扱い、コンプライアンスの証明とみなさないでください。公開前に、資格を有する弁護士とともに、最新の法律、規制当局のガイダンス、製品の挙動、管轄区域を確認してください。

ワークフロー

1. 事業情報を収集する — 事業体（名称、管轄区域、連絡先情報）、提供する製品またはサービス、対象ユーザーの属性、サービス提供地域の詳細を収集します。適用される規制は、事業が登記されている場所だけでなく、ユーザーの所在地に基づいて判断してください。米国を拠点とする SaaS が EU の顧客にサービスを提供する場合は、GDPR に対応する必要があります。

2. データ収集の実態を特定する — 収集する個人データのあらゆるカテゴリを洗い出します。直接入力（フォーム、アカウント作成）、自動収集（Cookie、分析、デバイス情報、IP アドレス）、第三者からの情報源（OAuth プロバイダー、データブローカー）、推定データ（利用パターン、設定）を含めます。カテゴリごとに、収集方法、保存場所、保存期間、機微データ／特別カテゴリのデータが含まれるかどうかを記録します。

3. 法的要件を対応付ける — 収集したデータの種類を、適用される法的枠組みと照らし合わせます。GDPR では各処理活動に対する適法な根拠が必要です。CCPA では販売／共有の慣行の開示とオプトアウトの仕組みが必要です。13 歳未満のユーザーがサービスを利用する可能性がある場合は COPPA が適用され、分野別の規制（HIPAA、FERPA、GLBA）が追加要件を課す場合もあります。必要なポリシーの全セクションを特定します。

4. ポリシーの各セクションを作成する — 法的に正確な開示と併せて、平易な説明を各セクションに記載します。必須セクションには、収集するデータとその目的、処理の適法な根拠（GDPR）、データ共有と第三者、Cookie とトラッキング技術、データの保存期間、ユーザーの権利とその行使方法、国際的なデータ移転、子どものプライバシー、セキュリティ対策、ポリシー変更の通知手順が含まれます。

5. コンプライアンス上の不足を確認する — 規制チェックリストに照らして草案を監査します。すべてのデータ処理活動に適法な根拠が明記されていること、必要な権利がすべて列挙されていること、DPO またはプライバシーに関する問い合わせ先が記載されていること、Cookie 同意の仕組みが説明されていること、データ侵害の通知手順が示されていることを確認します。不足している点や、事業側の入力が必要な箇所にはフラグを立てます。

使用方法

事業内容、収集するデータ、ユーザーが所在する管轄区域を説明してください。Cookie、分析ツール、サードパーティとの統合に関する技術的な詳細も含めてください。

プロンプトの例：

Draft a privacy policy for my SaaS app "TaskFlow" — a project management tool. We collect email, name, and usage analytics via Mixpanel. Users are in the US and EU. We use Stripe for payments and Google OAuth for login.

例

例 1：メールと利用状況データを扱う SaaS アプリ

入力： TaskFlow は、プロジェクト管理 SaaS です。メールアドレス、氏名、プロフィール写真、利用状況分析データ（Mixpanel）、支払い情報（Stripe）、Google OAuth ログイン情報を収集します。ユーザーは米国と EU にいます。

出力（主なセクション）：

収集する情報

お客様から提供される情報： アカウントを作成すると、氏名、メールアドレス、プロフィール写真（Google OAuth 経由で提供された場合）を収集します。有料プランに登録すると、決済処理業者の Stripe がカード情報を収集します。サーバーにカード番号全体を保存することはありません。

自動的に収集される情報： Mixpanel を通じて、アクセスした機能、セッション時間、操作パターンなどの利用状況データを収集します。また、デバイス情報（ブラウザーの種類、オペレーティングシステム、画面解像度）、IP アドレス、IP アドレスから特定したおおよその位置情報を収集します。以下の「Cookie ポリシー」セクションに記載のとおり、Cookie および類似の技術を使用します。

第三者から取得する情報： Google OAuth 経由でサインインする場合、Google アカウントの設定に基づき、Google から氏名、メールアドレス、プロフィール写真を受け取ります。

処理の法的根拠（EEA／英国のユーザー）

処理活動	法的根拠
アカウントの作成とサービスの提供	契約の履行
支払い処理	契約の履行
製品改善のための利用状況分析	正当な利益（サービス品質の向上）
アカウントに関するメール通知	契約の履行
マーケティング関連の連絡	同意（オプトイン）

お客様の権利

GDPR に基づき（EEA／英国のユーザー）：アクセス、訂正、消去、処理の制限、データポータビリティ、異議申し立て、および同意の撤回を行う権利があります。CCPA に基づき（カリフォルニア州の居住者）：知る権利、削除する権利、販売をオプトアウトする権利（個人情報を販売することはありません）、および差別を受けない権利があります。

例 2：位置情報を追跡するモバイルアプリ

入力： FitRoute は、フィットネス追跡用のモバイルアプリです。GPS 位置情報（ワークアウト中は継続的に取得）、健康データ（ウェアラブルデバイスから取得する心拍数）、メールアドレス、年齢、体重を収集します。ユーザーは世界中にいます。

出力（追加セクション）：

位置情報データ

FitRoute は、ルートを地図上に表示し、距離を計算するため、ワークアウト中に正確な GPS 位置情報を収集します。位置情報の追跡は、ワークアウトを開始したときにのみ始まり、終了すると停止します。バックグラウンドで位置情報を追跡することはありません。位置情報の許可は、いつでもデバイスの設定から取り消すことができます。ただし、その場合、ルート表示機能を利用できなくなります。

健康データおよび機微なデータ

心拍数（接続済みウェアラブルデバイスから同期）、ワークアウト時間、消費カロリー、お客様が任意で提供する身体データ（年齢、体重、身長）など、健康関連データを収集します。GDPR では、健康データは明示的な同意が必要な特別カテゴリーに該当します。この同意は、オンボーディング時に取得します。カリフォルニア州法では、このデータは追加の保護措置の対象となる機微な個人情報に該当します。このデータは、保存時に AES-256、転送時に TLS 1.3 を使用して暗号化されます。

同意の要件

位置情報と健康データの機微な性質を踏まえ、段階的な同意の仕組みを導入しています：（1）主要なデータ処理を対象とするオンボーディング時の初回同意、（2）初回のワークアウト時に有効化される、位置情報追跡に関する個別かつ詳細な同意、（3）ウェアラブルデータの同期に関する個別の同意、（4）匿名化データを集約型フィットネス研究に提供するための任意の同意。

ベストプラクティス

• 法律用語と平易な言葉を併用し、専門用語は初出時に定義してください。可能な限り、中学2年生でも読めるレベルで記述してください。
• 「サービスプロバイダー」のような曖昧な表現ではなく、Mixpanel、Stripe、Google Analyticsなど、サードパーティのサービスを具体的に明記してください。
• 「最終更新日」を記載し、重要な変更についてユーザーにどのように通知するか（メール、アプリ内バナーなど）を説明してください。
• 「必要な期間」ではなく、具体的な期間を示したデータ保持スケジュールを提示してください。
• ePrivacy 指令の要件に従い、Cookie の同意について、必須、機能、分析、広告などの詳細なカテゴリを設定してください。
• プライバシーに関する問い合わせ窓口（メール、フォームなど）を明記し、回答期限（GDPR に関する請求には30日以内など）を示してください。

安全上の境界

• 出力は情報提供を目的とした草案作成または問題点の洗い出しとして扱い、法的助言として扱わないでください。
• 準拠法が適用される管轄区域と、関連する発効日を特定し、変更される要件については最新の一次資料で確認してください。
• 記述が法令に準拠している、執行可能である、または完全であると断言しないでください。不確実な点を明示し、重要な判断については有資格の弁護士への相談を勧めてください。
• ユーザーが確認し、明示的に許可するまで、法的条件の提出、公開、承諾、署名、送信を行わないでください。

エッジケース

• 子どもを対象とするアプリ、または幅広い年齢層を対象とするアプリ — COPPA（米国、13歳未満）および Age Appropriate Design Code（英国）では、検証可能な保護者の同意やデータ最小化など、厳格な要件が課されています。年齢確認が徹底されていない場合は、ポリシーで子どものユーザーについて扱う必要があると想定してください。
• 関連会社や広告ネットワークとデータを共有する事業者 — CCPA では、金銭の授受がなくても、これを個人情報の「販売」または「共有」とみなします。ポリシーには「販売または共有を拒否する」リンクを含め、Global Privacy Control のシグナルに対応する必要があります。
• Schrems II 判決後の国際データ移転 — EU のデータを米国に移転する場合は、EU-US Data Privacy Framework または標準契約条項に言及してください。「適切な保護措置」のような曖昧な記述では不十分です。
• ユーザーデータを用いた AI／ML モデルのトレーニング — ユーザーデータを機械学習モデルに取り込む場合は、独自の法的根拠を伴う処理目的として開示してください。ユーザーは GDPR 第22条に基づき、自動化された意思決定に異議を申し立てることができます。
• 買収とデータポータビリティ — 事業が売却、合併、または破産した場合にユーザーデータをどう扱うか、ポリシーに記載してください。これは CCPA で義務付けられている開示事項です。