privacy-policy-malik-taiar

プライバシーポリシーガイド - GDPR

概要

プライバシーポリシーは、GDPR 第13条および第14条に基づき、データ主体に情報を提供するための主要な文書です。明確で、アクセスしやすく、包括的な内容でなければなりません。

ポリシーの目的

目的	GDPR の要件
透明性	データ処理について明確に通知する（第12条）
情報提供	必須の開示事項をすべて提供する（第13～14条）
権利	データ主体の権利行使を可能にする（第15～22条）
信頼	データ保護についてユーザーに安心感を与える

---

参考資料

テンプレート

テンプレート	説明
assets/sample_template_politique_confidentialite.docx	独自のテンプレートが提供されない場合に使用する標準テンプレート
弁護士が提供する内部テンプレート	弁護士がより適切な独自のテンプレートを用意している場合に使用します

IMPORTANT：標準テンプレート sample_template_politique_confidentialite は、ユーザーアカウントのない会社案内サイト向けに作成されています。依頼がユーザーが利用するアプリケーションまたはプラットフォームに関する場合、以下のようなデータカテゴリを追加する必要があります。

• ユーザーアカウント管理（作成、認証、プロフィール）
• ログインデータおよびアクティビティ履歴
• アプリケーションの利用によって生成されるデータ
• ユーザー間のコミュニケーション（メッセージ、コメントなど）
• ユーザーの設定および環境設定

プラットフォームの種類（会社案内サイト、eコマース、SaaS、モバイルアプリ、マーケットプレイスなど）に応じてテンプレートを調整してください。

CNIL の資料

文書	内容
CNIL_droits_personnes.pdf	データ主体の権利に関するガイド（アクセス、訂正、消去など）
CNIL_durees_conservation.pdf	データの種類別の保存期間に関する推奨事項
CNIL_finalites.pdf	処理目的を適切に定義する方法
CNIL_transparence.pdf	データ主体への情報提供と透明性に関するガイド
CNIL_principes_rgpd.pdf	GDPR の基本原則
RGPD_texte_officiel.pdf	EU 規則 2016/679 の全文

ナレッジベース

文書	内容
BASES_LEGALES.md	処理に関する6つの法的根拠（GDPR 第6条）。例と文例を掲載
DROITS_PERSONNES.md	データ主体の8つの権利（GDPR 第15～22条）と権利行使の手続き
COOKIES.md	Cookie、カテゴリ、バナー、制裁に関する CNIL の2020年の推奨事項
DUREES_CONSERVATION.md	データの種類別の保存期間と法的根拠をまとめた表

---

クライアントから収集する情報

IMPORTANT：ポリシーを作成する前に、以下の情報をすべてクライアントから収集してください。

1. データ管理者の情報

• 会社の正式名称
• 法的形態（SAS、SARL、Ltd など）
• 会社登録番号（SIREN/SIRET）
• 登記上の本店所在地
• 法定代理人（氏名および役職）
• 一般問い合わせ用メールアドレス
• DPO の任命状況。任命されている場合は連絡先

2. サイト／アプリケーションの種類

• 既存のウェブサイト URL（分析用）
• プラットフォームの種類：
  • 会社案内サイト
  • eコマース
  • SaaS／ウェブアプリケーション
  • モバイルアプリケーション
  • マーケットプレイス
  • その他：___________
• 事業分野
• 対象ユーザー（B2B、B2C、両方）
• 対象国（フランスのみ、EU、国際）

3. 収集するデータ

該当する場合は、各カテゴリについて明記してください。

• 識別データ

  • 名、姓
  • メールアドレス
  • 電話番号
  • 郵便住所
  • 生年月日
  • 写真／アバター

• 接続データ

  • IPアドレス
  • 接続ログ
  • デバイスID
  • アカウント識別子

• 閲覧データ

  • 閲覧したページ
  • 滞在時間
  • クリック
  • トラフィックソース

• 取引データ

  • 注文履歴
  • 決済データ（プロバイダー経由）
  • 請求書

• 要配慮データ（特に注意）

  • 健康データ
  • 政治的／宗教的な意見
  • 民族的出自
  • 生体データ

4. 処理の法的根拠

重要な質問：各処理活動の法的根拠は何ですか？

法的根拠	適用する場合	例
契約の履行（Art. 6.1.b）	サービスの提供に必要な処理	注文の配送、アカウントの作成
同意（Art. 6.1.a）	本人が自由に選択でき、いつでも撤回可能	ニュースレター、マーケティングCookie、パートナーとの共有
正当な利益（Art. 6.1.f）	データ主体の権利とのバランスを考慮した企業の利益	匿名化した統計、セキュリティ、B2Bの営業活動
法的義務（Art. 6.1.c）	法律で義務付けられている場合	請求書を10年間保管、税務上の義務

クライアントと記入する表：

処理の目的	法的根拠	対象となるデータ
注文管理
アカウントの作成
ニュースレター
統計
カスタマーサービス
営業活動
___________________

5. 受領者と処理者

• 技術的な処理者

  • ホスティング事業者：___________
  • メールプロバイダー：___________
  • 決済プロバイダー：___________
  • アナリティクス：___________
  • CRM：___________
  • サポート／チケット管理：___________

• EU域外への移転

  • はい／いいえ
  • はいの場合、移転先の国：___________
  • 講じている保護措置：
    • 標準契約条項
    • 十分性認定
    • その他：___________

6. Cookieとトラッカー

• 使用するCookie

  • 厳密に必要なCookie（セッション、カート、認証）
  • アナリティクスCookie（Google Analytics、Matomoなど）
  • 広告Cookie（Facebook Pixel、Google Adsなど）
  • ソーシャルメディアCookie（共有ボタン）
  • その他：___________

• 同意管理プラットフォーム

  • なし
  • Axeptio
  • Didomi
  • Cookiebot
  • その他：___________

7. 保持期間

データの種類	提案する期間	正当化の根拠
アクティブな顧客アカウント	関係の継続期間
非アクティブな顧客アカウント	最後の利用から3年間	営業活動
見込み顧客	やり取りがない状態で3年間	CNILの推奨
請求書	10年間	法的義務
接続ログ	1年間	LCEN
Cookie	最長13か月	CNILの推奨

---

作成ワークフロー

ステップ 1：テンプレートの選択（必須）

ポリシーをゼロから作成してはいけません。 作成を始める際は、必ず以下のテンプレートを使用してください。

• デフォルトテンプレート assets/sample_template_politique_confidentialite.docx；
• または、ユーザーが提供する別の社内テンプレート。

このテンプレートを基本の参考資料とします。必ず以下を守ってください。

• テンプレートの構成と文言を忠実に再現する
• テンプレートの正確な表現を維持する（検証済みの表現です）
• プレースホルダーのみをクライアント情報に置き換える
• 表現を改善できると思っても、文を書き換えない
• テンプレートにないセクションを追加しない

収集した情報（利用規約、ウェブサイトなど）は、テンプレートを書き換えるためではなく、テンプレートを埋めるために使用します。

1. 最初に行うこと：作成を始める前に、使用するテンプレートを確認します。ユーザーに次のように尋ねてください。

"I will draft the privacy policy starting from the provided default template. Do you have an internal template that would be more suitable as a starting point?"

オプション	対応
デフォルトテンプレート	assets/sample_template_politique_confidentialite.docx を使用する
社内テンプレート	弁護士が提供した文書を使用する

2. ユーザーの選択を考慮し、使用するテンプレートを選択します。

---

ステップ 2：クライアントの事業を理解する

主な目的：クライアントの事業内容と、プラットフォーム上でのユーザージャーニーを十分に理解します。

1. 弁護士に、入手可能な情報を尋ねます。

"To draft a perfectly tailored policy, please provide:
- Information you have about the client and their business
- Existing documents (T&Cs, sales conditions, order forms, contracts...)
- Exchanges or key points raised by the client
- The site/application URL (if accessible)
- Points that must absolutely be included according to you

You may anonymize this information if necessary for confidentiality reasons.

The more information you provide, the better adapted the policy will be to the actual case. Otherwise, we will conduct our own research but it will be limited to publicly accessible information."

2. 提供された文書を分析します。

文書	抽出する情報
利用規約／販売条件	プラットフォームの運用、提供されるサービス、義務
注文書	収集されるデータ、サービス、委託先となる可能性のある事業者
クライアントとのやり取り	重要事項、個別の懸念、事業上の特性

3. ウェブサイトを追加調査します（アクセス可能な場合）。

注：サイトによっては、プラットフォームにアクセスできず、「見積もりを依頼」フォームのみが表示されることがあります。その場合は、主に提供された文書を参照してください。

目的は、事業内容を理解することと、技術的な要素を特定することです。

• 会社が実際に何を行っているかを理解する
• 既存のプライバシーポリシー（ある場合）を確認する
• 既存の利用規約／法的通知を確認する
• 一般的なユーザージャーニーを特定する（確認できる場合）
• データ収集フォームを特定する（登録、問い合わせ、注文など）
• バナーを確認して、Cookie／トラッカーを特定する
• 機能を一覧にする（アカウント、ニュースレター、チャット、決済など）

4. 作成前に要約します。

CLIENT: [Name]
BUSINESS: [Description in 2-3 sentences]
PLATFORM TYPE: [SaaS, e-commerce, mobile app, etc.]
USER JOURNEY: [Key steps]
DATA COLLECTED: [List by collection point]
COOKIES IDENTIFIED: [Types of cookies spotted]
FORMS: [List of collection points]
KEY LAWYER POINTS: [What must absolutely be included]
SPECIFICITIES: [What makes this case particular]

要約ができたら → ドラフト 1 に進みます

---

ステップ 3：ドラフト 1

絶対ルール：テンプレートは検証済みの基礎です。

• テンプレートから始める：構成、表現、トーンは参照基準です
• クライアントのケースに合わせる：収集した具体的な情報を反映します
• すべてを書き直さない：テンプレートの表現を維持し、必要な部分だけを調整します

まとめ：テンプレート＋クライアント情報＝ドラフト 1です。全面的に書き直すわけではありません。

収集した情報をもとに、テンプレートの各セクションを完成させます。

1. データ管理者の特定
2. 収集するデータ（カテゴリ別）
3. 目的と法的根拠（表）
4. 受領者および処理者
5. 国際移転
6. 保存期間（表）
7. データ主体の権利
8. 権利行使の方法
9. Cookie とトラッカー
10. データセキュリティ
11. ポリシーの変更
12. 連絡先

直ちに行うコンプライアンス確認：ドラフト 1 を提示する前に、必須開示事項のチェックリスト（GDPR 第 13 条）を確認します。

• 管理者の身元および連絡先
• DPO の連絡先（任命されている場合）
• 処理目的
• 目的ごとの法的根拠
• 正当な利益（該当する場合）
• 受領者または受領者のカテゴリ
• EU 域外への移転と保護措置
• 保存期間、またはその決定基準
• データ主体の権利（アクセス、訂正、消去、処理の制限、ポータビリティ、異議申し立て）
• 同意を撤回する権利（該当する場合）
• CNIL に苦情を申し立てる権利
• データの提供が必須か任意か
• 自動化された意思決定の有無（該当する場合）

ドラフト 1 が要件に準拠している場合 → ステップ 3 に進みます。

---

ステップ 4：ドラフト 1＋ベンチマーク＋改善案の提示

1. 説明を添えてドラフト 1 を提示します：

Here is Draft 1 of the privacy policy.

**What I took into account:**
- [Summary of key elements integrated]
- [Client specificities considered]
- [Particular points mentioned by the lawyer]

**Compliance:** The document meets Art. 13 GDPR requirements.

2. ベンチマークを提示します（体系的に）：

同じ業界の企業のプライバシーポリシーを 3～5 件調査し、次を提示します：

**Benchmark conducted:**

I analyzed the privacy policies of:
- [Company 1] - [what we noted]
- [Company 2] - [what we noted]
- [Company 3] - [what we noted]

**Identified possible improvements:**
- [Improvement 1]: [explanation]
- [Improvement 2]: [explanation]
- [Improvement 3]: [explanation]

Would you like to incorporate these elements into the provided Draft?

3. 弁護士が改善案を承認した場合 → ドラフト 2 を作成します。

---

ステップ 5：最終確認

最終版を納品する前に最終確認を行います。

• GDPR 第 13 条の開示事項がすべて記載されている
• クライアントの情報が正しく反映されている
• 明確で分かりやすい言葉が使われている
• 最終文書に内部参照（テンプレート、情報源）が含まれていない
• 更新日が記載されている

---

標準的なポリシーの構成

PRIVACY POLICY
[Company Name]
Last updated: [DATE]

TABLE OF CONTENTS (if long document)

1. WHO ARE WE?
   - Controller identity
   - DPO contact details

2. WHAT DATA DO WE COLLECT?
   - Identification data
   - Browsing data
   - Transaction data
   - Etc.

3. WHY DO WE COLLECT YOUR DATA?
   - Purposes / legal bases table

4. WITH WHOM DO WE SHARE YOUR DATA?
   - Internal services
   - Processors
   - Partners (if consent)
   - Authorities (legal obligations)

5. IS YOUR DATA TRANSFERRED OUTSIDE THE EU?
   - Countries concerned
   - Safeguards

6. HOW LONG DO WE KEEP YOUR DATA?
   - Retention periods table by data type

7. WHAT ARE YOUR RIGHTS?
   - List of rights with simple explanation
   - How to exercise them

8. COOKIES AND TRACKERS
   - Types of cookies used
   - Preference management

9. SECURITY
   - Measures in place (without sensitive technical details)

10. CHANGES TO THIS POLICY
    - Notification procedure

11. CONTACT US
    - Email
    - Postal address
    - Link to form

---

作成時のベストプラクティス

文体

推奨	避けること
「あなた」「あなたのデータ」を使う	「ユーザー」「データ主体」を使う
短く簡潔な文にする	法律用語を過度に使う
具体例を挙げる	曖昧な表現（「さまざまなデータ」）
分かりやすくするために表を使う	情報が詰め込まれた段落
明確で具体的な見出しを付ける	説明のない相互参照を多用する

アクセシビリティ

• 分かりやすい言葉：法律の専門家でないユーザーにも理解できること
• 見やすい構成：目次、番号付きの見出し
• 段階的な情報提供：必要に応じて、概要と詳細を提示する
• 更新日：文書の上部に見やすく記載する

---

よくある間違いとその回避方法

間違い	結果	解決策
汎用テンプレートをコピー＆ペーストする	コンプライアンス違反、内容の不整合	ケースごとに調整する
法的根拠が不適切	違法な処理	目的ごとに分析する
保存期間の記載漏れ	GDPR 第 13 条の不遵守	体系的に表にまとめる
EU 域外への移転を忘れる	罰金の可能性	処理者を確認する
手続きなしに権利だけを記載する	権利を行使できない	専用のメールアドレスを用意する
Cookie ウォール	CNIL により禁止	拒否を受け入れと同じくらい簡単にする

---

CNIL の制裁事例

企業	金額	主な理由
Google	€150M	Cookie：拒否するほうが受け入れるより難しい
Facebook	€60M	Cookie：「すべて拒否」ボタンがない
Carrefour	€3M	情報が不十分、保存期間が過剰
Amazon	€35M	同意なしに Cookie を設置

これらの制裁は、要件に準拠したポリシーと厳格な Cookie 管理の重要性を示しています。

---

よくある質問

1. ポリシーはフランス語で作成する必要がありますか？

はい。サイトがフランスのユーザーを対象としている場合は必要です。サイトが国際的な場合は、二言語対応にできます。

2. モバイルアプリ用に別のポリシーが必要ですか？

必ずしも必要ではありませんが、ポリシーにはアプリ固有の内容（権限、デバイスによって収集されるデータ）を含める必要があります。

3. 更新にはどのように対応すればよいですか？

• 各バージョンに日付を記載する
• 重要な変更をユーザーに知らせる
• 以前のバージョンを保管する

4. DPO は必須ですか？

必ずしも必要ではありません。 次の場合は必須です。

• 公的機関である
• 機微データを大規模に処理している
• 大規模な監視を定期的かつ体系的に行っている

---

このガイドの使い方

1. ステップ 1 - テンプレートを選ぶ：標準版、または弁護士の内部テンプレート
2. ステップ 2 - 事業内容を把握する：弁護士の資料を収集し、サイトを調査する
3. ステップ 3 - 初稿を作成する：テンプレートを完成させ、コンプライアンスを確認する
4. ステップ 4 - 提示してベンチマークする：初稿を提示し、体系的にベンチマークして改善案を示す
5. ステップ 5 - 最終化する：承認された改善点を反映し、最終確認する

テンプレートに関する注意：ゼロから作成しないでください。必ずテンプレートから始め、内容を調整してください。

情報源に関する注意：このガイドに記載されている CNIL および GDPR に関する参照情報は、起草者向けです。CNIL に苦情を申し立てる権利など、法的に必須の開示事項を除き、最終文書には記載しないでください。