privacy-policy

プライバシーポリシー

使用するタイミング

創業者が新製品のローンチに向けてプライバシーポリシーを作成する場合、新たなデータ利用や機能に合わせて既存のポリシーを更新する場合、新しい法域（EU、カリフォルニア州など）に事業を拡大する場合、または現在のデータの取り扱いが適切に開示されているかを評価する場合に有効化します。また、ユーザーがGDPR、CCPA、CPRA、または一般的なデータプライバシーコンプライアンスについて質問した場合にも有効化します。

必要なコンテキスト

• startup-contextから： 製品の種類、プラットフォーム（Web／モバイル／API）、対象顧客セグメント、地理的市場、ビジネスモデル、技術スタック。
• ユーザーから： 製品名とURL、会社の正式名称と住所、プライバシーに関する問い合わせ窓口のメールアドレス、収集する個人データとその収集方法、データを処理するサードパーティサービス（分析、決済代行業者、CRM、AIプロバイダー）、適用される法域、製品が未成年者を対象としているかどうか、既存のプライバシー関連文書。

ワークフロー

1. 製品を調査する -- 製品のウェブサイトを確認するか、製品の説明を確認します。個人データに関わるすべてのデータ収集方法、サードパーティとの連携、主要機能を特定します。
2. データ収集を整理する -- すべてのデータを、ユーザーが直接提供するデータ（フォーム、アカウント作成）、自動的に収集されるデータ（Cookie、デバイス情報、利用データ、IPアドレス）、サードパーティの情報源、特別なカテゴリー／機微なカテゴリーに分類します。体系的なデータインベントリを作成します。
3. 適用される法律を特定する -- ユーザーの所在地と会社の事業運営地に基づいて、適用されるプライバシーの枠組みを特定します（GDPR、CCPA/CPRA、州のプライバシー法、COPPA、業界固有の規制など）。法域ごとの具体的な義務を記載します。
4. ポリシーを構成する -- 以下の15セクションのテンプレートを使用して構成します。中学2年生程度で理解できる平易な言葉で記述します。実際の運用を具体的に説明し、「識別子を処理する場合があります」ではなく、「登録時にメールアドレスを収集します」のように記載します。
5. 法務レビューが必要な箇所に印を付ける -- 弁護士によるレビューが必要なセクションに [LEGAL REVIEW REQUIRED] の注記を付けます。対象には、法的根拠の判断、国際移転の仕組み、法域固有の権利が含まれます。
6. 実装に関する背景を提示する -- 各セクションが重要な理由、会社として必要な判断、該当するコンプライアンス上の考慮事項を説明します。公開前チェックリストも含めます。
7. コンプライアンスの概要を作成する -- データインベントリの表、法域の適用関係を示すマトリックス、リスクに関する注意点、実装チェックリストを含む別の文書を作成します。

出力形式

3部構成の成果物：

パート1：クイックリファレンス概要

製品の詳細、収集するデータの種類、適用される法域、ユーザーの権利の概要、データ保持の概要、連絡先情報。

パート 2：プライバシーポリシー全文（15 セクション）

1. 前文 -- 事業者について、ポリシーの対象範囲、発効日、問い合わせ方法。
2. 収集する情報 -- カテゴリ：個人情報、利用データ、デバイス情報、位置情報、支払い情報、通信内容、機微なデータ。
3. 情報の収集方法 -- 方法：ユーザーによる直接入力、自動追跡、第三者からの取得。
4. 情報の利用方法 -- 目的：サービスの提供、サポート、改善、分析、マーケティング、セキュリティ、法令遵守。
5. 処理の法的根拠 -- 同意、契約の履行、法的義務、重大な利益、正当な利益（GDPR に重点を置いた項目）。
6. データの共有と第三者 -- サービスプロバイダー、パートナー、法的機関について、共有先とその理由を具体的に記載します。
7. 国際データ移転 -- 国境を越える移転の仕組み（SCC、十分性認定）と保管場所。
8. データの保持 -- アカウントデータ、ログ、削除済みコンテンツの具体的な保持期間。
9. ユーザーの権利 -- アクセス、削除、訂正、処理の制限、データポータビリティ、オプトアウト、苦情申し立て手続き -- 管轄区域ごとに整理します。
10. Cookie とトラッキング -- 使用するツール、目的、管理方法、同意要件。
11. セキュリティ -- 暗号化、アクセス制御、監査、インシデント対応、制限事項。
12. 子どものプライバシー -- 保護者の同意、年齢確認、COPPA／英国の Children's Code への準拠。
13. 問い合わせと権利行使の請求 -- プライバシー関連のメールアドレス、住所、回答期間、DPO 情報。
14. ポリシーの変更 -- 通知期間、通知方法、ユーザーのオプトアウト方法。
15. その他の規定 -- データ販売に関する開示、第三者リンクに関する免責事項、準拠法、発効日。

パート 3：コンプライアンスに関する注記

• 法的レビューが必要なセクションとその理由
• 管轄区域ごとの考慮事項
• 公開前チェックリスト（以下を参照）
• 製品の種類に応じて推奨される修正

フレームワークとベストプラクティス

GDPR の主な要件

• 各処理活動に法的根拠が必要です（第 6 条）。
• リスクの高い処理については、データ保護影響評価が必要です（第 35 条）。
• 監督機関へのデータ侵害通知は 72 時間以内に行う必要があります（第 33 条）。
• すべての処理者とデータ処理契約を締結する必要があります（第 28 条）。
• 定められた例外を除き、消去権が認められています（第 17 条）。
• プライバシー・バイ・デザインとプライバシー・バイ・デフォルト（第 25 条）。

CCPA／CPRA の主な要件

• 該当する場合、「個人情報の販売または共有を拒否する」リンクが必要です。
• 知る権利、削除する権利、訂正する権利、販売または共有をオプトアウトする権利があります。
• データ収集に関する開示には、過去 12 か月分の情報が必要です。
• 機微な個人情報については、利用を制限する権利があります（CPRA による追加）。
• サービスプロバイダー、コントラクター、第三者の区別が重要です。

わかりやすい表現の原則

• 短い文を使い、中学 2 年生程度が理解できる読みやすさを目指します。
• 抽象的なカテゴリではなく、具体例を使います。
• 「実施する」ことを意味する場合は「実施する可能性がある」と書かず、実際の運用を具体的に記載します。
• ポリシーは製品の実際の動作と一致していなければなりません。開示しすぎても、開示が不足してもいけません。

公開前チェックリスト

• 弁護士によるレビューが完了している
• ポリシーが実際のデータ取り扱いと一致している
• ユーザーが利用できるプライバシー関連の請求手続きが整備され、正常に機能している
• 技術的なセキュリティ対策が実施されている
• すべての第三者とのデータ処理契約が締結されている
• 各処理活動の法的根拠が文書化されている
• Cookie 同意の仕組みが実装されている（EU のユーザー向け）
• ポリシーの重要な変更をユーザーに通知する仕組みがある

スタートアップが陥りやすい問題

• 他社のプライバシーポリシーをコピーする（他社のデータ取り扱いは、自社のものとは異なります）。
• 開示内容に分析・広告用 SDK を含めない（Google Analytics、Mixpanel、Facebook Pixel はいずれも個人データを収集します）。
• コードベースに削除請求を実際に処理する仕組みがない。
• B2B ならプライバシーに関する義務はないと思い込む（個々のユーザーデータは引き続き処理します）。
• 実際には収集していないデータカテゴリを記載する（開示しすぎると、精査を招きます）。

関連スキル

• terms-of-service -- プライバシーポリシーと併せて作成してください。相互に参照し、一貫した定義を使用する必要があります。
• soc2-prep -- プライバシーに関する SOC 2 Trust Service Criteria は、プライバシーポリシーでの取り組みと直接重複します。
• security-review -- プライバシーポリシーに記載するセキュリティ対策は、実際の技術的な管理策を反映する必要があります。

例

例 1：米国と EU で新しい SaaS 製品をリリースする場合

ユーザー：「来月、米国と欧州のユーザー向けにプロジェクト管理 SaaS をリリースします。Stripe、Mixpanel、AWS を利用しています。」

**望ましい出力：**3 部構成の成果物。各データカテゴリを収集方法、目的、法的根拠、第三者、保持期間に対応付けたデータインベントリ表。GDPR の適用可能性と CCPA の適用基準のモニタリングを特定する法域分析。開示と DPA が必要な Mixpanel による IP アドレスの収集、および EU ユーザー向けの Cookie 同意メカニズムの不足に関する警告事項。

例 2：AI 機能の追加後にポリシーを更新する場合

ユーザー：「顧客のメッセージを処理する AI アシスタントを追加しました。プライバシーポリシーを更新する必要がありますか？」

**望ましい出力：**新たなデータ処理（AI モデルによるメッセージ内容の処理）、新たな第三者（再委託先としての AI プロバイダー）、新たに必要となる法的根拠の分析、GDPR 第 22 条における自動意思決定の検討事項を特定します。更新が必要なポリシーの具体的なセクションと、文案を提示します。

---

**免責事項：**このスキルは、教育および計画を目的として、プライバシーポリシーの草案とコンプライアンスに関するガイダンスを作成します。法的助言を構成するものではありません。プライバシーポリシーを公開する前に、必ず該当する法域で資格を持つ弁護士に最終版を確認してもらってください。規制を遵守しない場合、重大な罰金（GDPR に基づく全世界の年間売上高の最大 4％）が科される可能性があります。