プライバシーとデータ保護規制

EU 一般データ保護規則（GDPR）、カリフォルニア州消費者プライバシー法（CCPA）およびその他の国際的なプライバシー要件に関する情報です。これらの規制が組織とAdobe Targetに与える影響を説明します。

プライバシーと一般データ保護規則（GDPR）の概要

2018年5月25日（PT）に、欧州連合の GDPR が発効されました。この規制にはどのような意味があるのか、詳細は、GDPR とビジネスを参照してください。

アドビが企業に対してソフトウェアやサービスを提供する場合、アドビはサービス提供の一環として同社が処理または保管する個人データのデータ処理事業者に該当します。アドビはデータ処理者として、お客様の許可と指示（お客様とアドビとの間で締結された契約の内容など）に従って個人データを処理します。

データ管理者であるお客様は、アドビに処理および保管を委任する個人データを決めます。Adobe Experience Cloud ソリューションをご利用のお客様の場合は、お客様が使用しているソリューションと、お客様が Adobe Experience Cloud アカウントに送信するよう設定した情報に基づいて、アドビは個人データをホストします。詳細な例については、Adobe Experience Cloud のプライバシーを参照してください。

Adobe Experience Cloudではデータ管理者向けの GDPR に対応した API が備わっており、これらの API を利用することで次の作業を実行できます。

詳しくは、次を参照してください。

カリフォルニア州消費者プライバシー法（CCPA）の概要

カリフォルニア州消費者プライバシー法（CCPA）は、カリフォルニア州の消費者に個人情報に関する新しい権利を提供し、カリフォルニア州でビジネスを行う特定の事業者に対してデータ保護の責任を課します。CCPA は 2020年1月1日（PT）に施行されました。

概要としては、この法律は、カリフォルニアの人々に次の権利を含む、いくつかの主要な権利を提供します。

昨年の欧州のプライバシー法（GDPR）の準備に取り組んでいたユーザーは、これらの権利の一部に精通しており、おこなった作業の多くは再利用できる可能性があります。

Adobe TargetとAdobe Experience Platformのオプトイン

Target では、お客様の同意管理戦略を支援できるように、Adobe Experience Platformのタグを介してオプトイン機能がサポートされています。 オプトイン機能を使用すると、Target タグを実行する方法とタイミングを制御できます。Adobe Experience Platformから Target タグを事前承認するオプションもあります。 の Target at.js ライブラリでオプトインを使用する機能を有効にするには、targetGlobalSettings を使用して、optinEnabled=true 設定を追加する必要があります。 Adobe Experience Platformで、拡張機能インストール表示の「GDPR オプトイン」ドロップダウンリストから「有効」を選択します。 詳しくは、Adobe Experience Platformを使用した Target の実装を参照してください。

次のコードスニペットに、optinEnabled=true 設定を有効にする方法を示します。

window.targetGlobalSettings = {
  optinEnabled: true
};

Adobe Experience Platformを使用したオプトインの管理は、推奨されるアプローチです。 Adobe Experience Platformではオプトインをきめ細かく制御でき、Target による処理が許可されるまでページ内の特定の要素を非表示にすることができるので、お客様の同意戦略の一環として役立ちます。

オプトインを使用する場合に検討すべきシナリオには、以下の 3 つがあります。

プライバシーとデータ保護規制 FAQ

欧州連合（EU）の一般データ保護規則（GDPR）、カリフォルニア州消費者プライバシー法（CCPA）および Target に特有のその他の国際的なプライバシー要件に関するよくある質問です。

これらの規制に対するAdobeポリシーはどのようなものですか？

Adobeは、データ処理者としての義務を既に果たしているか、または履行中です。 アドビでは、認定済みのセキュリティとプライバシー制御の強固な基盤を計画的に保持しており、2018年5月の期限に先立って、製品の機能強化を行いました。大規模法人のお客様には、これらの機能強化を実装し、必要な方針や手順を更新するという責任があります。

データ管理者となる私の会社は、使用するAdobe Experience Cloudの各ソリューションにおいて GDPR または CCPA 要求を送信する必要がありますか？

いいえ、Adobeでは、データ管理者が GDPR および CCPA の要件を満たすのに役立つ一元化された手段を提供します。 データ管理者は、各ソリューションで直接作業する必要はありません。

Target を含むExperience Cloudソリューションに関する GDPR および CCPA 要求は、一元化されたAdobeAPI を介して行われます。現在、この API は GDPR API と呼ばれています。 この API は、データ管理者のExperience Cloudソリューションスイートを介してリクエストを完了します。

データ主体/ユーザーのリクエストに応じてAdobeで顧客が削除できる情報には何がありますか？

個々の訪問者に関する Target 内の情報は、Target 訪問者プロファイルに格納されています。顧客は Target を使用して、訪問者プロファイル内の特定 ID に関連づけられたすべてのデータを削除できます。 プロファイルデータターゲットストアの例については、 訪問者プロファイルを参照してください。

個人を特定しない集約化されたあるいは匿名化されたデータ（レポートデータなど）または特定の個人に関連しないデータ（コンテンツデータなど）は、ユーザーからの削除要請の範疇外となります。

90 日間非アクティブであった Target の訪問者プロファイルは、特に作業をおこなわなくてもデフォルト設定で削除されます。

Target に対する GDPR または CCPA のアクセスおよび削除要求を顧客が行うには、どのような ID を利用できますか？

顧客プロファイルを見つけるために Target がサポートするのは次の ID タイプです。

Target はどのように同意の管理をおこないますか？

GDPR および CCPA では、いつ同意の取得が必要となるかに関する変更はありませんが、同意を得る方法が変更されます。それぞれのお客様の同意戦略は、データ収集と利用の手法およびプライバシーポリシーに左右されます。同意管理はではサポートされておらず、GDPR および CCPA の場合は Target を介して同意を管理することはできません。

アドビは現在、同意管理ソリューションは提供していませんが、市場では新たな要件のいくつかに対処するための様々なツールが開発されています。同意管理者を含む、プライバシーツール全般について詳しくは、International Association of Privacy Professionals（iapp）Web サイトの 2017 Privacy Tech Vendor Report を参照してください。

Target では、お客様の同意管理戦略を支援できるように、Adobe Experience Platformを介してオプトイン機能がサポートされています。 オプトイン機能を使用すると、Target タグを実行する方法とタイミングを制御できます。Adobe Experience Platformから Target タグを事前承認するオプションもあります。 Adobe Experience Platformを使用したオプトインの管理は、推奨されるアプローチです。 Adobe Experience Platformではオプトインをきめ細かく制御でき、Target による処理が許可されるまでページ内の特定の要素を非表示にすることができるので、お客様の同意戦略の一環として役立ちます。

GDPR、CCPA およびAdobe Experience Platformについて詳しくは、Adobeプライバシーに関するJavaScript ライブラリと一般データ保護規則を参照してください。 また、前述の Adobe Target と Adobe Experience Platform のオプトイン ​の節も参照してください。

AdobePrivacy.js は情報を GDPR API に送信しますか？

AdobePrivacy.js は この情報を API に送信しません。 これは、お客様が行う必要があります。このライブラリは、特定の訪問者のブラウザーに保存されている ID のみを提供します。

removeIdentities は何を削除するのですか？

removeIdentities が削除するのは、ブラウザーからの識別子​ のみ ​で、Adobe ソリューションが実装したものかどうかによって決まります。

例えば、Target は ID を格納している Cookie を削除しますが、Adobe Audience Manager（AAM）は、サードパーティ Cookie に格納されている demdex ID を削除しません。

Target の GDPR または CCPA 要求には、どのような情報を含める必要がありますか？

セントラルPrivacy Serviceからの要件に加えて、Target の有効な GDPR または CCPA メッセージには次のものが含まれます。

{
    "jobId":"12345AD43E",
    ...
    "products":["Target",...],
    "companyContexts":[
        {
            "namespace":"imsOrgID",
            "value":"123456789@AdobeOrg"
        },
        ...
    ],
    "userContexts":[
        {
            "namespace":"ECID",
            "namespaceId":4,
            "type":"standard",
            "value":"53792210477379708453829363835595041181"
        }
        And/OR:
        {
            "namespace":"TNTID",
            "namespaceId":9,
            "type":"standard",
            "value":"1234567890"
        }
        And/OR:
        {
            "namespace":"THIRDPARTYID",
            "type":"target",
            "value":"thirdPartyIdName"
        },
        ...
    ]
}

GDPR API を介した Target からの想定される応答には、どのような種類がありますか？

Target は、アクセスの要請に対して GDPR API にどのような応答を送信しますか？

データアクセスの要請への応答には、該当する訪問者の Target プロファイルの概要が含まれます。この戻り値はExperience CloudGDPR API に送信され、その結果、データ管理者に応答が送信されます。

Target のアクセス API 応答は次の例のようになります。

{
    "jobId":"12345AD43E",
    ...
    "products":["Target",...],
    "companyContexts":[
        {
            "namespace":"imsOrgID",
            "value":"123456789@AdobeOrg"
        },
        ...
    ],
    "userContexts":[
        {
            ~"namespace":"ECID",
            "namespaceId":4,
            "type":"standard",
            "value":"53792210477379708453829363835595041181"
        }
        And/OR:
        {
            ~"namespace":"tntId",
            "namespaceId":9,
            "type":"standard",
            "value":"1234567890"
        }
        And/OR:
        {
            "namespace":"thirdPartyId",
            "type":"target",
            "value":"thirdPartyIdName"
        },
        ...
    ]
}

プロファイルを識別するために複数の値が提示される場合、有効な識別子それぞれに 1 つのプロファイルのファイルがあるということです。1 つ以上のプロファイルファイルは、ターゲットプロファイル JSON 応答の形式で GDPR Central API を介して一元化された GDPR Azure Blob に送信されます。

サンプルの Target プロファイル JSON は次の例のようになります。

{"profileAttributes":

"Sample_Parameter":{"value":"Gold Loyalty Status","modifiedAt":"2018-04-11T21:44:14.000-04:00"},

"user.ReturnTimeOfDay":{"value":"44.0","modifiedAt":"2018-04-11T21:44:14.000-04:00"},

"firstSessionStart":{"value":"1523497450602","modifiedAt":"2018-04-11T21:44:10.000-04:00"},

"user.sessionCountScript":{"value":"1","modifiedAt":"2018-04-11T21:44:14.000-04:00"}
   }
}

下の表は、上の例のプロファイル JSON フィールドの説明を含みます。

Target は IP の不明化に対応していますか？

GDPR または CCPA 実装戦略の一環として IP を使用する場合、Target では IP の不明化に対応しています。 詳しくは、プライバシーを参照してください。

データがサードパーティに共有または販売されるのを防ぐために何らかの処理を行う必要がありますか？

Target では、顧客が Target のデータを直接をサードパーティに共有または販売することを許可していません。そのため、Target に対する販売のオプトアウトはありません。