Google は、適用される データ保護法を 遵守します
Google は常にコンプライアンスの徹底に取り組んでいます。それはお客様のビジネスで、コンプライアンスを実践しやすくなることを意味します。Google では第三者による定期的な監査を受け、コンプライアンス認証を維持しながら業界標準の契約による保護を提供したり、お客様のビジネスでのコンプライアンス強化に役立つツールや情報を公開したりしています。
ユーザー
プライバシーに関わる
Google の取り組み
Google では、適用されるデータ保護法のセキュリティ要件を満たす体制を十分に整えています。Google のサービスは、技術的にも組織的にも最先端の強固な安全対策と、専任のセキュリティ チームおよびプライバシー チームが支えています。また Google のプログラムは、第三者による監査を毎年受けています。
Google は顧客データに関するインシデントが発生した場合、お客様との契約に規定されるデータ インシデントに関する規約に沿って速やかに通知を行います。Google ではセキュリティ イベントやプライバシー イベントについて入手可能なすべての情報をお客様に提供します。またお客様がこうしたイベントを速やかに特定してご対応いただけるようにするため、脅威の検出と回避のための高度な技術や、24 時間稼働する厳格なインシデント管理プログラムを維持し、そのための投資を引き続き行ってまいります。
Google では、Google の広告サービスでデータがどのように使用されるかについての透明性の向上に取り組んでいます。広告をカスタマイズするためのデータ使用に対する許可をユーザーに求めるとともに、リアルタイムでのデータ使用については「広告の表示について」を通じて透明性を提供しています。Google でのデータの利用方法に関する詳しい説明は、safety.google.com および Google のプライバシー ポリシーでご確認いただけます。また、Google アカウントにどのようなユーザーデータを保存しているかについても公表しており、ユーザーは自身のデータ、プライバシー、セキュリティ設定を表示、管理できます。広告をカスタマイズするためのデータ使用や、Google により表示されるすべての広告(Google マーケティング プラットフォーム プロダクトの広告を含む)向けのデータ使用は、ユーザーが広告設定で管理できます。ユーザーが自身のプライバシーを管理できる手段を用意するという継続的な取り組みの一環として、アカウント作成時の操作フローを更新し、ユーザーがアカウントに保存するデータについてより多くの選択肢から選択できるようにしました。
Google ではごく初期の段階から、Google サービスにプライバシー保護を組み込むプロセスが確立されています。現在は、GDPR の「プライバシー バイ デザイン」と「プライバシー バイ デフォルト」などの変化し続ける世界中の要件を満たすために、Google の取り組み(データ保護影響評価など)を継続的に進化させています。
Google では、広告データ保持ポリシーを更新し、Google サービスに変更を加えて保持方法を統一しています。
デジタル市場法
公的機関に問題を
提起する
データ保護法に対する Google の取り組み
プライバシーに関わる規制は変化しています。Google は、適用されるすべてのデータ保護法を遵守したサービスをユーザーが選択できるようにし、法律を遵守して個人データを使用する必要があることを認識しています。ここでは、Google がどのようにして特定のプライバシー法を遵守しているかについて説明します。
-
GDPR
2018 年 5月25日、1995 年に発効した EU データ保護指令に代わり、一般データ保護規則(GDPR)が施行されました。GDPR は、ヨーロッパで設立された企業や組織、またはヨーロッパのユーザーにサービスを提供する企業や組織に求められる具体的な要件を規定し、企業が個人データを収集、使用、保管する方法を規制するものです。 -
LGPD
Lei Geral de Proteção de Dados(「LGPD」)は、2020 年 8 月 16 日に施行が予定されている新しいデータ プライバシー法です。 -
米国のプライバシー関連州法
それぞれの州でデータ保護法が定められています。
監査と認証
お客様が Google と共有するビジネスデータは適切に保護されますので、ご安心ください。Google サービスのセキュリティ管理については、ISO 標準や SSAE18 / ISAE 3402 などの国際規格に照らして定期的な監査を受けており、お客様のビジネスデータを責任を持って取り扱っていることをご確認いただけます。さらに米国を拠点とした認定資格を持つ第三者機関が、少なくとも 2 年おきに Google の管理の有効性を検証しています。
-
ISO 27001(情報セキュリティ管理)
ISO 27017 は、特にクラウド サービスを対象として、ISO/IEC 27002 に基づく情報セキュリティ管理の方法を規定した国際規格です。Google は Google Cloud Platform サービスと Google Workspaceについて ISO 27017 認証を受けています -
ISO 27017(クラウド セキュリティ)
ISO 27017 は、特にクラウド サービスを対象として、ISO/IEC 27002 に基づく情報セキュリティ管理の方法を規定した国際規格です。Google は Google Cloud Platform サービスと Google Workspaceについて ISO 27017 認証を受けています。 -
ISO 27018(クラウド プライバシー)
ISO 27018 はパブリック クラウド サービスで個人情報(PII)を保護する方法を規定した国際規格です。Google は Google Cloud Platform サービスと Google Workspaceについて ISO 27018 認証を受けています。 -
ISO 27701(プライバシー情報管理)
ISO/IEC 27701 は、個人情報(PII)の収集と処理に焦点を当てた、プライバシーに関する国際標準です。 Google は Google Cloud Platform と Google Workspace について ISO 27701 認証を受けています。 -
SSAE16 / ISAE 3402
American Institute of Certified Public Accountants(AICPA: 米国公認会計士協会)の SOC(Service Organization Controls)2 と SOC 3 の各監査フレームワークは、セキュリティ、可用性、処理の完全性、プライバシー、機密性に関する Trust サービスの基準を規定しています。Google は、Google Cloud Platform と Google Workspace について SOC 2 と SOC 3 の保証報告書を取得しています。SOC 3 報告書はダウンロードできます。また AdWords、AdSense、Google Cloud Platform、Google Workspace、DoubleClick Campaign Manager、DoubleClick for Publishers、DoubleClick Ad Exchange については、SOC 1 Type 2 報告書を取得しています(この報告書は秘密保持契約の下で、お客様に提供しています)。 -
FedRAMP
FedRAMP は米国連邦政府が利用するクラウド製品やクラウド サービスを対象に、セキュリティ評価、認証、継続的モニタリングの標準規格を規定するプログラムです。Google は Google Workspace と Cloud Platform を対象として、FedRAMP Authorization to Operate(ATO)を取得しています。 -
PCI DSS(Payment Card Industry Data Security Standard)
PCI DSS(Payment Card Industry Data Security Standard)は、ペイメント カードのデータを保存、処理、または転送する事業者を対象として策定された、技術上および運営上の要件です。独立した認定審査機関による審査を受け、最新版の PCI DSS に準拠していると認定された Google サービスは、Android Pay、Google Cloud Platform。
Googleの広告プラットフォーム事業のための利益相反・自社優遇行為に関するポリシー
1 目的
Googleは、デジタル広告において最高水準の顧客サービスを提供すべく尽力しています。この水準を維持するために、Googleは、公正な取引推進のための一般原則及びガイダンスを提供し、Googleのデジタル広告サービスから生ずる可能性がある潜在的な利益相反及び自社優遇の適切な管理を行うために本ポリシーを制定しました。移り変わりの激しいデジタル広告分野では、生じうる全ての状況を具体的に予見することは不可能であり、本ポリシーは、Google がお客様やその他の利害関係者を保護するための行動をとることを禁止するものではありません。本ポリシーは、日本の規制に準拠するために作成されています。
2 本ポリシーの対象となる取引の類型
本ポリシーに定める原則及びガイダンスは、特に、Googleが以下の者に対し並行してデジタル広告ソリューションを提供する場合を対象としています。
- パブリッシャー(すなわち、セルサイド)及び広告主(すなわち、バイサイド)
- サードパーティ・パブリッシャー及びGoogleが所有・運営する(「O&O」)広告枠
本ポリシーは、また、Googleの顧客間の潜在的な利益相反(例えば、あるパブリッシャー/広告主に関連して別のパブリッシャー/広告主のデータを使用する場合等)も対象としています。
3 本ポリシーの指針及びガイダンス
以下の指針及びガイドラインは、関連する状況において適切である限り、多くのGoogleのデジタル広告製品に適用されます。
(i) 包括的な指針
- バイサイドの製品及びサービスは、セルサイドに中立であり、広告主の需要に応えることに重点を置くよう努めます。
- セルサイドの製品及びサービスは、バイサイドに中立であり、パブリッシャーの需要に応えることに重点を置くよう努めます。
- バイサイド及びセルサイドは、サードパーティと比較して自社を優遇することなく、独立して運営するべく努めます。
- Googleは、該当製品の利用規約及びGoogleのプライバシーポリシーに従ってのみ、パブリッシャー及び広告主のデータ及び機密情報を使用します。
- Googleは、バイサイドとセルサイドの営業チームの指揮命令系統を区別し、両者を分離するよう努めます。
- Googleは、関連する従業員がこれらの指針及びガイダンスを理解し、遵守できるよう、十分な研修及びサポートを提供するよう努めます。
プラットフォームとして機能する製品(すなわち、Google及びサードパーティ両者の広告枠を相当量管理するもの)1には、以下のガイダンスが適用されます。
(ii) データアクセス及びインサイト
- 顧客から提供された一切の秘密情報は、当該顧客とGoogleとの契約に従って取り扱われます。
- Googleは、バイサイドチームが保有する商業上の機密情報について、機密情報の取扱いがサードパーティの競合事業者と比較してセルサイドチームを不当に利することとなる場合、セルサイドチームから分離するよう(その逆の場合も同様に分離するよう)努めます。
- Googleは、 Googleのバイサイドのプラットフォームから提供される商業上の機密情報について、機密情報の取扱いがサードパーティの競合事業者と比較してGoogleに不当な優位性を提供することとなる場合、O&O広告枠の営業担当チームから分離するよう(その逆の場合も同様に分離するよう)努めます。
(iii) 営業目標、OKR(Objectives and Key Results)及び成功指標
- Googleは、バイサイドの営業チーム又は顧客対応チームに関して、セルサイドに関連した営業目標、OKR又は成功指標を設定しないよう努めます(その逆の場合も同様)。
- Googleは、バイサイド広告プラットフォームの営業チームに関して、O&O広告枠の購入を優先させるような営業目標、OKR又は成功指標を設定しないよう努めます。
(iv) チームの構成及び連絡系統
- バイサイド及びセルサイドのチームが同じ顧客を共有している場合、Googleは、そのような顧客との会議は別々に行うよう努めます。
(v) 製品設計
- Googleは、Googleのバイサイドのアドテクツールがセルサイドの商業上の機密情報へのアクセスから利益を上げないことを確保するよう努めます。ただし、当該情報がGoogleのセルサイドツールに統合されたサードパーティのバイサイドツールにも提供されている場合はこの限りではありません。(逆の場合も同様。)
- Googleは、セルサイドの潜在的利益に基づきバイサイドの製品に関する決定を行わないよう(またその逆の場合も同様に)努めます。
(vi) 研修及びサポート
- Googleは、該当する従業員がこれらのガイドラインをよく理解できるよう、研修プログラムを制定しています。
- Googleはまた、これらのガイドラインの適用について疑問のある従業員に対し、専門の法的サポート及びコンプライアンスに関するサポートを提供しています。
1 Googleのアドテク製品が(項目第2に記載する)利益相反又は自社優遇の取扱いの重大なリスクを高めるものではない場合、残る一切のリスクは本ガイドラインの範囲外で適切に管理されます。