> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> Auth0がEUの一般データ保護規則（GDPR）にどのように準拠しているかを説明します。

# Auth0 一般データ保護規則への準拠

2016年4月27日、欧州議会および欧州理事会は、一般データ保護規則 (GDPR) として知られる法令を採択しました。この法令は**2018年5月25日**に施行され、European Privacy Directive 95/46/ECに代わるものです。

GDPRは、欧州連合 (EU) 内に所在する個人のデータ保護に関する権利の統一と強化を目的としています。また、EU内に所在する個人の個人データを保存または処理するEU域外の企業にもEUのデータ保護法令を適用し、GDPRの要件に違反した企業に科される罰金も引き上げています。

<div id="definitions">
  ## 定義
</div>

以下は、Auth0 の GDPR ドキュメントで使用される用語の定義です。

| 用語                   | 定義                                                                                                                                      |
| -------------------- | --------------------------------------------------------------------------------------------------------------------------------------- |
| データ主体                | 個人／自然人                                                                                                                                  |
| データ管理者               | データ主体の個人データを収集および処理する主体 ([正確な定義については GDPR を参照](https://gdpr-info.eu/art-4-gdpr/))                                                       |
| データ処理者               | データ管理者に代わって個人データを収集および処理する主体 ([正確な定義については GDPR を参照](https://gdpr-info.eu/art-4-gdpr/))                                                  |
| 個人データ                | 主体を識別するために (直接的または間接的に) 使用できるデータ。特に、識別子 (氏名、識別番号、位置データ、オンライン識別子など) への参照、またはその人の身体的、生理学的、遺伝的、精神的、経済的、文化的、もしくは社会的なアイデンティティへの参照によって識別できるもの |
| 要配慮個人データ             | 人種的または民族的出自、政治的意見、宗教的または哲学的信条、または労働組合への加入を明らかにする個人データ。遺伝データまたは生体データ                                                                     |
| Auth0 Sub-processors | サービス提供にあたり、MSA で定義されるとおり、Auth0 が個人データ (Customer Data に含まれる) を共有する第三者システム。                                                               |

<div id="gdpr-summary">
  ## GDPRの概要
</div>

<div id="applicability">
  ### 適用範囲
</div>

GDPRの適用範囲は非常に広く、多種多様な企業が対象となります。これには、欧州連合内に所在する個人の個人データを処理するEU域外のサービスや企業、または欧州連合内に所在する個人の行動を監視する企業も含まれます。

<div id="notifications-and-consent">
  ### 通知と同意
</div>

エンドユーザーから個人データを収集する前に、個人データを処理するための法的根拠が必要です。たとえば、その法的根拠として同意を得ることができます。同意を求める際の通知は、次の要件を満たしていなければなりません。

* 明確で、理解しやすいこと
* 個人データを処理する目的と、その処理方法を明示すること

場合によっては、追加の要件が課されることもあります。たとえば、次のような対応も必要になることがあります。

* 特定の処理活動について、明示的に同意を求めること
* エンドユーザーが同意を与えるのと同じくらい簡単に同意を取り消せる仕組みを備えること

<div id="rights-of-individuals">
  ### 個人の権利
</div>

個人であるエンドユーザーには、次の権利があります。

* 企業が本人について保有する個人データにアクセスする権利
* 自分の個人データがどのように処理または利用されるかを知る権利
* 自分の個人データを削除してもらう権利、または「忘れられる権利」 (本人は、自身のデータ管理者に対し、該当する個人データの消去、データの拡散停止、または今後のデータ処理の停止を求めることができます)
* データポータビリティ (本人は、自身の個人データを標準的な機械可読形式で取得し、そのデータを別のデータ管理者に移転できます)
* 自動化された意思決定の対象とならない権利 (通常、**プロファイリング**と呼ばれる処理)

<div id="privacy-by-design-and-privacy-by-default">
  ### プライバシー・バイ・デザインとプライバシー・バイ・デフォルト
</div>

**プライバシー・バイ・デザイン**とは、個人データを利用する新たな実装ごとに、その個人データの保護を考慮しなければならないという考え方です。

**プライバシー・バイ・デフォルト**とは、エンドユーザーが新しい製品またはサービスを取得した時点で、最も厳格なプライバシー設定が自動的に適用されることを意味します (つまり、ユーザーが手動で変更する必要は一切ありません) 。

<div id="requirements-for-data-processors-and-controllers">
  ### データ処理者および管理者に関する要件
</div>

データ管理者として、次のことを行う必要があります。

* データ処理者が提供された個人データを適切に保護していることを確認するため、十分なデューデリジェンスを実施する

データ処理者であるAuth0は、次のことを行う必要があります。

* データ管理者から提供された指示に従う
* 適切なセキュリティ対策を実施する

<div id="enforcement">
  ### 執行
</div>

* GDPRでは、一定の条件を満たす場合、データ管理者に対し、データ侵害を認識してから不当な遅滞なく、遅くとも72時間以内に通知を行うことを義務付けています
* 違反した場合の制裁金は大幅に高額です
* 欧州連合の監督当局には、より強い調査権限が認められています
* データ管理者およびデータ処理者は、GDPRの一定の要件を満たす場合、データ保護責任者を任命しなければなりません。

<div id="roles-and-responsibilities-under-gdpr">
  ## GDPRにおける役割と責任
</div>

一般に\*\*,\*\* Auth0 (Okta) の顧客は**データ管理者**であり、Auth0 (Okta) は**データ処理者**です。

<div id="personal-data-handled-by-auth0">
  ### Auth0 が取り扱う個人データ
</div>

Auth0 は、メタデータを含むユーザープロファイルに含まれるエンドユーザーのデータを取り扱います。

<div id="data-controller-customer-responsibilities">
  ### データ管理者 (顧客) の責任
</div>

より具体的には、顧客は以下について責任を負います。

* エンドユーザーへの通知、同意の取得、および同意の撤回 (必要な場合)
* Auth0 に開示する個人データを決定すること
* 使用する接続 (エンドユーザーデータとパスワードの保存先) を決定すること
* サインアップを行い、必要に応じて新規ユーザーを作成すること
* 自社のユーザーが年齢要件を満たしていることを確認し、必要に応じて適切な同意 (子どもの場合は保護者の同意など) を取得すること
* エンドユーザーが個人データを取得、確認、訂正、または削除するために必要な仕組みを実装すること
* エンドユーザーからのデータ主体の権利に関する請求 (DSAR) に対応すること
* 監督機関からの連絡に対応すること
* 一定の基準に達した場合に、監督機関およびエンドユーザーにデータ侵害通知を送信すること (必要に応じて Auth0 は顧客を支援し、必要な情報を提供します)

<div id="data-processor-auth0-responsibilities">
  ### データ処理者 (Auth0) の責任
</div>

Auth0 は、以下の責任を負います。

* Subscription Agreement (SA) および Data Processing Addendum (DPA)  (エンタープライズ顧客向け) 、または Terms of Service (セルフサービス顧客向け) で定められたデータ管理者の指示に従うこと
* 顧客のエンドユーザーが GDPR に基づく権利を行使してリクエストを行った場合に、顧客を支援すること。個人データの処理に関連して監督当局から要請を受けた場合は、顧客に通知すること (法令で禁止されている場合を除く)
* Customer Data が侵害されることが確認されたデータ侵害を認識した場合に、顧客に通知すること
* Sub-processor のいずれかが、Auth0 の Customer Data に影響を及ぼすことが確認されたデータ侵害について Auth0 に通知した場合に、顧客に通知すること (法令で禁止されている場合を除く)
* 顧客が <Tooltip tip="Auth0 Dashboard: サービスを設定するための Auth0 の主要製品です。" cta="用語集を表示" href="/docs/ja-jp/glossary?term=Auth0+Dashboard">Auth0 Dashboard</Tooltip> および Auth0 <Tooltip tip="Auth0 Dashboard: サービスを設定するための Auth0 の主要製品です。" cta="用語集を表示" href="/docs/ja-jp/glossary?term=Management+API">Management API</Tooltip> を通じて顧客データを取得、確認、修正、削除できるようにする手段を提供すること
* 顧客が Lock ウィジェットに同意条項と同意確認用チェックボックスを表示できる仕組みを提供すること。より複雑な同意の仕組みが必要な場合、顧客はカスタムのサインアップフォームやログインフォームを設計することもできます

<div id="auth0-data-processing">
  ## Auth0 によるデータ処理
</div>

<div id="data-auth0-possesses">
  ### Auth0 が保持するデータ
</div>

Auth0 がエンドユーザーについて保持しているすべてのデータは、Auth0 のユーザープロファイルに格納されています。ユーザープロファイルに含まれる属性は、顧客の設定や実装によって異なり、接続の種類、認証フロー中のユーザー同意、さらにユーザープロファイルに追加情報を付加しているかどうかなど、さまざまな要因によって決まります。

<div id="when-auth0-data-is-stored">
  ### Auth0 データが保存されるタイミング
</div>

Auth0 のユーザープロファイル情報は、データベース接続を使用している場合に Auth0 に保存されます。ユーザーがそれ以外の種類の接続 (カスタムデータベース接続を含む) でログインした場合、Auth0 は今後の照会に備えて、外部の <Tooltip tip="アイデンティティプロバイダー（IdP）: デジタルアイデンティティを保存・管理するサービス。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=identity+provider">アイデンティティプロバイダー</Tooltip> から提供された情報を保存します。

<div id="how-auth0-uses-the-data-it-stores">
  ### Auth0が保存するデータの利用方法
</div>

Auth0に保存される個人データは、そのサービス、すなわちユーザー認証を提供する目的に限って使用されます。

<div id="what-happens-to-data-when-an-end-users-account-is-deleted">
  ### エンドユーザーのアカウントが削除されると、データはどうなりますか
</div>

エンドユーザーのアカウントが削除されると、メタデータを含むユーザープロファイルも削除されます。

<div id="auth0-features-aiding-gdpr-compliance">
  ## GDPRコンプライアンスを支援するAuth0の機能
</div>

以下に、GDPRの規制と、それらへの準拠にAuth0がどのように役立つかを示します。

<div id="conditions-for-consent">
  ### 同意の条件
</div>

GDPR 第7条では、次のことが求められます。

* 個人データの処理について、明確で簡単にアクセスできる形でユーザーの同意を得ること
* ユーザーが同意したことを証明できること
* いつでも簡単に同意を撤回できる手段を提供すること

Auth0 を使用すると、サインアップ時に (Lock またはカスタムフォームを使用して) ユーザーに同意を求め、その情報をユーザープロファイルに保存できます。後からこの情報を Management API を使用して更新することもできます。詳しくは、[GDPR: 同意の条件](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-conditions-for-consent) をご覧ください。

<div id="right-to-access-correct-and-erase-data">
  ### データへのアクセス、訂正、削除の権利
</div>

GDPR第15条、第16条、第17条、および第19条に基づき、ユーザーには次の権利があります。

* お客様が処理している自身の個人データのコピーを取得すること
* 個人データが不正確な場合に訂正を求めること
* 自身の個人データの削除を求めること

Auth0 では、手動または API を使用して、ユーザー情報へのアクセス、編集、削除を行えます。詳しくは、[GDPR: データへのアクセス、訂正、削除の権利](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-right-to-access-correct-and-erase-data)を参照してください。

<div id="data-minimization">
  ### データ最小化
</div>

GDPR第5条では、次のように定められています。

* 収集する個人データは、処理に必要な範囲に限定しなければなりません
* 必要な期間に限って保持しなければならず、
* 権限のない、または違法な処理、ならびに偶発的な損失、破壊、損傷からの保護を含め、データ処理において適切なセキュリティを確保しなければなりません

Auth0 には、アカウントリンクやユーザープロファイルの暗号化など、これらの目標の達成に役立つ機能がいくつかあります。詳しくは、[GDPR: データ最小化](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-data-minimization)を参照してください。

<div id="data-portability">
  ### データポータビリティ
</div>

GDPR第20条に基づき、利用者は、自身に関する個人データを、構造化され、一般的に利用されており、機械で読み取り可能な形式で受け取る権利を有します。

Auth0のユーザーストアに保存されているユーザーデータは、手動またはプログラムによってエクスポートできます。Auth0の生データは、JSON形式 (機械で読み取り可能) でエクスポートできます。詳しくは、[GDPR: データポータビリティ](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-data-portability)をご覧ください。

<div id="protect-and-secure-user-data">
  ### ユーザーデータを保護し、安全性を確保する
</div>

GDPR第32条では、以下を含む (ただし、これらに限定されない) 適切な措置を講じて、一定のセキュリティ水準を確保することが求められています。

* データの暗号化
* 機密性の継続的な確保
* データの完全性
* 処理システムおよびサービスの可用性とレジリエンス

Auth0には、この要件への対応に役立つ機能がいくつかあります。たとえば、ユーザープロファイルの暗号化、<Tooltip tip="漏えいしたパスワードの検知: Auth0が、サードパーティのウェブサイトやアプリでのデータ漏えいによって侵害されたユーザー名/パスワードの組み合わせをユーザーが使用している場合に通知する攻撃対策の一種。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=brute-force+protection">ブルートフォース対策</Tooltip>、<Tooltip tip="ブルートフォース対策: 単一のIPアドレスから発生し、単一のユーザーアカウントを標的とするブルートフォース攻撃を防ぐ攻撃対策の一種。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=breached+password+detection">漏えいしたパスワードの検知</Tooltip>、ステップアップ認証などです。詳しくは、[GDPR: ユーザーデータを保護し、安全性を確保する](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-protect-and-secure-user-data)をご覧ください。

<div id="security-advice">
  ## セキュリティに関するアドバイス
</div>

Auth0 では、エンドユーザーのデータを保護し、データ侵害の可能性を最小限に抑えるため、次の対策を推奨しています。

* <Tooltip tip="Client Secret: クライアント（アプリケーション）が認可サーバーで認証するために使用するシークレットです。これはクライアントと認可サーバーだけが知っているべきものであり、推測されないよう十分にランダムでなければなりません。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=client+secrets">クライアントシークレット</Tooltip>とキーを保護する
* Management Dashboard の資格情報を保護し、Dashboard へのアクセスには <Tooltip tip="多要素認証（MFA）: ユーザー名とパスワードに加えて、SMS 経由のコードなどの認証要素を使用するユーザー認証プロセスです。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=multi-factor+authentication">多要素認証</Tooltip> を必須にする
* Dashboard の管理者一覧を定期的に確認し、不要になった項目を削除する
* Auth0 テナントに関連付けられている接続とアプリケーションの一覧を確認し、不要になった項目を削除する
* Dashboard 管理者には、必要に応じて容易に取り消せる会社の資格情報を使用させ、個人のメールアカウントなどの個人用資格情報は使用させない
* 退職した従業員のアカウントは速やかに削除する
* 管理者が画面ロックを必須とするデバイスを使用していることを確認する
* すべての Dashboard 管理者と開発者に対して、セキュリティとプライバシーのベストプラクティスに関する定期的なトレーニングを実施する

使用しているログストリーミングソリューションから、レポート機能を備えたログツールへ送信されるログデータを必ず監視してください。

<div id="learn-more">
  ## 詳細情報
</div>

* [GDPR: 同意の条件](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-conditions-for-consent)
* [GDPR: データへのアクセス、訂正、削除の権利](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-right-to-access-correct-and-erase-data)
* [GDPR: データ最小化](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-data-minimization)
* [GDPR: データポータビリティ](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-data-portability)
* [GDPR: ユーザーデータを保護し、安全性を確保する](/docs/ja-jp/secure/data-privacy-and-compliance/gdpr/gdpr-protect-and-secure-user-data)