認証
ユーザー管理
カスタマイズ
Auth0 AI
プラットフォーム定義
| Term | Definition |
|---|---|
| データ主体 | 個人／自然人 |
| データ管理者 | データ主体の個人データを収集および処理する事業体 (正確な定義については GDPR を参照してください) |
| データ処理者 | データ管理者に代わって個人データを収集および処理する事業体 (正確な定義については GDPR を参照してください) |
| 個人データ | 主体を (直接的または間接的に) 特定するために使用できるデータ。特に、識別子 (名前、識別番号、位置データ、オンライン識別子など) への参照、またはその人の身体的、生理学的、遺伝的、精神的、経済的、文化的、もしくは社会的アイデンティティに関連するデータ |
| 要配慮個人データ | 人種的または民族的出自、政治的意見、宗教的または哲学的信条、または労働組合への加入を明らかにする個人データ。遺伝データまたは生体データ |
| Auth0 の再委託先処理者 | サービス提供のために、MSA で定義される Customer Data に含まれる個人データを Auth0 が共有する第三者システム。 |
GDPRの概要
適用範囲
通知と同意
- 明確で、理解しやすいこと
- 個人データを処理する目的と、その処理方法を示すこと
- 特定の処理活動について、明示的に同意を求めること
- エンドユーザーが同意を与えるのと同じくらい容易に同意を撤回できる仕組みを備えること
個人の権利
- 企業が本人について保有する個人データにアクセスする権利
- 自分の個人データがどのように処理または利用されるかを知る権利
- 自分の個人データの削除、または「忘れられる権利」 (本人は、自分のデータの管理者に対し、該当する個人データの消去、データの拡散停止、または今後のデータ処理の停止を求めることができます)
- データポータビリティ (本人は、自分の個人データを標準的で機械可読な形式で受け取り、そのデータを別のデータ管理者に移転できます)
- 自動的な意思決定 (一般に プロファイリング と呼ばれる処理) の対象とならない権利
プライバシー・バイ・デザインとプライバシー・バイ・デフォルト
データ処理者とデータ管理者の要件
- データ処理者が提供された個人データを適切に保護していることを確認するため、十分なデューデリジェンスを実施する
- データ管理者の指示に従う
- 適切なセキュリティ対策を実施する
施行
- GDPRでは、一定の条件を満たす場合、データ管理者はデータ侵害に関する通知を、不当な遅滞なく、かつ事案を認識してから遅くとも72時間以内に行うことが義務付けられています
- 遵守しない場合の制裁金は大幅に高額になります
- 欧州連合の監督当局には、より広範な調査権限が与えられています
- データ管理者およびデータ処理者は、GDPRに基づく一定の要件を満たす場合、データ保護責任者を任命しなければなりません。
GDPRにおける役割と責任
Auth0が取り扱う個人データ
データ管理者 (顧客) の責任
- エンドユーザーへの通知、同意の取得、および同意の撤回への対応 (必要な場合)
- Auth0 に開示する個人データを決定すること
- 使用する接続 (エンドユーザーのデータとパスワードが保存される場所) を決定すること
- サインアップを行い、必要に応じて新規ユーザーを作成すること
- ユーザーが年齢要件を満たしていることを確認し、必要に応じて適切な同意 (未成年者に対する保護者の同意など) を取得すること
- エンドユーザーが個人データを取得、確認、訂正、または削除するために必要な仕組みを実装すること
- エンドユーザーからのデータ主体の権利に関する請求 (DSAR) に対応すること
- 監督機関からの連絡に対応すること
- 所定のしきい値に達した場合に、監督機関およびエンドユーザーにデータ侵害通知を送付すること (必要に応じて、Auth0 は顧客を支援し、必要な情報を提供します)
データ処理者 (Auth0) の責任
- Subscription Agreement (SA) および Data Processing Addendum (DPA) (エンタープライズ顧客向け) 、または Terms of Service (セルフサービス顧客向け) で定められたデータ管理者の指示に従うこと
- 顧客のエンドユーザーが GDPR 上の権利を行使するための要求を行った場合に、顧客を支援すること。個人データの処理に関連して監督当局から要求を受けた場合に、顧客に通知すること (法律で禁止されている場合を除く)
- 顧客データを侵害する、確認済みのデータ侵害を認識した場合に、顧客に通知すること
- 再委託先のいずれかから、Auth0 の顧客データに影響する確認済みのデータ侵害について Auth0 に通知があった場合に、顧客に通知すること (法律で禁止されている場合を除く)
- および Auth0 を通じて、顧客が顧客データを取得、確認、修正、削除できるようにする手段を提供すること
- Lock ウィジェット上で、同意条項および同意確認用チェックボックスを表示できる仕組みを顧客に提供すること。より複雑な同意スキームが必要な場合は、顧客がカスタムのサインアップフォームやログインフォームを設計することもできます
Auth0によるデータ処理
Auth0 が保持するデータ
Auth0 データが保存されるケース
Auth0 が保存するデータの利用方法
エンドユーザーのアカウントが削除されると、データはどうなりますか
GDPR コンプライアンスに役立つ Auth0 の機能
同意の条件
- 個人データの処理について、明確で容易にアクセスできる形でユーザーの同意を得ること
- ユーザーが同意したことを示せるようにすること
- いつでも簡単に同意を撤回できる方法を提供すること
データへのアクセス、訂正、消去の権利
- お客様が処理している自身の個人データのコピーを取得すること
- 個人データが不正確な場合に訂正を求めること
- 自身の個人データの削除を求めること
データ最小化
- 収集する個人データは、処理に必要な範囲に限定しなければなりません
- 個人データの保持期間は、必要な期間に限られなければなりません
- また、データ処理中は適切なセキュリティを確保しなければなりません。これには、不正または違法な処理や、偶発的な紛失、破壊、損傷に対する保護が含まれます
データポータビリティ
ユーザーデータの保護と安全確保
- データの暗号化
- 機密性の継続的な確保
- データの完全性
- 処理システムおよびサービスの可用性とレジリエンス
セキュリティに関する推奨事項
- とキーを保護する
- Management Dashboard の認証情報を保護し、Dashboard へのアクセスには を必須にする
- Dashboard の管理者一覧を定期的に確認し、不要になったエントリを削除する
- Auth0 テナントに関連付けられている接続とアプリケーションの一覧を確認し、不要になったエントリを削除する
- Dashboard 管理者が、個人のメールアドレスアカウントなどの個人用認証情報ではなく、必要に応じて容易に無効化できる企業の認証情報を使用していることを確認する
- 退職した従業員のアカウントを速やかに削除する
- 管理者が画面ロックを必須とするデバイスを使用していることを確認する
- すべての Dashboard 管理者と開発者に対して、セキュリティとプライバシーのベストプラクティスに関する定期的なトレーニングを実施する