概要
EU、英国、ブラジル、米国の一部の州などの国や地域には、個人に関する情報を保護し、「個人データ」または「個人情報」を収集・利用する個人や組織に義務を課す法律があります。たとえば、EU と英国には、その地域に居住する人々の「個人データ」を保護する一般データ保護規則（GDPR）があります。
当社のサービスを利用してウェブサイトやアプリ（以下「サイト」）を構築する場合、GDPR やその他の同様のデータ保護法令を遵守する必要がある場合があります。たとえば、次の場合には GDPR の遵守が必要になることがあります。
お客様の拠点が英国または EU にある場合
サイトに英国または EU のユーザーが見込まれる場合
この記事は、データ保護法に基づく義務を遵守するための参考情報を提供するものです。ただし、法的助言ではなく、情報提供のみを目的としています。お客様やサイト訪問者の所在地によって適用される法律が異なるため、各法律に基づく義務を理解するために、ご自身で法律の専門家に相談することをお勧めします。
データ保護法におけるお客様の役割
お客様のサイトで訪問者の個人データを収集したり、その他の処理を行ったりする場合、お客様には、その情報の利用目的と方法を決定し、適用されるプライバシー法およびデータ保護法を遵守する責任があります。ChatGPT Sites 利用規約に基づき、お客様は、ご自身のサイトを通じて収集される個人データのデータ管理者となります。
個人データには、氏名、メールアドレス、プロフィール情報、投稿やコメント、写真、オンライン識別子やデバイス識別子などが含まれます。
ChatGPT Sites では、保護対象保健情報を処理してはなりません。ChatGPT Sites 利用規約に記載されているとおり、決済カードのデータは、OpenAI ではなく、第三者の決済サービスプロバイダーのみが収集・処理する必要があります。
データ保護法は、データ管理者にさまざまな義務を課しています。以下に、これらの義務の概要を示します。
データ保護法における当社の役割
お客様がユーザーとして OpenAI のサービスを利用する場合、通常は OpenAI がデータ管理者となるため、当社のプライバシーポリシーに従い、お客様の個人データに関するデータ保護法を遵守する責任を負います。
お客様は Sites を利用することにより、ご自身のサイトを通じて収集された個人データを、そのサイトの提供と運営に必要な範囲で処理するよう OpenAI に指示することになります。該当する場合、OpenAI は、OpenAI データ処理補遺、またはお客様の組織と OpenAI が署名したデータ処理補遺に基づいて、そのデータを処理します。お客様のアカウントに適用される契約およびデータ処理補遺（DPA）をご確認ください。
義務の概要
GDPR などのデータ保護法は、個人データを処理する当事者（管理者および処理者）に義務を課すとともに、個人データの処理対象となる本人に権利を付与しています。法令遵守に役立てていただけるよう、サイトの運営にあたって考慮すべき主な事項を以下にまとめました。ただし、これは GDPR やその他の関連するデータ保護法を網羅したガイドではありません。
情報の通知：収集するデータ、その利用方法、本人が自分のデータを管理する方法を説明するプライバシーポリシーを、サイトの見やすい場所に掲載してください。詳しい手順は、プライバシーポリシーの作成方法をご覧ください。また、個人データは、本人が想定できる方法でのみ利用するようにしてください。ある利用方法が本人の想定を超える可能性がある場合は、サイト内の目につきやすい場所に追加の通知を掲載することを検討してください。
選択肢の提供：サイトで収集される個人データの種類とその利用方法について、本人ができる限り選択できるようにしてください。場合によっては、チェックボックスへのチェックやトグルの切り替えなど、本人の明示的な操作によるオプトインの同意を求める必要があります。ここに挙げた例はすべてを網羅しているわけではなく、ほかにも同意を求める必要がある状況があります。サイトでユーザーが情報を公開投稿できる場合は、投稿時に、その情報が公開されることをユーザーにはっきりと伝えてください。
データの最小化：サイトの機能に必要な個人データのみを収集してください。住所、性別、生年月日が不要であれば、提供を求めないでください。また、個人データを必要以上に長く保持しないでください。サイトの運営に必要なデータの保持期間を検討し、その期間が過ぎたら削除してください。
データのセキュリティと個人データ侵害：サイトと、サイトを通じて収集した情報を保存するその他のシステムに、適切なセキュリティ対策を講じてください。OpenAI のデータ侵害通知義務は、お客様のアカウントに適用される契約およびデータ処理補遺によって定められています。影響を受ける個人、規制当局、その他の当局への通知が必要かどうかを判断する責任は、お客様にあります。
データ主体の権利：プライバシー法により、個人には、自分の個人データへのアクセス、訂正、削除、処理の制限、処理への異議申し立て、またはデータのコピーの受領に関する権利が認められる場合があります。サイト訪問者がこれらの権利に関する請求を行えるよう、わかりやすい窓口を設け、お客様に適用される法律で定められた期限内に対応してください。
データの移転：プライバシー法により、国や地域をまたぐ個人データの移転が制限される場合があります。Sites のホスティングとデータレジデンシーに関する情報、およびお客様のアカウントに適用される契約とデータ処理補遺をご確認ください。
米国または EU のデータレジデンシーを設定しているワークスペースでは、新しいサイトの対応するストレージとホスティングに、ワークスペースで設定済みのリージョンが自動的に使用されます。その他のリージョンにデータレジデンシーを設定しているワークスペースでも Sites を利用できますが、現在、そのリージョンの設定は Sites のストレージとホスティングには適用されません。
既存のサイトは現在の場所に保持され、自動的には移行されません。Sites のリージョン別ホスティングは、モデルの処理に関する推論レジデンシーとは別のものです。詳しくは、ChatGPT のデータレジデンシーと推論レジデンシーをご覧ください。
お客様に適用される規約を確認せずに、特定の国でホスティングされる、あるいは特定の仕組みでデータが移転されると決めつけないでください。
Cookie および類似の追跡技術：サイトで必須ではない Cookie や類似の追跡技術を使用する場合、それらを保存または読み取る前に同意を得る必要がある場合があります。要件は所在地によって異なるため、お客様とサイト訪問者に適用されるルールをご確認ください。
子どものデータ：サイトが 18 歳未満の子どもを対象としている場合、子どもは法律上特別な保護を受けるため、データ保護やプライバシーに関するリスクには特に注意を払ってください。複数のデータ保護当局やその他の規制当局が、子ども向けオンラインサービスのために追加のガイダンスを公開していますので、確認することをお勧めします。なお、ChatGPT Sites 利用規約に基づき、13 歳未満、または適用法で定められたデジタルサービスの利用に同意できる年齢に満たない子どもを対象とする、あるいはそのような子ども向けに設計されたサイトを作成することはできません。