Site のプライバシーポリシーの作成方法
この記事では、EU、英国、ブラジル、および米国の一部の州などにおけるデータ保護法の要件を満たすため、お客様の ChatGPT Site（「Site」）向けプライバシーポリシーを作成する際のガイダンスを提供します。データ保護法の遵守全般について詳しくは、こちらの記事をお読みください。
Site にプライバシーポリシーが必要な理由
お客様の Site で個人データを収集する場合、個人本人から直接収集するか他の情報源から収集するかにかかわらず、データ保護法により、その個人データの利用について一定の情報を本人に提供することが求められます。この要件を満たす最も簡単で一般的な方法は、Site にプライバシーポリシーを掲載することです。プライバシーポリシーは、データ管理者、Site で収集される個人データ、その個人データの利用方法に関する重要な情報を示し、データ保護法に基づき個人が自身の個人データについて有する権利を説明するものです。
このガイダンスは、これらの要件を満たすプライバシーポリシーの作成に役立てることができます。ただし、当社の文言をそのまま使用する必要はありません。当社の考え方を確認するために、OpenAI のプライバシーポリシーもご覧いただけます。
この記事は法的助言ではなく、情報提供のみを目的として提供されている点にご注意ください。お客様および Sites の訪問者の所在地によって適用される可能性のある法律上の義務を理解するため、ご自身で法的助言を求めることをお勧めします。
以下の例は、あくまで出発点です。お客様の Site が実際に収集する情報、その利用方法、お客様および訪問者の所在国、ならびに ChatGPT Sites の利用に適用される契約に合わせて調整してください。
また、プライバシーポリシーに情報を記載するだけでは必ずしも十分ではないことを 覚えておいてください。ユーザーが必ずしも想定していない方法や、驚く可能性のある方法で個人データを使用する場合は、Site 上に追加の通知を掲載するなど、ユーザーに明確に知らせるためのさらなる対応が必要になることがあります。
プライバシーポリシーの更新と公開
プライバシーポリシーを作成したら、お客様の Site を訪れるすべての人が利用できるようにする必要があります。通常のベストプラクティスとしては、Site の各ページ、Cookie バナー（ある場合）、および登録ページ（マーケティングメール内を含む）にプライバシーポリシーへのリンクを追加することが挙げられます。
個人データの収集または処理の活動が変わったときは、必ずプライバシーポリシーを見直し、更新してください。たとえば、Site で新しい種類の個人データの収集を開始した場合や、収集した個人データを新しい目的で使用し始めた場合などです。
ポリシーの作成
Site と運営者の紹介
プライバシーポリシーとお客様の Site について、ごく短い紹介から始めてください。「データ管理者」（すなわち、個人データの利用方法と利用理由を決定する個人または組織）を特定する必要があります。グループまたは組織を代表して Site を運営している場合は、そのグループまたは組織を特定してください。個人として Site を運営している場合は、ご自身の氏名を含める必要があります。
例：[SITE] のプライバシーポリシーをお読みください。このポリシーでは、お客様が [SITE] を使用する際にお客様についてどのような情報が収集され、それがどのように使用されるかを説明しています。この Site は [INSERT NAME/ORGANIZATION] が運営しています。
収集する個人データの説明
Site で収集される可能性のある情報の種類について、短い一覧または概要を示してください。必ずしもすべてのデータカテゴリーを列挙する必要はありませんが、個人から収集される可能性のあるデータの種類を本人が理解できるようにする必要があります。また、この情報がいつ収集されるのかも明確にしてください。たとえば、ユーザーがアカウント登録時にその情報を提供する必要がある場合などです。
例：当社は、お客様が当社に直接提供する情報を収集し、また [SITE] の利用に関連する情報も収集します。当社が収集する可能性のある情報の種類には、以下が含まれます。
[SITE] にログインするためにアカウントを作成または使用する場合の、お客様の氏名、ユーザー名、メールアドレス。
写真や誕生日など、お客様が任意で提供するプロフィール情報。
[SITE] に投稿するコメントその他の情報。
「お問い合わせ」フォームを使用する場合の、お客様の氏名、連絡先情報、お問い合わせ内容。
アカウントにログインしている場合の、[SITE] の利用に関する情報。
Cookie その他の追跡技術を使用して自動的に収集される情報。たとえば、[SITE] で閲覧したウェブページの詳細やアクセスしたコンテンツなど。
ChatGPT でサインインの使用
お客様の Site が ChatGPT でサインインを使用している場合、訪問者がサインインを承認した後、OpenAI は訪問者の氏名、メールアドレス、および利用可能な場合はプロフィール写真を Site と共有することがあります。これをプライバシーポリシーで説明し、お客様の Site がその情報をどのように使用するかを記載してください。
例：[SITE] は、お客様が ChatGPT アカウントでサインインできるようにするため、ChatGPT でサインインを使用します。このオプションを選択すると、お客様がサインインを承認した後、OpenAI はお客様の氏名、メールアドレス、および利用可能な場合はプロフィール写真を [SITE] と共有します。
Cookie および類似技術
Site で使用される Cookie または類似技術についてユーザーに説明してください。Site が必須ではない Cookie または類似の追跡技術を使用する場合、それらを配置または読み取る前に同意を取得する必要がある場合があります。要件は地域によって異なります。
プライバシーポリシーに Cookie に関する情報を含めることに加えて、別個の Cookie バナーを用意するなど、Cookie に関する他の要件もあります。Cookie および類似技術に関するルールは複雑であり、お客様の所在地やユーザーの所在国によって異なります。法的助言を求めるか、現地のデータ保護当局のガイダンスを確認することをお勧めします。
例：[SITE] は Cookie および類似技術を使用します。これらはお客様のブラウザに保存され、お客様が当社の [SITE] を使用する際に特定の情報を自動的に収集します。これらの Cookie の一部は、お客様が [SITE] を利用している間のみ保持されますが、その他の Cookie は [INSERT DURATION] の間ブラウザに残ります。当社は、以下の目的で Cookie を使用します。
設定の記憶や埋め込みメディアのサポートなど、[SITE] の機能を支援するため。
分析目的のため。これにより、ユーザーが [SITE] をどのように使用しているかを把握し、改善できます。
お客様が広告 Cookie に同意した場合に、[SITE] に広告を表示し、その広告の効果を把握するため。
個人データを収集する理由とその利用方法の説明
個人データを収集する理由と、その利用方法を説明する必要があります。
また、このセクションを使って、GDPR などのデータ保護法に基づき個人データを処理するための「法的根拠」を明示することをお勧めします。法的根拠としては、ユーザーの同意があること、ユーザーとの契約を履行するために処理が必要であること、または正当な利益の目的のために処理が必要であることなどが考えられます。「正当な利益」を根拠とする場合は、その利益を具体的に特定する必要があります。これはデータ保護法の中でも比較的複雑な側面の 1 つであるため、特に法的助言を求めることをお勧めする分野です。
例：当社は、以下の目的で個人データを収集し、使用します。
[SITE] の機能を提供するため。
お客様と連絡を取り、お問い合わせに回答するため。
お客様にマーケティング情報を送信するため。
[SITE] の利用状況を把握し、[SITE] を改善できるようにするため。
当社は、GDPR に基づく以下の法的根拠に依拠します。
マーケティングメールの送信可否をお尋ねする場合のお客様の同意。
お客様が要求したサービスを提供するために個人データを処理する必要がある場合に、お客様との契約の履行に処理が必要であること。
[SITE] の利用状況に関する調査および分析を行う場合に、処理が当社の正当な利益にかなうこと。当社には、すべてのユーザーのために [SITE] を改善する正当な利益があります。
個人データの共有先の説明
個人データを共有する第三者、または第三者のカテゴリーを列挙してください。これには、Site または訪問者が要求したサービスの提供を支援する組織が含まれる場合があります。共有が必要であるのか、同意に基づくのか、または法律で義務付けられているのかを説明してください。
OpenAI は Sites サービスをホストおよび運営しており、その提供に必要な範囲で、お客様の Site を通じて収集された情報を処理することがあります。該当する場合、その処理には OpenAI データ処理補遺、またはお客様の組織と OpenAI が署名したデータ処理補遺が適用されます。お客様のアカウントに適用される用語を用いて、OpenAI の役割を説明してください。
例：当社は、以下の場合に個人データを共有します。
当社に代わって [SITE] をホストする OpenAI を含む、[SITE] の提供を支援するサービスプロバイダーと共有する場合。
法律に基づきデータの共有が義務付けられている、または許可されている場合。
お客様の同意がある場合。
個人データの保存期間の説明
ユーザーの情報をどのくらいの期間保持するかについて、ユーザーに明確に説明する必要があります。正確な期間を示せない場合は、データを削除する時期をどのように判断するかを説明してください。
例：当社は、上記の目的のために必要な期間、個人データを保持します。正確な期間は、お客様による [SITE] の利用方法によって異なります。当社は、保有するデータが引き続き必要であることを確認するため、定期的に見直します。
個人データの保存場所の説明
個人データが処理される場所、および適用される国際移転の保護措置を説明してください。現在の Sites のホスティングおよびレジデンシーに関するドキュメントと、お客様のアカウントに適用される契約およびデータ処理補遺を確認してください。ChatGPT Sites は、リリース時点ではデータレジデンシーまたは推論レジデンシーをサポートしていません。
お客様の Site および契約について正確でない限り、ホスティング国または移転メカニズムをプライバシーポリシーに転載しないでください。適用されるホスティングおよび移転条件を確認した後にのみ、アカウント固有の例を追加してください。
ユーザーの権利の説明
訪問者の所在地によっては、プライバシー法により、本人の個人データへのアクセス、訂正、削除、制限、異議申立て、コピーの受領、同意の撤回、または監督機関への苦情申立てを行う権利が認められる場合があります。どの権利が適用されるか、および訪問者がそれらを行使する方法を説明してください。
例：お客様に適用される法律によっては、[SITE] を通じて収集された個人データに関して、以下に記載する権利を含む権利を有する場合があります。
ご自身の個人データへのアクセス
当社の記録からのご自身の個人データの削除
ご自身の個人データの訂正または更新
ご自身の個人データの第三者への移転（データポータビリティの権利）
当社によるご自身の個人データの処理方法の制限
当社が処理の法的根拠として同意に依拠している場合の、同意の撤回
ダイレクトマーケティングのため、または当社の正当な利益に基づくその他の処理のために当社がご自身の個人データを処理することへの異議申立て
現地のデータ保護当局への苦情申立て
連絡窓口の提供
お客様の Site で収集された個人データに関する問い合わせ、懸念、苦情のための連絡窓口を提供する必要があります。メールアドレスまたは郵送先住所を提供できます。
例：当社によるお客様の個人データの取扱いについてご質問や懸念がある場合は、[INSERT] までお問い合わせいただけます。