KARTEにおける
- 免責事項
- このページは、GDPRの主な事項に対するKARTEの取り組みについて情報提供を行うものです。GDPRの解釈や、お客様の実際の対応がGDPRに準拠しているかどうかについて何ら保証するものではありません。お客様におけるこれらの解釈や準拠にかかる判断については、必ず弁護士等の専門家にご相談ください。
- KARTEのデータ保護に対するコミットメント
- このページでは、お客様（データ管理者）がGDPRに準拠しながらKARTEをご利用いただくために必要な、KARTEの対応状況、具体的な機能、技術的・組織的安全管理措置について包括的にご説明します。
なお、本ページで用いる「パーソナルデータ」とは、GDPR第4条(1)に定義される「個人データ（Personal Data）」を指すものであり、法的義務の根拠はすべてGDPRの定義に由来します。「パーソナルデータ」には、氏名やメールアドレスといった直接的な識別子に加え、Cookie等のオンライン識別子、IPアドレス、位置情報など、個人を間接的に識別しうる情報も含まれます。また、本ページで用いる「ユーザー」とは、お客様のウェブサイト又はアプリを訪問するインターネットユーザーを指します。
GDPRの全文はこちらの「General Data Protection Regulation」（英語）で参照できます。
1. お客様とプレイドの役割分担
GDPRを遵守するためには、データ管理者であるお客様と、データ処理者であるプレイドの役割と責任を明確に理解することが不可欠です。
お客様＝データ管理者 (Controller)
お客様は、KARTEを利用してどのようなパーソナルデータを、何の目的で、どのように取得・利用するかを決定する主体です。データ取得の適法性（適切な法的根拠の確保、特に「同意」の取得等）を確保し、ユーザーからの権利行使に対応する第一次的な責任を負います。
株式会社プレイド＝データ処理者 (Processor)
プレイドは、お客様の指示に基づき、お客様に代わってパーソナルデータを処理する主体です。お客様から預託されたデータを安全に管理し、データ処理契約（DPA = Data Processing Agreement）で定められた範囲でのみ処理を行い、お客様の義務遂行を技術的・組織的に支援する責任を負います。
| 責任領域 | お客様（データ管理者）の主な責任 | プレイド（データ処理者）の主な責任 |
|---|---|---|
| 適正な処理の根拠 |
|
|
| ユーザーの権利行使 |
|
|
| セキュリティとリスク管理 |
|
|
| 契約と記録保持 |
|
|
| 第三者（再委託先）管理 |
|
|
2. 国際データ移転への対応
EU/EEA域内のパーソナルデータをKARTEで処理する場合、データが保管される国・地域に応じた、GDPRが定める国際データ移転のルールに準拠しています。
データセンターの所在地
KARTEでは、日本（東京）、英国、スイス、米国、台湾又はEUのいずれかにお客様のデータを保管します。
データ移転の法的根拠
EU/EEA域内から、上記の地域（EUを除きます。）へのパーソナルデータの移転は、移転先の国・地域に応じた適切な法的根拠に基づいて行われます。
- A) 日本、英国又はスイスにデータを保管する場合（GCP、AWS、Azure）
- 日本、英国及びスイスは、欧州委員会から個人情報の保護レベルがEUと同等であると認める「十分性認定 (Adequacy Decision)」を受けています。これにより、EU/EEAから日本、英国又はスイスへのパーソナルデータの移転は、原則として追加の保護措置を講じることなく適法に行うことができます。プレイドは、この十分性認定を補完するために日本の個人情報保護委員会が定める「補完的ルール」を遵守しています。
- B) 米国にデータを保管する場合（GCP、Azure）
- 米国は、Data Privacy Framework（以下「DPF」といいます。）に対する十分性認定を受けています。これにより、EU/EEAからDPFに登録した米国の企業に対するパーソナルデータの移転は、追加の保護措置を講じることなく、適法に行うことができます。 GCP及びAzureのサービス提供において、データの移転先又は再委託先となる米国のGoogle LLC及びMicrosoft Corporationが、このDPF認証を取得済みであることを確認しております。
- C) 台湾にデータを保管する場合（GCP）
- 台湾は、本ページ最終更新日現在、欧州委員会による十分性認定を受けていません。そのため、台湾にお客様のデータを保管する場合、プレイドはデータ移転の適法性を確保するために「標準契約条項 (SCCs = Standard Contractual Clauses)」をお客様と締結します。
- さらに、SCCsの利用にあたっては、お客様（データ管理者）による「移転影響評価 (TIA = Transfer Impact Assessment)」の実施が求められます。これは、移転先の法制度や実務慣行がEUのデータ保護レベルに与える影響を評価するものです。
プレイドは、お客様がこのTIAを円滑に実施できるよう、プレイドが講じている暗号化、アクセス制御といった補足的措置 (Supplementary Measures)に関する詳細な情報を提供し、お客様の評価プロセスを全面的に支援します。TIAの実施に必要となる、プレイドが講じている補足的措置（技術的・組織的安全管理措置の詳細など）に関する具体的な情報につきましては、ご契約中又はご検討中のお客様で、必要とされる場合に個別にご提供いたします。詳細はお問い合わせください。
| データ保管場所 | 主な法的根拠 | お客様に求められる対応 | プレイドの支援 |
|---|---|---|---|
| 日本、英国、スイス |
|
|
|
| 米国 |
|
|
|
| 台湾 |
|
|
|
3. ユーザーの権利への対応（KARTEのGDPR関連機能）
KARTEでは、お客様がデータ管理者として、ユーザーからの以下の権利行使の要求に、迅速かつ的確に対応できるよう支援する具体的な機能を提供しています。
KARTE InsightのGDPR対応機能を紹介します。
| GDPR上の要件 | 概要 | KARTEにおける関連機能 | 関連機能詳細 |
|---|---|---|---|
| データ処理の法的根拠を管理する（第6条） |
|
|
|
| ユーザーの同意を得る（第7条） |
|
|
|
| ユーザーの同意を取り消す（第7条） |
|
|
|
| ユーザーのパーソナルデータを訂正する（第16条） |
|
|
|
|
| ||
| ユーザーのパーソナルデータを削除する（第17条） |
|
|
|
|
| ||
| ユーザーのアクセス権やポータビリティ権を保護する（15条、第20条） |
|
|
|
| 適切なセキュリティ対策を実施する（第32条） |
|
|
|
4. 技術的・組織的安全管理措置
プレイドは、お客様からお預かりしたデータを保護するため、業界標準のベストプラクティスに基づき、多層的なセキュリティ対策を講じています。
詳細は、「KARTEのセキュリティ対策」及び「KARTEセキュリティホワイトペーパー」をご参照ください。
5. お客様向け資料
データ処理契約 (DPA) のご案内
GDPRの対象となるパーソナルデータをKARTEで処理する場合、GDPR第28条に基づき、お客様とプレイドとの間でDPAの締結が必須となります。
プレイドの標準DPAには、GDPRが要求する全ての必須条項が含まれ、必要に応じて最新の標準契約条項（SCCs）を締結することが可能です。
DPAの締結をご希望のお客様は、プレイド営業担当又はカスタマーサポートまでお気軽にお申し付けください。ご契約手続きと合わせて、迅速にご提供いたします。
よくあるご質問 (FAQ)
Q.GDPRの適用対象になるのはどのような場合ですか。
A.
以下のどちらかに当てはまるような場合に、貴社のビジネスはGDPRの対象になると考えられます。
- ヨーロッパに支店やオフィスなどの拠点がある。
- 日本からヨーロッパ在住の人を相手にしている。（例：商品を販売する、ウェブサイトでの行動を分析するなど）
例えば、KARTEを利用してサイトを訪れたヨーロッパの人の行動を分析することをご想定であれば、GDPRの対象となる可能性が高いです。
Q.データ保管場所によって、GDPR対応で注意すべき点は変わりますか？
A.
はい、変わります。上記「国際データ移転への対応」セクションに記載の通り、十分性認定のある日本、英国スイス又は米国にデータを保管する場合と比べ、台湾にデータを保管する場合は、お客様に追加の義務として移転影響評価（TIA）を実施していただく必要がございます。プレイドはその実施を支援いたします。
Q.データ保管場所は後から変更できますか？
A.
データ保管場所の変更は、技術的及び契約上の制約から原則として困難です。東京リージョンについてはご契約時に選択いただくことが可能です。
Q.KARTEはどのような第三者（再委託先）を利用していますか？
A.
KARTEは、サービス提供に必要な範囲で、AWS、GCP、Azureといったインフラ事業者や、その他のサポートツール提供事業者に処理を再委託しています。これらの再委託先は、プレイドとの間でGDPRの要件を満たす契約を締結しており、厳格な管理下にあります。再委託先のリストはDPAに記載・提供されます。
Q.データ侵害が発生した場合、どのように通知されますか？
A.
万一、お客様のデータに影響を及ぼすデータ侵害を認識した場合、プレイドはDPAに定める期間内に、不当な遅滞なくお客様にご報告し、その後の対応について緊密に連携します。
Q.KARTEを利用する場合、自社でデータ保護責任者（DPO = Data Protection Officer）を任命する必要はありますか？
A.
GDPRでは、中核的活動が「大規模なデータ主体の定期的・体系的な監視」を伴う場合などにDPOの任命が義務付けられています。KARTEを用いて大規模なユーザー行動のプロファイリングを行うことは、この要件に該当する可能性があります。DPO任命の要否については、お客様の処理活動全体を考慮の上、法務専門家にご相談ください。
更新履歴
2026年9月1日 更新