Authenticate
Manage Users
Customize
Platform定義
以下は、Auth0 の GDPR ドキュメントで使用される用語の定義です。GDPRの概要
適用範囲
GDPRの適用範囲は非常に広く、多種多様な企業が対象となります。これには、欧州連合内に所在する個人の個人データを処理するEU域外のサービスや企業、または欧州連合内に所在する個人の行動を監視する企業も含まれます。通知と同意
エンドユーザーから個人データを収集する前に、個人データを処理するための法的根拠が必要です。たとえば、その法的根拠として同意を得ることができます。同意を求める際の通知は、次の要件を満たしていなければなりません。- 明確で、理解しやすいこと
- 個人データを処理する目的と、その処理方法を明示すること
- 特定の処理活動について、明示的に同意を求めること
- エンドユーザーが同意を与えるのと同じくらい簡単に同意を取り消せる仕組みを備えること
個人の権利
個人であるエンドユーザーには、次の権利があります。- 企業が本人について保有する個人データにアクセスする権利
- 自分の個人データがどのように処理または利用されるかを知る権利
- 自分の個人データを削除してもらう権利、または「忘れられる権利」 (本人は、自身のデータ管理者に対し、該当する個人データの消去、データの拡散停止、または今後のデータ処理の停止を求めることができます)
- データポータビリティ (本人は、自身の個人データを標準的な機械可読形式で取得し、そのデータを別のデータ管理者に移転できます)
- 自動化された意思決定の対象とならない権利 (通常、プロファイリングと呼ばれる処理)
プライバシー・バイ・デザインとプライバシー・バイ・デフォルト
プライバシー・バイ・デザインとは、個人データを利用する新たな実装ごとに、その個人データの保護を考慮しなければならないという考え方です。 プライバシー・バイ・デフォルトとは、エンドユーザーが新しい製品またはサービスを取得した時点で、最も厳格なプライバシー設定が自動的に適用されることを意味します (つまり、ユーザーが手動で変更する必要は一切ありません) 。データ処理者および管理者に関する要件
データ管理者として、次のことを行う必要があります。- データ処理者が提供された個人データを適切に保護していることを確認するため、十分なデューデリジェンスを実施する
- データ管理者から提供された指示に従う
- 適切なセキュリティ対策を実施する
執行
- GDPRでは、一定の条件を満たす場合、データ管理者に対し、データ侵害を認識してから不当な遅滞なく、遅くとも72時間以内に通知を行うことを義務付けています
- 違反した場合の制裁金は大幅に高額です
- 欧州連合の監督当局には、より強い調査権限が認められています
- データ管理者およびデータ処理者は、GDPRの一定の要件を満たす場合、データ保護責任者を任命しなければなりません。
GDPRにおける役割と責任
一般に**,** Auth0 (Okta) の顧客はデータ管理者であり、Auth0 (Okta) はデータ処理者です。Auth0 が取り扱う個人データ
Auth0 は、メタデータを含むユーザープロファイルに含まれるエンドユーザーのデータを取り扱います。データ管理者 (顧客) の責任
より具体的には、顧客は以下について責任を負います。- エンドユーザーへの通知、同意の取得、および同意の撤回 (必要な場合)
- Auth0 に開示する個人データを決定すること
- 使用する接続 (エンドユーザーデータとパスワードの保存先) を決定すること
- サインアップを行い、必要に応じて新規ユーザーを作成すること
- 自社のユーザーが年齢要件を満たしていることを確認し、必要に応じて適切な同意 (子どもの場合は保護者の同意など) を取得すること
- エンドユーザーが個人データを取得、確認、訂正、または削除するために必要な仕組みを実装すること
- エンドユーザーからのデータ主体の権利に関する請求 (DSAR) に対応すること
- 監督機関からの連絡に対応すること
- 一定の基準に達した場合に、監督機関およびエンドユーザーにデータ侵害通知を送信すること (必要に応じて Auth0 は顧客を支援し、必要な情報を提供します)
データ処理者 (Auth0) の責任
Auth0 は、以下の責任を負います。- Subscription Agreement (SA) および Data Processing Addendum (DPA) (エンタープライズ顧客向け) 、または Terms of Service (セルフサービス顧客向け) で定められたデータ管理者の指示に従うこと
- 顧客のエンドユーザーが GDPR に基づく権利を行使してリクエストを行った場合に、顧客を支援すること。個人データの処理に関連して監督当局から要請を受けた場合は、顧客に通知すること (法令で禁止されている場合を除く)
- Customer Data が侵害されることが確認されたデータ侵害を認識した場合に、顧客に通知すること
- Sub-processor のいずれかが、Auth0 の Customer Data に影響を及ぼすことが確認されたデータ侵害について Auth0 に通知した場合に、顧客に通知すること (法令で禁止されている場合を除く)
- 顧客が および Auth0 を通じて顧客データを取得、確認、修正、削除できるようにする手段を提供すること
- 顧客が Lock ウィジェットに同意条項と同意確認用チェックボックスを表示できる仕組みを提供すること。より複雑な同意の仕組みが必要な場合、顧客はカスタムのサインアップフォームやログインフォームを設計することもできます
Auth0 によるデータ処理
Auth0 が保持するデータ
Auth0 がエンドユーザーについて保持しているすべてのデータは、Auth0 のユーザープロファイルに格納されています。ユーザープロファイルに含まれる属性は、顧客の設定や実装によって異なり、接続の種類、認証フロー中のユーザー同意、さらにユーザープロファイルに追加情報を付加しているかどうかなど、さまざまな要因によって決まります。Auth0 データが保存されるタイミング
Auth0 のユーザープロファイル情報は、データベース接続を使用している場合に Auth0 に保存されます。ユーザーがそれ以外の種類の接続 (カスタムデータベース接続を含む) でログインした場合、Auth0 は今後の照会に備えて、外部の から提供された情報を保存します。Auth0が保存するデータの利用方法
Auth0に保存される個人データは、そのサービス、すなわちユーザー認証を提供する目的に限って使用されます。エンドユーザーのアカウントが削除されると、データはどうなりますか
エンドユーザーのアカウントが削除されると、メタデータを含むユーザープロファイルも削除されます。GDPRコンプライアンスを支援するAuth0の機能
以下に、GDPRの規制と、それらへの準拠にAuth0がどのように役立つかを示します。同意の条件
GDPR 第7条では、次のことが求められます。- 個人データの処理について、明確で簡単にアクセスできる形でユーザーの同意を得ること
- ユーザーが同意したことを証明できること
- いつでも簡単に同意を撤回できる手段を提供すること
データへのアクセス、訂正、削除の権利
GDPR第15条、第16条、第17条、および第19条に基づき、ユーザーには次の権利があります。- お客様が処理している自身の個人データのコピーを取得すること
- 個人データが不正確な場合に訂正を求めること
- 自身の個人データの削除を求めること
データ最小化
GDPR第5条では、次のように定められています。- 収集する個人データは、処理に必要な範囲に限定しなければなりません
- 必要な期間に限って保持しなければならず、
- 権限のない、または違法な処理、ならびに偶発的な損失、破壊、損傷からの保護を含め、データ処理において適切なセキュリティを確保しなければなりません
データポータビリティ
GDPR第20条に基づき、利用者は、自身に関する個人データを、構造化され、一般的に利用されており、機械で読み取り可能な形式で受け取る権利を有します。 Auth0のユーザーストアに保存されているユーザーデータは、手動またはプログラムによってエクスポートできます。Auth0の生データは、JSON形式 (機械で読み取り可能) でエクスポートできます。詳しくは、GDPR: データポータビリティをご覧ください。ユーザーデータを保護し、安全性を確保する
GDPR第32条では、以下を含む (ただし、これらに限定されない) 適切な措置を講じて、一定のセキュリティ水準を確保することが求められています。- データの暗号化
- 機密性の継続的な確保
- データの完全性
- 処理システムおよびサービスの可用性とレジリエンス
セキュリティに関するアドバイス
Auth0 では、エンドユーザーのデータを保護し、データ侵害の可能性を最小限に抑えるため、次の対策を推奨しています。- とキーを保護する
- Management Dashboard の資格情報を保護し、Dashboard へのアクセスには を必須にする
- Dashboard の管理者一覧を定期的に確認し、不要になった項目を削除する
- Auth0 テナントに関連付けられている接続とアプリケーションの一覧を確認し、不要になった項目を削除する
- Dashboard 管理者には、必要に応じて容易に取り消せる会社の資格情報を使用させ、個人のメールアカウントなどの個人用資格情報は使用させない
- 退職した従業員のアカウントは速やかに削除する
- 管理者が画面ロックを必須とするデバイスを使用していることを確認する
- すべての Dashboard 管理者と開発者に対して、セキュリティとプライバシーのベストプラクティスに関する定期的なトレーニングを実施する