最終更新日：2022年9月2日

Stripe プライバシーセンターにようこそ

Stripe は当社のプラットフォームに関与しているすべての人々のプライバシーを尊 重し、当社のプライバシープロセスおよびポリシーについて透明性を確保するよう尽力しています。Stripe は何百万もの企業に可能性をもたらすプラットフォームであり、 当社のサービスをビジネスユーザーとエンドユーザーに提供するために個人データの収集と処理を行います。

Stripe プライバシーセンターには、当社が個人データを収集および使用する方法、Stripe が保有する個人データに関して各個人が持つ権利、および Stripe がどのように国際データ保護法に準拠しているかに関するよくある質問への回答が掲載されています。

すべての資料は、一般的な情報提供のみを目的として用意されています。提示されている情報は、法的なアドバイスではなく、行動の基準となるものではありません。また、最新ではない場合があり、予告なく変更されることがあります。

Stripe のプライバシーポリシーは 2022 年 2 月 3 日付で改訂されました。

Stripe はこの度、Stripe の利用時の操作性を向上し、確実にプライバシーポリシーで当社がデータを収集し使用する方法を明確に説明するために、プライバシーポリシーを改訂いたしました。主な変更点の概要は以下のとおりです。

• 読みやすさを向上させるための全般的改訂: このポリシー[訳注: Policy。「プライバシーポリシー（Privacy Policyの訳語です。）」）と「ポリシー」が混在している状態です。]が皆様にどのように適用されるかを分かりやすくすることをはじめ、ポリシーの参照時に必要な情報が容易に見つかるよう、ポリシーの構成とレイアウトを変更いたしました。
• 製品に関する追加情報: 当社が製品の機能の提供、およびサービスの有効性の向上にデータをどのように使用しているかについて、より詳しく説明しています。

詳細については、こちらから最新のプライバシーポリシーをお読みいただくことをお勧めします。

以下は、読者の皆様がプライバシーセンターをご覧になる際に役立つ用語のリス トです。

目次

1. Stripe が個人データを収集、開示および使用する方法

1a. Stripe はデータ管理者またはデータ処理者として行為しますか？

双方として行為します。

「データ管理者」は、実行されているデータ処理の目的と手段を決定する事業体です。「データ処理者」は、個人データの処理において管理者の指示に従い、管理者の代わりに行為する事業体です。

実行される処理の目的と手段を Stripe が決定する場合は、Stripe がデータ管理者になります。これらのデータ処理活動には、(1) Stripe の製品およびサービスの提供、(2) Stripe プラットフォームでの不正な決済取引その他の不正行為の監視、防止および検出、(3) Stripe が属する金融セクターに適用される法律上または規制上の義務の遵守、(4) Stripe の製品およびサービスの分析、開発および改善が含まれます。Stripe の管理者としての活動の詳細については、プライバシーセンターの記事をご覧ください。

ビジネスユーザーに代わり、その指示に基づいて決済取引を円滑に進める場合は、Stripe がデータ処理者になります。ビジネスユーザーは Stripe に対して、カード保有者/最終顧客から支払いを受けるように指示します。

支払いの処理を指示されている場合 (支払い先、支払い金額、支払い日についての指示を受けている場合)、Stripe は処理者とみなされます。

プラットフォームプロバイダーである Stripe は、プラットフォーム全体の一貫性を確保する必要があります。これには、プラットフォームの運用方法について提示しているコミットメントに関する一貫性が含まれます。Stripe は、この点に基づいて、世界最大規模の企業を含む Stripe のすべてのビジネスユーザーと契約を結んでいます。

1b. 関与する Stripe 法人

Stripe のサービスの大部分は、米国法に基づいて事業を営む米国の親会社である Stripe, Inc.およびアイルランド法に基づいて事業を運営するアイルランドの会社である Stripe Payments Europe, Limited (「SPEL」) のうちいずれか一方を、Stripe サービスに関連して収集および処理される個人データについて責任を負うデータ管理者として運営されます。

あなたのデータに対する責任を負う Stripe 法人は、あなたの所在地、利用する製品またはサービス、Stripe が[データ]管理者および/またはデータ処理者として行為するかによって異なります。

アメリカ大陸以外の地域 (欧州経済領域 (EEA)、スイス、イギリス、アジア太平洋地域 (APAC) に位置する国など) に所在されている場合は、SPEL がお客様の個人情報の処理に責任を負う主たる法人となります。Stripe が提供する決済処理サービスの一部は、認定を受けた決済サービスプロバイダーまたは電子マネー機関によってのみ提供できるサービスです。この場合、SPEL および Stripe の現地の規制対象法人 (現地規制当局から許認可を得ているか、登録された法人と定義されます。) は、あなたの個人データの共同管理者として行為します。

各法域においてあなたの管理者となる法人の詳細については、以下の表でご確認ください。

Stripe の関連会社は、Stripe が事業を展開している一部の国々において現地向けサポートサービスも提供しています。これらの法人は、法域に応じて、Stripe, Inc. または SPEL に代わってデータ処理者として行為します。Stripe の関連会社をまとめた最新のリストについては、こちらのページでご覧いただけます。

一部の製品については、Stripe が独立した管理者 (例: Stripe Capital)、データ処理者、またはその両方 (例: Stripe Identity) として行為することがあります。具体的な個々の製品の詳細については、プライバシーセンターの記事をご覧ください。

1c. Stripe のデータ管理者としての活動にはどのようなものがありますか？

• 利用する第三者 (銀行や決済手段の提供業者) の決定を含め、Stripe の製品およびサービスをビジネスユーザーおよびエンドユーザーに提供すること
• Stripe プラットフォームにおける不正な決済取引その他の不正行為を監視、防止、検出すること
• 適用されるマネーロンダリング防止スクリーニング、顧客確認義務の遵守など、Stripe が属する金融セクターに適用される法律上または規制上の義務に従うこと
• Stripe の製品とサービスを分析、開発、改善すること

1d. Stripe ユーザーにとって、またデータ管理者にとって、GDPR はどのような意味合いがあるのでしょうか？

さらに、ビジネスユーザーはデータ管理者として、データ主体 (お客様の最終顧客) との関係に対する責任を負います。データ管理者たるお客様は第三者 (Stripe など) にデータの処理を指示できますが、処理の目的 (または目標) と法的根拠を設定するのはお客様です。

GDPR は、データ管理者に対して一定の契約条件を遵守することに同意した第三者を利用することを要求しています。これを確実にするために、データ管理者たるお客様は、各第三者との間でデータ処理同意書 (「DPA」) を締結しておくことが求められます。Stripe の DPA は、お客様がこの目的を遂行するために設計されており、決済取引と強く連携されています。そのため、決済の観点から、お客様が GDPR に準拠することを可能にします。

1e. Stripe の復処理者は誰ですか？また復処理者はどのようにして審査されるのですか？

当社の最も一般的な復処理者、サービスプロバイダーおよび関連会社のリストが掲載された、Stripe のサービスプロバイダーページをご覧ください。Stripe は、ベンダー管理プログラムを通じて、復処理者を識別、評価および雇用しています。当社は、復処理者とデータを共有する前に、各復処理者と契約を締結します。各契約には、監視および監査を規定する条項が含まれています。さらに、すべての候補となるベンダーは、Stripe がそのサービスを利用開始する前に、当社のセキュリティーレビュープロセスを通じて審査され、承認されています。

1f. Stripe は、不正防止やセキュリティー上の目的で使用される情報をどこで収集するのですか？

不正使用を防止しセキュリティーを強化するために、Stripe はビジネスユーザー、最終顧客、エンドユーザー、金融パートナー[訳注：financial party。financial partnerの誤植として理解しています。]から、また状況によっては第三者からも情報を収集する場合があります。たとえば、当社は、不正行為者やボットを特定することができる情報(取引データ (金額、顧客の配送先住所、日付など) と高度な不正検出シグナル (デバイスやアクティビティのシグナル) の両方を含みます。)を収集し、分析しています。もっと知る。

また、Stripe は、第三者から情報を受け、セキュリティーインシデントの防止と対応、およびその他の不正行為からの保護に使用します。たとえば、当社は、悪意のある行為者によりセキュリティーが侵害された IP アドレスに関する情報を第三者から受け取ることができます。

1g. Stripe はアカウントに関する追加情報を、第三者や同じアカウント保有者の他の Stripe アカウントから収集したりしていると聞きました。Stripe がそのようにして情報を収集している理由を教えてください。

Stripe は、Stripe とその金融パートナーが不正使用を検出したり、金融コンプライアンス要件を満たしたりすることができるように、あなたのアカウントに関する追加情報を収集することがあります。これらの要件は、当社の金融パートナーまたは規制上の義務から生じており、金融システムの悪用を防止することを目的としています。不足しているデータフィールドの例には、あなたの住所、電話番号、社会保障番号、生年月日、雇用主番号、Web サイトの URL などが含まれます。Stripe は、あなたの他の Stripe アカウントのうち1つから収集したデータを活用することで、または第三者からデータを取得することで、この情報の一部を補うことができる場合があります。Stripe が、ビジネスユーザーのアカウントに関連付けている情報は、お使いのダッシュボードに表示されます。ビジネスユーザーは、ダッシュボードを介して、その情報を更新または修正できます。詳細については、Stripe のプライバシーポリシーをご覧ください。

1h. CCPA に従い、Stripe が私の個人情報を販売することはありますか？

Stripe は個人情報を販売しておりません。そのため当社では、16 歳未満の未成年者の個人情報を当社が販売しているといったことを事実として把握しておりません。カリフォルニア州にお住まいの場合、カリフォルニア州消費者プライバシー法 (「CCPA」) では、個人情報の「販売」には、それを金銭または価値ある対価と引き換えに第三者に提供することが含まれると定義されています。カリフォルニア州民法典第 1798.140 条 (t) 項 (1) 号をご覧ください。

「Shine the Light」法 (カリフォルニア州民法典第 1798.83 条) の適用上、Stripe は、カリフォルニア州に居住する顧客の個人データを、同法が定義するところのダイレクトマーケティング目的で第三者と共有することはありません。

以下の表は、Stripe が事業上の目的により収集および開示する、カリフォルニア州の消費者に関する個人情報の種類を示しています。

1i. Stripe は、復処理者以外に、どのような第三者と情報を共有しますか？

Stripe が、ビジネスユーザーおよびエンドユーザーの個人データのデータ処理者としての資格においてサービスプロバイダーと連携する場合は、GDPR に従い、第三者たる当該サービスプロバイダーは復処理者と呼ばれます。復処理者とは、Stripe に代わって個人データへのアクセスもしくは個人データの処理を行う (または行う可能性がある) サービスプロバイダーです。当該第三者は、Stripe の Stripe サービスプロバイダーリストで公開されています。

Stripe の復処理者以外にも、当社は、Stripe のビジネスユーザーへのサービスの提供に必要であれば、第三者のビジネスパートナーともビジネスユーザーのユーザー登録データと決済手段の情報を共有することがあります。たとえば、上記の情報共有は、ビジネスユーザーに決済処理サービスを提供する、または決済処理を円滑に進めることを目的として行われます。

この目的のために Stripe が個人データを開示し得る第三者は、銀行、決済手段提供業者兼決済代行業者であり、以下の事業体を含みますが、これらに限定されるものではありません。

• American Express Payment Services Limited および American Express Payments Europe S.L.
• Banking Circle S.A.
• Barclays Bank PLC
• Credit Mutuel Arkea および Arkea Banking Services
• Currence iDEAL B.V.
• Klarna AB
• Mastercard Europe S.A.
• Polski Standard Płatności
• PPRO Financial Ltd.
• Swisscard AECS GmbH
• Visa Europe Limited

決済手段提供業者との間で共有されるデータは、ビジネスユーザーのアカウントで有効化されている決済手段に応じて異なります。

また、Stripe は、特にStripe のサービス、Stripe、当社のユーザーまたは他者の権利、プライバシー、安全およびその他の財産の保護のために必要と判断した場合にも、個人データを共有します。たとえば、Stripe は、サービス保護のために、悪意のある行為者によりセキュリティーが侵害された IP アドレスに関する情報の受領や開示を行う場合があります。

提供

Stripe は、契約上の義務の履行、または個人データの処理のために厳密に必要であるとみなした場合、個人データを関連会社やサービスプロバイダー、または復処理者に提供します。有効化されている決済手段に応じて、それぞれの決済手段の法域にデータが移転される場合があります。当社は、第三者に委任する前に、ベンダーセキュリティー評価を含むデューデリジェンスを実施しています。当社のすべてのサービスプロバイダーは、自らが、Stripe のユーザーへの誓約事項および適用されるデータ保護法に従い、Stripe にサービスを提供する目的でのみ個人データを処理させることを目的とする契約条件の対象となります。また、Stripe は、Stripe が採用している、セキュリティー管理とセキュリティー制御に対応したセキュリティープログラムを保持および実施しており、これには第三者のリスク管理も含まれます。さらに、Stripe の従業員、代理人、委託先は、Stripe のポリシーに従いデータセキュリティーおよびプライバシーについて自身が負う責任について確認しています。

1j. 最終顧客とその取引に関して Radar で使用されるのはどのデータですか？また、Stripe が Radar のビジネスユーザーと共有するのはどのデータですか？

決済処理の際、正当な取引を実現すると同時に、不正取引の防止を図り、関係者全員のためにオンライン購入の安全性を高めることは、Stripe、ビジネスユーザーおよび最終顧客にとって大切です。Radar は、機械学習その他の技法により、Stripe のビジネスユーザー (加盟店) が行う取引に不正取引の可能性があれば検出することができます。そのために、Radar は 当社 のサービス全体で収集されたデータを活用しています。

ビジネスユーザーは Radar を使用して、Stripe が算出した取引の「スコア」や取引の「レベル」を活用し、取引が正当なものである可能性の評価に基づき、取引を許可またはブロックしたり、追加審査を求めるフラグを立てる、ビジネスユーザーが決定したルールを導入することができます。ビジネスユーザーは、取引における不正使用の可能性を判断する複数の情報の 1 つとして Radar を使用できます。

Radar では、決済取引データ、高度な不正使用検出のデータ、IP アドレス、実際の住所情報などの、さまざまなソースから最終顧客に関して収集されたデータが使用されます。Radar ではこのようなデータを使用して、最終顧客が取引に対して提供した決済手段がその取引について実際に認められているものであるかの可能性を検証します。

Stripe は、不正使用の検出に関連する一定の情報をビジネスユーザーと共有する場合があります。このような情報には以下が含まれます。

• 取引が不正なチャージバックとなる可能性を評価する、取引のスコアまたはレベル
• その取引に伴うリスクに関するインサイト
• 最終顧客がビジネスユーザーに対して行う関連する支払い
• その最終顧客によるそのビジネスユーザーとの取引に関連するその他の取引データ (カード保有者の氏名、カード情報、支払いの金額および日付など)
• そのビジネスユーザーとの取引に使用されたデバイスのデバイス情報およびブラウザー情報
• 集計したベンチマーク

Stripe のプライバシーポリシーに記載されているとおり、Stripe は個人データを販売することはありません。

1k. ビジネスユーザーは、最終顧客に Stripe に関してどのような通知を行うのですか？

Stripe の契約条件に基づき、ビジネスユーザーには、Stripe が Stripe サービスの一環として個人データを合法的に収集、使用、保持および開示することができるように、必要なすべての通知を行うとともに、必要なすべての権利と同意をその最終顧客から取得することが求められます。ビジネスユーザーは、データ管理者として、そのプライバシー通知および クッキーバナーの内容について責任を負います。(このような開示事項をまだ組み込んでいない場合、)一例として、プライバシー通知への追加をご検討いただける文言を以下に記載します。

当社では、決済、分析その他のビジネスサービスのために Stripe を使用しています。Stripe は、そのサービスに接続するデバイスに関する識別情報を含む個人データを収集し、処理します。Stripe は、当社に提供するサービスの運営および向上のために（不正使用の検出および防止の目的を含みます。）当該の情報を使用しています。Stripe とその処理業務の詳細については、プライバシーポリシーhttps://stripe.com/privacy でご確認いただけます。

上記の開示事項はあくまで例示目的で記載したものであり、法的助言ではないことにご留意ください。適用法に従って義務を遵守する方法を理解するには、あなたの法務アドバイザーにご相談ください。

透明性に関する義務を果たすため、Stripe はクッキーポリシーに当社におけるクッキーの使用方法の説明を掲載するとともに、クッキー設定ダッシュボードに当社のクッキーのリストを表示しています。Stripe は、ビジネスユーザーに対し、各自のウェブサイトに配置されているクッキーを確認し、適宜クッキーに関するバナーを更新するよう注意を促しています。

2. Stripe が依拠する法的根拠の表

2a. Stripe がデータ管理者として個人データを処理するために依拠している法的根拠は何ですか？

当社は、あなたの個人データを使用できるようにするために、いくつかの法的根拠に依拠しています。言い換えると、Stripe は、ビジネスユーザーおよびエンドユーザーとの取引関係を円滑にするため、金融規制その他当社が負う法的義務を遵守するため、ならびに当社の正当な事業上の利益を追求するために、個人データを使用しています。また、取引を完了させるため、および当社のビジネスユーザーに決済関連サービスを提供するためにも、個人データを使用しています。

以下の表は、当社が個人データを使用する理由と方法を詳しくまとめたものです。

GDPRの目的に従い、当社は個人データの処理を可能にするいくつかの法的根拠に依拠しています。

2b. エンドユーザー

あなたがエンドユーザーサービスを直接利用する場合 (たとえば、Link に登録する場合や、個人としての資格で Stripe Climate に支払いを行う場合など)、あなたの個人的な利用であることから、当社はあなたを「エンドユーザー」と呼びます。

2c. 最終顧客

あなたが、ビジネスユーザー (通常、Stripe Checkoutを使用する加盟店。たとえば、決済処理に Stripe を使用する加盟店からあなたが靴を購入する場合のその加盟店など) と商取引などの売買取引を行ったときに、その購入が Stripe との直接取引ではない場合、当社はあなたを「最終顧客」と呼びます。

2d. 代表者

あなたが、既存または潜在的なビジネスユーザーを代表して行為する場合(たとえば、会社の創立者である場合や、ビジネスユーザーである加盟店のアカウントを管理している場合など)、当社はあなたを「代表者」と呼びます。

2e. 訪問者

あなたがStripe アカウントにログインせずに当社のサイトを訪問する場合やその他の形で Stripe と通信する場合、当社はあなたを「訪問者」と呼びます (たとえば、あなたがStripe 製品のユーザーとなることを検討しているため、詳細情報を求めるメッセージを Stripe に送信した場合など)。

3. データ処理同意書

3a. データ処理同意書 (DPA) とは何ですか。DPA を Stripe から入手するにはどうすればよいですか。。

データ処理同意書 (「DPA」) とは、データ管理者とデータ処理者との間の契約であり、個人データを処理する際の当事者の役割と責任を規定します。GDPR 第 28 条には、欧州のデータプライバシー法に準拠するために DPA が満たす必要のある多くの要件が定められています。当社ではビジネスユーザーを対象とした DPA をご提供しています。詳細については、お問い合わせいただくか、担当アカウントマネージャーにお問い合わせください。

4. Stripe 製品に関する情報

4a. Stripe ではどのようにプライバシーバイデザインを導入していますか？

プライバシーバイデザインは、プライバシーとデータ保護の原則の遵守を促進するために、情報および通信システムならびにテクノロジーの設計仕様とアーキテクチャーで、プライバシーとデータの保護をあらかじめ実装しておくことを目的としています。当社では、あらゆる新製品の発売において、社内のプライバシーチームとレビュープロセスによりこれを実現しています。Stripe はエンジニアリングから製品管理まで、製品開発のあらゆる段階で、プライバシーを特に考慮して取り組んでいます。これによって、人々が日々活用する Stripe 製品を確実に信頼できるようにしています。

4b. Stripe Identity

最終顧客

Stripe Identity を使用して本人確認を求められた場合、または本人確認を行った場合は、こちら とこちらのサポート Web ページで、Stripe Identity に関して当社が行っているプライバシー保護の取り組みの詳細についてご確認ください。その他、以下のリンクが設定された個々のトピックにジャンプすることもできます。

• Stripe Identity について
• 生体認証
• 本人確認情報の使用への同意
• 本人確認データのセキュリティー
• 収集される情報の種類
• 本人確認データの保持
• 本人確認データの管理と処理における Stripe の役割
• 提供した本人確認データの削除方法

認証を依頼したビジネスユーザー

Stripe Identity を使用している、または使用する予定のビジネスユーザーは、自社のユーザーに伝えることのできる事項に関する追加ガイダンスについてはこちらのサポート Web ページを、また、自社のビジネスにおけるプライバシー上の考慮事項に関する追加ガイダンスについてはこちら のサポート Web ページをご覧ください。

4c. Stripe のカード画像認証

加盟店 (Stripe のビジネスユーザー) から、リクエストした取引を完了する前にクレジットカードをスキャンするよう求められた場合は、こちらのサポート Web ページで Stripe のカード画像認証の詳細についてご確認ください。

4d. Stripe Connect の概要

説明

Stripe Connect は、お客様による Stripe サービス (決済処理を含みます。) の利用、および／または支払いの受け付けを可能にするために、第三者プラットフォームプロバイダー (プラットフォーム) が使用できる決済ソフトウェアです。

データ管理者/データ処理者

Stripe は、プラットフォームのデータ管理者とデータ処理者の両方の役割を担います。ヨーロッパで処理されるデータのデータ管理者/データ処理者の役割を果たす Stripe の法人は、Stripe Payments Europe Limited(「SPEL」) です。

個人データ

Stripe に送信される個人データには、通常、姓、名、住所、ID 番号、メールアドレス、IP アドレス、電話番号および決済処理に必要なその他のデータが含まれます。

目的

データの送信は、決済処理、元帳管理および不正防止を目的としています。ビジネスユーザー/プラットフォームが個人データを Stripe に転送します。Stripe とビジネスユーザー/プラットフォーム間でやり取りされる個人データは、認証機関に送信される場合があり、ビジネスユーザーのデータはプラットフォームと共有される場合があります。この送信は、プラットフォームが元帳を管理し、Stripe が本人確認とリスクの調査を実施できるようにすることを目的としています。

提供

Stripe は、契約上の義務を履行したり、データを処理したりするために必要と考えられる場合、個人データを関連会社およびサービスプロバイダまたは復処理者に提供します。

プライバシーポリシー

詳細については、Stripe の適用可能なプライバシーポリシーをご覧ください。

4e. Custom の連結アカウントを使用しているユーザーです。Stripe は、Custom の連結アカウントに関する情報を第三者からも収集しますか？

Custom の連結アカウントを使用しているユーザーの場合、Stripe は、不正使用を検出し、金融面のコンプライアンス要件を満たすために、お客様のアカウントに関する追加情報を収集することがあります。追加情報に関するこれらの要件は、規制当局または金融パートナーにより要求されており、金融システムの悪用を防ぐことを目的としています。不足しているデータフィールドの例には、住所、電話番号、社会保障番号、誕生日、雇用主番号、Web サイトの URL などが含まれます。Stripe は、お客様の Stripe アカウントのいずれかからすでに収集したデータを利用する場合もあれば、第三者からデータを取得することで、この情報の一部を埋める場合もあります。当社がお客様のアカウントに関連付けている情報は表示できます。さらに、お客様の Stripe 決済アカウントを作成したプラットフォームまたは会社に連絡して、その情報を更新または修正できます。詳細については、Stripe のプライバシーポリシーをご覧ください。

4f. Custom アカウントを有する Connect プラットフォームは、ユーザーそれぞれがアカウントに関連付けられた情報を更新または修正できるようにするために、どのような責任を負いますか？

プラットフォームは、Custom アカウントとのすべてのやり取り、および Custom アカウント所有者を認証するために必要なすべての情報の収集について責任を負います。Custom アカウント所有者は Stripe にログインできないため、ユーザーダッシュボードおよび通信チャネルを構築することはプラットフォームに委ねられています。プラットフォームは、Stripe Custom アカウント情報を更新または修正するためのユーザーによる要求に対応する責任を担っています。

4g. Custom の連結アカウントを使用しているユーザーです。第三者から収集されたデータは、顧客に表示されますか？

カードネットワークとカード発行会社は、明細書表記を使用して、カード保有者の銀行明細書で決済を特定します。明細書表記には、通常、販売者の名前や電話番号などの決済に関する情報が含まれます。ただし、正確にどの情報が表示されるかは、最終的に、カード保有者の銀行によって決まります。Stripe がお客様のアカウントの職場の住所、電話番号またはメールアドレスを更新した場合、これらのフィールドは、カード保有者の銀行明細書内の明細書表記に表示される場合があります。ただし、正確にどの情報が表示されるかは、最終的に、カードネットワークまたはカード保有者の銀行によって決まります。情報が間違っている場合は、請求の窓口となるプラットフォームに連絡して、必ず、自身とそのビジネスに関する最も正確な情報を提供してください。

4h. Stripe ACS、取引認証、行動的生体認証とは何ですか？

Stripe ACS とは

Stripe ACS は、Stripe がカード発行会社 (銀行など) 向けに提供している取引認証ソリューションです。Stripe ACS は、カード保有者がカードを使用してオンライン決済する場合に、カード発行会社がカード保有者の取引を認証できるように支援します。

4i. プロモーションメールの機能

ビジネスユーザーの最終顧客および潜在的な最終顧客の場合

プロモーションメールは、

「Stripe Checkout」サービスを利用するビジネスユーザー向けの新しいツールの 1 つで、プロモーションコンテンツを顧客や潜在的な顧客にメールを送信できるようにします。ビジネスユーザーの (Stripe Checkout サービスを利用している) チェックアウトページにアクセスすると、プロモーションメール機能により、Stripe はその加盟店から、プロモーションメールを受信するためのあなたの設定に関する情報を収集することができます。

プロモーションメールに関する設定は、購入を完了したか、または潜在的な最終顧客にすぎないのかどうかにかかわらず収集されます。「潜在的な最終顧客」とは、あるビジネスユーザーのサイトを訪問し、そのビジネスユーザーのチェックアウトページで購入を開始することによって購入意思を示したものの、そのセッション中にその購入を完了しなかった顧客を指します。プロモーションメール機能における「潜在的な最終顧客」となるには、チェックアウトフォームへの顧客連絡先情報の入力を開始したら、セッションの終了前にその情報を削除しないようにする必要があります。

潜在的な最終顧客が、ビジネスユーザーのチェックアウトフォームのオプトイン/オプトアウト用チェックボックスを使用して、ニュースやパーソナライズされたオファーの配信を許可することを示した場合、そのビジネスユーザーが、チェックアウトフォームで未入力の項目について知らせるため、あるいはニュースやパーソナライズされたオファーを提供するために連絡できるように、以下の個人データがそのビジネスユーザーに提供されます。

• メールアドレス (提供された場合)
• その加盟店でのカートに入っている商品 (存在する場合)

「パーソナライズされたオファー」とは、カート内の商品や (場合によっては) そのビジネスユーザーでの購入履歴に基づくクーポンや広告など、顧客に応じて調整されたプロモーション用またはマーケティングマテリアルを指します。ビジネスユーザーによるパーソナライズされたオファーを顧客が拒否した場合でも、そのビジネスユーザーと取引を行う限り、ビジネスユーザーは、購入を可能にするため (配送や請求などの目的で)、またはカスタマーサポートとの関連で、以降も連絡する必要が生じることがあります。詳細については、ビジネスユーザーのプライバシーポリシーをご確認ください。

個人データの処理における Stripe の役割 (データ処理者/管理者) はどのようなものですか？

プロモーションメール機能に関して、Stripe はデータ処理者またはサービスプロバイダーとしての役割を果たします。このため、Stripe は、Stripe が提供するこの機能を実装したビジネスユーザーの指示に基づいて行動することになります。個人データのデータ処理者としての役割を担う Stripe 法人は、以下のとおりです。

• 米国の場合は Stripe Inc.
• 米国以外はヨーロッパを含み Stripe Payments Europe Limited

Stripe はどのような個人データを収集していますか？

Stripe のプライバシーポリシーには、Stripe が決済取引に関連して収集する個人データについて詳しい説明があります。

Stripe は、利用するビジネスユーザーとの間でどのような個人データを共有するのですか？

あなたが、Stripe サービスを利用するビジネスユーザーの Web サイトで取引を完了した場合は常に、Stripe はそのビジネスユーザーに対するサービスプロバイダーとして、連絡先情報をそのビジネスユーザーと共有することになります。ビジネスユーザーは、あなたの購入関連情報など、Stripe が提供する情報を自社独自のプライバシーポリシーに従って使用します。プロモーションメール機能の使用については、以下のようになります。

プロモーションメール機能の使用については、以下のようになります。

• あなたがビジネスユーザーとの間で購入を完了した場合、Stripe のプライバシーポリシーで特定している取引関連情報 (連絡先情報、請求先情報、取引の詳細など) 以外に、Stripe は、あなたのチェックアウトフォームのオプトイン/オプトアウトのチェックボックスで指定された、パーソナライズされたオファーおよびニュースに関する設定も、そのビジネスユーザーと共有します。
• あなたが潜在的な最終顧客の場合 (ビジネスユーザーのチェックアウトフォーム上で購入を開始したが、その購入を完了しなかった場合)、Stripe がそのビジネスユーザーと共有する個人データは、以下に応じて異なります。
  • ビジネスユーザーのチェックアウトフォームに個人データが入力されていない場合、Stripe とビジネスユーザーと個人データを共有することはありません。
  • ビジネスユーザーのチェックアウトフォームに個人データが入力された場合は、以下のようになります。
    • ビジネスユーザーのチェックアウトセッションを離れる際に、ニュースやパーソナライズされたオファーを受け取るためのチェックボックスが選択されていない場合、当社はその個人データを一切共有しません。
    • ビジネスユーザーのチェックアウトセッションを離れる際に、ニュースやパーソナライズされたオファーを受け取るためのチェックボックスが選択されている場合、当社は以下の情報をそのビジネスユーザーと共有します。
      • メールアドレス (提供された場合)
      • その加盟店でのカートに入っている商品 (存在する場合)

最終顧客および潜在的な最終顧客は、アクセスし、取引を行うビジネスユーザーのプライバシーポリシーや通知を必ず確認して、そのビジネスユーザーのデータ収集方法およびこの Stripe 機能外の目的に関する情報を得ておく必要があります。

Stripe は個人データを他のビジネスユーザーと共有しますか？

いいえ。Stripe は、あるビジネスユーザーのチェックアウトからの購入 (または購入の試行) に関連して収集した個人データを、他のビジネスユーザーと共有いたしません。当社における取り使い方法の詳細については、プライバシーポリシーをご覧ください。

加盟店からプロモーションメールが送られてこないようにする方法を教えてください。

ビジネスユーザーがプロモーションメール機能を使用した結果、あなたに届くオファーやプロモーションメールはすべて、そのビジネスユーザー (または、そのメッセージ内で特定される他の者) が送信するものであり、Stripe が送信するものではありません。こうしたメールの受け取りが有意義と思われない場合は、そのメッセージの送信元であるビジネスユーザーにご連絡ください。Stripe は、プロモーションメール機能の実装を選択したビジネスユーザーに対し、以降のプロモーションメッセージの配信を停止させる、またはオプトアウトする選択肢も提供するよう要求しています。ビジネスユーザーがオプトアウト要求に速やかに応じないことは、Stripe の利用規約への違反となります。

データの収集と転送の仕組みを教えてください。

プロモーションメール機能はクッキーを使用するものではなく、あなたをビジネスユーザー間で追跡することもありません。ビジネスユーザーの決済チェックアウトページで収集された情報は、API コールまたは Webhook を介してのみビジネスユーザーに転送されます。Webhook は、Stripe がビジネスユーザーの要求に応じて自動的に情報をそのビジネスユーザーに送信するための方法です。チェックアウトで提供された情報は、転送中、HTTPS および TLS を使用して暗号化されます。詳細については、Stripe のセキュリティーをご覧ください。

この機能に関連する個人データの販売を停止させる方法を教えてください。

Stripe はあなたの個人データを販売しておりません。詳細については、当社のプライバシーポリシーをご覧ください。プロモーションメール機能は、個人データを販売するものではありません。そうではなく、Stripe はプロモーションメール機能において、ビジネスユーザーに対する処理者 (またはサービスプロバイダー) としての役割を果たします。ビジネスユーザーにおける個人データの取り扱い方法について、ならびに、適用法および/またはそのビジネスユーザーのプライバシーポリシーに基づいて提供される個人データの販売や処理を停止させる権利を行使する方法については、そのビジネスユーザーにお問い合わせください。

Stripe は、プロモーションメール機能の実装を選択したビジネスユーザーに対し、以降のプロモーションメッセージの配信を停止させる、またはオプトアウトする選択肢も提供するよう要求しています。ビジネスユーザーがオプトアウト要求に速やかに応じないことは、Stripe の利用規約への違反となります。

ビジネスユーザーの場合

このサービスをビジネスユーザーが利用する方法

Stripe のプロモーションメール機能を使用中または使用予定のビジネスの場合は、サポート Web ページで、ビジネスでのプロモーションメール機能に関連するプライバシー上の考慮事項について、最終顧客および潜在的最終顧客と共有する情報に関するヒントおよびガイダンスをご確認ください。

4j. Stripe Delegated Authentication

カード保有者

デバイス上の生体認証を有効にするオプションや、同じカードを将来の取引に使用できるように Stripe があなたの決済手段の詳細を保存することに同意するオプションが提示される場合があります。Stripe Delegated Authentication に関して当社が行っているプライバシー保護の取り組みの詳細については、当社のサポートサイトをご覧ください。また、以下に示す個々のトピックにジャンプすることもできます。

• カード保有者が決済の認証を求められたときに Stripe が表示されるのはなぜですか？
• Stripe Delegated Authentication とは何ですか？
• Stripe Delegated Authentication では、どのように個人データが使用されるのですか？
• カード保有者が決済手段の詳細の保存への同意および同意の撤回を行う方法を教えてください。

4k. Link

Stripe は、ビジネスユーザーである特定の加盟店で顧客が決済手段を便利に使用することができるように、決済手段を当社に保存する機会を提供しています。これを「Link」 (旧称「Remember Me」) と呼んでいます。あなたは、Link の使用を選択した場合、Link を使用して当社の決済処理ビジネスサービスのビジネスユーザーとの間で購入をより円滑に行うことができるように、決済手段 (氏名、カード番号、セキュリティーコード、有効期限など) を Stripe が保存できるようにすることに同意するものとします。Stripe は、請求先住所、配送先住所、メールアドレス、電話番号を含む、その他の取引データも収集します。あなたの決済手段のデータは、PCI-DSS 基準で保護されます。

Link を使用していないお客様が、認証フローの段階で不正確な番号を入力していたために誤って SMS を受け取った場合、こちらからオプトアウトしていただければ、あなたの個人情報は削除されます。

4l. Stripe Capital

Stripe Capital は、ビジネスユーザーに迅速で柔軟な融資を提供し、これを利用して企業はキャッシュフローを管理し、成長に向けて投資することができます。ビジネス企業の組織構造に応じて、利用資格のあるビジネスユーザーは、ローンと加盟店向け貸付金 (「MCA」) の 2 つの Stripe Capital 商品のいずれかを申し込むことができます。

Stripe が Stripe Capital に関して処理するのはどのような情報ですか？

Stripe は、Stripe アカウントに関連付けられた既存のデータを使用して、あなたのビジネスに Stripe Capital のご利用資格があるかどうかを評価します。ローンまたは MCA のオファーの前に、ご利用資格を判断するため、以下の情報などが考慮されます。

• 決済処理額
• 決済処理額の伸び
• チャージバック率
• 顧客ベース
• Stripe との関係の期間

ビジネスユーザーが特定の条件を満たしていると確認された場合は、当該ビジネスユーザーに、そのビジネスがローンのご利用対象の候補であることをお知らせするメールとダッシュボード通知を送信します。

お客様がローンのオファーを受け、ローンを受けるための申込書をご提出いただき次第、当社はこの上掲の情報を使用して、お客様のビジネスのご利用資格を自動処理によって検証し、お客様の申請が承認された場合にはお客様へのローンまたは MCA の払込を実行します。

情報使用の法的根拠

当社はあなたのデータを、その使用が当社の正当なビジネス上の利益に従うものである場合に使用します。ビジネスユーザーの情報を自動的に分析することは、当社の正当な利益のために当社のビジネスを管理する上で役立ちます。これにより、当社は以下のことを実行できるようになります。

• 不正使用の監視、防止、検出の義務、AML (マネーロンダリング防止) や KYC (顧客確認) 義務などの違法および不正な活動の特定および報告に関連する適用法、財務情報の報告義務を遵守するために、ビジネスユーザーの本人確認を行うこと。
• ビジネスユーザーへのローンまたは MCA のオファーに関連する、当社およびビジネスユーザーに対する財務リスクのレベルを評価すること。
• 学習モデルを強化して、それぞれのお客様およびビジネスユーザーに合ったより適切なローンまたは MCA のオファーを行うとともに、リスクを低減できるようにすること。

また、当社は、締結されたローン契約に必要な場合、または、あなたが当社とローン契約を締結することができるように資金提供を受けるための申請が提出されたことを理由として、あなたのデータを処理します。

同意要件を含み適用法に従うことを条件にして、Stripe Capital のオファーについてお知らせするマーケティングメールをあなたに送信する場合があります。

Stripe が情報を共有する共有先を教えてください。

Stripe は、Stripe Capital のために収集した英国のビジネスユーザーに関連する個人データを共有いたしません。将来は、あなたのローン契約データを、あなたのローンまたは MCA の返済を受ける権利を購入した第三者と共有する可能性があります。

Stripe はどのような役割を担うのか教えてください。

Stripe, Inc. または Stripe の全額出資子会社は、あなたのデータの管理者となります。

イギリスに所在するビジネスユーザーの場合、そのデータの共同管理者は Stripe Payments Europe, Limited. (「SPEL」) と Stripe Capital Europe Limited, Ltd. (「SCEL」) となります。ローン契約に基づいて提供されるローン、MCA は、SCEL から提供されます。

自分の権利を行使するにはどうすればよいですか？

あなたの所在地に応じて、また適用法に従うことを条件に、あなたは、Stripe が自動化された意思決定による処理を用いることに異議を申し立てる権利を保持することができます。Stripe Capital に関連するデータについて、適用されるプライバシー法に基づく権利の行使を希望される場合は、こちらまで連絡ください。

4m. Linked Financial Accounts

最終顧客が、Stripe を使用して金融アカウントを関連付けるよう求められた場合は、こちらのサポート Web ページにアクセスし、プライバシー保護の取り組みの詳細についてご確認ください。以下のリンクが設定された個々のトピックにジャンプすることもできます。

• 金融アカウントの関連付けと同意
• 関連付けられた口座から収集、保存、共有されるデータ
• 関連付けられた口座から Stripe がデータにアクセスする方法
• Stripe と Stripe のサービスプロバイダーの関係
• データセキュリティー
• 誰が、どのような目的で、関連付けられた口座のデータにアクセスできるのですか？
• 誰がログイン認証情報を取得するのですか？
• 関連付けの解除やデータ消去の依頼
• 金融口座情報の修正

4n. Stripe 以外の取引履歴を Stripe が受け取ることはありますか？

はい。たとえば、Stripe では、ビジネスユーザーが Stripe ダッシュボードを介して Stripe 以外のデータをインポートし、収入データを 1 か所に集約することができます。もっと知る。また、別途、Stripe はあなたの同意を得てあなたの金融口座から口座取引情報を取得することもあります。もっと知る。

4o. 最終顧客の銀行口座への返金

最終顧客

加盟店 (当社のビジネスユーザー) に代わって返金処理を行うためとして銀行口座その他の情報の提供を求められた場合は、こちらのウェブページにアクセスして、最終顧客の銀行口座への返金に関して当社が行っているプライバシー保護の取り組みの詳細をご確認ください。

Stripe を使用して返金処理を行うビジネスユーザー

返金処理に Stripe を使用中または使用予定のビジネスユーザーは、こちらのウェブページにアクセスして、お客様のビジネスにおけるプライバシー上の考慮事項に関する追加情報をご覧ください。

4p. Stripe Frontier

Stripe Frontier とは

Frontier は、将来の需要を保証することにより炭素除去技術の開発促進を図るAdvance Market Commitment (AMC: 事前買い取り保証) です。Frontier は購入者の代理として、実現の可能性が高いと見込まれる炭素除去企業からの購入を促進します。詳細については、https://frontierclimate.com/ をご覧ください。

Stripe Frontier が収集するのはどのような情報ですか？

サポートチケット、メール、ソーシャルメディアなど、お客様が弊社に提供することを選択した手段を通じて情報が収集されます。Stripe からのメールやアンケート調査にご回答いただく際は、お客様のメールアドレス、氏名、およびメール本文または回答に記載されたその他の情報を収集いたします。電話で Stripe にご連絡いただいた場合は、その際の発信元の電話番号、その他通話中に提供された情報を収集いたします。また、お客様の Stripe イベントへのご登録、ご出席や、Stripe イベントの閲覧、その他 Stripe のスタッフとのやり取りといった、お客様のエンゲージメントデータも収集いたします。詳細については、弊社のプライバシーポリシーをご覧ください。

Stripe Frontier ではどのような法的根拠に基づいて情報が処理されるのですか？

お客様のデータの処理は、同意に基づいて行われます。お客様が自ら Stripe に連絡してご自身のデータを提供される場合、Stripe は、そのデータを弊社の正当なビジネス上の利益に基づいて処理します (例: お客様からの問い合わせへの回答に役立てる、カスタマーサポートを提供する、など)。お客様の許可を得た場合、または法律で認められている場合、弊社はお客様の個人データを、お客様に対するサービスの提供、弊社のイベントやアンケートへの参加のご案内、その他マーケティング目的でのご連絡のために使用します。ただし、同意要件やオプトアウト要件を含め、適用法に従って使用することを条件とします。

Stripe Frontier に関する私のデータが移転されることはありますか？

弊社は、グローバルに事業展開しています。個人データは、弊社が事業を行う国で保管および処理される場合があります。弊社はお客様の個人データを、お客様の居住国以外の国 (アメリカを含む) に移転する場合があります。当該の国には、お客様の国のデータ保護規則とは異なる規則が施行されている場合があります。データを国外に移転する場合、このような移転に関連して適用されるデータ保護法を遵守するための措置を講じます。状況によっては、弊社が、公的機関 (法執行機関やセキュリティ機関など) からの適法な要請に応じて、個人データを開示するよう求められる場合があります。詳細については、弊社のプライバシーポリシーをご覧ください。

Stripe Frontier のために収集された情報に関して、私にはどのような権利や選択肢がありますか？

お客様は、弊社による個人データの収集、使用および開示に関して、選択権を有する場合があります。今後、弊社からのマーケティング関連のメールの配信を希望されない場合は、メールに含まれる配信停止のリンクから、またはこちらの説明に従って、配信をオプトアウトすることができます。弊社は、お客様のご要望に合理的かつ可能な限り迅速に従うよう努めます。お客様の所在地によっては、また、適用法に従うことを条件に、弊社が管理する個人データに関して、こちらで説明されている次の権利を有する場合があります。

Stripe Frontier に関する私のデータが移転されることはありますか？

EEA およびイギリスの場合。お客様の権利を行使する場合は、弊社の DPO までご連絡ください。EEA の居住者である場合、または Stripe Payments Europe Limited がお客様のデータ管理者であると認められる場合、一般データ保護規則 (GDPR) の適用範囲内でお客様の情報が処理されたと考えられる場合は、質問や苦情をアイランド国データ保護員会 (Data Protection Commission) に直接ご連絡いただけます。お客様がイギリスの居住者である場合、質問や懸念についてはイギリスの個人情報保護監督機関 (Information Commissioner’s Office) に直接ご連絡いただけます。

カリフォルニア州の場合。カリフォルニア州に居住する消費者である場合は、弊社のプライバシーポリシーのカリフォルニア州消費者プライバシー法 (「CCPA」) に関するセクションをご覧ください。

管轄地域固有のその他の条項については、弊社のプライバシーポリシーをご覧ください。

Stripe Frontier やデータの処理に関してご不明点がある場合

ご不明点や苦情等ございましたら、こちらにお問い合わせください。

5. データ保護責任者

5a. Stripe にはデータ保護責任者 (DPO) がいますか？

はい。Stripe はデータ保護責任者 (「DPO」) を任命しており、メールで連絡を取ることができます。

6. 国外へのデータ移転

以下の詳細は、情報提供を目的に掲載されています。法的助言を提供するものではありません。ビジネスユーザーの皆様は、法務顧問にご相談いただき、ご自身に固有の状況に適用される要件を詳しく把握していただくよう強くお勧めします。

6a. Stripe は国外へのデータ移転をどのように取り扱っていますか？

2021 年 6 月 4 日、欧州委員会は、国境を越えたデータ移転に関する新たな標準契約条項 (「SCC」) を採択しました。SCC とは、EU 域内の個人データを EEA 外/英国国外に移転するための適法のメカニズムを規定するために Stripe が使用する、法的契約の形式による移転メカニズムです。SCC は、(GDPR と呼ばれる) EU のデータ保護法に従って要求されるものであり、当社の契約書に組み込まれています。

この最新の SCC は、EU 域内/EEA 内 (または GDPR が適用されるその他の地域) の管理者または処理者から、EU 域外/EEA 外に設立された (GDPR の適用を受けない) 管理者または処理者へのデータ移転を対象とし、従前のデータ保護指令 95/46 で採用された 3 組の SCC に代わるものです。

Stripe は、英国、EEA およびスイスの外部に移転される個人データの保護レベルを十分に確保するために、今後とも適切な保護およびコンプライアンス対策を講じていきます。Stripe 対策には、欧州委員会の改定後の SCC が含まれ、国外へのデータ移転に対応します。

Stripe は当社の製品およびサービスに関与しているすべての人々のプライバシーを尊重し、当社のプライバシープロセスおよびポリシーについて透明性を確保するよう尽力しています。

プライバシーとデータセキュリティーに関する Stripe のコミットメントの詳細については、当社のプライバシーポリシー、Stripe プライバシーセンターおよび Stripe セキュリティーセンターをご覧ください。

ビジネスユーザーのデータを不正アクセスから保護するために Stripe が講じている補完的な対策のいくつかを紹介します。

Stripe は、セキュリティー管理を採用するとともに、セキュリティーの管理に対処できるセキュリティープログラムを維持し適用しています。また、リスク評価を実施し、リスク識別、分析、監視、レポートおよび修正措置に関する制御機能を実装し維持しています。Stripe は、ハードウェアとソフトウェア資産を、それらのライフサイクル全体を通じて適切に分類および制御する資産管理プログラムを維持し適用しています。さらに、Stripe の従業員、代理人、委託先は、Stripe のポリシーに従いデータセキュリティーとプライバシーの責任を負うことに同意しています。

Stripe は、以下を含む、技術的および組織的な対策を採用しています。

• 物理的アクセス制御: 未承認のユーザーが、個人データが処理されている構内および施設内で使用可能なデータ処理システム (データベース、アプリケーションサーバ、関連ハードウェアを含む) へアクセスできないようにします。
• 仮想アクセス制御: データ処理システムが未承認のユーザーによって使用されないようにします。
• データアクセス制御: データ処理システムを使用する権限のあるユーザーが、そのアクセス権に従い、該当する個人データのみにアクセスできるようにし、認可なく個人データの読み取り、コピー、変更または削除ができないように保証します。
• 開示制御: 電子的伝送、転送またはストレージメディアへの保存 (手動または電子的) 中に、認可なく個人データを読み取り、コピー、変更または削除できないように確保するとともに、個人データがどの企業または法人に開示されているかを確実に確認できるようにします。
• 入力制御: データ処理システムで、データが入力、変更または除去 (削除) されたかどうか、また誰によってされたかを監査します。
• 可用性制御: 不慮の破壊または損失 (物理的または論理的) から個人データが保護されるようにします。
• 分離制御: 異なる目的で収集された個人データが、個別に処理できるようにします。

デフォルトでは、Stripe はデータの保存時および送信時には、データを暗号化します。さらに、当社の「Payments」ページの「中核となるセキュリティーとコンプライアンス」セクションに記載されているとおり、監査ログ、アクセス管理ポリシー、証明書などのツールを使用してあなたのデータを保護しています。Stripe で実装されているセキュリティー制御には、データ送信中のエンドポイントの TLS 1.2 構成、HTTPS 対応の TLS および/または SSL 暗号化、インフラストラクチャコンポーネントの定期的なテストが含まれます。ダッシュボードログイン時のセキュリティーレベルをさらに強化するために 2 段階認証を使用できます。

当社はデータ移転のメカニズムとしてプライバシーシールドに依存しなくなりました。欧州-米国間プライバシーシールドとスイス-米国間プライバシーシールドが、2020 年 7 月 16 日に欧州司法裁判所で下された Schrems II 裁定の結果、無効となったためです。プライバシーシールドフレームワークを通じて、引き続きビジネスユーザーにプライバシー保護を提供できるようにするため、当社は継続してその原則を遵守しています。

当社は法執行機関からデータへのアクセス要求を受け取った場合、各要求を精査し、正当な法的強制力のある要求に対して必要最小限の情報で対応することを目指します。当社は、当社のビジネスユーザーのデータを欧州と米国との間で引き続き自由にやり取りできるようにするために尽力しています。さらに、当社のビジネスユーザーのニーズが確実に満たされるよう、規制当局、業界グループ、および同様の状況にある企業と継続して連携していきます。

ご不明点がございましたら、こちらにお問い合わせください。

6b. 欧州委員会の新たな標準契約条項は、組織にどのような影響を与えるのでしょうか？

標準契約条項 (「SCC」) は、EEA 内の個人データを EEA 外に移転する当事者間で締結される法的契約です。現在、Stripe は、当社のサービスにおける EEA 内からのデータ移転について、既存の SCC に依拠しています。当社は (該当する場合に) 最新の SCC を組み込むために、合意書を改定しました。

6c. SCC のコピーを入手する方法を教えてください。

当社は、SCC のコピーなど、当社が実施している適切な保護対策について、ご要望に応じて詳しい情報をご提供いたします。

あなたがビジネスユーザーである場合は、EEA 外およびスイス国外への国際移転のために、2021 年に公布された最新の SCC (「2021 年版 SCC」) をご提供いたします。旧版 SCC は、英国からの個人データの移転に引き続き適用されます。当社は、規制要件および英国の個人情報保護監督機関 (Information Commissioner’s Office) からの指針の確認を引き続き行っていきます。旧版の SCC に署名されている場合、その SCC は 2022 年 12 月 27 日まで引き続き有効です。2021 年版 SCC への署名をご希望の場合はいつでもご連絡ください。

詳細については、こちらまでお問い合わせいただくか、担当アカウントマネージャーにお問い合わせください。

7. あなたの権利と選択肢

7a. データ保護の権利を行使するにはどうすればよいですか？

あなたの所在地に応じて、また、適用法に従い、あなたは以下の権利を有することができます。

• アクセス権
• 修正する権利
• データポータビリティーの権利
• 処理を制限する権利
• 処理に異議を申し立てる権利
• 同意を撤回する権利 (同意に基づいている場合)
• 消去/削除を求める権利
• Stripe からの電子通信の受信をオプトアウトする権利
• CCPA に基づく権利を行使しても差別を受けない権利
• 個人情報の販売をオプトアウトする権利 (CCPA の定義に従う)

個々の権利の詳細については、このセクションをお読みください。上記の権利の行使の請求の提出は、Stripe にメールで、規定のフォームを通じて、またはお問い合わせに記載されている住所にお送りください。

当社におけるプライバシー保護の取り組みにご不満のある方は、お住まいの地域のデータ保護管轄機関に苦情を申し立てる権利を有します。

自分のデータにアクセスする方法を教えてください。

ビジネスユーザーまたは代表者は、Stripe ダッシュボードにログインして、Stripe と共有している個人情報を閲覧することができます。

あなたがStripe サービスを利用するビジネスユーザーの最終顧客の場合、当該のビジネスユーザーが、あなたの取引情報に関連するデータ主体のアクセス要求に対応する適正な当事者になります。

あなたの所在地に応じて、また適用法に従ことを条件に、あなたには、Stripe があなたに関する個人データを処理しているかどうかの確認を要求し、処理している場合はその個人データのコピーを要求する権利が生じる場合があります。あなたがエンドユーザーである、またはこれ以外に当社と直接の関係を有する場合は、メールで、または当社のフォームを通じてアクセス要求を提出することができます。なお、ご依頼に基づいて対応を進める前に、あなたの本人確認および当社との関係の確認を行わせていただく必要のある場合があります。

マーケティングメールの配信を停止する方法を教えてください。

ビジネスユーザーまたは訪問者の場合は、こちらから Stripe のマーケティングメールの配信を停止することができます。Stripe からのマーケティング目的のご連絡をオプトアウトする方法についてご不明点がございましたら、こちらまでお問い合わせください。

7b. 追跡と高度な不正使用検出シグナルをオフにすることはできますか？

お使いの Web ブラウザーで、Stripe のクッキーの削除や無効化を含め、クッキーの設定を管理することができます。クッキーを無効にした場合、Stripe のサイトまたはサービスの一部の機能が、正しく作動しない可能性がある点に注意してください。クッキーを無効にしても、Stripe での不正使用を防ぐために使用されている、高度な不正使用検出シグナルの収集は無効になりません。このデータの収集は、Stripe と連携するビジネスユーザーによって管理されます。このデータ収集の無効化をご希望のビジネスユーザーは、無効化する手順を Stripe のドキュメントでご確認いただけます。クッキーを無効にするオプションを理解するには、お使いの Web ブラウザーのヘルプ、または以下のリンクでご確認ください。

• Google Chrome
• Microsoft Internet Explorer
• Microsoft Edge
• Safari
• Firefox
• Opera

企業が高度な不正使用検出シグナルの収集を無効にする方法の詳細については、高度な不正使用検出の無効化に関する Stripe のドキュメントをご覧ください。

7c. 自分のアカウントを削除する方法を教えてください。

ダッシュボードの設定ページからお使いの Stripe アカウントを解約することができます。詳細については、当社のサポートページ:Stripe アカウントの解約をご覧ください。

以下に説明する理由で、Stripe が保持する情報のすべてではなく一部が削除される点に注意してください。

決済サービスのプロバイダーとして、Stripe には、反テロリズム法やマネーロンダリング防止法を含む、多数の規制に準拠することが義務付けられています。これらの規制および法律により Stripe では、取引関係の終了後、所定の期間、ビジネスユーザーに関連付けられた取引記録を保持することが求められる場合があります。詳細については、当社のプライバシーポリシーにおける義務をご覧ください。

7d. 自分の Custom の Connect アカウントを削除する方法を教えてください。

Custom の Connect アカウントをお使いの場合、そのアカウントはプラットフォーム/ビジネスユーザーによって管理されます。両者が、あなたの決済を管理し、お問い合わせに対応する責任を負う当事者であるため、サポートが必要な場合はこちらにご連絡いただくことをお勧めします。

7e. 自分の Express の Connect アカウントを削除する方法を教えてください。

あなたが Express Connect アカウントをお使いの場合、そのアカウントはプラットフォーム/ビジネスユーザーによって管理されます。両者が、あなたの決済を管理し、お問い合わせに対応する責任を負う当事者であるため、サポートが必要な場合はこちらにご連絡いただくことをお勧めします。

7f. Stripe で個人データが保管される期間はどのくらいですか？

Stripe は、こちらに掲げる目的のために合理的に必要とする期間、個人データを保持します。

当社は上記の保持期間を決定する際、あなたの所在地、あなたとの関係の性質、あなたに提案または提供する製品やサービスの種類、あなたの個人データの性質および機密性、法律または時効の規定によって強制される保持期間、個人データの保持を継続すべき正当な優先的根拠 (たとえば、裁判における当社の権利の防御、当社の契約の執行、不正使用の検出、裁判所または管轄当局からの有効な法的手続きの要求の遵守) など、さまざまな基準を考慮します。

大半の法域において、Stripe は通常、ビジネスユーザーに関する個人データを、あなたとの取引関係の終了日と最終取引日のいずれか遅い方から 5 年以上の期間にわたって保管します。

7g. カリフォルニア州消費者プライバシー法上の権利に関する指標

以下には、2021 年 1 月 1 日から 2021 年 12 月 31 日の間に受領したデータ主体の権利に関する請求の集計指標が含まれています。このデータは、カリフォルニア州にお住まいの方から受領した請求を反映したものですが、カリフォルニア州にお住まいでない方からの請求も含まれている可能性があります。

• 受領した「知る権利を行使する請求」のうち、その全体もしくは一部が対応された、または拒否された件数: 14
• 受領した「削除する権利を行使する請求」のうち、その全体もしくは一部が対応された、または拒否された件数: 13.612
• 知る権利または削除する権利を行使する請求に応答するために要した平均日数: 1 日

Stripe は、「知る権利を行使する請求」を拒否する場合があります。たとえば、データ主体が、Stripe が正確な本人認証を行って本人のデータを特定することのできるような情報を返信の中で提供しない場合などがこれに該当します。

「削除する権利を行使する請求」を受領した場合でも、Stripe は、法律で認められている限りで、法的義務の遵守を目的とするときを含め、個人データを保管することがあります。たとえば、決済サービスのプロバイダとして、Stripe には、反テロリズム法やマネーロンダリング防止法を含む、多数の規制に準拠することが義務付けられています。これらの法律により Stripe では、所定の期間、Stripe ユーザに関連付けられた取引記録を保持することが求められています。Stripe のデータ保管義務について詳しくは、プライバシーポリシーをご覧ください。

Stripe の製品およびサービスの性質上、「削除する権利を行使する請求」を受領した場合に Stripe が行うプロセスは、請求者と Stripe との関係に応じて、請求者を、その請求を行うためのページに誘導するというものです。また、質問や懸念がおありのデータ主体に向けて、お問い合わせ窓口をご用意しています

個人情報の販売停止権を行使する請求

Stripe が、カリフォルニア州消費者プライバシー法 (CCPA) で定義されている個人情報の「販売」を行うことはありません。詳細を表示する。

7h. Stripe のメディアサービスのプライバシーポリシーはどのようなものですか？

Stripe のメディアサービスに関するプライバシーポリシー (メディアプライバシーポリシー) は、Stripe のメディアサービス (Stripe Press、Increment、Indie Hackers、Works in Progress など) を提供するために Stripe がどのように個人データを収集し、処理するかを説明するものです。詳細については、当社のメディアプライバシーポリシーをお読みください。

8. クッキーおよびその他のテクノロジー

8a. Stripe は Cookie をどのように使用していますか？

Stripe では、クッキーを (1) 当社サービスが適切に機能するように確保し、(2) 不正使用と当社の利用規約への違反を防止および検知し、(3) 訪問者が当社 Web サイトをどのように使用およびエンゲージしているかを把握し、(4) 当社サービスを分析および改善するために使用しています。お客様と Stripe の関係、およびお客様がアクセスしているドメインに応じて、適用される Cookie は異なります。たとえば、Cookie の中には、Stripe または Link の公開ドメイン上に設定されるものもあれば、Stripe ダッシュボードまたは Link の設定ページ上に設定されるものもあります。また、Link などの Stripe サービスを利用して決済を行うエンドユーザーが利用できる決済ページ上に設定されるものもあります。

Stripe が個人的かつ効果的で安全なサービスを提供するために、Cookie は重要な役割を果たしています。当社はサービスを改善したり機能を追加したりするために、Cookie を定期的変更することに留意してください。詳細については、当社のCookie Policyをご覧ください。

8b. Stripe.js とは何ですか？

Stripe.js (および iOS と Android SDK でそれと同等のもの) は、企業が Stripe を導入し、オンライン決済を受け入れるために使用する JavaScript ライブラリです。Stripe.js がサイトまたはモバイルアプリに追加されると、正規の行動と不正な行動を区別するために、不正使用検出のシグナルが使用されます。

たとえば、不正使用者とボットはさまざまなページで時間を費やす可能性が低いため、これを検出して、不正使用を止めるためのシグナルとして使用できます。

Stripe を使用しているサイトを訪問すると、この不正防止が、Web ブラウザのプライバシーレポートまたはトラッカーリストに表示される場合があります。

トラッカーリストに Stripe が表示される場合があっても、当社はあなたに対して個人の追跡プロファイルを作成していません。Stripe は、現在も今後も、このデータを広告主に対して共有または販売しません。このデータは、以下の Stripe 管理下のホスト間で安全に交換されます。

• js.stripe.com
• m.stripe.network
• m.stripe.com
• q.stripe.com

これらのエンドポイントによって収集されたデータは、保護され、Stripe インフラストラクチャ内に留まるように設計されています。このデータへのアクセスは厳しく制御され、不正防止およびセキュリティーに従事する少数の Str[ipe 従業員に限定されています (さらに、権限は定期的に見直されます)。詳細については、Stripe の]プライバシーポリシー](/privacy)をご覧ください。

Stripe.js ライブラリ内の情報は、Link が Link ユーザーの情報を記憶して、Stripe 加盟店のサイト間での購入を迅速化するために、クッキーや同様のテクノロジーを使用する場合があります。

8c. 高度な不正使用シグナルとは何ですか？

Stripe の高度な不正使用検出機能は、デバイスの特性とユーザー操作のインジケーターに関するシグナルを調べます。これらは正当な取引と不正な取引を区別するのに役立ちます。これらのシグナルは高い確率で不正使用を示しており、Radar などの Stripe 不正防止システムを動作させます。シグナルは、m.stripe.com エンドポイントに定期的に要求することで、Stripe のバックエンドに安全に送信されます。

高度な不正使用検出の詳細については、Stripe のドキュメントをご覧ください。

8d. 高度な不正使用シグナルが追跡型広告とは異なる理由は何ですか？

Stripe は、これらの高度な不正使用検出シグナルを、安全な決済を可能にし、不正使用を防止するためにのみ使用します。このデータを使用して個人のプロフィールを作成したり、それを広告主に対して共有または販売したりすることはありません。

Stripe がこのデータをどのように使用しているかの詳細については、プライバシーポリシーをご覧ください。

8e. Link で Stripe が決済手段の詳細を記憶する方法を教えてください。

Link (旧称「Remember Me」) を使用するエンドユーザーは、支払い情報を保存して再利用できるため、Stripe を利用する数千ものオンラインビジネスで購入処理がスピードアップします。エンドユーザーは、Link を有効にしたビジネスユーザー (加盟店) を通じて購入した場合、クレジットカードやデビットカードの詳細など、決済手段の詳細を記憶するよう Stripe に要求できます。個人が保存させることを選択した場合、Stripe は将来の Link 取引のために、エンドユーザーのメールアドレス、電話番号、配送先住所および決済手段の詳細を保存します。

複数の Stripe ビジネスユーザー間で、将来の取引に備えて決済手段の詳細を保存することが可能です。通常、Cookie が設定され次第、エンドユーザーは購入時に Link を使用して「1 クリック」で購入できます。このため、Stripe では、エンドユーザーの保存済みの情報が顧客に代わって自動的に決済フローに入力されるため、その情報を使用することで取引がより迅速に完了します。

エンドユーザーが将来の Link 取引で電話番号やメールアドレスを入力すると、Stripe は SMS メッセージまたはメールなどでワンタイムパスコード (OTP) を顧客に送信して、エンドユーザーを認証します。エンドユーザーが OTP を正しく入力すると、Stripe またはビジネスユーザーはエンドユーザーのブラウザーに Cookie を設定し、エンドユーザーが認証済みであることを示します。顧客が OTP を入力しなかった場合や、アクティブな Link セッションから「ログアウト」することを選択した場合、エンドユーザーは Cookie に保存されません。

Cookie は、特定のデバイスの特定のブラウザーにのみ保管されます。エンドユーザーが別のブラウザーまたは別のデバイスでの 1 クリック購入を希望する場合は、新たなブラウザーやデバイスの組み合わせで、OTP 認証プロセスを実行する必要があります。

90 日経過すると、エンドユーザーはこの OTP プロセスを再度実行する必要があります。エンドユーザーは、ブラウザー内で Cookie を消去するか、決済フローで「ログアウト」オプションが提示されているときにこのオプションを選択することで、自ら Cookie を削除することもできます。

エンドユーザーが以降について、購入の際に決済手段の詳細の Stripe への保存を希望しなくなった場合、エンドユーザーはセルフサービス削除ツールを使用できます。また、エンドユーザーから Stripe サポートに連絡して、削除を依頼することもできます。

上記の説明は、エンドユーザーが各自の情報を購入時に備えて保管し使用する方法をどのように制御できるかを示しています。ただし、これは、Stripe がエンドユーザー情報の保存と使用を行うその他の状況には影響しません。特に、Stripe は、高度な不正使用検出などの目的で、このような情報を保存し使用する場合があります。これについてはこのプライバシーセンターの他の場所に記載されています。

8f. Link ユーザーは、サイト上の Cookie テクノロジーに関して、どのような義務に留意すべきですか？

お客様の組み込みの選択 (Elements 内の Link など) に基づき、エンドユーザーの同意を得て、および/または不正使用の検出、および/または認証を目的とし、Stripe がエンドユーザーの情報を記憶するために使用する Cookie および同様のテクノロジーに関連する法的責任が発生する場合があります。

Cookie や同様のテクノロジーの設定に関する法律上の義務に準拠する方法については、常に弁護士に確認し、把握しておく必要があります。このセクションには、留意すべき情報が記載されています。

Stripe の Cookie または同様のテクノロジーは、お客様のドメイン (決済フローなど) または Stripe.js ライブラリからブラウザーストレージを介して設定されます。現在、Stripe.js ライブラリからの Stripe の Cookie には、 `__stripe_mid`、`__stripe_sid`、`m` などの不正防止の Cookie、および `pay_sid`、`link.auth_session_client_secret` and などのエンドユーザー認証の Cookie が含まれています。

自社のウェブサイトに配置されている Stripe の Cookie を定期的に確認し、プライバシーの開示事項で、必ずこの種のデータ収集についてエンドユーザーに告知するようにします。また、ウェブサイトに配置されている Cookie を確認したら、Cookie バナーをそれに従って更新する必要があります。まだそのような情報が含まれていない場合、以下のような文言をプライバシーの開示事項に追加することができます。

当社では、決済、分析、その他のビジネスサービスのために Stripe を使用しています。Stripe は、そのサービスに接続するデバイスに関する識別情報を Cookie などを使用して収集します。Stripe はその情報を、サービスの運営および向上に使用しており、これには不正使用検出および認証サービスも含まれます。Stripe と同社のプライバシーポリシーの詳細については、https://stripe.com/privacy でご確認いただけます。

8g. Stripe は、自社の Web サイトを不正使用と悪用から守るために reCAPTCHA を使用していますか？ 

はい。Stripe のサイトによっては、不正使用と悪用に対する防止効果を高めるために Google の reCAPTCHA Enterprise が実装されている場合があります。Google が収集した情報は、reCAPTCHA Enterprise の提供と改善のため、および一般的なセキュリティー目的のために使用されます。reCAPTCHA Enterprise の使用には、Google のプライバシーポリシーおよび利用規約が適用されます。

9. お問い合わせ

9a. Stripe プライバシーチームへのお問い合わせ

このプライバシーポリシーをご覧になった後にプライバシーに関してご不明な点がございましたら、メール、または当社のフォームを使用してお気軽にお問い合わせください。

郵送をご希望の場合は以下の宛先までお送りください。

Stripe, Inc.

354 Oyster Point Boulevard

South San Francisco, California, 94080, USA

Attention: Stripe Legal

Stripe Payments Europe Limited

1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland

Attention: Stripe Legal

9b. Stripe のセキュリティー対策の詳細はどこで確認できますか？

Stripe が実施しているセキュリティー対策の詳細については、セキュリティーのページをご覧ください。Stripe サービスに関する不正使用その他のセキュリティー侵害に気づいた場合は、すぐにご連絡ください。