データライフサイクル-コレクションについての理解
Microsoft オンライン サービスにサインアップする際には、適用される使用条件を理解することが重要です。 プライバシーや規制の要件は、業界や地域的な境界線によって異なるため、サービスが特定の使用ニーズを満たしているかどうかお客様が判断することが重要になってきます。
Microsoft にはお客様に対して、次のような使用条件を持ちます。
- オンライン サービス使用条件（OST）: Microsoft がデータ処理者となっているオンライン サービスを使用している企業向けお客様への標準契約のコミットメント
- オンライン サービス データ保護補遺（DPA）: サービス内のデータ型を処理および使用する際のそれぞれの義務
お客様がデータのプライバシー用語を簡単に見つけられるように、DPA と OST は、2020年1月までは1つの文書にまとめられていました。 Microsoft は、規制機関および企業向けのお客様と協力して、データ保護法についてのフィードバックを入手します。また、規制の変更に合わせて、さまざまな規制の調整を行います。
プライバシーに関するお知らせ、同意、データの分類
通知と同意は、世界中のプライバシー法の基本原則です。 Microsoft は、顧客データの分類 (分類) と顧客データ用途フレームワーク (フレームワーク) を管理する顧客データ ガバナンス ボード (CDGB) を保守しています。これは、通知、同意、ユーザー コントロールについての全社的ルールのセットです。 分類は、データ型と用途のカテゴリーを定義します。 フレームワークは、各データ タイプを使用するのに必要な通知、同意、および収集後のユーザー管理を指定します。 また Microsoft では、このプロセスをサポートするために、正規の関係者であるかの分析含むプライバシー レビューも使用します。 特定の状況に追加の要件が適用される場合があります (たとえば、お子様のデータを収集するためには、保護者による同意が必要になる場合があります)。
データの処理と使用
データ処理規格には、OST または DPA、各種の監査基準、および規制に記載されている責務に対応するための一連のニーズを含む特定のアクティビティまたはシナリオ内の各データ分類タイプを管理する方法に関するガイダンスが用意されています。 これらの標準は、多くの場合、新機能が設計されているとき、またはサービスを実行しているときに、Microsoft 365 などのサービスに固有のものである場合に使用されます。
広範なプライバシー法規に準拠するために、処理されるデータの4つのカテゴリーすべての個人データの使用を厳しく制限しています。 お客様のビジネス データの機密性を保護するために、顧客データとプロフェッショナル サービスデータのすべての使用をさらに厳しく制限しています。 顧客データの内容にアクセスして、個人のものかどうかを判断することはありません。 その代わりに、すべての顧客データとプロフェッショナル サービス データに個人データが含まれていると想定しています。 次に、DPA で定義されているデータ型を示します。 青色のボックスは、すべての個人データが、他のデータ型のいずれかの一部として処理されることを示しています (すべてに個人以外のデータが含まれています)。 サポート データは、プロフェッショナル サービス データのサブセットです。
診断データとサービス生成データ内の個人データは、多くの場合、ユーザーにリンクされる一意のコンピューター生成番号の形式です。
国際データの転送
お客様の代わりに Microsoft が処理する顧客データと個人データは、米国または Microsoft またはそのサブプロセッサーが運営するその他の国/地域に転送され、保存および処理される場合があります。 お客様がサービスを深く理解したい場合は、「データ保護補遺」の付録をご確認ください。
Microsoft は、国境を越えた顧客データの転送に関して国際データ保護法に準拠しています。 たとえば、EU モデル条項では、EU の顧客個人データを欧州経済地域 (EEA) 以外の国/地域に転送することを規制しています。 Microsoft EU 標準契約条項は、ヨーロッパのプライバシー規制機関がデータの国際転送に関する EU 標準を満たすと判断した対象サービスの個人データの転送に関する特定の契約上の保証を提供します。 EU モデル条項は、スイスおよび英国から個人データを転送するための有効なメカニズムも提供しています。