GDPR 要件への準拠

EU 一般データ保護規則（GDPR）は、データ保護要件を調和させて近代化する、欧州連合の新しいプライバシー法です。多くの新しい要件や強化された要件がありますが、核となる原則に変わりはありません。新しい規則では、個人データの幅広い定義と、幅広い範囲があり、EU 内のユーザーの個人情報を収集する会社に影響します。規則の一環として、個人が収集される個人データが何であるかを理解し、要求に応じてそのデータを削除する権利を有することが求められます。

この記事では、「ユーザー」という単語は署名用に契約書を送信する会社のメンバーを表します。  「署名者」という単語は、契約書を受信し、署名または拒否をおこなう個人を表します。  プライバシー管理者は、送信者または署名者のリクエストに応じて、サービスから個人情報を削除する特別な権限を持つ Acrobat Sign アカウント管理者です。

ユーザーの一意性は、個人の特定に使用される電子メールアドレスで予測されます。複数の電子メールアドレスを持つ人物は、システム内に個別のユーザー ID を複数持つことができていました。Acrobat Sign 内のすべての GDPR コントロールでは、電子メールアドレスを使用して個人情報の検索と管理をおこなっています。  一意の電子メールアドレスの間につながりはなく、管理者は、提供された電子メールアドレス上のデータのみを見つけます。

GDPR をサポートする機能

Acrobat Sign は、顧客が GDPR に準拠できるようサポートします。アドビによるプライバシー保護について詳しくは、www.adobe.com/jp/privacy をご覧ください。

GDPR では、ユーザーが自分の個人情報へのアクセス、およびそれらの情報の修正や削除を要求する権限が強化されました。

• アクセス – ユーザーは、ユーザーおよび署名者に関するほとんどの個人情報に Acrobat Sign UI 経由で直接アクセスできます。  現在直接利用できないアクティビティ情報は少しだけです。  個人アカウントの所有者は、Adobe.com/privacy でアドビプライバシーオフィスに問い合わせ、この情報へのアクセスをリクエストする必要があります。  レポートの例は、この記事で後から示します。
• 修正 - ユーザーまたは署名者に関して収集されたすべての個人情報をユーザーインターフェイスで利用できます。  変更が必要な場合、ユーザーまたは署名者は、アドビおよび管理者に連絡しなくても直接変更を加えることができます。
• 削除 - 署名式で果たす役割に応じて、3 つのアクションがあります。  契約書を送信するユーザーは、自分の会社に依頼する必要があります。  アドビはこのやり取りに参加できず、雇用主が事業において収集したデータを制御することもありません。  署名プロセスでは、署名式の際、署名者に関する最小限の情報を収集します。  これには、名前、電子メールアドレス、IP アドレス、およびオプションとして電話番号や OTP コードが含まれます。  この情報は署名および契約書とともに保存され、契約書を送信した会社が管理します。  署名者が、その契約書で収集された個人情報に関する情報を必要とする場合は、契約書の送信者に連絡する必要があります。  アドビ（処理者）は、契約書に関する情報、または契約書を送信した会社に関する情報を署名者に提供することはできません。署名者に関する情報は契約書にしか保存されていないので、契約書を削除すると、署名者の個人情報も削除されます。  送信者が署名者の情報を削除することに合意すると、送信者はプライバシーメニューを使用し、署名者が参加していた契約書を見つけて削除します。

Acrobat Sign ツールセットに関し、3 つの機能が追加されました。

• ユーザーレベルのログ - Acrobat Sign では様々なイベント（個人情報を含む）のログがトリガーされます。
• 契約書の削除 - プライバシー管理者は、自分たちのアカウント内でユーザーが作成した契約書を表示および削除する権限を持ちます。
• ユーザーの削除 - プライバシー管理者は管理者アカウント内で任意のユーザーを削除する権限を持ちます.

ユーザーレベルログ

ユーザーは誰でも、個人情報を含む Acrobat Sign システムのアクティビティのログを提供するよう、アドビプライバシーセンターにリクエストすることができます。

以下の情報が CSV 形式で返されます。

• イベントの日付
• イベントタイプ
• イベントのトリガー元 IP アドレス

契約書の削除

プライバシー管理者の権限下のユーザーによって送信された契約書のみが対象となります。

Acrobat Sign システムから自分の情報を削除するよう署名者が要求すると、アカウントのプライバシー管理者はユーザーの電子メールアドレスを基に検索し、その電子メールアドレスが参加しているすべての契約書と、管理者のアカウントで作成されたすべての契約書を返します。

契約書はもう必要ないとプライバシー管理者が判断した場合、プライバシー管理者はサービスから契約書を完全かつ不可逆的に削除できます。

受信者が Acrobat Sign に連絡すると、「管理」タブを確認し、契約書を削除する目的で、トランザクションを最初に作成した会社に問い合わせるよう指示されます。

Acrobat Sign は顧客のデータ処理者として、受信者のリクエストに応じて契約書を削除することはありません。

ユーザーの削除

プライバシー管理者の権限下のユーザーのみが対象となります。

従業員が自分の情報をシステムから削除するようリクエストした場合、このツールは、Acrobat Sign サーバーからそのユーザーの情報すべてを完全に削除します。 

ユーザーは、アカウントのプライバシー管理者に直接この依頼をおこなう必要があります。ユーザーを削除する権限を持つのはプライバシー管理者のみです。

Acrobat Sign サポートは、アカウントからユーザーを削除することはできません。削除する必要がある場合は、ユーザーをアカウント管理者に紹介します。

ユーザーが Acrobat Sign から自分のデータを削除するよう要求する方法

Acrobat Sign システムから個人情報を削除するには、ユーザーのアセットを適切に解決する必要があります。  プロセスは、関与しているユーザー／アカウントのタイプによって異なります。これらのユーザー／アカウントは 4 つのカテゴリーに分類できます。

ユーザー情報の削除

Acrobat Sign サーバーからユーザーを削除するにはまず、その userID に対するシステム権限を持っている必要があります。自分のアカウント内にユーザーがいない場合、そのユーザーを削除する権限はありません。

ユーザーが自分の権限の範囲かどうかを判断する方法：

ユーザーの契約書の削除

電子メールアドレスが正しく、削除しようとしている userID が正しいことを確認する。 

ユーザー ID はいったん削除されると、それを取り消すことはできません。

ユーザーの契約書の削除

GDPR は、ユーザー（一般的には署名者）が、自分の個人情報を含むすべてのレコード（ビジネスが保持する必要がなくなったもの）をシステムから削除する権利を有していると主張します。

Acrobat Sign では、ユーザーは署名済み文書を保有する企業に連絡しシステム内の文書を評価し、必要に応じて削除するよう依頼する必要があります。

プライバシー管理者はアカウント管理者が任命し、すべての契約書を表示史、必要に応じて削除する権限が与えられる必要があります。

GDPR を順守するためのプロセスは非常に分かりやすく、契約書を削除するか保持するかの決断は、アカウントのプライバシー管理者のみに委ねられます。

ユーザーのコンテンツをレビューまたは削除するには、次の手順をおこないます。

管理者をプライバシー管理者として有効にする

プライバシーページへのアクセスは、プライバシー管理者のみに制限されます。 

ユーザーにプライバシー管理者としてフラグが付けられている場合のみ、アクセス権があります。

プライバシー管理者を有効にするには：

アドビプライバシーセンター

ユーザーインターフェイスでサポートされていないツールに対するアクションに対する要求や、GDPR コンプライアンスに関する質問は、アドビプライバシーセンターにお問合せください。

サポートエージェントおよびサクセスエージェントは、サーバーからコンテンツを削除するツールへのアクセス権を持っていません。