プライバシーとデータ管理の概要
Microsoft は、お客様のプライバシーにどのようにアプローチしますか?
Microsoft は、 製品条項 とデータ 保護補遺 (DPA) に記載されているように、お客様のデータの保護に取り組んでいます。 商用顧客の プライバシーに対する Microsoft のアプローチ の基盤は、データの制御、データの場所とその使用方法の把握、保存時と転送中のデータのセキュリティ、サード パーティのアクセスからのデータの保護という原則に基づいて構築されています。
Microsoft では、プライバシーに関するコミットメントをどのように実装していますか?
Microsoft は、Microsoft 企業のプライバシー ポリシーと Microsoft プライバシー 標準を通じて、プライバシーに関するコミットメントを支持します。 これらの要件の一貫性と準拠の導入を保証するために、Microsoft はガバナンス 協議会、取締役会、および委員会を確立しています。 当社のプライバシー プログラムでは、コンプライアンスの責任が会社全体で共有される "ハブ アンド スポーク" ガバナンス モデルを使用します。 "ハブ" は CELA (企業、社外、法務) グループであり、最高プライバシー責任者が含まれており、プライバシー ガバナンスの責任を負います。 さらに、EU 固有のプライバシー要件を満たすために、欧州連合 (EU) データ保護責任者 (DPO) が指定されています。 "スポーク" は、エンジニアリングおよび機能グループ内にあり、プライバシー要件の実装を担当します。
Microsoft は、ISO 27018 や ISO 27701 などのサード パーティの監査と認定を通じて、プライバシー要件を満たしています。
Microsoft は顧客データを収集して処理する方法を説明します。
DPA では、顧客データ、個人データ、および Professional Services データの 3 つのデータ カテゴリが定義されています。
Microsoft は、これらのカテゴリのデータを処理して、顧客の文書化された指示に従って、およびビジネス運用のために製品とサービスを提供します。 簡単に言えば、Microsoft はサービスの提供、トラブルシューティング、メンテナンス、改善のためにデータを処理します。 データは、ユーザー プロファイル、広告、または市場調査には使用されません。
これらのアクティビティの詳細な説明は、 DPA のセクション「顧客に製品とサービスを提供するための処理」および「製品とサービスを顧客に提供するためのビジネス オペレーション インシデントの処理」にあります。
Microsoft は、顧客データの機密性をどのように保証しますか?
Microsoft のプライバシー ガバナンス モデルにより、プライバシー制御によって顧客データの機密性が保護されます。 これらのコントロールは、サービス 信頼ポータルからアクセスできる ISO 27001 や 27701 などのサード パーティのレポートで詳しく説明されています。 これらのレポートには、データの最小化、保持/削除、場所と転送、共有などの制御が含まれます。
注意すべきいくつかの重要な対策は次のとおりです。
- データへのアクセス: Microsoft は、すべての顧客データに個人データが含まれていると想定し、データにアクセスせずに適切な保護策を適用してコンテンツを検証します。
- データ処理: Microsoft は、機密性を保護するためにデータを仮名化して集計します。 詳細については、 DPA を参照してください。
- データの分離: Microsoft では、データ分離手法を使用してクラウド テナントを分離し、お客様が自分のデータにのみアクセスできるようにします。 顧客コンテンツの分離または分離方法については、 アーキテクチャの概要 に関する記事を参照してください。 さらに、Microsoft では、テスト環境での顧客データの使用を禁止しています。
Microsoft は顧客データをセキュリティで保護するために何をしますか?
DPA で説明されているように、Microsoft には顧客データを保護するための保護策があります。 サービス アシュアランスのいくつかの記事では、これらのセーフガードの概要について説明します。 暗号化、アクセス管理、データセンターとネットワークセキュリティ、担当者とサプライヤー管理、脆弱性管理などのセクションを参照してください。
Microsoft はデータのサード パーティの共有をどのように処理しますか?
第三者共有とは、第三者へのデータの共有または将来の開示のことを指します。 Microsoft は、お客様によって承認された場合、または適用法によってデータを共有する必要があるときにのみデータを共有します。 Microsoft は、政府 (法執行機関またはその他の政府機関を含む) に対して、顧客データへの直接的または自由なアクセスを提供しません。 詳細については、「 法執行機関要求レポート」 および 「米国国家安全保障命令レポート 」を参照して、Microsoft がデータへのアクセス要求にどのように対応するかを確認してください。
Microsoft はサブプロセッサーまたは下請業者を使用していますか?
Microsoft がサプライヤーを管理する方法については、「 サプライヤー管理 」ページを参照してください。
Microsoft 内の顧客データにアクセスできるユーザー
Microsoft が顧客データへのアクセスを管理する方法については、「 ID とアクセスの管理 」ページを参照してください。
顧客データはどこにありますか?
Core Online Services については、 製品利用規約 と DPA に記載されているコミットメントを参照して、顧客データの場所に関する最新情報を確認してください。
コア オンライン サービスの DPA で説明されているように、Microsoft は、製品使用条件に記載されている特定の主要な地理的領域 (各地域) 内に保存される顧客データを保存します。 Microsoft EU データ境界の範囲の商用サービスの場合、Microsoft は、製品条項に記載されている欧州連合内の顧客データを保存および処理します。 Microsoft は、お客様またはお客様のエンド ユーザーが顧客データにアクセスまたは移動できるリージョンを制御または制限しません。
詳細については、「 Microsoft プライバシー - データの場所 」を参照してください。
Azure および M365 サービスについては、 Azure データ所在地 と M365 データの場所に関するページを参照してください。
その他のサービス データの場所:
- Azure DevOps Services
- Microsoft Entra ID
- Microsoft Commerce
- Microsoft Defender for Cloud Apps
- Microsoft Defender for Endpoint
- Microsoft Defender for Identity 個人データ ポリシー
- Microsoft Dynamics 365
- Microsoft Intune
- Microsoft Power Platform
- Microsoft Professional Services
- Microsoft Threat Protection
Microsoft EU データ境界とは
EU データ境界は、Microsoft Online Services によるコミットメントであり、EU および EFTA のお客様に対して、データの格納場所と処理場所に対するより高度な制御と透明性を提供します。 2023 年 1 月 1 日以降、Microsoft は、顧客データを Microsoft 365、Azure、Power Platform、Dynamics 365 サービスの EU データ境界内に格納して処理する機能を提供します。 このリリースでは、Microsoft は既存のローカル ストレージと処理コミットメントを拡張し、ヨーロッパからのデータ フローを大幅に削減し、業界をリードするデータ所在地ソリューションを構築します。
EU データ境界の今後のフェーズでは、Microsoft は EU データ境界ソリューションを拡張して、テクニカル サポートを受ける際に提供されるデータを含む、個人データの追加カテゴリのストレージと処理を含めます。
詳細については、以下を参照してください。
顧客がサービスを離れたときに Microsoft が顧客データを削除する方法
顧客がサブスクリプションを終了すると、Microsoft は顧客データを 90 日間限られた機能アカウントに保持し、顧客がデータを抽出できるようにします。 この期間が経過すると、Microsoft は、保持が法律で承認または要求されない限り、データを削除します。 サブスクリプションが終了してから 180 日以内に、Microsoft はアカウントを無効にし、すべてのデータを削除し、回復不可能な状態にします。
Microsoft は、システム生成ログの個人データも削除します。 サブスクリプションについては、サブスクライバーは Microsoft サポートに連絡して、サブスクリプションのデプロビジョニングの迅速化を要求できます。 お客様がこのプロセスを使用すると、管理者が Microsoft によって提供されるロックアウト コードを入力した 3 日後にすべてのユーザー データが削除されます。 この削除には、SharePoint Online と Exchange Online の保留または非アクティブなメールボックスに格納されているデータが含まれます。
Microsoft は、データを保持できるデバイスの破棄に関する NIST SP-800-88 ガイドラインに従います。これは、 データ ベアリング デバイスの破棄 に関する記事で説明されています。
Microsoft は、GDPR への準拠に関するガイダンスをお客様に提供していますか?
Microsoft では、お客様がデータ コントローラーとしての役割を果たすのを支援するためのガイダンス ドキュメントを保持しています。 注意すべき主要な GDPR リソースを以下に示します。ただし、お客様は、GDPR の義務を理解して実装するために、独自の法律およびコンプライアンスの専門家に相談する必要があります。
関連する外部規制 & 認定
Microsoft のオンライン サービスは、外部の規制と認定に準拠するために定期的に監査されます。 プライバシーに関連するコントロールの検証については、次の表を参照してください。
Azure と Dynamics 365
| 外部監査 | Section | 最新のレポート日 |
|---|---|---|
| ISO 27018 適用性に関する声明 証明書 |
A-2.1: パブリック クラウド PII プロセッサの目的 | 2024 年 4 月 8 日 |
| ISO 27701 適用性に関する声明 証明書 |
すべてのコントロール | 2024 年 4 月 8 日 |
| SOC 1 | DS-15: 顧客サブスクリプションの終了/有効期限 SDL-1: セキュリティ開発ライフサイクル (SDL) 手法 LA-4: 機密顧客データの保護 |
2024 年 5 月 20 日 |
| SOC 2 SOC 3 |
DS-15: 顧客サブスクリプションの終了/有効期限 SDL-1: セキュリティ開発ライフサイクル (SDL) 手法 LA-4: 機密顧客データの保護 SOC2-1: 資産分類 SOC2-7: 公開された機密性とセキュリティの義務 |
2024 年 5 月 20 日 |
Microsoft 365
| 外部監査 | Section | 最新のレポート日 |
|---|---|---|
| ISO 27018 適用性に関する声明 証明書 |
A-2.1: パブリック クラウド PII プロセッサの目的 | 2024 年 3 月 |
| ISO 27701 適用性に関する声明 証明書 |
すべてのコントロール | 2024 年 3 月 |
| SOC 2 | CA-12: サービス レベル アグリーメント (SLA) CA-17: Microsoft セキュリティ ポリシー CA-25: コントロール フレームワークの更新 |
2024 年 1 月 23 日 |
リソース
フィードバック
以下は間もなく提供いたします。2024 年を通じて、コンテンツのフィードバック メカニズムとして GitHub の issue を段階的に廃止し、新しいフィードバック システムに置き換えます。 詳細については、「https://aka.ms/ContentUserFeedback」を参照してください。
フィードバックの送信と表示