データ保護法の遵守
EU、英国、ブラジル、一部の米国の州を含む国や地域には、個人に関する情報を保護し、「個人データ」または「個人情報」を収集・利用する人や組織に義務を課す法律があります。たとえば、EU と英国には一般データ保護規則（GDPR）があり、これらの地域に居住する人々の「個人データ」を保護しています。
当社のサービスを使用してウェブサイトまたはアプリ（「Site」）を構築する場合、GDPR およびその他の類似するデータ保護法規制を遵守する必要がある場合があります。たとえば、次の場合は GDPR を遵守する必要がある可能性があります。
お客様が英国または EU に所在している
お客様の Site に英国または EU のユーザーがいる
この記事は、データ保護法に基づく義務の遵守に役立てていただくことを目的としています。ただし、これは法的助言ではなく、情報提供のみを目的としている点にご注意ください。お客様自身および Sites の訪問者の所在地によって適用される可能性のある法令上の義務を理解するため、ご自身で法的助言を受けることをおすすめします。
データ保護法に基づくお客様の役割
お客様の Site が訪問者の個人データを収集する、またはその他の方法で処理する場合、その情報を使用する目的と方法を決定し、適用されるプライバシー法およびデータ保護法を遵守する責任はお客様にあります。ChatGPT Sites 規約に基づき、お客様は Site を通じて収集されるエンドユーザーデータのデータ管理者です。個人データには、氏名、メールアドレス、プロフィール情報、投稿またはコメント、写真、オンライン識別子またはデバイス識別子が含まれる場合があります。ChatGPT Sites では、保護対象保健情報またはペイメントカードデータを処理してはなりません。
データ保護法は、データ管理者にさまざまな義務を課しています。以下に、これらの義務の概要を示します。
データ保護法に基づく当社の役割
ユーザーとして OpenAI のサービスを利用する場合、ほとんどの場合 OpenAI がデータ管理者であり、当社の プライバシーポリシーに従って、お客様の個人データに関するデータ保護法の遵守について責任を負います。
Sites を使用することにより、お客様は、ご自身の Site を提供・運用するために必要な範囲でエンドユーザーデータを処理するよう OpenAI に指示することになります。該当する場合、OpenAI は、OpenAI データ処理補遺、またはお客様の組織と OpenAI が署名したデータ処理補遺に基づいて、そのデータを処理します。お客様のアカウントに適用される契約および DPA を確認してください。
義務の概要
GDPR などのデータ保護法は、個人データを処理する当事者（管理者および処理者）に義務を課すとともに、個人データを処理される本人に権利を認めています。コンプライアンスに役立つよう、サイトを運営する際に考慮すべき主な事項を以下にまとめました。ただし、これは GDPR その他の関連するデータ保護法を網羅したガイドではありません。
通知の提供：サイト上に分かりやすく表示されたプライバシーポリシーを掲載し、収集するデータ、その利用方法、利用者がデータを管理する方法を説明する必要があります。詳しくは、プライバシーポリシーの作成方法をご覧ください。また、本人が想定する範囲内でのみ個人データを利用するようにしてください。特定の方法で個人データが利用されることを本人が想定していない可能性がある場合は、目につきやすい場所に追加の通知を掲載することを検討してください。
選択肢の提供：サイトで収集する個人データとその利用方法について、可能な限り本人が選択できるようにする必要があります。場合によっては、チェックボックスへのチェックやトグルの切り替えを本人に求めるなど、オプトインによる同意を得る必要があります。この一覧はすべてを網羅するものではなく、ほかにも同意を得るべき状況があります。サイトでユーザーが情報を一般公開できる場合は、投稿時にその旨を明確に伝える必要があります。たとえば、以下を行う場合は、明示的なオプトインを求めることを推奨します。
データの最小化：サイトの機能に必要な個人データのみを収集する必要があります。住所、性別、生年月日が不要な場合は、それらの提供を求めないでください。また、必要な期間を超えて個人データを保持しないでください。サイトの運営にデータを保持する必要がある期間を検討し、その期間が過ぎたら削除してください。
データセキュリティと個人データ侵害：サイトと、サイトを通じて収集した情報を保存するその他のシステムに、適切なセキュリティ対策を講じてください。データ侵害に関する OpenAI の通知義務には、お客様のアカウントに適用される契約およびデータ処理補遺が適用されます。影響を受ける本人、規制当局、その他の当局への通知が必要かどうかは、お客様の責任で判断してください。
データ主体の権利：プライバシー法により、本人には、自身の個人データへのアクセス、訂正、削除、処理の制限もしくは異議申し立て、またはコピーの受領に関する権利が認められる場合があります。サイトの訪問者がリクエストを送信できる明確な手段を用意し、お客様に適用される法律所定の期限内に対応してください。
データ移転：プライバシー法により、国や地域を越えた個人データの移転が制限される場合があります。Sites のホスティングおよびレジデンシーに関する情報と、お客様のアカウントに適用される契約およびデータ処理補遺を確認してください。ChatGPT Sites は、リリース時点ではデータレジデンシーおよび推論レジデンシーに対応していません。お客様に適用される条件を確認せずに、特定のホスティング国や移転の仕組みが適用されると想定しないでください。
Cookie および類似のトラッキング技術：サイトで必須ではない Cookie や類似のトラッキング技術を使用する場合、それらを配置または読み取る前に同意を得る必要があります。要件は地域によって異なるため、お客様とサイト訪問者に適用される規則を確認してください。
子どものデータ：サイトが 18 歳未満の子どもを対象としている場合、子どもは法律上特別に保護されるため、データ保護やプライバシーに関するリスクには特に注意する必要があります。多くのデータ保護当局やその他の規制当局が、子ども向けオンラインサービスのための追加ガイダンスを公開していますので、確認することを推奨します。ChatGPT Sites 利用規約では、13 歳未満、または適用されるデジタル同意年齢未満の子どもを対象とする、もしくは子ども向けに設計されたサイトを作成することは認められていません。