セキュリティ、プライバシー、GDPR についてよくあるご質問

EU 一般データ保護規則（GDPR）は、欧州連合（EU）内の住民および市民のために、個人情報がどのように収集、処理、保管されるかを明記することにより、当該データを保護するための規則です。Doist は、2018 年 5 月 25 日をもって同法に完全に準拠しています。

はい。Doist と 当社サービスである Todoist および Twist は、2018 年 5 月 25 日をもって GDPR に完全に準拠しています。

はい、Doist では違反することはありません。GDPR が適用される法域で事業を運営されている場合はもちろんご自身でその事業が GDPR に準拠しているかを確認される必要があります。

Todoist および / または Twist に登録される際、お客様は自主的にお名前やメールアドレスなどの情報を当社に提供します。お客様は、アカウント設定からいつでもこの情報にアクセスし、この情報を更新できます。

加えて、当社のサービスを利用することにより、お客様は当社が以下のデータを使用することに同意するものとします。

• メールアドレス
• IP アドレス
• 端末 ID
• 名前、名字（任意。処理は行いません）
• 職業（任意。処理は行いません）
• 電話番号（任意。処理は行いません）
• VAT ID（任意）
• 請求書送付先住所（プロとビジネスのみ）

Doist が収集するデータは、当社サービスを提供するために必要とされるもので、Todoist および Twist の品質改善に使用しています。

お客様の個人データをエクスポートするには、当社にお問い合わせください。

デフォルトの個人ワークスペースの個々のプランで Todoist をご利用の場合、Doist はデータ プロセッサーとみなされています。つまり、Doist はユーザー データの処理方法を管理し、GDPR 適用の範囲内におけるデータ処理に対して責任を負います。当社サービスをご利用いただくことで、お客様は当社の共有機能においてお客様のコンテンツを承認済みの他のユーザーと共有する権利を Doist に付与します。

お客様のコンテンツを他の Todoist ユーザー（チーム ワークスペースまたは、個人ワークスペース内の共有プロジェクトを含みます）と共有することによって、お客様はこれらの各ユーザーに当社サービスを通じてお客様のコンテンツにアクセスする、コンテンツを使用する、複製する、分配する、表示する、編集する、実行する、もしくはそのようなコンテンツと関わる権利を付与します。

お客様がチーム ワーク スペース（この場合、組織とみなします）を作成またはこれに参加する場合、お客様は当該組織のポリシーとお客様とその組織間の契約に準拠することに同意します。つまり、組織が各ワークスペースのすべてのユーザー コンテンツの所有者になります。組織のワークスペースのすべてのユーザー コンテンツは、組織と共有することができ、組織によって改変、削除、アクセスが可能です。組織は、お客様が組織のワークスペースにアクセスすることをいつでも終了することができ、お客様はそのワークスペースのご自分のコンテンツにアクセスできなくなる可能性があります。組織のワークスペースにコンテンツを移行することで、お客様は組織にお客様のユーザー コンテンツの権利を付与します。

当社では GDPR 準拠のサードパーティ サービスと Stripe、AWS、Google Workspace などのホスティング パートナーを使用しています。このようなケースでは、サードパーティからのデータの送受信に関してGDPR に準拠するように必要なセキュリティ対策を講じています。詳細については、Todoist のセキュリティおよびプライバシーポリシー、ならびに Twist のセキュリティおよびプライバシーポリシーをご覧ください。

はい。必要な場合、当社は GDPR に準拠した以下のサードパーティ サービスを使用します。

• Amazon Web Services
• ChartMogul
• CloudBees Rollout
• Datadog
• Meta (Facebook)
• Firebase
• Google アナリティクス
• MailChimp
• Mailgun
• Microsoft Azure
• Microsoft Visual Studio App Center
• PartnerStack
• ProfitWell
• Qualaroo
• RequestMetrics
• SendGrid
• Sentry
• Stripe
• Zendesk

当社では、お客様のブラウジング アクティビティに関する情報を収集することと、お客様を他の Todoist ユーザーから区別するためにクッキーを使っています。クッキーを使用することにより、お客様の当社アプリ使用時のエクスペリエンスをサポートするとともに、アプリ機能の向上にも役立てています。

当社では下記のクッキーを使用しています:

• 不可欠なクッキー: ログイン機能、ユーザー認証、セキュリティに必要です。
• 機能性クッキー: お客様が当社ウェブサイトを再訪したことを認識し、当社のコンテンツをお客様のためにパーソナライズしたり、お名前を使ってあいさつしたり、お客様の好みを記憶したりすることができます。
• 分析＆広報 クッキー: ユーザーの皆様がどのように当社製品に関わっているかを理解するために使われます。当社では、いくつかのサードパーティ クッキーを使用しています: Google Analytic（ウェブサイト トラフィックとユーザー行動の分析）、Datadog（ウェブ パフォーマンスおよびユーザー エクスペリエンスのモニタリング）、Zendesk（画像の読み込みおよび、サポートまたはヘルプ センター サービスの提供）、YouTube（ヘルプ センター ページでのビデオの表示）、Cloudinary（画像の読み込みと最適化）。

はい。当社はアマゾン ウェブ サービス（AWS）を使用して、米国のバージニア州北部でデータを処理します。当社は最小限のデータしか収集せず、またすべてのデータは AES 256 を使用して暗号化されています。

いいえ。当社がデータを販売することはありません。

アカウントを削除すると、あなたに関連するすべての個人データが当社のプロダクション システムから削除されます。また、あなたのデータを暗号化したコピーだけが当社のバックアップ アーカイブに 90 日間保管されます。この期間を過ぎると、あなたのアカウントに関するすべての情報は永久に削除されます。なお、ご依頼があっても当社はバックアップ アーカイブから暗号化されたコピーを提供することはありませんのでご了承ください。

はい。当社は Doist を代表して事前に署名された DPA を提供しています。こちらから詳細を記入し、署名していただくことで完了します。

当社は、特別な理由において Todoist と Twist の改善のためにアクセスが必要な、ごく限られた人数の従業員のみにしか個人データへのアクセスを認めていません。

Doist は、当社が行うプロセスやテクノロジーの効果性を常にテストし、評価しています。

当社は暗号化を使ってデータを保護しています。

A: ユーザー データがサーバーおよびデータベースに保存された場合、当社は AES 256 暗号化を使用します。データの送受信を行う時は、TLS 1.1 かそれ以上で暗号化されます。データのバックアップは AES 256 で暗号化され、2048 の鍵長を持つ RSA で署名されます。

さらに、Todoist プロおよびビジネスのユーザーのために、毎日アプリ内で自動的にバックアップが作成されます。当社は不正アクセスを防止するセキュリティ システムを維持し、当該バックアップ データを十分に保護するための防衛対策を講じています。

GDPR には様々な要件があるため、お客様のコンプライアンスのニーズはご利用環境や種々の条件によって異なります。ご質問やご要望などがありましたら、当社にお問合せください。

タスクやコメントなどのユーザー コンテンツは、当社データストアに保管され、インターネット トラフィックから遮断され、当社内にも厳格なアクセス ポリシーがあります。ユーザー コンテンツへのアクセスは監査の対象となり、複数の認証プロセスが必要で、明確なビジネス上の目的がある場合にのみ許可されます。つまり、社員がユーザー コンテンツにアクセスする場合は、必ず他の社員がそのことを把握しています。ユーザー コンテンツへのアクセスが必要になるケースは非常に稀です。

はい。時間が少し経過した後に削除されます。システムは最初に削除済みと記録し、その後実際に削除します。ソフト デリート（論理削除）で確実にクライアント アプリケーションからのコンテンツ アクセスを不可にします。ハード デリート（物理削除）はその後で時間を遅らせて行います。このシステムにより、Todoist では複数のデバイスで同期できるようになっています。削除済みのマークを付けることで、同期アルゴリズムで競合する日付の問題を解決できるようになっています。

ユーザー コンテンツはデータベース バックアップにもあります。これは事業継続の目的のために保管されており、データの甚大な損失、長期間データが使用できない場合や、データ破損が生じた場合に使用されます。すべてのデータはバックアップも含めて暗号化されています。現在まで当社でデータベース バックアップの使用が必要になったことはありません。

データベース バックアップでは、各ユーザーのデータへのアクセスを許可しません。代わりに、ライブ データベースに復元することができ、そこでは通常のデータ アクセス制御が適用されます。バックアップは自動的にローテーションされ、95 日以上は保持されません。