本文へ移動
Shopwise

外国にある第三者への提供について

最終更新日：2026年10月30日

宮嵜マックス（以下「当方」）は、「Shopwise」（以下「本サービス」）を提供するため、次の外国にある第三者に、お客様の個人データを提供します。個人情報保護法第28条に基づき、提供の前にお客様の同意をいただきます。このページは、同意の前にお知らせする事項（提供先の国の名称、その国の個人情報の保護に関する制度、提供先が講じる個人情報の保護のための措置）を記載しています。

1. 提供先の国：米国、インド

この項の国は、お客様の個人データを受け取る事業者がある国です。各事業者がデータの保存や処理に使う設備の場所は、これとは別に、第3項に事業者ごとに記載しています。

  • Fly.io、Cloudflare、WorkOS、Anthropic、Plus Five Five（Resend）、Google：米国の事業者です。
  • Stripe（お支払いを選んだお客様のみ）：当方の契約の相手方は、日本のストライプジャパン株式会社です。お客様の個人データを受け取って取り扱うのは、米国の Stripe, LLC と、インドにある同社の関連会社です（第3項）。

このほか、Stripe の契約では、アイルランドの Stripe Payments Europe, Limited が個人データを取り扱います（第3項）。アイルランドを含む EU は、個人情報保護委員会が個人情報保護法施行規則第15条に基づいて定める、日本と同等の水準にあると認められる個人情報の保護に関する制度を有する外国です。そのため、同法第28条第1項の「外国にある第三者」には当たりません。

2. 提供先の国の個人情報の保護に関する制度

米国

個人情報保護委員会の調査（「外国における個人情報の保護に関する制度等の調査」の米国の項目）によるもの：

  1. 米国は、APEC の越境プライバシールール（CBPR）システムに参加しています（2012年7月25日参加）。
  2. 米国には、個人情報の保護に関する包括的な連邦法はなく、個別の分野に適用される連邦法と、州法があります。

当方の判断で加えたもの（同委員会の調査には記載がありません）：

  1. 米国には、外国情報監視法（FISA）第702条のように、政府による情報の収集に事業者が協力する義務を定める制度があります。同委員会の調査は、「事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの」の欄を「－」としていますが、当方は、この制度があることをお知らせします。

インド

個人情報保護委員会の調査（「外国制度（インド）」、2022年1月25日更新）によるもの：

  1. インドには、個人情報の保護に関する包括的な法令はなく、個別の分野に適用される法令として、情報技術法（2000年）と、同法に基づく規則（合理的な安全管理措置等と機微な個人データ・情報に関する規則、2011年）があります。
  2. インドは、EU の十分性認定を受けておらず、APEC の越境プライバシールール（CBPR）システムにも参加していません。
  3. OECD プライバシーガイドラインの8原則のうち、責任の原則に当たる規定は見当たらず、そのほかの7原則は一部が定められています。
  4. 情報技術法により、中央政府などは、インドの主権と一体性、国防、州の安全保障、外国との友好関係、公の秩序と、これらに関係する犯罪の防止・捜査のために、情報の提供などを求めることができます。同委員会の調査は、この求めについて、実施の制限と手続、独立した機関の承認、取得した情報の取り扱いの制限、透明性の確保、監督の仕組み、違法な求めによって権利を侵害された場合の救済を定める規定がないとしています。

同委員会の調査より後の変化（当方が、インド政府の官報に掲載された告示で確認したもの）：

  1. 2023年に、個人データの保護に関する包括的な法律であるデジタル個人データ保護法（2023年法律第22号）が制定されました。ただし、事業者の義務と本人の権利を定める規定の大部分は、2025年11月13日の告示（G.S.R. 843(E)）により、2027年5月13日から適用されます。それまでは、上記1の法令が適用されます。

3. 提供先と、各事業者が講じる措置

Fly.io, Inc.（米国）

  • 提供する個人データ：本サービスが保存するすべての情報（プライバシーポリシー第2項の1〜4）
  • 目的：本サービスの稼働とデータの保存
  • 保存の場所：
    • 本サービスのデータベースと、取り込みのためにアップロードしたファイルは、日本（東京）にある同社のサーバーに保存しています。
    • 同社は、この保存領域を毎日まるごと複製し、米国で7日間保存します。複製には、データベースのすべてと、その時点で残っているアップロードしたファイル（最長7日分）が含まれます。複製の保存には、同社の委託先のAmazon Web Services（米国）が使われます。
  • 同社の措置：
    • データ処理契約（DPA）により、法令で必要な場合を除き、当方の文書による指示の範囲でだけ個人データを取り扱います。
    • この契約は、同社の利用規約（同社のサービスの改善のためにもデータを利用できるとする定めを含みます）より優先します。
    • 当方へのサービスの提供が終わった後、30日以内にデータを削除します（暗号化されたバックアップには最長90日残ります）。
    • 同社が委託先を追加・変更するときは、30日前に公表します。
    • 保存するデータと複製、および通信は暗号化されています。
    • SOC 2 Type 2 の報告を受けていると公表しています。

Cloudflare, Inc.（米国）

当方は、同社のサービスを次の2つの目的で使います。

バックアップ

  • 提供する個人データ：本サービスのデータベースのすべて（アップロードしたファイルを除きます）。変更は15秒ごとに送られます。
  • 目的：バックアップ（本サービスのデータを失わないための控え）
  • 保存の場所：アジア太平洋地域を指定しており、同社の管理画面でも現在「Asia-Pacific」と表示されています。ただしこの指定は同社ができる限り従うもので、保証されていません。保存場所を保証する同社の指定（管轄の制限）は使っていません。同社は米国の事業者です。また同社は、開発者向けのサービスにOracle（米国、EEA、英国、日本、オーストラリア、カナダ、シンガポール）と Google（EEA、米国、オーストラリア、インド）を利用すると公表しており、保存の場所はアジア太平洋地域に限られない可能性があります。
  • 残る期間：お客様が削除したデータは、削除からおよそ25日間ここに残ります。当方は、データベースの複製を1日1回作ります。削除したデータは、削除の後に最初に作る複製（削除から最長1日後）が消えるときに、それより前の控えとともに削除されます。その複製は、23日を過ぎた複製を消す1日1回の確認で、作ってから最長24日で消えます。最長1日と24日で、およそ25日です。この削除が何らかの理由で止まった場合に備え、26日を過ぎたものは同社の仕組みでも自動的に削除されます（同社によると、通常その後24時間以内）。その場合は最長でおよそ27日間です。

お問い合わせのメールの転送

  • 提供する個人データ：support@getshopwise.com あてにお送りいただいたメール（お客様のメールアドレス、件名、本文、添付ファイル）
  • 目的：support@getshopwise.com あてのメールを、当方のメールボックス（Google の Gmail。下記）に転送するため（同社のサービス名は Email Routing）
  • 場所：メールは同社の設備を経由して転送されます。同社のプライバシーポリシーは、情報を主に米国と欧州経済領域に保存し、世界各地から移転・アクセスすることがあるとしています。

同社の措置（どちらの目的にも、同じデータ処理契約が適用されます）

  • データ処理契約（DPA）により、サービスを提供する目的に限り、当方の文書による指示に従って処理し、マーケティングや広告には使いません。
  • 同じ契約で、個人データを保存するディスクの暗号化を定めています。同社の公開文書によると、保存するデータは AES-256 で暗号化され、通信は TLS で暗号化されます。
  • Global CBPR の認証を受けていると、同じ契約で定めています。

WorkOS, Inc.（米国）

  • 提供する個人データ：メールアドレス、ログインの申請（IPアドレス、ブラウザの情報、日時）
  • 目的：ログイン用コードのメール送信と確認
  • 保存と処理の場所：米国（同社のデータ処理契約による）。
  • 同社の措置：データ処理契約（DPA）で、当方との契約と指示に従ってサービスを提供するために処理すると定めています。ただし同社は、同社のサービスの開発と品質の改善、セキュリティ上の事故の検知、不正の防止のためにも処理できると定めています。同じ契約で、適切な場合には通信中と保存時のデータを暗号化すると定めています。SOC 2 Type 2 の認証を受けていると公表しています。

Anthropic, PBC（米国）

  • 提供する個人データ：本サービスが計算したレポートの数字と、本サービスの決まった文言だけです。お客様が入力・取り込んだ文字（店舗の名前、メモ、品目名、時間帯名、取り込んだファイルの見出しやセルの内容など）とメールアドレスは送りません。
  • 目的：レポートの説明文の作成
  • 処理の場所：米国。当方は米国内での処理を指定しており、さらに同社の管理画面で、米国以外での処理を受け付けない設定にしています。米国以外での処理を求めると同社が断ることを、2026年10月21日に本番の環境から確認しました。
  • 保存の場所：同社のサービスでは、データを保存する場所（ワークスペースの保存場所）は米国です。これはワークスペースを作るときに決まり、現在は米国だけが提供されています。ただし同社の委託先一覧では、クラウド基盤（Google Cloud、Amazon Web Services、Microsoft Azure）と通信の中継（Cloudflare）の所在地は「全世界」とされており、保存と通信のすべてが米国内に限られることまでは示されていません。
  • 残る期間：入力と出力は30日以内に削除（利用ポリシー違反の疑いで検知された場合は最長2年）。
  • お問い合わせについて：同社は、利用者からのお問い合わせの対応を委託しています。当方は、同社へのお問い合わせにお客様のデータを含めません。
  • 同社の措置：データ処理契約（DPA）で、サービスを提供・維持するためだけに、当方の指示に従って処理すると定めています。お客様のデータを AI の学習に使わないと定めています。同じ契約で、保存するデータの暗号化（AES-256 以上）と通信の暗号化（TLS 1.2 以上）を定めています。ISO 27001 の認証と SOC 2 の報告を受けていると公表しています。

Stripe（お支払いを選んだお客様のみ）

  • 契約の相手方：ストライプジャパン株式会社（Stripe Japan, Inc.、法人番号 8010601046367）
  • 提供する個人データ：メールアドレス、領収書の宛名、請求先の国と住所、お客様が Stripe の画面で入力するカード情報、契約・請求・支払いの記録。お支払いを選ばないお客様のデータは Stripe に渡りません。
  • 目的：お支払いの処理と更新、カード情報の保管、カードを変更する画面の提供、契約・請求・支払いの記録の保管、カードの有効期限が近いときのお知らせメールの送信
  • 移転先：
    • 米国の Stripe, LLC と、同社の関連会社・委託先（同社のデータ処理契約による）。
    • インドにある同社の関連会社。同社のプライバシーポリシーは、個人データを「米国およびインド」に転送する場合があるとしています。同社の委託先一覧では、Stripe Technology India Private Limited（インド）が、ほかの関連会社にユーザーサポートと社内の運営に関するサポートを提供するとされています。
    • アイルランドの Stripe Payments Europe, Limited。Stripe と日本の事業者（当方）との契約に、個人データの取り扱いのためにだけ加わる当事者と定められています（アイルランドについては第1項のとおりです）。
  • 同社の措置：データ処理契約（DPA）で、当方に代わって当方の指示に従って処理すると定めています。ただし同社は、不正の監視と防止、同社の製品とサービスの分析・改善・開発のためには、同社自身の目的で利用すると定めています。PCI DSS レベル1、SOC 1・SOC 2 の監査。同社のプライバシーの取り扱いは CBPR に適合していると公表しています。

Plus Five Five, Inc.（サービス名 Resend、米国）

  • 提供する個人データ：メールアドレス、メールの本文（プラン、料金、日付、解約の方法。初回のお支払い前のお知らせ、お支払いを受け付けたお知らせと返金のお知らせでは、カードの種類と下4桁）
  • 目的：本サービスからのメールの送信
  • 保存と処理の場所：米国（同社のデータ処理契約による）。メールの送信については、同社の管理画面でドメインの地域を東京に指定しており、実際に届いたメールの原文でも、送信元が ap-northeast-1（東京）であることを確認しています（2026年10月23日、現在の設定で確認）。ただし、同社が当方のドメインのために公開している送信元の一覧（SPF）には、米国（Amazon Web Services の米国東部）の IP アドレスも含まれており、常に東京から送信されることは保証されていません。
  • 同社の措置：データ処理契約（DPA）で、契約に定める目的と当方の指示の範囲を超えて処理しないと定めています。ただし、利用状況の情報（メールの送信元と送信先を識別する情報、活動の記録などを含みます）は、同社が独立した管理者として取り扱い、サービスの提供・最適化・維持のために処理できると定めています。保存するデータの暗号化（AES-256）と通信の暗号化（TLS）。SOC 2 Type II に準拠していると公表しています。

Google LLC（米国）

  • 提供する個人データ：support@getshopwise.com あてにお送りいただいたメール（お客様のメールアドレス、件名、本文、添付ファイル）と、当方の返信
  • 目的：お問い合わせの受信、保存と返信（当方は、お問い合わせのメールを同社の個人向けメールサービスGmail で受け取り、返信しています）
  • 保存と処理の場所：同社のプライバシーポリシーによると、「Google のサーバーは世界各地に設置されており、お客様の情報は、お客様がお住まいの国以外の場所にあるサーバーで処理されることもあります」。
  • 残る期間：プライバシーポリシー第7項のとおりです。
  • 同社の措置：当方と同社の間に、業務用のデータ処理契約はありません。当方は、個人向けの Gmail を、同社の利用規約とプライバシーポリシーのもとで使っています。同社のプライバシーポリシーは、伝送中のデータを暗号技術で保護していること、不正アクセスを防ぐため、情報の収集・保存・処理の方法（物理的なセキュリティ対策を含みます）を見直していることを述べています。

4. 個人データを受け取らない外部サービス

Sentry（エラーの把握、米国）と Better Stack（停止の検知。米国の事業者で、処理は主に EU）は、お客様の個人データを受け取らないように設定しています（プライバシーポリシー第5項）。

5. 同意について

  1. 同意は、ログインの前（ログインの手続きが WorkOS に移る前）にいただきます。同意をいただいた日時と、このページの版を記録します。法令（個人情報保護法第29条）に基づき、アカウントを削除した後も、メールアドレスと、同意いただいたこのページの版を3年間保管します。
  2. 同意いただけない場合、本サービスはご利用いただけません。ログインの手続きそのものを WorkOS が行い、データの保存を Fly.io が行うためです。
  3. このページの内容が変わった場合は、次に本サービスを開いたときに、改めて同意をお願いします。
  4. 提供の停止のご請求は、プライバシーポリシー第9項の方法でお受けします。本サービスは、これらの事業者への提供なしには提供できません（第2項）。そのため、提供を止めたまま本サービスを続けてご利用いただくことはできません。ご請求をいただいた場合はその旨をお知らせし、ご希望により、ご利用をやめていただいたうえでアカウントとデータを削除します。削除の後は、これらの事業者への新たな提供はありません（法令に基づき削除後も保存する記録は、プライバシーポリシー第7項のとおりです）。

以上

トップページへ戻る