データ保護影響評価

プロジェクト名： Gamban

評価日： 2024年11月日

評価者： Nick Michalopoulos

このDPIAは、データ処理慣行の変更、より具体的にはクライアントデータを特別カテゴリデータに分類するために必要です。これにより、高リスクの可能性のあるあらゆる種類の処理に対して、データ保護影響評価（DPIA）が必要になります。

処理対象のデータ

• 本人確認情報：ユーザー名を含みます。
• 連絡先情報：ユーザーの電子メールアドレスと電話番号を含みます。
• デバイス情報：当社のブロッキングライセンスの対象となるさまざまなデバイスに関する情報を含みます。
• マーケティングデータ：ニュースレターの受信に関するユーザーの設定。
• プロフィール情報：ギャンブルのレベル、最後のギャンブルセッションの時間、ユーザー名など、ギャンブル依存症の状態を含みます。
• 技術データ：インターネットプロトコル（IP）アドレス、ブラウザの種類とバージョン、タイムゾーン設定と場所、ブラウザのプラグインの種類とバージョン、オペレーティングシステムとプラットフォーム、およびユーザーがGambanウェブサイトにアクセスするために使用するデバイス上のその他の技術を含みます。
• 取引情報：ユーザーとの間の支払いに関する情報、およびユーザーが購入したサービスのその他の情報を含みます。
• 使用状況データ：当社のウェブサイトおよび製品の使用傾向に関する情報を含みます

データ処理の目的：

• ソフトウェアサービス
• 製品、ヘルプデスク機能、サブスクリプションの終了時期に関する重要な通知
• 内部記録のメンテナンス
• 製品開発のための統計分析

データへのアクセス権保持者：

• 規制機関
• 法定機関
• 警察
• 法律で定められた特定の機能を有するその他の管轄当局
• ユーザーが個人情報を共有することに明示的に同意した第三者
• ビジネスパートナーおよびサービスプロバイダー

データフロー：

1. データ収集：ユーザーデータは、個人がGambanのウェブサイトまたはアプリを介してサインアップしたときに収集されます。
2. データ送信：データはHTTPSを介してGambanのサーバーに安全に送信されます。ブロック機能を有効にするために、ユーザーのデバイスとGambanのシステム間でデバイス固有のデータの通信が行われます。
3. データストレージ：収集されたデータは、Azure（Microsoft Corporation）でホストされている暗号化されたデータベースに保存されます。
4. データの使用：データは前述のとおり処理されます。
5. データ共有：ユーザーが明示的に同意した場合、または法律で義務付けられている場合を除き、データは第三者と共有されません。
6. データ削除：ユーザーは、アプリまたはサポートを介してデータの削除を依頼することができます。削除されたデータは、12ヶ月以内にアクティブなサーバーとバックアップから完全に削除されます。

データ処理の場所

• プライマリデータ処理場所：データは、英国とEUでAzureがホストするサーバーで処理および保存されます。ブロック機能を使用できるように、ユーザーデバイス上でローカライズされたデータ処理が行われます。
• バックアップと災害復旧の場所：暗号化されたバックアップは、英国とEUに保存されます。
• サードパーティサービス： 以下の信頼できるサードパーティプロバイダーによって、限定的なデータ（電子メール通知やユーザーサポートなど）またはプラットフォーム固有のデータが処理される場合があります。
  • Zendesk, Inc.
  • Braintree（PayPalの子会社）
  • Apple Inc.
  • Google LLC。所在地および処理条件は、各データ処理契約に記載されています。

Gambanは、ユーザーデータの処理にあたり、次の法的根拠に依拠しています。

• 同意（第6条1項aおよび第9条2項a）：ユーザーは、サービスに登録する際に、個人データおよび特別カテゴリデータが処理されることに明示的に同意します。
• 契約の履行（第6条1項b）：ギャンブルブロッキングサービスを提供するという契約上の義務を果たすために、データ処理が必要です。
• 重要な公共の利益（第9条2項g）：特別カテゴリデータの処理は、国内法に沿って、ギャンブル関連の害を軽減するという公衆衛生の目的をします。

データ処理は、ユーザーのデバイス上でギャンブル関連コンテンツをブロックするというGambanのコア機能を提供するために不可欠です。例：

• 個人データ：ユーザーを認証して、デバイス固有のブロックを構成し、サポートを提供するには、電子メールアドレスとデバイス識別子が必要です。
• 特別カテゴリデータ：ギャンブルにおける自己排除と関係のある行動データにより、ギャンブル関連の害に対処するためにサービスを適応します。

これがなければ、Gambanはサービスを効果的に提供したり、ギャンブル関連の害を軽減するという使命を果たすことはできません。収集されるデータは、サービスの目的を達成するために必要最小限の範囲に抑えられます。措置には次のものが含まれます。

• 必須データのみ：Gambanは、個人データや機密データを収集しません。
• 匿名化：可能な限り、集約され匿名化されたデータを分析に使用します。

Gambanは、以下を含むデータ主体の権利を維持するための強力な措置を実施することにより、英国のGDPRへの準拠を保証します。

アクセス権（第15条）：

• ユーザーは、電子メールまたはアプリを介して自分の個人データへアクセスすることを求めることができます。
• Gambanは、通常1ヶ月以内にデータのコピーを提供し、それが明確かつ一般的に使用される形式であることを保証します。

訂正する権利（第16条）：

• ユーザーは、不正確または不完全な個人データの訂正を求めることができます。
• 変更は速やかに実施され、訂正が完了するとユーザーに通知します。

消去する権利（第17条）：

• ユーザーは、収集時の目的においてデータが不要になった場合、または同意を撤回した場合、データの削除を求めることができます。
• 有効な要求を受け取り次第、データは［指定された期間、例えば30日］以内にアクティブなシステムとバックアップから完全に削除されます。

処理の制限を求める権利（第18条）：

• ユーザーは、正確性や法的請求などの問題を解決する間、Gambanにデータの処理を一時的に制限するよう求めることができます。
• データは保存されたままですが、制限が解除されるまで積極的に処理されることはありません。

データポータビリティの権利（第20条）：

• ユーザーは、データを別のサービスに転送するために、体系的かつ機械読み取り可能な形式でそのコピーを要求できます。

異議を唱える権利（第21条）：

• ユーザーは、正当な利益またはダイレクトマーケティングに基づく処理に異議を唱えることができます。
• 異議申し立てがあった場合、Gambanは、それを覆す正当な理由がない限り、処理を停止します。

同意を撤回する権利（第7条3項）：

• ユーザーは、アカウント設定またはサポートへの問い合わせを通じて、いつでも同意を撤回することができます。

自動意思決定（第22条）：

• Gambanは、法的または同様に重大な影響をもたらす自動意思決定またはプロファイリングを行いません。

これらの権利を容易に行使できるようにするため、Gambanは以下を実施しています。

• プライバシーポリシーとクッキーポリシー：ユーザーが権利を行使する方法に関する明確な指示。
• ユーザーサポート：専門のサポートチームが、権利の行使に関するリクエストや問い合わせをサポートします。
• データ保護ポリシー：社内プロセスにより、リクエストに対して適時かつコンプライアンスに準拠した対応を保証します。

• DPIA中に利害関係者と協議しましたか？はい
• 誰と協議しましたか？
  • Jack Symons：共同創設者
  • Matt Zarb-Cousin：共同創設者
  • Nick Michalopoulos：データ保護責任者
• 協議の概要： DPIAプロセス中に、Jack Symons、Matt Zarb-Cousin、Nick Michalopoulosに、Gambanのデータ処理活動と、これらのプロセスがギャンブル関連の害を軽減するという当社の使命と整合しているかについての見解を求めて協議しました。彼らのフィードバックは、次の点で役立ちました。
  • 特別カテゴリデータの処理に関連する主要なリスクの特定
  • コアサービスを提供するためのデータ収集と処理の必要性の検証。
  • 既存のデータ保護措置をの確認、および必要に応じた改善の提案。
  • DPIAが、ユーザーのプライバシーと英国のGDPR要件への準拠に対するGambanの取り組みを反映していることの確認。

彼らの意見は、包括的かつ効果的なDPIAを形成する上で重要な役割を果たしました。

DPIAは、提案されたリスク軽減策により許容可能と見なされ、経営陣によって承認されました。現時点では、提案された措置によって軽減できない高いリスクは残っていません。 ただし、将来リスクが発生した場合は、次の手順を実行して解決または軽減します。

• 強化されたセキュリティ対策：追加の暗号化またはより頻繁な脆弱性スキャンの実装。
• 定期的な見直し：特に新しいサービスや機能が導入された場合に、データ処理の慣行を定期的に見直します。
• ユーザーへの通知：高リスクな状況が特定された場合、ユーザーに速やかに通知し、適切な是正措置を実施します。

完了日： 2024年11月14日

レビュー担当者（管理者）： Jack Symons

記録担当者：Nick Michalopoulos

• www.gamban.com/privacy
• www.gamban.com/privacy/cookies
• www.gamban.com/terms
• www.gamban.com/eula