情報セキュリティへの取り組み

ブラジル一般データ保護法（Lei Geral de Proteção de Dados Pessoais「LGPD」）は、2020年9月18日に発効しました。 LGPDは総合的なデータ保護法で、データ管理者と処理者の活動および個人の権利について規定しています。

Zendeskサービス内で個人データを収集し保管するZendeskのサブスクライバーは、LGPDに基づき「管理者」とみなされます。 管理者は、その個人データの処理が、LGPDを含む関連するデータ保護法を順守するよう確保する主たる責任を負います。 Zendeskは、当社サービスを通じて行う個人データの処理に関し、LGPDで定義される「処理者」として機能します。

サブスクライバーは、Zendeskの製品をコンプライアンスイニシアティブに沿って使用する方法の詳細を知りたい場合、「製品ガイド」と「サービスデータ削除ポリシー」をご覧ください。国立データ保護機関（「ANPD」）は、将来、LGPDに関する追加のガイダンスを発行する可能性があります。 Zendeskは、今後も法律の変更を積極的に追跡し、当社のサブスクライバーのコンプライアンスの取り組みを支援するために使用できる特性や機能について、最新情報を提供していきます。

ZendeskのLGPDに関する補遺は、Zendeskのデータ処理契約に組み込まれています。 Zendeskのデータ処理契約を閲覧したい場合、または署名したい場合は、こちらをクリックしてください。

カリフォルニア州消費者プライバシー保護法, Cal. Civ. Code §§ 1798.100 et seq.（「CCPA」）は、カリフォルニア州で制定された米国の法律で、2020年1月1日に施行されました。 同法は、一定のカリフォルニア州消費者に提供されるプライバシーの権利を拡大し、一部の企業に様々なデータ保護要件の順守を要求しています。 最終版CCPA規則およびカリフォルニア州プライバシー権法（「CPRA」）もご確認ください。 いくつかのCPRAの規定は、2020年12月16日に発効されており、CRPAの残りの条項は2023年1月1日に施行されました。

Zendeskサービス内で個人情報を収集し保管するZendeskのサブスクライバーは、CCPAに基づき「事業者」とみなされます。 事業者は、その個人データの処理が、CCPAを含む関連するデータ保護法を順守するよう確保する主たる責任を負います。 Zendeskは、当社サービスを通じて行う個人データの処理に関し、現行のCCPAで定義される「サービス提供者」として機能します。 そのためZendeskは、本サービスを通じて処理されるサブスクライバーとサブスクライバーのエンドユーザーの個人情報を、サブスクライバーとの既存の契約に基づく当社の義務を履行する目的のためにのみ、収集、アクセス、維持、使用、処理、移転します。そのような義務を遂行する以外の商業目的、および当社が提供する本サービスを改善する以外の商業的目的で、個人情報を収集、アクセス、維持、使用、処理、移転することはありません。

Zendeskは、サブスクライバーの個人情報を、CCPAに定義される意味で「販売」しません。 Zendeskは、CCPAにおいて個人情報とはみなさない、本サービスの利用に関する集計されたおよび／または匿名化された情報を、本サービスの開発と改善のため、またサブスクリプション契約に詳述されるとおり、より関連性の高いコンテンツとサービスを提供するため、当社を支援するサードパーティと共有することがあります。

ZendeskのCCPAに関する補遺は、Zendeskのデータ処理契約に組み込まれています。 Zendeskのデータ処理契約を閲覧したい場合、または署名したい場合は、こちらをクリックしてください。

Zendeskのメインサービス契約の米国各州に関する補遺を閲覧したい場合、またはこれに署名したい場合は、こちらをクリックしてください。

カナダの個人情報保護および電子文書法（PIPEDA）は、2000年に発効し、同法は個人情報の収集、使用、アクセス、および開示の規則を形成する10の公正な情報の原則に主眼に置いています。 2021年10月、カナダ国際技術協会（ITAC）と、情報技術産業評議会（ITIC）は、カナダ市民へより大きなプライバシーと透明性の権利を与えるよう、PIPEDAを改正することを提案しました。

ZendeskのDPAは、こちらで閲覧できるとともに署名できます。 Zendeskのデータ処理契約（DPA）は当社サービスに適用される特定の処理活動とセキュリティ対策について規定し、EU標準契約条項（SCC）を含みます。

サブスクライバーは、「製品ガイド」および「サービスデータ削除ポリシー」をお読みになり、データ保護法およびプライバシー法を順守して、Zendeskの製品を使用するための詳細情報を確認してください。

設立当初より、Zendeskのアプローチは、プライバシー、セキュリティ、コンプライアンス、および透明性への強いコミットメントを柱としてきました。 このアプローチには、当社のサブスクライバーが、一般データ保護規則（「GDPR」）の規定をはじめとするEUデータ保護要件を順守するよう支援することが含まれます。

GDPRは、EU市民の個人データを収集、移転、ホストまたは分析するサブスクライバーに対し、GDPRの技術的および組織上の要件を履行する能力を保証する、サードパーティデータ処理者を起用することを求めています。 サブスクライバーの信頼をさらに得られるように、Zendeskはデータ処理契約（「DPA」）を更新して、適用されるEUデータ保護法に準拠することについてお客様に対し契約上の約束を行うとともに、GDPRで要求された契約上の追加規定を盛り込みました。

拘束的企業準則（BCR）： 拘束的企業準則（「BCR」）は、欧州経済領域内（「EEA」）からEEA域外の諸国に個人データを円滑に移転するための全社的なデータ保護ポリシーであり、欧州データ保護当局から承認を受けています。 BCRは、欧州共同体データ保護当局が規定した厳格なプライバシー原則にもとづいており、これらの当局と集中協議することが要求されます。 サブスクライバーは、認定組織の全リストを、こちらにある拘束的企業準則認定組織リストで確認いただけます。 2017年に、Zendeskは、アイルランドデータ保護監督官（「DPC」）との間で、処理者および管理者として、BCRのEU承認手順を完了しました（英国情報委員会とオランダデータ保護当局の両者による審査を完了しています）。 重要な規制当局からの承認により、Zendeskがグローバルで顧客とその従業員の両方の個人データを保護するために、可能な限り最高の基準に準拠していることが確認されました。 Zendeskは、世界で初めてBCRについて承認を受けたソフトウェア会社の1社であり、アイルランドのDPCより承認を受けた2番目の会社です。

ZendeskのEU BCRと英国の補遺に関しては以下をご覧ください。

• Zendeskの拘束力のある企業規則およびプライバシーコンプライアンスプログラム

データ主体の請求： サブスクライバーのサービスデータ内でサブスクライバーに代わり当社が保存または処理する個人データに関してデータ保護権を行使しようとする個人（かかる個人データへのアクセスを求める、または個人データの修正、変更、削除、移動、または処理の制限を求める個人を含みます）は、そのような照会を当社サブスクライバー（データ管理者）に対し行う必要があります。 サブスクライバーから、Zendeskに対して個人データを削除するよう請求を受けた場合、当社は、30日以内にそのような請求に対応します。 当社は、サブスクライバーに本サービスを提供するために必要な期間、個人データを保持し、サブスクライバーに代わりデータを処理し、保存します。

Zendeskのデータ主体の請求に関してはこちらのWebフォームをご利用ください：https://www.zendesk.com/datasubjectrequest/

HDSは、Zendeskのプラットフォームを、適切な技術的および統制手段を有しており、個人健康情報（PHI）を保護するものとして認定し、フランスの医療従事者に、Zendeskの顧客サービスとエンゲージメントプラットフォームを安心して使ってもらえるようにしています。 詳細情報は、こちらで閲覧できます。

2020年12月1日に施行された2020年ニュージーランドプライバシー法は、代理業者に適用され、1993年の原則にもとづく枠組みを維持しています。 2020年プライバシー法では、事業者にはニュージーランド国外に送信する個人情報が適切に保護されるよう確保する責任があると定めており、また義務的な違反通知要件を追加しました。https://www.zendesk.co.jp/company/anz-privacy/

シンガポール個人データ保護法は、2014年7月2日付で、個人データの収集、使用、開示に適用されるデータ保護法規を制定しました。 Zendeskは、シンガポール情報通信開発庁（IDA）に、SaaS（サービスとしてのソフトウェア）のサービス業者として認定されています。 詳細情報は、こちらで閲覧できます。

英国は、2020年1月31日に欧州連合を離脱しました。 2021年6月28日、欧州委員会は、GDPRに基づく英国への個人データの移転について十分性認定を採択しました。

HIPAA対応アカウントを取得するには、（1） 高度セキュリティ対応関連サービスまたは高度コンプライアンス対応関連サービスアドオンを購入し、（2） Zendeskの概要説明にしたがって一連のセキュリティ設定を有効化し、かつ （3） 当社の業務提携契約（「BAA」）に署名する必要があります。 HIPAAに準拠しているサービスの一覧などの詳細は、「高度なコンプライアンス」をご覧ください。

Zendeskが開発したモデルはすべて分類モデルおよびクラスタリングモデルです。つまり、Zendeskが作成したカテゴリのいずれかに入力を読み取り、分類するようにトレーニングされています。 これらのモデルは生成的でないため、モデルによってコンテンツが生成されることはなく、モデルによってトレーニングデータが再現されることもありません。

Zendeskは、機械学習モデルのトレーニングに顧客のサービスデータを使用していますか？

Zendeskは、次の3種類の機械学習機能を提供します。

1. アカウント固有の機械学習機能：Zendeskは、アカウントに存在するデータのみを使用して、アカウントに合わせた分類モデルおよびクラスタリングモデルを作成します。 アカウント固有のモデルは、他のお客様によって使用されることはありません。

2. 一般的な機械学習機能：Zendeskは、サービスデータを使用して、一般的なアカウント横断的な機械学習モデルをトレーニングし、複数のZendesk顧客にとって予測的で役立つものにします。 これには、グローバルモデルと業界モデルが含まれます。 これらのモデルは、「生成」ではない（つまり、テキストを作成しない。詳しくはモデルセキュリティのセクションをご確認ください。）ため、ある顧客のサービスデータを別の顧客に開示することはありません。

3. 生成AI機械学習機能：すべての生成AI機能は、サードパーティの大規模言語モデルを使用しています。 これらのモデルは事前トレーニングされています。Zendeskの顧客データを、サードパーティ大規模言語モデルのプロバイダがそれぞれのモデルをトレーニングするために使用することはありません。 Zendeskの生成AIについて知る。

モデルのトレーニングに使用する場合、Zendeskはサービスデータをどのように保護しますか？一般的な機械学習機能のトレーニングにサービスデータが使用される前に、Zendeskは必要に応じて集計とサニテーション処理を行います。 モデルのトレーニングに、個人データやチケットの添付ファイルを取り込むためのフィールドは使用しません。Zendeskは、モデルによってサービスデータが再現されないことを保証します。ある顧客のデータがモデルの出力を通じて別の顧客に公開されるリスクはありません。 AIデータ使用情報を参照してください。

非生成機械学習モデルは、人間のアノテーションにより評価されています。 これは、ラベル付けの品質において最高水準であり、Zendeskが分類モデルの評価をする上で最も信頼性のある方法です。

ハルシネーション（幻覚）は生成AI機能に対する本質的なリスクです。 Zendeskは、このリスクを軽減するために3つのことを行います。

• Zendeskは、生成された返答または検索結果が特定のナレッジ ベース コンテンツにもとづいていることを保証するために、取得拡張生成（RAG）技術を利用します。

• Zendeskの開発チームは、ハルシネーションに関する否定的なエンドユーザーフィードバックがあった返答を定期的に検査し、そのようなシナリオを自動的に検出して防止できるツールを開発します。

• Zendeskは、ゴールデンデータセットと人間のアノテーションを使い、大規模言語モデルを体系的に評価するベンチマークプラットフォームを開発しました。 現実的なデータと人間の監督を基盤とした評価を行うことで、期待通りにモデルが機能しないリスクを低減できます。

サービスデータはすべて、Zendeskの既存のAWSリージョンでホストされます。ただし、QAおよびAIエージェント（Advanced）のような買収により提供される特定の機能は、Zendeskに完全に統合されるまでの一定期間、米国および／または欧州のGoogle Cloud Platform（GCP）ホスティング地で引き続きホストされることがあります。 復処理者のホスティング場所については、Zendesk復処理者ポリシーを参照してください。

Zendesk AIの利用は、データセンターロケーションアドオンで利用可能なものを含め、データの場所に関するお客様のコミットメントに影響を与えません。 対象となるお客様のサービスデータは、指定されたリージョンで引き続きホストされます。

Zendeskのすべての製品と機能はプライバシーを考慮して設計されており、Zendesk AIも例外ではありません。

Zendesk AI機能を含むZendeskをご利用になるお客様は、プライバシーに関するさまざまな法律（GDPRやCCPAを含む）を遵守することができます。

データ最小化機能

Zendeskは、ご契約のプランに関わらずチケット およびエンドユーザーデータの削除スケジュール機能をご利用いただけます。 より詳細なデータ削除要件を搭載した高度なデータプライバシーとデータ保護をご利用のお客様は、高度なデータ保持ポリシーを活用し条件を設定できる削除スケジュールを作成することができます。

さらに、Zendeskのお客様は全て、標準的な削除機能をご利用いただけるため、チケットの機密情報を永久的に削除することができます。 高度なデータプライバシーとデータ保護をご利用のお客様は、AIを活用した削除提案の機能を活用することで、チケット内の特定の種類のデータが自動でハイライトされるため、エージェントは速やかに墨消しすることができます。

通知および同意機能

Zendeskのプライバシーレイヤーは、データの最小化だけでなく、エンドユーザーへの通知および同意オプションをネイティブ機能として提供しています。

音声通話をご利用のお客様には、通話のサービス回線を通した通知の提供および同意の収集のさらなるオプションを提供しています。 お客様は、簡単な挨拶またはプロセスへの同意を求めるメッセージから選択することができます。挨拶は、標準的なスクリプトまたは企業のニーズやトーンに合わせてカスタマイズすることができます。

メッセージングをご利用のお客様は、Zendeskのネイティブ機能であるプライバシー通知オプションを使い、メッセージを送信するエンドユーザーに法規定を表示することができます。 これにより、チャットを送信するユーザーに、瞬時に顧客のプライバシー規約を周知させることができるため、よくあるプライバシーの問題を回避することができます。

Zendesk AIは、Zendeskの事業提携契約（BAA）の適用対象となります。

ZendeskとのBAAの締結に関心のあるお客様は、Advanced Compliance Add-onのアクセスを保有する必要があります。

その他のZendeskポリシーはこちらをご覧ください。