データの取り扱い
収集方法
お客様は、Datadog Agent、API、インテグレーションの使用方法と構成によって、Datadog に送信されるデータの量と種類を管理します。これらの API、Agent、インテグレーションは、Datadog またはお客様のコンポーネントプロバイダーによって提供される場合もあれば、お客様の社内チームによって構築される場合もあります。Datadog が提供するものは主にオープンソースであり、いずれかのオープンソースライセンスの対象となります。オープンソースツールであるため、それらのコードについては、著作権、エラー、悪意のあるコードの有無をお客様が独自に精査できます。
データの種類
Datadog は、お客様のインフラストラクチャとアプリケーションの運用を効果的に分析できる単一画面での一元管理を提供します。Datadog は、氏名やメールアドレスなど、当社サービスの利用に必要な基本的なビジネス情報に加え、提供する製品に必要なデータを収集します。個人データを含む、より機密性の高い情報を共有するお客様については、規制要件を満たすために追加の契約上の義務が必要になる場合があります。Datadog では、共有されるデータの種類に応じて、サービス固有の条件およびその他の補足条件、データ処理補遺 (DPA)、または Business Associate Agreement (BAA) を提供しています。
データの除外
Datadog は、お客様が Datadog と共有することを選択したデータに不要なプライベートデータや個人データが含まれる場合に、それらの含有やそれらへのアクセスをスクラブ、難読化、フィルタリング、その他の方法で低減できるよう、手順、ツール、推奨事項を提供しています。これらのツールや推奨事項の詳細については、Datadog のドキュメントをご確認ください。
データの保存場所
お客様のチームは、アカウントの設定時に、事前に指定された場所のリストから、お客様のデータがホストされる国を選択します。Datadog は、お客様のデータのホスティング場所を変更しません。フォローザサン型のサポートモデルの一環として、お客様の担当者および Datadog の担当者が、お客様のホスト国外からデータにアクセスする場合があります。
データのセキュリティ
プライバシー、セキュリティ、機密性は、Datadog プラットフォームおよび当社が提供する各サービスの設計の一部を構成しています。Datadog では、すべての従業員にプライバシーとセキュリティに関するトレーニングを実施しています。当社のセキュリティページでは、Datadog のセキュリティ体制の概要や、SOC 2 Type 2 監査、ISO 27001 認証、Cloud Security Alliance への参加について確認できます。Datadog では、お客様および見込み客が、プライバシー、セキュリティ、コンプライアンスプログラムを裏付けるドキュメントを確認できるセルフサービスポータルを用意しています。Datadog プラットフォームのセキュリティに関連する詳細なドキュメント (独立した第三者監査証明書、BC/DR 計画などのコピーを含む) について、このポータルへのアクセスを支援できる Datadog 担当者にお問い合わせください。
地域別プライバシー
Datadog は多国籍に事業を展開しているため、事業を行う各地域の規制要件とデータ主体の期待に沿うよう取り組んでいます。Datadog が特定の規制にどのように対応しているかを以下に示します。
EMEA
一般データ保護規則 (GDPR)
2020 年 7 月、欧州連合司法裁判所は、Data Protection Commissioner v.Facebook Ireland and Maximillian Schrems (「Schrems II」) において、とりわけ、(1) 米国の Privacy Shield プログラムは米国へのデータ転送に使用できなくなったこと、および (2) GDPR で定められた転送メカニズム (欧州委員会が発行した標準契約条項 (「SCC」) を含む) は、データ輸入者の国の法令および慣行が転送ツールによる保護を侵害しない場合にのみ使用できることを判示しました。
転送影響評価
2020 年 7 月、欧州連合司法裁判所は、Data Protection Commissioner v.Facebook Ireland and Maximillian Schrems (「Schrems II」) において、とりわけ、(1) 米国の Privacy Shield プログラムは米国へのデータ転送に使用できなくなったこと、および (2) GDPR で定められた転送メカニズム (欧州委員会が発行した標準契約条項 (「SCC」) を含む) は、データ輸入者の国の法令および慣行が転送ツールによる保護を侵害しない場合にのみ使用できることを判示しました。この判決により、組織はデータ転送先国の法令および慣行を評価することが求められています。Datadog をベンダーとして利用している場合は、米国の Datadog への転送を評価する必要があります。このページでは、Datadog におけるデータ転送の概要をまとめています。さらに、お客様が独自の転送評価を実施するために必要な情報を提供する評価書を用意しました。
国際データ転送
Datadog の本社は米国にあり、世界各地で事業を展開しています。その結果、お客様の個人データは、米国を含め、Datadog またはそのサービスプロバイダーが事業を行う国に転送され、処理される場合があります。Datadog では、転送先または処理場所を問わず、当社のプライバシーポリシーに従ってお客様の個人データを保護しています。お客様が EEA、英国、またはスイスに所在し、お客様の個人データが、関連するデータ保護当局によって十分なレベルのデータ保護を提供していると認められていない国に転送される場合、その転送は、国固有の要件を満たすために必要に応じて修正された、欧州委員会承認の標準契約条項による保護がある場合にのみ行われます。Datadog の国際データ転送の詳細については、EEA データ転送 FAQをご覧ください。Datadog へのすべての個人データ転送が GDPR に準拠した転送メカニズムに基づいて行われるようにするため、Datadog は、国際データ転送に関するセクションを含み、必要に応じて欧州委員会承認の標準契約条項 (「SCC」) または英国の International Data Transfer Addendum を組み込んだデータ処理補遺 (「DPA」) をお客様と締結します。Datadog への個人データの転送の詳細については、当社 DPA の Schedule A を参照してください。Datadog との DPA にまだ署名しておらず、DPA が必要だとお考えの場合は、上記のリンクに記載されているとおり、カスタマーサクセスマネージャーまたは営業担当者にコピーをご依頼ください。
Datadog の復処理者
24 時間 365 日サポートを含む本サービスを提供するため、Datadog はお客様のデータを特定の信頼できるベンダー (復処理者) に開示する場合があります。このような再転送は特定の場合にのみ行われます。たとえば、お客様の個人データを、お客様がデータのホスト先として選択したクラウドサービスプロバイダーと共有する必要がある場合や、現地時間の営業時間外にテクニカルサポートを提供するため、Datadog のグローバル関連会社の 1 社と共有する必要がある場合があります。Datadog は、新しい復処理者を起用する少なくとも 30 日前に、その復処理者を当社の復処理者リストに追加します。Datadog の復処理者リストの下部にあるフォームに入力すると、これらの更新に関する通知を受け取ることができます。Datadog は、新しい復処理者を起用する前に、お客様から受領した個人データを安全に提供できるようにするため、厳格なベンダーオンボーディングプロセスの対象としています。これには、各ベンダーのセキュリティおよびプライバシーに関する実践が Datadog の厳格な要件を満たしていることの確認に加え、(1) お客様との DPA における保護と少なくとも同等の個人データ保護を提供し、(2) 個人データの再転送に関する SCC を含む DPA を Datadog と締結するよう求めることが含まれます。
米国
カリフォルニア州消費者プライバシー法 (CCPA) およびカリフォルニア州プライバシー権法 (CPRA)
CCPA は、カリフォルニア州の消費者に対して、個人データに関する一定のプライバシー権とより強い管理権を確立した画期的な州法です。最も顕著な点として、CCPA には、個人の知る権利、削除する権利、オプトアウトする権利、差別されない権利が含まれています。CPRA は CCPA を拡張し、プライバシー保護をさらに強化するとともに、カリフォルニア州の消費者の個人データに関する権利を拡大したものです。CCPA が Datadog にどのように適用されるかの詳細については、こちらをご覧ください。
医療保険の相互運用性と説明責任に関する法律 (HIPAA)
HIPAA は、特定の医療データである保護対象保健情報 (PHI) を保護するための国内基準を定めた米国連邦法です。HIPAA の規制対象となるお客様については、Datadog が業務提携者として行動する場合があり、転送される PHI を保護するために Business Associate Agreement (BAA) を締結します。Datadog の HIPAA プログラムは、当社のすべてのHIPAA 対象サービスに適用されます。
主な定義
個人データ
直接的または間接的に個人の特定に使用できるデータ。Datadog が処理する可能性のある個人データの例としては、認証および Datadog サービスの利用に使用されるアカウントのメールアドレスがあります。
顧客データ
お客様の環境から Datadog に送信されるデータ。GDPR の用語では、Datadog はこのデータの「処理者」ですが、お客様は引き続き「管理者」です。お客様は、Datadog が受信するデータの種類と量を管理します。
アカウントデータ
お客様がアカウントを作成するときに Datadog に提供する、お客様に関するデータ。これには、姓名などのフィールドや、ログインまたは請求用のメールアドレスが含まれます。これは、お客様の従業員に関するデータと考えると最もわかりやすいです。
使用状況データ
Datadog 製品のお客様による構成と使用に関連するデータ。
処理
GDPR での「処理」とは、個人データに関して組織が行うあらゆる操作を指します。例として、記録、構造化、結合、変更などが挙げられます。
データ処理契約 (DPA)
GDPR の下では、第三者によるデータ処理活動には、そのデータを処理する目的、データ主体の権利、データ侵害時の手続きなどの規定をまとめた DPA が必要です。Datadog の DPA については、こちらをご覧ください。
業務提携者契約 (BAA)
BAA は、HIPAA の対象となる事業体が、保護対象保健情報を処理する可能性のある第三者と締結する必要がある契約です。HIPAA 対応サービスについては、こちらをご覧ください。
標準契約条項 (SCC)
SCC は、EU から EU 域外の第三国に送信されるデータについて適切なデータ保護措置を確保するために、当社の DPA に追加される条項です。
サービス
当社の DPA において、サービスとは、お客様がサブスクリプション契約を行った製品を指します (https://app.datadoghq.com/ およびその他の Web ページからアクセス可能)。本サービスは、顧客データを収集して処理するテクノロジーです。当社の DPA において、サービスには、Datadog 製品のアルファ版、ベータ版、その他の市場提供前のリリースは含まれません。
復処理者
Datadog の復処理者の詳細については、こちらをご覧ください。
リソース