最終更新日: 2026 年 9 月 28 日

1. 適用範囲。

本データ処理規約 (「DPA」) は、本契約に定める Stripe 事業体 (およびその関連会社。以下、総称して「Stripe」) と、本契約に定めるユーザーとの間で締結され、本契約に従い、参照により本契約に組み込まれます。本 DPA は、Stripe およびその関連会社による個人データの処理を規定します。

2. データ処理者およびデータ管理者としての Stripe。

3. データ処理者を務める場合の Stripe の義務。

3.1 義務。

Stripe がユーザーのデータ処理者を務める場合、Stripe はデータ保護法で義務付けられている範囲で、次のことを行います。

(a) ユーザーに代わって、ユーザーの指示に従って個人データを処理すること。Stripe は、指示がデータ保護法に違反または抵触すると判断した場合、ユーザーに通知します。

(b) Stripe が個人データの処理を許可するすべての人物が、知る必要性のある場合に限り個人データへのアクセスを許可され、当該個人データの機密性を尊重する義務を負うよう取り計らうこと。

(c) データ保護法に基づき、(i) 自身の個人データへのアクセス (CCPA に基づく知る権利など)、(ii) 自身の個人データの訂正もしくは消去、(iii) Stripe による処理に対する制限もしくは異議申し立て、または (iv) データポータビリティの権利 (以下総称して「データ主体の請求」) を行使する、データ主体から Stripe への各請求 (CCPA で定義される「確認可能な消費者請求」を含む) についてユーザーに通知すること。Stripe は、詳細情報を要求する場合、データ主体を特定する場合、該当する場合はデータ主体にデータ管理者であるユーザーへ問い合わせるよう案内する場合を除き、ユーザーが書面で対応するよう Stripe に指示しない限り、上記の請求には対応しません。処理の性質を考慮し、Stripe は、ユーザーがデータ主体の請求に対応する義務を果たすことができるよう、可能な限り、適切な技術的および組織的対策によってユーザーを支援します。

(d) Stripe に対し、個人データを開示することと、Stripe が個人データの開示を要求されるような調査に参加することを求める法執行に関する請求を、Stripe が政府機関から受けるたびに、法律で禁止されていない限り、これをユーザーに通知すること。

(e) ユーザーから書面で請求があれば、ユーザーがデータ保護法に基づく義務を遵守できるように合理的な支援を提供すること。Stripe は、処理の性質および Stripe が入手し得る情報を考慮して、ユーザーがデータ保護影響評価を実施したり、監督機関に相談したりできるように合理的な情報を提供します。ユーザーがデータ保護法または本契約に基づく Stripe の義務を超える支援を Stripe に求めた場合、Stripe は妥当な手数料をユーザーに請求することがあります。

(f) Stripe でデータインシデントが発生した場合、不当に遅滞することなくユーザーに通知すること。GDPR またはイギリスの GDPR の適用対象となる個人データに影響を及ぼすデータインシデントの場合、いずれも当該データインシデントを認識してから 48 時間以内に通知します。Stripe に判明している範囲で、ユーザーへの通知には、(i) 当該データインシデントの対象となった個人データの種類、(ii) 影響を受けた個人または記録のカテゴリーおよび推定数 (所在国を含む)、ならびに (iii) Stripe の調査状況および現在または計画中の修復措置が、合理的に詳細に記載されます。通知後、Stripe はユーザーがデータ保護法に基づく義務を遵守できるように、関連する最新情報を提供します。

(g) ユーザーから書面で請求があれば、監査レポートをユーザーに提供することにより、監査または検査に協力すること。この請求に従い、年 1 回を上限として、Stripe は速やかに文書を提供するか、または、Stripe およびその関連会社による個人データの処理に関する、合理的な範囲と期間の書面によるデータセキュリティの質問票に回答します。提供されるすべてのレポートや文書 (セキュリティの質問票に対する回答を含む) は、Stripe の機密情報となります。

(h) 本契約の終了後、ユーザーの選択に応じて、本サービスに関連して処理されたすべての個人データを削除またはユーザーに返却し、既存のコピーを削除すること。ただし、Stripe による当該個人データまたは当該コピーの保存が、(i) 本契約に基づく Stripe の権利の行使および義務の履行に必要である場合、または (ii) データ保護法により長期間の保存が義務付けられているか許可されている場合、Stripe は当該個人データの削除もしくは返却、または既存のコピーの削除を義務付けられません。

3.2 サブプロセッサー。

(a) Stripe は、本サービスを実行するために必要に応じて、自身の関連会社を含むサブプロセッサーを利用します。ユーザーは、Stripe サブプロセッサーリストに記載されている既存のサブプロセッサーを Stripe が使用することに同意し、本サービスを実行するために必要に応じてサブプロセッサーを利用することについて、Stripe に包括的な書面による承認を与えます。ユーザーが Stripe サブプロセッサーリストのメール通知を登録している場合、Stripe がそのリストに 1 社以上のサブプロセッサーを追加する意向があるときは、変更が有効になる少なくとも 30 日前にメールでユーザーに通知します。ユーザーは、変更の通知を受け取ってから 30 日以内であれば、正当な理由に基づいて変更に合理的に異議を唱えることができます。ユーザーは、Stripe のサブプロセッサーが本サービスの提供に不可欠であること、およびユーザーが Stripe によるサブプロセッサーの使用に異議を唱えた場合、本契約 (本 DPA を含む) の別段の規定にかかわらず、Stripe が当該サブプロセッサーを使用する本サービスをユーザーに提供する義務を負わないことを了承します。

(b) Stripe は、各サブプロセッサーと書面の契約を締結し、適切なデータセキュリティ対策を講じる義務を含め、本 DPA に基づいて Stripe に課される義務と同等の義務を当該サブプロセッサーにも課すものとします。サブプロセッサーが当該契約に基づくデータ保護義務を履行できなかった場合、Stripe は、本 DPA に基づいて該当するサービスを自ら実行した場合に Stripe が負うのと同等の範囲で、当該サブプロセッサーの作為および不作為についてユーザーに対して引き続き責任を負います。

3.3 米国固有のデータ保護義務。

米国の州データ保護法が適用され、かつ Stripe がデータ処理者を務める範囲において、Stripe は米国の州プライバシー法に基づく自らの義務を理解し、以下の事項を遵守することを保証します。 

(a) 個人データを販売または共有しないこと (CCPA における定義による)。 

(b) 本 DPA、本契約に定められた目的、または法律で別途許可された目的のためにのみ個人データを処理すること。

(c) Stripe の製品とサービスを提供する場合、または法律を遵守するために必要な場合を除き、ユーザーとの直接的なビジネス関係の範囲外で個人データを保持、使用、または開示しないこと。 

(d) ユーザーから、またはユーザーを通じて受領した個人データを、個人から受領した、または個人に代わって受領した個人データ、あるいは Stripe が当該個人とのやり取りを通じて収集した個人データと組み合わせないこと。ただし、米国の州データ保護法により許可されている場合、または当該個人の指示による場合はこの限りではない。 

(e) 個人データを、米国の州データ保護法で義務付けられている水準以上で保護すること。

(f) 米国の州データ保護法に基づく義務を履行できなくなったと判断した場合はユーザーに通知し、許可されていない個人データの処理を是正するための合理的かつ適切な措置を講じる権利をユーザーに付与すること。

3.4 免責事項。

本 DPA を含む本契約の別段の規定にかかわらず、Stripe およびその関連会社は、Stripe がユーザーの指示に従って行動していた範囲において、Stripe またはその関連会社の作為または不作為に起因または関連してデータ主体が行ったいかなる請求についても責任を負いません。

4. データ管理者を務める場合のユーザーの義務。

4.1 指示。

ユーザーが Stripe に行う指示は、合法的である必要があります。

4.2 データ保護法の遵守。

ユーザーは、データ主体の権利、データセキュリティ、および機密保持に関するものを含め、データ保護法に基づくユーザーの義務を遵守および履行する必要があり、また、ユーザーが本 DPA を含む本契約に定めるとおり個人データを処理するにあたり、適切な法的根拠を有するよう取り計らう必要があります。

4.3 開示事項。

ユーザーは、Stripe が本 DPA を含む本契約の記載に従ってユーザーから提供された個人データを合法的に処理できるように、データ主体 (顧客を含む) に対し、必要なすべての通知を提供し (プライバシーポリシーの提示を含む)、データ主体から必要なすべての権利、許可、および同意を取得する必要があります。ユーザーは、自身が顧客に提供する通知の内容について単独で責任を負います。

5. データ管理者を務める場合の Stripe の義務。

Stripe は、個人データを処理する際、データ保護法に基づく義務を遵守および履行する必要があります。これには、Stripe が個人データを収集、使用、保持、開示、および保護する方法と目的を説明するプライバシーポリシーの提示が含まれます。

6. データ移転。

6.1 ユーザーによるデータの越境移転。

ユーザーは、Stripe による本サービスの提供のために、ユーザーが米国の Stripe, LLC に個人データを移転することを了承します。この移転にデータ移転メカニズムを必要とする個人データが含まれる場合、本 DPA の一部となっているデータ移転に関する補遺が適用されます。

6.2 Stripe によるデータの越境移転。

Stripe およびその関連会社は、本サービスを提供するために必要に応じて、グローバルに個人データを移転する場合があります。特に、個人データは米国の Stripe, LLC ならびに他の法域にある Stripe の関連会社およびサブプロセッサーに移転される場合があります。

7. 矛盾。

本 DPA の規定と次の文書の規定との間に矛盾がある場合、その矛盾する範囲において、次のように取り扱います。

(a) 個人データの処理に関する本契約の規定と矛盾する場合、本 DPA の規定が優先されます。

(b) データ移転に関する補遺の規定と矛盾する場合、データ移転に関する補遺の規定が優先されます。

8. 定義。

大文字で始まる用語のうち本 DPA で定義されていないものは、本契約で定められた意味を持ちます。

「本契約」は、www.stripe.com/legal/ssa に掲載されている、ユーザーと Stripe の間の Stripe 利用規約で定められた意味、または当事者間で別途合意された意味を持ちます。

「認定サービス」とは、政府機関が許可、認可、または規制する本サービスを意味します。

「CCPA」とは、2018 年カリフォルニア州消費者プライバシー法 (カリフォルニア州民法第 1798.100 条～第 1798.199 条) およびその施行規則を意味します。

「データ管理者」とは、単独で、または他者と共同で、個人データを処理する目的および手段を決定する法主体を意味し、該当する場合、CCPA で定義される「事業者 (Business)」を含む場合があります。

「データインシデント」とは、当事者もしくはその関連会社が、または当事者またはその関連会社の下請業者、代理人、もしくは代表者が所有または管理する個人データの、不正または違法な処理、使用、アクセス、紛失、開示、破棄、または改ざんを意味します。

「データプライバシーフレームワーク」とは、米国商務省が運営する EU・米国間、スイス・米国間、またはイギリス・米国間のデータプライバシーフレームワークの自己認証プログラムのうち、該当するものを意味します。

「データ処理者」とは、データ管理者に代わって個人データを処理する法主体を意味し、該当する場合、CCPA で定義される「代行業者」を含む場合があります。

「データセキュリティ対策」とは、処理のリスクに適したセキュリティレベルまで個人データを保護することを目的とした技術的および組織的な対策を意味します。

「データ主体」とは、個人データに関連する、識別されたまたは識別可能な自然人を意味します。

「データ移転メカニズム」とは、データ保護法に基づく個人データの合法的な越境移転を可能にする移転メカニズムを意味します。これには、EEA、スイス、イギリスにおけるデータ保護法に基づき要求される移転メカニズム (データプライバシーフレームワーク、EEA 向け SCC、イギリス国際データ移転に関する補遺など)、および本 DPA の一部となっているデータ保護法に基づく利用可能なデータ移転メカニズムが含まれます。

「データ移転に関する補遺」とは、www.stripe.com/legal/dta に掲載されているデータ移転に関する補遺を意味し、随時更新されます。

「データ保護法」とは、本契約および本 DPA に基づく個人データの処理に適用される法律を意味し、プライバシー、データ保護、およびデータセキュリティに何らかの形で関連する国際法、連邦法、州法、および地方の法律が含まれます。

「EEA」とは、欧州経済領域を意味します。

「EEA SCC」とは、GDPR に基づく第三国への個人データの移転に関する標準契約条項を定めた欧州委員会実施決定 (EU) 2021/914 に規定される標準契約条項のモジュール 1 (移転: 管理者から管理者)、モジュール 2 (移転: 管理者から処理者)、および該当する場合はモジュール 3 (移転: 処理者から処理者) を意味します。

「GDPR」とは、一般データ保護規則 (EU) 2016/679 を意味します。

「指示」とは、データ管理者がデータ処理者に対して、当該データ管理者のために個人データの特定の処理を実行するよう指示する通信または文書 (Stripe API や Stripe ダッシュボードを通じて行われるもの、またはユーザーと Stripe の間の書面による合意を含む) を意味します。

「共同管理者」とは、1 社以上のデータ管理者と共同して個人データを処理する目的および手段を決定するデータ管理者を意味します。

「個人データ」とは、本サービスに関連して処理される識別可能な自然人に関するあらゆる情報を意味し、GDPR で定義される「個人データ」、および CCPA で定義される「個人情報」を含みます。

「プライバシーポリシー」とは、当事者の個人データに関する慣行とコミットメントを定めた、公的に掲示されたプライバシーポリシー、プライバシー通知、データポリシー、クッキーポリシー、クッキー通知、その他これらに類する公開ポリシーまたは公開通知の一部またはすべてを意味します。

「処理する」とは、データ保護法に定めるとおり、個人データまたは個人データの集合に対して何らかの操作または一連の操作 (収集、記録、整理、構造化、保存、改造または改変、検索、参照、使用、送信による開示、配布、またはその他の方法による提供、整列または結合、制限、消去、破壊など) を実行することを意味します。「処理された」および「処理」も、これに対応する意味を持ちます。

「機密データ」とは、データ保護法において個人データの特別なカテゴリーとして別個に扱われる範囲において、(a) 遺伝データ、生体認証データ、健康に関するデータ、自然人の性生活もしくは性的指向に関する個人データ、(b) 人種や民族、政治信条、宗教的もしくは哲学的信念、労働組合への加入に関するデータ、(c) 位置情報データ、または (d) CCPA で定義される機密の個人情報を意味します。

「サブプロセッサー」とは、データ処理者が本サービスに関連して、当該データ処理者に代わって個人データを処理させるために利用する法主体を意味します。

「Stripe サブプロセッサーリスト」とは、www. stripe.com/legal/service-providers に掲載されている Stripe のサブプロセッサーおよび関連会社のリストを意味し、随時更新されます。

「監督機関」とは、独立した公的機関であって、(i) GDPR 第 51 条に基づき欧州連合加盟国により設立されたもの、または (ii) ユーザーに対する監督権限と管轄権を有する、データ保護を管轄する公的機関を意味します。

「UK GDPR」とは、2018 年欧州連合 (離脱) 法第 3 条によりイギリス国内法に組み込まれ、2019 年データ保護、プライバシー、電子通信 (改正等) (EU 離脱) 規則により修正された GDPR を意味します。

「イギリス国際データ移転に関する補遺」とは、イギリスの情報コミッショナーオフィスにより発行された EEA 向け SCC に付属する、国際データ移転に関する補遺を意味します。

「米国の州データ保護法」とは、米国で適用されるデータ保護法を意味し、CCPA、バージニア州消費者データ保護法、コロラド州プライバシー法、コネチカット州データプライバシー法、ユタ州消費者プライバシー法などが含まれる場合があります。

別紙: STRIPE データセキュリティ

DPA をダウンロード

クリックして Stripe DPA をダウンロード