最終更新日: 2025 年 11 月 18 日

本データ処理規約 (以下「DPA」) は、本契約に従いその一部を構成するものであり、Stripe およびその関連会社による個人データの処理を規定するものです。

1. 会社形態。

ユーザーの Stripe アカウントが北米または南米にある場合、ユーザーは Stripe, LLC との間で本 DPA を締結します。ユーザーの Stripe アカウントがその他の地域にある場合、ユーザーは Stripe Payments Europe, Limited (以下「SPEL」) との間で本 DPA を締結します。したがって、本 DPA で「Stripe」という場合、必要に応じて Stripe, LLC または SPEL を意味します。

2. データ処理者およびデータ管理者としての Stripe。

3. データ処理者を務める場合の Stripe の義務

3.1 義務。

Stripe がユーザーのデータ処理者を務める場合、Stripe はデータ保護法で義務付けられている範囲で、次のことを行います。

(a) ユーザーに代わって、ユーザーの指示に従って個人データを処理すること。Stripe は、独自の裁量により、指示がデータ保護法に違反または抵触していると判断した場合、ユーザーに通知します。

(b) Stripe が個人データの処理を許可するすべての人物が、知る必要性のある場合に限り個人データへのアクセスを許可され、当該個人データの機密性を尊重する義務を負うよう取り計らうこと。

(c) データ保護法に基づき、(i) 自身の個人データへのアクセス (CCPA に基づく知る権利など)、(ii) 自身の個人データの訂正もしくは消去、(iii) Stripe による処理に対する制限もしくは異議申し立て、または (iv) データポータビリティの権利 (以下総称して「データ主体の請求」) を行使する、データ主体から Stripe への各請求 (CCPA で定義される「確認可能な消費者請求」を含む) についてユーザーに通知すること。Stripe は、詳細情報を要求する場合、データ主体を明らかにする場合、およびユーザーのデータ管理者にデータ主体を指名する場合を除き、ユーザーが書面で指示しない限り、上記の請求には対応しません。処理の性質を考慮し、Stripe は、ユーザーがデータ主体の請求に対応する義務を果たすことができるよう、可能な限り、適切な技術的および組織的対策によってユーザーを支援します。

(d) Stripe に対し、個人データを開示することと、Stripe が個人データの開示を要求されるような調査に参加することを求める法執行に関する請求を、Stripe が政府当局から受けるたびに、法律で禁止されていない限り、これをユーザーに通知すること。

(e) ユーザーの書面による請求に従い、ユーザーがデータ保護法に基づく義務を遵守できるように合理的な支援を提供すること。Stripe は、処理の性質および Stripe が入手し得る情報を考慮して、ユーザーがデータ保護影響評価を実施したり、監督機関に相談したりできるように合理的な情報を提供します。ユーザーがデータ保護法または本契約に基づく Stripe の義務を超える支援を Stripe に求めた場合、Stripe は妥当な手数料をユーザーに請求することがあります。

(f) Stripe でデータインシデントが発生した場合、不当に遅滞することなくユーザーに通知すること。GDPR またはイギリスの GDPR の対象となる個人データに影響を及ぼすデータインシデントの場合、いずれも当該データインシデントを認識してから 48 時間以内に通知します。Stripe に判明している範囲で、ユーザーへの通知には、(i) 当該データインシデントの対象となった個人データの種類、(ii) 影響を受けた個人または記録のカテゴリーおよび潜在的な数 (所在国を含む)、ならびに (iii) Stripe の調査状況および現在または計画中の修復措置が、合理的に詳細に記載されます。通知後、Stripe はユーザーがデータ保護法に基づく義務を遵守できるように、関連する最新情報を提供します。

(g) ユーザーから書面で請求があれば、監査レポートをユーザーに提供することにより、監査または検査に協力すること。この請求に従い、年 1 回を上限として、Stripe は速やかに文書を提供するか、または、Stripe およびその関連会社による個人データの処理に関する、合理的な範囲と期間の書面によるデータセキュリティの質問票に回答します。提供されるすべてのレポートや文書 (セキュリティの質問票に対する回答を含む) は、Stripe の機密情報となります。

(h) 契約の終了後、ユーザーの選択に応じて、本サービスに関連して処理されたすべての個人データを削除またはユーザーに返却し、既存のコピーを削除すること。ただし、Stripe による当該個人データまたは当該コピーの保存が、(i) 本契約に基づく Stripe の権利の行使および義務の履行に必要である場合、または (ii) データ保護法により長期間の保存が義務付けられているか許可されている場合、Stripe は当該個人データの削除もしくは返却、または既存のコピーの削除を義務付けられません。

3.2 サブプロセッサー。

(a) Stripe は、本サービスを実行するために必要に応じて、自身の関連会社を含むサブプロセッサーを利用します。ユーザーは、Stripe サブプロセッサーリストに記載されている既存のサブプロセッサーを Stripe が使用することに同意し、本サービスを実行するために必要に応じてサブプロセッサーを雇う包括的な権限を、書面で Stripe に付与します。ユーザーが Stripe サブプロセッサーリストのメール通知を登録している場合、Stripe がそのリストに 1 社以上のサブプロセッサーを追加する意向があるときは、変更が有効になる少なくとも 30 日前にメールでユーザーに通知します。ユーザーは、変更の通知を受け取ってから 30 日以内であれば、正当な理由に基づいて変更に合理的に異議を唱えることができます。ユーザーは、Stripe のサブプロセッサーが本サービスの提供に不可欠であること、およびユーザーが Stripe によるサブプロセッサーの使用に異議を唱えた場合、本契約 (本 DPA を含む) の別段の規定にかかわらず、Stripe が当該サブプロセッサーを使用する本サービスをユーザーに提供する義務を負わないことを了承します。

(b) Stripe は、各サブプロセッサーと書面の契約を締結し、適切なデータセキュリティ対策を講じる義務を含め、本 DPA に基づいて Stripe に課される義務と同等の義務を当該サブプロセッサーにも課すものとします。サブプロセッサーが当該契約に基づくデータ保護義務を履行できなかった場合、Stripe は、本 DPA に基づいて該当するサービスを自ら実行した場合に Stripe が負うのと同等の範囲で、当該サブプロセッサーの作為および不作為についてユーザーに対して引き続き責任を負います。

3.3 CCPA。

CCPA が適用され、Stripe がデータ処理者を務める範囲において、Stripe は以下を行わないものとします (法律で許可されている Stripe のサービスを提供する場合を除く)。(a) 個人データの販売または共有 (CCPA の定義による)。(b) Stripe の製品やサービスを提供するため、および法律を遵守するために必要な場合を除き、ユーザーとの直接の取引関係以外で個人データを保持、使用、または開示すること。 (c) ユーザーからまたはユーザーを通じて受領した個人データと、個人からもしくは個人に代わって受領した個人データ、または Stripe 自身の個人とのやり取りから収集した個人データとを組み合わせること。Stripe は、CCPA に関連する本 DPA の要件を理解し遵守すること、および CCPA で義務付けられているのと同等レベルのプライバシー保護を個人データに提供することを証明します。Stripe は、CCPA に基づく義務を履行できなくなったと判断した場合はユーザーに通知し、個人データの不正な処理を修復するための合理的かつ適切な措置を講じます。

3.4 免責事項。

本 DPA を含む本契約の別段の規定にかかわらず、Stripe およびその関連会社は、Stripe がユーザーの指示に従って行動していた範囲において、Stripe またはその関連会社の作為または不作為に起因または関連してデータ主体が行ったいかなる請求についても責任を負いません。

4. データ管理者を務める場合のユーザーの義務。

4.1 指示。

ユーザーが Stripe に行う指示は、合法的である必要があります。

4.2 データ保護法の遵守。

ユーザーは、データ主体の権利、データセキュリティ、および機密保持に関するものを含め、データ保護法に基づくユーザーの義務を遵守および履行する必要があり、また、ユーザーが本 DPA を含む本契約に定めるとおり個人データを処理するにあたり、適切な法的根拠を有するよう取り計らう必要があります。

4.3 開示事項。

ユーザーは、Stripe が本 DPA を含む本契約の記載に従ってユーザーから提供された個人データを合法的に処理できるように、データ主体 (顧客を含む) に対し、必要なすべての通知を提供し (プライバシーポリシーの提示を含む)、データ主体から必要なすべての権利、許可、および同意を取得する必要があります。ユーザーは、自身が顧客に提供する通知の内容について単独で責任を負います。

5. データ管理者を務める場合の Stripe の義務。

Stripe は、個人データを処理する際、データ保護法に基づく義務を遵守および履行する必要があります。これには、Stripe が個人データを収集、使用、保持、開示、および保護する方法と目的を説明するプライバシーポリシーの提示が含まれます。

6. データ移転。

6.1 ユーザーによるデータの越境移転。

ユーザーは、Stripe による本サービスの提供のために、ユーザーが米国の Stripe, LLC に個人データを移転することを了承します。この移転にデータ移転メカニズムを必要とする個人データが含まれる場合、本 DPA の一部となっているデータ移転に関する補遺が適用されます。

6.2 Stripe によるデータの越境移転。

Stripe およびその関連会社は、本サービスを提供するために必要に応じて、グローバルに個人データを移転する場合があります。特に、個人データは米国の Stripe, LLC ならびに他の法域にある Stripe の関連会社およびサブプロセッサーに移転される場合があります。

7. 矛盾。

本 DPA の規定と他の規定とが矛盾する場合、次のように取り扱います。

(a) 個人データの処理に関する契約の規定と矛盾する場合、本 DPA の規定が優先されます。

(b) データ移転に関する補遺の規定と矛盾する場合、データ移転に関する補遺の規定が優先されます。

8. 定義。

大文字で始まる用語のうち本 DPA で定義されていないものは、本契約で指定された意味を持ちます。

「本契約」は、www.stripe.com/legal/ssa に掲載されている、ユーザーと Stripe の間の Stripe 利用規約で指定された意味、または当事者間で別途合意された意味を持ちます。

「認定サービス」とは、政府機関が許可、認可、または規制する本サービスを意味します。

「CCPA」とは、2018 年カリフォルニア州消費者プライバシー法 (カリフォルニア州民法第 1798.100 条～第 1798.199 条) およびその施行規則を意味します。

「データ管理者」とは、単独で、または他者と共同で、個人データの処理の目的および手段を決定する法主体を意味し、該当する場合、CCPA で定義される「事業者 (Business)」を含む場合があります。

「データインシデント」とは、当事者もしくはその関連会社が、または当事者またはその関連会社の下請業者、代理人、もしくは代表者が所有または管理する個人データの、不正または違法な処理、使用、アクセス、紛失、開示、破棄、または改ざんを意味します。

「データプライバシーフレームワーク」とは、米国商務省が運営する EU・米国間、スイス・米国間、またはイギリス・米国間のデータプライバシーフレームワークの自己認証プログラムのうち、該当するものを意味します。

「データ処理者」とは、データ管理者に代わって個人データを処理する法主体を意味し、該当する場合、CCPA で定義される「代行業者」を含む場合があります。

「データセキュリティ対策」とは、処理のリスクに適したセキュリティレベルまで個人データを保護することを目的とした技術的および組織的な対策を意味します。

「データ主体」とは、個人データに関連する、識別されたまたは識別可能な自然人を意味します。

「データ移転メカニズム」とは、データ保護法に基づく個人データの合法的な越境移転を可能にする移転メカニズムを意味します。これには、EEA、スイス、イギリスにおけるデータ保護法に基づき要求される移転メカニズム (データプライバシーフレームワーク、EEA 向け SCC、イギリス国際データ移転に関する補遺など)、および本 DPA の一部となっているデータ保護法に基づく利用可能なデータ移転メカニズムが含まれます。

「データ移転に関する補遺」とは、www.stripe.com/legal/dta に掲載されているデータ移転に関する補遺を意味し、随時更新されます。

「データ保護法」とは、本契約および本 DPA に基づく個人データの処理に適用される法律を意味し、プライバシー、データ保護、およびデータセキュリティに何らかの形で関連する国際法、連邦法、州法、および地方の法律が含まれます。

「EEA」とは、欧州経済領域を意味します。

「EEA 向け SCC」とは、GDPR に基づく第三国への個人データの移転に関する標準契約条項に関する欧州委員会実施決定 (EU) 2021/914 に定められた標準契約条項のモジュール 1 (移転: 管理者から管理者へ) およびモジュール 2 (移転: 管理者から処理者へ) を意味します。

「GDPR」とは、一般データ保護規則 (EU) 2016/679 を意味します。

「指示」とは、データ管理者がデータ処理者に対して、当該データ管理者のために個人データの特定の処理を実行するよう指示する通信または文書 (Stripe API や Stripe ダッシュボードを通じて行われるもの、またはユーザーと Stripe の間の書面による合意を含む) を意味します。

「共同管理者」とは、1 社以上のデータ管理者と共同して個人データ処理の目的と手段を決定するデータ管理者を意味します。

「個人データ」とは、本サービスに関連して処理される識別可能な自然人に関するあらゆる情報を意味し、GDPR において定義される「個人データ」、および CCPA において定義される「個人情報」を含みます。

「プライバシーポリシー」 とは、当事者の個人データに関する慣行とコミットメントを定めた、公的に掲示されたプライバシーポリシー、プライバシー通知、データポリシー、クッキーポリシー、クッキー通知、その他これらに類する公開ポリシーまたは公開通知の一部またはすべてを意味します。

「処理する」とは、データ保護法に定めるとおり、個人データまたは個人データの集合に対して何らかの操作または一連の操作 (収集、記録、整理、構造化、保存、改造または改変、検索、参照、使用、送信による開示、配布、またはその他の方法による提供、整列または結合、制限、消去、破壊など) を実行することを意味します。「処理された」および「処理中」も、これに対応する意味を持ちます。

「機密データ」とは、データ保護法において個人データの特別なカテゴリーとして別個に扱われる範囲において、(a) 遺伝データ、生体認証データ、健康に関するデータ、自然人の性生活もしくは性的指向に関する個人データ、(b) 人種や民族、政治信条、宗教的もしくは哲学的信念、労働組合への加入に関するデータ、(c) 位置情報データ、または (d) CCPA で定義される機密の個人情報を意味します。

「サブプロセッサー」とは、データ処理者が本サービスに関連して、当該データ処理者に代わって個人データを処理させるために雇う法主体を意味します。

「Stripe サブプロセッサーリスト」とは、www. stripe.com/legal/service-providers に掲載されている Stripe のサブプロセッサーおよび関連会社のリスト (随時更新される) を意味します。

「監督機関」とは、独立した公的機関であって、(i) GDPR 第 51 条に基づき欧州連合加盟国により設立されたもの、または (ii) ユーザーに対する監督権限と管轄権を有する、データ保護を管轄する公的機関を意味します。

「UK GDPR」とは、2018 年欧州連合 (離脱) 法第 3 条の運用によりイギリス国内法に置き換えられ、2019 年データ保護、プライバシー、電子通信 (改正等) (EU 離脱) 規則により修正された GDPR を意味します。

「イギリス国際データ移転に関する補遺」とは、イギリスの情報コミッショナーオフィスにより発行された EEA 向け SCC に付属する、国際データ移転に関する補遺を意味します。

別紙: Stripe データセキュリティ

DPA をダウンロード

Stripe DPA をダウンロードするには、こちらをクリック