Appleでは、初めからプライバシーの原則に従って当社の製品およびサービスを設計しており、ユーザーに製品またはサービスを提供するために必要な最小限のデータのみを収集します。Appleがユーザーに提供する当社のソフトウェアのバージョンは1つです。Appleは、当該データを収集する場合、そのデータが収集された目的（当社のプライバシーポリシーまたは当社のサービスごとのプライバシー通知に示す目的を含む）を達成するのに必要な期間中、または法令により求められる期間中に限り、当該データを保持します。

また、当社は業界トップクラスの同意メカニズムを導入し、位置情報、連絡先、リマインダー、写真、Bluetooth共有、マイク、音声認識、カメラ、ヘルスケア、HomeKit、メディアとApple Music、モーションとフィットネスのデータなどをアプリと共有するかどうかをお客様が選択できるようにしています。

Appleは、プライバシーガバナンスに対して部門や職制の境界を越えたアプローチを採用しています。プライバシーガバナンスは当社のあらゆる領域を対象としており、お客様と従業員の両方のデータが対象に含まれます。Legalチームは、AppleのGeneral Counselに直属するPrivacy and Law Enforcement Complianceの責任者を擁しています。Appleには、Privacy Legalチームおよび専任のProduct Counselと連携して、お客様のプライバシーを保護するため、またそのデータをAppleの管理下にある限り確実に保護するために製品をゼロから設計するPrivacy Engineeringチームもあります。その一環として、収集されたデータが意図された合法的な目的にのみ使用されることを確実にする強力なプロセスが策定されています。

また、Appleは、AppleのGeneral Counselが委員長を務めるPrivacy Steering Committeeを設置しており、AppleのMachine Learning and AI Strategy担当シニアバイスプレジデント、AppleのSoftware Engineering担当シニアバイスプレジデント、ならびにInternet Software and Services、Software Engineering、Product Marketing、Corporate Communications、Information Services & Technology、Information Security、Privacy Legalの上級担当者からなる部門や職制の境界を越えたグループがメンバーとして参加しています。Privacy Steering Committeeは、Apple全体のチームのプライバシー基準を設定し、プライバシーコンプライアンスの問題に対処して決定を下したり、さらにエスカレーションしたりするためのエスカレーションポイントとして機能します。

Privacy Steering Committeeは、Appleが責任を負うデータがAppleに代わって第三者によって管理またはホストされている状況も監督します。当社は、こうした第三者を契約前に審査し、その後も監査と書類確認を通じて、Appleと同じセキュリティ基準を満たせることを確認します。

さらに、Board of DirectorsのAudit and Finance Committeeは、プライバシーとデータセキュリティの監督と監視についてBoard of Directorsを支援します。

Appleの全従業員には、企業行動基準に関するトレーニングを年1回受講することが義務付けられています。このトレーニングは、人権を尊重し、倫理的かつ誠実に、適用される法律および規制を遵守してビジネスを行うというAppleの取り組みを反映したものです。プライバシートレーニングは、企業行動基準トレーニングにおいて不可欠の要素です。Appleは、Appleの顧客データおよび個人情報にアクセスできる従業員に対し、追加のプライバシーおよびセキュリティトレーニングコースを半年に1回、またはEU一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）などの法律の改正に対応して受講することを義務付けています。大量のデータや機密性の高い個人データを取り扱う、またはそれらにアクセスする従業員に対してはチームごとに、または現地の法律のさらなる求めに応じて、カスタマイズされたプライバシーおよびセキュリティトレーニングが追加で提供されます。Appleのプライバシーおよびセキュリティ基準の遵守は、匿名化に関連するものを含め、Apple Privacy Audit & Compliance teamによる監査の対象となります。

また、当社は従業員がプライバシーに関する質問や疑問を提起できるように、Eメールアドレス（dpo@apple.com）を通じた明確なプロセスを設けています。受け取ったすべての質問は、専任のチームが解決まで管理します。

当社は、GDPRおよび人権に関する活動の一環として、当社の主要な製品およびサービスに対してプライバシー影響評価（PIA）を実施し、新しい製品およびサービスの開発時にPIAを組み込んでいます。この評価には、アルゴリズムシステムに依存した意思決定の有無、およびそうした意思決定が個人とその権利に与える影響の評価が含まれます。すべてのデータ使用にはリスクレベルが割り当てられ、特定されたリスクに応じて1年から2年の再評価期間が設けられます。個人データがアルゴリズムシステムの開発に使用される場合、当社はAppleの業界トップクラスのユーザー管理体制に沿って、ユーザーに対し、当該データ使用に同意し、当該データ使用を管理する手段を提供します。また、当社は、PIAプロセスの一環として、すべての買収におけるプライバシー慣行を十分に評価します。PIAでは、法律がプライバシーにどのような影響を与えるかを考慮し、当社が事業を展開する関連法域における関連するあらゆるプライバシーリスクを評価します。PIA評価担当者は、表現の自由に対する潜在的な影響を特定して指摘するためのトレーニングも受けています。また、Appleは、プライバシー・バイ・デザインおよび暗号化など、プライバシーと表現の自由に関する様々な問題について、世界中の幅広い民間団体の代表者と定期的に連携しています。

Appleは現行のISO 27001および27018認証を維持しています。Appleはこれらの認定を取得するために毎年再監査を受けています。

データセキュリティとインシデント対応

お客様の個人データの安全を確保するため、当社は社内でのプライバシー保護対策を徹底しています。これは、お客様へのサポート提供など、業務上の必要がある場合にのみデータにアクセスできるようにするため、当社がデータに対するリスクに応じたアクセス管理とアクセス制御を実施することを意味します。「Appleプラットフォームのセキュリティ」ガイドでは、iOS、iPadOS、macOS、watchOS、tvOS、visionOSなどの当社のオペレーティングシステム、ならびにiMessage、FaceTime、Apple Pay、iCloudなど、お客様のセキュリティを保護する製品やサービスの設計方法に関する技術的な詳細情報を提供しています。また、Appleは、Apple Security Bountyプログラムに関する情報も一般公開しています。

Appleでは、ユーザーの個人データに影響を与える可能性のあるデータセキュリティインシデントが発生した可能性があることを認識した場合に、何が起こったのかを調査して把握し、対応措置を決定するための専任チームを設置しています。そうした影響が見つかった場合、当社はただちにその影響を解消し、該当する場合はソフトウェアアップデートによる方法を含む是正措置を特定するよう取り組みます。

当社はこれらの事実を、適用される法律、規制、業界規範、そして何よりもプライバシーに関するAppleの確立された取り組みに照らして分析し、影響を受ける個人、または規制当局などのその他の関係者に通知する必要があるかどうかを判断します。Appleは、データセキュリティインシデントについて不当な遅滞なく通知することを求めるすべての適用される法律を確実に遵守します。当社は当該通知を電話またはEメールで行う場合があります。

そのため、当社は必要に応じて適時に通知できるように迅速な調査と分析を行います。また、インシデントの影響を受けたユーザーに、被害のリスクを軽減するためにユーザーが講じることのできる対策に関する情報やAppleCareによるサポートなどの適切な支援を提供することにも尽力しています。

Appleでは、iCloudサーバへの侵入によってユーザーのiCloudデータが盗まれたり漏洩したりした事例は確認されていません。インシデントについてご質問がある場合は、お問い合わせください。お客様データに関する政府からの要請に対するAppleの対応については、透明性レポートを参照してください。

プライバシーに関する苦情

ユーザーがプライバシーに関する重大な問題を指摘するプライバシーに関する苦情を申し立てた場合、当社は合理的に可能な限り早い時期にその問題を是正するための措置を講じます。プライバシーに関する問題により、ユーザーまたは関連する第三者に重大な悪影響が生じた場合、当社はユーザーまたは当該第三者とともにその問題に対処するための措置を講じます。

プライバシーポリシーの更新

当社のプライバシーポリシーに重大な変更がある場合、当社は当該変更の少なくとも1週間前までに当社のプライバシーポリシーのウェブページに通知を公開し、ユーザーの連絡先データを当社が保有している場合は当該変更についてユーザーに直接連絡します。

ユーザー情報の私的な要求

Appleは、ユーザー情報が要求された場合、Appleが当該情報を第三者に提供することを認める明確な法的根拠がない限り、ユーザー情報をいかなる第三者にも提供することはありません。法的根拠がある場合でも、Appleは挙げられた法的根拠を徹底的に検討します。そのような法的根拠がない場合には、裁判所命令またはその他の同等の手続きにより提供せざるを得ない場合に限り対応します。Appleは、そうした要求のすべてについて透明性の確保に努めており、定期的に更新される詳細なレポートを公開しています。

個人データの匿名化

匿名化とは、個人を特定できる一連の個人データと個人との間の関連付けを削除し、そのデータを当該個人の特定に使用できないようにするプロセスです。Appleにおいて、データが匿名化されたとみなされるには、完全なIPアドレスや個人データに関連付けられているあらゆる識別子を含む、すべての個人データ要素が削除される必要があります。

説明責任のあるデータ移転

当社の製品やサービスのご利用に際し、お客様の個人データは、当社のプライバシーポリシーに説明されているようなアクティビティを処理するためにApple関連会社、Appleのサービスプロバイダまたはパートナー（所在地を問わず）に移転されたり、これらの組織からアクセスされたりすることがあります。当社が利用するサービスプロバイダやパートナーは、お客様の居住地によって異なる場合があります。例えば、アジアの一部の国における衛星経由での電話やテキストメッセージを介した緊急SOSは、適切な緊急サービスに効果的かつ効率的に接続するために、マレーシアのサービスプロバイダのリレーセンターを経由する場合があります。お客様の個人データがどこで保管されているかに関わらず、Appleは同じ高水準の保護および安全対策を維持します。日本のユーザーの場合に、一部の国の法制度が特定のユーザー情報の適切な取り扱いに影響を与える可能性があるケースに関する情報については、PPCのウェブサイトを参照してください。

組織が説明責任を果たすには、データの取り扱いに責任を持ち、組織の慣行、システム、ポリシー、およびトレーニングがAppleのコンプライアンス目標を達成していることを実証する必要があります。継続的な監視と確認審査により、Appleは2014年以降、Global CBPR Forumが定めた基準に準拠したグローバルプライバシープログラムについて、プライバシー説明責任の認定を取得しています。当社の認定を確認するには、Global CBPR System Directoryにアクセスしてください。Appleが事業を展開している国々において、収集された個人データの国際的な転送は、Global Cross-Border Privacy Rules (CBPR) SystemおよびGlobal Privacy Recognition for Processors (PRP) Systemに準拠して行われます。Appleのグローバルプライバシーポリシーおよび慣行は、Global CBPRおよびPRPのプログラム要件の遵守を監視および強制執行する、独立した認定済み第三者機関であるAccountability Agentによって審査されています。是正および外部からの強制執行については、当社の第三者紛争解決機関にお問い合わせください。

Global CBPR System Certification MarkおよびGlobal PRP System Certification Mark™は、International Trade Administration/Office of Global Data Policy and Privacyの商標であり、許可を得て使用しています。