Uber のプライバシー通知：ドライバーおよび配達パートナー

Uber では、マッチング（配車や配達サービスのリクエスト、および提供を行うユーザーとのペアリング）、価格設定（そのようなサービスの提供に対して支払われるべき金額の決定）、不正行為の検出および予防など、サービスの重要な部分を可能にするため、自動化されたプロセスを使用しています。これらのプロセスにより、Uber は毎日世界中の何百万人ものユーザーにシームレスで安全なエクスペリエンスを提供することができています。

このセクションでは、自動化されたマッチング、価格設定、安全性、不正行為の予防と検出の仕組み、およびそうしたプロセスを可能にするために使用される Uber のサービスと、それが個人データおよび非個人データへ与える影響について説明します。

これらの手続きに関してご質問やご不明点がある場合は、こちらから⁠Uber⁠までお問い合わせください。

Cookie とは、ウェブサイト、アプリ、オンラインメディア、広告によってブラウザーやデバイスに保存される小さなテキストファイルです。Uber は、次のような目的において、Cookie および類似するテクノロジーを使用します。

• ユーザーの認証
• ユーザーの要望と設定の記憶
• コンテンツの人気度の判定
• 広告キャンペーンの配信と効果の測定
• サイトのトラフィックと傾向を分析し、Uber のサービス利用者のオンライン上での行動や関心を幅広く把握する。

また、Uber は、Uber のためにオーディエンス測定や分析サービスを提供すること、Uber に代わってインターネット全体に広告を配信し、Uber アプリ上で他社の製品やサービス広告を配信すること、ならびにそれらの広告の効果の追跡および報告を行うことを、他者に許可する場合があります。これらの企業は、ユーザーが Uber のウェブサイトを訪問するのに使用したデバイスや、他のオンラインのサイトやサービスにアクセスする際に使用したデバイスを特定するために、Cookie、ウェブビーコン、SDK、その他のテクノロジーを使用することがあります。

このセクションに記載されている Cookie およびその他のテクノロジーの使用に関する詳細については、Uber の Cookie に関する通知を参照してください。

3.Uber のサービス提供者および提携企業との共有

これには、以下に記載されている第三者、または第三者のカテゴリが含まれます。

• 会計士、コンサルタント、弁護士およびその他のサービスを提供する専門職。

• 広告およびマーケティングのパートナーおよび提供者。これには、広告およびマーケティングの配信元（ソーシャルメディアプラットフォームなど）、広告ネットワークおよび広告主、広告技術のベンダー、測定および分析の提供事業者、ならびにその他のサービス提供事業者が含まれます。Uber は、こうしたベンダーを利用して、Uber サービスの既存および潜在的なユーザーにリーチし、ユーザーのより深い理解につなげるとともに、広告の有効性を測定および改善します。

• 広告仲介業者（Google、The Trade Desk など）。Uber は、広告またはデバイスの識別子、ハッシュ化されたメールアドレス、おおよその位置情報、広告のやり取りなどに関するデータを、これらの仲介業者と共有します。これにより、仲介業者のサービスを有効にしたり、かかる仲介業者のプライバシー通知で開示されているその他の目的で利用したりすることが可能になります。広告のパーソナライズを停止するには、こちらからオプトアウトできます。個人データの取り扱いに関連するリクエストを送信する方法など、仲介業者のプライバシー慣行の詳細については、上記のリンク先のプライバシー通知をご参照ください。

• クラウドストレージを提供する事業者。

• カスタマーサポートプラットフォームおよびサービスを提供する事業者。

• Google（Uber アプリでの Google マップの使用に関連する共有）。

• 本人確認サービスやリスクソリューションを提供する事業者。

• 支払い処理業者および仲介業者（Hyperwallet、PayPalなど）。

• Uber との業務提携により、または Uber に代わってアンケートや調査プロジェクトを実施する者を含むリサーチパートナー。

• Uber が Uber アプリやウェブサイトで各社ツールを使用することに関連する場合の、Meta や TikTok などのソーシャルメディア企業。

• Uber アプリおよびサービスの安全性とセキュリティを強化するために Uber を支援するサービス提供事業者。

• 人工知能および機械学習のツールやサービスを Uber に提供するサービス提供事業者。

• Uber のアプリと統合する第三者サービスの提供事業者やパートナー（Lime や Tembici など、自転車やキックスクーターの提供事業者を含む）、iFood などの配達サービスの提供事業者、および第三者モバイルアプリケーションの提供事業者。

• フリートおよびレンタルパートナーを含む、第三者車両サプライヤー。

4.Uber の子会社および関連会社との共有

Uber は、サービスの提供またはデータ処理の代行を委託する目的において、子会社および関連会社とデータを共有します。

5.⁠法律上の理由がある場合、または請求・紛争が発生した場合

Uber は、適用される法律、規制、営業許可または契約、法的手続きまたは行政機関からの要請、保険契約によって開示が必要と判断される場合、または安全上その他これに類する懸念から開示が適切と判断される場合に、ユーザーのデータを共有することがあります。

これには、法執行機関、公衆衛生当局、その他の政府機関、保険会社、または、Uber の利用規約、ユーザー契約、もしくはその他のポリシーを執行するため、Uber の権利や財産、または他者の権利、安全、財産を保護するため、あるいは Uber サービスの利用に関する請求や紛争が生じた場合に必要となるその他の第三者とのデータ共有が含まれます。他人のクレジットカードの使用に関する紛争が発生した場合、Uber は、乗車または注文情報を含むユーザーデータを当該クレジットカードの保有者と共有することを法律上求められる場合があります。

詳細については、Uber の「米国法執行機関向けガイドライン」および「第三者のデータ開示要求と法的文書の送達に関するガイドライン」をご覧ください。

Uber は、当社事業の全部または一部を対象とする吸収合併、会社資産の売却、統合・再編成、資金調達、または他社による買収に関連して、またはその交渉中に、データを第三者と共有することがあります。

Uber は上述の目的のために必要とされる期間、ユーザーデータを保持します。その期間はデータの種類と、データを収集および保持する目的によって異なります。

たとえば、Uber は下記のようにユーザーデータを保持します。

• Uber がサービスを提供するのにユーザーの Uber アカウントが必要な場合、ユーザーが Uber アカウントを維持している間ずっと（すなわち、アカウントの有効期間または「LOA」）。これには、氏名、メールアドレス、電話番号、銀行口座情報などのアカウント情報が含まれます。
• 法律上の請求の防御または主張における Uber の正当な利益に反しない範囲で、Uber の税務、保険、法務または規制上の要件のために必要な場合、または研究開発などの目的のために必要な場合、データの収集から 7 年間（先にユーザーが Uber アカウントを削除する場合を除く）。
• 特定のサービスまたは機能を有効にするために必要な期間に限り。

以下の表は、上述のデータカテゴリに対する Uber の保持実務を記載したものです。Uber は、法律で義務付けられている場合、以下に記載されている期間よりも長い、または短い期間、データを保持することがあります。

Uber は、サービスを提供するために、または税務、保険、法務もしくは規制上の要件のために、ユーザーデータを保持する必要がない場合、データを収集した目的のために必要がなくなった時点で、ユーザーデータを削除します。かかる期間は、データの種類およびデータを収集した目的によって異なります。たとえば、パーソナライズされたマーケティングや広告をユーザーに表示するために使用する特定の情報は通常、遅くても約 1 年後に削除されます。

ユーザーは、こちらまたは ⁠Uber アプリの [プライバシー] メニューからアカウントの削除を要求できます。

アカウント削除のリクエストがあった場合、アカウントとデータを削除しますが、安全性の確保、セキュリティ管理、不正行為の防止、法令遵守に必要なもの、またはユーザーのアカウントに未払いのクレジットや未解決の申し立てなどの問題が残っているものは除かれます。たとえば、ユーザーが重大な不正行為または危険行為により Uber サービスの利用を禁止された場合、ユーザーが Uber のプラットフォームを再度利用できないようにするため、アカウント削除依頼の後も Uber はユーザーのデータを保持します。

このような状況において Uber が保持するデータは、保持の目的によって異なります。たとえば、不正行為が原因で Uber がユーザーデータを保持する場合、Uber はかかる行為に関連するデータ、およびユーザーによる Uber プラットフォームへの今後のアクセスを防止するために必要なデータを保持します。これには、アカウント情報、本人確認情報、取引データ、ユーザーコンテンツおよび通信データが含まれる場合があります。同様に、ユーザーが Uber の使用中に訴訟または保険請求につながる可能性があるインシデントに関与した場合、Uber は、かかる訴訟または保険請求に関連する可能性があるデータを保持します。

上記の理由により保持が必要となる場合を除いて、通常、アカウントの削除依頼から 90 日以内にデータを削除します。

Uber Technologies Inc.（以下「UTI」）は、Uber のサービスの利用に関連して全世界で処理されるデータの管理者です。ただし、以下を除きます。

• UTI および UBR Pagos Mexico, S.A. de C.V. は、メキシコにおける Uber の決済および電子マネーサービスの利用者のデータの管理者です。
• UTI および Uber B.V. は、EEA における Uber の決済および電子マネーサービス利用者に関するデータを Uber Payments BV と共同で管理し、英国における当該サービス利用者に関するデータを Uber Payments UK Ltd. と共同で管理しています。
• UTI、Uber B.V.、および英国でドライバーと契約を締結している Uber の事業体は、英国の免許および労働者の権利要件を遵守する目的において、かかるドライバーのデータの共同管理者となります。
• EEA、英国、スイスにおいて、UTI と Uber B.V. は、Uber が提供するサービスのその他すべての利用に関連して処理されたデータの共同管理者です。
• UT LLC は、韓国内に居住する Uber サービス利用者のデータの管理者です。

Uber による個人データの処理およびデータ保護の権利に関する問題については、Uber のデータ保護責任者（uber.com/privacy-dpo）に連絡するか、または Uber B.V.（Burgerweeshuispad 301, 1076 HR Amsterdam, the Netherlands）に郵送でお問い合わせいただくこともできます。

欧州経済領域、英国、スイス、ブラジル、ナイジェリアなどの一部の国および地域のデータ保護法は、各法律で定義されている特定の状況が該当する場合にのみ、Uber のユーザーデータの使用を許可しています。これは、ユーザーデータを使用する「法的根拠」があるということを意味します。法的根拠の適用性は、ユーザーの居住地域によって異なる場合があります。以下の表は、これらの法律が適用される場合に Uber が有する法的根拠と、Uber がかかる法的根拠に基づき使用するデータを示しています。

Uber は世界中で事業を展開し、ユーザーデータを処理しています。これにより、お客様の個人データが、お客様の居住地または所在地とはデータ保護法が異なる可能性のある米国を含む国々で処理される可能性があります。

これには、次の目的のために、米国内の Uber サーバーでユーザーのデータを処理すること、およびユーザーのデータを世界全域に移転またはアクセスできるようにすることが含まれます。

• リクエストする場所を問わずサービスを提供するため
• どこからリクエストしても、乗車/配達履歴などの情報にアクセスできるようにするため
• Uber のカスタマーサービス担当者へのアクセスと、その回答を受け取れるようにするため
• 必要に応じて、政府または法執行機関による情報提供の要請に対応するため

Uber は、ユーザーがどこにいるか、個人データがどこで、誰によって処理されるかにかかわらず、ユーザーの個人データを保護することを約束します。この取り組みには、ユーザーのデータを保護するための世界的な措置の実施が含まれます。

• 暗号化などにより、転送中および保存時のユーザーデータを保護します。
• プライバシーおよびデータセキュリティに関する全社的なトレーニングを義務付けています。
• ユーザーデータへのアクセスおよび利用を制限する社内ポリシーと手順を実施します。
• 法令で要求される場合、安全に対する差し迫った脅威がある場合、またはユーザーが同意した場合を除き、政府および法執行機関によるユーザーデータへのアクセスを制限します。

欧州経済領域、英国、スイスからユーザーデータを移転する場合、当社は、ユーザーとの契約の履行の必要性、ユーザーの同意、移転先国に関する適合性決定（こちら、こちら、こちら）に加え、欧州委員会が採択した標準契約条項（および英国・スイスで承認された同等条項）、EU・米国間データプライバシーフレームワーク（「EU・米国 DPF」）、同 DPF の英国向け拡張、スイス・米国間データプライバシーフレームワーク（「スイス・米国 DPF」）などの移転メカニズムに依拠して移転します。当該データは、移転後も引き続き GDPR またはそれに相当する規制の対象となります。ユーザーは、上記の内容について Uber に連絡できます。また、該当する標準契約条項の写しをこちらから請求できます。

UTI は米国商務省に対し、（1）EU・米国間 DPF に基づき EEA 加盟国から受領した個人データの処理についての原則および EU・米国間 DPF の英国向け拡張版に基づき英国（およびジブラルタル）から受領した個人データの処理についての原則、ならびに（2）スイス・米国間 DPF に基づきスイスから受領した個人データの処理についての原則を遵守していると認証しています。本通知と上記の原則との間に矛盾が生じた場合は、原則が優先します。EU・米国間 DPF またはスイス・米国間 DPF が無効になった場合、Uber は上記の他のデータ移転メカニズムに基づいて、これらの認証の対象となるデータを移転します。

EEA、英国、スイスにお住まいの場合、次の点に留意してください。

• 適用範囲：Uber の DPF 認証は、EEA、英国またはスイスから取得した個人データに適用されます。
• アクセス権：ユーザーは、Uber の DPF 認証の対象となる自己の個人データにアクセスする権利を有します。この権利を行使する方法についての情報は、上記の「選択と透明性」をご覧ください。
• 第三者への再移転：DPF 認証の対象となる個人データを第三者へ移転することについては、Uber が責任を負います。Uber が個人データを移転する可能性のある第三者については、上述の「データの共有と開示」をご覧ください。
• 法執行機関からの要請：Uber は適用法に基づき、法的手続きまたは行政機関からの要請（法執行機関を含む）に従って、Uber の認証の対象となり得るユーザーデータを共有する義務があります。
• 捜査および執行：Uber は、米国連邦取引委員会の調査権限および執行権限の対象となります。
• 質問および紛争：Uber は、EU・米国間 DPF、EU・米国間 DPF の英国向け拡張版、およびスイス・米国間 DPF に従い、これらの枠組みに基づいて受領した個人データの取扱いに関する未解決の苦情について、EU のデータ保護当局（DPA）が設置した委員会の助言に加え、英国情報コミッショナー事務局（ICO）およびスイス連邦データ保護・情報コミッショナー（FDPIC）の助言にそれぞれ協力し、これらの助言に従うことを約束します。上述の原則の遵守についてのご質問は、こちらから Uber にお問い合わせください。また、お住まいの地域のデータ保護機関に苦情を申し立てることもできます。Uber は当該機関と協力してその解決を図ります。DPF は特定の状況において、DPF の原則、附属書 I に記載されているとおり、他の手段で解決されない苦情を解決するために拘束力のある仲裁を求める権利を定めています。

EU・米国間 DPF およびスイス・米国間 DPF の詳細はこちらをご覧ください。また、認証の対象となるデータの範囲など Uber の認証については、こちらをご覧ください。