Summary：ベンダーの公開セキュリティ報告書、DPA（データ処理契約）、自社アカウントの保存先が分かる資料を揃え、取引先の質問に対応させます。ただし、これらはサービス提供会社の説明です。自社で誰が顧客情報にアクセスでき、退職時にどう権限を外すかは、別に答える必要があります。
質問票を見てから、出す資料を決める
「情報管理について教えてください」は、一般的な取引先審査、特定の監査報告書の提出、国内保存の契約条件など、意味が分かれます。プラン変更の前に、質問票か条件を書いた文書を受け取ってください。公開報告書でセキュリティの概要は説明できても、アカウントの保存先は変わりません。
| 聞かれたこと | 揃える資料 | 回答で確かめる点 |
|---|---|---|
| 提供会社は監査を受けていますか | SOC 3、指定があればSOC 2 Type II | 対象サービス・報告期間・共有条件 |
| 個人データをどう扱いますか | DPAと再委託先一覧 | 契約の適用範囲と、必要な同意・締結手続き |
| どこに保存していますか | 管理画面と保存地域の資料 | アカウント・地域・確認日・対象外データ |
| 自社ではどう守っていますか | 権限一覧・認証設定・運用手順 | 退職者の権限削除など、自社の管理 |
| 事故や解約後の対応はどうなりますか | 通知・保持・削除・復旧の条件 | 取引先との契約を満たすか |
この表は当サイトの整理で、認証の基準ではありません。SOCは組織の管理体制に関する監査報告書です。Type IIでは一定期間の運用を検査するため、対象期間は報告書で確認します。必ず1年分あるとは限りません。
報告書の入手先と、共有できる範囲
HubSpotのTrust Center、monday.comのCompliance Hub、AsanaのTrustページにはSOC報告書の案内があります。Shopifyの閲覧ガイドはSOC 3を自由に共有できると説明し、SOC 2 Type 2や、報告期間後の空白を補うbridge letterも挙げています。
SOC 2を指定されたら、取引先が入手する方法と、自社のコピーを転送してよいかを確かめます。ダウンロードできることと再配布の許可は別です。回答には報告書の版と確認日も残すと、後から根拠を追えます。
DPAは別の資料で、HubSpot、monday.com、Asana、Shopifyが公開しています。自社の契約に適用される版を記録してください。DPAがあるというだけで、取引先の条件をすべて満たすとは判断できません。
日本法の確認は、保存先の整理から
個人情報保護委員会は、外国のサーバへの保存と、外国にある第三者への提供を区別しています。Q12-3は、事業者が個人データを取り扱わない旨の契約条項と適切なアクセス制御などがある場合を説明しています。自社のサービス利用が該当するかは、実際の契約と処理内容で確認します。
Q10-25は、この場合にも外国の制度等を把握して安全管理措置を講じ、その内容を本人の知り得る状態に置く必要があると説明しています。事業者の所在国とサーバの所在国を分けて整理してください。サーバの国を特定できない場合には、その旨・理由・参考情報の扱いも示しています。国名だけを載せれば済む話ではありません。
日本法上の判断は、公式Q&Aと自社のデータの流れをもとに、法務担当者などと確認します。質問票への回答と法令への対応は目的が違い、一方を済ませても他方が完了するわけではありません。
国内保存が条件なら、選定の話に進む
体制の説明を求められたなら、資料と自社の運用を対応させて回答します。国内保存が条件なら、顧客情報、バックアップ、ログ、サポート時のアクセス、処理場所のどこまでを含むかを先に決めます。その範囲とベンダーの保証内容が合うかを確かめてから、上位プランを検討してください。保存先の記事はサービスを知る入口ですが、回答の根拠になるのは自社のアカウントと契約です。
業界固有の要件や特定の認証が必須なら、資料一覧だけでは足りません。連絡先が少ない会社でも、適用される義務の確認は必要です。未回答の条件ごとに担当者と必要資料を書き出すと、次に調べることが明確になります。
出典
2026年10月10日確認：上記のTrust Center、Asana Trust、Shopify閲覧ガイド（報告書の案内・種類）、個人情報保護委員会Q12-3・Q10-25（クラウド利用と安全管理措置）。DPAのリンクは契約確認用で、本記事では自社契約への適用を判定していません。
このページで変わったこと
- 記述の訂正2026.10.11 取引先の情報管理質問に出す資料 — 価格・条件・説明
無料資料だけで足りるとの断定、取得時間・費用、国内保存できるのは1社だけとの説明。 → 質問票と監査報告書・契約・アカウント保存先・自社管理を対応させ、PPCの第三者提供条件と安全管理を区別。
2026年10月10日に確認した公式情報に基づく当サイトの訂正。この日に事業者が変更したという記録ではありません。 - 記述の訂正2026.09.06 セキュリティ質問票 — カバー範囲の主張と、根拠として挙げた法令
この7項目で質問票の大半は埋まります／プライバシーポリシーは日本の個人情報保護法の要請です → 7項目は出発点であり「大半が埋まる」とは書かない。法が求めているのは利用目的を本人の知り得る状態に置くことで、プライバシーポリシーはその手段の一つと記述を改めた
当サイトの変更はすべて変更履歴にまとめています。