ホーム / 解説記事 / 運用・セキュリティ
取引先に情報管理を聞かれたら、何を出せばいいですか
結論を先に書きます。SOC 3・DPAのURL・管理画面の保存先表示の3点で、チェックシートの大半は埋まります。この3つはいずれも無料で、契約変更もプラン変更も要りません。
そのうえで、聞かれる前にやっておく価値があるのが1つあります。プライバシーポリシーに、データが保存される外国の名称を書くことです。これは取引先対応ではなく、日本の個人情報保護法の要請です。
（各社が実際にどの国にデータを置いているかは、別記事「自社の顧客データは、どこの国に保存されますか」で扱っています。）
日本の個人情報保護法は、何を求めていますか
個人データを外国にある第三者へ渡すときは、次のいずれかが求められます。
- 本人の同意。 このとき、移転先の国名・その国の個人情報保護制度・提供先が講じる措置を事前に伝える必要があります
- 提供先が国内と同等の体制を整えていることの確保。 その体制が続いているかの継続的な確認と、本人から求められたときの情報提供を含みます
- 提供先が、同等の水準と認められた国にあること。 現在はEUと英国のみです
米国は3に含まれません。HubSpot・monday.com のように日本から申し込むと米国に置かれるサービスは、1か2で整理することになります。
ただし、契約でSaaS事業者が個人データを取り扱わないと定められ、アクセス制御が適切であれば、そもそも「外国にある第三者への提供」に当たらないという整理も示されています（個人情報保護委員会Q12-3）。CRMのように事業者側が中身を処理する前提のサービスがこれに当たるかは判断が分かれるため、自社の使い方に照らして専門家にご確認ください。
なお、各社が公表しているSCC（標準契約条項）・英国向け追補・データプライバシーフレームワークは、いずれもEUや英国から第三国への移転を適法化する枠組みで、日本の個人情報保護法の要件を直接満たすものではありません。 「SCCがあるから日本法も大丈夫」とは読まないでください。
聞かれる前に、この4つだけ済ませてください
- プライバシーポリシーに国名を書く。 個人データを外国のサーバに保存している場合、安全管理措置として講じた内容を本人の知り得る状態に置く必要があり、個人情報保護委員会は、置くべき事項として「クラウドサービス提供事業者が所在する外国の名称及び個人データが保存されるサーバが所在する外国の名称」を挙げています（Q10-25）。事業者の所在国とサーバの所在国は別なので、分けて書きます。この記載で足りるかの最終判断は、専門家にご確認ください
- 管理画面で保存先を確認して記録する。 「HubSpot＝米国東部、Asana＝米国バージニア」と1行ずつ残せば、チェックシートの大半は埋まります
- SOC 3を今のうちにダウンロードしておく。 聞かれてから探すと、Trust Center のアクセス承認で数日かかります
- DPAのURLを控える。 締結作業は不要ですが「どこに書いてあるか」は聞かれます
所要は30分ほどです。逆に今やらなくてよいのは保存先の変更で、これは具体的な要求を受けてからで間に合います。
書類は、どこから取れますか
| 必要な書類 | HubSpot | monday.com | Asana | Shopify |
|---|---|---|---|---|
| SOC 2 Type 2（秘密保持つき） | Trust Center（trust.hubspot.com） | Compliance Hub（trust.monday.com）でアクセス申請 | Trustページ（asana.com/trust）。受け取り方法は公式に確認できず | 管理画面にログインして取得 |
| SOC 3（そのまま渡せる） | 法務ページから公開ダウンロード | Compliance Hub | Trustページ | 公式のCompliance Reportsページ |
| DPA | legal.hubspot.com/dpa。署名版はページ内フォームから請求 | monday.com/l/privacy/dpa。DocuSignで署名版 | asana.com/terms/data-processing | shopify.com/legal/dpa |
| 保存先の証明 | アカウント設定のデータセンター表示 | サポート記事のデータレジデンシー欄 | データレジデンシー設定画面 | 該当機能を確認できませんでした |
出典：各社公式ページ（2026年8月確認）。SOC 2は外部の会計監査人による検査報告書で、取引先が求めるのはほぼ Type 2（半年〜1年その仕組みが回っていたかの検査）です。SOC 3はその要約版で、秘密保持契約なしに誰へでも渡せます。DPA（データ処理契約）は「個人データを預かって処理するだけで勝手に使わない」という取り決めで、4社とも利用規約に自動で組み込まれており締結作業は要りません。
この表で最も情報量が多いのは、Shopifyの最下段が空いていることです。 「保存先を選べない」という回答をそのまま書くことになります。
渡す順番にも決まりがあります。SOC 2 Type 2 は自社との秘密保持契約に基づいて渡されるもので、取引先へ転送する権利までは通常含まれません。まずSOC 3を渡し、足りないと言われたら「ベンダーのTrust Centerに直接アクセス申請してください」と案内するのが現実的です。
この対応で足りない読者像
「例外なく国内保存」を条件にされている会社。 書類を揃えても要件を満たせません。4社のうち国内に置けるのは Asana だけで、それも認証まわりのデータは米国に残ります。
ISO 27001の認証書の提出を求められている会社。 HubSpot と Shopify は自社認証の記載がなく、「基盤事業者の認証」としか回答できません。書類の準備ではなく、製品選定の問題になります。
官公庁・金融・医療の案件に関わる会社。 業界固有の要求水準があり、本記事の3点セットでは足りません。
逆に、扱う個人データが自社の従業員名簿と取引先の名刺だけで、他社から預かったデータがない会社。 チェックシートを求められた経験がないなら、上の4つを済ませて記録を残すだけで十分です。保存先を動かすために上位プランへ上げるのは費用に見合いません。
迷ったら
Q3の確認を先にやること。ここを曖昧にしたまま上位プランを契約すると、結局満たせないことがあります 出典：各社公式ページ・個人情報保護委員会（2026年8月確認）
先に決めるのは、先方の要求が「説明」なのか「国内保存」なのかです。 説明で足りるなら費用はゼロで、その場で回答できます。国内保存が本当に条件なら、書類をいくら揃えても届かないので、プラン変更か製品変更の話に切り替えることになります。この2つを分けずに動くと、上位プランを契約したのに要件を満たせない、という結末になりかねません。
出典（2026年8月確認）
- 個人情報保護委員会：外国にある第三者への提供に関するガイドライン（同意時の情報提供義務、基準適合体制、同等水準国はEUと英国）／Q12-3（クラウド事業者が個人データを取り扱わない場合の整理）／Q10-25（外国の名称の公表）
- HubSpot：セキュリティプログラム（SOC 2 Type 2・SOC 3・基盤事業者の認証）／DPA（自動組込み・SCC・UK Addendum・スイス追補・DPF）／Trust Center／データセンター一覧
- monday.com：Trust Center（認証一覧）／Compliance Hub／DPA（SCC・IDTA B.1.0・EU-US DPF・スイス追補）／データレジデンシー
- Asana：Trust（SOC 2・ISO 27001:2022ほか）／DPA（DPF→SCCの優先順位・UK Addendum）／データレジデンシー
- Shopify：DPA（2021年版SCC・UK IDTA・BCR）／セキュリティ（PCI DSS レベル1・SOC 2 Type II・SOC 3）／コンプライアンス報告書の閲覧方法（SOC 1 Type 2を含む）
本記事は法的助言ではありません。 個人情報保護法上の取扱いや、取引先との契約で求められる水準の判断は、弁護士など専門家にご確認ください。Asana の SOC 2 Type 2 の受け取り方法、Shopify の保存先の選択可否、HubSpot と Shopify の自社 ISO 27001 認証は、公式ページで記載を確認できませんでした。各社の提供条件は変更されます。契約前に必ず各公式ページでご確認ください。