【仕事メモ】Facebookアプリの個人情報利用規約

お世話になっております。
ループス岡村です。

先日のプライバシーポリシーの変更で、Facebookアプリの個人情報保持24時間制限が解除になったという話は聞いていたのですが、今日（2010年6月14日23時頃）確認したところ日本語版ヘルプページでの規約は変更されていませんでした。そのため、Facebookアプリの個人情報に関する取り扱いを調べましたので、その時のメモを掲載します。

原文はこちら。あわせて読みたいプロモーションガイドラインはこちら。
誤訳についてはコメントかメールでご一報いただけますと幸いです。

III. Storing and Using Data You Receive From Us

アプリケーションがFacebookから取得するデータの保持と利用に関して

   1. You must give users control over their data by posting a privacy policy that explains what data you collect, and how you will use, store, and/or transfer their data.

あなたのアプリが、ユーザーのどのデータを収集し、何を保存し、どう使うのか、そしてどんな組織に転用するのかといった情報ををプライバシーポリシーに明示する必要があります。ユーザーには、もしそれが気に入らなければアプリを利用しないという選択肢を与えなければなりません。

"how you will transfer（どんな組織に転用するのか）" という訳はどうかと思いましたが、個人情報の第三者利用に関する条文によく出てくる内容かと思います。

   2. You may cache data you receive from the Facebook API in order to improve your application’s user experience, but you should try to keep the data up to date. This permission does not give you any rights to such data (including the right to transfer) absent explicit consent from the users who own the data.

あなたは、アプリが Facebook API から受け取ったデータをアプリの品質改善に役立てるためにキャッシュしても構いません。ただし、あなたはキャッシュされたデータが最新の状態を保つようにするべきです。なお、この許可はユーザーのデータに関するいかなる権利（転載も含む）も与えるものではありません。

これまで謳われていた24時間制限とも関連する部分ではないかと思います。実際に24時間以上保持していないかを管理するすべはないはずですが、キャッシュという行為と権利に関するFacebookの見解が明らかにされています。あくまでアプリ改善のために、一時的に保持することを許可しているんだよ、ということかと理解しています。

   3. Users give you their basic account information when they connect with your application. For all other data, you must obtain explicit consent from the user who provided the data to us before using it for any purpose other than displaying it back to the user on your application. A user’s friends’ data can only be used in the context of the user’s experience on your application.

ユーザーは、あなたのアプリケーションに接続する際に彼らの基本的なアカウント情報を与えます。
単にアプリ上に表示に表示する場合を除いては、それがどのような目的であろうと、事前に許可された以外のデータを使う場合はユーザーから明示的に同意を得る必要があります。また、友達情報は、アプリ上でのユーザー体験のためだけに使うことができます。

基本的なアカウント情報とは以下のデータです。

• ID
• 名前
• メールアドレス
• 性別
• 生年月日
• 都市
• プロフィール画像
• あなたのアプリケーションに登録している友達のID

最後の「あなたのアプリケーションに登録している友達のID」というのは、ユーザー間の繋がり、言いかえればソーシャルグラフというものを、どれほどFacebookが重要視しているかを端的に表していると思います。この傾向は後半の規約でも顕著です。

   4. If you stop using Platform or we disable your application, you must delete all data you have received from the Facebook API unless: (a) it is basic account information; or (b) you have received explicit consent from the user to retain their data.

もしあなたがFacebookプラットフォームを使うのをやめるか、もしくは私たちがあなたのアプリケーションを利用禁止にした場合、Facebook APIから受け取った、以下を除く全てのデータを削除しなければなりません。

1. 基本的なアカウント情報
2. ユーザーから、データの保持に関して明示的な承諾を得たデータ

自社のソーシャルグラフをアプリベンダに持ち逃げされることをけん制している条文です。

   5. You cannot use a user’s friend list outside of your application, even if a user consents to such use. You can use connections between users who have both connected to your application, subject to your privacy policy.

たとえユーザーが許諾したとしても、あなたはあなたのアプリケーション外で友人リストを使うことはできません。あなたのユーザーと、その友人が、あなたのアプリのプライバシーポリシーを了承して利用している場合に限り、そのコネクションを利用することができます。

「たとえユーザーが許諾したとしても」系の条文はFacebookがユーザーエクスペリエンスよりも重要視している箇所と取れるので気になります。あるユーザーの友人全てに招待状を送る、といった使い方はできないのだと思います。

   6. You will delete all data you receive from us concerning a user if the user asks you to do so, and will provide an easily accessible mechanism for users to make such a request. We may require you to delete data you receive from the Facebook API if you violate our terms.

アプリケーション開発者は、ユーザーのリクエストに応じて彼らに関する全てのデータを削除しなければなりません。また、ユーザーがそういった要求を送信するための簡便な仕組みを備えておく必要があります。あなたがFacebookの規約に違反した場合は、私たちはあなたがFacebook APIから受け取った全てのデータを削除するよう要求することがあります。

FacebookのAPIなどを介して得た情報は、サードパーティが「借りている情報」ということですので、Facebookを利用しない場合は返却（削除）するように、とのことです。

   7. You must not use user data you receive from us or collect through running an ad, including information you derive from your targeting criteria, for any purpose off of Facebook, without user consent.

どのような目的であろうと、あなたがユーザーの同意なく、私たちからユーザーのデータを利用したり、広告を出して課金することはできません。ここには各種のターゲティングメソッドから導き出される情報も含みます。

いけてない翻訳ですみません。

広告に関する言及と、取得したデータの二次利用を明確に禁じている条文かと思います。

   8. You will not directly or indirectly transfer any data you receive from us to (or use such data in connection with) any ad network, ad exchange, data broker, or other advertising related toolset, even if a user consents to such transfer or use. By indirectly we mean you cannot, for example, transfer data to a third party who then transfers the data to an ad network. By any data we mean all data obtained from the Facebook API, including aggregate, anonymous or derivative data.

直接・間接を問わず、例えユーザーの同意があったとしても、API経由で取得したいかなるデータもアドネットワークやアドマーケットプレイス、個人情報のブローカー、その他一切の広告関連ツールに転用することはできません。これは、間接的にであっても、ユーザーの個人情報を広告ネットワークを運営する第三者に移管することができないということを意味します。また、データとは、Facebook APIから取得したデータだけでなく、匿名データや集約したデータ、その他一切の派生データを含みます。

一番ありそうな第三者利用ですが、広告やそれに準ずる利用（販促やPRをけん制していると思われます）を禁じています。

   9. You will not include data you receive from us concerning a user in any advertising creative.

あなたが我々から受け取ったユーザーに関するデータで最適化した広告を表示することはできません。

「最適化」という訳が適切かどうかわかりませんが、Facebookの登録情報によってユーザーが「25歳女子」であることが分かったとしても、25歳女子向けの広告出したらいけませんよ、ということかと思います。FacebookAdがやっていることそのまんまですものね。

  10. You must not give your secret key to another party, unless that party is an agent acting on your behalf as an operator of your application, but you must never give your secret key to an ad network. You are responsible for all activities that occur under your account identifiers.

相手があなたのアプリのオペレータとして活動している代理人である場合を除き、あなたのアプリに付与されたSecretKeyを第三者に与えてはいけません。ただし、そのような場合でも広告ネットワークにSecretKeyを教えるべきではありません。あなたは、あなたのアカウントで行われる全ての行動に責任を負います。

まあ、これは普通に考えてだめだろうと思います。

◆まとめ
Facebookにとってユーザーの個人情報とそこに紐付く「Connection（繋がり）」は生命線ですので、第三者利用に関しては相当制限したい意向が見て取れます。ただ、一方で物理的に禁止する方法がないのも事実です。

それでも、ユーザーからの通報をはじめ、ソーシャルグラフは新しくないと意味がないこと、転用しておおっぴらに儲ければいやでも目につくことなどが違法行為に対する抑止力となって働いていると思います。このあたりの自浄作用ともいえるべき効果はソーシャルメディアにとって特徴的な性質であり、これだけ大きな組織で適当なバランスを保っていることが興味深くもあります。

以上です。
それでは、よろしくお願いいたします。