CCPA Toll Freeのソフトウェアは、新しいCCPAリクエストを受信するとWebhookで各種サービスと連携します。
CCPAリクエストの履行を自動化することで、企業は一貫性と効率性の両方を得られます。Google、Yahoo、Microsoftといった大手テック企業や、Amplitude、Brazeをはじめとするマーケティングテック企業など、多くのソフトウェア企業が、リクエストの受信に合わせてプログラムで履行できるようAPIを構築しています。CCPAに役立つAPIとしては、顧客の「個人情報の削除」や「個人情報のコピーの取得」があります。本記事では、当社ツールによるリクエストの本人確認の仕組みや、ダッシュボードと連動したToll-Free Numberおよびウェブフォームの提供方法については触れません。それらについては、こちらの料金ページをご覧ください。
CCPA Toll Freeは、リクエストの受付、本人確認、処理をシンプルにしたいと考えています。そのため、人気のソフトウェア企業が提供するAPIに注目し、ワークフローの自動化に役立てようとするのは自然な流れです。たとえば、それらのAPIをCCPA Toll Freeのダッシュボードからワンクリックで利用できるようにすることも考えられます。当社の多くのお客様はShopifyを利用しています。リクエストを受信して本人確認が完了した際に、CCPA Toll FreeのダッシュボードからShopify上のレコードを直接削除する処理を自動化することもできるでしょう。本ガイドでは、CCPAリクエストの履行を自動化するために各社が提供しているさまざまなAPIについて解説しており、今後も随時更新していきます。ご関心がございましたら、support@optacy.comまでご連絡ください。
Webhook
CCPA Toll Freeのダッシュボードでリクエストの本人確認を行うと、当社から御社のWebhook URLにWebhookイベント privacy_request.updated を送信します。プライバシーリクエストを表すJSONには、顧客情報と本人確認のステータスが含まれています。本人確認済みであれば、Shopify、Customer.ioなど、現在ご利用中のサービスに対して個人情報の取得または削除のAPIを呼び出すことができます。以下に、各サービスとそのAPIの概要をまとめます。
Customer.ioとCCPA Toll Free
Customer.ioは、顧客情報を削除するための単一のAPIを提供しています。顧客情報のコピーの取得については、手動のプロセスが用意されています。つまり、CCPAの取得リクエストを処理する際には、Customer.ioのデータを含むフォルダを手動で作成する必要があります。一方、削除リクエストについてはAPIを利用できます。
APIを利用する最初のステップは、Customer.ioのダッシュボードで確認できるAPIシークレットキーとサイトIDを取得することです。現在、認証にはBasic認証が使われています。以下は、こちらのドキュメントに記載されている、ユーザーを削除するAPIの例です。CCPA Toll FreeからはCustomer.ioの顧客IDを取得できないため、御社のバックエンドから取得する必要があります。そのうえで、次のようにAPIへPOSTします。
curl -i https://track.customer.io/api/v1/customers/:id \
-X DELETE \
-u YOUR-SITE-ID-HERE:YOUR-SECRET-API-KEY-HERE
ShopifyとCCPA Toll Free
Shopifyは、当社と同様にAPIとWebhookの両方を備えています。Webhookは、Shopifyをプライバシーリクエストマネージャーとして使用し、CCPAリクエストが届いた際にHTTPリクエストを受け取りたい場合に便利です。もちろん、プライバシーリクエストの管理という点では、CCPA Toll Freeほど高度ではありません。
Shopifyでは、GraphQLのミューテーションまたはHTTPリクエストを使ってCCPAリクエストを処理します。ユーザーを削除する必要がある場合は、削除APIを呼び出せます。ただし、先にそのユーザーに関連するすべての注文を削除しておかないとエラーになるため、ご注意ください。
DELETE /admin/api/2020-10/customers/{user_id}.json
顧客データを取得するには、顧客情報を取得し、その顧客に関連するすべての注文も取得する必要があります。その後、それらをファイルにまとめて顧客に送付します。
AmplitudeとCCPA Toll Free
Amplitudeは、CCPAリクエストの自動化をリードする企業であり、OpenGDPRの創設メンバーの一社でもあります。ユーザーデータを削除するには、Basic認証でリクエストを認証します。
POST https://amplitude.com/api/2/deletions/users
Arguments
amplitude_ids: Amplitude IDs to be deleted.
user_ids: User IDs to be deleted.
requester: The person who requested the Amplitude ID to be
Amplitudeには現在、すべての顧客情報を取得するためのAPIはありません。このデータは膨大であるため、おそらく非同期で処理してファイルを送ってもらい、それを顧客に転送する形になるでしょう。
SlackとCCPA Toll Free
CCPAのプライバシーリクエストを受信した際に、Webhookを使ってSlackチャンネルにメッセージを送信する設定をご利用のお客様もいます。これを実現するには、こちらのチュートリアルに従って、SlackチャンネルのWebhookを有効にしてください。WebhookのURLを控えておきます。次に、CCPA Toll Freeのダッシュボードを開き、開発者向けセクションに移動します。一番上にあるテキスト入力欄「Webhook Url」にSlackのWebhook URLを入力します。イベントは「privacy_requests.received」のみを選択します。これで、新しいCCPAリクエストを受信するたびに、Slackチャンネルにメッセージが届きます。
まとめ
全体として、CCPAリクエストの自動化を成功させるには、多種多様なAPI、認証方式、APIアーキテクチャを理解する必要があります。OpenGDPRは、CCPAリクエストの作成とステータスの確認を標準化するためのプロトコルです。OpenGDPRプロトコルに準拠したCCPAリクエストマネージャーを構築するのではなく、削除・取得APIの構築から着手した企業もあります。そうした企業が自らをリクエストマネージャーではないと位置付けているのであれば、これは理にかなっているといえます。また当社では、Zapierのようなプラットフォームを使ってさまざまなサービスを連携させる動きにも注目していますが、まだごく初期の段階です。
CCPAへの対応でお困りの場合は、まずはご登録ください。当社のサービスは年間払いで月額25米ドルからご利用いただけ、ウェブフォーム、Toll-Free Number、本人確認方法、Webhookなど、さまざまな機能を提供します。