データ削除は何をしますか？

個人の個人データを商業的なデータ収集エコシステム（漏洩検索エンジン、OSINTルックアップツール、人物検索サイト、B2Bコンタクトデータベース、メール検証サービス、アドテクオーディエンスブローカー、脅威インテリジェンスプラットフォーム）から削除するためのキャンペーンフレームワーク。

実際の15週間にわたる329組織へのキャンペーンに基づいて構築されています。references/ 内のすべてのものは実戦テスト済みです。連絡先アドレスはバウンスしなかったもの、テンプレートは削除を実現したもの、references/troubleshooting.md に記録された障害モードは実際に発生したものです。

このスキルではないもの

これは法的助言ではなく、あなたはユーザーの弁護士ではありません。法令を引用するリクエストを作成し、どの規制当局が管轄権を持つかをユーザーに伝えることはできますが、規制当局や裁判所へのエスカレーションに関するすべての判断はユーザー自身が行うものです。早い段階で一度これを伝え、その後は役に立つことに専念してください。

ステップ1 — 対象者のプロファイルを作成する

消去リクエストは曖昧だと失敗します。何かを作成する前に、プロファイルを収集します。インターフェースがサポートしている場合は AskUserQuestion を使用し、そうでない場合はプレーンテキストで質問します。これらの値を推測したり、別のユーザーから引き継いだりしないでください。

必須

フルネーム（フォームに表示したい正確な形で）。特に発音区別符号（diacritics）について尋ねてください。米国でホストされている多くのフォームは í、ó、ü を壊し、壊れた名前で届いたリクエストはレコードと一致しません。
消去するメールアドレス。ほとんどの人は複数のメールアドレスを持っており、忘れられた10年前のアドレスが漏洩コーパスに存在するのが普通です。
居住国。これだけで適用される法律、したがって使用するテンプレートが決まります。ドメインや言語から推測しないでください。

尋ねるが、なくても進める

ユーザー名/ハンドル。いくつかの漏洩検索エンジン（Snusbase、DeHashed、Leak-Lookup）はユーザー名でインデックスを作成するため、ハンドルは別個の検索セレクターであり、独自のリクエストが必要です。
電話番号、現在および過去の郵便住所 — ほとんどの米国の人物検索オプトアウトでは必須ですが、ほとんどのEUリクエストでは無関係です。
生年月日。一部の米国ブローカーはレコードを識別するためにそれを要求します。ユーザーに提供する前に警告してください。データブローカーに、これまで持っていなかった新しいフィールドを提供することになります。

絶対にしないこと

政府ID番号、パスポートまたは運転免許証番号、支払いカードまたは銀行の詳細、または身分証明書の写真を決して尋ねたり、書き写したり、リクエストに含めたりしないでください。一部のブローカーは削除リクエストを「確認」するためにIDを要求します。GDPR第12条(6)に基づき、管理者は比例する識別のみを要求でき、通常は匿名化された文書で十分です。ユーザーに名前と写真以外をすべて匿名化し、管理者自身のポータルを通じてアップロードするように指示してください。あなたはユーザーの身分証明書を扱いません。

完成したプロファイルは profile.yml（profile.example.yml を参照）として保存し、リポジトリや共有場所から離して保管してください。

ステップ2 — 法的根拠を選択する

references/privacy-laws.md を読んでください。13の法制度（GDPR、UK GDPR、スイスFADP、CCPA/CPRAおよびその他の米国州法、PIPEDAおよびケベック州法25、LGPD、POPIA、オーストラリアのプライバシー法、APPI、PIPA、DPDP、ニュージーランドのプライバシー法）をカバーしており、それぞれについて、適用条文、法定期限、消去が真の権利か単なる要求に応じた削除か、および苦情を申し立てるべき規制当局が記載されています。

3つのルールがフレーミングを決定します。

対象者の居住地が最低基準を設定し、管理者の所在地は設定しない。 GDPR第3条(2)は、EU内の人々に商品やサービスを提供する、または彼らの行動を監視する管理者に適用されます。アイルランド居住者の住所をインデックスする米国の漏洩検索エンジンはGDPRの範囲内です。リクエストにそう記載してください。
1つのリクエストで、合理的に適用されるすべての制度を引用する。 カリフォルニア、ブラジル、EUにユーザーがいる管理者は、3つすべてを指定すれば、どの法律が自分を拘束するかを解明するインセンティブがありません。これには1文余分にかかりますが、返信率を大幅に向上させます。
対象者の自国の法律が弱い場合、管理側の法律を借用する。 消去権のない国の対象者でも、管理者自身のプライバシーポリシーがそれらの権利を全員に拡張している場合（ほとんどの場合、2つのパイプラインを運用するよりも1つを運用する方がコストがかからないため）、管理者のカリフォルニア州またはEUの義務を呼び出すことができます。

ステップ3 — ターゲットを選択する

references/site-registry.md（およびその横にあるCSV）には、確認済みのプライバシー連絡先を持つ9つのカテゴリにわたる329の組織がリストされています。329すべてを送信しないでください。対象者が実際にさらされているものに基づいて選択します。

対象者が…	優先するカテゴリ
漏洩コーパス / HIBPに出現する	漏洩・漏洩検索、脅威インテリジェンス
OSINTツールでメールアドレスで検索可能	OSINT / メールインテリジェンス
公開されたプロフェッショナルプロファイルを持っている	B2Bコンタクトデータ・リードジェネレーション
米国居住者または元居住者	人物検索、主要データブローカー
広告プロファイリングの削減を希望	アドテク・オーディエンスデータ
英国/ドイツ/オーストリア/ベルギー/フランス在住	地域ディレクトリ

オープンウェブにデータを公開するカテゴリ（漏洩検索、OSINT、人物検索）から始めてください。これらは最も早く目に見える結果を生み出し、最も害を及ぼすものです。アドテクは最大のカテゴリであり、最も目立ちません。後の波に残しておいてください。

各波の前に、連絡先アドレスがまだ有効であることを確認してください。企業は買収され、プライバシーページは移動し、privacy@ アドレスは予告なく廃止されます。現在のプライバシーポリシーまたは /.well-known/security.txt を確認してください。レジストリの備考列には、どのアドレスがすでに一度無効になったかが記録されています。

レジストリが見逃しているサイトを見つける

レジストリはスナップショットです。このカテゴリは他のほとんどよりも速く変動します。新しい資格情報検索サービスは毎月立ち上がり、古いものはハイジャックされたり停止したり、有名な名前ほど多くのデータを保持しているとは限りません。リストは不完全であると想定し、すべてのキャンペーンの開始時に次の4つのスイープを実行してください。

1. アグリゲーターから上流プロバイダーをマイニングする。 単一の動きとして最も高い収穫をもたらします。1つのAPIを通じて漏洩データを再販するサービスは、クエリするソースのリストを公開しています。これはセールスポイントです。あるページでは15の上流プロバイダーが命名されていましたが、そのうち5つはどの「最高の漏洩検索」記事にも登場していませんでした。これらのページは、業界自体によって書かれた無料のターゲットリストです。アグリゲーターに第19条リクエストを送信し、そのプロバイダーを参照し、どのプロバイダーに消去を転送したかを尋ねてください。

2. サイトのタイプではなく、データのタイプで検索する。 「漏洩検索エンジン」は毎回同じ8つの有名な名前を表示します。最もデータを公開するサービスは、コンテンツで検索します。stealer logs、combolist、ULP、infostealer lookup、plaintext passwords、session cookies、hardware ID。URLの横にパスワードを返すサイトは、自分自身を「漏洩チェッカー」ではなく、これらの言葉で説明します。

3. 「代替品」のページを1ページ目以降も読む。 比較・代替リストサイトは、よく知られたサービスを最初にランク付けし、小規模な事業者は2ページ目と3ページ目に埋もれさせます。埋もれたものは通常、プライバシーページがなく、DPOもなく、最も良心の呵責が少ない事業者です。まさに連絡する価値のあるものです。

4. 「メールがない」サイトを再確認する。 バウンスした support@ や、自動的にWebフォームにリダイレクトされる legal@ は、削除手段の欠如ではありません。実際にまだ機能している新しいアドレスを探してください。help@、privacy@、dpo@、abuse@、または会社の登録住所を試してください。サイトがまったく連絡先を公開していない場合、これは意識的な決定です。これは通常、規制当局への報告を正当化するのに十分です。references/troubleshooting.md を参照してください。

ステップ4 — リクエストを作成して送信する

references/templates には、13の法制度すべてのテンプレートが含まれています。適切なテンプレートを選択し、ステップ1のプロファイルとステップ2で選択した法的根拠に従ってカスタマイズします。

各リクエストには以下を含める必要があります：

件名行（明確で法的根拠を記載）
対象者の氏名と連絡先メールアドレス
削除を要求する特定のデータ（例：すべての個人データ、特定のレコード）
適用される法律と条項の引用
遵守のための期限（法律で定められている場合）
非遵守の場合のエスカレーションの脅し（必要な場合）

リクエストは、確認済みのプライバシー連絡先に送信します。可能な限りメールで送信し、送信記録を保持します。サイトにWebフォームしかない場合は、フォームに記入し、確認番号があれば保存します。

ステップ5 — フォローアップとエスカレーション

リクエストを送信した後、以下のことを行います：

応答を追跡する。 すべての応答（確認、拒否、無視）を記録します。
期限内にフォローアップする。 法律で定められた期限内に応答がない場合（GDPRの場合は30日など）、リマインダーを送信します。
拒否に対処する。 リクエストが拒否された場合、理由を文書化し、必要に応じて異議を申し立てます。
規制当局にエスカレーションする。 管理者が法律に従わない場合、適切な規制当局に苦情を申し立てることができます。references/privacy-laws.md に各制度の規制当局が記載されています。

references/troubleshooting.md には、一般的な障害モードとその対処方法が詳しく説明されています。

注意事項

このスキルは、他の誰かのデータではなく、ユーザー自身のデータに対してのみ使用することを目的としています。
すべてのリクエストは誠実に行い、虚偽の情報を提供しないでください。
法律は変更される可能性があります。このスキルが最新でない可能性があることを認識し、重要なリクエストの前には現在の法律を確認することを検討してください。
データブローカーは、リクエストに応答しない、またはリクエストに異議を唱えることがあります。忍耐強く、必要に応じてエスカレーションする準備をしてください。

データ削除