顧客からメールが届きます。私に関するデータをすべて削除してください、と。8か月前にCookieバナーを入れたので対応済みのはずだと考えます。違います。バナーは訪問した瞬間の同意を取るものです。データ主体からのリクエストは別の義務で、アクセス、訂正、削除、オプトアウトのそれぞれに時計があります。

ほとんど書かれていないのは、履行側をShopifyがすでに用意している点です。顧客プロフィールを開いて More actions をクリックすれば、Request customer data と Erase personal data があります。アプリは要りません。

問題はクリックした後です。Shopifyは消去をインストール済みの全アプリへ転送します。そのうえで、削除の確認はあなたの仕事であり、方法は各開発者へ1本ずつ問い合わせることだと、Shopify自身のヘルプページが書いています。

この記事は一般的な情報であり、法的助言ではありません。Shopifyのヘルプページ自体も同じ注意書きを載せています。どの法律が自社に適用されるかは弁護士に相談する領域です。

同意アプリがやること、そして決して触れないこと

同意とリクエストは別の機械です。前者を担うのがShopifyのCustomer Privacy APIで、setTrackingConsent、currentVisitorConsent、visitorConsentCollected のdocumentイベント、そして USCA のようなISO 3166-2値を返す getRegion() があります。Cookieバナーアプリはこの層に書き込みます。その中に、削除リクエストを受け付ける仕組みも、本人確認の仕組みも、対応を記録する仕組みもありません。

マーチャントがアプリを買いがちな機能も2つ、Shopifyがすでに持っています。設定 > 顧客プライバシー の Data sharing opt-out page は、そのリンクをメニューに追加すると「Your Privacy Choices」アイコンを自動で挿入します。またデータ販売のオプトアウトが設定された地域では、ShopifyはGlobal Privacy Controlを自動的に尊重し、sale_of_data を false にします。カリフォルニア州司法長官はGPCについて、"as a valid consumer request to stop the sale or sharing of personal information"（個人情報の販売または共有を停止する、有効な消費者からのリクエストとして）扱わなければならないと述べています。ただしShopify標準のバナーが管理するのは自社のCookieとPixelsだけで、自動設定ではUSトラフィックではなく英国とEEA市場を対象とします。

リクエストが来たときShopifyが標準でやること

アクセスは Customers > 当該顧客 > More actions > Request customer data です。プロフィールを再読み込みするとデータが表示され、ストアオーナーにはメールでも届きます。範囲は、その顧客の自店への訪問からShopifyが処理したデータです。

消去は More actions > Erase personal data です。Shopifyの表現は正確で、そして日常的に読み違えられます。氏名や住所などの個人データは消えますが、何が売れたか、その販売の日時は管理画面に残ります。顧客プロフィールと注文履歴は残ります。 これはdeletionではなくredactionです。あわせて当該顧客のサブスクリプション契約と事前承認された支払いはキャンセルされます。ShopおよびShop Payを通じてShopifyが保持するデータには届かず、そちらは顧客が privacy.shopify.com でリクエストします。

そしてタイミングです。素朴な業務手順書は、たいていここで壊れます。

挙動	内容
取り消し可能期間	送信後10日間。Erasure request submitted セクションの Cancel request から
直近6か月に注文が無い	Shopifyはリクエストの10日後に customers/redact のペイロードをアプリへ送る
直近6か月に注文がある	ペイロードは6か月経過するまで送られない

最後の行は二度読む価値があります。直近で購入した顧客ほど、インストール済みアプリへのファンアウトは半年のあいだShopifyから出ていきません。本人確認も解決されていません。Shopifyは、適用法が許すまたは求める範囲で顧客の本人確認が必要になる場合があると述べるだけで、その仕組みは提供していません。

インストール済みの全アプリに課されている義務

Shopify App Storeで配布されるアプリはすべて、customers/data_request、customers/redact、shop/redact の3つのコンプライアンスwebhookトピックを購読しなければなりません。個人データを収集するかは関係なく、購読していないアプリは審査で落ちます。（かつてGDPR webhooksと呼ばれ、現在Shopifyはmandatory compliance webhooksと呼びます。）

トピック	発火条件	義務
customers/data_request	顧客が自分のデータを請求した	200 を返し、そのうえでデータをストアオーナーへ直接提供する
customers/redact	消去を送信した（タイミングは上記の通り）	200 を返し、そのうえで消去する
shop/redact	アンインストールから48時間後	200 を返し、そのうえで当該ショップの顧客PIIをすべて消去する

開発者は、法的に保持が必要な場合を除き、リクエスト受領から30日以内に処理を完了しなければなりません。アンインストールは実効性のあるプライバシー上の行為ですが、遅い行為でもあります。そして customers/data_request の文言に注意してください。アプリはリソースIDをストアオーナーへ直接渡します。アプリの応答を集約するダッシュボードは、Shopify管理画面に存在しません。

確認の穴

アプリの探し方と選び方に関するShopifyのヘルプページは、1人の顧客について消去をリクエストすると、その情報を持ちうる "the same request is sent to every app you have installed"（同じリクエストがインストール済みのすべてのアプリへ送られる）と書いています。この記事が存在する理由は次の一文です。削除されたことを確認するには、あなたが "need to check with the app's developer directly"（アプリの開発者に直接確認する必要がある）のです。

これはShopifyが自社アーキテクチャを正確に説明しているだけです。第三者のデータベースを検証することはできないので、できるとは主張していません。帰結は運用に出ます。20本のアプリを動かしていれば、スタック全体での消去の証明は、20通のメールと20通の返信、そしてそれを証跡として残す作業です。DSARアプリは受付とケースログとエクスポートを提供できますが、他社開発者のデータベースを監査することはできません。まずは棚卸しからです。設定 > 顧客プライバシー に Installed privacy apps が並び、残りはアプリ一覧でわかります。

時計

改正後のCCPAの適用を受ける事業者について、California Privacy Protection Agencyは期限を明快に示しています。受領確認は10営業日以内、削除・訂正・開示のリクエストに対する実質的な回答は45暦日以内で、消費者に通知すればさらに45日、合計90日まで延長できます。販売または共有のオプトアウト、および機微な個人情報の利用制限のリクエストは、15営業日以内に応じなければなりません。

適用されるかどうかは3つの閾値のいずれか1つで決まります。年間総収益が26,625,000ドル以上（2025年1月1日発効）、カリフォルニア州の居住者または世帯10万人以上の個人情報を購入・販売・共有していること、あるいは年間収益の50%以上をそこから得ていること。2番目は、自社は小さすぎるから関係ないと考えるストアを捕まえます。また、包括的なプライバシー法を持つ州はカリフォルニアだけではなく、その顔ぶれは変わります。ブログ記事に書かれた数字を信じるのではなく、IAPP US State Privacy Legislation Tracker を見てください。

緊張関係がはっきりします。45日以内に実質的な回答をする義務がある一方で、自分が実行したredactionは6か月間アプリへ届かないかもしれないのです。

リクエストのワークフローを持つアプリ、バナーであるアプリ

問うべきはどのCookieバナーが最良かではありません。このアプリは顧客向けのリクエスト受付と、ケースログと、エクスポートできる何かをくれるのか。 これです。くれるものもあります。少なくとも1本は、自社リスティングの記載上、くれません。

数値は2026年9月3日時点の ?locale=ja リスティングで確認しました。請求はすべてUSD建てです。「記載なし」はリスティングにその機能の説明が無いという意味であって、存在しないという意味ではありません。

日本語ロケールでは表示名が英語版と異なるアプリが2本あります。本文では日本語リスティングの名称を主に使い、初出で英語名を併記します。

アプリ	評価（件数）	Built for Shopify	課金の分母	無料プランでの受付	ケースログ／エクスポート
Consentmo GDPR Compliance	5.0（1,898件）	あり	記載なし	あり — "Customer data requests (DSAR) & Logs"	DSAR管理タブ（ベンダー文書）
Pandectes GDPR/APPI コンプライアンス	5.0（2,904件）	あり	記載なし	あり — "Customer Data Requests"	メール通知＋DSARのCSVエクスポート
Enzuzo Data Privacy	3.5（34件）	表示なし	月間のData Requests件数	あり — 月3件	DSARフォームはGrowth $29/月から
Avada GDPR/APPIコンプライアンス	5.0（848件）	あり	記載なし	あり — "Customer Data request"	記載なし
PieEye	5.0（1件）	表示なし	無料と表示	あり — DSRポータル	ワークフロー、タスク、通知
CookieYes GDPR Cookie Banner	4.8（7件）	表示なし	月間ページビュー	記載なし	記載なし

Consentmo GDPR Compliance

出典: Shopify App Store（Consentmo GDPR Compliance、2026-09-03時点）

Free Plan、Standard Plan $10/月、Plus Plan $37/月、Enterprise Plan $64/月、有料プランは7日間の無料体験。無料プランに "Customer data requests (DSAR) & Logs"（顧客データリクエストとログ）が含まれるので、受付機能はアップセルの対象ではありません。

ヘルプドキュメントは、そのページが何をするのかについて珍しく明快です。ページはインストール時に生成され、顧客はアカウント情報の修正、注文のエクスポート、レポート、消去、そして "Do not Sell My Personal Information"（私の個人情報を販売しないでください）をリクエストできます。ベンダーは "all of the information is taken directly from Shopify"（情報はすべてShopifyから直接取得している）と述べ、リクエスト者のメールアドレス以外の個人データはアプリ側に保存しないとしています。Do Not Sellのリクエストを除き、すべて自動処理されます。

形としては、Shopify標準のフローの上に載ったセルフサービスのフロントエンドとログです。他アプリのデータベースには手を伸ばしませんし、伸ばせるとも書いていません。

Pandectes GDPR/APPI コンプライアンス

出典: Shopify App Store（Pandectes GDPR/APPI コンプライアンス、2026-09-03時点）

英語ロケールでは Pandectes GDPR Compliance と表示されるアプリです。基本（Basic）は無料、プラス（Plus）$9/月、プレミアム（Premium）$29/月、企業（Enterprise）$49/月、7日間の無料体験。基本プランに顧客データのリクエストが含まれます。

ここで検討に値する理由になる箇条書きが1つあります。"Collect your customers' data requests, send email alerts, and export DSAR CSV"（顧客からのデータリクエストを収集し、メールで通知し、DSARをCSVでエクスポートする）。エクスポートは、ログを「手渡せるもの」に変える要素です。本人確認の手順と保持期間についての記載はなく、顧客側のデータアクセスは閲覧であって編集ではありません。自ら消去を実行するのではなく、受付と記録という位置づけと整合します。

日本語リスティングの料金タブは英語版と箇条書きが一致せず、英語版の企業プランにある Checkout banner for Shopify Plus stores の行が日本語版には表示されていません。後述のチェックアウトバナーの比較は英語版の記載に基づきます。

注意点を1つ、パターンではなく単発のレビューとして。2026年8月28日、利用4日目のUSストアが1星のレビューを投稿しました。GA4で異常なダイレクトトラフィックが観測され、アプリを無効化すると止まった、という内容です。サポートはbotブロック機能を案内しましたが、Enterprise専用の機能でした。開発元は翌日に返信し、アプリがbotトラフィックを生成することはないと反論しています。

Enzuzo Data Privacy

出典: Shopify App Store（Enzuzo Data Privacy、2026-09-03時点）

この比較で最も有用な事実は料金体系です。Enzuzoのプランは、この記事のテーマそのもので課金されます。月間のData Requests件数です。無料が3件、Starter $9/月が10件、Growth $29/月が50件、Pro $79/月が無制限。昨年のアクセスと削除のメールを数えて12で割れば、プランは自動的に決まります。

リスティングが区別しつつ説明していない点が1つ。DSAR forms (GDPR & CCPA) はGrowth $29/月から登場し、下位プランには「Data Requests」とだけ書かれています。機能にはポリシー生成も含まれます。

このグループで最も低い評価で、34件で3.5、直近の投稿数も薄いです。2025年4月のカナダのストアによるレビュー1件は、Shopify側とベンダー自社サイトの二重課金が解決されないままだと主張しています。1件の主張であって、パターンではありません。確認時点でリスティングにデータアクセスのセクションは表示されませんでした。公開情報が無いということであって、要求する権限が狭いことの証拠ではありません。

Avada GDPR/APPIコンプライアンス

出典: Shopify App Store（Avada GDPR/APPIコンプライアンス、2026-09-03時点）

英語ロケールでは Avada GDPR Cookies Consent と表示されるアプリです。Free、Professional $9.95/月、Advanced $23.95/月、Enterprise $34/月、7日間の無料体験。Freeプランには "Customer Data request"（顧客データリクエスト）と "Data sales opt-out"（データ販売のオプトアウト）の両方があり、加えてカスタムの設定ページとプライバシーポリシー生成が付きます。公開のオプトアウトページと受付経路を無料で立ち上げるには十分です。

止まるのはドキュメントです。ケース管理、監査ログ、本人確認についての説明はありません。Advanced $23.95/月からの Consent logs は同意の記録であって、リクエストの記録ではありません。つまり受付は記載されていて、DSARの深さは記載されていない。記載が無いことは、無いことと同じではありません。システム・オブ・レコードにする前に問い合わせてください。

コスト面の優位は別の場所にあります。チェックアウトの同意バナーを掲げる3本の中では、Enterprise $34/月が最も安く、Pandectesの企業 $49/月、ConsentmoのEnterprise $64/月が続きます。ただしAvadaの記載は Checkout & Account consent banner であるのに対し、他の2本は「for Shopify Plus stores」と書いています。この点を理由に購入するなら、対象範囲を先に確認してください。

PieEye

出典: Shopify App Store（PieEye、2026-09-03時点）

紙の上では、この問題にまっすぐ向き合ったアプリです。リスティングの箇条書きは、Data Subject Requestのポータル、自動的なデータ検出とDSRの履行、タスクと通知を備えた動的なワークフローを挙げています。概要には、買い物客がDSRを送信するためのポータルを作成し、"retrieving info from any source"（あらゆるソースから情報を取得して）、所定の期限内に結果を提供する、とあります。

この一節こそ、この記事が扱う確認の穴そのものです。そしてこれは検証していないベンダーのマーケティング文言です。自社のアプリ構成に対して実演してもらってください。

制約は根拠の量です。PieEyeのレビューは1件です。 2026年8月3日にUSマーチャントが5か月の利用後に投稿した5つ星で、本文はありません。管理画面は英語のみで、App Storeでは無料と表示され、上位プランは表示されていません。観察を1つだけ。データアクセスのセクションに顧客データも注文データも挙がっておらず、ストアオーナーとブログ投稿者の情報、そしてOnline Storeのスクリプトタグとページへの編集権限だけです。一方でShopifyは、顧客または注文データへのアクセスを付与されたアプリへ customers/data_request と customers/redact を送ります。このセクションは常に網羅的とは限りません。カリフォルニア州San Joseの開発元に投げるのが妥当な質問です。

CookieYes GDPR Cookie Banner — 対照としてのケース

出典: Shopify App Store（CookieYes GDPR Cookie Banner、2026-09-03時点）

これは同意管理プラットフォームであり、リスティングも正直です。バナー、Cookieスキャナー、スクリプトブロック、同意ログ、ポリシー生成。DSAR、データ主体からのリクエスト、顧客データリクエストへの言及は、リスティングのどこにもありません。 データアクセスのセクションも整合的で、ストアオーナー情報とOnline Storeのテーマへの閲覧アクセスのみです。

これは批判ではなく、この記事の主旨そのものです。入れたのがCookieYesなら、持っているのは同意のツールであって、アクセスと削除のワークフローは依然として、あなたとShopify管理画面の手作業のままです。

課金の分母は月間ページビューです。Freeが5,000、Basic $10/月が100,000、Pro $25/月が300,000、Ultimate $55/月が無制限で、14日間の無料体験があります。他にはない警告もリスティングに載っています。Shopifyの請求とは別に、CookieYes Limitedから外部請求が発生する場合がある、というものです。

この順で判断する

1. 昨年のリクエスト件数を数える。 年に数件、メールで来てスプレッドシートに記録する程度なら、Shopify管理画面と 設定 > 顧客プライバシー で足ります。何も買わないでください。
2. 公開のリクエストページ、あるいはDo Not Sell or Share My Personal Informationのリンクが要るか。 Consentmo GDPR Compliance、Pandectes GDPR/APPI コンプライアンス、Avada GDPR/APPIコンプライアンスの無料プランはいずれもリクエスト受付を掲げています。Enzuzo Data Privacyは月3件までです。
3. エクスポートできる台帳が要るか。 Pandectes GDPR/APPI コンプライアンスがDSARのCSVエクスポートを掲げています。ログを証跡に変える要素です。
4. 件数が多い、または読めないか。 Enzuzoのリクエスト件数課金は増減に追従します。50件を超えると$79/月です。機能で値付けされた他のアプリは、リクエスト件数の上限を明示していません。
5. チェックアウトの同意バナーが要るか。 Avada Enterprise $34/月、次にPandectes 企業 $49/月、次にConsentmo Enterprise $64/月。まず各ベンダーにPlusの文言を確認してください。
6. タスクと通知を伴うケース管理が欲しいか。 PieEyeはそのために設計され、無料と表示され、レビューは1件です。試験導入はしてよい。移行はしないでください。
7. 何を選ぶにせよ、誰も売っていない工程を自分で組んでください。インストール済みアプリの一覧、消去のたびに各開発者へ送るテンプレートメール、そして返信を溜めておくフォルダです。

時計はメールが届いた時点で動き始めます。あなたがクリックした時点ではありません。最初のリクエストが来る前に、手順を書いておいてください。

参考・出典

• Shopify Help Center: Processing customer data requests、Finding and choosing apps、Configuring customer privacy settings、Understanding customer privacy settings
• Shopify.dev: Privacy law compliance、Customer Privacy API、Privacy requirements for apps
• California Privacy Protection Agency: FAQ — 回答期限と適用の閾値
• California Attorney General: CCPA、Global Privacy Control
• IAPP US State Privacy Legislation Tracker
• Consentmoサポートドキュメント: Privacy request pages and their request emails and pages explained
• Shopify privacy portal — ShopおよびShop Payに関するリクエストを顧客が提出する窓口
• 6アプリのShopify App Storeリスティング、料金タブ、データアクセス欄、公開レビュー（2026年9月3日取得）