個人情報の漏えい・紛失は、2025年に上場企業とその子会社が公表したものだけでも180件にのぼります（東京商工リサーチ）。ポイントアプリの導入を考えていると、「そのアプリ、個人情報は大丈夫？」と気になったり、上司やクライアントに聞かれたりすることもあるでしょう。先に答えをまとめると、Pointiaは顧客のクレジットカード情報・電話番号・住所・パスワードを持たず、ポイント残高の本体もShopifyに記録されます。持っている氏名やメールアドレスなどの情報はインターネットから直接届かない場所に置き、ストアのデータへの入口も絞っています。

ストアにアプリを入れると、顧客データの置き場所と、ストアのデータへの入口が、アプリの数だけ増えます。Pointiaは、この置き場所と入口の両方を小さくする作りにしています。ストアの設定で今日からできる対策は、ストア側でできる個人情報の対策にまとめました。

対策1：カード情報・住所・パスワードは、Pointiaに置かない

Pointiaは、決済・ログイン・ポイント残高の管理をShopifyに任せています。そのため、漏れると被害の大きい情報を、そもそもPointia側に置かずに済みます。

クレジットカード情報は持たない

Pointiaのデータベースに、クレジットカード情報はありません。 顧客の決済はShopifyのチェックアウトで処理され、Pointiaは決済の画面に手を加えません。Shopifyは、カード業界の国際的なセキュリティ基準であるPCI DSSで、最高レベルであるレベル1に準拠しています（Shopifyのセキュリティ・Shopifyブログ）。

そもそも、ポイントアプリのような一般のアプリがShopifyのAPIで受け取れるカード番号は、大部分の桁が伏せられたもので、セキュリティコードは受け取れません。Pointiaは、カードに関する情報をShopifyから取得していません。

電話番号・住所も持たない

Pointiaは、顧客の電話番号や住所をデータベースに保存していません。 Shopifyは、アプリが顧客の氏名・メールアドレス・電話番号・住所を扱うには、項目ごとに申請して承認を受けることを求めています。Pointiaが承認を受けているのは、ポイントの管理と通知メールに使う氏名とメールアドレスだけです。Pointiaが申請していない電話番号や、住所の番地・郵便番号は、Shopifyから届く時点で伏せられています（Shopifyの開発者向けドキュメント）。

注文の情報には配送先の住所や支払い方法も含まれますが、Pointiaはポイントの計算などに使う項目だけを取り出し、残りは保存する前に捨てています。

ポイント残高は、Shopifyに記録される

ポイント残高は、Shopifyに記録されます。 Pointiaのポイントの実体はShopify標準の「ストアクレジット」で、ストアは管理画面の顧客ページで残高と取引の履歴を確認できます（Shopifyヘルプセンター）。Pointiaがポイントを付与・控除するときも、必ずこのストアクレジットの機能を通します。

残高の本体がPointia側にないので、Pointiaが止まっても、アンインストールしても、残高は消えずにShopifyに残り、顧客はチェックアウトでそのまま使えます（解約したときのポイントについて）。

Pointia専用のパスワードはない

Pointiaには、専用のIDやパスワードがありません。 ストアのスタッフはShopifyの管理画面にログインしたままPointiaを開き、顧客はShopifyのお客様アカウントにログインしてポイントを確認します。新しいお客様アカウントでは、パスワードを使わず、メールに届く認証コードなどでログインします（新しいお客様アカウントとは）。

ログインはShopifyの仕組みを使うので、Pointiaは顧客やスタッフのパスワードを預かっていません。Pointiaからパスワードが漏れることはなく、Pointia専用のログイン画面もないので、ほかのサービスで漏れたパスワードを使う不正ログインに狙われることもありません。

対策2：持つ情報は絞り、外から届かない場所に置く

Pointiaが持つ顧客の情報は、Pointiaの機能に必要なものだけです。

  • 顧客を見分ける情報 — 顧客ID・氏名・メールアドレス。ポイントやランクを顧客に紐づけ、管理画面での表示と検索、通知メールの送信、特典の二重受け取りの防止に使います
  • 購入とポイントの情報 — 購入金額・注文番号・ポイントの付与履歴（取引後の残高の控えを含む）・ランクの判定結果・発行したクーポン。付与するポイントとランクの計算と、履歴の表示に使います
  • 運用の記録 — 送信待ちのメール、通知メールの配信停止の設定、手動の付与やランク変更の記録（スタッフが入力した理由を含む）、届かなかった・迷惑メールと報告されたメールアドレス。ストアが決めた時間帯での送信、配信停止の反映、操作の確認、そうしたアドレスへの再送の停止に使います。送信済みのメールや操作の記録は、不要になれば自動で削除します

持っている情報は、次のように守っています。

  • 保管 — データベースは、インターネットから直接つながる入口のない、非公開のネットワークの中に置いています。アプリとデータベースの間の通信も暗号化しています。データはストアごとに分けて扱い、あるストアのデータが、ほかのストアの管理画面に出ることはありません
  • 通信 — 管理画面・お客様アカウント・Shopifyとのやり取りは、すべてHTTPSで暗号化しています
  • 使い道 — 顧客の情報は、ポイント・ランク・クーポン・通知メールなどPointiaの機能の提供と、不正利用の防止のためだけに使います。広告配信や行動分析に使ったり、第三者へ販売したりすることはありません（プライバシーポリシー）
  • 委託先 — 通知メールの送信、サーバーの運用、エラーの監視には、外部のサービスを使っています。委託先の種類と扱う情報はプライバシーポリシーに載せており、この3つの委託先はいずれも米国の事業者です

解約したら、データはどうなるか

  1. アンインストールした時点 — Shopify側でPointiaの鍵が無効になり、Pointiaはそのストアのデータにアクセスできなくなります。Pointiaも、保存していた鍵を削除します
  2. 48時間後 — Shopifyから、Pointiaへデータ削除の依頼が届きます
  3. 依頼から30日以内 — Pointiaが、そのストアのデータを削除します
  4. ポイント残高 — Shopifyに残り、顧客はチェックアウトでそのまま使えます

顧客が自分のデータの削除をストアに求めた場合も、Shopifyから届く依頼を受けて、その顧客のデータを削除します。

※再送を防ぐためのメールアドレスの記録（届かないアドレスや、迷惑メールと報告されたアドレス）だけは、二度と送らないためにPointiaのメール送信全体で共通に使うので、アンインストール後も残ります。この記録は、どのストアの管理画面にも出ません。顧客が削除を求めた場合は、この記録も削除します。

対策3：ストアへのアクセスは、範囲と期限を絞る

アプリは、ストアのデータを読み書きするための「鍵」（アクセストークン）をShopifyから受け取って使います。Pointiaは、この鍵でできることと使える期間を絞っています。

使える権限は、ストアが承認した範囲だけ

Pointiaが使える権限は、インストールのときにストアが承認したものだけです。 あとから権限を増やす場合も、ストアがあらためて承認するまで使えません。Pointiaは、使っていない権限を要求していません。

「60日より前の注文を読む権限」のように、アプリの機能に必要かどうかをShopifyが審査したうえで承認する権限もあります。Pointiaは、導入前の注文の取り込みや、少し前の注文の返金・付与漏れの確認のために、この承認を受けています。

鍵は1時間で使えなくなり、保存するときも暗号化する

Pointiaが受け取る鍵は、1時間で使えなくなります。 期限が近づいたり切れたりしたときはPointiaが自動で受け取り直すので、ストア側の操作は要りません。受け取り直すには、ShopifyがPointiaに発行した「合言葉」が別に要ります。Shopifyはこの期限付きの鍵を、2027年1月1日からApp Storeのアプリを含むすべての公開アプリに義務付けるとしており、Pointiaはすでにこの方式を使っています（Shopifyの発表）。

さらにPointiaは、利用中のストアの鍵を、データベースの中でも暗号化して保存しています。暗号を解くための情報は、データベースとは別の場所で管理しています。

入口では、本人かどうかを確かめる

Pointiaを開けるのは、そのストアのShopify管理画面にログインしているスタッフだけです。お客様アカウントでは、Shopifyのログインで本人と確かめた顧客に、その人自身のポイント・ランク・履歴だけを表示します。ほかの顧客の情報が見えることはありません。Shopifyからの通知も、改ざんや偽造を見分けられる証明（署名）で本物かを確かめてから処理します。

万一、Pointiaで問題が起きたら

どんなシステムにも、リスクがゼロということはありません。万一Pointiaのデータベースの中身が外に出た場合でも、影響は次の範囲にとどまる作りです。

  • 読まれるおそれがある情報 — 氏名・メールアドレス・購入金額・注文番号・ポイントとランクの履歴など（対策2の一覧）
  • そもそも置いていない情報 — クレジットカード情報・電話番号・住所・パスワード。ポイント残高の本体も、PointiaではなくShopifyにあります
  • ストアのデータへの入口 — データベースに保存している鍵は暗号化されていて、そのままでは使えません。鍵を受け取り直すための合言葉もデータベースの外にあるため、データベースの中身だけを足がかりにストアへ入り込むことはできない作りです

ストアの安全にかかわる事態が起きたときは、影響を受けるストアには、Shopifyに登録されているストアのメールアドレス宛てに直接連絡し、新着情報でも状況を公表します。2026年10月には、最近のセキュリティ上の懸念を踏まえて操作の記録を確認し、不正アクセスや情報漏えいの形跡が見つからなかったことと、予防のために認証情報を更新したことをお知らせで報告しました。

ストア側でできる個人情報の対策

顧客データを守れるかどうかは、アプリの作りだけでなく、ストア側の設定でも変わります。個人情報保護委員会が2026年10月7日に出した注意喚起でも、不要になった個人データの消去とあわせて、アクセスできる人と権限を絞ることや、多要素認証（Shopifyでは2段階認証）の導入が対策の例として挙げられています（個人情報保護委員会）。

  • スタッフに2段階認証を設定してもらう — Shopifyの2段階認証は、スタッフが各自のアカウントで設定します。全員に設定を義務付ける機能は、Shopify Plusのプランで使えます（Shopifyヘルプセンター）
  • アプリを開けるスタッフを絞る — Shopifyの管理画面の「設定」>「ユーザー」>「役割」で、役割ごとにアクセスできるアプリを選べます。各アプリへのアクセスは、そのアプリを使うスタッフの役割にだけ許可しましょう（Shopifyヘルプセンター）
  • 使っていないアプリはアンインストールする — アンインストールすると、そのアプリの鍵は無効になります。48時間後には、Shopifyからアプリの提供者へデータ削除の依頼が送られます
  • インストールの前に、アプリの扱いを確かめる — インストールの画面とプライバシーポリシーで、アプリが何の情報をどう扱うかを確かめましょう。顧客データを扱うアプリの提供者は多くの場合ストアの委託先にあたり、ストアには委託先を監督する義務があります

導入を決める前に

ポイントアプリを比べるときは、次の3点を確かめると違いがわかります。Pointiaの場合を表にまとめました。

確かめる点Pointiaの場合
ポイントはどこに存在するか残高の本体は、アプリではなくShopifyのストアクレジットにあります
顧客にアプリ独自のIDやパスワードを作らせるか作らせません。顧客はShopifyのお客様アカウントでログインします
アンインストール後にデータはどうなるか鍵は無効になり、Shopifyから届く依頼を受けて30日以内に、そのストアのデータを削除します。ポイント残高はShopifyに残ります

Pointiaは、Shopifyの審査を経てApp Storeに掲載されています。インストールの画面で、Pointiaが求める権限を確かめてから承認できます。なお、App Storeの掲載ページの「データアクセス」欄には、Shopifyの仕組み上、多くのアプリに共通して表示される項目も並びます。Pointiaが顧客について保存するのは、対策2に挙げた情報だけです。

本番のストアで試して合わなかった場合も、アンインストールすれば鍵は無効になり、データは解約したときの流れのとおり削除されます。本番のストアでも、基本料金無料のStarterプランから始められます（月間100件を超えた注文は従量課金）。費用をかけずに確かめたい場合は、開発ストア（動作確認用のShopifyのストア）で、ポイントの付与から利用、会員ランクの判定、通知メールまで一通り試せます（開発ストアで試せますか？）。

Pointiaは日本の会社（RIDE Inc.）が開発・運営しており、導入前の確認にも日本語で対応しています。この記事にない点は、お問い合わせからご質問ください。

※Shopifyの仕様は2026年10月時点のものです。

あわせてご覧ください