OAuth認可で取得したShopifyのアクセストークンを、認可を受けたアプリ開発企業ではない第三者企業に共有し、実際のサービス提供を委ねることが規約上問題ないかが主題です。あわせて、利用規約に明記すれば許容されるのか、またはscope（アプリが取得できる権限範囲）上で注文関連の個人情報を扱えなければ問題ないのか、という点も論点になっています。
現時点の回答では、アクセストークンの管理自体はアプリ側の責任であり、まずはアプリの利用規約や運用方針に依存するとの見解が示されています。一方で、提示されたケースは実質的にアプリが取得した個人情報を外部提供するのと同様であり、通常は許容されにくいだろう、という慎重な意見です。
結論は確定しておらず、Shopifyの公式規約や個人情報保護の観点での追加確認が必要なままです。
Shopify アクセストークンの第三者企業への共有について
Shopify に限った話ではないと自覚しており恐縮なのですが、OAuth の認可により取得したアクセストークンを第三者企業へ共有を行いサービス (本来認可されたアプリ開発企業がすべきサービス) をしてもらうのは Shopify の規約上問題ないのでしょうか？
アプリ開発企業とショップとの間に利用規約上その旨明記があれば問題ないのか、または scope 上 Order に紐づくユーザーの個人情報の取得ができない限りは問題ないのか。このような事例を聞いたことがないので質問させていただきました。
もし知見をお持ちの方いらっしゃたらご回答いただけたら幸いです。
アクセストークンの管理はアプリ側で行うので、アプリの規約によると思いますが、ご提示されている内容はアプリが入手した個人情報を外部に提供することと同じかと思いますので、通常は許諾されない内容かと思います。