「人生やりたいとこリスト100」プライバシーポリシー

Version 1.0.0について

iOS App Storeに提出したVersion 1.0.0には、リストをURLで共有する機能と達成写真を追加する機能は含まれていません。Version 1.0.0のリストなどのアプリ内データは端末内だけに保存され、本アプリを通じて運営者が収集することはありません。本ページ内のリスト共有と達成写真に関する説明は、iOS Version 2.0.0以降およびAndroid Version 2.0.5以降に適用されます。

1. 本アプリ内で扱う情報

本アプリは、利用者が入力または選択した次の情報を端末内に保存します。

• やりたいことのタイトル、説明、選択したチャプター、並び順
• 利用者が追加したチャプターの名前、絵文字、色
• 達成状態、達成日
• 利用者が任意で追加した達成写真
• 訪問国、都市・場所、訪問日、旅メモなどの旅の記録
• アプリ内で呼ばれたい名前、文字サイズなどの表示設定

これらは個人的な情報を含む場合があります。原本は端末内に保存され、一般利用者は30日共有を実行した場合だけ後記の限定対象を送信します。認証済みPublisher管理端末はactivation後だけ公開対象を送信します。新規インストール時に、運営者がWeb版へ登録した個人の記録は含まれません。

2. 運営者によるデータ収集と追跡

本アプリには、利用者アカウント、広告、アクセス解析、利用状況解析、利用者追跡、In-App Purchase、サブスクリプション、一般的なクラウドバックアップや複数端末同期がありません。一般利用者は30日共有を利用しない限り、端末内のリスト内容を運営者のサーバーへ送信しません。Publisher同期は認証済みサイト運営者の管理端末に限定します。

世界・日本の地図表示、地域別の絞り込み、国・都道府県の選択には、アプリに同梱した表示用データと端末内データを使用します。Publisher同期v2を有効にした管理端末だけは、手動で記録した訪問国・都道府県、都市・場所、訪問日、メモを公開Webへ送信します。地図形状、表示用の代表座標、国旗、集計値を取得するための通信は行いません。GPS、現在地、移動経路を取得・送信せず、位置情報の権限も要求しません。

3. 30日共有で送信・公開する情報

利用者が「自分のリストを共有」の確認画面で「URLを作成して共有」を選んだ場合だけ、任意のリストタイトル、表示対象チャプターの名前・絵文字・色・並び順、項目タイトル・所属チャプター・達成状態・並び順を共有サーバーへ送信し、読み取り専用ページを作成します。

アプリ内で呼ばれたい名前、項目の内部ID、説明・メモ、期限、達成日、達成写真、作成・更新日時、非表示チャプターとその項目、世界・日本の旅記録、表示設定、バックアップファイルは送信・掲載しません。

共有URLにログインやパスワードはありません。URLを知る人は閲覧でき、URLや掲載内容を他者へ転送、保存または複製できます。検索エンジンへ登録しないための設定を行いますが、秘密性や検索結果への非掲載は保証できません。公開したくない内容がタイトルやチャプター名に含まれていないことを確認してください。

4. Publisher同期で送信・公開する情報

Publisher同期v2は、認証済みサイト運営者がこのサイトの/syncで公開範囲を確認して同意し、2分間有効・高entropy・一回限りのUniversal LinkまたはQRを管理端末で開き、アプリ内のowner確認を完了した場合だけ有効になります。有効化後は、表示中のチャプターの名前・絵文字・色・順序、項目タイトル・所属チャプター・達成状態・達成日・メモ・達成写真・順序、世界地図の訪問国・都市・訪問日・メモ、日本地図の訪問都道府県・場所・訪問日・メモを、このサイトの公開トップページへ自動同期します。一般利用者はこの機能を有効化できず、未接続の一般設定に同期UIは表示されません。

期限、非表示チャプターとその項目、アプリ内で呼ばれたい名前、文字サイズ等の端末設定、バックアップファイルは送信・掲載せず、端末内だけに残します。GPS、現在地、移動経路は取得・送信せず、位置情報の権限も要求しません。30日共有とは送信対象、公開場所、保存期間が異なり、30日共有には世界・日本の旅記録を含めません。

同期制御のため、device ID、項目・チャプターの端末内ID、作成・更新日時、device sequence、server revisionもサーバーへ送信しますが、公開ページには表示しません。端末内の項目・チャプターIDは、サーバー保存前に用途を分けたHMACで推測困難な公開用IDへ変換し、元のIDを公開データベースや公開APIへ保存・表示しません。

トップページは認証なしで誰でも閲覧でき、検索エンジンに登録される可能性があります。閲覧者は内容や写真を保存、複製、転送または再共有できます。同期を解除すると今後の送信とWeb編集停止は終了しますが、最後に同期したリストと地図の公開内容はトップページに残ります。アプリで項目、世界・日本の旅記録、写真を削除した場合は、接続中の次回同期で対応するWeb上の記録と不要な写真を削除します。

接続用の秘密トークンはiOS KeychainまたはAndroid Keystoreで端末内に保護します。サーバーはactivationのsecret、claimNonce、deviceToken、生のIPアドレスをデータベースや独自ログへ保存しません。claim hashと消費状態、device ID、device nameは接続解除まで保持します。接続中は端末トークンの平文を保存せず、暗号学的ハッシュ、接続・最終同期日時、同期revisionを保存します。接続中は管理端末のアプリをリストと世界・日本地図の原本とし、Webのリスト・チャプター・旅記録編集を停止します。同期開始時にブラウザへ残っている未送信変更は破棄します。接続済み管理端末だけが設定画面で状態、手動再試行、解除を利用できます。

iOS Build 6は旧方式の接続を引き継ぎません。サーバー更新でlegacy接続レコードとdevice/tokenを物理削除し、公開snapshot・wishlist state・写真は保持します。iOSアプリはKeychain v2移行で旧v1資格情報を無条件削除するため、Publisherを再開するにはownerのUniversal LinkまたはQRから再有効化する必要があります。Android版はVersion 2.0.5から提供します。

5. 端末の権限と通知

利用者が達成写真の追加を明示的に選んだ場合だけ、写真ライブラリまたはカメラへのアクセス許可を求めることがあります。選んだ写真は端末内で縮小・保存し、30日共有には含めません。認証済みPublisher管理端末では、activation後に同期対象の達成写真を公開用ストレージへ送信します。位置情報、マイク、連絡先、通知、追跡の権限は要求せず、ローカル通知、リモート通知、APNsへの登録も行いません。

6. 保存期間と削除

端末内の原本データは、利用者が「設定 → すべてのデータを削除」を実行するか、アプリを端末から削除するまで、原則として端末内に保存されます。削除した端末内データを運営者が復元することはできません。

Filesなどへ書き出したバックアップファイルは、アプリ内の全データ削除やアプリの削除では消去されません。不要なファイルは、利用者が保存先で削除してください。iOSの端末バックアップに含まれるデータは、利用者とAppleの設定・サービスに基づいて処理され、運営者はアクセスできません。Android版はアプリデータのOS自動バックアップを無効にしています。

共有スナップショットは作成から30日間閲覧でき、30日後にURLが失効してページとAPIから取得できなくなります。期限切れの記録は、新しい共有の作成または期限切れリンクへのアクセスに伴う保守処理でデータベースから削除されるため、物理的な削除時点は30日より後になる場合があります。現バージョンには、利用者自身が期限前に共有URLを失効させる機能はありません。

不適切な共有として報告を受け、運営者が内容を確認した場合は、期限前でも対象の共有スナップショットを削除できます。悪用の再発防止が必要な場合は、同じ接続元HMACキーに対応する公開中の共有を削除し、同じ接続元からの新規共有を180日間停止します。ブロック記録には接続元HMACキー、報告対象の共有ID、ブロック日時、失効日時を保存します。180日後はブロックが失効し、期限切れの記録は後続の新規共有に伴う保守処理で物理削除するため、削除時点は180日より後になる場合があります。誤判定等が判明した場合は期限前に解除します。

端末内の編集・削除、「すべてのデータを削除」、アプリの削除は、作成済みの共有スナップショットを連動して更新・削除しません。共有URLは期限まで閲覧でき、共有先の第三者が保存・再共有した内容を運営者が削除することはできません。

Publisher同期を解除すると、サーバーから接続資格情報（トークンハッシュを含む）と同期リクエストmetadataを物理削除し、それ以降の自動送信を停止します。ただし、最後に同期した公開項目、世界・日本の旅記録、メモ、達成日、達成写真等はトップページに残ります。接続中に項目・旅記録・写真を削除するか「すべてのデータを削除」を実行し、その後の同期が成功した場合は、対応する項目・旅記録・写真をデータベース上で直ちに非公開にし、同じリクエストで不要な保存写真の物理削除を試みます。写真保存先またはデータベースの一時障害やサーバー処理の強制終了時は削除待ち記録を保持し、後続の公開ページ・APIアクセスまたはオーナーの同期管理画面アクセスに伴う保守処理で再試行するため、物理削除が遅れる場合があります。先に接続を解除した後の全データ削除、またはアプリのアンインストールだけでは、最後の公開内容は消えません。削除直前に配信された写真はブラウザや配信キャッシュに最大5分残る場合があります。第三者が保存・再共有した複製は削除できません。

7. バックアップと共有シート

利用者は「設定 → バックアップを書き出す」から、端末内データをJSONファイルとして、FilesまたはOSの共有画面で選んだ保存先へ書き出せます。「設定 → バックアップから復元」では、利用者が選んだファイルを読み込み、現在のアプリ内データを置き換えます。

保存先と共有先は利用者が選択します。運営者は、バックアップファイルを自動受信・保管しません。共有URLの作成後にOSの共有画面を開き、利用者が選んだLINE、メッセージ、メール、SNS等へURLを渡します。各サービスには、そのサービスのプライバシーポリシーが適用されます。

8. 外部ページ、インフラ事業者、問い合わせ

本アプリは、利用者が明示的に選択した場合だけ、このプライバシーポリシーまたはサポートページを開きます。30日共有と公開ページ同期のAPI・ページはエックスサーバー上で配信し、構造化された共有・同期データとトークンハッシュはNeonのデータベース、同期した達成写真の画像データはエックスサーバーの非公開保存領域へ保存します。エックスサーバーはドメイン・DNS管理、ページ・APIの配信、同期写真の保存に使用します。

本アプリは生のIPアドレス、User-Agent、共有ページの閲覧履歴を共有データベースへ独自保存しませんが、配信・データベース等のインフラ事業者が、サービス提供、セキュリティ、不正利用防止のためにIPアドレス等の技術ログを処理する場合があります。データベース例外を本アプリの運用ログへ記録する場合も、エラー名と許可したエラーコードだけに限定し、タイトル、メモ、写真、SQL文・SQLパラメータ等の送信内容は記録しません。公開サイト自体には広告Cookieやアクセス解析を設置しません。

共有APIの大量作成を抑えるため、接続元IPアドレスをプロセスごとのランダムな鍵で直ちにHMAC化し、生のIPアドレスを保存せずに作った一時キーだけを実行中のサーバーメモリで扱います。作成回数の判定期間は1分で、一時キーは期限後の後続リクエストまたは実行環境の再起動時に破棄され、再起動をまたいで関連付けません。元のIPアドレスを回数制限用Map、共有スナップショット、アプリのデータベース、独自アクセスログへ保存せず、広告、解析、追跡に使用しません。

Publisher activationのUniversal Linkは2分間だけ有効で、一回限りです。activationのsecret、claimNonce、deviceToken、生のIPアドレスはデータベースや独自ログへ保存しません。claim hashと消費状態、device ID、device nameは接続解除まで保持します。Universal LinkのGETやpreviewでは有効化せず、アプリ内owner確認後のclaimで原子的に消費します。claim試行の濫用防止では、接続元を用途分離HMACへ直ちに変換し、派生キー、試行回数、window開始・失効時刻だけをNeonの15分判定窓に使用します。成功時は行を即時削除します。期限切れ行は後続claim時に保守削除するため、物理削除が15分より後になる場合があります。これらを共有本文や同期内容へ関連付けず、広告、解析、追跡に使用しません。

不適切な共有の再発防止のため、共有作成時の接続元IPアドレスから、専用の秘密鍵を使って別の安定したHMACキーを作成します。生のIPアドレスは保存せず、この接続元HMACキーを共有スナップショットと関連付けてデータベースへ保存します。通常は共有記録と同じく30日後に取得不能となり、後続の保守処理で削除します。ブロック時の保存期間と物理削除は前節のとおりです。AppleのApp Privacyでは、この関連付けに基づき、共有本文をOther User Content、安定HMACキーをDevice IDとして「ユーザーに関連付けられるデータ」に申告し、30日共有とPublisher claim試行の一時的な回数制限キーをOther Data Typesとして「ユーザーに関連付けられないデータ」に申告します。いずれもApp Functionality目的で、広告、解析、追跡には使用しません。

Publisher同期について、達成写真をPhotos、チャプター・項目タイトル・メモ・達成状態・達成日・順序と、手動入力した訪問国・都道府県、都市・場所、訪問日、旅メモをOther User Content、Keychainの接続トークンに対応するサーバー側ハッシュをDevice IDとして、いずれもApp Functionality目的・利用者に関連付けられるデータ・追跡なしでApp Storeへ申告します。30日共有の一時的な回数制限キーとPublisher claim試行の接続元HMACはOther Data Types・App Functionality目的・利用者に関連付けられないデータ・追跡なしです。本アプリ独自の閲覧履歴、広告識別子、行動プロファイルは作成しません。

Google Playのデータセーフティでは、利用者が30日共有または管理端末限定Publisher同期を明示的に利用した場合のリスト・チャプター・メモ・旅記録等を「その他のユーザー作成コンテンツ」、Publisher同期対象の達成写真を「写真」、接続・不正利用防止用のアプリ生成IDやHMACを「デバイスまたはその他のID」として申告します。いずれもアプリ機能または不正利用防止のための任意収集で、第三者への販売、広告、解析、追跡には使用しません。通信はHTTPSで暗号化し、削除・失効条件は本ポリシー第6節のとおりです。

利用者がメールで任意に問い合わせた場合、運営者は、返信に必要なメールアドレス、問い合わせ本文、利用者が自ら添付した情報を受け取ります。問い合わせ対応と不正利用防止に必要な範囲でのみ利用し、対応完了後6か月を経過した後に削除します。ただし、法令に基づき保存が必要な場合を除きます。実際に登録した目標などの機微な内容は送らないでください。

9. アプリストアとOS提供元のサービス

App Store、TestFlight、iOS端末バックアップ、利用者がAppleへ共有する診断情報などは、Appleの規約とプライバシーポリシーに従ってAppleが取り扱います。Google Playからのダウンロード、Play Consoleのテスト配信、Googleへ共有する診断情報などは、Googleの規約とプライバシーポリシーに従ってGoogleが取り扱います。

10. 子どものプライバシー

本アプリは子どもを主な対象として設計されたものではなく、App StoreのKids CategoryまたはGoogle Playの子ども向けプログラムには登録しません。共有機能では、利用者が入力したタイトル等をURLで他者が閲覧できる状態にするため、公開したくない個人情報や機微な内容を入力・共有しないでください。

11. セキュリティ

本アプリは、iOSまたはAndroidのアプリサンドボックス内に原本データを保存し、認証済みPublisher管理端末の接続用秘密トークンをiOS KeychainまたはAndroid Keystoreで保護します。30日共有URLには推測されにくいランダムな識別子を使用しますが、URL自体が閲覧手段になります。公開トップページはURLを秘密にする設計ではありません。端末のパスコードや生体認証、OSの更新、バックアップ設定、書き出したJSONファイル、30日共有URLの送信先、Publisherとして公開する内容を適切に管理してください。

12. 本ポリシーの変更

機能、データの取扱い、法令またはApple・Googleの要件が変わる場合、本ポリシーを更新し、施行日と変更内容を公開します。広告、解析、追跡、利用者アカウント、同期対象や保存先などを変更する場合は、該当バージョンの公開前に本ポリシー、App Storeのプライバシー表示、Google Playのデータセーフティを更新します。

13. お問い合わせ

運営者: 辻本拓磨
メール: sojikun23@gmail.com
対応言語: 日本語
サポート: iOS・Androidアプリ サポート