プライバシーポリシー

1. アプリ内で扱う情報

やりたいことのタイトル・メモ・カテゴリ・並び順、達成状態と達成日、任意の達成写真、世界と日本の訪問記録、表示設定を端末内に保存します。30日共有では任意タイトル、表示対象チャプター、項目タイトル、達成状態、並び順だけを送信します。

2. データ収集と追跡

アプリ利用者アカウント、一般的なクラウドバックアップや複数端末同期、広告、アクセス解析、利用状況解析、利用者追跡、課金はありません。一般利用者は30日共有を明示的に実行しない限り、端末内のリスト内容を運営者へ送信しません。一般利用者の設定画面にはPublisher同期UIを表示しません。30日共有には写真、メモ、期限、達成日、旅記録、表示名、内部ID、設定を含めません。

3. 管理端末限定Publisher同期

認証済みサイト運営者が/syncで公開範囲へ同意すると、高entropy・2分間有効・一回限りのUniversal Link／QRを発行します。リンクからアプリを開いてowner確認を完了した管理端末だけでPublisher同期v2を有効化し、表示中チャプター、項目タイトル、達成状態・達成日、メモ、達成写真、順序に加え、世界地図の訪問国・都市・訪問日・メモと、日本地図の訪問都道府県・場所・訪問日・メモを公開トップページへ自動送信します。期限、非表示チャプターとその項目、表示名・文字サイズ等の端末設定は送信・公開しません。GPS、現在地、移動経路は取得・送信せず、位置情報の権限も要求しません。同期制御用のdevice ID、項目・チャプターの端末内ID、作成・更新日時、sequence、revisionはサーバーへ送信しますが公開表示しません。端末内IDはサーバー保存前に用途分離HMACで推測困難な公開用IDへ変換し、元IDを公開データベース・APIへ保存しません。有効化済み管理端末に限り、設定で接続状態・手動再試行・解除を表示します。

トップページは検索・閲覧・保存され得ます。接続中はiPhoneをリストと世界・日本地図の原本とし、Webのリスト・チャプター・旅記録編集を停止します。解除時は接続資格情報と同期リクエストmetadataをサーバーから物理削除し、最後に同期したリストと地図の公開内容を保持します。接続中に項目・旅記録・写真を削除するか全データ削除を実行し、次回snapshotが成功すると、該当項目・旅記録・写真をデータベース上で直ちに非公開にし、同じリクエストで保存写真の物理削除を試みます。一時障害やサーバー処理の強制終了時は削除待ち記録から、後続の公開ページ・APIまたはオーナー同期管理アクセス時に再試行するため、物理削除が遅れる場合があります。先に解除した後の全データ削除やアンインストールだけでは最後の公開内容は残ります。写真キャッシュは最大5分残る場合があり、第三者保存コピーは回収できません。

秘密トークンはiOS Keychain、接続中のサーバーはハッシュだけを保存します。activationのsecret、claimNonce、deviceToken、生IPはDB・独自ログへ保存せず、claim hash・消費状態・device ID・device nameは解除まで保持します。構造化データはNeon、同期写真はエックスサーバーの非公開保存領域へ保存し、広告・解析・追跡には使用しません。

Build 6は旧方式の接続を引き継ぎません。サーバー更新でlegacy接続レコードとdevice/tokenを物理削除し、公開snapshot・wishlist state・写真は保持します。アプリは旧Keychain資格情報を無条件削除するため、Publisherを再開するにはownerのUniversal Link／QRから再有効化が必要です。

4. 保存、バックアップ、削除

端末内の原本は、利用者が「設定 → すべてのデータを削除」を実行するか、アプリを端末から削除するまで保存されます。利用者がFilesなどへ書き出したバックアップファイルは、この操作では削除されません。

「設定 → バックアップを書き出す」でJSONファイルを書き出し、「設定 → バックアップから復元」で戻せます。30日共有URLは利用者の明示操作時だけ作成され、URLを知る人が認証なしで30日間閲覧できます。30日後は失効し、期限切れ記録は後続の保守処理で削除されます。現バージョンに期限前失効機能はなく、端末内の全削除やアプリ削除も作成済みの30日共有スナップショットを削除しません。公開ページ同期の削除規則とは別です。

共有相手はURLや内容を保存・再共有できます。検索エンジンへ登録しないための設定は行いますが、秘密性や検索結果への非掲載は保証できません。選択したFiles、iCloud Drive、LINE、メール、SNS等には各サービスのポリシーが適用されます。

5. 端末の権限

達成写真を利用者が明示的に追加した場合だけ、写真ライブラリまたはカメラの許可を求めることがあります。選んだ写真は端末内に保存し、30日共有へは送信しません。owner確認済み管理端末でPublisher同期が有効な場合は同期対象写真を送信します。通知、位置情報、マイク、連絡先、追跡の権限は要求しません。

6. 外部ページと問い合わせ

プライバシーポリシーとサポートの固定外部ページを、利用者が明示的に選択した場合だけ開きます。30日共有と公開ページ同期のページはエックスサーバー上で配信し、構造化データはNeon、同期写真はエックスサーバーの非公開保存領域へ保存します。XServerはドメインとDNSの管理に使用します。インフラ事業者が配信、セキュリティ、不正利用防止のために技術ログを処理する場合があります。本アプリがデータベース例外を運用ログへ記録する場合は、エラー名と許可したエラーコードだけに限定し、タイトル、メモ、写真、SQL文・SQLパラメータを記録しません。公開サイト自体には広告Cookieやアクセス解析を設置しません。

共有APIの大量作成を抑えるため、接続元IPアドレスをプロセス固有のランダム鍵で直ちにHMAC化し、生のIPアドレスを保存せずに作った一時キーだけを実行中のサーバーメモリで扱います。作成回数の判定期間は1分で、一時キーは期限後または実行環境の再起動時に破棄され、再起動をまたいで関連付けません。元のIPアドレスを回数制限用Map、データベース、独自ログへ保存せず、広告、解析、追跡には使用しません。

Publisher activationは2分間有効・一回限りです。secret、claimNonce、deviceToken、生IPはDB・独自ログへ保存しません。claim試行の接続元は用途分離HMACへ直ちに変換し、派生キー、試行回数、window開始・失効時刻だけをNeonの15分判定窓に使用します。成功時は即時削除し、期限切れ行は後続claim時に保守削除するため、物理削除が15分より後になる場合があります。この接続元HMACはOther Data Types / App Functionality / Not Linked / Trackingなしとして申告し、同期内容、広告、解析、追跡へ結合しません。

不適切共有の再発防止には、専用秘密鍵で作る別の安定した接続元HMACキーを共有スナップショットと関連付けて保存します。生のIPアドレスは保存しません。通報確認後は、同じキーに対応する公開中共有の削除と180日間の新規共有停止を行う場合があります。ブロックは180日後に失効し、期限切れ行は後続の保守処理で物理削除します。

App Privacyでは、Publisherの達成写真をPhotos、リスト内容、手動入力した訪問国・都道府県、都市・場所、訪問日、旅メモと同期metadataをOther User Content、接続トークンのサーバー側ハッシュをDevice IDとして、App Functionality / Linked / Trackingなしで申告します。30日共有の一時的な回数制限キーとPublisher claim試行の接続元HMACはOther Data Types / App Functionality / Not Linked / Trackingなしです。

メールで任意に問い合わせた場合、返信に必要なメールアドレス、本文、利用者が自ら添付した情報を受け取ります。問い合わせ対応と不正利用防止に必要な範囲でのみ利用し、対応完了後6か月を経過した後に削除します。法令上の保存義務がある場合を除きます。

7. Appleのサービス

App Store、TestFlight、端末バックアップ、利用者がAppleへ共有する診断情報などは、Appleの規約とプライバシーポリシーに従ってAppleが取り扱います。

8. 子どものプライバシー

本アプリは子どもを主な対象として設計されたものではなく、App StoreのKids Categoryには登録しません。共有URLには公開したくない個人情報や機微な内容を含めないでください。

9. 変更とお問い合わせ

広告、解析、追跡、利用者アカウント、同期対象や保存先など、情報の取扱いを変える場合は、公開前に本ポリシーとApp Storeのプライバシー表示を更新します。

運営者: 辻本拓磨
メール: sojikun23@gmail.com
サポート: https://life-list100.com/support