プライバシーポリシー

n-wasabi（個人開発チーム、開発者 Touri Aida。以下「運営者」）は、iOSアプリ「Bloom.」で扱う個人情報について、日本の個人情報保護法その他の関係法令を遵守し、以下のとおり取り扱います。

1. 事業者名・連絡先

事業者名：n-wasabi（個人開発チーム）
開発者：Touri Aida
お問い合わせ：[email protected]

2. 取得する情報

• アカウント・認証情報：Appleでサインインした際のユーザー識別子（sub）、初回サインイン時にAppleから受け取る氏名（表示名。後からアプリ内で変更できます）、Appleから受け取るメールアドレス（「メールを非公開」を選んだ場合はAppleが発行する転送用アドレス）とその確認状態・非公開アドレスかどうかの区分、Bloom.のユーザーID、表示色、作成日時。Apple連携の解除用リフレッシュトークンと、Bloom.のログイン維持用トークンのハッシュ値・有効期限・利用日時を保存します。サインインはAppleのみです。メールアドレスは、Appleがサインイン時に提供した場合に保存します（以前の版でサインインした方は、次回のサインイン時、または運営者がAppleに照会した時点で保存されます）。
• 位置・移動情報：端末で記録した生のGPS軌跡（緯度・経度、精度、記録日時、取得方法）は、端末内で暗号化してからアカウントに紐付けてサーバーへアップロードし、保存します。暗号化の鍵は端末とお使いのiCloudキーチェーンにだけ保存され、運営者はサーバー上の軌跡の位置を読めません（サーバーが扱うのは暗号文と、その記録期間・件数・データ量・アップロード日時です）。以前の版で暗号化せずに保存していた軌跡は、新しい版のアプリが暗号化して保存し直した時点でサーバーから削除します。足跡（六角形の区画ごとの日々の記録回数）と非表示にした区画は、端末内で暗号化してから保存します。暗号化された足跡のうち、所属グループに見せる分はそのグループのメンバーの端末だけが読める鍵で暗号化します。サーバーが扱うのは暗号文と、その日付・データ量です。記録の一時停止日時・再開予定も保存します。月ごとの記録日数・訪れた区画の数・新しく訪れた区画の数・行動範囲の半径は、キャラクター判定のために暗号化せずに送信します（場所そのものは送信しません）。
• 近くにいるかの判定・リアルタイム共有情報：近くにいるかの判定には、位置の区画をグループの鍵で変換した値（サーバーでは位置に戻せません）を使い、サーバーはその値が一致したか（＝同じグループの誰と誰が近いか）を扱います。この一致の記録から、同じ場所に居続けたかどうかや、おおよその距離が推定されることがあります。集合中・位置共有中のリアルタイムの位置と集合場所は、端末内で暗号化してからサーバーを経由して届けます。滞在中か・普段の場所か・移動中か、集合場所に着いたか・離れたかの情報はサーバーのメモリーまたはデータベースで扱います。
• 移動手段：端末の位置と「モーションとフィットネス」から判定した移動手段（徒歩・自転車・電車・車）を、ご自身の地図と軌跡の表示に使います。集合に参加している間は、位置と一緒に、その集合に参加しているメンバーへ中継します。サーバーには保存せず、共有用の最新位置と同じくメモリーでのみ扱います。判定に使う鉄道の線形データは端末に同梱しており、軌跡をサーバーへ送って判定することはありません。
• 投稿・プロフィール画像：ユーザーがアップロードした短い動画（音声を含む場合があります）または写真、サムネイル、アバター画像、説明文、動画の長さ・消音設定、投稿の種類（動画・写真）、投稿日時、投稿先（複数のグループに同時に投稿した場合はその各グループ）、再送識別子・アップロード管理情報・日ごとの投稿数。動画・写真・サムネイル・説明文と、投稿の位置共有を有効にした場合の位置の区画・地名は、端末内で暗号化してから保存し、投稿先グループのメンバーの端末だけが読めます。サーバーが扱うのは暗号文と、データ量・動画の長さ・位置共有の有無です。
• グループ・集合：グループ名と変更者・変更日時、所属・参加日時・グループ内の表示色、共有設定、招待リンクと有効期限、ビーコン（集合）の発起人・種類・状態・集合場所（端末内で暗号化）・開催日時・集合時刻・発起人が書いたひとこと、参加承諾・退出・到着の時刻、参加者が自分で付けたビーコン中のステータス（定型または 40 字までの自由文。ビーコン終了後 24 時間以内に消えます）、集合の提案と対象メンバー・承諾や辞退の記録を保存します。
• 集計・通知：移動や集合から計算した月次キャラクターと判定値、グループの範囲・行動半径・集合などの集計履歴、プッシュ通知用の端末トークン（APNs）と更新日時を保存します。
• 利用状況の記録：サービス改善と統計のため、機能の利用の種類と時刻、アプリの版を、アカウントと直接結び付かない符号（仮名）で記録します。座標・場所・投稿内容・表示名は含みません。仮名で記録するものですが、個人の行動の記録であるため、個人情報として取り扱います。運営者は符号から本人を直接たどる手段を管理画面に設けていません。
• 通信記録：不正アクセスの検知・遮断のため、接続元IPアドレス・User-Agent・アクセス先・応答結果を、通信記録として取得します。検知した接続元は検知の記録として、遮断した接続元は遮断の記録として保存します。
• 運営操作の記録：運営者がアカウントに対して行った操作（利用停止、表示名・アバター画像の変更、Apple連携の付け替え、退会処理など）の記録を保存します。
• 利用停止・退会時の記録：利用規約違反で利用を停止した場合、再登録を防ぐため、Appleの識別子から計算した値と停止の記録を保存します。退会した場合は、問い合わせ対応と不正利用防止のため、表示名・登録日・退会日・利用状況の概略（件数の区分）を保存します。
• 運用・お問い合わせ：アプリケーションのアクセスログに、アクセス日時、リクエストの種類・ルート、応答結果・処理時間、ユーザーID、認証失敗の理由や関連するIDを記録します。生の座標、認証トークン、メールアドレスはこのアクセスログに記録しません。お問い合わせ時は、メールアドレスとご提供いただいた内容を取得します。

3. 利用目的

本人認証とアカウント管理（お問い合わせ時のアカウントの特定と、アカウントに関する重要なお知らせの送付を含みます）、足跡の保存・復元とヒートマップ表示、選択したグループ内での投稿・位置共有、集合や近接の提案、キャラクターとグループ情報の集計、通知配信、お問い合わせへの対応、不正利用の防止（不正アクセスの検知・遮断、利用停止後の再登録の防止を含みます）、サービス改善と統計、障害調査とサービスの安定運用のために利用します。

4. 位置情報とグループ内での共有

生のGPS軌跡は端末内で暗号化したうえで、本人のアカウントに紐付けてサーバーにも保存されます。iCloudキーチェーンを使っていない端末でアプリを削除したり機種変更したりすると、過去の軌跡は復元できません。サインアウトすると、端末内の記録は未送信分を送ったうえで端末から削除されます（送れなかった分は、確認のうえで削除します）。通常、友達に共有する足跡は、毎日21:00（日本時間）に一括反映する集計済みのヒートマップです。暗号化の鍵は端末とお使いのiCloudキーチェーン、およびグループのメンバーの端末にだけ保存され、運営者がサーバー上のデータから位置・動画・写真の内容を読むことはできません。ただし、サーバーが鍵の配布を不正に操作する攻撃や、鍵を保存した端末自体が侵害された場合までは防げません。共有の粒度はH3解像度9の六角形、またはそれより粗い区画です。

現在地をリアルタイムに共有するのは、本人が承諾した集合の参加中、または本人がグループごとのリアルタイム共有をONにした場合に限ります。このトグルは既定でOFFで、いつでもOFFにできます。近接・提案判定用の一時情報をそのまま友達の地図に表示することはありません。

自宅などの区画を非表示にしたり、記録を一時停止したりできます。非表示エリアは共有を制御するためのもので、保存済みの生のGPS軌跡を削除する操作ではありません。一時停止中も、承諾済みの集合での位置共有は継続するため、止めるには集合から退出してください。

動画・写真・アバター画像は所属グループのメンバーに限定して表示します。投稿の場所は本人の共有設定に従います。公開プロフィールは設けていません。

5. 第三者提供・委託先・外部サービス

本人が選択したグループ内での共有およびサービス提供に必要な委託等を除き、個人情報を第三者へ提供しません。ただし、法令に基づく場合など、法令で認められる場合を除きます。個人情報の販売は行いません。

• Apple：Sign in with Appleによる認証・連携解除と、APNsによるプッシュ通知に利用します。認証に必要な情報や端末の通知トークン、通知内容を取り扱います。
• Cloudflare：APIサーバーの前段にあるCDN・プロキシとして通信を中継します。このため、Cloudflareは接続元IPアドレスや通信に関する情報を取り扱います。
• ホスティング：日本国内の自主管理サーバー（Appily）で、アカウント情報、位置記録、投稿等を保存・処理します。
• OpenFreeMap：アプリの地図タイル・スタイルの配信元です（tiles.openfreemap.org）。OpenStreetMap由来の地図データを使用します。地図取得時には配信元へIPアドレスや表示範囲に対応したタイルのリクエストが送信されます。地図の閲覧範囲は現在地とは限りません。詳しくは配信元のプライバシーポリシーをご確認ください。

外部サービスの処理には国外の設備が使われる場合があります。必要な範囲で情報を取り扱い、委託先の管理状況を確認します。広告SDK・アクセス解析SDKは使用せず、広告目的の追跡や他社のアプリ・サイトを横断するトラッキングは行いません。

6. 保存期間・退会時の削除

アカウントに紐付く記録は、サービス提供に必要な間保存します。暗号化したGPS軌跡には自動削除期限を設けず、アカウント削除後30日まで保存します。近接判定用の変換値は30分を過ぎると判定に使用しません。集合提案の地点（暗号化）は承諾・失効後に消去します。暗号化を導入する前に取得したバックアップは、0.2.3の公開から30日以内に削除します。

アプリの「自分の情報 → 退会（アカウント削除）」からアカウントを削除できます。退会が完了すると、アカウントと紐付くメールアドレス・投稿・所属情報等を連動して削除し、投稿の動画・写真・サムネイル・アバター画像も削除処理を行います。保存済みのAppleリフレッシュトークンがある場合はApple連携を解除します。暗号化したGPS軌跡だけは退会後30日間保管し、その間に同じApple IDで登録し直すと復元できます。30日を過ぎると削除します。その他の削除したデータは復元できません。他のメンバーが利用するグループ自体は残る場合があります。

退会後30日間は、問い合わせ対応と不正利用防止のため、表示名・登録日・退会日・利用状況の概略（件数の区分）を保存し、その後削除します。

利用規約違反で利用を停止した場合、再登録を防ぐため、Appleの識別子から計算した値と停止の記録を、停止期間中（退会後も）および解除から1年間保存します。

利用状況の記録（仮名）は、退会後も統計目的で最長2年間保存します。運営者がアカウントに対して行った操作の記録は1年間保存します。

通信記録（接続元IPアドレス・User-Agent・アクセス先・応答結果）は、中継サーバーのログとして数日間（ログの自動削除まで）、検知の記録として最長30日間、遮断の記録として遮断の終了から90日間保存します。これらはアカウント情報とは別に保存するため、退会と同時には消去されません。アプリケーションのアクセスログは、障害調査・不正利用対策に必要な期間保存し、不要になり次第削除します。ログの一律の保存日数は定めていません。お問い合わせ記録は対応と必要な事後確認が終わるまで保存し、法令上の保存が必要な場合はその期間に従います。

7. ユーザーの権利

個人情報の開示、訂正・追加・削除、利用停止・消去、第三者提供の停止等を希望される場合は、[email protected]へご連絡ください。本人確認を行ったうえで、個人情報保護法に従って対応し、対応結果をお知らせします。アプリ内での退会ができない場合も、この窓口をご利用ください。

8. 安全管理措置

HTTPSによる通信の暗号化、認証とグループ所属に基づくアクセス制御、認証用秘密情報の管理、運営上のアクセスの制限を行います。ログへの生座標・トークンの出力を避け、障害や不正利用を調査し、必要な安全管理措置を見直します。

9. 改定

サービスや法令の変更に応じて本ポリシーを改定します。改定内容と適用日を本ページでお知らせし、重要な変更はアプリ内等でも通知します。法令上同意が必要な変更は、必要な同意を取得します。