プライバシーポリシー
きいとく（以下「本アプリ」）における個人情報の取扱いについて定めます。
1. 運営者
本アプリは、下記運営者（以下「当方」）が提供します。
2. 取得する情報
2.1 ユーザー自身に関する情報
Sign in with Apple で Apple が発行する、当方向けの識別子（利用者識別子〔sub〕）のみを取得します。氏名・メールアドレスは、サインイン時に要求せず、取得しません。Apple が発行する認証トークンにメールアドレスが含まれる場合（過去のテスト版でメールアドレスの共有を許可した場合など）も、当方はこれを保存・利用しません。この識別子（sub）を当方のサーバーで保持する範囲と期間は「5. 外部送信」に記載します。
2.2 ユーザーが入力する顧客情報（第三者の個人情報）
本アプリは、ユーザー（キャスト）が接客業務のために自ら入力する顧客（来店客）の氏名・来店履歴・会計金額・嗜好メモ等を記録します。これらは第三者の個人情報であり、ユーザー自身が個人情報取扱事業者（管理者）としての責任を負います。当方は本アプリの提供者（処理委託先に相当する立場）であり、顧客情報の利用目的の決定や第三者提供の判断はユーザーが行います。
3. 利用目的
当方は、取得した情報を次の目的の範囲でのみ利用します。
- 利用者識別子（sub）: サインイン状態の維持、AI 機能の利用上限などの利用回数の制御、および不正利用の防止。
- 開発者にひとこと（フィードバック）の内容・連絡先: 内容の確認、本アプリの改善、および連絡先をご記入いただいた場合の返信。
- 顧客情報（2.2 の情報）: ユーザーが実行した AI 機能の処理（当方のサーバーは、送信内容を AI 提供事業者へ中継します）。顧客情報の保存・同期は、ユーザーの端末と iCloud 上で行われます。当方自身の目的では利用しません。
4. 保存場所
- 入力された全データは、まずユーザーの端末内（ローカルストレージ）に保存されます。
- 端末間同期のため、ユーザー自身のiCloud プライベートデータベースにも保存されます。iCloud プライベートDBは Apple の設計上、当方はアクセスできません（アカウント毎に分離され、本人のみがアクセスできる設計）。顧客名・メモ・金額などの機微項目（93 属性）は、CloudKit の暗号化フィールドとして端末側で暗号化したうえで同期します（対応済）。暗号化フィールドは、ユーザーが iCloud の「高度なデータ保護」を有効にしている場合、Apple も復号できません（エンドツーエンド暗号化）。有効にしていない場合の鍵の扱いは Apple の仕様に従い、Apple が復号できる場合があります。いずれの場合も、当方は暗号化フィールドの中身にアクセスできません。識別子・日時・項目同士の関連付けなどの非機微項目は、暗号化フィールドではなく、通常の iCloud の保護（転送時・保存時の暗号化）で保存されます。
- 当方が独自に運用するサーバーデータベースに顧客情報を恒久保存することはありません。
5. 外部送信
外部（AI 提供事業者）へデータを送信するのは「AI きろく」「AI えいぎょう」「そうだん（AI コーチ）」「説明文から読み取る（給料システムの AI 取り込み）」の4機能です。いずれも当方が運用する Cloudflare（鍵中継サーバー）経由で、AI 処理の委託先（「OpenAI, L.L.C.（米国）」および「Anthropic, PBC（米国）」のいずれか。運営者が切り替えることがあり、切替時に本ポリシーの改定は行いません）の API へ送信します。送信されたテキストの学習利用の有無・データ保持期間は各事業者の API 利用規約に従います。各事業者の公開情報では、API で受け取った内容は学習には使われず、通常は受信から 30 日以内に削除されるとされています（不正利用の疑いがある場合や法令上必要な場合には、各事業者がより長く保持することがあります）。 「開発者にひとこと」（フィードバック）は当方の Cloudflare に 90 日間保存され、AI 提供事業者へは送信しません。
- AI きろく（自然文からの情報抽出）で送信するもの: ユーザーが入力した接客メモの本文（複数店舗を運営しているユーザーの場合は本文中の店名部分を除く）、記録対象の顧客を特定する（名寄せする）ための顧客名の候補（登録のお客様が 50 人以下の場合は全員の名前、50 人を超える場合は、メモの本文に関連する名前や最近来店されたお客様の名前などから選んだ最大 50 件）、営業日。
- AI えいぎょう（お礼・営業メッセージの文面生成）で送信するもの: お客様の呼び名・希望するトーン、当該顧客のノートに記録された事実（肩書・好きなもの/嗜好・趣味・NG（苦手なこと）・前回のオーダー内容・最終来店からの経過日数・誕生日までの日数・次回の約束内容）。
- そうだん（AI コーチ）で送信するもの: 質問文と、集計の要約（期間・来店数・本指名/場内/同伴/アフター/フリーの回数・名前のあるお客様の人数・出勤日数・売上の帯〔10 万円刻み〕・ポイント合計・入店からの月数〔設定している場合のみ〕）のみ。顧客の氏名・金額の生値・メモ・店名・自由記述は送信しません。回答は保存しません。
- 説明文から読み取る（給料システムの AI 取り込み）で送信するもの: ユーザーが貼り付けた給料システムの説明文（端末が把握しているお店の名前〔2 文字以上〕・登録どおりのお客様の名前〔2 文字以上〕・携帯電話番号・LINE ID・URL は送信前に端末でマスクします。マスクで本文が変わった場合は、送信前にマスク後の本文を確認する画面を表示します。マスクされない表記の名前は残るため、確認画面でご自身の目でも確かめてください）。当方は保存しません。
- 開発者にひとこと（フィードバック）で当方に保存されるもの: 区分（バグ/要望/その他）・本文・任意の連絡先・アプリのバージョン/ビルド・端末機種・OS・言語・受信時刻。この保存データには Apple のユーザー識別子そのものを含めず、同一人物の連投判定にだけ使う不可逆なハッシュを保存します。1 日 5 件まで・90 日で自動削除。
- サインイン状態の維持（セッショントークン）: サインイン状態を保つための短い識別子（セッショントークン）を端末に保存し、当方のサーバーが発行・検証します。セッショントークンには、次項の利用者識別子（sub）が含まれます。
- レート制御・サインイン状態の維持のために当方の Cloudflare に保持するもの: Sign in with Apple で Apple が発行する当方向けの利用者識別子（sub）。この識別子ごとに、当方のサーバーの利用回数（AI 機能・フィードバックの送信・サインイン状態の発行など）の計数（最長約 25 時間）と、「他の端末からサインアウト」を行った場合のサインイン状態の世代番号（最長 100 日）を保存します。識別子そのものが保存項目の名前に含まれ、上記の期間を過ぎると自動で削除されます。
- 送信しないもの: 顧客情報の照会・予約管理・アプリ設定・出勤管理の各機能は、いずれも端末内の処理のみで完結し、外部へは送信しません。
- 上記いずれも、送信するのは業務記録の一部（メモ本文・名寄せ用の顧客名候補・ノート事実）であり、送信後に当方のサーバー側で保存することはありません（都度処理・破棄）。ただし、処理の記録（処理の種類・モデル名・トークン数・処理時間・エラーの種別など。本文・顧客名・AI の返答・利用者識別子を書き込まない設計です）は、Cloudflare 上に最長 7 日間残ります。
- 送信されたテキストの学習利用の有無・データ保持期間は、各事業者の API 利用規約に従う事項であり、当方が独自に保証するものではありません。最新の API 利用規約・データ取扱い方針を確認の上、本節は継続的に見直します（要確認）。
- 上記送信は米国等の国外へのデータ移転を伴う可能性があります。本アプリを利用することにより、ユーザーは当該越境移転（移転先: 米国 OpenAI, L.L.C.・Anthropic, PBC（運営者の選択により切替）・Cloudflare, Inc. のインフラ〔Cloudflare は世界各地のデータセンターで処理するため、移転先は米国に限りません〕）に同意したものとします。移転先における個人情報保護の水準は日本の法制度と同一ではない場合があります。
- 音声入力を用いる場合、音声認識はオンデバイス音声認識に対応する端末では端末内で行われます。対応しない端末では、Apple のサーバーで音声認識処理が行われる場合があります（当方は関与しません・Apple のプライバシーポリシーに従います）。
- 上記以外の目的（広告配信、第三者へのデータ販売等）でユーザーデータを外部に送信することはありません。
6. 保存期間・削除
- データは、ユーザーが端末上またはアプリ内「全データ削除」機能で削除するまで、端末内および iCloud プライベートDBに保存されます。
- ユーザーはいつでも当該データを削除できます。iCloud 側の削除は Apple の iCloud 同期の仕組みに従います（削除操作が全端末へ反映されるまで時間差が生じる場合があります）。
- アプリをアンインストールした場合の端末内データの扱いは iOS の標準仕様に従います（iCloud 側は別途削除操作が必要な場合があります）。
7. 安全管理措置
当方は、取り扱う情報の漏えい・滅失・毀損を防ぐため、次の措置を講じています。
- アプリと当方のサーバーとの通信は、HTTPS（TLS）により暗号化しています。
- 当方のサーバー（Cloudflare）に保存するデータの値は、Cloudflare の公開情報によれば保存時に暗号化されます（利用者識別子を含む保存項目の名前については、暗号化の対象として公表されていません）。
- サインイン状態を示すセッショントークンには当方の秘密鍵による署名を付け、改ざん・偽造されたものは受け付けません。
- 顧客情報・メモ本文・AI の返答は、当方のサーバーに保存しません（フィードバックにご自身で記入された内容を除く。「5. 外部送信」のとおり、送信後に都度処理・破棄します）。
- 当方のサーバーに保存する情報（利用者識別子〔sub〕に紐づく記録・フィードバック）は、期限を設けて自動的に削除します。
- フィードバックの内容・連絡先を読み出すためのアプリ上の機能や公開された窓口はなく、読み出せるのは当方の Cloudflare アカウントの権限を持つ者に限られます（Cloudflare 社が役務の提供に必要な範囲で取り扱う場合を除く）。
- 端末間同期の対象となる機微項目は、「4. 保存場所」のとおり CloudKit の暗号化フィールドとして端末側で暗号化します。
8. 開示・訂正・利用停止等の請求
当方が保有する、ご本人に関する情報（利用者識別子〔sub〕に紐づく記録、およびフィードバックの内容・連絡先）について、開示・訂正・追加・削除・利用停止等のご請求は、上記「1. 運営者」記載のメールアドレスで受け付けます。
- ご本人であることを確認するため、必要な情報のご提示をお願いする場合があります。当方は氏名・メールアドレスを取得していないため、ご提示いただいた情報から該当する記録を特定できない場合があります。
- 当方は、法令に従い、遅滞なく対応します。法令に基づきお応えできない場合は、その理由をお知らせします。
- 顧客（来店客）の情報は、当方のサーバーには保存されず（フィードバックにご自身で記入された内容を除く）、ユーザーの端末と iCloud にあります。当方からは開示等ができないため、顧客（来店客）の方のご請求は、情報を入力したユーザー（キャスト・店舗）へお願いします。
9. アクセス解析・広告
当方は本アプリにおいて、行動解析ツール・広告SDK等の第三者トラッキングを組み込んでいません（アナリティクスなし）。今後導入する場合は本ポリシーを改定し、事前に告知します。
10. お問い合わせ
本ポリシーおよびデータの取扱いに関するお問い合わせは、上記「1. 運営者」記載の連絡先までお願いします。
11. 改定
本ポリシーは必要に応じて改定します。重要な変更がある場合は、アプリ内または本書の更新日時をもって周知します。
2026-09-07: AI 処理委託先に OpenAI を追加（切替運用）。
2026-10-16: 暗号化フィールドの属性数と Apple の暗号化に関する説明、AI きろくで送信する顧客名の候補の説明、Apple の利用者識別子の保持とセッショントークンの記載を、実装と Apple の公式説明に合わせて修正。
2026-10-16（その2）: Sign in with Apple で氏名・メールアドレスを取得しない旨、AI 提供事業者での保持期間の書き方、処理の記録（Workers Logs）の保持、暗号化の説明の表現を実装と公式説明に合わせて修正。「利用目的」「安全管理措置」「開示・訂正・利用停止等の請求」の項と運営者の氏名・住所の案内を追加（項番号を繰り下げ）。
最終更新日: 2026-10-16
関連法令等（一般的参照のみ・逐条解釈は法務確認事項）: 個人情報の保護に関する法律（APPI）／ Apple App Store Review Guidelines（プライバシー関連条項）。