プライバシーポリシー

本ページでは、NihonLetter（以下「本製品」または「当社」といいます）が、お客様の情報をどのように収集・利用・共有・保護するかについてご説明します。本製品をご利用になる前に、本ポリシーを最後までお読みください。

はじめに・適用範囲

NihonLetter は、日本で暮らす外国人と多言語家庭向けの iOS アプリです。お客様は日本語の郵便物・書類・画像・PDF・スクリーンショットをスキャンまたはアップロードでき、本製品は文字認識（OCR）と AI 分析を行って、「処理カード」（書類の種類の判別、締め切り・金額・機関などの情報の抽出、および対応の提案）、締め切りのカレンダーリマインダー、日本語の返信テンプレートを生成します。処理カードの出力言語はアプリの言語設定によって決まり、現在は簡体字中国語・繁体字中国語・英語・日本語・ベトナム語に対応しています。対応していない言語環境では簡体字中国語で出力されます。

本ポリシーは、お客様が本製品をご利用になる過程で、本製品との間に生じる情報の収集・処理に適用されます。お客様がご自身でアクセスする第三者のウェブサイト・機関・サービスによる独立した処理には適用されません。関連する利用規約については 利用規約をご覧ください。

収集する情報

当社は、サービスの提供および改善に必要な範囲でのみ情報を収集します。主に以下の種類があります。

• アカウント・認証情報：現在のバージョンは匿名アカウントを中心としており、匿名アカウントの内部識別子を収集します。今後のバージョンで LINE や Apple などのログイン方法が順次開放されるのに伴い、当該ログイン方法から返される利用者識別子（provider user id）や、ログイン・連携に使用するメールアドレスなどを、それに応じて収集します。 これらのログイン方法は提供予定であり、バージョンごとに順次開放されます。現在のバージョンではまだ利用できない場合があり、実際に利用できるかどうかはお使いのアプリのバージョンでの表示に準じます。 該当するログイン方法が開放された後は、複数の identity を同一アカウントに連携できます。当社はアカウントの登録・ログインに電話番号を使用しません。お客様がアップロードするファイルに電話番号などの情報が含まれる場合、それはアップロードされたコンテンツの一部として認識・処理されます（上記「お客様がアップロードするコンテンツ」をご参照ください）。
• お客様がアップロードするコンテンツ：スキャンまたはアップロードした手紙・書類・スクリーンショットの画像および PDF、ならびに OCR で抽出したテキスト。これらのコンテンツには個人情報が含まれる場合があります（氏名・住所・金額・機関名・口座番号など）。処理する権利を有するコンテンツのみをアップロードしてください。
• 分析成果物：お客様のアップロードしたコンテンツに基づいて生成される処理カード・締め切りリマインダー・返信テンプレート。
• 利用・ログ情報：問題の調査およびサービス改善のための、基本的な利用記録とエラーログ。
• カレンダー / リマインダー連携の識別子：「カレンダー / リマインダーに追加」機能をご利用の際、作成された予定またはリマインダーに対してシステムが返す識別子（identifier）が当社のサーバーに送り返され保存されます。これは当該アクションが完了したことを示し、重複作成を防ぐために使用します。当社は、お客様のカレンダーやリマインダー内のその他の内容を取得しません。
• 購入・サブスクリプション情報：購入 / サブスクリプションの状態および取引の識別子。当社は RevenueCat を通じてサブスクリプションを管理しています。同サービスはアプリを起動されるたびに初期化され、ログインされるたびに、お客様のアカウント識別子（Supabase ユーザー ID）を RevenueCat の利用者識別子として送信します（ご購入の有無を問いません）。実際の決済は Apple App Store が処理し、当社はお客様の銀行カードなどの決済明細に触れません。
• サポートリクエスト（チケット）：「設定 → サポート」から当社にご連絡いただく際に送信される、チケットの種別・件名・言語・メッセージ内容。これらの内容には個人情報が含まれる場合があります。
• プッシュ通知に関する識別子：ログインされており、かつ本製品からの通知をシステムで許可されている場合（その許可が締め切りリマインダー・ToDo のリマインダー・家族の通知のいずれのために与えられたかを問いません）、当社はお客様の端末のプッシュトークン（Apple が発行し、当該端末に通知を届けるために使用します）、端末の識別子（iOS が提供する identifierForVendor。同一端末からの重複登録を識別するために使用し、アプリを再インストールすると変わります）、プラットフォームおよびプッシュ環境、ならびに端末ごとの配信結果の記録（配信に成功したか、失敗した場合の理由コード）を収集・保存します。これらのデータは通知の配信と配信不具合の調査にのみ使用し、広告やアプリをまたぐトラッキングには使用しません。ログアウトされると、アプリは直ちに当該端末での通知の受信を停止し、あわせて当該トークンの無効化をサーバーへ要求します。この要求はベストエフォート（最善の努力）で行われるため、通信状況などにより届かなかった場合、サーバー側での無効化が遅れることがあります。アカウントを削除されると、当該トークンの記録はアカウントとともに削除されます。

情報の利用方法

• お客様がアップロードした日本語のコンテンツに対して OCR 認識と AI 分析を行い、処理カード・締め切りリマインダー・日本語の返信テンプレートを生成するため。
• お客様のアカウントを作成・維持し、ログイン・identity 連携・セッション管理を行うため。
• 本製品の機能および安定性を提供・維持・障害対応・改善するため。
• お客様の許可がある場合に、締め切り関連の予定またはリマインダーをお客様の端末のカレンダーまたはリマインダーに書き込み、システムが返す識別子を送り返して完了を示し、重複作成を防ぐため。
• お客様のサブスクリプションおよびアプリ内課金の権益を管理するため（RevenueCat および Apple App Store を通じて）。
• お客様がサポート機能を通じて送信したリクエストおよびチケットを受領・処理・返信するため。
• お客様が書類の保存先として家族スペースを選択された場合に、当該書類およびその分析結果を同スペースの他のメンバーに提供し、ご家族が共同で確認・対応できるようにするため。
• 家族スペース内で家族のタスクを割り当て・追跡し、関係するメンバーに家族の通知を送信するため。
• 家族スペース内のメンバーや管理権に関する操作を記録し、当社の障害対応およびセキュリティ監査に用いるため。

当社は、お客様の個人データを第三者に販売しません。

第三者による処理と共有

本製品の機能を提供するため、当社はサービスの提供に必要な範囲で、必要な情報を以下の種類の第三者に委託して処理します。当社はお客様の個人データを販売しません。

• AI 分析サービス提供者：認識・分析を行うため、お客様のアップロードしたコンテンツからOCR で抽出したテキストを、当社が利用する第三者の AI サービス提供者に送信して処理します（元画像は含みません——画像および PDF は当社の自社運用インフラにのみ保存され、AI 提供者には送信されません）。現在は Anthropic（Claude モデル）を使用しており、構成によっては OpenAIなどその他の AI サービス提供者を使用する場合もあります。当該処理は各提供者の規約およびプライバシーポリシーに従います。モデルの学習：お客様のアップロードしたコンテンツは AI モデルの学習に使用されません——当社は上記提供者の商用 API を通じてデータを処理し、その API 規約に基づき、送信されたコンテンツはそれらのモデルの学習に使用されません。当社はまた、お客様のアップロードしたコンテンツを外部共有の品質評価（QA）サンプルとして使用しません。
• 認証メールの送信：メールの Magic Link およびワンタイムパスコード（OTP）のメールは、米国の Plus Five Five, Inc. が提供する Resend を通じて送信されます。配信のため、メールアドレス、メールのメタデータおよび本文が同社により処理されます。当社はメールの開封およびリンククリックの追跡を無効にしています。
• ログイン ID 提供者：該当するログイン方法を選択した場合、ログインの過程で LINE および Apple が ID 提供者として関与します。
• ストレージサービス：お客様のデータは、当社の自社運用インフラ（VPS 上の Supabase およびオブジェクトストレージ）に保存されます。
• サブスクリプション・アプリ内課金：当社は RevenueCat を用いてサブスクリプションおよびアプリ内課金の権益を管理しており、購入 / サブスクリプションの状態およびアカウント識別子の同期を伴います。実際の決済取引は Apple App Store が処理し、Apple の規約およびプライバシーポリシーに従います。
• プッシュ通知の配信：家族に関するリモートプッシュ通知はApple プッシュ通知サービス（APNs）を通じて配信されます。当社が Apple に提供するのは、お客様の端末のプッシュトークンと固定テンプレートの文面のみで、Apple は伝送経路としてのみ関与します。書類の内容を提供することはありません（テンプレートには書類名・機関名・金額・認識されたテキストは含まれません。下記「家族スペースでの共有」をご参照ください）。当該処理は Apple の規約およびプライバシーポリシーに従います。

家族スペースでの共有

本製品では、任意でご利用いただける「家族スペース」機能を提供しています。家族スペースを作成してご家族を招待し、特定の書類を家族のメンバーと共有して一緒に対応することができます。本項では、この機能に関わるデータの取扱いについてご説明します。家族機能は、アプリのバージョンおよび当社のサーバー側の設定により順次開放されます。最新バージョンをお使いの場合でも、一部の家族機能がまだご利用いただけないことがあり、実際にご利用いただけるかどうかはアプリ内での表示に準じます。家族スペースをご利用にならない場合、本項の内容は適用されません。なお、家族のメンバーは、個人情報保護法上はお客様以外の「第三者」に該当しますが、当社が処理を委託する事業者（委託先。上記「第三者による処理と共有」をご参照ください）ではなく、お客様ご自身が共有先としてお選びになった他の利用者です。

• お客様が自ら選んだ書類だけが共有されます：各書類は保存の時点で、お客様の個人スペースか、いずれか一つの家族スペースのどちらかに属します。既定では個人スペースに保存されます（家族スペースの表示に切り替えている場合は、そのスペースが既定の保存先になります）。保存前に、画面上で保存先を変更できます。システムの「共有 / このアプリで開く」から取り込んだ書類は、常に個人スペースにのみ保存されます。個人スペースにある書類が、家族スペースの作成・参加や家族機能の開始によって自動的に共有されることはありません。また本製品には、保存済みの書類を個人スペースと家族スペースの間で移動する機能はありません。下記「家族スペースの解散」の場合（解散時に書類はそれぞれ保存した方の個人スペースへ戻ります）を除き、書類が属するスペースは保存時に確定するため、共有をやめたい場合はその書類を削除していただく必要があります。これらの制限は、いずれもサーバー側で担保しています。アプリには書類の所属スペースを変更する権限がなく、サーバーはお客様が対象の家族スペースの現在のメンバーであることを確認したうえでのみ保存を受け付けます。個人スペースは仕組み上お客様お一人だけのもので、他の方を招待することはできません。
• 他のメンバーへの個人データの提供：お客様が個人情報を含む書類の保存先として家族スペースを選択された時点で、その書類に含まれる個人データを、当社が当該スペースの他のメンバーに提供することになります。日本の個人情報保護法における第三者への個人データの提供に関する規定を踏まえ、当社は以下の事項を公表します。提供する項目——当該書類の原本（画像または PDF）およびサムネイル、文字認識（OCR）で抽出したテキスト、そこから生成された分析結果（書類の種類・要約・機関名・金額・締め切り・リスクの目安・信頼度）、関連する ToDo とおすすめのアクションおよびその対応記録、お客様が抽出項目に対して行った確認・修正の内容、ならびにどのメンバーがその書類をアップロードしたかの情報。提供の目的——家族のメンバーが当該書類に関わる生活上の手続きを共同で確認・対応できるようにするため。提供先の範囲——当該家族スペースに参加している（削除されていない）メンバー。お客様が当該書類を保存された後に参加したメンバーも含み、その方も過去に共有された書類をすべて閲覧できます。人数は当社が定めるメンバー上限の範囲内で、新しいメンバーを招待できるのは当該スペースのオーナーです。提供の方法——当社のサーバーがメンバーであることを確認したうえで提供します。提供が生じる契機——お客様が当該書類の保存先として家族スペースを選択されることにより、当該スペース内での共有を選択したことになります。ご注意ください：お客様がアップロードする書類には、お客様ご本人以外の方（ご家族、お子様、第三者機関の関係者など）の個人情報が含まれる場合があります。処理する権利を有するコンテンツのみをアップロードし、関係するご本人（未成年者の場合はその親権者その他の法定代理人）に対してあらかじめ十分な説明を行ったうえで同意を得てください。これはお客様の利用規約上の義務であり、当社は当該ご本人に直接ご連絡できないため、アップロードされたメンバーがこの義務を果たされていることを前提としています。お客様がアップロード者ではない場合でも、他の方がアップロードした書類にお客様の個人情報が含まれているときは、当社が保有する当該情報について、 サポートページより開示・訂正・利用停止・消去などをご請求いただけます。法令に従い確認のうえ対応します。
• 家族のメンバーが閲覧できる情報：当該家族スペースに参加中のメンバーは、そのスペース内のすべての共有書類の内容を閲覧できます。具体的には、書類のタイトル・種類・取得元・処理状況、要約、機関名、金額、締め切り、リスクの目安、ページごとの文字認識（OCR）結果、AI 分析の結果とその信頼度、書類から生成された ToDo とおすすめのアクション（内容・日時・場所・リンクを含む）およびその対応記録、抽出項目の確認・修正の記録、そしてどのメンバーがアップロードしたかが含まれます。メンバーは共有書類の原本画像とサムネイルも閲覧できます。閲覧の際は、当社のサーバーが改めてメンバーであることを確認したうえで、有効期間が最大 5 分の一時的なアクセスリンクを発行します（当該原本の保存期限の残りが 5 分未満の場合は、リンクの有効期間もそれに合わせて短くなります）。原本を保管しているストレージ自体は他のメンバーに開放されておらず、メンバーはこの一時リンク経由でのみ閲覧できます。
• メンバー間の操作範囲：メンバー同士は閲覧のみが可能で、他のメンバーがアップロードした書類そのもの・その分析結果・他のメンバーの ToDo を変更したり削除したりすることはできません。唯一の例外は、お客様が引き受けた割り当てです。引き受けた後は、そのタスクに対応するおすすめのアクションを進める（確認 / 実行 / 完了として記録する）ことができ、これにより当該書類のアクション記録と処理状況が更新され、その書類をアップロードしたメンバーの名義で対応する ToDo が作成されることがあります（下記「タスクの割り当てと操作の記録」をご参照ください）。ある書類の原本の保存期限の変更や、その書類の削除などは、引き続きその書類をアップロードしたメンバーご本人（かつ、そのスペースに参加していること）に限られます。メンバーの招待と削除、スペースの管理権の譲渡、家族スペースのアーカイブと解散は、当該スペースのオーナー（オーナー）に限られます。
• 家族のメンバーが閲覧できない情報：他のメンバーはお客様の個人スペースにある書類・分析結果・ToDo・原本を一切閲覧できません。他の家族スペースにあるお客様のコンテンツも同様です。メンバー一覧に含まれるのは、各メンバーが当該スペースで自ら設定した表示名、言語、役割、参加日時、および内部のアカウント識別子のみで、互いのメールアドレスや電話番号は含まれません。メンバーがお客様のログイン方法や決済明細を見ることもできません。お客様が送信されたサポートリクエスト（チケット）は、お客様と当社との間の非公開のやり取りであり、他の家族のメンバーは閲覧できません（当社は、そのチケットがどの家族スペースの画面から送信されたかのみを記録し、問題の特定に利用します）。
• タスクの割り当てと操作の記録：家族のタスク割り当て機能をご利用の場合、同じ家族に参加中のメンバーは、あるタスクが誰に割り当てられたか、相手がすでに開いたか、引き受けたか辞退したか、自分のリマインダーやカレンダーに追加したか（「予定に追加済み」と表示されます）、そして完了したか・その日時を確認できます。開封・引き受け・辞退・完了の操作は割り当てられたメンバーご本人のみが行えます。取り消しは、その割り当てを行ったメンバーまたはスペースのオーナーに限られます。なお、スペース内での操作（メンバーの変更、ラベルの作成や名称変更、管理権の変更など）は当該家族の操作記録に残りますが、この記録は家族のメンバーには公開されず、当社の運用およびセキュリティ監査のためにのみ使用します（下記「当社の運用担当者が見られる情報」をご参照ください）。保存されるのはメンバーの識別子や操作の種別といった定められた値のみで、書類のタイトルや認識されたテキストは保存されません。
• プッシュ通知：家族に関するプッシュ通知（お客様にタスクが割り当てられたとき、その状態が変わったとき、家族のタスクの 1 日 1 回のまとめなど）の文面は、すべて当社のサーバーにあらかじめ用意された固定のテンプレートから生成され、お客様が当該家族で設定した言語に従って選択されます。テンプレートは「新しい家族のタスクが割り当てられました」といった一般的な案内文であり、書類の名称、機関名や学校名、金額、日付、認識されたテキスト、他のメンバーの氏名を含めることはできません。あわせて送信されるデータは、タップ後に該当画面を開くための内部識別子のみです。したがって、この種の通知はロック画面に表示されても書類の内容が漏れることはありません。ご注意ください：書類の締め切りリマインダーと ToDo のリマインダーは、お客様の端末内で生成されるローカル通知であり、当社のサーバーを経由しません。どの書類・どのタスクかがひと目で分かるように、締め切りリマインダーには当該書類の名称と締め切り日が、ToDo のリマインダーには ToDo のタイトルが含まれ（当該名称は、場合により当社が判別した書類の種類名、お客様がご自身で付けられた名称、または書類から認識された機関名になります）、ロック画面と通知センターに表示されます。これらの情報をロック画面に表示したくない場合は、アプリ内で該当のリマインダーをオフにするか、iOS の「設定」→「通知」で本製品を選び、「プレビューを表示」を「しない」に設定してください。
• メンバーが削除された場合・自ら退出した場合：当社はサーバー上で、その方の当該家族におけるメンバー資格を直ちに「削除済み」として記録し、当該スペース内のすべてのコンテンツに対する閲覧・操作の権限も同時に失効します。これには、その方ご自身が以前そのスペースに保存した書類も含まれます。本製品の中では、ご本人もそれらの書類の記録・分析結果・ToDo を閲覧できなくなります。それらの書類は家族スペースに残り、他のメンバーが引き続き利用できます。なお、原本の画像はストレージの層では常にアップロードしたアカウントに帰属するため、その方はご自身がアップロードした原本については引き続き取得できますが、他のメンバーがアップロードした原本は取得できなくなります。原本の一時アクセスリンクは、いったん発行されると取り消すことができません。発行済みのリンクは最大 5 分で自然に失効し、その後は新しいリンクが発行されることはありません。その方の端末でアプリが閲覧のために一時的にメモリ上に保持していた他のメンバーがアップロードした家族の原本画像は、アプリが次に家族の情報を更新するタイミング（フォアグラウンドへの復帰、家族画面を開く、引っ張って更新するなど）で消去されます。これらの画像が端末のストレージに書き込まれることはありません。当該スペースを離れた後も、その中にお客様ご本人の個人情報が含まれている場合には、個人情報保護法に基づき、利用停止・消去、又は当該スペースの他のメンバーへの提供の停止をご請求いただけます（継続的な共有によりお客様の権利又は正当な利益が害されるおそれがあるとお考えの場合など）。 サポートページよりお申し出ください。法令に従いご本人であることを確認したうえで、遅滞なく判断し対応します。端末のプッシュ用の資格情報はアカウントにのみ紐づいており、特定の家族スペースには紐づいていません。そのため、メンバーの削除によって当該端末のプッシュ用資格情報が解除されることはありません。その代わりに、当社は家族の通知を送信する直前にメンバー資格を再確認し、宛先がすでに削除されている通知は取り消して送信しません。お客様がご自身で書き出したり端末に保存したりしたコンテンツを、当社が遠隔で削除することはありません。削除の操作は当該家族の操作記録に残ります。
• 家族のラベル：家族スペース内では、家族の書類がどのお子様・どの学校・どの団体に関するものかを区別するための「ラベル」を作成できます。ラベルに含まれる情報は、お客様がご自身で入力されるニックネーム、あらかじめ用意された中からお選びいただく色（任意）、およびラベルの種別（「子ども」「学校」「団体」「その他」の 4 つのいずれか）の 3 点のみです。当社は本名の入力を求めておらず、生年月日・年齢・本人確認書類に関する入力欄も一切ありません。同じ家族スペースに参加中のメンバーは、当該家族のラベルを閲覧・編集・アーカイブできます。ラベルの内容が AI サービス提供者に送信されることはありません。また、そのニックネームが当社の製品利用状況の統計に含まれることもありません（統計の範囲は下記「家族機能の利用状況の統計」をご参照ください）。ニックネームはお客様が自由に入力できるテキストであるため、同じ家族のメンバーに見られたくない情報は入力しないでください。
• 家族機能の利用状況の統計：機能が役に立っているかを測るため、当社は家族機能の操作の種別に関する統計イベント（家族を作成した、招待を送った・承諾した、メンバーを削除した、タスクを割り当てた・完了した、家族プランの画面を表示した、など）を記録します。各イベントには、お客様のアカウント識別子とその操作が属する家族スペースの内部識別子が付与され、家族単位での利用状況の把握に用います。これらのイベントに、書類のタイトル・機関名・金額・認識されたテキスト・ラベルのニックネーム・メンバーの氏名は含まれません。属性はあらかじめ定められた値のみを取り、統計データはいずれの利用者（同じ家族のメンバーを含みます）にも公開されません。アプリ内の設定からいつでも製品利用状況の統計をオフにでき、オフにした後はサーバー側で受け付けません。アカウントを削除される際は、過去の統計イベントに付与された家族の紐づけを先に消去します。このほか、どなたかがウェブの招待リンクを開かれたとき、または辞退されたときにも、アカウント識別子を一切含まない匿名の統計イベントを1件記録します。このイベントはウェブ側で生成されるため、アプリ内の統計のオン / オフの設定は適用されません。
• 当社の運用担当者が見られる情報：サポートのご依頼への対応、障害調査、不正利用の防止のため、権限を与えられた当社の運用担当者は、社内の管理コンソールで家族スペースのメタデータ——家族の名称、メンバー一覧（内部のアカウント識別子・役割・状態・言語・表示名・参加および変更の日時）、招待の状態と日時、家族の操作記録——を閲覧できます。当該コンソールが、家族スペース内の書類・原本画像・認識されたテキスト・分析結果を返すことはありません。書類の内容の確認がどうしても必要な場合は、二名の承認と監査記録を要する限定的な緊急閲覧の手続きによります。招待コードやウェブリンクの合言葉はハッシュのみを保存しており、コンソールにも表示されません。
• アカウントの統合が生じた場合の家族データ：異なるログイン方法でログインされた結果、当社が二つのアカウントを同一人物と判断して統合する場合、統合されるアカウントが持つ各家族スペースのメンバー資格は、残るアカウントへ自動的に移転します（両方のアカウントが同じ家族に属している場合は、一つのメンバー記録にまとめられます）。統合されるアカウントがそれまでに家族スペースへ保存した書類は当該家族スペースに残り、他のメンバーから引き続き閲覧でき、帰属のみが残るアカウントに変わります。つまり統合後は、残ったアカウントが元のアカウントの持つすべての家族スペースへのアクセス権を得ることになります。二つのアカウントの家族アクセス権をまとめたくない場合は、それらを同一のログイン identity に連携しないでください。
• 家族スペースにおける AI 分析と越境移転：越境移転に関する明示的な同意はご利用になるお客様ご本人ごとに記録されます（下記「国際的・越境的な移転」をご参照ください）。当該スキャンまたは取り込みを行ったメンバーご本人が同意している場合にのみ、その分析が実行されます。他のメンバーがその後に閲覧・絞り込み・項目の確認や修正・ToDo の引き受けや完了・生成済みの日本語の返信テンプレートの利用を行う際は、当社のサーバーに保存済みの結果を読み出しているだけであり、内容が改めて AI サービス提供者に送信されることはありません。家族スペースでも個人でのご利用とまったく同じ処理の流れをたどり、上記のお約束に変更はありません。元画像および PDF は AI 提供者に送信されず、お客様がアップロードしたコンテンツが AI モデルの学習に使用されることも、外部共有の品質評価（QA）サンプルとして使用されることもありません。ご注意ください：この同意は分析を開始したメンバーによるものです。その書類に他の家族のメンバー（未成年のお子様を含みます）の個人情報が含まれる場合、その情報も同じ分析の一部として移転されます。書類に含まれる他の方の個人情報については、当社は、当該書類をアップロードしたメンバーがご本人（未成年者の場合は親権者その他の法定代理人）の同意を得ている旨の申告に依拠しています。当社は当該ご本人に直接ご連絡できないため、個別に同意を取得することはありません。お客様が当該ご本人であり、この越境移転に同意されない場合は、 サポートページより外国にある第三者への提供の停止および消去をご請求いただけます。
• ウェブの招待ページ：家族スペースのオーナーが、まだアプリをインストールしていないご家族に向けてウェブの招待リンクを発行した場合、そのページに表示されるのは家族スペースの名称、招待した方が当該スペースで自ら設定した表示名、招待に使用された言語、リンクの有効期限のみです。書類・画像・認識されたテキストは一切表示されません。メンバー一覧、メンバーの人数、本名、メールアドレス、電話番号も表示されません。リンクの秘密の識別子は URL の「#」より後ろの部分に置かれ、ブラウザの仕様上リクエストとともに当社のサーバーへ送信されないため、サーバーのアクセスログやリファラー情報に残りません。当社のサーバーもそのハッシュのみを保存しており、元の値を復元することはできません。ウェブの招待リンクの有効期間は最大 24 時間です（アプリ内の招待コードは既定で 7 日間、最長 30 日間）。管理者はいつでも取り消すことができ、再発行すると以前のリンクは直ちに無効になります。招待を受け取った方は、登録やログインなしにそのページ上で招待を辞退できます。招待を承諾して家族スペースに参加するには、アプリ内でログインしていただく必要があります。管理者が共有したのが招待リンクではなく「家族のタスク」のリンクである場合、そのページには当該タスクのタイトル、締め切り、担当する方の表示名も表示されますが、原本が提供されない点は同じです。リンクの総当たりによる推測を防ぐため、短時間に失敗したアクセスが集中した場合はアクセス回数を制限しており、その際のアクセス元 IP はハッシュの形でのみ記録します。
• アカウントを削除する場合の家族コンテンツの取扱い：お客様が家族スペースのオーナーであるか、それ以外のメンバーであるかを問わず、これまでにいずれかの家族スペースへ書類を保存された場合、またはその中で家族のタスクを作成された場合、お客様のアカウントの削除が実行される時点で、当社はそれらのコンテンツをあわせて削除することはしません。当社は、当該スペースで引き続きご利用中のメンバーを一名選定し（当該スペースの現在のオーナーを優先し、それができない場合は最も早く参加された在籍メンバーとなります）、それらの書類とその分析結果・ToDo・アクションの記録を引き継ぎます。それらは当該メンバーの名義に付け替えたうえで保持され、当該家族に参加中のメンバーが引き続き閲覧できます。対応する原本とサムネイルも同様に保持されます。引き継ぎの後、これらの記録の帰属を示す識別子は、引き継いだメンバーのものに置き換わります。なお、原本のストレージ層における帰属の基点と、その保存先のパスは、仕組み上、引き継ぎによって変わりません。そのため、そこにはお客様のアカウントの内部識別子が引き続き残ります——それはログインできるアカウントを指すものではなくなりますが、同じ家族のメンバーが原本を読み出す際に目にする可能性があります。引き継げるメンバーが一人も残っていない場合、そのスペースはアーカイブされて凍結され、お客様の名義のコンテンツはお客様のアカウントとともに削除されます（当該スペースで他の方が残されたコンテンツは影響を受けません）。家族の操作記録は保持されますが、その中のお客様を指す利用者識別子は消去されます。ラベルの作成者の識別子も同様に消去され、ラベル自体は家族の共有データとして他のメンバーに残ります。お客様の個人スペースにあるコンテンツは、引き続き下記「データの保存と削除」に従って取り扱われます。ご自身が家族スペースに保存されたコンテンツがこのように保持されることを望まない場合は、アカウントを削除される前にご自身でそれらの書類を削除いただくか、 サポートページより利用停止・消去をご請求ください。
• オーナーがアカウントを削除する場合の追加のルール：上記の共通の取扱いに加えて、お客様がある家族スペースのオーナーであり、そのスペースに他に参加中のメンバーがいる場合、当社はお客様のアカウント削除のお申し出をお受けできません。まず管理権を他のメンバーに譲渡していただくか、その家族を解散していただくようご案内します（既に解散を申請され、当該家族が待機期間中である場合は、アカウントの削除をお受けできます）。削除が実行される際、上記の引き継いだメンバーは、同時に当該家族スペースの新しいオーナーになります（メンバーの招待と削除、管理権の譲渡、アーカイブと解散などのオーナーの権限を持ちます）。当該家族がそれまでに送信し、まだ承諾されていない招待はすべて無効になります。また、既に解散が申請され待機期間中であった場合、その解散は取り消されます（スペースは凍結されたままで、新しいオーナーが手動で復元する必要があります）。
• 家族スペースの解散：家族スペースを解散できるのは当該スペースのオーナーのみで、個人スペースを解散することはできません。確認後、その家族スペースは直ちに凍結されます（新しいコンテンツの追加や既存コンテンツの変更はできなくなりますが、メンバーは既にある内容の閲覧と書き出しは引き続き行えます）。あわせて48 時間の待機期間が始まります。この期間中、オーナーは解散を取り消すことができます（取り消した後もスペースは凍結されたままで、再度ご利用いただくには手動で復元する必要があります）。待機期間の経過後は取り消せなくなり、システムの定期処理が解散を実行します。実際の実行は 48 時間より少し後になる場合があります。実行時に削除されるのは家族スペースそのものです：メンバー関係・招待・ラベル・共有枠・タスクの割り当て、および当該家族の操作記録。家族スペースは一度削除すると元に戻せません。当該家族スペースに保存された書類は削除されません——各書類は、その原本とサムネイル・分析結果・ToDo とアクションの記録とともに、それを保存したご本人の個人スペースへ戻ります。（オーナーご自身が保存した書類も同様にご自身の個人スペースへ戻ります。解散されるのは家族であり、当社がどなたかに代わってその方ご自身の内容を削除する判断はいたしません。）戻った後、これらの内容はそのメンバーご自身の個人スペースに表示され、原本も引き続き開けます。ご自身の個人スペースでご確認ください。特定の書類に紐づかない家族のタスクも、同様にその作成者の個人スペースへ戻ります。また、ある内容を元々保存した方が既にアカウントを削除しており、上記「アカウントを削除する場合の家族コンテンツの取扱い」により引き継いだメンバーの名義に変更されている場合、その内容は当該引き継いだメンバーの個人スペースへ戻ります。あわせて共有関係も解消され、以後は各メンバーがご自身の名義になっている分のみを閲覧でき、他のメンバーの書類は見られなくなります。他のメンバーが保存した内容を残しておきたい場合は、解散の前にご自身で書き出してください。なお、戻した書類 1 件ごとに社内の処理記録（書類とアカウントの内部識別子のみで、書類の内容は含みません）を残します。例外：実行の時点で、あるメンバーが利用可能な個人スペースをお持ちでない場合、その方が当該スペースに保存した内容は戻す先がないため、家族スペースとともに削除されます。また、ラベルは家族の共有データであり家族とともに削除されるため、戻った書類に付いていたラベルは外れます。各メンバーご自身の個人スペース・個人の書類・アカウントは、まったく影響を受けません。その家族に属さなくなるだけです。
• データの書き出しにおける家族の範囲：お客様は サポートページより、ご自身のデータの写しの書き出しをご請求いただけます（アプリ内にセルフサービスの書き出し機能はありません）。書き出しに含まれる家族の部分は、お客様が現在も参加している家族スペースに限られます。具体的には、スペースの名称と基本設定、他のメンバーの表示名・言語・役割・参加日時（メールアドレスは含みません）、当該スペース内の書類の基本情報（タイトル・種類・取得元・処理状況・ワークフローの状況・締め切り・機関名・ラベル・アーカイブ日時・作成日時）、およびラベルの一覧です。他のメンバーがアップロードした書類については、その要約・金額・認識されたテキスト・原本画像は、お客様の書き出しには含まれません。また、他の方の個人スペースの内容が書き出しに含まれることは決してありません。お客様がある家族から退出された場合や削除された場合、その家族はそれ以降の書き出しには表示されません。
• 家族プラン：家族プランをご利用いただける場合、当該家族で機能が有効になるかどうかは、当該スペースのオーナーご本人が有効な有料サブスクリプションを保有しているかどうかによって決まります（当社はその都度リアルタイムに確認し、権益の複製を別途持ちません。そのため、オーナーの返金、サブスクリプションの期限切れ、管理権の譲渡があった場合、判定の結果も直ちにそれに応じて変わります）。他のメンバーが個別に購入する必要はありません。メンバー間で共有されるのは、当該家族スペースのスキャン分析の利用回数です。当社は RevenueCat を通じてサブスクリプションを管理しています。上記「第三者による処理と共有」でご説明した購入 / サブスクリプションの状態およびアカウント識別子の同期を除き、同社に氏名・メールアドレス・電話番号を提供することはなく、家族のメンバー一覧、メンバー間の関係、書類の内容も一切提供しません。メンバーが当該家族の利用可否を確認する際に返されるのは「機能が有効かどうか、プランの区分、その根拠、メンバーの上限人数」のみで、管理者が誰であるか、購入された商品、有効期限が表示されることはありません。

データの保存場所とセキュリティ

お客様のデータは、当社の自社運用インフラ（VPS 上の Supabase およびオブジェクトストレージ）に保存されます。当社は、アクセス制御・通信の暗号化などの合理的な技術的・管理的措置を講じ、お客様の情報の安全を保護するよう努めます。

ご注意ください：インターネットを介した送信や保存の方法は、いかなる状況においても危険が生じないことを保証できるものではなく、当社は絶対的な安全を保証することはできません。ログイン方法および端末は適切に管理してください。

アプリで原本の保存先を「この端末にのみ保存」に設定した場合、その書類の元画像は上記のインフラにアップロードされず、お客様ご自身の端末に保存されます。当社は複製を保持せず、アクセスすることもできません。これらの原本はお客様の端末 / iCloud のバックアップにも含まれます。その一方で、これらの複製は Apple のバックアップサービスに入り、その保存地域はお客様の Apple ID と端末の設定によって決まり、当社の管理下にはありません。アプリを削除し、利用できるバックアップがない場合、これらの原本は復元できません。（家族スペースに取り込む書類は例外です。家族が閲覧できるようにするため、当社のサーバーにアップロードされます。）（他のアプリからの共有や「NihonLetter で開く」で取り込んだファイルは原本を保存せず、解析結果のみが残ります。）

データの保存と削除

当社は、サービスの提供およびコンプライアンス上必要な期間、お客様の情報を保存します。お客様がアップロードした原本については、本製品は「原本保管」機能を提供します。原本を保持するか、期限到来後に自動的に削除するかを選択できます。

上記の「原本保管」機能は、当社のサーバーにアップロードされた原本にのみ適用されます。前節のとおりお客様の端末にのみ保存される原本には、サーバー側の保存期間や期限到来時の自動削除は適用されません。アプリ内で該当ファイルを削除するか、アプリ内でアカウントを削除するか、アプリを削除するまで、お客様の端末に残ります。

匿名アカウントに関する重要なご案内：匿名アカウントは登録なしで利用でき、そのセッションがアカウントの唯一の資格情報です。ログアウトまたは当該セッションの喪失は、当該アカウントおよびその関連データの喪失に等しい場合があり、通常は復元できません。データを長期的に保持したい場合は、該当するログイン方法が開放された後に LINE・Apple・メールなどのログイン方法を連携することをおすすめします（これらのログイン方法はバージョンごとに順次開放され、アプリ内で実際に提供される内容に準じます）。

お客様はいつでもアカウントを削除できます。削除リクエストの送信後はバックエンドで非同期に処理され、通常は短時間で完了します。これにより、お客様のファイル・分析・アプリ内ToDo の記録・サポート内容などの関連データが削除され、復元できません。詳しくは下記「お客様の権利」および アカウント削除をご覧ください。保存の例外：法令およびコンプライアンス上の義務を履行するため、当社は財務 / 取引に関する記録を非識別化のうえ法定の期間保存し、「削除リクエストを履行した」ことのコンプライアンス上の証跡として、アカウント識別子を含む削除監査記録を1件保持します。これらのデータは社内のコンプライアンス目的にのみ使用し、外部には提供しません。

家族スペースをご利用の場合：お客様が家族スペースに保存されたコンテンツはアカウントの削除に伴って削除されることはありません。その取扱い、および家族スペースを解散した際の取扱いについては、上記「家族スペースでの共有」をご参照ください。

お客様の権利

適用される法令が認める範囲で、お客様はご自身の個人情報について以下の権利を行使できます。

• アクセスと訂正：当社が保有するお客様に関する情報を知り、更新すること。
• 削除：お客様はいつでもアプリ内（設定 → アカウント → アカウント削除）で、アカウントおよび関連する個人的な内容（ファイル・分析・アプリ内ToDo の記録）を削除できます。削除は復元できません（上記「データの保存と削除」の保存の例外もあわせてご参照ください——法令およびコンプライアンス上の義務を履行するため、当社は財務 / 取引に関する記録を非識別化のうえ法定の期間保存し、アカウント識別子を含む削除監査記録をコンプライアンス上の証跡として保持します）。他に参加中のメンバーがいる家族スペースのオーナーであるお客様は、アカウントを削除する前に、管理権の譲渡または当該家族の解散を行っていただく必要があります。家族スペースに保存されたコンテンツはアカウントの削除に伴って削除されません。詳しくは上記「家族スペースでの共有」をご参照ください。アプリ内で操作できない場合は、 サポートページからご連絡ください。
• 同意の撤回：お客様の同意に基づいて行う処理について、同意を撤回できます。撤回は、撤回前に既に行われた処理には影響しません。
• APPI に基づく開示等の請求：日本の個人情報保護法（APPI）が適用される場合、お客様は当社が保有する個人データについて、開示、内容の訂正・追加・削除、利用停止・消去、および第三者提供記録の開示を請求できます。当社は、適用される法令に従い、合理的な方法でご本人であることを確認したうえで対応します。受付窓口および手続きは、下記「個人情報取扱事業者」をご参照ください。

お客様が他の地域（例えば GDPR が適用される欧州経済領域）にいる場合、現地の法令が定めるその他の権利を有することがあります。当社は適用される範囲で対応します。

端末の権限

本製品の以下の端末権限は、いずれもアプリ内でお客様が能動的に許可する必要があり、システム設定からいつでも取り消すことができます。

• カレンダーとリマインダー（EventKit）：お客様の許可のもとで、締め切り関連の予定をお客様の端末のカレンダーに書き込み、またはリマインダーをリマインダー（Reminders）に書き込むために使用します。書き込み後、システムが当該予定またはリマインダーに対して返す識別子（identifier）が当社のサーバーに送り返され保存されます。これは当該アクションが完了したことを示し、重複作成を防ぐために使用します。当社は、お客様のカレンダーやリマインダー内のその他の内容をアップロードしません。アカウントの削除は当社サーバー上のデータを消去するのみで、お客様が既に端末のカレンダーやリマインダーに書き込んだ予定・リマインダーを自動的には削除しません。削除をご希望の場合は、端末上でご自身で削除してください。
• カメラと写真：手紙のスキャン、または分析するファイル・画像の選択に使用します。

子どものプライバシー

本製品は、アカウントを登録してご利用いただく方として成人（またはお住まいの国・地域で有効に契約できる年齢）の方を対象としており、子どもから直接個人情報を収集することはありません。ただし、お客様がアップロードされる書類や、家族スペースで作成されるラベルには、お客様のお子様に関する情報が含まれる場合があります。これらはお客様（保護者）が提供されるものとして取り扱いますので、提供前に必要な同意を得てください。保護者の同意なく子どもが当社に個人情報を提供したとお考えの場合は、 サポートページからご連絡ください。合理的な措置を講じて削除します。

国際的・越境的な移転

サービスを提供するため、お客様の情報の一部は第三者に委託して処理または保存されます。日本の個人情報保護法（APPI）第28条に基づき開示すべき外国にある第三者への個人データの提供に関して：AI 分析サービス提供者である Anthropic および OpenAI は米国に所在します——お客様のアップロードしたコンテンツから OCR で抽出したテキストは、その処理のために米国へ移転され、米国の個人情報保護制度は日本と異なります。これに対して当社は、通信の暗号化・アクセス制御などの安全管理措置を講じます。この越境移転は、次の二つの条件をいずれも満たす場合にのみ生じます。すなわち、お客様がスキャン / ファイル分析機能を利用されること、かつ、お客様ご本人が現行版の本ポリシーについて明示的に同意されていることです。当該同意がない場合、サーバー側で分析の実行を拒否します（この確認はサーバー側で強制しており、クライアント側から回避することはできません）。このような越境移転が生じることを望まない場合は、当該同意をされないか、該当する分析機能を利用しないでください。サブスクリプション管理サービス提供者である RevenueCat（RevenueCat, Inc.・米国）——当社は同社を通じてサブスクリプションおよびアプリ内課金の権益を管理しており、お客様のアカウント識別子（ランダムな ID の文字列）と購入 / サブスクリプションの状態は、その処理のために米国へ移転されます。プッシュ通知の配信元である Apple（Apple Inc.・米国）——当社がお客様に家族の通知を送信する際（家族の通知の各設定は既定でオンになっており、アプリ内でオフにできます）、お客様の端末のプッシュトークンと固定テンプレートの文面が、配信のため Apple のプッシュ通知サービス（APNs）へ移転されます。書類の内容を提供することはありません（テンプレートには書類名・機関名・金額・認識されたテキストは含まれません）。認証メールサービス提供者である Resend（Plus Five Five, Inc.・米国）——お客様のメールアドレス、メールのメタデータ、および Magic Link / OTP を含むメール本文は、保存および処理のため米国へ移転されます。メールの送信経路には東京リージョンを選択していますが、この選択によって上記データが米国で保存される事実は変わりません。当社は同社のデータ処理補遺（DPA）に基づいて処理を委託し、通信の暗号化・アクセス制御などの安全管理措置を講じています。メールの開封およびリンククリックの追跡は無効です。当社の自社運用インフラ（VPS・オブジェクトストレージ・運営管理コンソール）は、運営者により日本国内（AWS 東京リージョン）に配置されています。この自社運用インフラにおける処理に限っては、外国にある第三者への個人データの提供には該当しません。当該配置の所在地が将来変更される場合には、本ポリシーを相応に更新し、APPI に従って取り扱います。

ポリシーの更新

当社は、本プライバシーポリシーを随時更新することがあります。更新後は本ページで公表し、ページ上部の「最終更新日」を更新します。重大な変更が生じる場合は、適切な方法でお知らせします。

個人情報取扱事業者

本製品の個人情報を取り扱う主体（個人情報取扱事業者）は、NihonLetter の運営者（日本の個人事業者）です。日本の個人情報保護法に基づき、事業者の氏名および所在地は「本人の知り得る状態」に置くべき事項です。ご必要な場合、お客様のご請求後遅滞なく、書面または電子メールにより事業者の氏名および所在地を開示します。個人情報の取扱いおよび上記の権利の行使（開示・訂正・利用停止・削除など）に関するご請求・お問い合わせ・苦情は、受付窓口として サポートページ（support@nihonletter.app）よりお送りください。適用される法令に従いご本人であることを確認したうえで、遅滞なく対応します。ご本人のほか、未成年者・成年被後見人の法定代理人、及びお客様が委任した代理人も上記のご請求を行うことができます。その場合、当社は代理権を確認するための書類（親権関係を示す書類又は委任状）のご提出をお願いすることがあります。

お問い合わせ

本プライバシーポリシーまたは個人情報の取扱いについてご質問・ご意見・ご請求がある場合は、 サポートページ（support@nihonletter.app）よりお問い合わせください。