プライバシーポリシー

1. 適用範囲と運営者

本ポリシーは、Tsumugiの公開サイト、公開デモおよびサインイン後の本番ベータ版（総称して「本サービス」）に適用します。情報の取扱主体は、外山哲史（Tsumugi運営者）です。サービス提供拠点は名古屋市です。運営者情報と連絡方法は運営者・お問い合わせページでも確認できます。

正式提供前のベータ版であるため、機能・保存項目・委託先が変わる場合があります。重要な変更は本ページまたは本サービス内で分かりやすく案内します。

2. 取得・保存する情報

サインイン情報: このGoogle版では、Googleの基本プロフィール権限から受け取る安定した利用者識別子、確認済みメールアドレス、および提供される場合の表示名。Googleの利用者識別子はそのまま保存せず、第11項の方法で仮名化します。パスワードはTsumugiが取得しません。
利用者の設定: 表示設定、プライバシー設定、作成日時・更新日時など、サービス提供に必要な設定情報。「リサーチの案内を受け取る」を利用者が任意で有効にした場合は、その案内設定と変更日時を保存します。初期値は無効であり、この設定だけで調査回答の収集、調査参加または第三者提供を開始しません。
契約・決済管理情報: 選択プラン、保管方式、無料体験の開始・終了日時、利用可否、決済事業者が発行する顧客・契約・価格の識別子、契約・請求の状態、通知の処理日時。カード番号、セキュリティコードその他のカード情報はTsumugiへ保存しません。
利用者が入力する関係管理情報: 相手のニックネーム、任意で入力する居住地・年齢、お気に入りの有無、出会ったサービス、手動で関連付けたアカウント識別子、連絡チャネル、関係・返信の状態、TEL済み・対面済みの記録、約束・予定、次のアクション、タグ、要約メモ、アーカイブ状態など。
Google連携から作成する情報: 利用者が別途許可したGmail通知から抽出する、相手候補のニックネーム、サービス名、任意の年齢・地域、通知種別、信頼度、受信日時。追加・除外後は候補の人物情報を消去し、作成した相手の不透明な識別子または除外済みであること、解析ルールと処理日時だけを最大30日保持します。Googleカレンダー同期を有効にした場合は、専用カレンダーの識別子、予定との対応状態、同期日時・エラー区分も取り扱います。
運用・セキュリティ情報: 認証、障害調査、不正利用防止に必要な最小限のリクエスト情報や処理時刻が、ホスティング基盤で処理される場合があります。

入力しない情報： 外部サービスのパスワード・アクセストークン、会話原文、チャット画面の画像、顔写真、要配慮個人情報や性的指向・健康・信条等の機微情報は、本サービスに入力・保存しないでください。

公開デモはサーバーへ人物データを保存せず、デモ操作をブラウザのsessionStorageに一時保存します。

居住地と年齢の登録は任意です。正確な住所や生年月日は入力せず、相手を区別するために必要な最小限の情報だけを入力してください。

3. 第三者の情報と利用者の責任

利用者が登録する相手の情報は、その相手本人からTsumugiが直接取得したものではありません。利用者は、本人の同意その他の適法な根拠があり、関係管理のために必要な最小限の範囲で記録できることを確認してください。

相手が削除・訂正を求めた場合は、利用者自身が速やかに対応してください。
推測、監視、追跡、評価付け、差別的な分類のために情報を追加しないでください。
本サービスから出力した情報を、本人の同意なく第三者へ共有・公開しないでください。

運営者は利用者と相手との関係や同意の有無を日常的に確認できません。第三者情報を登録する権限と記録内容の適法性は、利用者が責任をもって判断する必要があります。

4. 利用目的と収益化の境界

相手ごとの文脈、予定、次のアクション、連絡チャネルを整理・表示するため
任意の居住地・年齢を、ニックネームや利用者が手動登録したマッチングサービス上の識別子と組み合わせ、同名の相手を区別し、記録を照合するため
利用者を認証し、利用者ごとのデータを分離するため
無料体験期間、選択プラン、支払状況および利用権を管理し、決済を確認できない場合に通常画面を停止して支払回復・バックアップ・削除に必要な画面だけを提供するため
Gmail通知から新しい相手の候補を抽出し、利用者が確認して関係ノートへ追加できるようにするため
利用者が登録した予定を、利用者のために作成した専用のGoogleカレンダーへ一方向同期するため
データの出力、アーカイブ、削除など、利用者が選択した操作を実行するため
障害対応、不正利用防止、安全性の改善、お問い合わせ対応のため
法令に基づく対応および権利保護のため

Private Vaultとして永久に商用利用から除外する情報

次の情報（以下「保護対象情報」）は、広告の選定・効果測定、外部向けリサーチ、第三者への販売その他の商用提供には永久に利用しません。通常のサービス利用への同意、「リサーチの案内を受け取る」設定、または将来の個別調査への参加によって、この固定境界が解除されることはありません。

関係ノート、ニックネーム、未マスクのサービス識別情報、予定、状態履歴、温度感、接続リスク、メモおよびアーカイブ情報
お相手その他の第三者について記録された情報
Gmail、GoogleカレンダーおよびGoogleアカウントの識別・表示情報
前各号の情報から導出した候補、分類、要約、推計、ハッシュ、統計・集計情報
取得元を安全に判別できず、保護対象情報が混在する可能性がある既存情報

Google Workspace APIから受け取った情報とその派生情報には、GoogleのLimited Use要件も適用されます。利用者の追加同意があっても、広告配信、広告プラットフォーム、データブローカー、情報再販売業者への移転・販売には利用しません。

非追跡の文脈スポンサー

将来スポンサー表示を行う場合は、利用者や人物の属性ではなく、現在開いている機能の文脈だけで選ぶ非パーソナライズ表示に限定します。保護対象情報、利用者識別子、Google連携情報を参照せず、第三者広告SDK、追跡タグ、追跡Cookie、リターゲティングを使用しません。現在、スポンサー広告は配信しておらず、広告に伴う外部提供先もありません。

任意のTsumugi Research

将来リサーチを実施する場合は、関係ノートとは別の環境・データベース・暗号鍵を用い、利用者が調査画面で自分自身について新しく回答した定型項目だけを扱います。保護対象情報からの抽出、転記、自動入力または照合は行いません。

案内を受け取る設定は任意かつ初期状態で無効です。いつでも停止でき、通常機能の利用条件にはしません。
案内設定は、調査回答の収集、調査参加、外部提供への同意ではありません。
各調査の直前に、提供先、利用目的、質問項目、保存期間、提供国、撤回期限と方法を示し、調査ごとに別の明示的同意を求めます。
外部に提供できるのは、法令に沿うよう法務・プライバシー・匿名化・セキュリティ審査を経て、原則として全体1,000人以上・最小集計区分100人以上を満たす統計レポートだけです。この人数基準だけで法的な匿名性を保証するものではなく、個別回答や個票は提供しません。
人物別の広告ターゲティング、再識別、他データとの照合、データブローカーへの提供・販売には利用しません。

現在はリサーチ回答を収集しておらず、統計レポートの提供先もありません。外部提供を開始する場合は、実在する提供先、目的、項目、国、保持期間を事前に明示し、法務・プライバシー・匿名化・セキュリティ審査と提供記録の整備を完了してから実施します。

5. 保存先と安全管理

このGoogle版では、クラウド保管版の関係管理データを専用のCloudflare D1へ保存し、ローカル保管版の関係管理データを申込に使ったブラウザのIndexedDBへ保存します。認証・契約・同意等のアカウント管理情報は、どちらの保管版でも専用D1で処理します。利用者識別子を基準に、他の利用者のデータへアクセスできないようアプリケーション側で分離します。

このGoogle版はGoogleサインインを必須とし、匿名の訪問者には本番データを表示しません。
ニックネーム、居住地、年齢、アカウント識別子、予定、メモ等の人物情報は、アプリケーション層で AES-GCMにより暗号化して保存します。ローカル保管版では、個々の暗号化レコードと非抽出設定の暗号鍵を同じブラウザオリジンの端末内保存領域へ分けて保存し、関係管理データをTsumugiのD1へ送信しません。
クラウド保管版の暗号鍵はデータベースとは分けてホスティング環境のシークレットとして管理します。ローカル保管版の端末鍵はブラウザの機能で生成し、Tsumugiのサーバーへ送信しません。
Google版でも外部サービスのパスワードは取得しません。許可されたGoogleサービス連携では更新用トークンを専用鍵で暗号化し、短時間のアクセストークンは保存しません。Gmail由来の候補とGoogleカレンダー識別子も用途別の鍵で暗号化します。
ローカル保管版と無料体験中はGmail・Googleカレンダー連携を無効にし、関係管理データを Googleサービスへ送信しません。クラウド移行が検証済みになるまでGoogle連携を再開しません。

ローカル保管版は、ブラウザデータの消去、プライベートブラウズ、端末の故障・紛失、ブラウザプロファイルや端末の変更によりデータと端末鍵を失う場合があります。端末間の自動同期は行いません。定期的にパスフレーズ付き暗号化バックアップを保存し、パスフレーズをバックアップファイルとは別の安全な場所で管理してください。運営者はパスフレーズを保持せず、再発行できません。

暗号化を含む安全管理措置はリスクを低減するものであり、事故が絶対に起きないことを保証するものではありません。ベータ期間中も、機能と運用に応じて措置を見直します。

7. 保存期間と削除

利用中の記録は、利用者が削除するかアカウントを削除するまで保存します。
ローカル保管版の関係管理データは端末内にだけ保存され、運営者は保存期間の到来だけを理由に端末から遠隔削除できません。画面上の削除操作、ブラウザのサイトデータ削除または端末管理機能を利用者が実行するまで端末に残ります。アカウント削除時は現在のブラウザ内データも削除しますが、書き出したバックアップや別の端末・プロファイルのコピーは利用者自身で削除する必要があります。
リサーチ案内設定は、利用者が無効にするかアカウントを削除するまで保存します。最新ポリシーへ同意しない場合も、すでに有効な案内設定を無効にできます。案内設定を無効にしても、法令上必要な同意・変更記録は所定の期間保持する場合があります。
Gmailから作った未確定候補は、利用者が追加・除外するか、Google連携またはアカウントを削除するまで保存します。追加・除外した候補の最小限の処理記録と、メールの再処理を防ぐ不可逆な処理済み指紋は30日だけ保持し、期間経過後のGmail機能利用時に削除します。
アーカイブした相手の記録は30日間保持した後、恒久削除の対象になります。
Google版でアカウントを削除すると、継続課金の停止を決済事業者へ要求して確認したうえで、アプリが直接管理する専用D1からクラウド保管データ、契約の利用者紐付け、Gmail候補、Calendar同期状態、Google接続、認証情報を削除します。更新用トークンがある場合はTsumugi側の接続削除後にGoogle側の許可取消しを試みます。専用カレンダーと予定はGoogleアカウント内に残る場合があるため、不要な場合はGoogleカレンダー上で利用者が削除してください。
Cloudflare D1のTime Travelその他のプラットフォーム上の復旧用履歴には、技術的な仕組みにより削除前の断片が最大30日残る場合があります。これらは通常のアプリ操作には使用せず、保存期間経過後に失効します。

法令上の保存義務、紛争対応、不正利用調査が必要な場合は、必要な範囲で別の期間を適用することがあります。

8. 確認・出力・訂正・削除

利用者は、本番版の機能から自分の登録情報を確認・修正し、提供される形式で出力できます。相手の記録は個別に削除でき、アカウント削除により利用者データ全体の削除を依頼できます。リサーチ案内設定はプライバシーセンターからいつでも無効にできます。

ローカル保管版では、パスフレーズ付き暗号化JSONとしてバックアップし、空の端末保管領域にだけ復元できます。決済を確認できず通常画面が停止している間も、暗号化バックアップと端末データ削除の機能を提供します。運営者は端末内の人物情報を閲覧・訂正できないため、利用者自身が画面または復元済みデータから操作してください。

本人確認が必要な開示等の請求や、利用者が登録した第三者情報について相手本人から申告があった場合は、運営者・お問い合わせページに記載する外部窓口からご連絡ください。記録の特定と関係者の権利を守るため、追加確認をお願いする場合があります。

9. 漏えい等の事故への対応

漏えい、滅失、毀損、不正アクセス等を把握した場合、運営者は影響拡大の防止、事実調査、対象範囲の特定、再発防止を行います。法令上必要な場合は、関係当局への報告および影響を受ける本人への通知を行います。

不審な挙動や誤表示を見つけた場合は、画面の公開共有を避け、運営者・お問い合わせページの案内に沿ってお知らせください。

10. 外部サービスとの関係

Tsumugiは、掲載されるマッチングサービス、SNS、メッセージサービスの運営者とは独立したサービスであり、各社の公式サービス、提携サービスまたは代理サービスではありません。

このGoogle版でも、マッチングサービス、SNS、電話、メール等のアカウント情報は、原則として利用者が手動で関連付けます。Gmail候補とGoogleカレンダー同期はクラウド保管版で本人が個別に許可した場合だけ利用でき、無料体験中とローカル保管版では無効です。チャット本文やプロフィールを自動同期せず、相手を予定の参加者として招待しません。

11. Google版の提供状況

この環境は、別URLのdirect Cloudflare Workerと専用D1で動作するGoogleサインアップ対応の限定ベータ版です。 Sites版のSIWC利用者や既存データへGoogleアカウントを後付けせず、データベースやセッションも共有しません。 Gmail機能は、サインイン後に限定テスト設定、秘密許可リスト、最新同意を確認した結果が利用可能な場合だけ表示・実行します。 Googleカレンダーは別の説明と段階的認可で有効にします。詳細はGoogle連携の提供条件で案内します。

Googleでのサインアップ

Google版では、基本プロフィールの権限（openid・email・profile）でGoogleの利用者識別子を確認します。 Googleの利用者識別子はそのまま保存せず、運営者だけが持つ識別用鍵によるHMAC-SHA-256で仮名化し、その先頭40文字から同じGoogle利用者について再現できるgusr_…形式の不透明なアプリ内識別子兼データ所有キーを作ります。これはランダムUUIDやメールアドレス由来のキーではありません。メールアドレスの一致だけでSites版との統合、移行または同一人物判定は行いません。このサインアップだけではGmailへアクセスしません。

クラウド保管版とローカル保管版

30日間の無料体験では、関係ノート、サービス識別情報、予定、状態履歴およびアーカイブ情報を申込に使ったブラウザ内だけへ暗号化して保存します。ローカル保管版では無料体験後も同じ保存方式を継続し、アカウント・契約・同意の管理情報だけをクラウドへ保存します。無料体験中とローカル保管版ではGmail・ Googleカレンダー連携を無効にします。

クラウド保管版では人物情報を用途別に暗号化して専用D1へ保存します。ローカル保管版からクラウド保管版へ切り替える場合は、決済事業者から有効なクラウドプランを確認し、利用者が対象件数と注意事項を確認した後にだけ、端末内で復号した移行パッケージをTLS通信で受け取り、サーバー側の所有者鍵で再暗号化します。

移行先が空で、移行状態と短時間有効コードが現在のアカウントに結び付いている場合だけ受け付けます。
確認画面では人物名やメモではなく、相手・紐付け・予定・履歴・アーカイブの件数と警告だけを表示します。
移行パッケージ本文はD1へ保存せず、検証・再暗号化・一括保存の処理中だけメモリで扱います。
読み戻し検証が成功するまで保管方式をクラウドへ確定せず、Google連携やGoogleへの書込みを開始しません。
端末内の元データは自動削除しません。移行後に暗号化バックアップを確認し、利用者が端末コピーを削除します。
クラウド保管版からローカル保管版への逆移行・切替は初期リリースでは提供しません。

Gmailから相手候補を作る限定テスト

Gmailの候補抽出は、Googleでのサインアップとは別に、利用可能と判定された利用者が機能を選んだ時点で説明し、 Gmail読み取り専用権限（gmail.readonly）への同意を求めます。この権限はGoogleの制限付きスコープであり、必要な審査とセキュリティ評価が完了するまでは、Google Cloudとアプリ側の両方で許可した指定テストユーザーだけに限定し、一般提供しません。アプリ側は、限定テストを有効にする設定、Google利用者識別子をHMACで仮名化した値の秘密許可リスト、最新の規約・ポリシーへの同意がすべて揃わない場合にGmail機能を表示・実行しない方式です。 Gmailを許可したGoogle利用者がサインアップ時と同じであることを、メールアドレスだけではなく、同じ方法で HMACで仮名化したGoogle利用者識別子でも確認します。

サーバー側で1〜30日に制限した期間、コードで承認した送信元ドメインの一部、および1回あたりの上限件数に該当する本文だけをWorkerのリクエストメモリ内で解析し、氏名・年齢・地域・外部識別子の候補を作成した後、原文を破棄します。
メール原文、HTML、スニペット、添付ファイルをD1、キャッシュ、ログ、解析基盤へ保存せず、ブラウザにも返しません。添付ファイルは取得しません。
原文から導出したニックネーム、サービス名、任意の年齢・地域、通知種別、信頼度、正規化した受信日時だけを用途別の鍵でAES-GCM暗号化し、確認待ち候補として保存します。メール原文、件名、送信元、GmailのメッセージID、 URLやサービス内の生識別子は候補へ保存せず、ブラウザにも返しません。不可逆な指紋には利用者ごとの識別情報も組み込み、同じ元情報でも別の利用者間では一致しないようにします。
Gmailの確認操作だけでは関係ノートを作成しません。候補ごとの「この相手を追加」を利用者が選んだ場合にだけ、新しい相手とサービスの紐付けを作成します。新着メッセージ通知は、相手を安定して識別できる高信頼の参照がある場合だけ追加候補にし、マッチング成立通知はこの条件がなくても候補にできます。既存の相手を自動更新・統合せず、除外した候補は再表示しません。追加・除外後は人物候補の内容を消去し、最小限の処理記録だけを最大30日保持します。
更新用トークンとGoogleアカウントの表示用メールアドレスは専用鍵でAES-GCM暗号化して保存します。短時間のアクセストークンは保存しません。同じGoogleの許可にGmailとCalendarの権限が含まれる場合があるため、 Google側の許可を完全に取り消す操作は両機能へ影響します。

Googleカレンダーへの予定同期

Googleカレンダー同期は、GoogleでのサインアップやGmail読み取りとは別に利用者が有効にします。アプリが作成した専用の「Tsumugi」副カレンダーだけを扱う権限（calendar.app.created）を使い、 Tsumugiで予定を作成・変更・削除した時に一方向同期します。Google側の変更をTsumugiへ取り込む機能ではありません。

Googleへ送るのは予定タイトル、開始日時、終了日時、任意の場所、および重複防止用の不透明な予定識別情報です。
相手のニックネーム、年齢、居住地、関係メモ、サービス名・ID、連絡先をGoogleへ送りません。
終了時刻が未入力の場合、Tsumugi側では未入力のまま保持し、Googleイベントの終了だけを開始時刻の2時間後に設定します。
相手を参加者にせず、招待メールやGoogle Meetを作成しません。Googleイベントは非公開として作成します。
Google側の障害時もTsumugiの予定保存を取り消さず、同期待ちとして再試行できる状態だけを保存します。

Google版でアカウント削除を確定すると、所有者を確認したうえで、関係管理情報、同意、Gmail候補・確認状態、Calendar同期状態、Google接続、セッション、本人確認情報およびアプリ内利用者を専用D1の1回の一括処理で削除し、セッションCookieを消去します。 Googleの更新用トークンがある場合は、ローカル削除を先に完了してから、時間上限付きでGoogle側の許可取消しを試みます。通信失敗等でGoogle側の確認を得られなくても、Tsumugi側の削除は取り消しません。第7項記載の復旧用履歴は別です。

TG7／7つの話題チケットからGoogle版への保存

TG7の終了QRまたは招待リンクから開いた「7つの話題チケット」は、利用者がGoogle版への保存を選ぶまで端末内だけに保持します。 Google版で本人確認と最新規約への同意を確認した後、内容と権限を再確認して明示的に保存した場合に限り、関係ノートを作成します。

保存対象は、呼び名、本人が確認した会話要約、次のアクションおよび任意の期日だけです。7つの話題、進行状況、TG7のトークン、店舗・ゲスト・セッションの識別情報はGoogle版へ送りません。
保存内容はGoogle版の専用D1で既存の関係ノートと同じ方法によりAES-GCM暗号化します。二重登録を防ぐ処理記録には、端末で生成した不透明な取込キーのSHA-256ダイジェストと、Google版内の不透明な所有者・関係ノート識別情報、取込日時だけを保存します。
保存成功後は、そのゲストチケットを端末のブラウザ保存領域から削除します。GmailやGoogleカレンダーは呼び出さず、 TG7や店舗へ関係ノートの内容を返しません。TG7には個人情報を含まない「保存完了」操作の発生だけを計測目的で通知する場合があります。

Sites版からGoogle版への一回限りのデータ移行

運営者が移行機能を有効にした期間に限り、本人がGoogle版で発行した短時間有効の移行コードをSites版へ入力し、 Sites版から移行専用ファイルを書き出して、同じGoogle版で内容を件数だけ確認した後に明示的に取り込めます。メールアドレスによる本人照合、両データベース間の直接接続、自動移行または継続同期は行いません。

移行対象は、現在保持中の相手、暗号化前のサービス表示名・ID、予定、状態変更履歴、アーカイブ期限および各記録の日時です。 Sites版の同意、認証・セッション、利用制限、Google・Gmail・Calendarの権限や同期状態は移しません。
移行専用ファイルは本人の端末へ平文JSONとして保存され、関係メモ、未マスクのサービスID、予定等を含みます。 Tsumugiはファイルをブラウザ保存領域へ保持せず、取り込み完了後は端末から安全に削除するよう案内します。
Google版は、移行コードそのものや移行ファイル本文をD1へ保存しません。短時間有効のコードはSHA-256ダイジェストと不透明な所有者・アプリ内利用者・セッション識別子、期限および使用状態だけを保存します。重複取り込みを防ぐ完了記録には、不透明な識別子、ファイルのSHA-256ダイジェスト、対象別の件数および取り込み日時だけを保存し、人物名、メモ、サービスID、予定内容は含めません。これらのコード状態と完了記録は、Google版アカウントの削除時に削除します。
Google版の確認画面では人物名やメモを再表示せず、件数、アーカイブ件数、競合および外部連携が起動しないことだけを示します。確定時にGoogle版専用の所有キーと暗号鍵で再暗号化し、GoogleカレンダーやGmailへの外部通信は発生させません。
取り込みは空のGoogle版データ領域だけを対象とし、既存記録の上書きや人物の自動統合を行いません。同じ移行の再送は重複登録せず、 Sites版の元データは削除せずそのまま残ります。移行後の両環境は別々のコピーとなり、以後の変更は相互反映されません。

Gmail限定テストでGoogle Workspace APIから受け取る情報の利用は、Limited Use要件を含むGoogle API Services User Data Policyに従います。GmailおよびGoogleカレンダーから受け取る情報とその派生情報を、広告配信、広告プラットフォーム、データブローカー、情報再販売業者への移転・販売、信用判断、または利用者本人向け機能を超えるモデル学習に利用しません。実装内容と一致する画面内説明および本ポリシーを維持します。

12. 変更・お問い合わせ

本ポリシーを変更する場合は、変更日と内容を本ページまたは本サービス内で案内します。利用目的を大きく変更する場合は、法令に従って必要な同意または告知を行います。

プライバシーに関する質問、権利行使、事故の申告は、運営者・お問い合わせページに記載する外部窓口をご利用ください。初回の連絡には個人情報・機微情報を書かず、必要最小限の概要だけをお知らせください。