プライバシーポリシー

1. データ管理者

本サービスは個人開発者 HOU CHENG WEI（以下「当方」）が運営しています。連絡先メールアドレス：support@getrelo.app。本ポリシーに関するご質問や、データに関する権利の行使をご希望の場合は、アプリ内の「設定 → ヘルプと報告」または support@getrelo.app までご連絡ください。 EU のユーザーの方へ：EU の「デジタルサービス法（DSA）」に基づき、当方の事業者連絡先情報は App Store の Relo のページで公開しています。当方は EU および英国に拠点を持たず、GDPR 第27条に基づく代理人も選任していません。EU・英国のユーザーの方は、プライバシーに関するご質問やデータに関するご請求を、直接 support@getrelo.app までお送りください。

2. データは初期設定で端末に保存されます

• ご自身で作成した連絡先、タグ、やり取り記録、連絡先同士の関係、写真・録音の添付ファイル（保存を選んだ名刺の写真を含みます）、連絡先のプロフィール画像、リマインダー、アプリの設定、「マイテンプレート」とよく使う記念日名は、初期設定ではこの端末内にのみ保存されます。「マイ名刺」（ご自身について入力した電話番号、メールアドレス、会社、役職、ウェブサイト、SNS のリンク、自己紹介）も同様にこの端末にのみ保存され、クラウドバックアップをオンにすると、ほかのデータと一緒に端末上で暗号化してからバックアップされます。
• ログインせずにゲストとして利用できます。ゲストモードでは、コンテンツが当方のサーバーに送信されることはなく、データはこの端末にのみ保存されます。クラウドバックアップ、クイック追加（名刺読み取り、「画像から取り込む」、「テキストから追加」）、「会う前のポイント」、QR の共有と読み取り、サポートへの報告、ギフトコードにはログインが必要です。
• ログイン、クラウドバックアップのオン、クイック追加や「会う前のポイント」の使用、サーバーの中継による QR 共有、サポートへの問い合わせ、ウィッシュプールの利用、ギフトコードの引き換え、または Plus の購読を行った場合にのみ、該当するデータが第3項に記載のサービスに送信されます。
• 写真、録音、プロフィール画像は端末上のファイルです。ログインしてクラウドバックアップをオンにした場合にのみ、端末上で圧縮・暗号化したうえでクラウドにバックアップされます。各プランのバックアップ容量と1ファイルあたりのサイズ上限はアプリ内の表示に従い、変更される場合があります。使用量は「設定 → クラウドバックアップ」で確認できます。上限を超えるファイルは元の端末にのみ残ります。バックアップされていないファイルは、機種変更やアプリのアンインストールの際に失われます。
• リマインダー通知は端末上でスケジュールされ、内容がサーバーに送信されることはありません。
• 自分の AI キー（任意、Plus のみ。この機能の提供開始後にアプリに表示されます）：入力した Claude、ChatGPT または Gemini のキーは、この端末の安全な保存領域にのみ保存されます。当方のサーバーにアップロードされることはなく、クラウドバックアップやエクスポートファイルにも含まれません。機種変更の際は再度入力する必要があります。ログアウトしてもキーは削除されませんが、「この端末のデータを消去」またはアカウントの削除を行うと、あわせて削除されます。

3. 当方のサーバーで取り扱うデータ

• アカウント情報：Google、Apple、LINE またはメールアドレスでログインした場合（利用できるログイン方法はプラットフォームとバージョンによって異なります）に Clerk が処理する、アカウント識別子、氏名、メールアドレス、ログイン履歴。Apple でログインしてメールアドレスを非公開にした場合、当方が受け取るのは Apple が提供する転送用アドレスのみです。
• 利用記録：ログイン後、アプリを開くたびに記録されるプラットフォーム、アプリのバージョン、通知の許可状態、および初回と直近の起動日時。
• クラウドバックアップ（任意）：端末上でエンドツーエンド暗号化されたバックアップファイル（上限内の暗号化された写真と録音ファイルを含みます）と、ロック解除に必要な暗号化パラメータ（パスワードや復元コードは含みません）。詳しくは第5項をご覧ください。
• プッシュ通知：リマインダーや通知を送るため、端末のプッシュトークン、プラットフォーム、デバイス識別子、システムの通知許可のオン／オフの状態、およびお知らせとキャンペーンの受信に同意したかどうかを保存します。ミッションやボーナスのリマインダーを送る際は、重複送信を防ぐため、送信済みのリマインダー（アカウント、リマインダーの種類、送信日時。通知の本文は含みません）を記録します。
• QR 共有の中継：データ量の多い連絡先の QR 共有では、暗号化した内容をサーバーに最大5分間一時保存し、相手が1回受け取るとただちに消去します。名前とメールアドレスだけを共有する「自分の QR」は中継を経由しません。詳しくは第8項をご覧ください。
• 「画像から取り込む」：選んだ画像はその1回の読み取りでのみ処理し、処理後に破棄します。画像や読み取り結果をデータベース、ストレージ、ログに書き込むことはなく、記録するのは画像の枚数、読み取った人数、利用量の数値、エラーコードのみです。詳しくは第7項をご覧ください。
• ウィッシュプール：投稿した要望（内容、カテゴリ）と投票。これらはアカウントにひも付けられ、Relo チームが閲覧できます。
• サポート：報告の内容、返信、添付した画像（1件の報告につき1枚。端末上で縮小・圧縮したうえで非公開のストレージに保存され、ご本人と権限を持つサポート担当者だけが、短時間のみ有効なリンクから開けます。個人情報が写り込まないようご注意ください）。報告が解決済みになってから7日後に、添付画像は自動的に削除されます（報告を再開すると削除は取り消されます）。報告の本文と返信は、アカウントを削除するまで保持します。新しい報告があると、システムが Telegram で運営者に通知します。通知には、報告の識別番号、短縮したユーザー識別子、報告内容の最初の40文字が含まれます。報告を作成すると、アプリが次の診断情報を自動的に添付します：サポート ID（アカウント ID ではありません）、アプリとアップデートのバージョン、OS のバージョンと機種、通知の許可状態、プラン、クラウドバックアップの状態、アプリの言語、フォームを開いた画面またはエラーコード。氏名、メモ、パスワード、バックアップパスワード、復元コードは添付されません。
• 特典とサブスクリプション：引き換えたギフトコードとその内容（例：Plus の日数や AI の追加利用回数）、特典の有効期限、Plus のサブスクリプションのプラン、ストア、状態、購入日時と有効期限（RevenueCat から通知されます。第11項参照）、およびクイック追加と「会う前のポイント」の毎月の利用回数（回数または枚数のみで、内容は含みません）。当方がクレジットカードや金融口座の情報を取得することはありません。
• 友だちの招待：招待コードを使ったり、他の人を招待したりすると、招待関係（誰が誰を招待したか、日時、ボーナス回数を付与済みかどうか）を記録します。重複受け取りを防ぐため、デバイス識別子と正規化したメールアドレスの一方向ハッシュ値（元のメールアドレスやデバイス識別子に戻すことはできません）を保存します。アカウントを削除すると招待記録もあわせて削除されます。ハッシュ値はアカウント情報を含まず、最長2年間保持した後に削除します。
• Web からの削除申請：公式サイトで入力したメールアドレスと備考。
• 管理画面のログイン記録：公式サイトの管理画面へのログインが試みられた際、不正なログインを防ぐため、IP アドレスと日時を記録します。
• 使用状況分析（オフにできます）：第6項をご覧ください。

4. 当方が収集しないデータ

• 音声の内容：Relo が録音を音声認識に送ったり、AI に渡したりすることはありません。
• 生体情報：Face ID / Touch ID / 指紋認証はすべて端末内で実行され、Relo が生体認証データを読み取ったり保存したりすることは一切ありません。
• 端末の連絡先：Relo が端末に標準搭載されている連絡先（アドレス帳）を読み取ることはありません。
• 自分の AI キーとそれを通じて送信される内容：自分のキーを使う場合、Relo がそのキーを受け取ることはなく、その AI サービスに送った内容やその回答を取り扱うこともありません。
• 位置情報：当方は位置情報を追跡しません。やり取り記録に場所を入力した場合、その場所はその記録とともに端末内（およびオンにしたクラウドバックアップ内）にのみ保存されます。
• 広告とトラッキング：IDFA、GAID などの広告識別子は一切収集せず、広告も表示しません。また、他のアプリやウェブサイトをまたいで追跡することもありません。

5. データの安全性とエンドツーエンド暗号化バックアップ

• アプリとサーバー間の通信はすべて TLS で暗号化されます。データベースには行レベルセキュリティ（RLS）を適用しており、各ユーザーは自分のデータにのみアクセスできます。
• クラウドバックアップは無料で、端末上でランダムに生成した鍵で暗号化してからアップロードします。この鍵は、設定したバックアップパスワードと復元コードで保護されます。Relo はバックアップパスワード、復元コード、復号鍵を取得できないため、バックアップの内容を見ることはできません。バックアップ内の写真と録音も、端末上で圧縮・暗号化してからアップロードします。
• バックアップパスワードと復元コードの両方を忘れた場合、Relo を含め誰もバックアップを復元できません。復元コードは大切に保管してください。
• 初期（旧形式）に作成されたクラウドバックアップは、アカウント ID から派生した鍵で暗号化されており、エンドツーエンド暗号化ではありません。アプリが新形式へのアップグレードをご案内します。アップグレードすると旧形式は置き換えられ、当方は旧形式のサポートを段階的に終了します。
• バックアップパスワードを設定しない限り、連絡先のデータは一切アップロードされません。
• 連絡先同士の関係、マイテンプレート、よく使う記念日名は、連絡先ややり取り記録と同様にエンドツーエンド暗号化されたクラウドバックアップに含まれ、当方が読み取ることはできません。自分の AI キーは端末の安全な保存領域に保存され、クラウドバックアップには含まれません。

6. 使用状況分析とエラーレポート

• アプリには製品の使用状況分析機能が組み込まれており、提供元は PostHog（米国）です。当方はリモートの切り替えにより収集を有効化または一時停止でき、有効になっていない間は分析データを一切送信しません。
• 収集中は、どの機能が使われているか、どこでつまずいているかを把握するため、アプリは利用イベント（例：どの画面を開いたか、新規登録やログイン、連絡先の追加、やり取りの記録、バックアップと同期の結果、AI 機能の使用、プランの閲覧と購入の結果、アプリの起動やバックグラウンドへの移行）と、アプリのバージョン、OS のバージョン、端末の機種、言語、タイムゾーンを送信します。あわせて、プラン、ゲストかどうか、およびアプリのロック、フローティングボタン、クラウドバックアップ、ホーム画面ウィジェットなどの設定がオンかどうかも送信します。数量は範囲でのみ表します。
• 連絡先の名前、電話番号、メールアドレス、メモ、やり取りの内容、場所、写真、録音などの連絡先の内容は送信しません。送信するのは、あらかじめ許可リストに登録したイベントと数量の範囲のみです。IP アドレスは保存せず、IP アドレスから所在地域を推定することもありません。
• AI 機能：「会う前のポイント」や「テキストから追加」などの AI 機能を使うと、その回の処理を Relo の AI と自分の AI キーのどちらで行ったか、キーが使えなかったために Relo の AI に切り替えたかどうか、および成功または失敗の種類を記録します。キー、モデル名、内容は一切含みません。「画像から取り込む」では、プレビュー画面で項目を修正したうえで「読み取りの改善に協力」をオンにした場合（初期設定はオフで、いつでもオフにできます）にのみ、「どの形式のどの項目が修正されたか」を報告します。画像、名前、電話番号、メールアドレスなどの内容は一切含みません。
• ログイン後、アプリは当方のサーバーから仮名 ID（サーバー側の鍵でアカウント ID をハッシュ化して生成するもので、元に戻すことはできません）を取得します。ログインしていない場合や、仮名 ID をまだ取得していない場合は、アプリがランダムに生成した匿名 ID のみを使用します。
• インストール経路（Android のみ）：初回起動時に、アプリは Google Play のインストール参照元情報から広告キャンペーンのパラメータ（utm_source、utm_medium、utm_campaign、utm_content）を読み取り、これらのパラメータのみを保持してイベントを1回送信します。ユーザーがどの経路で Relo を知ったかを把握するためです。
• 公式サイト（getrelo.app）：PostHog の Cookie を使わないモードを使用しており、Cookie やブラウザのストレージを使わず、閲覧者が誰であるかを識別することもありません。記録するのは、閲覧したページ、ダウンロードボタンと問い合わせボタンのクリック、URL に含まれる広告キャンペーンのパラメータ（utm_*）のみで、その他の URL パラメータは事前に削除します。画面の録画、クリックのヒートマップ、IP アドレスからの位置の推定は行わず、管理画面では読み込みません。ブラウザで「トラッキング拒否」（DNT）または「グローバル・プライバシー・コントロール」（GPC）が有効な場合、公式サイトは統計用のプログラムを読み込みません。
• データは1年間保存し、販売することも広告に利用することもありません。
• 初期設定はオンです。「設定 → プライバシーとセキュリティ → 使用状況分析とエラーレポート」からいつでもオフにでき、機能には一切影響しません。この設定は端末全体に適用され、ゲストモードでも有効です。
• エラーレポート：アプリでエラーが発生すると、個人を識別できないよう加工したエラー情報（エラーメッセージとプログラムの呼び出し履歴、アプリと OS のバージョン、機種）を送信します。これも PostHog が処理し、氏名、URL、デバイス名は削除済みです。エラーレポートは使用状況分析と同じスイッチで管理されます。独立した匿名の識別子を使用しており、アカウントや分析用の ID とはひも付かないため、アカウントの削除時に個別に特定して削除することはできません。保存期間（1年）の満了時に自動的に期限切れとなります。
• アカウントを削除すると、アカウントの仮名 ID で記録された PostHog 内の使用状況分析データを削除します。ランダムな匿名 ID で送信されたイベント（ログインしていない間、または仮名 ID をまだ取得していない間のもの）と上記のエラーレポートは、アカウントと対応付けられないため、アカウントとともには削除されず、保存期間（1年）の満了時に削除されます。

7. 名刺読み取り、「画像から取り込む」と AI 機能（Anthropic）

名刺読み取りにはログインが必要です。初めて使うときに、アプリが同意を求めます。名刺の写真は端末上で縮小・圧縮したうえで、当方のサーバーを経由して第三者の AI サービスである Anthropic（米国）に送られ、文字が読み取られます。読み取り結果は連絡先の項目を作成するためだけに使われ、Relo が写真や読み取り結果をサーバーに保存することはありません。「名刺の写真を保存」をオンにした場合、写真は端末内にのみ保存され、クラウドバックアップがオンのときは、ほかの写真と同様に端末上で暗号化してからバックアップされます。Anthropic の商用サービス利用規約により、API 経由で送信された内容は、初期設定ではモデルの学習に使用されません。取り扱いは Anthropic のポリシーに従います。名刺に記載されているのは他の人の個人情報ですので、保存する正当な理由がある名刺のみを読み取ってください。読み取りは1回ごとにクイック追加の毎月の回数に含まれ、失敗した場合は回数に含まれません。同意は「設定 → プライバシーとセキュリティ → AI による名刺・スクショの読み取りを許可」からいつでも撤回できます。 「画像から取り込む」にはログインが必要で、名刺読み取りと同じ同意設定を使います。初めて使うときにアプリが同意を求め、その後は「設定 → プライバシーとセキュリティ → AI による名刺・スクショの読み取りを許可」から撤回できます。選んだ画像は端末上で縮小・圧縮したうえで、当方のサーバーを経由して Anthropic（米国）に送られ、画像内の名刺、展示会の来場バッジ、LINE や Instagram のプロフィール情報が読み取られます。読み取り結果は、1件ずつ確認していただく連絡先の項目を作成するためだけに使われます。画像と読み取った内容はその1回のリクエストにのみ使用し、処理後に破棄します。Relo は画像や読み取り結果をサーバーに保存せず、データベース、ストレージ、ログにも書き込みません。端末上の一時ファイルも、処理後に削除します。アプリに保存されるのは、プレビュー画面で確認して作成した連絡先のデータのみです。「名刺の写真を保存」をオンにした場合、名刺の写真は端末内にのみ保存されます。画像1枚につきクイック追加1回として数え、読み取りに失敗した場合は回数に含まれません。画像には多くの場合、他の人の個人情報が含まれていますので、保存する正当な理由がある内容のみを取り込んでください。 「会う前のポイント」（AI がまとめるポイントと要約）にもログインが必要で、初めて使うときに同様に同意を求めます。連絡先ページの「会う前のポイント」をタップした場合にのみ、アプリはその連絡先のメモ、最近のやり取り記録、会社と役職、知り合ったきっかけ、タグ、カスタムフィールド、近日中の大切な日（名前、電話番号、メールアドレス、住所、リンクは含みません。テキスト内の電話番号、メールアドレス、URL は事前に伏せ字にします。やり取りに登場する他の人は人数のみを数え、名前は送信しません）を当方のサーバー経由で Anthropic に送り、作成されたポイントを端末に返します。Relo は送信した内容や作成された結果を保存せず、サーバーには利用回数のみを記録します。「設定 → プライバシーとセキュリティ → AI による会う前のポイントの作成を許可」からいつでもオフにできます。 「テキストから追加」（AI）にもログインが必要で、初めて使うときに同様に同意を求めます。テキスト（例：LINE のトーク履歴）を貼り付けるか共有して「整理する」をタップした場合にのみ、アプリはまず端末上で、テキスト内の電話番号、メールアドレス、URL、LINE ID、Instagram のアカウントを仮の記号に置き換え、残りのテキストを当方のサーバー経由で Anthropic に送り、テキストに登場する人物を見つけます。実際の連絡先情報は送信されず、端末上で元の内容に戻して入力されます。残りのテキストには他の人の名前や会話の内容が含まれる場合がありますので、保存する正当な理由がある内容のみを整理してください。テキストはその1回の処理にのみ使用し、Relo が保存することはありません。サーバーには利用回数のみを記録し、1回ごとにクイック追加の毎月の回数に含まれます。 自分の AI キー（任意、Plus のみ。この機能の提供開始後にアプリに表示されます）：設定で、ご自身の Claude（Anthropic）、ChatGPT（OpenAI）または Gemini（Google）のキーを入力できます。使用時には、「会う前のポイント」と「テキストから追加」に必要な内容（上記の連絡先データ、または貼り付けたテキスト）が、Relo のサーバーを経由せず、端末から選択した AI サービスに直接送信されます。送信前に、電話番号、メールアドレス、リンク、LINE と Instagram のアカウントは端末上で仮の記号に置き換えられます。これらの内容の処理には当該サービスの利用規約とプライバシーポリシーが適用され、Relo はその処理の当事者ではなく、キーやこれらの内容を受け取ることも保存することもありません。費用はご自身の AI アカウントに請求されます。キーが使えない場合（例：キーが無効、残高不足、サービスの障害）、アプリは Relo の AI に切り替えて Relo の利用回数を1回消費し、その回の内容は本項で前述したとおり、当方のサーバー経由で Anthropic に送られます。名刺読み取りと「画像から取り込む」ではキーを使用しません。「設定 → プライバシーとセキュリティ → 自分の AI アカウントを使う」から、いつでもキーを削除したり、この機能をオフにしたりできます。 利用回数：名刺読み取り、「画像から取り込む」（画像1枚につき1回）、「テキストから追加」をあわせて「クイック追加」と呼び、毎月の回数を共有します。「会う前のポイント」には別途、毎月の回数があります。各プランの回数はアプリ内の表示に従い、変更される場合があります。ギフトコードの引き換えで追加の回数を得られる場合があり、失敗した場合は回数に含まれません。 Anthropic のプライバシーポリシー：anthropic.com/legal/privacy

8. QR code の共有

QR code の共有と読み取りには、どちらもログインが必要です。暗号化された QR code で、選んだ項目を共有できます。内容が少ない場合、データはすべて QR code に収まり、2台の端末上で直接暗号化・復号され、サーバーを経由しません。内容が多い場合、アプリは端末上で暗号化したうえで、暗号文を当方のサーバーに一時保存します。保存は最大5分間で、受け取りは1回のみ、受け取り後ただちに消去します。復号鍵は QR code の中にしかないため、サーバーが内容を読み取ることはできません。信頼できる相手とのみ共有してください。 QR code と共有リンクの形式は getrelo.app/q/… で、共有するデータ（または暗号文）はリンクの # 以降の部分に含まれます。ブラウザはこの部分をサーバーに送信しないため、リンクを開いても、これらのデータが当方のサーバーに送られることはありません。 「自分の QR」は「マイ名刺」を共有するためのもので、共有する項目を1つずつ選べます（表示名は必ず含まれます）： • 表示名とメールアドレスのみを共有する場合：パスワードは不要で、有効期限もなく、中継も経由しません。この QR またはリンクを入手した人は誰でも、この2項目を見ることができます。 • 電話番号、SNS、会社、自己紹介などその他の項目を選んだ場合：ワンタイムパスワード（6〜12文字）をご自身で設定し、相手に直接伝えていただく必要があります。内容は端末上でこのパスワードを使って暗号化され、QR は5分後に無効になります。パスワードが当方のサーバーに送信されることはありません。内容が多く QR に収まらない場合は、前述と同様に、暗号文としてサーバーで中継されます。 「自分の QR」は信頼できる人にのみ渡してください。

9. プッシュ通知と端末の権限

• リマインダー通知（誕生日、記念日、やり取りのリマインダー）は、端末上でローカルにスケジュールされます。
• お知らせとキャンペーンのプッシュ通知は、明示的に同意した場合にのみ送信します。「設定 → 通知 → お知らせとキャンペーン」からいつでもオフにできます。
• サポートからの返信通知：報告に返信する際、同じプッシュトークンを使って「サポートから返信がありました」という通知を送ります。これはサービスに関する通知のため別途の同意は不要ですが、端末のシステム設定で通知がオフになっている場合は送信されません。
• リモートのプッシュ通知は Expo Push Notification Service を経由し、Apple（APNs）または Google（FCM）を通じて配信されます。プッシュトークンは Supabase に保存され、リマインダーと通知の送信にのみ使用します。
• フローティングボタン（Android のみ、任意）：システム設定で「他のアプリの上に重ねて表示」を許可していただく必要があります。誰かに連絡した後にやり取りをすばやく記録するためのボタンにすぎず、他のアプリの画面や内容を読み取ることはありません。通話の終了はシステムの音声モードから判断するため、通話状態や通話内容を読み取る権限は必要ありません。アプリのロックがオンのとき、フローティングボタンには名前が表示されません。
• アプリのロックとスクリーンショットの禁止：アプリのロックは端末の生体認証（Face ID / Touch ID / 指紋）を使用し、認証は端末内で完結します。「スクリーンショットを禁止」（Android）をオンにすると、Relo の画面はスクリーンショットも録画もできなくなります。どちらもこの端末にのみ保存される設定です。アプリのロックがオンのとき、通知とホーム画面ウィジェットには名前が表示されません。
• カメラとマイク：名刺や QR のスキャン、写真の撮影、録音を行うときにのみ使用します。ホーム画面ウィジェット（Android）は、近日中の大切な日を端末上で表示するもので、内容がサーバーに送信されることはありません。

10. フローティングボタン（Android）

• 用途：Android で Relo から電話をかけたり LINE などを開いたりして連絡した後、通話が終了したとき（30秒以上の通話）またはチャットを離れて10秒たったときに、画面の端に小さなフローティングボタンが表示され、タップするだけでその場でやり取りを記録できます。「常に表示」を選ぶと、Relo を離れている間ずっと表示させることもできます。Relo に戻ると自動的に隠れ、20分間操作がない場合も隠れます。
• 必要な権限：「他のアプリの上に重ねて表示」（SYSTEM_ALERT_WINDOW）は、他のアプリの上にフローティングボタンを表示するためのもので、システム設定でご自身で許可していただく必要があります。また、Relo がバックグラウンドにあるときにフローティングボタンを維持するため、フォアグラウンドサービス（特殊用途タイプ）を使用します。これはフローティングボタンの表示中または待機中にのみ起動し、ステータスバーに優先度が最も低い常駐通知を1件表示します。Relo は、ユーザー補助サービス、使用状況へのアクセス、通話履歴、電話の状態、連絡先の権限を使用しません。
• 読み取るデータ：「通話がいつ終わったか」を判断するため、Relo が読み取るのはシステムの音声モード（通話中かどうか、およびおおよその通話時間）のみです。電話番号、通話内容、通話履歴、他のアプリの画面や内容は読み取りません。「直前に誰に連絡したか」は、Relo 内で行った連絡操作に基づくもので、他のアプリから検出するものではありません。フローティングボタンが録音することはありません。
• データの保存先：フローティングボタンの位置と、フローティングボタンのカードで「保存」を押したやり取り（連絡先の識別子、種類、最大200文字のひとこと）は、端末上のアプリ専用の保存領域に一時保存され、次に Relo に戻ったときに通常のやり取り記録に変換された後、消去されます。これらのデータがフローティングボタン自体によってサーバーにアップロードされることはありません。やり取り記録に変換された後は、Relo 内で追加したやり取りと同様に、初期設定では端末内にのみ保存され、クラウドバックアップをオンにした場合にのみエンドツーエンド暗号化でバックアップされます。
• 使用状況分析：やり取りが記録に変換されるときは、通常のやり取りの記録と同様に、第6項に基づいて個人を識別できない形のイベント（種類と数量の範囲のみで、名前や内容は含みません）が生成されます。使用状況分析は設定でオフにできます。
• プライバシー保護：アプリのロックまたはプライバシーモードがオンのとき、フローティングボタンとその通知には名前や内容が表示されず、カードには「Relo を開いて記録」のみが表示されます。
• オフにする方法：「設定 → 通知 → フローティングボタン」で「連絡後に表示」と「常に表示」をオフにできます。フローティングボタンを画面下部の ✕ までドラッグして閉じるか、システム設定で Relo の「他のアプリの上に重ねて表示」の権限を取り消すこともできます。この権限がない場合、Relo はフローティングボタンを表示せず、連絡後に通知で記録をお知らせするだけです。

11. お支払いとサブスクリプション

• Relo の主要機能は無料で、お支払い情報は不要です。現在の Free プランには、連絡先の数などの上限はありません。クイック追加と「会う前のポイント」には毎月の回数上限があり、関係グラフの「2 階層」表示は Plus の機能です。アプリで音声録音の添付が提供される場合、その利用範囲もプランによって異なります。各プランの機能、回数、容量はアプリ内の表示に従い、変更される場合があります。
• Plus は任意の有料サブスクリプション（月額または年額、自動更新）で、ログインが必要です。iOS では Apple App Store、Android では Google Play で購入でき、支払いは Apple または Google が処理します。Relo がクレジットカードや支払い情報を見たり保存したりすることはありません。
• 自動更新：現在の期間が終了する24時間以上前に解約しない限り、サブスクリプションは自動的に更新され、Apple ID または Google Play アカウントに請求されます。解約と返金は各ストアの規定に従います。詳しくは利用規約第6条から第8条をご覧ください。
• サブスクリプションは RevenueCat（米国）が管理します。アプリはアカウント ID で RevenueCat に対してユーザーを識別し、氏名やメールアドレスは送信しません。RevenueCat は Apple または Google Play から購入情報（例：商品、購入日時と有効期限、更新または解約の状態、取引番号、価格と通貨）を取得し、当方のサーバーに通知します。当方はこれらのサブスクリプションイベント（含まれる可能性のある氏名、メールアドレスなどの個人の属性は削除済み）と、それをもとに整理したプラン、状態、有効期限を保存し、利用できる機能の判定に使用します。
• ギフトコード（Android のみ）：ログイン後にアプリ内で引き換えることができ、Plus の日数や AI の追加利用回数が付与される場合があります。引き換え記録はアカウントにひも付けられます。ギフトコードによる Plus の期間は期限が来ると自動的に終了し、自動的に請求されることはありません。
• プランと価格は、App Store / Google Play のストアページおよびアプリ内の表示に従います。

12. 第三者サービス

• Clerk（アカウントのログイン、認証コードの送信、米国）— clerk.com/legal/privacy
• Google、Apple、LINE（それぞれのアカウントでログインした場合のみ）
• Supabase（データベース、ファイルストレージ、サーバー関数、日本・東京）— supabase.com/privacy
• Expo Push Notification Service（プッシュ通知の中継、米国）— expo.dev/privacy；Apple APNs、Google FCM（プッシュ通知の配信）
• PostHog（使用状況分析とエラーレポート、米国、オフにできます）— posthog.com/privacy
• Anthropic（クイック追加：名刺読み取り、画像から取り込む、テキストから追加；会う前のポイント；同意して使用した場合のみ、米国）— anthropic.com/legal/privacy
• ご自身で選んだ AI サービス（自分のキーを入力して使用した場合のみ。データは端末から直接送信され、各サービスの利用規約とプライバシーポリシーが適用されます）：Anthropic（Claude、米国）— anthropic.com/legal/privacy；OpenAI（ChatGPT、米国）— openai.com/policies/privacy-policy；Google（Gemini）— policies.google.com/privacy
• Vercel（公式サイトと Web からの削除申請、米国）— vercel.com/legal/privacy-policy
• ImprovMX（サポート用メールの転送）— improvmx.com/privacy
• RevenueCat（サブスクリプション管理、米国）— revenuecat.com/privacy
• Telegram（新しいサポート報告の運営者への通知。内容は第3項を参照）— telegram.org/privacy
• Apple App Store / Google Play（アプリの配信、サブスクリプション、支払い）
• 上記の各サービスには、それぞれのプライバシーポリシーがあります。当方が個人情報を販売することはありません。

13. データに関する権利

• データのコピー（データポータビリティ）：support@getrelo.app へのメール、または「設定 → ヘルプと報告」からご請求いただければ、7日以内に無料でお渡しします。JSON には連絡先、やり取り記録、連絡先同士の関係が含まれ、CSV には連絡先のみが含まれます。写真と録音は含まれません。
• アプリ内でのアカウント削除：「設定 → アカウント → アカウントを削除」（ページの一番下）。サーバー上のアカウントデータ（クラウドバックアップの写真と録音を含みます）はただちに削除され、この端末上の Relo のデータもあわせて消去されます。例外については第14項をご覧ください。
• Web からのアカウント削除：アプリを使用できない場合は、getrelo.app/ja/account-deletion から申請できます。30日以内に削除を完了します。
• Apple でログインした場合：iPhone の「設定 › Apple ID › Apple でサインイン」から、Relo による Apple ID の使用を停止することもできます。
• 閲覧と訂正：アプリ内で直接編集できます。また、「設定 → ヘルプと報告」または support@getrelo.app から、当方が保有する個人情報の開示を請求できます。
• 同意の撤回：名刺読み取り（「画像から取り込む」を含みます）、「会う前のポイント」、「読み取りの改善に協力」、お知らせとキャンペーンのプッシュ通知、使用状況分析（エラーレポートを含みます）はいつでもオフにでき、自分の AI キーもいつでも削除できます。
• 台湾の「個人資料保護法」に基づく権利を行使できます。アプリ内の「設定 → ヘルプと報告」からご請求ください。30日以内に回答します。
• EU、英国、または同様の権利が認められているその他の地域にいらっしゃる場合は、処理の制限や処理への異議（第18項に記載の正当な利益に基づく処理への異議を含みます）、データポータビリティに対応した形式でのコピーの取得を請求できるほか、居住地、勤務地、または権利が侵害されたと考える地のデータ保護監督機関に苦情を申し立てることができます。ご請求を受け取ってから1か月以内に回答します。

14. データの保存期間

• アカウント、利用記録、クラウドバックアップ（写真と録音を含みます）、特典、ウィッシュプール、サポートのデータ：アカウントを削除するまで保持します。アプリ内で要望を削除しても、ご本人に対して非表示になるだけで、チームは引き続き閲覧できます。アカウントを削除した時点で完全に削除されます。
• プッシュトークン：端末が90日を超えてトークンを更新していない場合（例：Relo を使わなくなった場合）に自動的に削除します。アカウントの削除時にもあわせて削除します。
• リマインダーのプッシュ通知の送信記録：120日後に自動的に削除します。
• サブスクリプションの通知イベント（RevenueCat から送られる元のイベント）：90日後に自動的に削除します。それをもとに整理したプラン、状態、有効期限は、アカウントを削除するまで保持します。
• QR 中継の暗号文：最大5分間保持し、受け取られた時点でただちに消去します。
• サポートの添付画像：報告が解決済みになってから7日後に自動的に削除します。アカウントを削除した場合はただちに削除します。
• 使用状況分析：1年間。アカウントの仮名 ID で記録された分は、アカウントの削除時にあわせて削除します。エラーレポート：1年間で、期間の満了時に自動的に削除します（第6項参照）。
• 招待記録：アカウントの削除時にあわせて削除します。重複受け取りを防ぐための一方向ハッシュ値は、最長2年間保持します。
• 名刺読み取り、「画像から取り込む」、「テキストから追加」、「会う前のポイント」で送信した内容とその結果：処理後に破棄し、保存しません。
• クイック追加と「会う前のポイント」の利用回数の記録（アカウントの識別子、課金期間、回数のみで、内容は一切含みません）：直近13課金期間分を保持し、それより古いものは自動的に削除します。アカウントの削除時にもあわせて削除します。
• ギフトコードで得た AI の利用回数と引き換え記録：アカウントを削除するまで保持し、アカウントの削除時にあわせて削除します。
• ヘルプセンターの記事に対する「役に立ちましたか？」のフィードバック：最後に回答してから1年後に自動的に削除し、票数だけを記事の匿名の集計に残します。アカウントの削除時にもあわせて削除します。
• 連絡先同士の関係：連絡先を完全に削除すると、あわせて削除されます。端末上の自分の AI キー：キーを削除したとき、この端末のデータを消去したとき、またはアカウントを削除したときに削除されます。当方のサーバーにキーが保存されることはありません。
• Web からの削除申請：申請の処理が完了すると、申請記録内のメールアドレスを元のアドレスに戻せない符号に置き換えます。申請記録（備考を含みます）は、処理の完了から1年後に削除します。
• 管理画面のログイン記録：30日後に自動的に削除します。
• サーバーのシステムバックアップとログ：削除済みのデータがシステムバックアップに残る場合がありますが、30日以内に自動的にローテーションされて削除されます。
• 支払いと購入の記録は、Apple／Google がそれぞれのポリシーに従って保存しており、Relo が削除することはできません。アカウントを削除すると RevenueCat 上のサブスクライバー記録もあわせて削除されますが、サブスクリプションが自動的に解約されることはありません。先に App Store または Google Play で解約してください。
• 端末に保存されたデータはご自身で管理していただくもので、アプリをアンインストールすると削除されます。

15. 保存している他の人のデータ

Relo に記録する連絡先、名刺、やり取りの多くは、他の人の個人情報です。これらのデータは、初期設定では端末内にのみ保存されるか、エンドツーエンド暗号化された状態でバックアップされ、Relo が読み取ることはできません。名刺読み取り（名刺の写真は読み取りのため Anthropic に送られます）、「画像から取り込む」（選んだ画像は読み取りのため Anthropic に送られます）、「会う前のポイント」（メモ、やり取り記録などの連絡先データは整理のため Anthropic に送られます）、「テキストから追加」（貼り付けたテキストは整理のため Anthropic に送られます）、または QR 中継を使用した場合、関連する内容は第7項と第8項のとおりに取り扱われます。自分の AI キーを使用した場合、送信した内容はご本人と選択した AI サービスとの間で取り扱われます。Relo を仕事（例：営業活動）に使用する場合、これらのデータの収集と利用が個人情報保護に関する法令に適合していることを、ご自身で確認する必要があります。記録している相手から、その人のデータの削除を求められた場合は、アプリ内で直接削除してください。

16. 未成年者

本サービスは13歳以上の方を対象としており、13歳未満の子どもを対象としていません。現地の法律でより高い年齢が定められている場合（例：一部の EU 加盟国では16歳）、その年齢に達していない方は、法定代理人の同意がなければアカウントを作成できません。18歳未満の方は、法定代理人の同意を得たうえでご利用ください。また、法定代理人は本サービスの利用規約とプライバシーポリシーを読み、同意している必要があります。Plus のサブスクリプションなどの有料項目は、法定代理人の同意を得るか、法定代理人が代わりに購入する必要があります。当方が13歳未満の子どもの個人情報を意図的に収集することはありません。アカウントを使用しない場合（ゲストモード）、データは端末内にのみ保存されます。13歳未満の子どもがアカウントを作成したことに気づいた場合、または法定代理人として未成年者のアカウントとクラウドのデータの削除を希望される場合は、support@getrelo.app までメールでご連絡ください。確認後、第13項に従って削除します。未成年のユーザーが他の人（例：クラスメイトや友人）のデータを記録する場合も、第15項が同様に適用されます。

17. 国境を越えるデータの移転

当方の主要なデータベースは日本の東京（Supabase）にあります。ログイン、プッシュ通知の中継、使用状況分析、名刺読み取りと AI 機能、公式サイト、サブスクリプション管理のサービス提供者は米国にあります（Clerk、Expo、PostHog、Anthropic、Vercel、RevenueCat）。新しいサポート報告の通知は Telegram 経由で送られ、購入とプッシュ通知の配信は Apple と Google を経由します。関連する機能を使用すると、データはこれらの地域に移転されて処理され、第5項の安全対策によって保護されます。自分の AI キーを使用する場合、データは端末から、選択した AI サービスの処理地域に直接移転されます。Anthropic と OpenAI は米国およびその他の国で、Google は施設を置くいずれの国でも処理を行う可能性があり、詳細は各サービスのポリシーに従います。 EU、英国、スイスのユーザーの方へ：日本は EU から十分な保護水準を確保していると認定されています。米国などその他の地域への移転にあたっては、各サービス提供者が提供する移転の仕組み、たとえばデータ処理条項に含まれる EU の標準契約条項（SCC）や、サービス提供者が参加している EU・米国データプライバシーフレームワーク（DPF）に基づいてデータを保護します。Apple と Google が購入とプッシュ通知の配信を処理する際は、それぞれのプライバシーポリシーが適用されます。これらの仕組みについて詳しくお知りになりたい場合は、support@getrelo.app までメールでお問い合わせください。

18. データ処理の法的根拠（EU および英国）

• 契約の履行（ご依頼いただいたサービスの提供）：アカウントとログイン、クラウドバックアップと同期、QR 共有の中継、サポートへの報告と「サポートから返信がありました」の通知、Plus のサブスクリプション、特典とギフトコード、Web からの削除申請。アカウント情報を提供いただけない場合、ログインが必要な機能は使用できませんが、その他の機能はゲストとして引き続き使用できます。
• 同意：名刺読み取り、「画像から取り込む」、「テキストから追加」、「会う前のポイント」、お知らせとキャンペーンのプッシュ通知、および「読み取りの改善に協力」。設定からいつでも撤回でき（第13項参照）、撤回前に行われた処理の適法性には影響しません。
• 正当な利益：安全の確保と不正利用の防止（例：行レベルセキュリティ、利用回数の記録、招待特典の重複受け取りの防止）、エラーレポート、および機能の利用状況を把握するための使用状況分析と利用記録。分析とエラーレポートは設定からいつでもオフにでき、第13項に従って異議を申し立てることもできます。
• 法的義務：データに関する権利の請求への対応とその記録の保存、および法令に基づく監督機関への対応。
• 当方は、ユーザーのデータに基づいて、ユーザーに法的効果またはそれと同様の重大な影響を及ぼす自動化された意思決定を行いません。

19. ポリシーの変更

当方は、本プライバシーポリシーを随時更新することがあります。重要な変更（例：収集するデータの種類の追加、データの利用目的の変更）がある場合は、アプリ内のお知らせでお伝えします。軽微な調整（例：文言の修正）は本ページを直接更新し、「最終更新日」を更新します。

20. お問い合わせ

プライバシーに関するご質問やデータに関するご請求は、アプリ内の「設定 → ヘルプと報告」または support@getrelo.app までご連絡ください。 アカウントの削除：アプリ内の「設定 → アカウント → アカウントを削除」、または本サイトのアカウント削除申請ページ（getrelo.app/ja/account-deletion）から行えます。