注: 本ドキュメントは草稿です。最終版は弁護士レビュー後に確定します。アプリ正式リリース前に再公開予定です。
1. はじめに
Aragu Studio(以下、「当方」)は、Akari(以下、「本アプリ」)を提供しています。本ポリシーは、本アプリで収集する情報、利用目的、第三者提供、利用者の権利について説明します。
本アプリは緊急救助サービスではありません。詳細は利用規約参照。
2. 当方(個人情報取扱事業者)の情報
- 屋号: Aragu Studio
- 形態: 個人事業主(日本)
- 連絡先: [email protected]
- 所在国: 日本
- データ保護担当者(DPO): [email protected]
- 適用法: 個人情報保護法(日本)、必要に応じて GDPR(EU)、UK GDPR、COPPA(米、13歳未満)
3. 収集する情報と適法性の根拠(GDPR Article 6)
| カテゴリ | データ | 利用目的 | 適法性の根拠 |
|---|---|---|---|
| アカウント | メール、表示名、言語、年齢確認状態(18+) | 認証、契約履行のための本人確認 | (b) 契約履行 |
| 位置情報 | GPS 緯度経度(取得した最大精度)、精度、ネットワーク種別。本アプリは原則として常に最大精度で位置情報を取得・保存します(本人の事後参照、および第5節に定める緊急時開示のため)。平常時は合図の送信時に単発で取得し、異常時は連続的にバックグラウンドで位置を取得します(第5.6節)。 | 本人による事後参照(常に正確)、見守り側への開示(平常時は本人が選んだ粒度に従い、異常時は正確な位置)、異常へ移行したときの安否確認、異常時の経路追跡 | (a) 同意 + (d) 重大な利益(緊急時) |
| 端末の移動手段推定ラベル (2026-06-28 廃止) | このカテゴリの収集は 2026-06-28 の更新で廃止しました。以降、移動手段推定ラベルは一切収集・保存しません(サーバ側で受信時に NULL 強制)。過去に保存された残存ラベルは retention(30日)経過で削除されます。 (廃止前の内容: 端末の Activity Recognition API が端末側で推定した「歩行 / 自転車 / 自動車 / 静止 / 判定不能」のラベル等。原センサーデータはアプリもサーバも受け取っていませんでした。) | —(収集停止) | — |
| デバイス・トリガー | デバイス識別子、push token、platform、battery、unlock/charger 等のイベント時刻 | 合図途絶検知、push 通知 | (b) 契約履行 |
| 連絡先設定 | Email、Telegram chat ID 等 | 通知配信。連絡先を設定していない場合、見守り通知(途絶・緊急・回復)はアカウント登録 email へ配信します(通知設定からいつでも停止できます) | (a) 同意(連絡先設定時) / (b) 契約履行(アカウント email への既定配信) |
| Watch Group | グループ名、招待 token、所属、role | グループ機能 | (b) 契約履行 |
| Family Playbook | 旅程、緊急連絡先 等 | 緊急対応 | (a) 同意 |
| 同意ログ | 同意・撤回・block の event log | 悪用防止・法的紛争への備え | (f) 正当な利益 |
| エラーログ(Sentry) | スタックトレース、リクエスト ID | 障害対応、セキュリティ | (f) 正当な利益 |
「端末の移動手段推定ラベル」の廃止について: このカテゴリの収集は 2026-06-28 の更新で廃止しました。見守り側への安否確認価値に寄与しないため、移動手段推定ラベルは以降一切収集・保存しません。activity_label / activity_confidence_level / activity_confidence_source / activity_observed_at の各列はデータベース上に残存しますが、古い端末ソフトウェアが送信した場合もサーバ側で受信時に NULL へ強制され、新たな値が書き込まれることはありません。過去に保存された残存ラベルは retention(30日)経過で削除されます。
利用者は同意ベース(a)のデータについて、いつでも同意を撤回できます(設定画面 or [email protected] 宛)。撤回前の処理の合法性には影響しません(GDPR Art. 7(3))。
「正当な利益」(f)に該当するデータには、利用者の異議権(GDPR Art. 21)が認められます。
4. 利用目的の明確化
- 利用者(ご本人)が指定した期間以上、端末から合図が届かない場合に、ご本人があらかじめ承認した家族・友人(見守り側)に通知すること
- 見守り側がご本人の状態を、状況に応じて段階開示で確認できるようにすること
- 本アプリの動作改善・障害対応・セキュリティ防御
- 法令遵守(同意ログの保存)
5. 位置情報の段階開示
5.1 保存と表示の分離(常時収集モデル)
Akari は「保存」と「見守り側への表示」を独立に扱います。 本アプリは原則として常に最大精度の位置情報を取得・保存します。 これは本人が後から「いつどこにいたか」を正確に確認できるようにするため、 そして第5.3節で定める 緊急時開示 を技術的に成り立たせるため、 の2点が目的です。
平常時に見守り側が見られる粒度は、ご本人が事前に設定した 平常時の粒度設定 によって決まります(異常時は §5.2 のとおり正確な位置が開示されます)。 この設定は「保存される位置情報そのもの」ではなく「見守り側への表示」を制御します。
| ご本人の平常時の設定 | DB 保存 | 見守り側への通常表示 | 異常時の表示 |
|---|---|---|---|
| 市 | 緯度経度フル精度 | 市レベル | 記録されているそのままの正確な位置(§5.2)。平常時の設定がどれであっても、異常時には正確な位置が開示されます。位置を含まない「価値の床」も別途 見守り側に届きます。 |
| 国 | 緯度経度フル精度 | 国レベルのみ | |
| 表示しない | 緯度経度フル精度(平常時は 見守り側に非表示) | 位置情報非開示 |
5.2 状態に応じた表示(平常時の粒度選択 / ご本人主権)
表示の制御は 平常時の粒度 と 異常時の開示 という2つの相に分かれます。 ご本人が設定するのは 平常時にどこまで見せるか(表示しない / 国まで / 市まで)で、 状態は どちらの相を適用するかを決めます。 異常時には、記録されているそのままの正確な位置が開示されます —— 平常時の設定は異常時には適用されません。 これは「普段は精密に見られない、緊急時だけ精密」という考え方を、上限の組み合わせではなく相の切り替えで表したものです。 異常時の開示に同意できない場合、この機能は利用できません(同意は撤回できますが、撤回は本アプリの利用の停止を意味します)。 これに加えて、位置情報を含まない 「価値の床」 — 合図が途絶えているという事実・最後の能動応答時刻・端末が最後に受け取った信号の時刻・捜索のための情報を登録しているかどうか — は、位置の粒度とは別に 見守り側へ伝えられます。
| 状態 | 位置の開示 |
|---|---|
| 平常時(緑 / 黄 / 橙) | ご本人が設定した 平常時の粒度(表示しない / 国まで / 市まで)がそのまま適用される |
| 異常時 — 一定時間 応答の記録が途絶 | 記録されているそのままの正確な位置が足取りとして開示される。履歴期間は7〜30日から1日単位で選択する(初期設定30日)。画面ロックの解除と端末状態の変化は、位置とは別の緊急時の基本情報として同じ期間分が開示される。 |
5.3 緊急時開示の社会契約
本アプリの中心的な仕組みは「収集と表示を分離する」ことです。本アプリの利用中、ご本人の合意のもとで位置情報は継続的に取得・保存されます。見守り側への 表示 粒度は §5.1 に従って平常時のあいだご本人が制御し、異常時に限って、記録されているそのままの正確な位置が開示されます。平常時にどの粒度を選んでいても、異常時の開示内容は変わりません。
本機能の利用には、以下をそれぞれ独立に同意していただく必要があり、オンボーディング時にチェックボックスで意思確認します:
- 平常時の位置情報の継続的な取得・保存: 本アプリの利用中、お使いの端末で位置情報を継続的に取得し、最大精度でサーバに保存します。目的は二つです。一つは、ご本人があとから自分の記録を確認できるようにするため。もう一つは、異常時に見守り側へ開示する、その元になる記録を残すためです。サーバへの位置情報の送信は通常30分ごとですが、端末での位置の取得は、端末の制約が許す範囲で継続的に行われます。
- 異常時に、正確な位置と端末の記録を開示すること: ご本人の応答の記録が一定時間以上途絶えたとき、ご本人が7日から30日までの範囲で選んだ期間について、位置の足取り、画面ロックの解除、端末状態の変化が見守り側へ開示されます。期間の初期設定は30日で、1日単位で変更できます。このとき開示される位置は、記録されているそのままの正確な位置です。普段の見え方として選んだ設定(表示しない・国まで・市まで)は平常時にのみ適用され、異常時には適用されません。普段どの設定にしていても、異常時には正確な位置が開示されます。画面ロックの解除と端末状態の変化は、位置情報とは別に緊急時の基本情報として開示されます。この基本情報の開示自体を外すことはできませんが、開示する期間は7日まで短くできます。端末状態には、電池残量、省電力モード、休止状態、高温状態、接続回線が含まれます。アプリの利用内容、通知や画面の中身、歩数の数値は開示されません。
同意の撤回: 上記の各同意は、設定画面または [email protected] へのメールでいつでも撤回できます。当方は撤回そのものを拒否しません(個情法 / GDPR Art. 7(3))。撤回前の処理の合法性には影響しません。
撤回時のサービス挙動: 撤回は受理します。ただし上記2つの同意はいずれも本アプリの中心的な機能に必須のため、撤回した状態のまま本アプリを使い続けることはできません。撤回後にアプリを開くと同意画面が表示され、再同意するか、サインアウト(またはアカウント削除)を選ぶことになります。
- 同意1「平常時の位置情報の継続的な取得・保存」を撤回: 端末は位置情報の継続的な取得を停止し、サーバ側でも合図の受信時に位置情報の列を NULL に強制します。見守り側はご本人の位置を見ることができなくなります。この同意なしでは安否確認がご本人の自発的な合図のみに頼ることになり、本アプリの中心的な価値が成り立たないため、再同意するまで利用を続けることはできません。
- 同意2「異常時に、正確な位置と端末の記録を開示すること」を撤回: 撤回時刻以降、異常時であっても位置の足取りは見守り側へ開示されません。位置を含まない「価値の床」(合図が途絶えているという事実・最後の能動応答時刻など)は引き続き伝えられます。同意1 と同様に必須のため、再同意するまで利用を続けることはできません。
撤回後の再同意は設定画面からいつでも可能です。同意 1 や 2 の撤回によってアプリが実質的に役立たなくなる場合、アカウント削除を選択することもできますが、撤回そのものに連動した自動削除は行いません。
サーバ側の二重担保: 上記の撤回後の挙動は、端末側での停止に加え、サーバ側でも合図の受信時に対応する位置情報の列を NULL に強制し、異常時の見守り側への開示も精度クランプで二重に担保します(古い端末ソフトウェアや通信途上の競合に対する防御)。なお移動手段推定ラベルは収集自体を廃止済みで、撤回の有無に関わらず常に NULL 強制されます(§5 冒頭のデータカテゴリ表)。
見守り側のアプリには、緊急時開示が発動している間は常に明示的なバナーが表示され、 表示中の位置情報が「平常時のご本人の選択を上書きして開示されたものである」ことが 見守り側にも視覚的に分かるようにしています。
ご本人はいつでもアカウントを削除でき、削除した時点で過去の蓄積位置情報も全て消えます。データ export はいつでも可能です(設定画面)。
5.4 Where Request(個別の位置開示要求)
異常への移行を待たずに見守り側がご本人に位置開示を要求でき、 ご本人の明示的な承認後にその時点の合図のスナップショットが見守り側に開示されます。 ご本人が承認した場合は、要求された精度で開示されます(ご本人は要求内容を見て 承認するため、平常時の粒度設定による自動的な制限はかけません)。
承認されたスナップショットは時間経過で消えません(見守り側が既に取得した 情報を後からサーバ側で取り消すことはできないため、形式的な期限を設けません)。
5.6 平常時の継続収集と緊急時の表示
本アプリは、ご本人の合意のもとで利用中は 位置情報を継続的に取得・保存し、捜索に必要な履歴を「平常時から」蓄積する設計です。これは「異常な状態に陥ってから収集を始めても、その時点でご本人は応答できず、捜索者が必要とするのは合図が途絶える直前までの履歴である」という設計判断に基づきます。
位置情報の取得モード(設定画面で切替可能):
- 標準モード(デフォルト): 端末のフォアグラウンド/バックグラウンド制約の範囲内で、本アプリが定期的に GPS を起動して位置情報を取得します。精度が高い反面、電池消費があります。
- 省電力モード(任意): 本アプリ自身は GPS を起動せず、他のアプリ(地図アプリ等)が GPS を起動した際にその結果を流用する 遅延取得 方式を使います。最長 5 分の遅延を許容する代わりに、本アプリ単独の電池消費はほぼゼロになります(地図アプリ等を日常的に使うほど省電力効果が高まります)。実測で本アプリ単独 GPS 起因消費は 0.002%/h(2026 年 5 月時点測定)。
サーバへの合図の送信は通常 30 分間隔で、端末内で蓄積された最新の位置情報がまとめて送信されます。(なお 端末の移動手段推定ラベル の収集は 2026-06-28 の更新で廃止しました。詳細は §5 冒頭のデータカテゴリ表を参照してください。)
見守り側の表示は §5.1 の段階開示に従って制御されます。 平常時(緑 / 黄 / 橙)の見守り側の表示は、ご本人が選択した粒度の 点(各合図の位置)のみ で、点と点をつなぐ経路線は表示されません。
ご本人の応答の記録が一定時間以上途絶えて異常時に移行した場合、本人が選んだ7〜30日の期間について、記録されているそのままの正確な位置の足取りと、画面ロックの解除・端末状態の変化が見守り側に開示されます。異常時の解除(本人が「無事」と報告、または不在モードの設定等により状態が平常時に戻った時点)で、表示は通常モードに戻ります。
この設計は「収集と表示の分離(§5.1)」を技術的に裏付けるものです。ご本人の端末は平常時から捜索に有用な履歴を蓄積し続けますが、見守り側が見ることができるのはご本人が選んだ粒度に限られます。
5.7 データ export
ご本人はいつでも自分の全データ(プロフィール、位置履歴、 位置開示リクエストの履歴、所属グループ、通知履歴)を JSON または CSV 形式で エクスポートできます。設定画面の「データを export」から実行可能です。
通知本文(Telegram/Discord/Email/SMS 等)には生の位置情報を含めず、認証付きダッシュボードへのリンクのみ記載します。
利用者は不在モードで一時的に判定を停止できます(最大7日)。
5.8 緊急時開示(異常時)の自動判定について
異常時(緊急時開示)への遷移は、以下の入力に基づきサーバ側で自動判定されます。本判定は GDPR 第22条が定める「自動化された意思決定」に該当しうるため、以下の保証を設けています。
- 判定の入力:①最後に受信した合図の時刻、②ご本人が設定した猶予時間(デフォルト 48 時間、設定画面で 12 / 24 / 48 / 72 時間および任意値に変更可)、③不在モードの設定(最大 7 日)
- 判定の頻度: 連続的な監視ではなく、15 分ごとの定期実行で評価します。したがって状態の変化と通知は、設定した猶予時間を過ぎてから最大 15 分後までの間に発生します
- 判定の結果: 状態が異常時に上がり、本人が選んだ7〜30日の位置の足取り(記録されているそのままの正確な位置)と、画面ロックの解除・端末状態の変化が見守り側に開示される
- 判定ロジックの開示: 上記の入力と判定式は本ポリシー §5.2 / §5.6 で公開しており、アプリ内 System Health 画面でも閾値と最新の合図の時刻を確認できる
- 誤判定時の即時救済: ご本人はアプリ内の「いま元気にしている」送信、または不在モードの設定でいつでも状態を下げ、開示を即時停止できる
- 人の介入: 自動判定に対して異議がある場合、[email protected] に連絡することで、当方が個別レビューし、必要に応じて判定根拠の説明や状態の訂正を行う
6. 第三者提供・処理委託
6.1 MVP で利用する第三者
本表は MVP 時点で実際に利用している sub-processor を網羅したものです。将来追加する場合は本ポリシーを更新し、利用者に事前告知の上で再同意を求めます。
| サービス | 提供事業者 | 国 | 用途 | 区分 |
|---|---|---|---|---|
| Cloudflare Workers / D1 / KV | Cloudflare, Inc. | 米国 | アプリ基盤(認証・データ保存・cron 実行) | 委託 |
| Clerk | Clerk, Inc. | 米国 | 認証(ユーザー ID 発行・JWT 検証) | 委託 |
| Resend | Resend, Inc. | 米国 | Email 通知配信([email protected] から発信) | 委託 |
| Telegram | Telegram FZ-LLC | UAE | 通知配信(任意 channel、利用者が chat ID を設定した場合のみ) | 委託 |
panic 時の SMS 通知については Twilio, Inc.(米国)を利用できる設計ですが、 MVP 時点では未提供です(必要な設定が完了していません)。 提供開始時は本ポリシーを更新し、再同意を求めます。
Discord / LINE / Slack / Apple Push Notification Service(APNs)/ Google Firebase Cloud Messaging(FCM)/ Expo Push Service / Sentry など、 将来的に sub-processor を追加する場合は、本ポリシーを更新し、 利用者に事前告知の上で再同意を求めます。
6.1.1 受領者別の移転根拠・保護措置(個情法第28条第2項に基づく情報提供)
| 受領者 | 区分 / 国 | 移転根拠 | 保護措置 |
|---|---|---|---|
| Cloudflare, Inc. | 委託 / 米国 | Data Privacy Framework(DPF)登録、もしくは Cloudflare が提供する Standard Contractual Clauses(SCC)を含む Data Processing Addendum(DPA) | TLS 1.2+ による通信暗号化、D1 / KV / Durable Objects の at-rest 暗号化、Workers の sandboxing、IP / API token ベースのアクセス制御 |
| Clerk, Inc. | 委託 / 米国 | Clerk DPA(https://clerk.com/legal/dpa、TOS 受諾時に適用)に基づく SCC | JWT による短命認証トークン、JWKS による署名検証、当方が保有するのはユーザー ID 参照のみで Clerk 側にメールアドレス・パスワードを集約 |
| Resend, Inc. | 委託 / 米国 | Resend DPA(https://resend.com/legal/dpa、TOS 受諾時に適用) | TLS による配信、配信先メールアドレスのみを Resend に渡し、本文中に生の位置情報を含めない方針(§5.6 末尾) |
| Telegram FZ-LLC | 委託 / UAE | 利用者が任意 channel として Telegram chat ID を設定した場合に限り、利用者の事前同意に基づき提供(個情法第27条第1項第1号)。公式 DPA は提供されていないため、Telegram 自体の保護水準は同社のプライバシーポリシーに依拠 | 当方から Telegram に送信するのは通知本文のみで生の位置情報を含めない、見守り側の確認はダッシュボードリンク経由 |
上記いずれの受領者についても、最新の DPA / SCC 公開版および当方による契約受諾の状況については、[email protected] からの請求に応じて提示します。個情法第28条第2項の趣旨に基づき、本表は同法施行規則第17条第2項の各号(受領者の氏名・所在国・個人情報の保護に関する制度・保護措置)を構造化したものです。各受領者所在国における個人情報の保護に関する制度(米国の州法 / CCPA / 分野別法、UAE の Federal Decree-Law No. 45 of 2021、EU/UK の GDPR/UK GDPR 等)については、続く §6.2 で詳述します。
6.2 外国にある第三者への提供(個人情報保護法 第28条)
米国(Cloudflare / Clerk / Resend): 連邦レベルの包括的個人情報保護法は存在しないが、CCPA 等の州法、HIPAA、COPPA、GLBA 等の分野別法が存在。日米間の移転は Data Privacy Framework(2023年)、または各社が提供する Standard Contractual Clauses(SCC)を含む Data Processing Addendum(DPA)に依拠します。各社が提供する DPA / SCC について、当方は当該事業者との契約受諾時に同意しており、最新の公開版および当方による保管状況については [email protected] からの請求に応じて提示します。
UAE(Telegram): 2021年11月施行の Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection に準拠。Telegram は公式に DPA を提供していないため、利用者が任意 channel として Telegram を設定した場合に限り、利用者の事前同意に基づき提供します。
EU / UK: GDPR / UK GDPR が適用。該当する場合、SCC を使用します。
各社の主な保護措置: 通信は TLS 1.2+ で暗号化、データは at-rest で暗号化、連絡先設定および緊急時データは AES-256-GCM の envelope encryption で当方が更に暗号化、Clerk JWT による認証で API レベルのアクセス制御。
詳細情報・SCC の写しは [email protected] から取得できます。
7. 保存期間
| データ | 保存期間 |
|---|---|
| アカウント情報 | アカウント削除リクエストまで(削除後30日以内に永続削除) |
| 位置情報・合図 | 30日 |
| 端末の移動手段推定ラベル(2026-06-28 収集廃止) | 新規収集なし。過去の残存ラベルは 30日(位置情報と同じく retention 経過で削除) |
| 通知履歴(alerts) | 365日 |
| Family Playbook | アカウント削除まで |
| 同意ログ | 5年(個人特定情報は匿名化) |
| 監査ログ | 5年 |
8. 利用者の権利
| 権利 | 行使方法 | 対応期限 |
|---|---|---|
| アクセス権(保有個人データの開示。個情法第33条第1項に基づく開示、および第33条第5項に基づく第三者提供記録の開示を含む。匿名化済ログを除く) | アプリ内設定 / [email protected] | 30日 |
| 修正権 | アプリ内設定 | 即時 |
| 削除権 | アプリ内 / メール | 30日以内 |
| 処理制限権 | メール | 30日 |
| データポータビリティ | アプリ内 / メール | 30日 |
| 異議権 | メール | 30日 |
| 同意撤回 | アプリ内 / メール | 即時 |
| 監督機関への申立て | 個人情報保護委員会(日)、地域 DPA(EU) | - |
本人確認: 開示等の請求については、登録メールアドレスからの請求 + アプリ内登録情報との照合により本人確認を行います。第三者からの不正な開示請求を防ぐため、本人確認が不十分と判断した場合は追加の確認を求めることがあります。
手数料: 当面の間、すべての権利行使請求は無料で対応します(個情法第38条が認める範囲で、コストが過大になった場合は将来変更する可能性があり、その場合は事前告知します)。
9. セキュリティ
- TLS 1.2+ で通信
- D1 at-rest 暗号化(Cloudflare 仕様)
- 連絡先設定(webhook、token 等)は AES-256-GCM の envelope encryption
- 緊急時遺族支援データ(last message / emergency clues)も AES-256-GCM の envelope encryption
- 認証は Clerk JWT、device 通信は短命 device token
- 同意・開示は audit log で追跡
9.1 漏えい等が発生した場合の報告(個情法第26条 / GDPR Art.33-34)
個人データの漏えい・滅失・毀損その他の事故が発生した場合、当方は以下の手続きで対応します。
- 個人情報保護委員会への報告: 個情法第26条第1項に基づき、事態を知った時から3〜5日以内に速報、30日以内(不正アクセス等の場合は 60日以内)に確報を提出します
- 本人への通知: 個情法第26条第2項に基づき、影響を受ける本人に対して、事態の概要・データ項目・想定される原因・二次被害防止のための助言・連絡先を、状況に応じ遅滞なく通知します
- EU / UK 域内利用者: GDPR Art.33 に基づき、知った時から 72 時間以内に管轄監督機関へ通知。Art.34 に基づき、高リスクな事故の場合は本人にも遅滞なく通知
- 当方は受領者(§6.1)に発生した漏えい等についても、契約・通報経路を通じて把握し、必要に応じ本人に通知します
10. 緊急性に関する免責(重要)
本アプリは緊急救助サービスではありません。以下のような状況には単独で対応できません:
- 即時的な医療緊急(分単位の救急対応が必要な場合)
- 携帯電波圏外での事故・遭難
- 利用者の意思に反する拘束(誘拐等)
- 武装襲撃の現場
- 大規模災害時の通信遮断
- 端末のバックグラウンド制約により本アプリが起動できない状況
- 通知 provider(Telegram/Apple/Google 等)の障害・遅延
利用者は次の併用を強く推奨します:
- 外務省「たびレジ」登録
- 海外旅行保険・医療搬送保険(Global Rescue 等)
- 衛星通信デバイス(Garmin inReach 等)
- 現地の救急番号、在外公館連絡先
11. 子供のプライバシー(MVP は 18+ only)
- MVP 時点で本アプリの利用は18歳以上に限定しています
- アカウント作成前に年齢確認 self-attestation を必須とし、未確認のアカウントは機能利用を拒否します
- 18歳未満が登録したことが判明した場合、当該アカウントを直ちに削除します
- 13歳未満から個人情報を意図的に収集しません(COPPA 遵守)
- 13-17歳の親権者同意フローは v2 リリースで実装予定
12. ストーキング・悪用防止
- 同意制の招待: ご本人が発行する招待トークンなしに見守り側になれない
- 役割の固定: 招待トークンが役割を保持し、受諾時に詐称できない
- ご本人による制御: ご本人はいつでも見守り側の一覧を確認・ブロック・削除できる
- 段階開示のサーバ側強制: API レベルで精度を制御し、端末側アプリが選べない
- 通知本文に生の位置を含めない: webhook 等からの漏洩を防止
- 位置情報は平常時から継続的に取得されますが、平常時の見守り側への表示はご本人が選択した粒度に厳密に従い、異常時に限って正確な位置が開示されます(§5.2 / §5.6 参照)
- 省電力モードでは本アプリは GPS を自ら起動せず、他アプリの GPS 起動結果を流用する遅延取得方式で電池消費を最小化します(§5.6)
- 見守り側の範囲: 見守り側はご本人が指名した信頼関係にある人(家族・友人・旅仲間・同僚等)を指し、必ずしも家族を意味しません。ご本人は誰を見守り側にするか自由に選択でき、いつでもブロック・削除できます。
12.1 第三者(同伴者・現地連絡先)情報の取り扱い
ご本人の位置情報の30日分の履歴には、同伴者の位置情報が混入する可能性があります(同じ場所に居合わせていれば同じ座標が記録されるため)。また Family Playbook / Emergency Clues 機能で記入された現地連絡先(fixer 等)の氏名・電話番号も、異常時に見守り側へ開示されます。
これらの第三者情報について、当方は 当該第三者本人からの直接同意を取得しておりません。緊急時の見守り側への開示は、個情法第27条第1項第2号(人の生命、身体又は財産の保護のために必要がある場合) および GDPR Article 6(1)(d)(vital interests) を法的根拠として正当化されます。
ご本人が Family Playbook / Emergency Clues に第三者の連絡先を記入される際は、当該第三者から事前に同意を得てから記入されることを推奨します。アプリ内 UI でもこの旨を入力時に案内します。
13. Cookie / トラッキング
本アプリ内ではトラッキング Cookie を使用しません。Marketing 目的のトラッキングも行いません。ウェブサイト aragu.app には認証用 session cookie のみ使用します(必須 Cookie)。
14. ポリシーの変更
本ポリシーを変更する場合は、アプリ内通知またはメールで30日以上前に告知します。重大な変更の場合は再同意を求めます。
15. お問い合わせ
- 一般: [email protected]
- 苦情・申立て: 個人情報保護委員会(https://www.ppc.go.jp/)、または各国の DPA