家族フォトプライバシーポリシー
株式会社Wizz（以下「当社」）は、iPhoneアプリ「家族フォト」（以下「本アプリ」）で扱う情報について、何を端末の外へ送り、何を端末の中だけで扱うかを、本アプリの実際の動きに合わせて以下のとおり定めます。
- 写真に家族が写っているかの判定は、iPhoneの中で行います。家族が写っていない写真は、端末の外へ送りません。
- 家族が写っている写真は、家族の相手に届けるため当社のサーバーに保存します。写真に元からある撮影日時と撮影場所（位置情報）も、そのまま共有されます。
- 家族の顔の照合に使う「顔登録の写真」と「顔の特徴を表す数値」は、相手の端末でも照合できるように、家族の中で共有します。
- 広告、トラッキング、外部の分析サービスは使っていません。情報を販売しません。
- アカウント（メールアドレス・電話番号・Apple ID）は使いません。端末ごとにアプリが作るIDで識別します。
1. 端末の中だけで扱うもの
次のものは、端末の外へ送りません。
- 写真ライブラリ全体と、家族が写っていない写真。本アプリは写真ライブラリへのアクセスを使って新しい写真を調べますが、家族が写っていないと判定した写真は送りません。
- 顔の判定の処理。写真の中の顔を見つけ、登録した家族と照合する処理は、すべて端末の中で行います。写真をサーバーで解析することはありません。
- 位置の記録（初回設定で「常に許可」を選んだ場合のみ）。大きな移動と滞在の位置・時刻・電池残量を、端末の中に最大5,000件保存します。サーバーへは送りません。共有する写真にも付けません。
- 端末の中の同期ログ。設定の「診断」から書き出せる同期ログ（最大500件）は、利用者が自分で書き出して渡さない限り、そのまま送られることはありません（サーバーへ自動で送る診断記録は3節に書きます）。
2. 家族の相手と共有するもの
本アプリは夫婦など2台の端末からなる「家族」の中だけで写真を共有します。家族の外の人へ公開したり、他のサービスへ投稿したりはしません。家族の相手は次のものを見られます。
- 家族が写っていると判定された写真（撮影日時と撮影場所を含みます）と、その写真に写っている家族の名前
- 利用者が入力した表示名、家族の人物の名前と続柄
- 顔登録に選んだ写真（縮小したもの）と、照合に使う顔の特徴を表す数値
- スタンプとコメント、写真を受け取った・保存したという記録、二人の月ごとの共有枚数
共有タブで共有を取り消した写真は、相手のアプリに表示されなくなります。ただし、相手がすでに写真アプリへ保存した写真は、相手の端末に残ります。
3. 当社のサーバーに送って保存するもの
写真を届け、反応や通知を返すために、次のものをサーバーへ送って保存します。
| 種類 | 内容 | 使う目的 |
|---|---|---|
| 共有する写真 | 家族が写っていると判定された写真。長辺2048pxのHEICに縮めたものと、長辺512pxのサムネイル。縮めた写真には、元の写真にある撮影日時・撮影場所（緯度・経度）などのメタデータが残ります（サムネイルには付けません） | 家族の相手に届け、相手の写真アプリへ撮影日時・場所付きで保存できるようにするため |
| 写真の情報 | 撮影日時、受け取った日時、ファイルの形式とサイズ、写っている家族（端末での照合結果）、共有中か取り消したか、似た写真のまとまり、送ったアプリの版 | 一覧・通知・統計を表示するため |
| 顔登録のデータ | 家族の人物ごとの名前・続柄、顔登録の写真（長辺1024pxに縮めたもので、撮影場所などのメタデータは付けません）、顔の特徴を表す数値（顔1つにつき512個の数値） | 相手の端末でも同じ家族を照合できるようにするため |
| 反応 | スタンプ、コメント（140文字まで） | 相手に届け、あとから見られるようにするため |
| 端末と家族の情報 | アプリが作る端末ID・家族ID、表示名、端末の秘密値のハッシュ、通知用のデバイストークン、端末のタイムゾーン、家族に参加した日時 | 端末を識別し、家族の中だけでやり取りし、通知を送るため |
| 招待の情報 | 招待コードと招待用トークンのハッシュ（平文は保存しません。有効期限は10分） | 家族の相手を招くため |
| 不正利用を防ぐための情報 | 端末の登録と招待の参加のときのIPアドレスから作ったハッシュ値（IPアドレスそのものは保存しません） | 短時間に何度も試す操作を制限するため |
| 診断記録 | 同期・アップロード・通知などの成否と所要時間、エラーの種類と内容、写真の大きさ、端末の状態（温度の状態、低電力モード、電池残量、メモリ）、回線の種類、アプリとOSの版。URL・認証情報・写真ごとのIDは伏せて送ります。端末IDと家族に紐づけて保存します | 不具合の調査と、同期の速さの改善のため |
サーバーへの通信の記録（日時、アクセス先、IPアドレスなど）は、サーバーの運用のため、利用しているCloudflareの仕組みに短期間残ります。
4. 情報を渡す先
当社は、利用者の情報を第三者に販売・提供しません。ただし、本アプリを動かすために次の事業者のサービスを使っており、その範囲で情報がこれらの事業者の設備を通ります。
- Cloudflare, Inc.（米国）: サーバーの処理と、写真・データの保存。
- Apple Inc.（米国）: 通知の配信（Apple Push Notification service）。通知には、送った人の表示名、写真の枚数、コメントの先頭（40文字まで）、撮影日時、写真と家族のIDなどが入ります。写真そのものは通知に入れません。
これらは米国の事業者で、情報は米国を含む各社の設備で扱われることがあります。米国には、日本の個人情報保護法と同等の包括的な個人情報保護の法律はなく、分野や州ごとの法律があります。当社は、各社が定めるデータの取り扱いの条件（CloudflareのData Processing Addendum、AppleのApple Developer Program使用許諾契約）のもとで、本アプリを動かす目的に限って利用しています。
法令にもとづく開示の求めがあった場合は、法令の範囲で対応します。
5. 使わないもの
- 広告、広告のための識別子（IDFA）、他社のアプリやサイトをまたいだトラッキング
- 外部の分析サービス・クラッシュ収集サービス
- メールアドレス、電話番号、住所、連絡先、カメラ、マイク
6. 保存する期間
- 診断記録: 30日（端末ごとに新しいものから最大2万件）。それより古いものは毎日自動で消します。
- 作りかけのまま残った顔登録の写真: 24時間で自動で消します。
- それ以外（共有した写真、顔登録のデータ、反応、通知の記録、端末と家族の情報など）: 期限を設けず、7節の操作で消すか、家族に誰もいなくなるまで保存します。受け取った写真をあとからアプリで見られるようにするためです。
7. 消すには
- アプリを完全に初期化する（設定 › データ › アプリを完全に初期化）: この端末の情報、この端末が共有した写真とその情報、この端末の反応、この端末に紐づく診断記録をサーバーから消し、端末の中のデータと秘密値も消します。家族に相手が残っている場合、家族の顔登録のデータ（人物の名前・続柄、顔登録の写真、顔の特徴を表す数値）は、相手の端末で照合を続けるため家族に残ります。家族に誰も残らない場合は、家族の情報と顔登録のデータもすべて消します。
- 登録した顔を消す（設定 › 家族の顔 › 人物 › 登録済みの顔をすべて削除）: その人物の顔登録の写真と顔の特徴を表す数値をサーバーから消します。
- 家族の相手を外す（設定 › 家族 › メンバーを削除）: 相手は家族から外れます。それまでに共有した写真や反応は、家族に残ります。
- 写真の共有を取り消す（共有タブ）: 相手のアプリに表示されなくなります。写真1枚ごとにサーバーから消す操作は、今の版にはありません。消したい場合は下の窓口へご連絡ください。
- 位置の記録: 端末の中だけにあり、本アプリを削除すると消えます。
サーバー上の写真の画像は、消す操作のあと順に削除し、通常15分ほどで消えます。
8. 安全のための取り組み
- 通信はすべて暗号化（HTTPS）しています。
- サーバーへのアクセスは、端末ごとの秘密値で認証し、同じ家族の端末だけが家族の写真とデータを取得できます。秘密値はハッシュにして保存し、端末ではキーチェーンに保存します。
- 写真は家族ごとに分けて保存し、家族の外へ公開するURLは作りません。
9. 子どもの写真について
本アプリは、子どもを含む家族の写真を、親である夫婦の間で共有するためのものです。利用者は大人を想定しています。子どもの顔を登録する場合も、その顔登録のデータは家族の中の照合だけに使います。
10. 開示・訂正・削除などのご請求
当社が保存しているご自身の情報について、開示、訂正、利用の停止、削除などをご希望の場合は、下の窓口へご連絡ください。本アプリはアカウントを持たないため、ご本人の確認のために、アプリの設定画面に表示される情報や、端末からの操作をお願いすることがあります。当社の住所と代表者の氏名は、ご請求があれば遅滞なくお知らせします。
11. このポリシーの変更
本アプリの動きが変わったときは、このポリシーを改めます。大事な変更はアプリまたはこのページでお知らせします。
12. お問い合わせ
株式会社Wizz
メール: support@family-photo.app