プライバシーポリシー

1. TotShotがすること

お客さまが国と書類を選びます。アプリはその発行機関が公開している要件を読み込み、撮影をガイドし、撮れた画像を当社のサーバーへ送ります。サーバーはその要件に照らして画像を測り、そのまま印刷できるファイルをお返しします。

処理は二か所に分かれていて、この違いがプライバシーの話のすべてです。顔を見つけることと撮影のガイドは、お手元のスマートフォンで行います。オフラインで動き、端末から出ていくものはありません。結果を測ること、背景を置き換えること、完成ファイルをつくることは、当社のサーバーで行います。

2. 当社が取得するもの

• アカウント。メールアドレス。AppleまたはGoogleでログインした場合は、両社が渡す識別子とメールアドレス。Appleから非公開のリレーアドレスが発行されている場合、当社が見るのはそれだけです。あわせて、お読みになっている言語。
• お子さま。お名前、それに任意でニックネームと生年月日。生年月日の役目は一つだけです。一部の発行機関は、小さなお子さまには目を閉じた写真や、頭の大きさのゆるやかな基準を認めています。どの規定が当てはまるのかを、アプリが知る必要があるからです。
• 写真。撮影した画像、そこから作るプレビュー、そして完成ファイル。
• 写真から取った測定値。頭の高さ、目の高さ、頭の上の余白、シャープネス、露出、適用した切り抜き、判定、そして判定の根拠にした要件の正確なバージョン。
• ご購入。購入されたクレジットパックと、当社が検証できるようAppleまたはGoogleが渡すレシート。カード番号が当社に届くことはありません — 購入はストア自身の購入画面の中で完結します。
• 通知。通知を許可いただいた場合の、プッシュ通知のトークン。
• アプリの使われ方。撮影の各段階に名前を付けたイベント（写真を撮った、判定を表示した、クレジットパックを購入した）で、それぞれに数値と撮影の識別子が付きます。写真そのものも、そこから取った測定値も含みません。
• 広告識別子（当社自身の広告のため）。AndroidではGoogle Analyticsが端末の広告IDを読み取ります。iOSでは、TotShotがアクティビティを追跡してよいかをシステムが尋ね、そこで許可した場合にかぎって広告識別子（IDFA）を読み取ります。役目は一つです。TotShotをGoogle Adsや同種のネットワークで宣伝するとき、インストールとその元になった広告をネットワークが照合できるようにし、広告が何をもたらしたのかを当社が知るためです。識別子は端末の設定でリセットも削除もでき、iOSではその確認を断ることもできます。どちらにしてもアプリの動作は変わりません。
• おおよその所在地。上の利用イベントが届くIPアドレスから、Googleが都市の単位で所在地を割り出します。端末そのものが位置情報を当社に伝えることはなく、アプリは位置情報の許可も求めません。
• クラッシュレポート。アプリが落ちたときの、エラー、スタックトレース、端末の機種とOSのバージョン、そしてそれが起きたアカウントの識別子。一人に起きた不具合を、推測ではなく追跡できるようにするためです。
• サーバーのログ。当社のサーバーは、どのウェブサービスもそうであるように、リクエストのIPアドレスと時刻を記録します。セキュリティと不正利用の防止のためです。IPアドレスは個人データになりうるので、触れずに済ませるのではなく、ここに書いています。

ほかには何もありません。TotShotは住所も電話番号も尋ねませんし、広告も表示しません。上の利用イベントとクラッシュレポートは、インストールごとのランダムな識別子と、お客さまのアカウントに結びついています。ここにあるもののうち広告ネットワークが目にするのは広告識別子だけで、それも当社自身のキャンペーンを測るところまでで、その先へは行きません。

3. 測定値は寸法であって、顔の特徴データではありません

写真から取る数値があるのは、写真を切り抜き、公開されている規定に照らして判定するためです — 写真の中で頭がどれだけの高さを占めるか、目がどこにあるか、頭の上にどれだけ余白があるか。

これらを個人の特定に使うことは一切ありません。生体テンプレートではありませんし、ほかの写真やほかの人物と照合することもなく、いかなる顔認識にも使いません。元になった写真が消えるとき、測定値も一緒に消えます。

4. お子さまのデータと、それを扱う理由

TotShotは、お子さまに代わって大人が使うアプリです。アカウントの持ち主は18歳以上に限ります。お子さまは写真に写る本人であって、アプリの利用者ではありません。

お名前、入力いただいた場合の生年月日、そしてお写真は、たった一つの目的のために使います — その写真をつくり、判定することです。広告に使うことも、販売することも、ほかの誰かの目的のために渡すこともありません。いかなるモデルの学習にも使いません。

5. 保存期間

TotShotはカメラであり、写真をチェックする道具です。写真をためておく場所ではありません。どれも、期限が来れば自動的に消えます。

• アップロードしたまま撮影にならなかった画像 — 24時間。
• 撮影の元画像とプレビュー、それに購入されなかった写真の生成画像 — 72時間。切り抜き直しが3日間は無料なのも、これが理由です。
• 購入した写真 — お客さまが決めた保存期間：7・30・90・365日、または無期限。既定は365日です。アプリでいつでも変更でき、すでにお持ちの写真にも適用されます。

既定が1年なのは、お子さまの証明写真がそれよりずっと早く使えなくなるからです — お子さま自身が変わっていきます。それより長く保存しても、誰の役にも立ちません。

写真が消えるとき、そこから取った測定値も一緒に消えます。削除された1枚より長く残るのはレシート（どの書類か、いつか、要件を満たしたか、どのクレジットを使ったか）だけです。請求について後から確認が必要になることがあるためです。アプリのどこにも表示しません。

ダウンロードのリンクは写真を開くたびに新しく発行し、1時間で切れます。当社の保管領域にあるものは、一覧が公開されることも、外から直接たどれることもありません。

6. アカウントの削除

アカウントはアプリから削除でき、条件はつきません。写真、その元になった画像、測定値のすべて、レシート、お子さまの情報、クレジットの残数、プッシュ通知のトークン、撮影の記録は、それらを持っていたすべてのサービスから完全に消去します。お客さまがここにいたという印は何ひとつ残しません。一連の削除のどこかが失敗した場合は、黙って取り残すのではなく、完了が確認できるまで再試行します。

使い切らなかったクレジットはアカウントとともに消滅し、返金の対象にもなりません。使い切るか、その前に当社までご相談ください。写真は1枚だけをいつでも削除できますし、support@totshot.appにご連絡いただければ当社が代わりに削除します。

7. ほかに誰が触れるか

当社は個人データを販売も交換もしません。データが届く先は次の会社だけで、それぞれ役目は一つです。

• AppleとGoogle — ログインと、クレジットの購入。購入が本物であることを当社に確認してくれます。お子さまについては、当社から何も伝えません。返金を申請されたとき、Appleはその購入がどうなったかを尋ねることがあります。次の項目がまさにその話です。
• Google（Firebase Cloud Messaging） — 通知をオンにしている場合に、プッシュ通知を端末へ届けること。
• Google（Firebase AnalyticsとCrashlytics） — 上の利用イベントを数え、クラッシュレポートを受け取ること。連絡をくださらない方のところで手順のどこかが行き詰まっていることを、当社はこれで知ります。Googleは当社の指示にもとづき、米国のサーバーで処理します。
• Google（Google Ads） — TotShotの広告を出すとき、Googleは上の広告識別子を自社が配信した広告のクリックと照合し、インストールがどのキャンペーンから来たのかを当社に返します。当社自身の広告を測るためのもので、お子さまのデータは関わりません。
• Resend — アカウントとサポートのメールの送信。
• 当社のホスティング事業者 — アプリが通信するサーバーの運用。

背景の消去は、当社自身のサーバーの、閉じたネットワークの中で行います。お子さまの写真を第三者のAIサービスへ送ることはありませんし、Googleへ送ることもありません。上の解析とクラッシュレポートのSDKが見るのは、イベント名、数値、識別子です。画像データはどのような形でも渡りません。アプリに広告SDKは入っておらず、広告を表示することもありません。上の広告識別子を読むのは解析のSDKで、用途はいま述べた一つだけです。

8. Appleに返金を申請されたとき

App Storeを通じて返金を申請すると、Appleはその購入がどうなったかを当社に尋ねることがあり、回答には短い猶予が与えられます。当社は回答します。当社が何かを言えるのはこのときだけで、誰も答えなかった申請は当社抜きで決まります。Google Playに同じ手順はないため、そちらでのご購入には以上のどれも当てはまりません。

お送りするのは要約であって、記録ではありません。パックのうちどれだけが使われたか、完成した写真をお渡ししたかどうか、そしてこれまでのご購入と返金の総額を、金額ではなく幅でお伝えします。ご購入のどれかが米ドル以外の通貨だった場合は、その幅すらお送りしません。言い切れないドルの額を、当社は見積もらないからです。この要約を購入に結びつけるのは、ストアがその購入に発行したトークンだけです。ほかの何にも結びつきません。

答えがどうあるべきだと当社が考えるかも、Appleに伝えます。お客さまには、その判断に使う決まりを知る権利があります。決まりはこれがすべてです。クレジットを一度も使っていなければ、返金すべきだと伝えます。すべて使っていれば、断るべきだと伝えます。一部を使っていれば、意見は述べません。使っていないものについて返金を断るよう、Appleに求めることはありません。

お写真を送ることは一切なく、その購入の識別子を超える個人データも送りません。Appleはこのほかに、アカウントをお持ちの期間と、アプリで過ごされた時間も尋ねます。どちらにも「申告なし」と答えます。見積もった数字は、そのまま当社の主張になってしまうからです。

9. どこに、どう保存しているか

当社のサーバーは欧州連合（EU）内にあり、商用のホスティング事業者から借りています。事業者ではなく地域を名指しするのは、事業者は変わりうるのに対し、約束にあたるのは地域のほうだからです。写真も、そこから測ったものも、すべてそこに留まります。

この地域を出るものは二つです。利用イベントとクラッシュレポートは米国のGoogleへ渡り、プッシュ通知はGoogleとAppleを経由します。どちらの移転も、欧州委員会の標準契約条項（SCC）にもとづきます。両社がまさにこの場合のために公開している仕組みです。ほかに国境を越えるものはありません。

通信はTLSで暗号化します。写真は、一覧が公開されることのない非公開の保管領域に置き、ダウンロードはいずれも短時間で切れる署名付きのリンクです。ログインのトークンは、端末自身のキーチェーンまたはキーストアに保管します。アクセスできるのは、それを必要とするサービスだけです。完全に安全なシステムは存在しません。当社は、そうであるかのようなふりはしません。

10. このサイト

totshot.appは、アクセス解析を動かさず、広告を出さず、第三者のスクリプト・フォント・画像も読み込みません — ページが使うファイルはすべてこのドメインから配信します。上で説明した解析はアプリの中の話で、このサイトにはありません。

サイト自体を配信しているのは、当社のウェブホスティング事業者であるVercelです。Vercelは、配信と不正利用の防止のために、リクエストごとのIPアドレス・時刻・ユーザーエージェントをアクセスログに記録します。このページをお見せするのに関わる会社は、これだけです。

保存するCookieは一つ、NEXT_LOCALEだけで、どの言語で読んでいるかを覚えています。識別子は入っておらず、ほかの誰にも読まれず、お客さまをどこへも追いかけません。

11. お客さまの権利

ご自身のデータの写し、訂正、書き出し、削除を請求できます。削除はアプリからご自身で行えます。それ以外はsupport@totshot.appまでご連絡ください。どのご請求にも、人間がお返事します。

EUと英国では、これらはGDPRにもとづく権利であり、お住まいの国のデータ保護当局に苦情を申し立てられます。カリフォルニア州では、CCPAが定める意味での個人情報の販売も共有も、当社は行いません。権利を行使するのに費用はかかりません。

12. 本ポリシーの変更

このページの上にある発効日が、いまお読みのバージョンです。重要な点を変更するときは、効力が生じる前にメールまたはアプリでお知らせします。

13. お問い合わせ

開示、訂正、書き出し、削除、それに答えの見つからないご質問まで、このページに関することはすべてsupport@totshot.appまでお送りください。当社に届くいちばん速い方法で、読むのは人間です。郵便は下記の住所に届きます。

14. 準拠法

本ポリシーは、米国デラウェア州の法律に準拠します。

本書は、言語切り替えで選べるすべての言語で公開しています。効力を持つのは英語版です。翻訳は読むためのものであり、解釈の根拠にはなりません。