プライバシーポリシー

1. TotShotがすること

お客さまが国と書類を選びます。アプリはその発行機関が公開している要件を読み込み、撮影をガイドし、撮れた画像を当社のサーバーへ送ります。サーバーはその要件に照らして画像を測り、そのまま印刷できるファイルをお返しします。

処理は二か所に分かれていて、この違いがプライバシーの話のすべてです。顔を見つけることと撮影のガイドは、お手元のスマートフォンで行います。オフラインで動き、端末から出ていくものはありません。結果を測ること、背景をチェックすること、完成ファイルをつくることは、当社のサーバーで行います。

2. 当社が取得するもの

• アカウント。メールアドレス。AppleまたはGoogleでログインした場合は、両社が渡す識別子とメールアドレス。Appleから非公開のリレーアドレスが発行されている場合、当社が見るのはそれだけです。あわせて、お読みになっている言語。
• お子さま。お名前、それに任意でニックネームと生年月日。生年月日の役目は一つだけです。一部の発行機関は、小さなお子さまには目を閉じた写真や、頭の大きさのゆるやかな基準を認めています。どの規定が当てはまるのかを、アプリが知る必要があるからです。
• 写真。撮影した画像、そこから作るプレビュー、そして完成ファイル。
• 写真から取った測定値。頭の高さ、目の高さ、頭の上の余白、シャープネス、露出、適用した切り抜き、判定、そして判定の根拠にした要件の正確なバージョン。
• ご購入。購入されたクレジットパックと、当社が検証できるようAppleまたはGoogleが渡すレシート。カード番号が当社に届くことはありません — 購入はストア自身の購入画面の中で完結します。
• 通知。通知を許可いただいた場合の、プッシュ通知のトークン。
• アプリの使われ方。撮影の各段階に名前を付けたイベント（写真を撮った、判定を表示した、クレジットパックを購入した）で、それぞれに数値と撮影の識別子が付きます。判定のうち含まれるのは合否だけです。1回の撮影で何枚が合格し何枚が不合格だったか、そして理由を開いた写真が合格だったかどうかです。写真そのものも、そこから取ったほかの測定値（頭の高さ、目の高さ、頭の上の余白、シャープネス、露出、切り抜き）も含みません。
• 広告識別子（当社自身の広告のため）。AndroidではGoogle Analyticsが端末の広告IDを読み取ります。iOSでは、TotShotがアクティビティを追跡してよいかをシステムが尋ね、そこで許可した場合にかぎって広告識別子（IDFA）を読み取ります。役目は一つです。TotShotをGoogle Adsや同種のネットワークで宣伝するとき、インストールとその元になった広告をネットワークが照合できるようにし、広告が何をもたらしたのかを当社が知るためです。識別子は端末の設定でリセットも削除もでき、iOSではその確認を断ることもできます。どちらにしてもアプリの動作は変わりません。
• おおよその所在地。上の利用イベントが届くIPアドレスから、Googleが都市の単位で所在地を割り出します。端末そのものが位置情報を当社に伝えることはなく、アプリは位置情報の許可も求めません。
• クラッシュレポート。アプリが落ちたときの、エラー、スタックトレース、端末の機種とOSのバージョン、そしてそれが起きたアカウントの識別子。一人に起きた不具合を、推測ではなく追跡できるようにするためです。
• サーバーのログ。当社のサーバーは、どのウェブサービスもそうであるように、セキュリティと不正利用の防止のため、リクエストごとに、IPアドレス、時刻、リクエストされたURL、リクエストに含まれていれば参照元のページ、ユーザーエージェント（リクエストを送ったアプリやブラウザの名前とバージョン）、そしてログインした状態のリクエストであればそのアカウントを記録します。IPアドレスは個人データになりうるので、触れずに済ませるのではなく、ここに書いています。ログの保管先は、これらの記録を7日間保持します。各サーバーが手元に書き出す控えはサイズに上限があり、新しい記録が届くたびに上書きされます。また、遅いリクエストや失敗したリクエストを当社のサービス全体にわたって追うため、一部のリクエストを抽出してトレースを記録します。トレースにはIPアドレス、ユーザーエージェント、URL、アカウントが含まれ、3日間保持されます。ただし本サイトの写真チェックへのリクエストは例外で、代わりに何を記録するかは下記の該当する節に書いています。

ほかには何もありません。TotShotは住所も電話番号も尋ねませんし、広告も表示しません。上の利用イベントとクラッシュレポートは、インストールごとのランダムな識別子と、お客さまのアカウントに結びついています。ここにあるもののうち広告ネットワークが目にするのは広告識別子だけで、それも当社自身のキャンペーンを測るところまでで、その先へは行きません。

3. 測定値は寸法であって、顔の特徴データではありません

写真から取る数値があるのは、写真を切り抜き、公開されている規定に照らして判定するためです — 写真の中で頭がどれだけの高さを占めるか、目がどこにあるか、頭の上にどれだけ余白があるか。

これらを個人の特定に使うことは一切ありません。生体テンプレートではありませんし、ほかの写真やほかの人物と照合することもなく、いかなる顔認識にも使いません。アプリでは、元になった写真が消えるとき、測定値も一緒に消えます。本サイトの無料チェックは写真を一切保存せず、各チェックの数値を最長365日間保持します。どの数値かは、下記の該当する節に正確に書いています。

4. お子さまのデータと、それを扱う理由

TotShotは、お子さまに代わって大人が使うアプリです。アカウントの持ち主は18歳以上に限ります。お子さまは写真に写る本人であって、アプリの利用者ではありません。

お名前、入力いただいた場合の生年月日、そしてお写真は、たった一つの目的のために使います — その写真をつくり、判定することです。広告に使うことも、販売することも、ほかの誰かの目的のために渡すこともありません。いかなるモデルの学習にも使いません。

5. 保存期間

TotShotはカメラであり、写真をチェックする道具です。写真をためておく場所ではありません。どれも、期限が来れば自動的に消えます。

• アップロードしたまま撮影にならなかった画像 — 24時間。
• 撮影の元画像とプレビュー、それに購入されなかった写真の生成画像 — 72時間。切り抜き直しが3日間は無料なのも、これが理由です。
• 購入した写真 — お客さまが決めた保存期間：7・30・90・365日、または無期限。既定は365日です。アプリでいつでも変更でき、すでにお持ちの写真にも適用されます。

既定が1年なのは、お子さまの証明写真がそれよりずっと早く使えなくなるからです — お子さま自身が変わっていきます。それより長く保存しても、誰の役にも立ちません。

アプリの写真が消えるとき、そこから取った測定値も一緒に消えます。削除された1枚より長く残るのはレシート（どの書類か、いつか、要件を満たしたか、どのクレジットを使ったか）だけです。請求について後から確認が必要になることがあるためです。アプリのどこにも表示しません。本サイトの無料チェックは写真を保存せず、各チェックの記録を最長365日間保持します。詳しくは下記の該当する節をご覧ください。

ダウンロードのリンクは写真を開くたびに新しく発行し、1時間で切れます。当社の保管領域にあるものは、一覧が公開されることも、外から直接たどれることもありません。

バックアップ。 毎晩、データベースと写真の保管領域を暗号化してバックアップし、障害からの復旧にのみ使います。各バックアップは14日後に削除されるため、削除された写真やアカウントは、TotShotから消えたあとも最大14日間バックアップの中に残ることがあります。バックアップを復号する鍵は当社のサーバーには置いていません。

6. アカウントの削除

アカウントはアプリから削除でき、条件はつきません。写真、その元になった画像、測定値のすべて、レシート、お子さまの情報、クレジットの残数、プッシュ通知のトークン、撮影の記録は、それらを持っていたすべてのサービスから完全に消去します。お客さまがここにいたという印は何ひとつ残しません。一連の削除のどこかが失敗した場合は、黙って取り残すのではなく、完了が確認できるまで再試行します。

アカウントがこれより長く残るのは、毎晩の暗号化バックアップの中だけです。このバックアップは、上で説明したとおり14日以内に削除されます。

使い切らなかったクレジットはアカウントとともに消滅し、返金の対象にもなりません。使い切るか、その前に当社までご相談ください。写真は1枚だけをいつでも削除できますし、support@totshot.appにご連絡いただければ当社が代わりに削除します。

7. ほかに誰が触れるか

当社は個人データを販売も交換もしません。データが届く先は次の会社だけで、それぞれ役目は一つです。

• AppleとGoogle — ログインと、クレジットの購入。購入が本物であることを当社に確認してくれます。お子さまについては、当社から何も伝えません。返金を申請されたとき、Appleはその購入がどうなったかを尋ねることがあります。次の項目がまさにその話です。
• Google（Firebase Cloud Messaging） — 通知をオンにしている場合に、プッシュ通知を端末へ届けること。
• Google（Firebase AnalyticsとCrashlytics） — 上の利用イベントを数え、クラッシュレポートを受け取ること。連絡をくださらない方のところで手順のどこかが行き詰まっていることを、当社はこれで知ります。Googleは当社の指示にもとづき、米国のサーバーで処理します。
• Google（Google Ads） — TotShotの広告を出すとき、Googleは上の広告識別子を自社が配信した広告のクリックと照合し、インストールがどのキャンペーンから来たのかを当社に返します。当社自身の広告を測るためのもので、お子さまのデータは関わりません。
• Umami（Umami Software） — 本サイトの訪問数の集計。Cookieは使いません。アプリからは何も受け取らず、写真を見ることもありません。受け取る内容は「このサイト」の節に書いています。
• Resend — アカウントとサポートのメールの送信。
• Cloudflare — 当社サーバーとの安全な接続。アプリと本サイトの写真チェックがapi.totshot.appとやり取りするものは、送るものも戻ってくるものも、アプリがダウンロードする完成した写真を含めて、すべてCloudflareを通ります。Cloudflareは自社ネットワークの端でそれを復号し、その端と当社サーバーの間は暗号化されたトンネルで運ばれます。通過するあいだ、Cloudflareは技術的にはその内容を、写真も含めて見ることができます。当社は、何かを保存するためにCloudflareを使うことはありません。
• 当社のホスティング事業者 — アプリが通信するサーバーの運用。

写真の測定と処理は、当社自身のサーバーの、閉じたネットワークの中で行います。お子さまの写真を第三者のAIサービスへ送ることはありませんし、Googleへ送ることもありません。上の解析とクラッシュレポートのSDKが見るのは、イベント名、数値、識別子です。画像データはどのような形でも渡りません。アプリに広告SDKは入っておらず、広告を表示することもありません。上の広告識別子を読むのは解析のSDKで、用途はいま述べた一つだけです。

8. Appleに返金を申請されたとき

App Storeを通じて返金を申請すると、Appleはその購入がどうなったかを当社に尋ねることがあり、回答には短い猶予が与えられます。当社は回答します。当社が何かを言えるのはこのときだけで、誰も答えなかった申請は当社抜きで決まります。Google Playに同じ手順はないため、そちらでのご購入には以上のどれも当てはまりません。

お送りするのは要約であって、記録ではありません。パックのうちどれだけが使われたか、完成した写真をお渡ししたかどうか、そしてこれまでのご購入と返金の総額を、金額ではなく幅でお伝えします。ご購入のどれかが米ドル以外の通貨だった場合は、その幅すらお送りしません。言い切れないドルの額を、当社は見積もらないからです。この要約を購入に結びつけるのは、ストアがその購入に発行したトークンだけです。ほかの何にも結びつきません。

答えがどうあるべきだと当社が考えるかも、Appleに伝えます。お客さまには、その判断に使う決まりを知る権利があります。決まりはこれがすべてです。クレジットを一度も使っていなければ、返金すべきだと伝えます。すべて使っていれば、断るべきだと伝えます。一部を使っていれば、意見は述べません。使っていないものについて返金を断るよう、Appleに求めることはありません。

お写真を送ることは一切なく、その購入の識別子を超える個人データも送りません。Appleはこのほかに、アカウントをお持ちの期間と、アプリで過ごされた時間も尋ねます。どちらにも「申告なし」と答えます。見積もった数字は、そのまま当社の主張になってしまうからです。

9. どこに、どう保存しているか

当社のサーバーは欧州連合（EU）内にあり、商用のホスティング事業者から借りています。事業者ではなく地域を名指しするのは、事業者は変わりうるのに対し、約束にあたるのは地域のほうだからです。写真も、そこから取った測定値も、保存されるのはそこだけです。例外は合否で、上記の利用イベントによってGoogleにも送られます。

この地域を出るものは五つです。利用イベントとクラッシュレポートは米国のGoogleへ渡ります。プッシュ通知はGoogleとAppleを経由します。アプリや本サイトの写真チェックが当社サーバーとやり取りするものは、リクエストも応答も、アプリがダウンロードする完成した写真を含めて、すべてCloudflareのネットワークを通ります。お客さまと当社の間を行き来するあいだ、Cloudflareはお使いの場所にいちばん近いデータセンターでそれを復号します。そのデータセンターは、米国を含め、欧州連合の外にあることがあります。そして本サイトは米国の企業であるVercelが配信しているため、「このサイト」の節で説明したアクセスログ（写真チェックのページを含む、ページへのリクエストごとのIPアドレス・時刻・ユーザーエージェント）も、欧州連合の外で処理されることがあります。また、本サイトの訪問カウンターは、ページの閲覧とストアバッジのタップを一件ずつUmamiに送ります。Umamiのサーバーは米国と欧州連合にあります。これらの移転は、欧州委員会の標準契約条項（SCC）にもとづきます。各社がまさにこの場合のために公開している仕組みです。この五つのほかに国境を越えるのは、「ほかに誰が触れるか」の節に挙げた役割のためにApple、Google、Resendが必要とするものだけです。写真と、そこから取った測定値が国境を越えるのは、Cloudflareを通って行き来するときだけです。ただし合否は、利用イベントに含まれてGoogleへ渡ります。

通信は転送中、暗号化されています。端末とCloudflareの間はTLSで、Cloudflareと当社サーバーの間は暗号化されたトンネルで守られます。写真は、一覧が公開されることのない非公開の保管領域に置き、ダウンロードはいずれも短時間で切れる署名付きのリンクです。ログインのトークンは、端末自身のキーチェーンまたはキーストアに保管します。アクセスできるのは、それを必要とするサービスだけです。完全に安全なシステムは存在しません。当社は、そうであるかのようなふりはしません。

10. このサイト

totshot.appは、どのページが読まれ、訪問者が検索エンジン・SNS・誰かが共有したリンクのどこから来たのかを知るために、Umamiで訪問数を集計しています。ページが表示されるたびに、カウンターはUmamiへ次の情報を送ります。ページのアドレス（?c= のような、リンクに付いたキャンペーンの目印を含む）、リンク元のページ、ブラウザの言語、画面サイズ、そしてUmamiがユーザーエージェントから読み取る端末の種類・OS・ブラウザです。App StoreやGoogle Playのバッジのタップも、どちらのストアかとあわせて同じように集計されます。UmamiはIPアドレスから国を割り出し、ユーザーエージェントとあわせて元に戻せないコードを計算して、ユニーク訪問者を数えます。IPアドレスそのものは保存しません。カウンターはCookieを使わず、端末に何も保存しないため、ほかのサイトまでお客さまを追跡することはできません。また、ブラウザがDo Not Trackを送っている場合は動作しません。Umamiは当社の指示にもとづき、米国と欧州連合にあるサーバーでこれを処理します。本サイトは広告を出さず、このカウンターのほかには第三者のスクリプト・フォント・画像も読み込みません — ページが使うそれ以外のファイルはすべてこのドメインから配信します。

サイト自体を配信しているのは、当社のウェブホスティング事業者であるVercelです。Vercelは、配信と不正利用の防止のために、リクエストごとのIPアドレス・時刻・ユーザーエージェントをアクセスログに記録します。上のUmamiのカウンターを除けば、このページをお見せするのに関わる会社は、これだけです。

保存するCookieは一つ、NEXT_LOCALEだけで、どの言語で読んでいるかを覚えています。識別子は入っておらず、ほかの誰にも読まれず、お客さまをどこへも追いかけません。

11. 本サイトでの写真チェック

totshot.appでは、アカウントなしで無料で、お子さまの写真を一つの書類の要件に照らしてチェックできます。ブラウザを離れる前に写真は縮小と再エンコードを経るため、ファイルのメタデータも取り除かれます。スマートフォンが写真に書き込む撮影場所は、当社に届きません。当社のサーバーでは、写真はメモリ上で測定され（当社のサービスが処理に使う一時バッファも含みます）、結果を送信した時点で破棄されます。保存されることはなく、ファイルにもデータベースにもストレージにも書き込まれず、お返しする結果以外の目的には一切使われません。

当社が保持するのは、画像を含まないチェックの記録です。書類と、写真の判定に用いた規定のバージョン、入力された場合はお子さまの月齢、回答の言語、合否、検出された各事項とその測定値・許容範囲、頭頂・あご・目の高さの線の位置（枠に対する割合）、頭の角度、目の閉じ具合・口の開き・視線の向きのスコア、写真を測定した検出器、チェックにかかった時間、チェックの日時です。画像、顔を囲む枠、目の位置を示す点、ファイル名、IPアドレスは含まれません。この記録は最長365日間保持され、アプリが判定に用いるしきい値の調整と、チェック後にストアのバッジがタップされた回数の集計に使われます。

• Cloudflareは、当社サーバーとやり取りされるほかのすべてのものと同じように、写真を当社サーバーへ運び、チェックの結果をお客さまへ運びます。どちらも自社ネットワークの端で復号され、その端と当社サーバーの間は暗号化されたトンネルで運ばれるため、写真と結果が通過するあいだ、Cloudflareは技術的にはそれを見ることができます。当社は、何かを保存するためにCloudflareを使うことはありません。
• レート制限がサービスを守ります。チェックへのリクエスト回数を接続ごとに数えるため、当社サーバーはネットワークアドレスを鍵付きハッシュに変換します。これは、少なくとも1日に1回入れ替える秘密鍵で計算する一方向のコードで、このコードごとに回数を数えます。IPv6アドレスでは、ネットワーク部分（先頭64ビット）だけを使います。回数の記録は24時間以内に失効し、チェックがアドレスそのものを保存することはありません。
• 当社のログとトレースは、チェックへのリクエストを、IPアドレスもブラウザのユーザーエージェントも含めずに記録します。上記のサーバーのログとはこの点が異なります。チェック1件のログに含まれるのは、時刻、リクエストされたパス（バッジやアプリへのリンクをタップした場合は、チェックの識別子を含みます）、応答のステータスとかかった時間、リクエストの識別子、そして判定です。判定とは、チェックの識別子、書類、言語、合否、問題のコード、上記の記録が保持する頭・目の高さの線・角度・表情の測定値で、これに加えて、検出器が顔を見つけたとどの程度確信していたかと、ほかの顔をいくつ見つけたかが含まれます。レート制限で拒否されたリクエストは、上記の鍵付きハッシュで記録され、アドレスで記録されることはありません。これらの記録は、当社のほかのログと同じく7日間保持されます。
• その後にストアのバッジやアプリへのリンクをタップした場合、チェックが役に立ったかを知るために、どれがタップされたかを時刻とともにチェックの識別子に紐づけて記録します。それ以外は記録しません。バッジのリンク自体がストアに伝えるのは、本サイトのチェックから来た訪問であることと、どの書類についてかだけで、ストアはこれをもとに、リンクから生まれたインストールの数を数えます。リンクにチェックの識別子が含まれることはありません。
• アカウントは不要です。チェックが設定するCookieは、上記の言語設定だけです。「このサイト」の節で説明した訪問カウンターは、チェックのページもほかのページと同じように数えるだけで、写真も結果も見ません。

写真に写っているのはお子さまであり、上記の「お子さまのデータ」の節がそのまま適用されます。写真は送っていただいた一つの目的にだけ使われ、それ以外には使われません。広告にも、いかなるモデルの学習にも使われず、結果を送信した時点で破棄されます。

12. お客さまの権利

ご自身のデータの写し、訂正、書き出し、削除を請求できます。削除はアプリからご自身で行えます。それ以外はsupport@totshot.appまでご連絡ください。どのご請求にも、人間がお返事します。

EUと英国では、これらはGDPRにもとづく権利であり、お住まいの国のデータ保護当局に苦情を申し立てられます。カリフォルニア州では、CCPAが定める意味での個人情報の販売も共有も、当社は行いません。権利を行使するのに費用はかかりません。

13. 本ポリシーの変更

このページの上にある日付は、本ポリシーを最後に変更した日です。データの扱い方に大きく関わる変更を行うときは、アプリまたはメールでお知らせします。

14. お問い合わせ

開示、訂正、書き出し、削除、それに答えの見つからないご質問まで、このページに関することはすべてsupport@totshot.appまでお送りください。当社に届くいちばん速い方法で、読むのは人間です。郵便は下記の住所に届きます。

15. 準拠法

本ポリシーは、米国デラウェア州の法律に準拠します。

本書は、言語切り替えで選べるすべての言語で公開しています。効力を持つのは英語版です。翻訳は読むためのものであり、解釈の根拠にはなりません。