プライバシーポリシー
本アプリ「ツキヨ」の運営者（以下「当方」）は、iPhone向けアプリ「ツキヨ」（以下「本アプリ」）で、利用者の情報を次のとおり扱います。本アプリは、お客さんの情報という、とても繊細な情報を預かる道具です。だからこそ、何を、どこに置き、何を外に出すのかを、できるだけ具体的に書きます。
要点
- アカウント登録はありません。
- お客さんのカルテは、利用者のiPhoneと、利用者自身のiCloud（非公開の領域）に保存されます。当方は見ることができません。
- LINEのトーク履歴の原文は、カルテには保存しません。
- AIの処理に送るのは、名前などを仮の記号に置き換えた内容です。当方の中継サーバーは、その中身を保存しません。
- 追跡も広告もありません。お客さんの情報や会話の中身は、当方に残りません。
- 当方のサーバーが覚えるのは、本物のアプリかどうかの確認と、回数の上限のための、端末ごとの番号・使った回数・購入の情報です（8項）。
- どの機能が何回使われたかの集計（使い方の回数）も送ります。お客さんの名前や文、金額は含みません。「わたし」の「使い方の回数を送る」で止められます（8-6）。
1. 事業者
事業者名：ツキヨ運営者（個人事業。氏名は、請求があった場合は、遅滞なく開示します。下記のメールアドレスまでご連絡ください。）
運営責任者：請求があった場合は、遅滞なく開示します。下記のメールアドレスまでご連絡ください。
所在地：請求があった場合は、遅滞なく開示します。下記のメールアドレスまでご連絡ください。
お問い合わせ：tsukiyo.support@proton.me
2. 利用目的
当方は、取り扱う情報を、次の目的のためにだけ使います。
- 本アプリの機能を提供するため（カルテの作成、文面づくり、声の記録の振り分け、口調の特徴づくり、カンペの作成など、利用者が選んだ機能の実現）。
- 本物のアプリからの通信かを確かめ、有料の機能が有効かを確かめ、回数の上限を適用するため（7項・8項）。
- 不正な利用の防止、障害の調査と対応、安全性の確保のため（通信の記録を含む）。
- お問い合わせへの対応のため（12項）。
- 法令を守るため、および本アプリの利用規約に反する利用の疑いを確かめるため。
- 本アプリの改善のため（どの機能が何回使われたかの集計。8-6）。
上の目的と関連する範囲を超えて情報を使う場合は、あらかじめお知らせし、必要な場合はあらためて同意をお願いします。
3. アカウント登録
本アプリに、アカウントの登録はありません。メールアドレス、電話番号、パスワードなどを、当方に登録していただく必要はありません。当方は、本アプリの利用のために、利用者の氏名や連絡先を集めません。ただし、利用者がお問い合わせのメールをくださったときは、メールアドレスと内容をお預かりします（12項）。
4. 端末とiCloudに保存される情報
利用者が本アプリに入れる、または取り込む情報は、次のとおりです。
| 情報 | 保存する場所 |
|---|---|
| お客さんのカルテ（呼び名、好み、話題、誕生日・記念日、タグ、写真など） | 利用者のiPhoneの中と、利用者自身のiCloud（非公開の領域） |
| 来店の記録、売上、バックや引かれるお金、目標など | 同上 |
| LINEのトークから取り出した事実と、その根拠 | 同上 |
| 連絡の傾向を表す数字（やりとりの頻度、返信までの時間など） | 同上 |
| 口調の見本にする、利用者自身が送った文（最大50通）と、そこから作った口調の特徴（口調カード） | 同上 |
| 自分のイベント（名前・日付・種類・お知らせ済みのお客さん）と、お客さんの記念日 | 同上 |
| 設定（営業日の区切り、営業を始める時刻、ロックなど） | 同上 |
iCloudへの保存は、Appleの仕組み（CloudKitの非公開データベース）を使って、利用者のApple IDの範囲でだけ行われます。当方はその中身を見ることも、取り出すこともできません。iCloudの同期は、iPhoneの設定でいつでも止められます。
端末内のデータは、iPhoneのデータ保護の機能で保護されます。
カルテの写真は、本アプリが長い辺512ピクセルほどに縮め、撮影場所などの情報を消してから保存します。写真は書き出しのファイルには入りません。
5. LINEのトーク履歴の扱い
- 利用者が渡したトーク履歴（書き出したファイル）やスクリーンショットは、本アプリが端末の中で読み取ります。スクリーンショットの文字の読み取りは、iPhoneの機能（Vision）で、端末の中で行います。
- トーク履歴の原文は、カルテには保存しません。読み取りと整理のあいだだけ使います。
- 受け取った書き出しファイルは、本アプリが一時的に端末の中に置きます。取り込みが終わるか、やめた時点で消します。取り込まずに置いたものも、7日で消します。
- カルテに保存するのは、取り出した事実（とその根拠となる短い言葉）、連絡の傾向を表す数字、口調の見本にする利用者自身の送信文（最大50通）だけです。これらは4項のとおり、端末と利用者自身のiCloudに置かれます。
- 取り込んだトークの内容を整理するために、AIの処理へ内容を送ります。送るのは、名前などを記号に置き換えたものです（次の項）。
6. AIによる処理
本アプリは、次の機能で、文章を整理したり作ったりするために、AIの処理を使います。
- LINEのトークからのカルテ作成
- 今日の営業の文面づくりと、言い方の変更
- 声で記録した内容の振り分け
- 口調の特徴づくり
- 自動で作るカンペ（「今日聞くこと」を含む）
6-1. AIの処理に送る内容
機能によって異なりますが、AIの処理には、次のものを送ります。
- 名前などを記号に置き換えた、会話・メモ・声の文字起こし
- カルテの項目（年代、仕事、地域、出身、誕生日、好み、地雷、ボトルなど）
- 来店回数と、最後の来店日
- 発言の日時
- 口調カード
- 自分のイベントの種類と日付（イベントの名前は送りません）
写真やスクリーンショットの画像、録音した音声そのものは送りません。
6-2. 送る前に、端末の中で名前を伏せます
AIの処理に送る前に、本アプリが端末の中で、次のように置き換えます。
- お客さんの名前・呼び名・LINEの名前・別名 → 「C1」「C2」…
- 利用者本人 → 「ME」
- 電話番号・メールアドレス・URL・郵便番号 → 「[TEL]」「[MAIL]」「[URL]」「[ADDR]」
置き換えの対応表は端末のメモリの中にだけ置き、結果を元の名前に戻したら捨てます。
置き換わらないことがある内容：1文字の名前、登録していない人の名前、LINE ID、住所の文字、職業や出来事、地名などは、置き換わらずに、そのまま送られることがあります。また、年代・仕事・地域・出身・誕生日などのカルテの項目は、置き換えずに送ります。
このほか、中継サーバーには、お客さんごとのランダムな番号が送られます。これは、無料で取り込める人数を数えるためだけに使い、AIの処理には渡しません。
6-3. 中継サーバーは、中身を保存しません
- 端末からAIへの通信は、当方が運営する中継サーバーを通ります。中継サーバーは、受け取った内容をAIの提供元に渡し、返ってきた結果を端末に返すだけです。
- 中継サーバーは、会話・メモ・文面などの中身を保存しません。
- 通信の記録として残すのは、次の項目だけです。端末の番号の先頭8文字、結果、かかった時間、入力の文字数、トークン数（AIが処理した量）、AI側に断られたかどうか、Proかどうか、AIの結果コード、エラーの理由。URLと、利用者のIPアドレスは、当方が見られる記録には残しません。この記録は、最長7日で自動で消えます。
- 中継サーバーは、Cloudflare, Inc.（米国）の提供するサービス上で動いています。通信は暗号化されます。
6-4. 結果は、送る前に利用者が確かめます
読み取った項目には印が付きます。作られた文面は、LINEで送る前に、利用者自身が必ず確かめます。
7. 外国にある第三者への提供（米国）
前項のAIの処理は、米国の事業者であるAnthropic, PBC（以下「AI提供元」）のAPIを使って行います。このため、AIの処理に送る内容は、個人情報保護法（個人情報の保護に関する法律）にいう「外国にある第三者への提供」にあたる場合があります。本アプリは、初めてAIの処理を使うときに、1枚の画面でご案内し、同意をいただきます。同意は、AIの処理を使う機能にだけ関わります。同意しなくても、無料の機能（手入力のカルテ、来店の記録、売上、通知、ロック、バックアップなど）はそのまま使えます。
| 提供先 | Anthropic, PBC 所在地：548 Market St, PMB 90375, San Francisco, CA 94104, United States |
|---|---|
| 提供先の所在国 | アメリカ合衆国（処理が行われる場所については、下の「情報が処理される場所」をご覧ください） |
| 提供する情報 | 6-1の内容（名前などを記号に置き換えた会話・メモ・声の文字起こし、カルテの項目、来店回数と最後の来店日、発言の日時、口調カード）。置き換えで取り除けなかった内容が含まれる場合があります。 |
| 提供の目的 | カルテ作成、文面づくり、声の記録の振り分けなど、利用者が選んだ機能を実現するため。 |
| その国の個人情報の保護に関する制度 | 個人情報保護委員会の「外国における個人情報の保護に関する制度等の調査」（アメリカ合衆国）によると、次のとおりです。
|
| 提供先が講じている個人情報の保護のための措置 | Anthropic, PBC が公表している内容は、次のとおりです（確認した日：2026年10月22日）。
|
- AI提供元のAPIに送られた情報は、標準の設定では、AIの学習には使われません（AI提供元の商用向けの規約と、公表されている方針による）。
- AI提供元は、不正利用の防止などのために、決められた期間だけ、送られた情報を保存することがあります。保存期間：受け取った日または作られた日から30日以内に、自動で削除されます（AI提供元の公表による）。
- 規約に違反している可能性があると判定された内容は、通常より長く保存されることがあります。保存期間：送られた内容と結果は最長2年、安全のための判定の点数は最長7年（AI提供元の公表による）。
- 情報が処理される場所：AI提供元の標準の設定（「global」）では、処理が米国以外の地域で行われることがあります。当方は現時点で、処理を米国内に限る設定を使っていません。AI提供元によると、保存される場所（ワークスペース）は米国です（確認した日：2026年10月22日）。
- 当方は現時点で、保存しない契約（ゼロデータリテンション）は結んでいません。AI提供元は、不正利用の監視などのために、送られた情報を決められた期間保存しますが、学習には使いません。今後、契約を変更する場合は、このポリシーを改定してお知らせします。
8. サーバーが覚えること（本物のアプリの確認・購入の確認・回数の上限・使い方の回数）
AIの処理は費用がかかるため、本物のアプリからの通信かを確かめ、購入を確かめ、使った回数を数える必要があります。あわせて、本アプリの改善のために、使い方の回数も数えます。このために、次の情報を当方のサーバーに送り、サーバーが覚えます。いずれも、氏名、メールアドレス、Apple IDなどの、利用者を直接特定する情報ではありません。ただし、端末の番号や購入の情報と結びつくため、当方は、これらを「ユーザーに関連付けられたデータ」として扱います。
8-1. App Attest（Appleの端末証明）
- 送るもの：本アプリのインストールごとにiPhoneの中で作られる暗号鍵の公開部分、Appleが発行する証明書、通信ごとの署名。
- 目的：改造されたアプリや、アプリ以外のプログラムからの不正な利用を防ぐため。
- この鍵は、本アプリをインストールした端末を区別する、ランダムな番号の役目をします。
8-2. StoreKit（App内課金）の取引情報の確認
- 送るもの：Appleが署名した取引情報の全体。購入日、価格、通貨、国、取引番号などが含まれます。Apple ID、氏名、支払い方法（カード番号など）は含まれません。
- 目的：「ツキヨ Pro」が有効かどうかを確かめ、有料の回数の上限を適用するため。
- 署名は、当方のサーバーがAppleの証明書の連なりまでたどって確かめます。
- 確かめたあと、サーバーが覚えるのは、有効期限、購入ごとの取引番号（originalTransactionId）、確かめた取引情報から作ったハッシュ（一方向に変換した値）だけです。購入日・価格・通貨・国は、覚えません。
8-3. 端末ごと（インストールごと）に覚えるもの
- App Attestの公開鍵と、通信の回数の確認用のカウンター
- 「ツキヨ Pro」の有効期限
- 購入の取引番号（originalTransactionId）
- 確かめた購入記録のハッシュ
- 無料で使える機能の、これまでの合計の回数
- 日ごと（日本時間）の、機能ごとの使った回数。うまくいかなかった試行も数えます。
- 日ごとの、使い方の回数の送信回数（1日24回まで）
- お客さんごとのランダムな番号を、一方向に変換した値（SHA-256のハッシュ）。無料で取り込める人数を数えるために使います。元の番号や名前には戻せません。
8-4. 購入ごとに覚えるもの
同じ購入を使う複数の端末のあいだで、日ごとの上限を共有するために、購入ごとの記録（日ごとの使った回数など）を、端末とは別に覚えます。
8-5. 覚えている期間
日ごとの回数（機能ごとの使った回数、試行の回数、使い方の回数の送信回数）は、日本時間で日付が変わったあと、その端末（または購入）から次に通信があったときに、前の日のものを消します。App Attestの使い捨ての確認用の値（チャレンジ）は、5分で無効になり、使うと消えます。そのほかの記録（公開鍵とカウンター、「ツキヨ Pro」の有効期限、取引番号、ハッシュ、無料で使える機能の合計の回数、お客さんの番号のハッシュ）は、期限を定めず保存し、ご依頼があれば消します。
8-6. 使い方の回数（計測）
- 送るもの：日本時間の日付、決まった機能の名前（例：文面を作った、送った、来店を記録した、課金の画面を開いた）、決まった種類（例：取り込みがLINEかスクリーンショットか、年額か月額か）、回数。
- 送らないもの：お客さんの名前や番号、会話やメモの文、金額、自分のイベントの名前。
- 端末の番号：サーバーで一方向に変換した値（SHA-256の先頭16文字）にしてから記録します。この計測の通信の記録（6-3）には、端末の番号を残しません。
- 記録する場所：Cloudflare, Inc.（米国）の Workers Analytics Engine。保存期間：3か月（Cloudflare の公表による。確認した日：2026年10月22日）。
- 送る間隔：端末に日ごとの回数を溜め、6時間に1回ほどまとめて送ります。送るときは、8-1のApp Attestで端末を確かめます。そのため、AIの機能を一度も使っていなくても、初めて回数を送るときに、8-1の鍵が作られ、サーバーに届きます。
- 止め方：本アプリの「わたし」→「使い方の回数を送る」をオフにします（初めはオン）。オフにすると送りません。「すべてのデータを消す」で、端末に溜まった回数も消えます。
9. 音声認識、Face ID、通知、写真
- 音声認識：声で記録するときの文字起こしは、iPhoneの端末内の音声認識（SpeechAnalyzer）で行います。録音した音声は、当方にもAI提供元にも送りません。文字にした内容は、名前を伏せたうえで、振り分けのために6項のAIの処理へ送ります。
- Face ID・パスコード：ロックの確認はiPhoneのOSが行います。本アプリが顔や指紋のデータを受け取ることはありません。独自のパスワードは作りません。
- 通知：通知は、端末の中で作ります。当方のサーバーから送る通知はありません。
- 写真：カルテに付ける写真やスクリーンショットは、利用者が選んだものだけを読み取ります。画像そのものは、端末の外に送りません。カルテの写真は、4項のとおり縮めて、撮影場所などの情報を消します。
10. 追跡・広告・App Storeのプライバシー表示・第三者への提供
- 追跡も広告もありません。本アプリには、他社の広告用・分析用のSDKもありません。他社のアプリやサイトをまたいで利用者を追跡することはなく、App Tracking Transparencyの許可を求めることもありません。
- お客さんの情報や会話の中身は、当方に残りません。
- App Storeのプライバシー表示では、端末ごとの番号と使った回数を「ユーザーに関連付けられたデータ（Appの機能・分析）」、購入の情報を「ユーザーに関連付けられたデータ（Appの機能）」、名前を伏せてAIの処理に送る文を「ユーザーに関連付けられないデータ（Appの機能）」として表示しています。
- 当方は、法令に基づく場合を除き、利用者の情報を、6項・7項・8項で述べた範囲を超えて第三者に提供しません。
11. このサイトを見たとき
- このサイト（公開ページ）は、Cloudflare, Inc.のCloudflare Pagesで配信しています。配信にあたり、アクセスの記録（IPアドレス、日時、閲覧したページなど）が、配信事業者のもとで一時的に作られることがあります。当方はこのサイトで、Cookieも、アクセス解析も使いません。
- 文字の表示のために、Google Fonts（Google LLC）から書体を読み込みます。このとき、閲覧した端末のIPアドレスなどが、Googleに送られます。
12. お問い合わせでお預かりする情報
利用者がサポートにメールをくださったときは、メールアドレスと、メールの内容（添付を含む）を、当方がお預かりします。これは個人情報にあたる場合があります。お問い合わせへの対応と、同じ問題の再発の防止のために使い、対応が終わったあとも、1年間保存します。ご依頼があれば消します。お客さんの名前や会話の内容は、メールに書かないでください。
13. 安全管理措置
当方は、取り扱う情報の漏えい、滅失、毀損を防ぐために、次の措置をとります。
- 組織的措置：個人情報を取り扱うのは、運営者ひとりです。責任者も運営者とします。問題が起きたときは、状況を確かめ、影響のある利用者に必要なお知らせをし、再発を防ぐ手当てをします。
- 人的措置：運営に関わるのは運営者ひとりで、従業者はいません。サーバーの提供元のCloudflare, Inc.と、AI提供元のAnthropic, PBC以外に、利用者の情報を渡す委託先や協力者はいません。今後、委託先や協力者を加える場合は、秘密を守る約束と、必要な監督を行ったうえで、このポリシーを改定してお知らせします。
- 物理的措置：お客さんのカルテは、当方のサーバーにも、当方の機器にも置きません。開発・運営に使う機器は、パスコード（パスワード）による画面ロックと、ディスクの暗号化を有効にします。
- 技術的措置：通信を暗号化します。中継サーバーは、会話などの中身を保存せず、通信の記録の項目を最小限にしています（6-3）。サーバーの秘密の鍵などは、コードや記録に含めず、安全な保管機能で管理します。端末側では、アプリのロック（Face ID・パスコード）、アプリ切り替え画面でのぼかし、名前をイニシャルにする待機室モード、地味なアイコンへの切り替えを用意しています。
- 外的環境の把握：当方が使う事業者は、サーバーの提供元のCloudflare, Inc.（米国）と、AI提供元のAnthropic, PBC（米国）です。それぞれの国の個人情報の保護に関する制度を把握し、必要な措置をとります。米国の制度は、個人情報保護委員会の調査（7項に記載）で把握しています（確認した日：2026年10月22日）。米国には、連邦のレベルで個人情報の保護に関する包括的な法令がないことを踏まえ、中継サーバーに会話などの中身を保存しないこと、AIの処理に送る前に名前などを記号に置き換えることで、情報をできるだけ渡さないようにしています。
14. 保存期間と、データの消し方
- 端末の中のデータ：本アプリを削除すると、端末の中のデータも消えます。アプリの「わたし」から、すべてのデータを消すこともできます。
- iCloudのデータ：iPhoneの「設定」→ いちばん上の自分の名前 →「iCloud」→「ストレージ」（または「アカウントのストレージを管理」）から本アプリを選び、「iCloudからデータを削除」で消せます。本アプリの「わたし」→「すべてのデータを消す」でも、iCloudを使っている場合は、iCloudの記録も消えます。画面の名称は、iOSのバージョンによって少し違うことがあります。
- 書き出しファイル：5項のとおり、取り込みが終わるか、やめた時点で消します。取り込まずに置いたものも、7日で消します。
- サーバー側の記録：8項の記録は、8-5のとおりです。日ごとの回数は、日が変わったあとの次の通信で消します。それ以外は、期限を定めず保存し、ご依頼があれば消します。通信の記録（6-3）は、最長7日で自動で消えます。使い方の回数は、8-6の保存期間で消えます。
- AI提供元での保存：7項のとおりです。
- お問い合わせのメール：12項のとおりです。
15. 開示・訂正・削除などのご請求
お客さんのカルテなどは、利用者の端末とiCloudにあり、当方は持っていません。利用者ご自身が、本アプリの中で見る、直す、消すことができます。
サーバー側の記録（8項）と、お問い合わせのメール（12項）について、開示・訂正・利用停止・削除などをご希望の場合は、お問い合わせ先までご連絡ください。手数料はいただきません。ご本人の確認は、お問い合わせのメールのやりとり、または、App Storeの購入情報（購入日や取引番号など、Appleの領収書で分かるもの）で行います。アプリに表示されない端末の番号は、お願いしません。法令に基づき、遅滞なく対応します。
16. 18歳未満の方
18歳未満の方は、本アプリを利用できません。
17. お客さんなど第三者の情報について
本アプリには、利用者がお客さんや知人などの情報を入れます。これらの情報は、利用者ご自身の責任で、適法に、必要な範囲で扱ってください。トーク履歴やスクリーンショットを取り込む前に、そのやりとりを扱ってよいか、ご自身で確かめてください。本アプリの上で、お客さんの住所、勤務先、本名など、必要以上の情報を集めることはおすすめしません。
18. 改定
法令の改正、本アプリの機能の変更などにより、このポリシーを改定することがあります。重要な変更は、本ページとアプリ内でお知らせします。2項の目的と関連する範囲を超えて情報を使うことになる変更や、外国にある第三者への提供の内容を変える場合は、あらためて同意をお願いします。同意がない場合は、その変更にかかわる機能を使わせないことがありますが、無料の機能は引き続き使えます。
19. お問い合わせ
このポリシーに関するお問い合わせは、次の連絡先へお願いします。
ツキヨ運営者
メール：tsukiyo.support@proton.me
改定履歴
| 日付 | 内容 |
|---|---|
| 2026年10月22日 | 制定 |