kizuna-baton

きずなbaton プライバシーポリシー

最終更新: 2026-07-17 版: v5.2（家族メンバー写真〔任意〕の追加 — APP-MEMBER-PHOTO）。家族メンバーの表示アイコンに、本人が任意で写真（お顔写真等）を設定できる機能を追加する。写真は、本人が設定した場合にのみ端末内に保存され、(A) アカウント作成＋(B)「クラウド保存」の有効化の両方を行っている場合に限り、本人のアカウントだけが読み取れるクラウドデータベース（Cloud Firestore・東京リージョン）へ複製される。写真は第6条の家族共有（cross-account 閲覧）の対象外であり、招待した家族メンバーが閲覧することはない（Firestore Security Rules により members 情報は本人のみ可読）。写真はいつでも削除でき、削除はクラウド側の複製にも反映される。第17条第2項ただし書き（本人の明示的な設定操作によってのみ開始される取扱い）に基づき、改定通知＋再同意（PRIVACY_VERSION v5.1→v5.2・CONSENT_KEY :v28→:v29）をもって30日前通知に代える。利用規約は変更なし（v3.3.2 のまま）。 （前版 v5.1＝App Store 公開に伴う表記整理〔APP-DEBETA・2026-07-10〕。前々版 v5.0＝クラウド招待・cross-account 閲覧 対応版。各改訂の詳細は改訂履歴を参照）

⚠️ 本ドキュメントの位置づけ（必ず最初に読む）

本プライバシーポリシー（以下「本ポリシー」）は、きずなbaton運営事務局（以下「運営者」）が提供するサービス「きずなbaton」（以下「本サービス」）における個人情報の取扱いについて定めるものです。

第1条（事業者・問い合わせ窓口）

  1. 個人情報の取扱いに関する事業者は、きずなbaton運営事務局（個人事業）です。
  2. 個人情報の取扱いに関する問い合わせ窓口は、利用規約第1条に定める窓口（メールアドレス: kizunabaton.official@gmail.com）と同一です。
  3. 運営者の氏名・所在地その他の事業者情報は、法令上必要な範囲（特定商取引法に基づく表記等）で別途開示するとともに、本人からの請求に応じて遅滞なく開示します。

第2条（取得する個人情報）

運営者は、本サービスの提供にあたり、次の情報を取得します。

  1. アカウント情報: メールアドレス、表示名
  2. 認証関連情報: ハッシュ化されたパスワード、多要素認証用の識別子、認証セッショントークン、ログイン履歴（日時・概略のIP/地域情報）
  3. 端末情報: 端末識別子、OS およびアプリのバージョン、言語設定、タイムゾーン
  4. 本人が登録する契約メタデータ: 契約名、カテゴリ、所有者、金額、支払日、支払サイクル、支払方法の区分（具体的な口座番号・カード番号は除く）、連絡先、解約手続の概要、契約に関するメモ
  5. 本人が登録する家族メンバー候補の情報: 招待先メールアドレス（本人が招待を発行した場合に、招待先メールアドレスへの到達確認 OTP を送信する目的で取得）、本人による呼び名候補、関係性候補、家族メンバーの写真（お顔写真等。本人が表示アイコン用に任意で設定した場合にのみ取得し、既定では取得しません）
  6. 公開範囲設定情報: 各契約について本人が選択した閲覧範囲
  7. 家族メッセージ・所在メモ: 本人が家族宛に残す任意のメッセージ、機密情報の保管場所を示すメモ（番号類そのものは含めない方針）
  8. 利用状況情報: 最終ログイン日時、招待発行・受諾履歴、本人による手動共有設定の変更履歴（現行版では「もしもの時」発動関連の申請・承認・通知履歴は emergencyMode = OFF のため取得しません）
  9. 問い合わせ情報: 問い合わせの内容、やり取りの履歴
  10. 年齢・居住地の自己申告情報: 18歳以上であること、日本国内居住であることの自己申告（招待を受諾する家族メンバーも受諾時に同様の自己申告を行います）

【本人の端末内保存と、任意の「クラウド保存（端末間同期）」「家族の招待」における実取得情報】（v3.2.1 新設／v4.0・v5.0 改訂）

本サービスは、既定では、本人の端末ブラウザの localStorage 領域内のみに情報を保持し、本人が登録した契約データを外部サーバーへ自動送信しません（外部通信は本節「外部通信」に定めるものに限られます）。本人が任意で次の各操作を明示的に行った場合に限り、情報が委託先のサーバー（Google／Firebase、Twilio SendGrid）に保管・送信されます。いずれの操作も行わない限り、従来どおり本人の端末内のみで動作し、本人の登録した契約データが端末外へ出ることはありません。

委託先サーバー（Google／Firebase、Twilio SendGrid）に保管・送信する情報（各項目の発生条件は末尾の括弧のとおり）:

  1. アカウント情報・認証関連情報（(A) アカウント作成のみで発生。Firebase Authentication が取扱う／本条第1項第1号・第2号相当）
  2. 本人が登録した契約・資産のメタデータ、家族メンバー候補の呼び名・関係性カテゴリ（メールアドレスを除く）、家族メンバーの写真（本人が任意で設定した場合のみ。本人のアカウントのみが読み取れ、家族メンバーには開示されません）、公開範囲設定、家族メッセージ・所在メモ、カード会社名・下4桁（(A)＋(B) の両方を行った場合に発生。Cloud Firestore が取扱う／本条第1項第4号〜第7号相当）
  3. 同意取得の監査記録（同意時刻・ToS/PP バージョン・年齢/居住地の自己申告。(B) クラウド保存の有効化時、および (C) 家族メンバーが招待を受諾した場合に Cloud Firestore へ記録）
  4. 招待管理情報（(C) 本人が招待を発行した場合に発生。Cloud Firestore が取扱う）: 招待先メールアドレス、OTP の照合用ハッシュ値（平文 OTP は非保管）、招待相手の呼び名・関係性カテゴリ、招待状態（保留中／受諾済／失効）、発行時刻・有効期限、受諾者のアカウント識別子。招待先メールアドレスは、招待メール送信時に メール配信事業者（Twilio SendGrid・米国）へ送信されます。
  5. 共有関係情報（shares）（(C) 招待先が受諾した場合に発生。Cloud Firestore が取扱う）: 招待元 uid・受諾者 uid・端末内メンバーID・受諾時刻・招待元の表示名。

端末内（localStorage）に保持する情報（クラウド保存・招待の有無にかかわらず本人の端末に保存されます。以下のキーに格納される情報を実際に取扱います）:

  1. kizuna-baton:data:v20: 本人が登録した契約メタデータ（本条第1項第4号相当）、家族メンバー候補の本人による呼び名・関係性カテゴリ・家族メンバーの写真〔本人が任意で設定した場合〕（同第5号のうちメールアドレスを除く部分）、公開範囲設定（同第6号）、家族メッセージ・所在メモ（同第7号）
  2. kizuna-baton:onboarding-shown:v16: オンボーディング表示済フラグ（利用状況情報相当・本条第1項第8号の一部）
  3. kizuna-baton:dark-mode:v18: ダークモード設定（端末情報相当・本条第1項第3号の一部）
  4. kizuna-baton:sort:v19: 契約一覧の並び替え設定（利用状況情報相当・本条第1項第8号の一部）
  5. kizuna-baton:consent-shown:v29: 本利用規約・本ポリシーへの本人同意取得済フラグ（v3.2.1 新規。以降、委託先開示・材料的変更のたびに更新。v4.0 でクラウド保存に伴い :v25→:v26。v5.0 でクラウド招待という material change に伴い :v26→:v27。v5.1 で表記整理の再同意に伴い :v27→:v28。v5.2 で家族メンバー写真〔任意〕の追加に伴う再同意取得のため :v28→:v29 に更新）
  6. kizuna-baton:consentLog:v22: 同意取得時刻・同意対象バージョン（ToS/PP）・居住地および年齢の自己申告（本条第1項第10号）の記録（v3.2.1 新規・本ポリシー第18条第6項対応）
  7. kizuna-baton:large-mode:v42: 文字拡大（老眼）モードの表示設定（端末上の表示設定であり、本人を特定する情報を含みません）
  8. kizuna-baton:logo-dev:pk: ロゴ画像取得サービス（Logo.dev）の公開可能キー（Publishable Key）。本人が任意に設定した場合に端末内に保持されるもので、本人を特定する個人情報ではありません（未設定時は既定キーを使用し、本キーは保存されません）
  9. kizuna-baton:cloud:v1（v4.0 新規）: アカウント連携情報（連携識別子 uid・メールアドレス・端末内メンバーID・連携日時）。本人がアカウントを作成・ログインした場合のみ端末内に保持します（パスワードは含みません）
  10. kizuna-baton:cloudsync:v1（v4.0 新規）: クラウド保存の状態（有効/無効・最終同期時刻・同期管理情報）。本人がクラウド保存を有効化した場合のみ端末内に保持します

アカウント作成・クラウド保存・招待のいずれも行わない場合に取扱わない情報（本条第1項に列挙されていても、既定の端末内のみ動作では取得しません）:

外部通信: 本サービスが行う外部通信は次に限られます。①Tabler Icons CSS（CDN: cdn.jsdelivr.net）の静的取得（本人の情報は送信しません）。②契約一覧等で表示するサービスのロゴ画像を取得するため、Logo.dev（img.logo.dev）へ本人が登録した契約サービスのドメイン名のみ（例: example.com）を送信します。本人の氏名・メールアドレス・端末識別子その他、本人を直接特定する個人情報は送信しません。ただし、送信されるドメイン名の組み合わせから本人の契約サービスが推測され得るため、透明性確保の観点から本項で開示します。③本人が任意でフィードバックを送信した場合に限り、フィードバック調査フォーム Formspree（formspree.io）へ本人がその場で選択した内容のみを送信します。送信される情報は、感想の選択値（3択）と、あらかじめ用意された固定の選択肢から本人が選んだ選択式タグ（複数選択可・任意）、および送信元を示す区分（例: after_beta_limit）に限られます。いずれも本人が自由に文章を入力する欄はなく（アプリ内のフィードバックには自由記述欄を設けていません）、アプリが氏名・メールアドレス・端末識別子・契約名・金額・カード番号等の番号類を自動付加して送信することもありません。フィードバックを送信しない限り、この外部通信は発生しません。なお、フィードバック送信の際は、通信の性質上、送信元 IP アドレス・ブラウザ情報（User-Agent）・受信日時等の技術的情報が Formspree 側で受信・記録され得ます。これらは運営者が機能として収集・利用するものではなく（運営者が参照できる管理画面・API には送信内容と受信日時・処理状態のみが表示され、IP アドレス・User-Agent は表示されません）、Formspree における取扱いは同社のプライバシーポリシーに従います。④本人がアカウントを作成した場合（第2条(A)）、Firebase Authentication へアカウント情報・認証関連情報を送信・保管します。さらにクラウド保存を有効化した場合（同(B)）に限り、Cloud Firestore へ、本節「委託先サーバーに保管・送信する情報」の第2号・第3号に定める情報を送信・保管します（第7条参照。データ本体〔Cloud Firestore〕は日本〔東京リージョン〕に、認証情報〔Firebase Authentication〕は Google のグローバル基盤〔主に米国〕に保管されます）。この④の通信は、本人がアカウント作成（認証情報）またはクラウド保存の有効化（契約データ等）を行わない限り発生しません。⑤本人が家族メンバーを招待した場合（第2条(C)）に限り、メール配信事業者 Twilio SendGrid（sendgrid.com／sendgrid.net・米国）へ、招待先メールアドレス・OTP・招待リンク・招待元（本人）の表示名を送信し、招待メール（OTP メール）を配信します。この⑤の通信は、本人が招待を発行しない限り発生しません。送信先である招待先メールアドレスは招待相手（第三者）の個人情報であり、本人の指示に基づく到達確認目的に限って送信します。②③④⑤の通信では、通信の性質上、送信元 IP アドレス・ブラウザ情報（User-Agent）・受信日時等の技術的情報が各委託先で受信・記録され得ます。

【ランディングページ（LP）の登録フォームについて】（v3.2.5 追記）: 本サービスの紹介用ランディングページ（本ポリシーへのリンクを掲載）には、最新情報の受け取り等を目的とする任意の登録フォームがあり、上記③と同一の Formspree（formspree.io/f/xredoben）へ送信されます。前項③はアプリ内フィードバックに関する記述であり、この登録フォームには別途、本人が任意で入力する以下の情報が含まれ得ます: 反応の選択値（必須）、メールアドレス（任意）、ニックネーム等のお名前（任意）、利用予定の立場の選択値（任意）、ご要望・ご期待の自由記述（任意）、続報メール配信への同意の有無。すなわち、この登録フォーム経由ではメールアドレス・お名前および自由記述が送信され得ます（いずれも本人の任意入力に限られ、フォームを送信しない限り送信は発生しません）。当該フォームには、カード番号・口座番号・暗証番号等の番号類を入力しないよう注意書きを表示しています。

本節に定める委託先サーバー（Google／Firebase、Twilio SendGrid）への保管・送信は、本人が明示的に (A) アカウントを作成し、(B) クラウド保存を有効化し、または (C) 家族メンバーを招待した場合にのみ行われます。本サービスが本節の範囲を超えて新たな情報の取得・保管（例: 本人の応答途絶を契機とする取扱い〔emergencyMode〕、日本国外居住家族への開示、公的書類の受領等）を開始する場合は、本条第1項各号その他本ポリシーの規定に基づき、本ポリシーを改定し、効力発生日の30日以上前までに利用者へ通知のうえ、改めて再同意を取得します。

第3条（取得しない情報・取得を求めない情報）

  1. 運営者は、本サービスの設計上、次の情報を 取得対象としません。利用者は、これらの情報を本サービスの入力欄に入力しないでください。
    • クレジットカード番号フル（PAN）
    • 銀行口座番号
    • 暗証番号・パスワード・PIN・各種ログイン情報
    • マイナンバー
    • 保険証券・本人確認書類・身分証明書・公的書類の画像で機微情報が読み取れるもの
  2. 本サービスは、利用者が前項の取得対象外情報を誤って入力することを防止するため、入力欄に対する注意喚起表示・パターン検知・マスク表示・登録拒否等の措置を、機能の性質に応じて講じる場合があります。具体的な検知パターン・拒否条件は、利用者にとって最大限の保護を提供することを目的として、本サービスの仕様の改善に応じて適宜更新します。利用者は、本サービスが完全な自動検知を保証するものではないことを理解し、第1項に定める情報を自ら入力しない責任を負うものとします。
  3. 万一、上記情報が本サービスに残った場合、運営者はこれを認識した時点で速やかに削除します。
  4. 現行版では、死亡証明書類・除籍謄本・本人確認書類・戸籍類その他の本人状況に関する公的書類のアップロード機能を提供しません。これらの書類の提示を求める運用は、本ポリシー改定および再同意取得を経るまで行いません。

第4条（利用目的）

運営者は、取得した個人情報を、次の目的の範囲内で利用します。

  1. 本サービスの提供および機能の維持・改善
  2. 利用者の認証および本人確認
  3. 家族メンバーへの招待の送信（招待先メールアドレスへの到達確認 OTP 送信を含む）およびその管理、ならびに本人が手動共有した契約・資産の当該家族メンバーへの閲覧提供
  4. 現行版では提供しません。本目的（「もしもの時」存在通知モードの発動に関する申請・承認・通知・記録の管理および家族メンバーへの限定的開示）について、仮に将来本ポリシーを改定し再同意を取得した上で当該利用目的に基づく取扱いを開始する場合は、現行の同意とは独立した新たな同意を法的根拠とします。本号は将来当該取扱いを開始することを運営者が約束するものではなく、また現行版（emergencyMode = OFF）では本目的のための個人情報取扱いは行いません。
  5. 不正利用・虚偽申請・なりすまし・濫用の検知および防止（招待機能のレート制限・OTP 試行回数制限を含む）
  6. 利用者からの問い合わせ対応
  7. サービスに関する重要なお知らせ・規約改定の通知
  8. 法令上の義務の履行

現行版では、AI 支援機能・行動ターゲティング広告・利用者の個別プロファイリング（信用評価・スコアリング等）を目的とした個人情報の利用は行いません。

第5条（取扱いの法的根拠）

  1. 国内法（個人情報保護法）に基づき、運営者は、次のいずれかの根拠により個人情報を取り扱います。
    1. 利用者の同意がある場合（特に、家族メンバーへの開示は本人による個別指示を根拠とします。第6条参照）
    2. 利用者との契約の履行に必要な場合
    3. 法令上の義務の履行に必要な場合
  2. 招待先メールアドレス（招待相手＝第三者の個人情報）の取扱いは、本人（招待元）による明示的な招待指示を根拠とし、到達確認 OTP の送信という目的の範囲内に限ります。招待相手は、招待メール受領後、自らアカウントを作成し本規約・本ポリシーに同意した場合にのみ本サービスの利用者（家族メンバー）となり、以後は当該家族メンバー自身の同意を根拠として個人情報を取り扱います。
  3. 将来、国外利用者にサービスを提供する場合、適用法令（GDPR、UK GDPR、CCPA 等）に従い、適切な法的根拠に基づき個人情報を取り扱います。

第6条（家族メンバーへの開示／第三者提供）

  1. 運営者は、次の場合を除き、利用者の個人情報を第三者に提供しません。
    1. 利用者本人が、本サービスの画面上から次のいずれかの明示的な個別指示を行った場合
      • 各契約に対する公開範囲設定の指定
      • 家族メンバーへの招待の発行
      • 「もしもの時」発動条件の事前設定
    2. 利用者から個別の同意が得られた場合
    3. 法令に基づく場合（捜査機関等からの適法な要請を含む）
    4. 人の生命・身体・財産の保護のために必要があり、本人の同意取得が困難な場合
    5. 事業承継に伴い個人情報を引き継ぐ場合（引継先にも同等以上の取扱いを義務付け、利用者へ事前に通知します）
  2. 本ポリシーへの包括的な同意のみを根拠とした家族メンバーへの情報開示は行いません。家族メンバーへの開示は、本人が画面上で明示的に行った手動の個別指示（各契約に対する公開範囲設定、および家族メンバーの招待）に基づき、その指示の範囲内でのみ行われます。具体的には、本人が招待し受諾した家族メンバー（本人とは別個のアカウント）は、本人が公開範囲設定で「全員に見せる」または「選んだ家族だけ（当該家族メンバーを含む）」に指定した契約・資産のみを、閲覧のみの状態で閲覧できます（公開範囲を設定していない契約・資産は既定で「全員に見せる」として扱われます）。「自分だけ（非公開）」および「もしもの時だけ」に指定した契約・資産は当該家族メンバーに開示されません。家族メンバーは本人のデータを編集・削除・エクスポートできません。家族メンバーが閲覧できる契約には本人が入力したカード会社名・カード下4桁が含まれ表示され得る一方、機密メモ（所在メモ）およびカード型資産の情報はサーバー側の制御により本人のみが読み取れます。現行版（emergencyMode = OFF）では、本人の応答途絶を契機とする自動的な開示は一切行われません。
  3. 招待先メールアドレスは、招待相手（第三者）の個人情報であり、本人（招待元）による招待指示に基づき、到達確認 OTP の送信目的に限りメール配信事業者（Twilio SendGrid・米国）経由で送信されます。本人は、招待相手が招待を受けることに合意する見込みがある場合に限り招待を送信するものとし、無関係な第三者への招待・反復的な大量招待を行ってはなりません（利用規約第6条）。
  4. 現行版では、日本国外居住の家族メンバーへの情報開示は行いません。招待の受諾時に、家族メンバーは日本国内居住・18歳以上であることを自己申告するものとし、日本国外居住である場合は受諾できません。将来の版での海外居住家族への開示可否は、本ポリシー改定および再同意取得を経て別途定めます。

第7条（委託先）

  1. 運営者は、本サービスの提供のために必要な範囲で、外部事業者にデータ処理の一部を委託します。委託先のカテゴリと主な目的は次のとおりです。
    • クラウド／BaaS 事業者（Google LLC ／ Firebase）: アプリケーションの実行基盤、認証（Firebase Authentication）、データベース（Cloud Firestore）、ストレージ。本人がアカウントを作成し、かつクラウド保存を有効化した場合、または家族メンバーを招待した場合に限り、第2条「委託先サーバーに保管・送信する情報」に定める情報（アカウント情報・認証関連情報・本人が登録した契約/資産メタデータ・カード会社名/下4桁・所在メモ・家族メッセージ・公開範囲設定・同意監査記録・招待管理情報・共有関係情報）を委託して保管します。データ本体（Cloud Firestore）は日本（東京リージョン）に、認証情報（Firebase Authentication）は Google のグローバル基盤（主に米国）に保管されます（所在地・越境移転の取扱いは本条第3項参照）。取扱いは同社のプライバシーポリシー（Google プライバシーポリシー／Firebase データ処理条項）に従います。
    • メール配信事業者（Twilio SendGrid＝SendGrid サービス／Twilio Inc.・米国）: 家族メンバーへの招待メール・到達確認 OTP メールの送信、および受諾時の招待元本人への通知メールの送信。本人が招待を発行した場合に限り、招待先メールアドレス・OTP・招待リンク・招待元（本人）の表示名を送信し、招待先が受諾した場合に限り、招待元（本人）のメールアドレス・受諾した家族メンバーの呼び名を送信します。サーバは日本国外（米国）に所在します（本条第3項参照）。取扱いは同社のプライバシーポリシー（Twilio プライバシー通知／データ保護補遺）に従います。
    • 問い合わせ管理ツール: 問い合わせ対応の管理
    • 解析ツール（採用する場合のみ）: 利用状況の集計分析（個人を特定しない範囲）
    • ロゴ画像取得サービス（Logo.dev）: 契約一覧等で表示するサービスロゴ画像の取得。送信する情報は本人が登録した契約サービスのドメイン名のみで、本人を直接特定する個人情報は送信しません。サーバは日本国外に所在します（本条第3項参照）。
    • フィードバック調査・登録フォーム（Formspree）: 本人が任意で送信した情報の受領・管理。送信元は2系統あり、いずれも本人が送信しない限り送信は発生しません。①アプリ内フィードバック: 感想の選択値・選択式タグ・送信元区分のみ（自由記述欄なし。アプリが氏名・メールアドレス・端末識別子・契約名・金額・番号類を自動付加して送信することはありません）。②ランディングページの登録フォーム（第2条のLP登録フォームに関する記述参照）: 本人が任意で入力する反応の選択値・メールアドレス（任意）・お名前（任意）・利用予定の立場（任意）・ご要望の自由記述（任意）・続報配信への同意の有無。②ではメールアドレス・お名前および自由記述が送信され得ます。なお、①②いずれの送信においても、通信の性質上、送信元 IP アドレス・ブラウザ情報（User-Agent）・受信日時等の技術的情報が Formspree 側で受信・記録され得ますが、これらは運営者が機能として収集・利用するものではありません（運営者が参照できる範囲には含まれません）。同社における取扱いは同社のプライバシーポリシーに従います。サーバは日本国外に所在します（本条第3項参照）。
  2. 本サービスの公開と同時に、確定済みの委託先事業者名（クラウド／BaaS 事業者名、メール配信事業者名等）を、本ポリシーまたは本サービス内プライバシーセンターの「委託先一覧」において具体的に開示します。委託先の追加・変更が生じた場合は、本ポリシーの改定または委託先一覧の更新により事前に開示します。なお、本サービス公開時点で委託先が未確定のカテゴリがある場合は、当該カテゴリの委託先を採用する前に、本ポリシーまたは委託先一覧で明示の上、利用者に再通知します。
  3. 委託先のサーバ所在地および越境移転の取扱いは、次のとおりです。
    • Cloud Firestore（本人が登録した契約・資産等のデータ本体、公開範囲設定、同意監査記録、招待管理情報、共有関係情報）: 日本（東京リージョン asia-northeast1） に保管されます。
    • Firebase Authentication（アカウント・メールアドレス・認証情報）: リージョンを指定できず、Google のグローバル基盤（主に米国）で処理・保管されます。したがって、本人がアカウントを作成した場合、メールアドレス・認証関連情報の一部が 日本国外（米国） で処理・保管されます。
    • Twilio SendGrid（招待先メールアドレス・OTP・招待リンク・招待元の表示名）: 本人が招待を発行した場合に限り、これらの情報が招待メール送信のため 日本国外（米国） の同社基盤で処理されます。 委託先事業者である Google LLC および Twilio Inc. は米国法人です。上記の外国（米国）における個人情報の取扱いについて、運営者は、各社が提供するデータ処理条項（Google Cloud／Firebase のデータ処理条項、Twilio のデータ保護補遺＝個人情報の取扱いに関する契約上の措置）を相当措置とし、個人情報保護法第28条に基づく基準に適合する体制を継続的に確保することにより対応します。移転先である米国の個人情報の保護に関する制度の概要、および当該相当措置に関する情報は、本サービス内のプライバシーセンターまたは第1条の問い合わせ窓口を通じて提供します。
  4. 運営者は、委託先選定にあたり、当該事業者のセキュリティ・プライバシー対応の妥当性を確認し、必要に応じて契約上の措置を講じます。

第8条（安全管理措置）

運営者は、個人情報の漏えい・滅失・毀損の防止のため、次の措置を講じます。

講じる措置（機能の提供段階に応じて実施します）

現に講じている措置（現行版・クラウド保存・クラウド招待を含む）:

対応する機能の提供開始に合わせて段階的に講じる措置（未提供の機能に係るもの）:

現行版では講じない措置

利用者は、上記の前提を理解した上で本サービスを利用するものとします。利用者側でも、強固なパスワード設定・パスワードの使い回し回避・端末ロック・OS およびアプリの最新化等の基本的な対策を講じてください。

第9条（「もしもの時」発動に伴う家族メンバーへの開示）

  1. 【現行版における取扱い】現行版（emergencyMode = OFF）では、本条は適用されません。家族メンバーへの開示は、本人が公開範囲設定により明示的に手動共有した契約のみを対象とし、本人の応答途絶を契機とする自動的な開示・存在通知モードの発動は行いません。本条第1項以下は、将来の版で「もしもの時」発動機能を提供する場合の取扱いを定めるものであり、その提供開始に際しては本ポリシーの改定および利用者全員の再同意取得を経て発効します。
  2. 利用規約第7条に定める 存在通知モード が発動した場合、運営者は、本人による事前の個別指示（公開範囲設定）に従い、家族メンバーに対し限定的な情報を開示します。
  3. 存在通知モードでの開示範囲は、利用規約第7条第3項に定める「契約件数」「総額レンジ」「本人指定の家族向けメッセージ」に限定 されます。個別契約の名称・連絡先・解約手順・所在メモ等の詳細情報は開示しません。
  4. 開示を受ける家族メンバーは、本人が招待し、自ら本規約・本ポリシーへの同意を行ったうえで本サービスに参加した者に限られます。
  5. 現行版では、Stage 2「完全開示モード」・解約操作機能・公的書類受領機能を提供しません。これらの機能の追加には本ポリシーの改定および再同意取得を経ます。

第10条（Cookie・類似技術・解析）

  1. 本サービスは、認証セッションの維持、利用者の設定の保存、不正利用の検知等の目的で、Cookie・ローカルストレージ・端末識別子等を使用することがあります。
  2. 運営者は、利用状況の改善のため、個人を直接特定しない範囲で利用解析を行うことがあります。
  3. 利用者は、利用するブラウザ・OS の設定により、Cookie・トラッキングの一部を無効化することができます。ただし、無効化により本サービスの一部機能が利用できなくなる場合があります。
  4. 広告事業者への情報提供・行動ターゲティング広告・第三者トラッキングは行いません。

第11条（未成年者・児童の個人情報）

  1. 本サービスは、満18歳以上の利用者のみを対象とします。18歳未満の者の利用は一切認めません（利用規約第4条）。
  2. 運営者は、登録時に年齢の自己申告による確認を行い、18歳未満であると申告された場合は登録を拒否します。招待を受諾する家族メンバーも、受諾時に18歳以上であることを自己申告します。
  3. 18歳未満の者が虚偽の年齢申告により登録した可能性が判明した場合、運営者は速やかに当該アカウントおよび関連個人情報を削除します。
  4. 本人が家族メンバーとして招待する場合、本人は招待先の年齢を確認し、18歳未満を招待しないものとします。
  5. 13歳未満の児童の個人情報については、運営者はこれを意図的に取得しません。何らかの経路で13歳未満の児童の個人情報が本サービスに記録されたことを認識した場合、運営者は法定代理人への確認手続を経ることなく、速やかに当該情報を削除します。

第12条（利用者の権利）

  1. 利用者は、自己の個人情報について、次の権利を行使することができます。
    • 利用目的の通知の請求
    • 開示請求
    • 訂正・追加・削除請求
    • 利用停止・消去・第三者提供停止請求
    • 個人情報保護法その他の適用法令に基づくその他の請求
  2. 請求の方法は、本サービスのアプリ内画面または第1条の問い合わせ窓口を通じて行ってください。運営者は、本人確認を行ったうえで、原則として 30日以内 に対応します。
  3. 招待を受諾していない招待相手（本サービスの利用者でない方）も、自己のメールアドレス・呼び名・関係性カテゴリその他の自己に関する情報について、第1条の問い合わせ窓口を通じて前各項と同様の請求（削除請求を含む）を行うことができます。招待メールにはこの窓口を記載します。
  4. 法令に定める場合または運営者が定める手数料が発生する場合があるときは、事前にご案内します。

第13条（アカウント削除と申請の優先順位）

  1. 利用者は、本サービスのアプリ内設定画面または第1条の問い合わせ窓口から、いつでもアカウント削除を申請することができます。
  2. アプリ内のアカウント削除導線は、App Store・Google Play 等のプラットフォーム審査基準に対応するため設けるものです。
  3. 本人のアカウント削除申請が、家族メンバーからの「もしもの時」発動申請と競合する場合、本人の削除申請が常に優先します。
  4. アカウント削除の処理時間・残存データの取扱いについては、第14条および利用規約第18条に従います。

第14条（保有期間・削除）

  1. 運営者は、第4条の利用目的の達成に必要な範囲で個人情報を保有し、目的達成後は遅滞なく削除または匿名化します。招待管理情報のうち失効・取消された招待（招待先メールアドレス・OTP ハッシュ・呼び名・関係性カテゴリを含む）は、失効・取消から30日以内に削除します（サーバー側の機械的な削除処理によります）。
  2. 退会・アカウント削除の申請を受けた場合の削除完了までの目安:
    • アカウントおよび主要データの削除: 申請受付後 14日以内
    • バックアップ・監査ログ等に残存するデータの削除: 上記後 30日以内 に完全削除
  3. 次の情報については、必要な期間に限り保存することがあります。
    • 法令上の保存義務がある情報
    • 紛争解決・不正利用調査のために必要な情報
    • 税務その他の記録に必要な情報
  4. 本人の死亡が客観的に確認された場合の本人アカウント削除は、利用規約第18条第6項に従い、家族メンバーからの申請に基づき行います。この削除には、本人がクラウド保存を有効化していた場合の、委託先サーバー（Google／Firebase）上の保管データ（契約・資産データ、招待管理情報、本人を招待元とする共有関係情報を含む）の削除を含みます。
  5. 利用者は、本サービスの提供するデータエクスポート機能（JSON 形式）により、自身の登録データを自身の端末にダウンロードすることができます（利用規約第15条第7項）。退会・サービス終了に備え、利用者は定期的にエクスポートを行うことを推奨されます。エクスポート機能は本人のみが実行可能であり、本人以外の家族メンバーが本人のデータをエクスポートすることはできません。

第15条（運営者の有事時の取扱い）

  1. 現行版において、運営者の長期不在・有事が発生した場合、運営者または運営者があらかじめ指定する者が、本サービス内またはメールにより利用者へ通知のうえ、利用規約第15条第2項・第3項に従いサービスの中断・終了および個人情報削除の手続きを行います。サービス終了時の個人情報削除には、本人がクラウド保存を有効化していた場合の、委託先サーバー（Google／Firebase）上の保管データ（契約・資産データ、招待管理情報、共有関係情報を含む）の削除を含みます。
  2. 稼働確認操作（heartbeat）に基づく自動凍結機構（30日途絶で読み取り専用モード移行・60日経過でサービス終了・終了後30日以内に保有データ完全削除）は、利用規約第15条第4項に定めるとおり将来導入予定の機能であり、現行版では実装されていません。本機構の導入時期および詳細仕様は別途利用規約および本ポリシーの改定により定めます。
  3. データエクスポート機能（JSON 形式）は提供されており、利用者は運営者の有事の有無にかかわらず、いつでも自身の個人情報・登録データをダウンロードすることができます（第14条第5項）。利用者は、サービス中断・終了に備え、定期的にエクスポートを行うことを強く推奨されます。
  4. サービス終了時の個人情報削除の完了予定日および削除手順は、サービス内表示および登録メールアドレスへの通知により利用者にお知らせします。

第16条（セキュリティ事象が発生した場合の対応）

  1. 運営者は、本サービスに関する個人情報の漏えい・滅失・毀損その他の重大なセキュリティ事象が発生したと認めた場合、適用法令に従い、必要な範囲で、個人情報保護委員会等の監督機関への報告および影響を受ける利用者への通知を行います。
  2. 通知は、影響範囲・事象の概要・取られた措置・推奨される対応等の合理的な情報を含むよう努めます。
  3. 運営者は、本サービスの脆弱性に関する報告を、第1条の問い合わせ窓口にて受け付けます。

第17条（本ポリシーの改定）

  1. 運営者は、必要に応じて本ポリシーを改定することがあります。
  2. 改定時は、変更内容と効力発生日を本サービス内またはメールにより通知します。
    • 通常の改定: 効力発生日の 少なくとも7日前まで に通知します。
    • 利用者の権利義務・データ取扱いに関わる重大な改定（特に、家族メンバーへの開示範囲拡大、AI 機能導入、公的書類受領機能の導入、海外居住家族への開示拡大、新規委託先の追加等）については、効力発生日の30日前まで に通知し、再同意の取得を求めます。ただし、本人の明示的な有効化操作によってのみ開始される取扱いに係る改定（例: クラウド保存、家族メンバーの招待）については、改定内容の通知（本サービス内・Web サイト上の告知を含む）と、当該機能の利用時（クラウド保存の有効化時・招待の発行時／受諾時）に取得する個別同意をもって、30日前通知に代えることができます。
  3. 重大な改定に際して再同意をいただけない場合、当該改定を組み込んだバージョン以降では本サービスをご利用いただけません。この場合、利用者は再同意して継続利用するか、退会することができます（改定前のバージョンの機能のみでの継続利用は提供いたしません）。

第18条（同意取得 UI の設計要件）

運営者は、本規約・本ポリシーに対する利用者の同意を取得する画面において、次の設計要件を遵守します。

  1. 利用規約とプライバシーポリシーへの同意は 独立した2つのチェックボックス により取得し、両方が個別にチェックされて初めて「同意して次へ」が活性化します。
  2. チェックボックスは初期状態で 未チェック とし、事前チェック（pre-checked）を行いません。
  3. 規約・ポリシー本文へのリンクは、同意画面上に明示的に配置し、利用者が全文を確認できるようにします。
  4. 規約・ポリシー本文を最後までスクロールするか、全文表示モーダルを開いた後にチェックボックスが活性化する設計を推奨します。
  5. 「同意して次へ」と「やめる／戻る」は、視認性において同等のボタンサイズ・配色で配置します（Dark Pattern の回避）。
  6. 同意取得時刻、同意した規約・ポリシーのバージョンを記録し、利用者の要請に応じて開示できるようにします。招待を受諾する家族メンバーについても、受諾時に同意取得時刻・同意対象バージョン・年齢/居住地の自己申告を記録します。
  7. 仮に将来、本ポリシー第4条第4号に記載の「もしもの時」発動機能（emergencyMode）の提供を開始する場合、当該機能に関する利用目的・取扱いは現行の同意とは独立した別個の同意取得画面で再同意を取得します。包括的な「規約改定への同意」または現行の包括同意のみをもって発動機能を有効化することはせず、当該機能の概要・発動条件・開示範囲・取消方法を明示した専用画面でチェックボックスを取得します。本項は将来当該機能を提供することを運営者が約束するものではありません。
  8. 本ポリシー v4.0（クラウド保存の追加）に係る再同意画面では、最上部に「データの保存場所はこれまでと変わらず、お使いの端末の中だけに保存される。ご自身で『アカウントの作成』と『クラウド保存の有効化』の両方を行ったときにのみ、クラウド（外部）にも保存される」旨を明示します。クラウド保存はあくまで本人の任意の追加機能であり、再同意が既定動作（端末内のみ保存）の変更を意味しないことを、利用者が誤解なく理解できるようにします。
  9. 本ポリシー v5.0（クラウド招待の追加）に係る再同意画面および招待発行時の確認画面では、招待が本人の任意の追加操作であり、次のことを利用者が誤解なく理解できるようにします: (i) 本人が家族を招待しない限り、招待先メールアドレスは取得・送信されず、家族に契約情報が共有されることもない。(ii) 招待して家族が受諾した場合、家族が閲覧できるのは本人が「全員に見せる」「選んだ家族だけ」に指定した契約・資産のみで、家族は閲覧のみ（編集・削除・エクスポート不可）。公開範囲を設定していない契約・資産は既定で「全員に見せる」として扱われるため、過去に登録したものおよび今後登録するものも、公開範囲を変更しない限り閲覧対象に含まれる。(iii) 招待メールの送信には米国のメール配信事業者（Twilio SendGrid）を用いる。(iv) 本人はいつでも招待の取消・家族の共有停止ができる。招待の発行時には、その時点で家族が閲覧できることとなる契約・資産の件数を画面上に提示し、本人が確認したうえで発行できるようにします。
  10. 本ポリシー v5.2（家族メンバー写真の追加）に係る再同意画面では、次のことを利用者が誤解なく理解できるようにします: (i) 写真は本人が任意で設定した場合にのみ取得され、既定では取得しない。(ii) 写真は端末内に保存され、本人が「クラウド保存」を有効化している場合に限り、本人のアカウントのみが読み取れるクラウドデータベース（Cloud Firestore・東京リージョン）へ複製される。招待した家族メンバーが写真を閲覧することはない。(iii) 写真はいつでも削除でき、削除はクラウド側の複製にも反映される。

第19条（問い合わせ窓口）

本ポリシーおよび個人情報の取扱いに関する問い合わせは、利用規約第1条に定める窓口（メールアドレス: kizunabaton.official@gmail.com）までご連絡ください。

附則: 本ポリシーは 2026-05-27 より施行する。

附則（v3.2.1 / 2026-05-24）: 運営者名を「きずなbaton運営事務局」に確定し、第1条第1項・第3項を更新するとともに、第2条末尾に「β版（PWA / サーバー無し）における実取得情報」節を新設する。本則の規定は本番版（BaaS 移行後）想定として保持し、β実態は新設節に限定する。機能仕様の変更はない。

附則（v4.0 / 2026-07-07・v2 端末間同期対応）: 本改訂は、本人が任意でアカウントを作成し「クラウド保存」を有効化した場合に契約データ等を委託先（Google／Firebase）のサーバーに保管する取扱いを追加する material change であり、第17条第2項に基づき利用者へ通知し再同意を取得する。通知は、Web（GitHub Pages）配信版への告知バナーの先行配信により発効の30日以上前から行うことを基本とし、あわせて、本改訂に係る取扱い（クラウド保存）が本人の明示的な有効化操作によってのみ開始されるものであることから、同項ただし書きに基づき、改定通知（再同意画面）と有効化時に取得する個別同意をもって30日前通知に代えることができる。本改訂の適用（発効）はバージョン単位とし、PRIVACY_VERSION v4.0 を組み込んだアプリバージョン（v2 アップデート＝アプリ側で FEATURES.cloudSync=true へ切替え・CONSENT_KEY＝:v26 へ更新するリリース）の配信をもって、当該バージョンの利用者に対して発効する。それまでは v3.2.5 の効力を維持する。

附則（v5.0 / 2026-07-08・クラウド招待対応）: 本改訂は、本人が任意で家族メンバーを招待し受諾された場合に、招待先メールアドレス（第三者の個人情報）をメール配信事業者（Twilio SendGrid・米国）経由で送信・保管し、共有関係（shares）を保管し、本人が手動共有した契約・資産を受諾者が閲覧のみできる取扱いを追加する material change であり、第17条第2項に基づき利用者へ通知し再同意を取得する。あわせて、本改訂に係る取扱い（クラウド招待）が本人の明示的な招待操作によってのみ開始されるものであることから、同項ただし書きに基づき、改定通知（再同意画面）と招待の発行時／受諾時に取得する個別同意をもって30日前通知に代えることができる。本改訂の適用（発効）はバージョン単位とし、PRIVACY_VERSION v5.0 を組み込んだアプリバージョン（FEATURES.cloudInvite=true・版数 bump のリリース）の配信をもって、当該バージョンの利用者に対して発効する。それまでは v4.0 の効力を維持する。利用規約は、第6条第5項第2号の招待上限の表現を実装に合わせて訂正する軽微な patch（v3.3.1）を本改訂と同時に発効させる（民法第548条の4に基づく定型約款の変更として本サービス内告知等により周知し、CONSENT_KEY:v27 の再同意に同乗させる）。

附則（v5.1 / 2026-07-10・App Store 公開＝β終了の表記整理）: 本改訂は、App Store 公開＝β提供の終了に伴い、条文中の「β版」を「現行版」へ、将来の提供可能性を示す文脈の「本番版」を「将来の版」へ置換する表記整理である。取得する個人情報・利用目的・委託先・提供範囲の変更はない（emergencyMode の停止、国外居住家族への不開示、公的書類の不受領はいずれも不変）。第9条第0項の置換は「もしもの時」発動機能の不提供を恒久化するものではなく、将来提供する場合に本ポリシーの改定および利用者全員の再同意取得を経て発効する枠組みは従前のまま維持する。利用規約 v3.3.2 と一体で発効し、本改訂を組み込んだアプリバージョンの配信をもって当該バージョンの利用者に対して発効する。

附則（v5.2 / 2026-07-17・家族メンバー写真〔任意〕の追加）: 本改訂は、家族メンバーの表示アイコンに本人が任意で設定する写真（お顔写真等）を取得情報に追加し、本人が「クラウド保存」を有効化している場合に限り本人のみ可読のクラウドミラー（Cloud Firestore・東京リージョン）へ複製する取扱いを追加するものであり、第17条第2項に基づき利用者へ通知し再同意を取得する。本改訂に係る取扱い（写真の設定）が本人の明示的な設定操作によってのみ開始されるものであることから、同項ただし書きに基づき、改定通知（再同意画面）と設定操作をもって30日前通知に代えることができる。家族メンバーへの開示範囲の拡大はない（写真は家族共有〔cross-account 閲覧〕の対象外・Firestore Security Rules により members 情報は本人のみ可読）。本改訂の適用（発効）はバージョン単位とし、PRIVACY_VERSION v5.2 を組み込んだアプリバージョン（CONSENT_KEY＝:v29 へ更新するリリース）の配信をもって、当該バージョンの利用者に対して発効する。それまでは v5.1 の効力を維持する。利用規約は変更なし（v3.3.2 のまま）。

改訂履歴