プライバシーポリシー

3つの文でまとめると

Pattioは、アカウントなしで、あなたのデバイスの中だけですべての機能が使えます。アカウントを作らなければ、わたしたちの側にはあなたのものは何もありません。アカウントを作った場合、同期するものは、あなたのデバイスだけが持つ鍵で暗号化されて送られます。その鍵をわたしたちは持っておらず、復元することもできません。唯一の例外は、あなたが意図して共有したものです。重要なことなので、はっきり書きます。招待した人が開けるように、共有したものはサーバーが読める状態でなければならず、したがってわたしたちにも読めてしまいます。そしてそれは、まさに共有したものだけで、それ以外は含みません。ひとつの要素だけを共有した場合、サーバーが読めるのはその要素と、それがあるボードの名前だけです。ボードの残り（ほかのメモ、ゾーン、落書き）は暗号化されたままです。ボード全体を共有した場合は、すべてが読めるようになります。

アプリには広告もトラッカーもなく、誰にもデータを売りません。これは今後も変わりません。一方で、2026年8月からは、仮名化されたプロダクト分析を行っています。「アプリが開かれた」「アンケートのカードが追加された」といった、いくつかの操作の名前だけを送るもので、あなたのテキストも、「あなたを」特定する識別子も、数値も含みません。送信先は欧州連合内のサーバーで、「設定」▸「プライバシーとセキュリティ」▸「プライバシー」のスイッチでオフにできます（§3.7）。「匿名」ではなく「仮名」と書くのは、このインストールごとのランダムな識別子が一緒に送られるからです。これはあなたの名前でも、メールアドレスでも、アカウントでもなく、スイッチをオフにすると削除されます。これとは別に、共有リンクで開くウェブページには独自のアクセス解析があり、訪れた人が同意した場合にだけ動作します（§3.6）。本サイトにも独自のアクセス解析があります（§3.11）。また、「Pattioからのお知らせ」をオンにして通知を許可している場合、お知らせは通知で届きます。そのために、あなたのアカウントとは一切結びつかないAppleの通知トークンを保存します（§3.13）。

1. 個人データの管理者

データ保護責任者（DPO）は置いていません。この事業は、EU一般データ保護規則（GDPR）第37条がDPOの選任を義務づける活動には該当しないためです。

• 管理者：Joan Cama Ribot
• 屋号：Somia Digital
• 納税者番号（NIF）：41531670H
• 住所：Carrer de Sant Joan, 16, 17200 Palafrugell (Girona), スペイン
• 連絡先メール：hola@somiadigital.com

2. 原則：ローカルファースト

Pattioはローカルファーストのアプリです。ボード、メモ、写真、描画など、あなたが入れたものはすべて、あなたのデバイスのデータベースに保存されます。アカウントがなければ、1バイトたりともiPhoneからわたしたちのサーバーへ送られることはありません。クラウドにコピーはなく、わたしたちの識別子もファイルも、どこにもありません。

アカウントの作成は任意で、目的はひとつだけです。あなたのデバイス間での同期と、希望する場合のボードの共有です。

3.1. アカウント

Appleでサインインする場合、メールアドレスを非公開にできます。Appleから中継用のアドレスが渡され、わたしたちが本当のアドレスを見ることはありません。Googleでサインインする場合、確認はGoogleが行います。アプリはAppleにフルネームを求めますが、どこにも保存しません。使うのはIDトークンだけです。

鍵のフィンガープリントは、短縮した暗号学的ハッシュ（SHA-512を切り詰めたもの）です。ここから鍵を復元したり、何かを復号したりすることはできず、照合にしか使えません。

利用規約への同意は、ようこそ画面を最後まで進めた（またはスキップした）ときにあなたのデバイスに保存され、記録されるのは文書のバージョンと日時の2つだけです。識別子も、言語も、個人データも含みません。アカウントがある場合は、ほかのデータと同じく暗号化されたボールトの中で送られるので、わたしたちには読めません。アカウントがない場合は、デバイスから出ることはありません。この仕組みができる前からPattioをインストールしていた人には記録がなく、わたしたちがそれをでっち上げることもありません。誰も目にしていない同意は、証拠にならないからです。

• メールアドレス — あなたを識別し、サインインできるようにする（メールに届くコード、Apple、Google） — 法的根拠：契約の履行（GDPR第6条1項b） — アカウントが存在するあいだ。
• ユーザー識別子（UUID） — あなたのコンテンツをあなたのアカウントに結びつける — 第6条1項b — アカウントが存在するあいだ。
• 鍵のフィンガープリント（key_check） — あなたのものではない鍵を持つデバイスがあれば警告する — 第6条1項b — アカウントが存在するあいだ。
• 同意した利用規約のバージョンと日時 — どのバージョンの契約に、いつ同意したかを示せるようにする — 第6条1項b（契約が存在することの証明） — アカウントが存在するあいだ。

3.2. 「非公開」ボードのコンテンツ

このコンテンツは、XSalsa20-Poly1305（NaCl secretbox）でエンドツーエンドに暗号化されて送受信・保存されます。鍵はあなたのデバイスで生成され、iOSのキーチェーンに保管され、わたしたちに届くことはありません。わたしたちに見えるのは、読めないバイトのかたまりだけです。

鍵が2台目のデバイスに届く仕組みと、その代償。iPadやMacから同じアカウントにサインインするときに何かを書き写さなくて済むよう、鍵は同期可能なキーチェーン項目（iCloudキーチェーン）としても保存されます。これにより、鍵は同じApple Accountのデバイス間を自動的に移動し、Appleによってエンドツーエンドで暗号化され、わたしたちのサーバーを通ることは一切ありません。わたしたちには、やはり見えません。

その代償について、脚注ではなくここで書いておきます。この仕組みにより、あなたのコンテンツの安全性はApple Accountの安全性と結びつきます。ある人のiCloudキーチェーンに入れる人は、その人のボードを復号する鍵を手にすることになります。これは、キーチェーンが銀行のものも含めたすべてのパスワードについて、すでに行っているのとまったく同じ取り決めです。復旧コードは今もあり、代わりの手段であることに変わりはありません。iCloudキーチェーンをオフにしている人、Apple Accountを変更する人、Appleに依存しない鍵を望む人のためのものです。

鍵と復旧コードの両方をなくすと、そこにあったものは誰にも復元できません。わたしたちにもできません。それが本物の暗号化の代償であり、あとからではなく、前もって知っておく価値があります。

取り扱うデータ：ボード、ゾーン、要素、ストロークの暗号化されたコンテンツ、および暗号化されたファイル（写真、動画、スキャン、描画、書類） — 目的：デバイス間の同期 — 法的根拠：GDPR第6条1項b — 保存期間：あなたが削除するか、アカウントを削除するまで。

コンテンツが暗号化されていても、わたしたちに見えるもの（同期を機能させるためには隠しようがないもの）：

• 各行がどのテーブルのものか（要素、ボード、ゾーンなど）
• 行の識別子（あなたのデバイスで生成された、それ自体に意味のないUUID）
• 作成、変更、削除のタイムスタンプ
• 各ファイルのパスとバイト単位のサイズ。あなたが使っている容量を数える方法であり、料金の基準でもあるためです。
• つまり、あなたが412個の要素を持っていて、火曜の11時にそのひとつを触ったことはわかっても、そこに何が書かれているかはわかりません。

3.3. あなたが「共有」するもののコンテンツ

ここではエンドツーエンドの暗号化はありません。これは、はっきり言っておく必要があります。あなたの鍵を持たない人のブラウザで開くものは、読める状態で届かなければならず、そのためサーバーにも読める状態で保存されます。共有しているあいだ、その内容と写真は、わたしたちのインフラを管理する者が読むことができます。共有をやめれば、また暗号化されて送られるようになります。

そして「共有したもの」とは、まさにあなたが共有したものだけで、それ以外は含みません。共有の範囲は2種類あり、どちらも実行する前に言葉で説明されます。ひとつの要素だけを共有すると、平文で出ていくのはその要素、その写真、そしてそれがあるボードの名前（絵文字と色も含む）です。受け取った人のページには、それがどこから来たものかを表示する必要があるためです。ボードの残りは暗号化されたままです。ボード全体を共有すると、すべてが平文で出ていきます。すべてのメモ、ゾーン、落書き、ノート、写真です。

実践的なルール：サーバーにアップロードしたくないものは、リンクで共有しないでください。

招待された人には、匿名のセッションが割り当てられます。メールアドレスもアカウントも求めず、本人が自分で入力する名前以外のデータは一切求めません。

ゲストの名前を見られるのは誰か、正確には。名前は、アンケートで誰が何に投票したかがわかるようにするためのものです。つまり、同じものを読めるほかの人たちには見え、それ以外の人には見えません。そして逆方向の、これも事実である補足をひとつ。オーナーとアカウントを持つメンバーの投票は、名前なしで表示されます。ゲスト一覧に含まれていないからです。ページは、名前がわかるときは名前を、人数はいつも表示し、「誰か」といった名前をでっち上げることはありません。

• 共有するものとそのファイルの「平文」のコンテンツ — 招待した人がブラウザから開けるようにする — 第6条1項b — 共有をやめるか、削除するまで。
• 招待した人のメールアドレス — そのメールアドレスでサインインしたときにアクセスを許可する — 第6条1項b — 招待を取り消すまで。
• ゲストリンクを開いた人が入力する名前 — 誰が書き込み、誰が投票したかをほかの人がわかるようにする — 第6条1項b — 共有が終わるまで。
• 共有ボード上のアンケートの投票 — 票を数える — 第6条1項b — 同上。
• リンクトークン — アカウントなしでボードを開けるようにする — 第6条1項b — あなたが無効にするまで。
• 共有しているのがボード全体の場合、ゲストの名前は、そのボードを持つ人（オーナー、メンバー、同じリンクのほかのゲスト）に見えます。
• 共有しているのがひとつの要素の場合、名前はその要素を通してだけ、しかもその要素に投票したゲストの分だけ見えます。アンケートのリンクを開いた人が、ボードのゲスト一覧を手に入れることはありません。
• ゲストのリンクトークンが、ほかのゲストに見えることはありません。サーバーが返すのはその人の名前と投票の識別子だけで、その人の行のほかの情報は一切返しません。

3.4. 購入

サブスクリプションの代金は、AppleがあなたのApp Storeアカウントを通じて請求します。わたしたちがあなたのカード、請求先の氏名、住所を見ることはありません。「この人はPlusを持っている」とわたしたちに伝えるのはRevenueCatです。サブスクリプションの仲介サービスで、わたしたちが渡すのはあなたのユーザー識別子だけです（メールアドレスも名前も渡しません）。RevenueCatのSDKは、その機能のために、独自にデバイスの技術データを収集します（たとえばAppleのベンダ識別子（IDFV）、機種、国など）。これはRevenueCat自身が行うもので、RevenueCatのポリシーに記載されています。

• ユーザー識別子と、購入・更新の履歴 — あなたのプランと使える容量を把握する — 第6条1項b — アカウントが存在するあいだ。

3.5. デバイスのアクセス許可

Pattioは、連絡先、ヘルスケア、Bluetooth、ローカルネットワークへのアクセスを求めず、バックグラウンドで位置情報を使うこともありません。

要素のリマインダーは「ローカル」です。これには具体的な意味があります。カウントダウン、近日のイベント、習慣などで通知を頼むと、PattioはあなたのiPhoneのOSに、指定の時刻に知らせるよう依頼します。これらのリマインダーはどのサーバーも経由せず、外部から送られることもありません。わたしたちがあなたのリマインダーを受け取ることはなく、それが届いたかどうか、開かれたかどうかを知ることもできません。ロック画面に表示されるのは要素のタイトルだけで、カードの中身が表示されることはありません。

「Pattioからのお知らせ」は別物です。わたしたちがサーバーから送り、Appleの通知サービスが届けます。詳しくは§3.13で説明します。

Spotlightのインデックスに入るのはタイトルだけです。ホーム画面の検索からボードやカードを見つけられるよう、PattioはSpotlightのインデックスに、ボードの名前、要素のタイトル、その絵文字、それを開くためのアドレスを登録します。それ以外は何も登録しません。メモの本文も、リストの項目も、文字起こしも、サムネールもです。このインデックスはiPhoneのOSのもので、同じデバイスの中にあり、誰も同期せず、わたしたちがそこから何かを受け取ることもありません。アプリを削除すれば、インデックスも消えます。

アプリのロックはiOSが管理しており、あなたについての情報をわたしたちは何も受け取りません。ロックをオンにすると（「設定」▸「プライバシーとセキュリティ」▸「ロック」）、Pattioはシステムに、Face ID、Touch ID、またはデバイスのパスコードであなたを確認するよう依頼します。Pattioが生体データを受け取ることはありません。顔も、指紋も、パスコードも受け取らず、届くのは「はい」か「いいえ」だけで、何も保存されず、何もiPhoneの外へ出ません。保存されるのは、ロックがオンかどうかと、再び確認を求めるまでの時間だけで、どちらもこのデバイスでの設定であり、どこにも送られません。

そしてロックは、ひとつの場合に限り、自動的にオフになることがあります。Pattioのロックをオンにしたまま、iPhoneのパスコードを解除すると、このデバイスにはロックを開けられる鍵がなくなります。その場合、Pattioはそのまま開き、お知らせでそのことを伝えて、設定をオフとして保存します。これは意図したものです。不具合ではなく判断であるため、ここに書いておきます。ローカルのロックは、iPhoneを手にした人に対するカーテンであって、あなた自身を締め出す金庫ではありません。厳密に解釈すれば、あなたは自分のメモから永久に締め出され、ロックをオフにするスイッチにさえたどり着けなくなってしまいます。同じ理由で、設定を読み込めない場合も、アプリは開きます。

• カメラ — ボードに貼る写真を撮るとき — 写真はほかの写真と同じようにボードに入ります。
• 写真ライブラリ — 写真や動画を選ぶとき — 同上。
• 位置情報（使用中のみ） — 「現在地」を押したときだけ — 座標を住所に変換するのはAppleです。同期しているボードにカードを保存すると、座標は暗号化されて送られます（ボードが共有されている場合は平文）。天気がこのアクセス許可を求めることはありません。すでに許可されている場合は、最後に保存された地点を読み取り、丸めて使います（§3.10）。
• マイクと音声認識 — ボイスメモをボードに貼るため、またはリストを音声入力するために「録音」を押したとき — 音声はあなたのデバイスにとどまります。文字起こしはあなた自身のiPhoneが行い、わたしたちにもAppleにも送られません。
• カレンダーとリマインダー — スケジュール系のカードを置いたとき — デバイス上で読み込まれ、外には出ません。どこにもアップロードしません。
• 通知 — 初めて要素のリマインダーをオンにしたとき、または「設定」▸「通知」で「Pattioからのお知らせ」をオンにしたとき。起動時に求めることはありません — リマインダーについては、何も送られません。通知はあなた自身のデバイスが予約し、届けます。お知らせについては§3.13のとおりです。

3.6. ゲスト用Webポータルとそのアクセス解析

このセクションは、誰かがPattioのリンクを送ってきたときに開くウェブページ（app.pattio.app）「だけ」についてのものです。ここで説明するもの（Google Analytics、Cookie、バナー）は、アプリの中には存在せず、今後も存在しません。アプリには独自のプロダクト分析がありますが、それは別物で、提供事業者も別、スイッチも別です（§3.7）。

ポータルが常に保存するもの、そしてそれについて許可を求めない理由。リンクを開くと、ブラウザに匿名のセッションが保存され、それによってボードに入れるようになります。これがなければ、ページは表示されません。あなたが求めたサービスを提供するために厳密に必要な保存であるため、eプライバシー指令第5条3項により、同意は不要とされています。それがなければリンクが開かないものについて、許可は求めません。

ポータルがあなたの許可なしには「しない」こと。ポータルでアクセス解析が設定されている場合、何かを計測する前に、「同意する」と「拒否する」という、同じくらい簡単な2つの選択肢を示すお知らせで確認します。あなたが答えるまで、また拒否した場合も、Googleからは1バイトも読み込まれず、計測用のCookieも保存されません。ページの見た目と動作は、同意しても拒否してもまったく同じです。閲覧を妨げる壁はありません。

取り扱うデータ：ページの閲覧（3種類のページのうちどれか、IPアドレスから推定したおおよその国、ブラウザ、デバイスの種類） — 目的：共有リンクを開く人の数を知る — 法的根拠：第6条1項a、あなたの同意のみ — 保存期間：Google Analyticsのプロパティで設定されている期間。

決して送られないもの。ここが重要な点です。リンクトークン（ボードの鍵にあたるもの）、ボードや要素の識別子、ゲストの名前、コンテンツは一切送られません。送られるパスはアドレスバーのものではなく、3つの固定文字列(/convidat, /e または /)のいずれかで、この目的のためだけにコードに書かれています。カスタムイベントもありません。ページの閲覧が1件、それだけです。

処理するのは誰か。Google Ireland Limited／Google LLCが処理者として処理します。IPアドレスは匿名化され（Google Analytics 4では標準の動作です）、Googleシグナルと広告のパーソナライズは無効にし、Consent Mode v2（同意モード）はすべての許可をデフォルトで拒否する設定にしています。米国への移転は、標準契約条項およびEU-米国データプライバシーフレームワークに基づいて行われます（§4）。

いつでも考えを変えられます。ポータルのどのページにも、フッターに「Cookies」があり、確認をもう一度開けます。あなたの選択は、あなた自身のブラウザに12か月間記憶され、対象となる目的のバージョンも記録されます。目的が変わった場合は、以前の「同意する」を流用せず、改めてお尋ねします。

そして現在、これはオフになっています。ポータルにアクセス解析のプロパティが設定されていないあいだは、お知らせも計測もありません。ページが保存するのは、最初の段落で説明した匿名のセッションだけです。

3.7. アプリのプロダクト分析

これは何か。2026年8月から、アプリは仮名化された利用状況の計測データを少しだけ送っています。目的はひとつだけです。どの機能が本当に使われているかを知り、どこに手をかけるべきかを判断することです。広告でも追跡でもなく、Webポータルの計測（§3.6）とも関係ありません。そちらは別のシステムで、置き場所も、知りたいことも違います。

タップひとつでオフにでき、失うものは何もありません。スイッチは「設定」▸「プライバシーとセキュリティ」▸「プライバシー」にあります。初期状態ではオンで、同じ画面に、アプリが送信できる名前の完全な一覧が、そのまま表示されます（手書きではなく、コードから読み込んだものです）。オフにしても、アプリの機能は何もなくなりません。

決して送られないもの。ここが重要な点です。あなたのテキストやコンテンツ（タイトル、メモ、写真、ファイル、描画）、ボード・要素・共有リンクの識別子、名前やメールアドレス、数値（ボードの数、使用容量、座標など）、そして誰が誰と共有しているかについての情報は、一切送られません。コードには、デバイスから出てよいものを限定したリストによるフィルターがあり、それを迂回する経路はなく、変更のたびに自動テストで確認しています。

デバイスの情報も送られません。計測サービスは標準で、画面サイズ、機種とデバイスの種類、OSとそのバージョン、言語、タイムゾーンを送ります。Pattioは、同じ限定リストのフィルターで、これらをすべてデバイスを出る前に取り除きます。

「仮名」という言葉には意味があります。ユーザー識別子もメールアドレスも送られず、個人のプロファイルも作られません。IPアドレスからの位置推定は無効にしており、セッションリプレイ（画面の記録）も無効です。アプリが画面を記録することはありません。ただし、インストールごとのランダムな識別子はスイッチがオンのあいだ同じなので、同じデバイスからの計測データはまとめることができます。これはGDPRにいう匿名化ではなく、仮名化です。そのため、法的根拠は、異議を唱える権利を伴う正当な利益（第6条1項f）としています。

送信先。PostHog（EU Cloud、ドイツ・フランクフルト、欧州連合）の eu.i.posthog.com で、処理者として扱います（§4）。また、アプリにこのサービスのキーが組み込まれていなければ、何も送りません。キーなしでビルドされたバージョンは「待機」状態のままで、スイッチがオンに見えても、何も初期化されません。

• アプリで行った操作の名前だけ。アプリを開く、ようこそ画面を終える、ガイドを開く、ボードを作成する、の各操作には、ほかに何も付きません。次の4つには、限定されたリストから選ばれたラベルがひとつ付きます。表示の切り替え（ボードまたはグリッド）、カードの追加（メモ、アンケート、写真など）、テーマの変更（ライト、ダーク、システム設定）、購入の開始または完了（PlusまたはPro） — 目的：どの機能が使われているかを知り、何に取り組むかを決める — 法的根拠：第6条1項f、正当な利益。異議を唱える権利は、まさに「プライバシー」のスイッチです — 保存期間：PostHogのプロジェクトで設定したイベントの保存期間。
• 計測データを送ったアプリのバージョン — その信号がどのバージョンから来たかを知る — 第6条1項f — 同じ保存期間。
• このインストールのランダムな識別子。計測サービスが作成するもので、あなたの名前でも、メールアドレスでも、アカウントでもありません — 同じデバイスからの2つの計測データを2人として数えないようにする — 第6条1項f — 同じ保存期間。スイッチをオフにすると、デバイスから削除されます。

3.8. 取り扱わ「ない」もの

はっきり書いておき、コードを開けば確かめられるように：

• あなたを追跡する分析は一切ありません。Firebase、Amplitude、Mixpanel、Segmentのほか、アプリからアプリへ、あるいはWeb上であなたを追いかけるものは何もありません。プロジェクト全体で存在する計測は、アプリのプロダクト分析（§3.7。仮名化され、スイッチがあり、正当な利益に基づくもの）、ゲストポータルのアクセス解析（§3.6）、本ウェブサイトのアクセス解析（§3.11）だけで、後の2つはあなたの許可がある場合に限ります。
• クラッシュの自動レポートはありません。SentryもCrashlyticsもありません。
• 第三者のマーケティング通知も、個人に結びついたトークンもありません。「Pattioからのお知らせ」（§3.13）が唯一のリモート通知で、わたしたちが書く一般的なテキストだけです。第三者の広告や、個人向けにカスタマイズされた内容は決して含みません。そのトークンが誰のものかは、わかりません。要素のリマインダーは、あなた自身のiPhoneが予約し、届けます（§3.5）。
• 広告も広告ネットワークもありません。
• 追跡はありません。アプリはトラッキングの許可（ATT）を求めません。必要ないからです。IDFAやその他の広告識別子は使わず、あなたのデータを広告目的で第三者と共有することも、データブローカーと共有することもありません。
• プロファイリングや、法的効果を伴う自動化された意思決定（GDPR第22条）は行いません。
• データを誰かに販売したり、譲渡したりすることはありません。

3.9. 人工知能：すべてあなたのデバイスの中で

このバージョンでは、クラウドへ向かうAIの経路はひとつも有効になっていません。写真、スキャン、リンクを読み取って、そこから何を作るかを提案する機能（「スマートキャプチャ」）も提供しておらず、アプリ内のアシスタントもありません。どちらの機能も実装とテストは済んでいますが、どこにも表示されていません（ボタンも、項目も、コマンドもありません）。そのため、AIのサーバーにテキストを送れるものは何もありません。だからこのバージョンでは、そのための許可も求めません。許可するものがないからです。これらの機能が戻ってくる日には、何かが起きる前に、このセクションで改めてすべてを説明します。

Pattioが行うことは、すべてあなたのiPhoneの「中」で完結しており、次の3つです。写真やスキャンのテキストを読み取り、そこに書かれた言葉で再び見つけられるようにすること（Appleのテキスト認識機能Visionが、デバイス上でバックグラウンドで行います）。Appleのデバイス上の埋め込みモデルを使った、意味による検索。そして、オフラインで動作させるAppleの音声認識による、メモやリストの音声入力。3つとも、iPhoneから何も外に出ません。

写真のテキストについて、詳しく。読み取ったテキストはカードの中、つまり暗号化されたあなたのボールトに保存されるので、写真のキャプションと同じく、あなたのデータです。どの画面にもテキストとして表示されることはなく（カードにも、PDFにも、共有ボードのウェブページにも）、アプリがそれを使うのは検索のためだけです。ボードを共有した場合は、写真そのものがすでに通っているのと同じ経路で、カードと一緒に送られます。

ひとつ、きちんと書いておくべき補足があります。共有ボードの概要（ゲストがページ上部で見るトピックの一覧）は、カードに最も多く出てくる言葉から作られ、読み取った写真の言葉も、ほかの言葉と同じように数えられます。これが起きるのは、ボード全体を共有した場合だけです。

この機能は「設定」▸「プライバシーとセキュリティ」▸「写真の文字の読み取り」でオフにできます。オフにすると、それ以降は読み取りません。すでに読み取ったテキストはそれぞれのカードの中に残り、それを消すには写真を削除します。

3.10. 天気

Pattioが天気を表示するのは2か所です。ホーム画面のウィジェットと、ボードに留められる「天気」の要素です。どちらも同じ仕組みで、この説明は両方に当てはまります。

予報を提供するのは、OSのサービスであるApple WeatherKitです。ほかの提供元はありません。WeatherKitが応答しないときも、ほかのどこにも問い合わせず、カードにその旨を言葉で表示します。

デバイスから出ていくのは、丸めた2つの座標だけです。問い合わせの前に、位置は度の小数第1位（約11 km）に丸められます。天気を当てるには十分で、あなたの居場所を示すにはあまりに粗い精度です。識別子も、アカウントも、ボードのデータも一切含みません。問い合わせはiOSがアプリに代わって行い、AppleのWeatherKitのデータポリシーに従います。

位置の取得元と、そのために「しない」こと。「いまいる場所」の天気は、システムがすでに保存していた最後の地点を読み取ります。GPSをオンにすることも、アクセス許可を求めることもなく、バックグラウンドで位置情報を使うこともありません。位置情報のアクセス許可がなければ、問い合わせは行いません。カードにその説明が表示され、固定の場所を選ぶこともできます。行に保存されるのは、その場所だけです。

保存されるもの。天気について保存するものは何もありません。例外は、カードの中に保存する最後の取得結果（気温、天気の状態、時刻）の控えだけで、書き出したPDFやゲスト用ウェブページで何かを表示できるようにするためです。このどれも、わたしたちのサーバーには送られません。予報のそれ以外の部分はメモリ上にだけあり、1時間で期限切れになります。

3.11. 本ウェブサイト：サポートフォームとアクセス解析

このセクションは、Pattioを紹介するページであるpattio.app「だけ」についてのものです。ここにはユーザーアカウントはなく、あなたのボードの内容がここを通ることは決してありません。

サポートフォームからご連絡いただく場合、メールアドレス、メッセージ、閲覧中の言語を受け取ります。名前は任意で、空欄のままでもかまいません。これらは返信のためだけに使い、ほかの目的には使いません。法的根拠はあなたの同意（GDPR第6条1項a）で、hola@somiadigital.com に連絡すれば、いつでも撤回できます。フォームは、本サイトをホストしている§4の処理者Netlifyが管理しています。メッセージはNetlifyの管理画面に残り、メールでわたしたちに届きます。保存するのは、お問い合わせへの対応に必要なあいだと、対応を終えてから最長12か月です。

本サイトはGoogle Analytics 4も使いますが、Cookieのお知らせで同意した場合に限ります。答えなかった場合や拒否した場合、Googleからは1バイトも読み込まれません。ブラウザに保存されるものの詳細と、選択を変更する方法は、Cookieポリシー (/ja/cookies) に記載しています。

3.12. アプリのメッセージ受付「アイデアと不具合」

アプリの中から（「設定」▸「情報」▸「アイデアと不具合」）、アイデア、不具合、改善案など、なんでも送ることができます。アカウントは必要ありません。

送られるもの：あなたが書いたテキストと、選んだ種類（アイデア、不具合、改善、その他）。メールアドレス（入力した場合のみ）。スクリーンショット（添付した場合のみ。写真ライブラリからあなたが選びます）。そして、アプリのバージョン、ビルド番号、プラットフォーム、言語。あなたのボードの中身は何も送られません。ボードも、カードも、写真も、アカウントも、識別子もです。

送信先。欧州連合内にあるSupabaseのサーバー関数に送られます。この関数はメッセージをテーブルに保存し、通知メールが有効になっている場合は、Resend（Resend, Inc.、eu-west-1リージョン、アイルランド、欧州連合）を使ってチームにコピーを送ります。スクリーンショットはテーブルには保存されず、そのメールの添付ファイルとしてだけ送られます。

IPアドレス。悪用を防ぐため、同じ場所から1日に届くメッセージの数を数えています。IPアドレスそのものは保存せず、日付を含めてハッシュ化したフィンガープリントを保存します。元に戻すことはできず、翌日には使い道がなく、別の日のメッセージを結びつけることもありません。

メッセージがサーバーを経由しない場合、アプリはiPhoneのメールアプリを、テキストを入力した状態で開きます。その場合はあなた自身が、あなたのアドレスから、スクリーンショットなしで送信します。

法的根拠は、アプリを改善するという正当な利益（GDPR第6条1項f）です。メールアドレスを入力した場合、それはそのメッセージへの返信のためだけに使います。

各メッセージは最長12か月保存し、案件がそれより早く解決すれば、それより短くなります。早めに削除してほしい場合は、hola@somiadigital.com までご連絡ください。

• メッセージのテキストと種類、メールアドレス（入力した場合）、スクリーンショット（添付した場合。Resendのメールでのみ送られます）、アプリのバージョン、ビルド、プラットフォーム、言語、IPアドレスの日ごとのフィンガープリント — あなたからの内容を読み、メールアドレスがあれば返信する — 第6条1項f、正当な利益 — 最長12か月。案件がそれより早く解決すれば、それより短く。

3.13. Pattioからのお知らせ

これは何か。わたしたちが書き、サーバーから送る一般的なテキスト（新しいバージョンの紹介やお知らせ）です。第三者の広告や、個人向けにカスタマイズされた内容は決して含みません。要素のリマインダーはこれとは別物で、引き続きローカルです（§3.5）。

届き方。アプリの中では、お知らせのシートに表示されます。アプリは起動時に、あなたの情報を何も送らずに、公開中のお知らせの一覧をSupabaseに問い合わせます（どのリクエストでもそうであるように、SupabaseにはIPアドレスが見えます）。お知らせの画像もSupabaseから配信されます。「見た」という記録は、あなたのデバイスにだけ保存されます。そして希望すれば、Appleの通知サービス（APNs）が届ける通知でも受け取れます。

スイッチと、許可を求めるタイミング。スイッチは「設定」▸「通知」▸「Pattioからのお知らせ」にあります。初期状態ではオンですが、アプリが起動時に通知の許可を求めることはありません。すでにPattioに通知を許可していて（たとえばリマインダーのために）、お知らせをオフにしていなければ、アプリは起動時に、新たな確認なしでトークンを登録します。許可していなかった場合は、「Pattioからのお知らせ」をオンにするまで何も起こらず、オンにしたときにiOSが許可を求めます。スイッチがオフのときは、アプリ内のお知らせのシートも表示されません。

保存するもの。お知らせをオンにし、通知を許可している場合、このデバイスはわたしたちのデータベース（Supabase）に、Appleの通知トークン、このインストールのランダムな識別子（アプリが生成するもので、Appleの識別子ではありません）、言語、アプリのバージョン、プラットフォーム（iOS）、APNsの環境（テストまたは本番）を保存します。それ以外は何も保存しません。あなたのアカウントも、メールアドレスも、Pattioに入れているものも、IPアドレスも保存しません。

そしてデータベースは、そのトークンをどのアカウントとも結びつけられないようにしています。制約によってユーザー列は必ず空のままになるため、今も、将来のバージョンの不具合によっても、結びつくことはありません。テーブルは閉じられており、公開ロールが直接読み書きすることはできません。

オフにする方法と、削除されるもの。「Pattioからのお知らせ」をオフにすると、わたしたちはサーバーからトークンを削除し、その行はオフとして記録されます。アプリがトークンを再登録することはありません。トークンがもう有効でないとAppleが伝えてきた場合（たとえばアプリが削除されたとき）、サーバーが自動的に無効にします。オフになった行（ランダムな識別子、言語、バージョンで、トークンはもうありません）は、そのインストールが存在するあいだ保存されます。

法的根拠は、正当な利益（GDPR第6条1項f）です。プロダクト分析（§3.7）と同じく、異議を唱える権利があり、それが「Pattioからのお知らせ」のスイッチです。

• Appleの通知トークン（APNs）、このインストールのランダムな識別子、言語、アプリのバージョン、プラットフォーム、APNsの環境 — 「Pattioからのお知らせ」を通知で届ける — 第6条1項f、正当な利益。異議を唱える権利は「Pattioからのお知らせ」のスイッチです — トークンは、お知らせをオフにするか、もう有効でないとAppleが伝えてくるまで。オフになった行（トークンはもうありません）は、そのインストールが存在するあいだ。

4. ほかに関わる事業者（処理者）

わたしたちは自前のサーバーを持たず、他社のものを借りています。すべての事業者と、処理者としての契約（GDPR第28条）を結んでいます。

国際移転。RevenueCat、Apple、Googleは米国にあります。これらの移転は、欧州委員会の標準契約条項、および該当する場合はEU-米国データプライバシーフレームワークに基づいて行われます。Netlifyも米国にあり、この移転の根拠は、同社のデータ処理契約に組み込まれた欧州委員会の標準契約条項です。Resendは欧州連合内、eu-west-1リージョン（アイルランド）でデータを処理します。保護措置の写しは、hola@somiadigital.com で請求できます。

• Supabase Inc. — データベースと認証、「Pattioからのお知らせ」（§3.13）、メッセージ受付「アイデアと不具合」（§3.12） — eu-central-1（ドイツ・フランクフルト）、欧州連合内。
• Cloudflare, Inc.（R2） — 同期したファイルの保存（ボードが非公開なら暗号化済み） — Cloudflareのネットワーク。バケットは西ヨーロッパ。
• Cloudflare, Inc.（アップデート用Worker） — アプリの起動時に、コードの新しいバージョンがあるかどうかを答える（「IPアドレスが見える第三者」を参照） — Cloudflareのネットワーク。
• RevenueCat, Inc. — サブスクリプションの状態 — 米国。
• Apple Inc. — 支払い、Appleでサインイン、「Pattioからのお知らせ」の配信（APNs、§3.13）、地図、曲の検索とApple Musicの曲情報、天気（WeatherKit、§3.10） — 米国／グローバル。
• Google LLC — Googleでサインイン（この方法を選んだ場合のみ）、ウェブページのアクセス解析（同意した場合のみ、§3.6と§3.11）。このバージョンではGeminiは関与しません。クラウドへ向かうAIの経路はありません（§3.9） — 米国／グローバル。
• PostHog, Inc. — アプリのプロダクト分析。仮名化されており、オフにしないあいだだけ（§3.7） — EU Cloud、ドイツ・フランクフルト、欧州連合（eu.i.posthog.com）。
• Netlify, Inc.（米国・サンフランシスコ） — 本ウェブサイトとゲストポータルのホスティング、および本サイトのサポートフォーム（§3.11）。
• Resend, Inc. — メッセージ受付「アイデアと不具合」に届いたメッセージのコピーを、スクリーンショットがあればそれも添えて、メールでチームに送る（§3.12） — eu-west-1（アイルランド）、欧州連合内。

IPアドレスが見える第三者（とその理由）

あなたのデバイスが、わたしたち以外の相手と直接やりとりする場面が5つあります。わたしたちがあなたの情報を送るのではなく、あなたのデバイスが直接アクセスします。

• リンクのプレビュー。アドレスを貼り付けたとき、またはほかのアプリからページを共有したとき、Pattioはあなたのデバイスから直接、そのタイトルと画像を取得しに行きます。そのウェブサイトには、ブラウザで訪れたときと同じように、あなたのIPアドレスが見えます（これは意図的です。わたしたちのサーバーを経由させると、あなたが保存するリンクがすべてわたしたちに見えてしまうからです）。一部の有名なプラットフォーム（YouTube、Reddit、Spotify、Instagram、Facebook、TikTok、Pinterest）では、ページを読み込む代わりに各サービスの埋め込み用サービスに情報を問い合わせ、カバー画像はあなたのデバイスに保存します。それらのアドレスは数日で期限切れになるためです。
• 曲の検索。入力した内容は、AppleのiTunes検索に送られます。
• 貼り付けたApple Musicの曲。Apple Musicのリンクを貼り付けると、iPhoneはAppleのサービスに、曲のカタログ識別子だけを使ってその曲の情報を問い合わせます。アカウントもセッションも使いません。Appleに見えるのはIPアドレスだけです。
• 地図と住所。地図の表示と、座標から住所への変換は、Appleが行います。
• アプリのアップデート。アプリは起動時に、updates.pattio.app（CloudflareのWorker）に、JavaScriptコードの新しいバージョンがあるかどうかを問い合わせます。送るのはアプリのバージョン、プラットフォーム、チャンネルで、あなたのデータは含みません。CloudflareにはIPアドレスが見えます。

5. 保存期間

• アカウントが存在するあいだ、あなたが同期したもの。
• 削除したものはゴミ箱（「最近削除した項目」）に移り、30日間保管されたあと、自動的に削除されます。
• サブスクリプションが期限切れになったり、解約したりしても、その日に削除されるものはありません。無料プランに戻り、すべて引き続き閲覧・ダウンロードでき、制限されるのは、容量を超えているあいだの追加アップロードだけです。日付を明記したお知らせ付きの30日間の猶予期間があり、それを過ぎると、超過分だけが（古いものから順に）取り除かれます。取り除かれたものはさらに30日間ゴミ箱に残り、その間なら更新すれば復元できます。60日目を過ぎると、元には戻せません。数字を含む詳しいスケジュールは、利用規約 (/ja/terms) の§9にあります。
• 削除の記録（トゥームストーン）。要素を削除すると、その行に「削除済み」の印を付け、中身を空にして残します。ほかのデバイスにも、そこから消す必要があることを知らせるためです。これは同期の仕組みであって、あなたのコンテンツではなく、アカウントとともに消えます。
• ゴミ箱を空にすると、このデバイスからだけでなく、サーバーからもファイルが削除されます。ゴミ箱から要素を「完全に」削除すると、その要素だけが使っていた写真やファイルは、このデバイス上ですぐに容量が解放され、クラウド上のコピーも、このデバイスが同期した時点でストレージから削除されます。これを決めるのはわたしたちではなくあなたのデバイスで、その理由は暗号化そのものにあります。あなたがどのファイルをまだ使っているか、わたしたちにはわからないからです。残しているほかの要素でも使われているファイルは、削除されません。
• アカウントを削除すると、本当にすべてが削除されます。行も、ファイルも、鍵のフィンガープリントも、あなたのユーザー情報もです。アプリからご自身で削除でき、デバイスにあるものはデバイスに残ります。
• バックアップ。データベースの提供事業者は、定期的なバックアップを取っています。削除したデータも、そのバックアップが期限切れになるまで（最長30日）残ることがあります。期限切れになれば、どこにも残りません。
• 本サイトのサポートフォームから送られたメッセージは、お問い合わせへの対応に必要なあいだと、対応を終えてから最長12か月（§3.11）。
• アプリのメッセージ受付「アイデアと不具合」に届いたメッセージは、最長12か月。案件がそれより早く解決すれば、それより短くなります。早めに削除してほしい場合は、hola@somiadigital.com までご連絡ください（§3.12）。
• 「Pattioからのお知らせ」の通知トークンは、「Pattioからのお知らせ」をオフにするか、もう有効でないとAppleが伝えてくるまで。オフになった行（ランダムな識別子、言語、バージョンで、トークンはもうありません）は、そのインストールが存在するあいだ保存されます（§3.13）。

6. データポータビリティ：いつでもあるボタン

「設定」▸「データ」▸「すべてのデータをダウンロード」に、すべてを含むZIPを書き出すボタンがあります。すべてのボードをJSONで、すべての元のファイルを1バイトもたがわずに。

これは、データポータビリティの権利（GDPR第20条）と、TRLGDCU（スペインの消費者・利用者保護一般法統合版）第119条の3の義務を満たすもので、すべてあなたのデバイスだけで行われます。ZIPがわたしたちのサーバーを通ることはありません。

• 無料です。無料プランでも、サブスクリプションが期限切れになっていても使えます。
• セルフサービスです。連絡も、待つことも、許可を求めることも不要です。
• 機械で読める形式です。JSONと元のファイルなので、Pattioがなくても使えます。

7. あなたの権利

あなたには、自分のデータにアクセスし、訂正し、削除し、処理を制限し、処理に異議を唱え、データポータビリティを求める権利があります。同意に基づく処理については、いつでも同意を撤回できます（撤回しても、それまでに行われた処理が違法になるわけではありません）。

権利を行使するには、hola@somiadigital.com までご連絡ください。遅くとも1か月以内にお返事します。ご本人であることの確認をお願いすることがありますが、それ以上のことは求めません。

権利の多くは、誰にも連絡せずに、ご自身ですぐに行使できます。書き出しのZIP（アクセスとポータビリティ）、要素の削除（削除）、ボードの共有の停止（異議）、アカウントの削除（完全な削除）、アプリの「プライバシー」のスイッチ（プロダクト分析への異議、§3.7）、「設定」▸「通知」の「Pattioからのお知らせ」のスイッチ（通知によるお知らせへの異議、§3.13）、そしてCookie設定のボタン（ウェブのアクセス解析への同意の撤回や再付与、§3.6と§3.11）です。

正直にお伝えしておくべき制約があります。非公開のコンテンツは暗号化されていて、わたしたちは鍵を持っていないため、サーバーにあるものを読める形でお渡しすることも、外から何かを訂正することもできません。それができるのは鍵を持っているあなたのデバイスで、だから書き出しもデバイスが行います。

わたしたちの対応が適切でないと思う場合は、スペインデータ保護庁（AEPD、www.aepd.es、C/ Jorge Juan 6, 28001 Madrid）に苦情を申し立てることができます。ほかの国にお住まいの場合は、その国の監督機関に申し立てることもできます。その前にわたしたちに知らせていただけるとありがたいですが、必須ではありません。

8. セキュリティ

完璧なシステムはありません。万一、あなたを危険にさらすようなセキュリティ侵害が起きた場合は、GDPR第33条の期限内に、あなたとAEPDにお知らせします。

• 非公開コンテンツのエンドツーエンド暗号化（NaCl secretbox、XSalsa20-Poly1305）。鍵はデバイスのキーチェーンにあり、サーバーに置かれることはありません。iCloudキーチェーンが有効な場合、鍵はAppleの転送経路を通り、Appleによってエンドツーエンドで暗号化されたまま、あなたのデバイス間を移動します（§3.2）。
• すべての通信にTLS。
• データベースの行レベルセキュリティ（Row Level Security）。各行について、誰が読めるかをデータベース自身が確認し、クライアントが正しく振る舞うことだけに頼りません。ゲストリンクの境界をまたぐ必要がある問い合わせは、必要な列だけを返すサーバー関数を通ります。たとえば、投票した人の名前は返しても、その人のリンクトークンは決して返しません。
• ファイルの認証情報は、アプリの中にはありません。アクセス許可に署名するのはサーバー関数で、まずあなたがそのボードに対する権利を持っているかを確認します。発行されるアドレスは数分で期限切れになります。
• ゲストリンクは、いつでも無効にできます。
• 「Pattioからのお知らせ」の通知トークンは、公開ロールが読み書きできない閉じたテーブルに保存されます。それを読むのは、サーバー内でお知らせを送る関数だけです。そしてデータベースは、その隣に身元を示す情報を保存できないようにしています（§3.13）。
• アプリの中に、広告やクラッシュレポートのSDKはありません。存在しないものは漏れようがありません。アプリが第三者に送る利用データは§3.7のプロダクト分析だけで、テキストも識別子も数値も通さない限定リストのフィルターを通ります。デバイスから第三者へ向かうそれ以外のリクエストは「IPアドレスが見える第三者」に挙げたもので、それぞれ何を送るかをそこに書いています。

9. 未成年者

Pattioは14歳未満の子どもを対象としておらず、意図してその子どもたちにデータを求めることはありません。14歳は、スペインの法律で、自分のデータの取り扱いに自分で同意できる年齢であり（個人データ保護およびデジタル権利の保障に関する組織法（LOPDGDD）第7条）、利用規約（§3）が求める年齢と同じです。2つの文書は、意図して同じ数字を記載しています。

14歳未満の子どものデータを、親権者の同意なく取り扱っていたことがわかった場合は、そのデータを削除します。あなたが親または後見人で、そのようなことがあったと思われる場合は、hola@somiadigital.com までご連絡ください。

10. このポリシーの変更

重要な変更を行う場合は、上部の日付を更新し、変更が大きい場合は、発効前にアプリ内でお知らせします。以前のバージョンは、メールで請求できます。

このポリシーは「同意する」ものではなく、「お知らせする」ものです。GDPRは「プライバシーに同意する」という一括の同意を認めていません。具体的な選択はそれぞれの場所で行い、いつでも変更できます。ウェブページのアクセス解析への同意（§3.6と§3.11）、アプリのプロダクト分析への異議（「プライバシー」のスイッチ、§3.7）、そして通知による「Pattioからのお知らせ」への異議（「Pattioからのお知らせ」のスイッチ、§3.13）です。同意していただくのは利用規約 (/ja/terms) で、アプリはそのバージョンと日付を保存します（§3.1）。