プライバシーポリシー

1. 対象と運営者

本方針はBellySignalアプリの現在のデータ処理を説明します。運営者はPicko（픽코）、代表者はJeonghyeon Yuです。連絡先：[email protected]。機能はインストールしたバージョンやプラットフォームにより異なる場合があります。

日誌は端末に保存されます。一部の健康に関する数値は分析イベントでも送信され、ログインして自動バックアップをオンにすると、日誌のコピーがGoogle Firebaseにアップロードされます。したがって、本アプリは端末内だけで完結するサービスではありません。記録にアカウントは必要ありません。

2. 端末内の記録

端末のデータベースには、便・尿の観察内容、水分摂取量、食べ物、飲み物（カフェイン・アルコール）、薬とサプリメント、症状、睡眠、ストレス、気分、運動、手入力または取り込んだ体重、生理の記録、メモ、日時が保存されます。設定には、言語、外観、通知、記録を追加するときに表示する項目、水分目標の設定、水分目標を自分に合わせるために入力した性別と体重が含まれます。

お使いのOSは、端末の設定に応じて、アプリのローカルデータと設定（生理の記録への同意を含む）を別途バックアップしたり、別の端末へ移行したりする場合があります。BellySignalの自動バックアップのスイッチは、これらのシステムサービスを制御しません。

3. 自動クラウドバックアップ（任意）

自動バックアップはログイン後にのみ利用でき、オンにするまではオフのままです。ログイン後、この端末でそのアカウントについてまだ確認していない場合、アプリはオンにするかどうかを尋ねます。確認したことは端末に記憶されるため、別の端末では改めて尋ねることがあります。この設定は後から「設定」で変更できます。

• アップロードする内容：すべての日誌記録、生理の記録、薬・サプリメントのリスト、追加した食べ物、第2項に記載の設定。生理の記録への同意と「利用統計」の設定は含まれません。
• タイミング：ログイン中のアカウントでバックアップがオンの間、アプリは、オンにしたとき、起動時やログイン時にアカウントが利用可能になったとき、アプリを離れるときや戻ったとき、ログアウトする前にアップロードを試みます。変更がなければ通常はアップロードを省略しますが、バックアップをオンにしたときやクラウドのバックアップを復元したときは、改めてアップロードすることがあります。失敗したアップロードは後の機会に再試行します。
• 保存先：米国（us-east1）のGoogle Firebase Storage内の、アカウントごとのファイル（users/{アカウントID}/devices/{端末ID}.json）。端末ごとに個別のファイルがあり、端末IDはアプリが生成するランダムな値です。
• 保護：Firebaseはバックアップを通信時と保存時に暗号化し、アプリは対応するアカウントにログインしているときだけバックアップを読み書きできます。バックアップはエンドツーエンドで暗号化されていないため、運営者のFirebaseプロジェクトの権限を持つ管理者とストレージ事業者は、その内容にアクセスできます。
• 復元：バックアップをオンにすると、同じアカウントの別の端末が作成した最新のバックアップの記録がこの端末に追加されます。この端末にすでにある記録と設定はそのまま残ります。「設定」›「バックアップから復元」では、書き出したバックアップファイル、またはログイン中であればアカウントの最新のクラウドバックアップを選べます。バックアップの記録をこの端末の記録に追加するか、この端末の記録をバックアップの記録で置き換えるかを選べます。どちらの場合も、そのバックアップに保存された設定が適用されます。

バックアップは端末ごとに保存されるため、変更は端末間で同期されません。バックアップがオンの間に削除した記録は、次にアップロードが成功した時点でこの端末のバックアップから削除されます。ただし、他の端末やそのバックアップには以前のコピーが残っている場合があり、そこから復元すると、その記録が戻ることがあります。

バックアップをオフにすると、新しいアップロードは停止します。バックアップがオンの状態でログアウトすると、最後に一度バックアップを試みてからアップロードを一時停止します。同じアカウントに再びログインしたとき、この端末でそのアカウントのバックアップがまだオンであれば、アップロードが再開されます。どちらの操作でも既存のバックアップは削除されません。

アカウントを削除すると、ログイン用アカウントを削除する前に、そのアカウントのすべてのバックアップが削除されます。端末の日誌は残ります。「すべてのデータを削除」は、この端末の日誌と保存したリストを削除し、自動バックアップをオフにします。ログイン中の場合、この端末でバックアップがオンになっているか、アプリがそのアカウントの以前のバックアップをまだ記憶していれば、アカウントのバックアップも削除します。バックアップが含まれるかどうかは確認メッセージに表示されます。それ以外の場合（ログアウト中を含む）、バックアップは残ります。必要なバックアップの削除に失敗した場合、アカウントや端末の日誌は削除されません。バックアップの削除後、アカウントIDの下に空の目印ファイルが残り、アカウントの削除後も保持されます。これは、同じアカウントにログインしている他の端末がこのファイルを見つけたときに自動バックアップをオフにするためです。それらの端末の日誌は削除されません。

削除または上書きされたバックアップファイルは、稼働中のストレージからすぐに削除されますが、ストレージ事業者は復元可能なコピーを7日間保持した後に完全に消去します。バックアップの削除を運営者に依頼することもできます。

4. 分析とエラー診断

利用状況の測定と記録の傾向の分析のため、PostHogとGoogle Analytics for Firebaseを使用します。PostHogには次の情報が送信される場合があります。

• 便の形・色、血液・粘液、痛み、膨満感、お腹の張り（腹部膨隆）、便意の切迫、残便感、いきみ、選択した便の形と痛みの部位の数
• 尿の色、選択した水分段階と泡、水分量、症状の点数と使用した尺度、睡眠の質とストレスの評価、運動の種類と時間、手入力した体重
• 初期設定時：選択した目的（便秘や薬など）、最後の排便についての回答、アプリを使う理由について任意で書けるメモ（80文字まで）
• 健康プラットフォームの権限を求めた後に心拍変動の測定値が見つかったかどうか、記録を編集したときに変更した項目の種類、記録の保存後に表示されたメッセージの種類
• 同意のうえ生理の記録がオンになっていて、PostHogが有効な間は、現在アプリに生理の記録が保存されているかどうかを示す「はい／いいえ」のフラグが、以降の分析イベントに添付されます。生理の日付、回数、経血量、生理痛の詳細は送信しません。

上記の値はPostHogにのみ送信します。画面や機能の使用、記録数、言語、設定、アプリ・OS・端末情報、端末またはアプリインスタンスの識別子は、PostHogとFirebase Analyticsの両方が受け取ります。この利用情報から、アルコール、カフェイン、気分、症状、体重を記録しているかなど、どの健康機能を使っているかがわかる場合があります。PostHogはエラー報告とスタックトレースも受け取ります。分析事業者はIPアドレスを含むネットワーク情報を処理し、おおよその位置を推定することがあります。Androidでは、端末の設定で許可されている場合、Firebase Analyticsが広告IDも収集します。

Androidでは、インストールのきっかけになったリンクの参照元とメディア（Google Playの検索、SNS、このウェブサイトなど）もPostHogに送信されます。アプリはこれをGoogle Playのインストールリファラーから一度だけ読み取り、以降のイベントに添付します。想定していない値は「other」として送信し、キャンペーン名はPostHogに送信しません。これとは別に、Firebase AnalyticsはGoogle Playからインストールの流入情報を独自に収集しており、そこにはそのリンクの参照元、メディア、キャンペーン名が含まれることがあります。

自由記述の日誌メモと食べ物・飲み物の名前は分析イベントに添付しません。Apple HealthやHealth Connectから読み取った測定値は分析に送信しませんが、上記の利用情報は送信される場合があります。端末の識別子によってイベントを継続的に結び付けられるため、このデータを完全に匿名とは説明しません。

現在の実装では、両方の分析サービスが初期状態で有効です。設定の「利用統計」スイッチはPostHogのみを制御します。このスイッチをオフにしても、上記の利用情報を含めFirebase Analyticsは有効のままで、現在アプリ内にこれを個別に停止するスイッチはありません。

5. 任意のログインと共有

• ログイン：Google・AppleログインにはFirebase Authenticationを使用します。認証と自動バックアップのため、アカウント識別子、ログインサービスから提供されるメール・プロフィール情報、認証トークン、技術的な接続情報を処理します。アカウントは設定で削除できます（第3項参照）。
• 健康プラットフォーム：許可した場合、Apple HealthまたはHealth Connectに水分の記録を書き込み、睡眠、体重、心拍変動を読み取ります。取り込んだ体重は日誌の一部となり、バックアップに含まれます。睡眠と心拍変動はアプリ内に表示するために読み取るもので、日誌やバックアップには保存しません。
• 書き出し：PDFレポートとバックアップファイルは、端末の共有機能で選んだ保存先や相手に送られます。書き出したコピーは、アプリの削除機能の対象外です。
• フィードバック：フィードバックを送信すると、本文、その分類、任意の連絡先、選択した画像とそのファイル名、アプリ・OSのバージョン、言語、送信日時がDiscord経由でサポート窓口に届きます。送りたい情報だけを含めてください。日誌の記録は自動で添付されません。

6. 目的と提供事業者

日誌と希望する連携の提供、任意のアカウントの認証、自動バックアップの保存と復元、フィードバックへの対応、利用状況と記録の傾向の測定、エラー診断のためにデータを処理します。PostHogは米国クラウドで分析・診断を扱います。Google/Firebaseは分析、認証、バックアップの保存を、AppleとGoogleはプラットフォーム連携とログインを、Discordは送信されたフィードバックを扱います。事業者のインフラにより、米国を含む居住国外でデータが処理される場合があります。PostHogを停止してもFirebaseへの送信は止まりません。データは販売しません。

7. 保存と削除

日誌の記録はアプリで閲覧・修正・削除できます。「すべてのデータを削除」はアプリの設定をすべて初期化するものではありません。水分目標のために保存した性別と体重は残り、設定で変更できます。クラウドバックアップは第3項のとおり保持されます。端末の記録を削除したりアプリを削除したりしても、送信済みの分析情報、クラウドバックアップ、アカウント情報、フィードバック、書き出したコピーは自動では消去されません。分析・サポート情報はサービスの設定と上記の目的に従って保持します。保有情報の開示や削除はお問い合わせください。対象の記録を特定するための情報が必要な場合があります。

8. 選択と権利

ログインせずに日誌を使うこと、自動バックアップをオンにするかどうか、書き出し、健康プラットフォームの権限の取り消し、設定でのPostHogの停止を選べます。生理の記録への同意は「記録項目を編集」から撤回できます。撤回すると、第4項で説明した生理のフラグは以降のイベントに添付されなくなります。生理の記録はご自身で削除するまで保存されたままで、バックアップがオンの間は自動バックアップにも残ります。PostHogのスイッチは、すべての処理に対する同意撤回の手段ではありません。適用法に応じ、開示、訂正、削除、制限、異議、データポータビリティ、同意撤回の権利を有する場合があります。行使するには[email protected]にご連絡ください。管轄のデータ保護監督機関に苦情を申し立てることもできます。権利の行使を理由に不利益な扱いをすることはありません。本方針は法定の権利を放棄させるものではなく、法律で必要な同意に代わるものでもありません。

9. 安全性と子ども

端末内の記録はOSのアプリサンドボックスで保護されます。対応端末では、設定で「アプリのロック」をオンにできます。オンにすると、アプリの起動時と、30秒以上離れてから戻ったときに、iOSではFace ID、Touch ID、または端末のパスコードを、Androidでは対応する生体認証、または端末のPIN、パターン、パスワードを求めます。アプリのロックは、ウィジェット、通知、ライブアクティビティ、Apple Watch、Siriには適用されません。クラウドバックアップは第3項のとおり保護されます。端末、アカウント、書き出したファイルを安全に管理してください。完全に安全なシステムはありません。本アプリは16歳未満、または居住国で定められた最低年齢未満の子どもを対象としていません。子どもの情報が送信された可能性がある場合はご連絡ください。

10. 更新と連絡先

今回の更新で、自動クラウドバックアップ、心拍変動の読み取り、生理に関する分析、PostHogに送信される初期設定の情報についての説明を加えました。今後の更新はここに掲載し、重要な変更はお知らせします。プライバシー・削除の窓口：[email protected]。