TakeOffプライバシーポリシー

1. お問い合わせ

TakeOffはiPhoneとMac向けの独立したアプリです。プライバシーやデータの取り扱いについては、contact@sinuk.devまでお問い合わせください。

2. TakeOffに保存するデータ

TakeOffはAppleのSwiftDataフレームワークを使って、訪問した国、旅行、チェックリスト項目、予算、保存した時計や場所、旅行書類のメタデータなど、アプリデータをローカルに保存します。

旅行書類の画像データは、他のTakeOffデータとともにローカルに保存され、iPhoneではiOSのデータ保護機能で保護されます。書類はアプリを開いている間に表示され、別途認証は必要ありません。TakeOffはアカウントサーバーを運営しておらず、デバイスだけに保存されたデータを読み取ることはできません。

3. 任意のiCloud同期

iCloud同期はデフォルトで有効です。iCloudが利用可能な場合、対応するTakeOffデータはApple ID用のプライベートCloudKitデータベースを通じて同期されます。ひとつの「iCloud同期」スイッチで対応する旅行データを管理し、書類の同期も有効になります。スイッチをオフにしてアプリを再起動すると、TakeOffをローカルだけで使えます。同期の変更は再起動後に反映されます。

TakeOffがiCloudデータを受け取ることはありません。iCloudデータを削除するには、このアプリのAppleのiCloudストレージ管理ツールを使ってください。

4. 診断と製品分析

iPhoneのリリース版では、Firebase Performance Monitoringを使い、地図、旅行、読み込み、書き出しの固定された操作とその結果を測定します。ネットワークリクエストや画面の自動計測は無効です。Firebaseにはパフォーマンス測定値、インストール識別子、デバイス・OS情報、概算の地域区分に用いる接続情報が送られます。TakeOffは旅行識別子、目的地、予約、書類の内容、ファイル名、リクエストURLをこれらのトレースに追加しません。

iPhoneとMacでは、AppleのMetricKitによるシステムパフォーマンスの小さな概要と診断レポートを、最長14日間ローカルに保存します。起動やハングの時間、CPU/GPU使用時間、利用可能メモリの測定値、診断数が含まれる場合があります。フィードバックを送信すると、これらも含まれます。「すべてのデータを削除」すると、ローカルの概要も削除されます。

リリース版では、Firebase Crashlyticsを使ってクラッシュの診断に役立てます。クラッシュレポートにはデバイスモデル、OSとアプリのバージョン、スタックトレース、診断識別子が含まれる場合があります。TakeOffは旅行メモ、書類の内容、予算、ルート情報をクラッシュレポートに添付しません。

iPhoneのリリース版では、Firebase Analyticsを使い、アプリの起動、機能利用、ペイウォール表示、購入イベント、国の記録（国コードを含む）、アフィリエイトリンクの表示やタップも計測します。Google Analyticsはアプリインスタンス識別子、デバイス・アプリ情報、概算の地域、製品IDや金額を含む購入・サブスクリプションイベントを自動収集します。分析データはインストール識別子に関連付けられる場合があります。TakeOffはAd IDに対応させずにFirebase Analyticsを使い、広告トラッキングには利用しません。旅行メモ、書類の内容、個々の支出、保存した旅程ルートを分析データとして送信しません。

Firebaseは、Firebaseを利用するサービスの保護、Remote Config値の配信、クラッシュや製品の状態に関するシグナルの集計のために、インストール、アプリインスタンス、診断、匿名認証の各識別子を作成する場合があります。TakeOffにユーザーアカウントは不要です。匿名のFirebase Authから公開プロフィールを作成することも、これらの識別子を販売することもありません。

5. 購入

既存のサブスクリプション購入と復元はAppleのStoreKitで処理されます。TakeOffがクレジットカード情報を受け取ったり保存したりすることはありません。Firebase Analyticsは購入・サブスクリプションイベントを自動記録する場合がありますが、カード情報とは別です。

6. アクセス許可

TakeOffは関連機能が必要とするときだけアクセス許可を求めます。旅行ツールには位置情報、旅行や書類の操作と任意の読み込みにはカメラと写真ライブラリ、ワークアウトルートから国を読み込むにはヘルスケア、書類の期限・旅行の準備・時差ボケのリマインダーには通知、旅行や時差ボケのイベントを追加または同期するときはカレンダーへのアクセスを求めます。

HealthKitへのアクセスは読み出し専用で、スキャンするよう選んだワークアウトルートに限られます。TakeOffはデバイス上でルートを使い、訪問した可能性のある国を検出します。TakeOffがヘルスケアデータを書き込むこと、第三者と共有・販売すること、広告に利用することはありません。

写真ライブラリへのアクセスは、旅行への写真添付、書類スキャンの追加、レシート画像からの支出候補の読み取り、位置情報付き写真からの訪問国の読み込みなど、ユーザーが開始した操作に限って使われます。位置情報へのアクセスは、座標、コンパス、日の出・日の入り、周辺情報など、位置情報を使う旅行ツールに利用されます。これらのアクセスを許可しなくても、アプリの他の機能は引き続き使えます。

デバイスのシステム設定からいつでもアクセス許可を変更できます。TakeOffの設定ではiCloud同期、Appleの提案、Spotlightインデックスをオフにできます。カレンダーへのアクセスを取り消すと今後の更新は停止しますが、すでに書き出したイベントはカレンダーから削除できます。

7. サードパーティリンクとリアルタイム旅行情報

国を選択し、カバー画像を手動で選ばずに旅行を作成すると、TakeOffは選択した最初の国名をPexelsで検索し、必要に応じてWikimedia Commonsも検索して目的地のカバー画像を選びます。「カバー写真を探す」を開くと、選択済みの国があればその国を検索します。選択画面と手動検索では、有効になっているPexelsとWikimedia Commonsの両方を検索します。Pexels検索にはTakeOffのFirebaseプロキシを使い、Wikimedia Commonsの検索はWikimediaに直接送ります。画像の読み込み時には各提供元に通常の接続情報も送られます。自動検索に旅行タイトル、メモ、予約、書類は含まれません。プロキシはPexelsの検索結果を一時キャッシュし、利用制限のためリクエスト数を保持します。選択した写真と出典・ライセンスのクレジットは旅行とともに保存され、現在の同期設定に従います。検索結果の一時キャッシュとは別です。カバー画像は差し替えたり削除したりできます。

TakeOffから外部の旅行サービスやWebサイトにリンクする場合があります。各サービスには独自のポリシーが適用されます。TakeOffが個人のアプリデータをこれらの提供元と共有することはありません。

旅行情報をリアルタイムで表示するため、TakeOffは国、空港、フライト、通貨のコードなど、個人を特定しない検索語を使ってAppleおよびサードパーティのプロバイダからデータを取得します。フライトスケジュール、空港、ルート候補の検索にはTakeOffのFirebase Cloud FunctionsプロキシとAirLabsまたはLogostreamを使用します。リクエストにはフライト番号、出発地・目的地の空港コード、出発日、ルート検索の上限、候補となる空港経路が含まれる場合があります。バックエンドは利用枠と不正利用防止のために匿名Firebase UIDとネットワークアドレスのキー付きハッシュを使いますが、旅行メモ、予約、書類、支払い情報は受け取りません。航空会社のロゴはLogostreamから読み込む場合があります。為替レートにはFrankfurterまたはExchangeRate-APIを使用します。地図・場所の検索と天気のリクエストにはAppleのサービスを使い、検索に必要な位置情報や検索内容を送信します。FirebaseプロキシへのリクエストはApp Checkで保護されています。

Appleの提案

Appleの提案は各デバイスでデフォルトで有効です。保存済みの旅行や対象アクティビティを開くと、TakeOffは基本タイトル、予定日とタイムゾーン、既知の場所名と座標、記録済みの結果、TakeOffで記録を再度開く識別子を提供します。保存に成功した結果の変更によって既存の提供内容が更新される場合があります。対応環境では、これらのアクティビティがSiri、検索、Journalの提案に使われることがあります。表示内容はAppleが決定するため、TakeOffは提案を確認したり保証したりできません。

自動提供には、メモ、写真、旅行書類、既知の予約情報、金額などの金融項目は含まれません。タイトルはユーザーが入力する基本項目なので、提案に含めたくない個人情報をタイトルに入力しないでください。TakeOffはクリーンアップ用にローカルの識別子・受領記録を保持し、保存内容の変更、削除、アプリの実行中の同期後に古い提供内容を削除します。「設定」でAppleの提案をオフにすると、そのデバイスへの提供を停止して削除します。この設定はSiriとシステムアクション内のSpotlightインデックスとは別です。

Apple Journalで項目を直接作成・管理できます。TakeOffがJournalの項目を作成、読み取り、同期することはなく、提案が表示されたか、項目が保存されたかを確認することもできません。提案を無効にしてもJournalの項目は削除されません。Recapは明示的に選択して作成する別の旅行書き出しです。写真はメタデータのない縮小コピーで、元の写真は変更されません。

8. データの保存と削除

保存した旅行の記録と添付ファイルは、削除するまで保持されます。「ツール」>「設定」>「同期とデータ」の「すべてのデータを削除」を使うと、ローカルの旅行モデル、書類の原本と認識テキスト、保護された共有ファイルの読み込み、保留中のアクション草案、ローカルキャッシュ、TakeOffの通知が削除されます。そのデバイスのAppleの提案へのTakeOffの提供内容を削除し、匿名Firebase IDとプロバイダ利用枠の記録の削除も要求します。失敗した項目があればTakeOffが知らせるので、再試行できます。App Storeのサブスクリプションを解約する操作や、Apple Journalで作成した項目、カレンダーに書き出したイベントの削除は行いません。

iCloud同期が有効な場合、保存した記録の削除はデバイスの同期に応じてCloudKit経由で反映されます。同期がオフの場合、他のデバイスや既存のiCloudコピーにデータが残ることがあります。AppleのiCloudストレージ設定から管理してください。アプリを削除するだけではFirebaseの記録や既存のiCloudコピーの削除は要求されません。アンインストール前に「すべてのデータを削除」を使ってください。

プロバイダのリクエスト数記録と、ネットワーク不正利用防止用の別カウンターは、最終更新から40日後に削除対象となり、バックエンドの日次クリーンアップで確認されます。ネットワークカウンターは生のIPアドレスではなくキー付きハッシュを保存し、IPv6アドレスをネットワークプレフィックス単位でまとめます。匿名アカウント削除とは別に保持され、アカウントの繰り返し作成による制限回避を防ぎます。公開プロバイダ結果は個人の旅行記録とは別に一時キャッシュされます。Firebase Authenticationは削除されるまで匿名IDを保持します。アップロード済みの分析、クラッシュレポート、パフォーマンストレースにはFirebase/Googleの設定済み保存期間が適用され、匿名Auth IDを削除しても消去されません。「すべてのデータを削除」はローカルのAnalytics識別子をリセットしますが、アップロード済みの分析、クラッシュレポート、パフォーマンストレースは消去しません。

プライバシーに関するアクセス、訂正、削除、同意撤回の依頼はcontact@sinuk.devまでお送りください。サービス名とおおよその日付を記載し、旅行書類などの機密記録は送らないでください。該当する保存要件も含め、特定・削除できるデータをご案内します。デバイスのシステム設定でアクセス許可を取り消し、TakeOffの設定で任意の同期やシステムへの提供を停止できます。

第三者サービスには各社のポリシーが適用されます：Firebaseのプライバシー、Googleのプライバシー、Appleのプライバシー、Pexelsのプライバシー、Wikimediaのプライバシー。

9. 変更

TakeOffの成長に伴い、このポリシーを更新する場合があります。上記の日付は最新の公開版を示しています。