プライバシーポリシー

スマートフォンに残るものと送信されるもの

PrunaはiPhoneとAndroidスマートフォンで利用できます。スマートフォンの写真、ビデオ、連絡先、カレンダーの予定を確認・整理するためのアプリで、プライベートな写真や連絡先を暗号化された保管庫に保管します。アカウントも広告もありません。

お客様の写真、ビデオ、連絡先、カレンダーの予定、保管庫が、Prunaを通じてデバイスの外に出ることはありません。分析はすべてスマートフォン上で行われます。このポリシーでは、アプリが何を保存し、何を誰に送信するかを説明します。iPhone版とAndroid版で異なる点は、その旨を記載しています。

Prunaが送信するのは、以下で説明するとおり、ランダムな識別子に結び付いた利用イベント、診断情報とクラッシュレポート、サブスクリプションの情報、そして当社のどのキャンペーンがダウンロードにつながったかという情報に限られます。当社が写真、ビデオ、連絡先、カレンダーの予定、保管庫の中身、保管庫のPINを受け取ることはありません。

写真とビデオ

お客様の許可のもと、Prunaは写真ライブラリを読み取り、重複項目、似ている写真、スクリーンショット、画面収録、大きいビデオ、Live Photosやモーション フォト、ぼやけた写真や暗い写真を見つけます。iPhoneでは、フルアクセスまたは制限付きアクセスを許可でき、iOSの設定でいつでも変更できます。Androidでは、すべての写真とビデオへのアクセス、またはAndroid 14以降では選択した写真とビデオへのアクセスを許可でき、Androidの設定で変更できます。写真へのアクセスとあわせて、AndroidはPrunaが写真やビデオに保存された位置情報を読み取ってよいかどうかも確認します。Prunaはこの位置情報を、圧縮したビデオと、Prunaが保存する静止画にその位置情報を残すためだけに使用します。

そのために、Prunaは次の情報をデバイス上にのみ保存します。

• ファイルのサイズ、日付、メディアの種類
• デバイス上で計算される視覚的な特徴と品質スコア（iPhoneではAppleのVisionフレームワーク、Androidではアプリに組み込まれた画像モデルとGoogleのML Kitの顔検出、およびコンパクトな画像ハッシュによるもの）。これらは写真どうしの似ている度合いや、写真の鮮明さ、目が開いているかどうかを表すもので、写っている人物を識別するものではなく、ここから写真を復元することもできません
• 残すことにした写真やスワイプでの判断など、お客様の選択
• Prunaで圧縮したビデオ（再び候補として表示しないため）
• 整理の記録（日付、項目数、そのサイズ）

このキャッシュはデバイスのバックアップから除外され、アプリを削除すると消去されます。

提案の仕組み

重複項目、似ている写真、ぼやけた写真や暗い写真などのPrunaの提案は、スマートフォン上で動作するソフトウェアによって自動的に作成されます。iPhoneではAppleのVisionフレームワーク、Androidではアプリに組み込まれた画像モデルとML Kitの顔検出です。そのために写真、特徴、スコアが当社やAIサービスに送信されることはなく、お客様の写真がモデルのトレーニングに使われることもありません。

提案は推定であり、誤っている場合があります。提案はあくまで候補であり、お客様が確定するまで何も削除されません。

写真とビデオの削除

写真やビデオを削除すると、システムの確認画面でお客様が確定した後、Prunaはそれらを次の場所に移動するようシステムに依頼します。

• iPhoneでは、写真アプリの“最近削除した項目”アルバムに移動します。アルバムを空にしない限り、30日間そこに残ります。iCloud写真を使っている場合、削除は同じAppleアカウントでサインインしているすべてのデバイスに適用されます。iCloudにのみ保存されている写真をプレビューすると、iOSがAppleからダウンロードすることがあります。この転送はデバイスとAppleの間で行われます。
• Androidでは、スマートフォンのゴミ箱に移動します。ゴミ箱を空にしない限り、30日間そこに残ります。Google Photosなどのクラウド写真サービスに保存されているコピーは、そのサービス自体の設定に従います。

一定数の削除にはサブスクリプションは必要ありません。残りの数を表示するため、Prunaはサブスクリプションなしで削除した写真とビデオの数を数え、その数だけをスマートフォンに保存します。この数はアプリを削除しても残ります。保存先は、iPhoneではiOSのキーチェーン（このデバイスのみ）、AndroidではGoogle Play開発者サービスのBlock Store（クラウドバックアップはオフ）です（スマートフォン間でデータを移行すると、Androidがこの数を新しいスマートフォンにコピーすることがあります）。この数が当社や下記のサービスに送信されることはありません。

ビデオの圧縮

ビデオを圧縮すると、Prunaはスマートフォン上でビデオを再エンコードします。ビデオがアップロードされることはありません。iPhoneでは、選択したビデオがiCloudにのみ保存されている場合、Prunaは事前に確認し、お客様が同意した場合にのみAppleからダウンロードします（モバイルデータ通信を使用中の場合はその旨を表示します）。同意しない場合、そのビデオはスキップされます。圧縮したファイルは、お客様が保存または破棄するまで、バックアップの対象外としてデバイス上のアプリのストレージに置かれ、どちらも行わない場合は7日後に削除されます。保存すると、圧縮したコピーがオリジナルの日付、お気に入り、位置情報（Androidでは、Prunaによる位置情報の読み取りを許可した場合）を引き継いで写真ライブラリに追加されます。オリジナルを残すことを選ばない限り、オリジナルはほかの削除と同様に、システムの確認画面でお客様が確定した後、“最近削除した項目”またはゴミ箱に移動します。Androidでは、ビデオの圧縮中に通知で進行状況が表示されます。この通知にビデオの名前は表示されません。

連絡先

Prunaが連絡先へのアクセスを求めるのは、連絡先のセクションを開いたとき、または保管庫に連絡先を追加するときだけです。重複や名前・番号のない項目を見つけるため、デバイス上で連絡先を読み取ります。結合や削除の前には毎回、対象の連絡先のバックアップ（vCardファイル）をデバイス上のアプリの保存領域に書き込みます。最新の10件を保持し、設定から復元または削除できます。これらのバックアップは、お客様の設定に従ってデバイスのバックアップに含まれます（iPhoneではiCloudバックアップまたはコンピュータへのバックアップ、AndroidではGoogleのバックアップとデバイス間のデータ移行）。

iPhoneでは、Prunaは連絡先のメモを読み書きしません。Androidでは、Prunaが編集できるアカウントにある連絡先の情報（名前、電話番号、メールアドレスと住所、Webサイト、日付、メモ、写真）を読み取ります。結合すると、ほかの項目の情報はメモも含めて残る項目に移り、バックアップにもそれらの情報が含まれます。Androidのバックアップには、連絡先がどのアカウントに属していたかが、アカウントの名前やアドレスではなく、元に戻せない一方向のコードとして記録されます。

カレンダー

Prunaがカレンダーへのアクセスを求めるのは、カレンダーのセクションを開いたときだけです。削除したいかもしれない予定を一覧にするため、デバイス上で過去の予定を読み取ります。まだ終わっていない予定、まだ続いている繰り返し予定、お客様が編集できないカレンダーが候補になることはありません。Androidでは、会議とお客様ご自身の予定を区別するためだけに出席者のアドレスを読み取ります。会議が自動的に選択されることはありません。削除の前には毎回、Prunaは対象の予定のバックアップ（.icsファイル）をデバイス上のアプリの保存領域に書き込み、連絡先のバックアップと同様に保持します。カレンダーのサービスによっては、自分が主催した予定を削除すると出席者にキャンセルの通知が送られることがあります。これを行うのはPrunaではなく、カレンダーのサービスです。

保管庫

保管庫に追加した項目は、保存される前にデバイス上で暗号化（AES-GCM）されます。

• iPhoneでは、鍵はお客様のPINとiOSのキーチェーンで保護されています。Face IDをオンにした場合、認証はiOSが行います。暗号化された保管庫のファイルはデバイスのバックアップに含まれますが、PIN（または復旧用のiPhoneのパスコード）がなければ開けません。
• Androidでは、鍵はお客様のPINとAndroid Keystoreで保護されています。指紋認証または顔認証をオンにした場合、認証はAndroidが行います。また、画面ロックを使って新しいPINを設定できます。保管庫の画面は、スクリーンショットや画面の録画で記録できません。保管庫はGoogleのバックアップやデバイス間のデータ移行には含まれません。別のスマートフォンに移すには、お客様が選んだ別のパスフレーズで保護されたファイルにエクスポートします。

Prunaが生体情報を受け取ることはありません。当社がお客様の保管庫を開いたり、復旧したり、リセットしたりすることはできません。アプリを削除するか保管庫を消去すると、中身も削除されます。

ストレージ情報

Prunaは、保管庫に項目を追加したりビデオを圧縮したりする前（Androidでは静止画を保存する前にも）に十分な空きがあるか確認するため、スマートフォンの総容量と空き容量を読み取り、足りない場合はその旨をお知らせします。これらの値がどこかに送信されることはありません。

利用状況の分析

どの機能が使われ、どこで問題が起きているかを把握するため、公開版のPrunaは、お客様のインストールのランダムな識別子に結び付いた利用イベントをMixpanelに送信します。データは欧州連合内に保存されます。イベントには操作の名前（例：「スキャン完了」「サブスクリプション画面を表示」）と、「100〜999枚」「1〜5 GB」のようなおおまかな範囲や選択肢だけが含まれ、正確な数やサイズ、写真やファイルの名前、写真・連絡先・予定の識別子、ストレージ容量は含まれません。各イベントには、アプリのバージョンとビルド、アプリの言語、そしてMixpanelのライブラリが追加する技術的な情報も含まれます。iPhoneではデバイスの機種、iOSのバージョン、画面サイズ、Androidではデバイスのメーカー、ブランド、機種、Androidのバージョン、画面のサイズと密度、携帯電話会社の名前、Wi-Fi・Bluetooth・NFC・電話機能を利用できるかどうかです。

Mixpanelは、デバイス上で作成されたランダムな識別子でインストールを識別します。この識別子は、お客様の名前、Appleアカウント、Googleアカウント、広告識別子とは結び付いていません。イベントの送信時にMixpanelのサーバーはIPアドレスを受け取りますが、アプリはMixpanelに対し、IPアドレスから位置を特定しないよう求めています。また、アプリはこのランダムな識別子をRevenueCatにも渡します。これにより、RevenueCatが記録するサブスクリプションのイベント（トライアルの開始や終了、更新、解約、返金などと、そのプランおよび価格）が、Mixpanel内の同じインストールの識別子に追加されます。

Androidでは、スマートフォン上で顔を評価するGoogleのML Kitが、自身の動作に関する診断情報（デバイスとアプリの情報、インストールごとの識別子、パフォーマンスの計測値、画像のサイズや形式などの設定、エラーコード）をGoogleに送信します。写真や分析結果は含まれません。詳しくはGoogleのML Kitのデータ開示（ https://developers.google.com/ml-kit/android-data-disclosure ）をご覧ください。

クラッシュレポート

公開版は、クラッシュレポート、エラーレポート、パフォーマンス計測の一部をSentryに送信します。含まれるのは技術的な情報（アプリのバージョン、デバイスの機種、OSのバージョン、問題発生時のアプリのコードの状態）です。PrunaはSentryの個人情報収集をオフにしており、スクリーンショットや画面の内容は添付しません。iPhoneでは、iOSがアプリに提供する診断情報（MetricKit）がこれらのレポートに追加されます。Androidでは、アプリが応答しなくなった場合もレポートの対象になります。

Sentryは、これらのレポートを同社の欧州連合リージョンに保存します。

サブスクリプションとキャンペーンの情報

支払いはApple（App Store）またはGoogle（Google Play）が処理します。RevenueCatは、アクセスの確認、購入の復元、サブスクリプションのレポート作成のために、アプリ固有のランダムな顧客識別子、購入とサブスクリプションの履歴、デバイスとアプリの技術情報、サブスクリプション画面での操作を処理します。これらのサービスにはインターネット接続が必要で、お客様のグローバルIPアドレスを受け取る場合があります。当社が支払いカードの情報を受け取ることはありません。RevenueCatは当社のサービスプロバイダとして機能し、アプリを削除してもRevenueCatの購入記録は削除されません。

iPhoneでは、App StoreでApple Search Adsの広告をタップした後にPrunaをインストールした場合、当社のどの広告キャンペーン、広告グループ、検索キーワードがダウンロードにつながったかという情報を、RevenueCatがAppleから受け取ります（AppleのAdServicesによるアトリビューション）。そのためにPrunaは、iOSから取得したトークンをRevenueCatに送信します。この際、広告識別子は使わず、トラッキングの許可も求めません。Appleはこのアトリビューションをトラッキングなしで提供しているためです。当社はこれを、当社の広告のうちどれが効果を上げているかを確認するためだけに使います。

Androidでは、当社のキャンペーンのリンクからGoogle Playにアクセスした場合、PrunaはGoogle Playのインストールリファラー（Install Referrer）から、キャンペーンのソース、メディア、名前（リンクのutm_source、utm_medium、utm_campaignの値）を一度だけ読み取り、上記のランダムな識別子とともにRevenueCatとMixpanelに渡します。リファラーからはそれ以外の情報を一切読み取らず（広告クリックの識別子もインストール日時も読み取りません）、広告識別子も使いません。当社はこれを、当社のキャンペーンのうちどれが効果を上げているかを確認するためだけに使います。

Prunaは、ほかのアプリやWebサイトをまたいでお客様をトラッキングせず、広告を表示せず、広告識別子を使わず、個人情報を販売または共有することもありません。上記のApple Search AdsのアトリビューションとGoogle Playのキャンペーン情報からわかるのは、当社の広告やキャンペーンリンクのうち、どれがダウンロードにつながったかということだけです。

サポート

info@odbs.tech にメールを送った場合、メールアドレスとご提供いただいた情報は返信のためだけに使われます。サポートへのメッセージに、写真、連絡先の情報、保管庫のPINを含めないでください。

サービス提供者とデータの処理場所

• Apple — App Storeでの購入、iCloud写真、デバイスのバックアップ（iPhone）
• Google — Google Playでの購入とインストールリファラー、Androidのバックアップとデバイス間のデータ移行、Block Store、ML Kitの診断情報（Android）
• RevenueCat — サブスクリプションの確認とレポート、Apple Search Adsのアトリビューション（iPhone）、インストールキャンペーンの情報（Android）
• Mixpanel — ランダムな識別子に結び付いた利用状況分析（データはEU内に保存）、インストールキャンペーンの情報（Android）
• Sentry — クラッシュレポートとエラーレポート（同社の欧州連合リージョン）

Apple、Google、RevenueCatは、これらのデータを米国その他の国で処理することがあります。AppleとGoogleは、各社のストア、バックアップ、写真サービスを、各社のプライバシーポリシーに基づいてお客様に提供しています。

データの保存期間

• スキャン結果、特徴、スコア、お客様の選択、整理の記録：アプリを削除するまでスマートフォンに保存されます。デバイスのバックアップには含まれません。
• 保存も破棄もしていない圧縮済みのビデオ：7日後に削除されます。
• 連絡先とカレンダーのバックアップ：それぞれ最新の10件。設定で削除するかアプリを削除するまでスマートフォンに保存され、お客様の設定に従ってデバイスのバックアップに含まれます。
• 保管庫：消去するかアプリを削除するまで。iPhoneでは、暗号化された保管庫のファイルもデバイスのバックアップに含まれます。
• サブスクリプションなしで行った削除の回数：「写真とビデオの削除」で説明したとおり、アプリを削除した後もスマートフォンに残ります。
• 分析イベント、診断情報、クラッシュレポート：Mixpanel、Sentry、Googleが、各社の保存設定に従い、アプリの把握と改善に必要な期間だけ保存します。
• サブスクリプションと購入の記録：Apple、Google、RevenueCatが、請求、税務、会計上の義務に必要な期間保存します。アプリを削除しても削除されません。

Prunaでのお客様の選択

• 写真、連絡先、カレンダー、Face ID、指紋認証または顔認証：iOSの設定またはAndroidの設定で、いつでもアクセスを許可または取り消せます。
• 連絡先とカレンダーのバックアップ：「設定 › 連絡先のバックアップ」と「設定 › カレンダーのバックアップ」で復元または削除できます。
• 保管庫：「保管庫の設定」で、PINやロック解除の方法を変更したり、保管庫とその鍵を完全に消去したりできます。Androidでは、そこからパスフレーズで保護されたファイルにエクスポートすることもできます。
• サブスクリプション：「設定」の「サブスクリプションを管理」と「購入を復元」。AppleアカウントまたはGoogle Playの設定で解約することもできます。
• 分析とクラッシュレポート：Prunaにはこれらをオフにするスイッチはありません。アプリを削除すれば送信を止められます。
• Prunaにはアカウントがないため、削除するアカウントはありません。当社が受け取るデータはお客様の身元と結び付いていないため、お問い合わせいただいた場合は、ご依頼を当社が保有するデータと照合できる範囲で対応します。

Prunaの法的根拠

• ライブラリ、連絡先、カレンダーの分析、保管庫、圧縮、バックアップ：お客様との契約の履行。これらはスマートフォン上で行われ、当社がデータを受け取ることはありません。
• サブスクリプションの確認、購入の復元、サブスクリプションなしで行った削除の回数の計測：契約。
• 利用イベント、サブスクリプションのレポート、ダウンロードにつながったキャンペーン：Prunaがどのように使われているか、当社のどのキャンペーンが効果を上げているかを把握するという当社の正当な利益。
• ML Kitのものを含むクラッシュレポートと診断情報：Prunaの正常な動作と安全を保つという当社の正当な利益。
• メールへの返信：お客様をサポートするという当社の正当な利益。ご依頼が購入に関するものである場合は契約。
• 購入記録の保管：法的義務。