プライバシーポリシー
maru プライバシーポリシー v1（ドラフト）
最終更新: 2026-09-05（v1.10 ドラフト）
対象法令: 個人情報保護法（2022 年改正対応）、関連ガイドライン
1. 事業者情報
| 項目 | 内容 |
|---|---|
| 事業者名 | 株式会社 三昧堂（Zanmaido K.K.） |
| 代表者 | 桑水 悠治 |
| 個人情報保護管理者 | 桑水 悠治（兼任） |
| お問合せ先 | hello@zanmaido.com |
| 所在地 | 〒899-6603 鹿児島県霧島市牧園町高千穂3914-67 |
2. 取得する個人情報
2.0 ユーザーロールの定義
本ポリシーでは、以下のユーザーロールごとに取扱う個人情報および利用目的が異なります。現時点（Phase 0）で稼働しているのは「個人ユーザー」および「ベータ参加者」のみですが、将来のフェーズで追加が予定されているロールについても、本ポリシーにて取扱方針を予め示します。
| ロール | 説明 | 提供開始時期 |
|---|---|---|
| 個人ユーザー | 自身の健康データを記録・閲覧するために本サービスを利用する一般のユーザー | Phase 0〜 |
| ベータ参加者 | Phase 0 招待制ベータ期間中に当社からの招待を受けて登録した個人ユーザー（追加同意フォームに別途同意済） | Phase 0〜 |
| 家族閲覧者（予約枠） | 個人ユーザーから明示的な招待を受けて、当該ユーザーの健康データ（一部）を閲覧できる家族・支援者 | 未提供（Phase 1 後半以降に検討） |
| HCP / 医療従事者（予約枠） | 個人ユーザーから明示的な共有同意を受けて、当該ユーザーの健康データを医療指導目的で閲覧する医師・栄養士等 | 未提供（Phase 3b 以降の B2B 展開時に検討） |
重要: 「家族閲覧者」「HCP」ロールは Phase 0 時点では未提供であり、データの取得・処理も行われません。これらが提供開始される際には、本ポリシーを §13 に従い改定し、対象ユーザーから事前同意を取得します。
2.1 ユーザーから取得する情報
a. 必ず取得（サービス提供のため）
- メールアドレス
- 表示名（ニックネーム可）
- パスワード（ハッシュ化して保存）
- 生年月日（年齢確認のため）
- 性別
b. 任意で取得（プロフィール強化）
- 身長・体重・体脂肪率
- 健康目標（自由入力）
- 居住地域（市区町村レベル）
c. 要配慮個人情報（明示同意取得後のみ）
- 病歴・既往歴（任意）
- 服薬中の薬剤
- アレルギー情報
- CGM 連携によるグルコース値・スパイク履歴
- 食事写真（栄養成分の解析対象）
- 心拍・睡眠データ（HealthKit 連携時）
- AI チャット内の健康相談履歴
2.2 自動で取得する情報
- デバイス情報（OS バージョン、アプリバージョン、機種、言語、タイムゾーン）
- ログイン履歴・アプリ利用ログ
- クラッシュ・エラー情報
- IP アドレス（匿名化処理あり）
- Cookie / 類似技術（Web プロパティでのセッション維持）
2.3 OS 権限と取得目的の対応
本アプリは iOS / Android の以下の権限を利用します。各権限は、利用者がアプリ内で関連機能を有効化する際にのみ要求され、利用者は OS 設定からいつでも権限を撤回できます。
| OS 権限 | 取得目的 | 取得データ | 拒否時の影響 | 法的根拠 |
|---|---|---|---|---|
| HealthKit（iOS）/ ヘルスコネクト（Android） | 心拍・睡眠・歩数等のヘルスデータを連携・可視化 | 利用者が選択した HealthKit / ヘルスコネクト由来データ（要配慮個人情報を含む） | ヘルスデータ自動連携機能が無効化される（手入力は引き続き可能） | 要配慮個人情報につき明示同意（個情法 第 2 条第 3 項） |
| 通知（プッシュ通知） | リマインダー・グルコース異常値アラート・AI からの提案通知の配信 | デバイストークン | 通知配信が無効化される（アプリ内表示は引き続き可能） | 同意 |
| カメラ | 食事写真・体組成計表示等の撮影による記録 | 撮影された画像データ（端末上で利用者が選択した場合のみ送信） | 写真撮影機能が無効化される（写真ライブラリからの選択は引き続き可能） | 同意 |
| 写真ライブラリ | 既存写真からの食事記録・プロフィール画像設定 | 利用者が選択した画像データのみ | ライブラリからの画像選択機能が無効化される | 同意 |
| Bluetooth（将来） | CGM デバイス・ウェアラブル等との直接通信 | センサーから取得される健康関連データ | デバイス直接連携機能が無効化される（OAuth 経由連携は引き続き可能） | 要配慮個人情報につき明示同意 |
| 位置情報（将来） | Bluetooth デバイススキャン（Android のみ OS 仕様上要求される）/ 地域別コンテンツ提供 | デバイスの大まかな位置（市区町村レベル） | Bluetooth スキャンが無効化される。地域別機能が無効化される | 同意 |
| マイク（将来） | 音声入力による記録 | 利用者が録音した音声データのみ | 音声入力機能が無効化される | 同意 |
重要: 当社は、機能の提供に必要な最小限の範囲でのみ OS 権限を要求します。バックグラウンドでの常時データ収集や、機能と無関係な権限要求は行いません。Apple App Privacy Label および Google Play Data Safety セクションの開示内容は、本表と整合するよう維持します。
3. 利用目的
| 目的 | 該当データ | 個情法上の位置付け |
|---|---|---|
| サービスの提供（健康データの可視化・AI による洞察） | すべて | 利用目的の特定・公表（17 条・21 条）+ 契約履行 |
| サービス改善（A/B テスト・機能評価） | 行動ログ | 利用目的の特定・公表（17 条・21 条） |
| カスタマーサポート | お問合せ内容、利用情報 | 利用目的の特定・公表（17 条・21 条）+ 契約履行 |
| 課金処理（Phase 1 以降） | 課金情報 | 利用目的の特定・公表（17 条・21 条）+ 契約履行 |
| 法令に基づく対応（照会・届出等） | すべて（必要範囲） | 法令に基づく場合（18 条 3 項 1 号） |
| 不正利用の検知・防止、本サービスの安全確保 | アカウント情報、利用ログ | 利用目的の特定・公表（17 条・21 条） |
| レポートの品質確認（配信前の検品・配信後の品質改善） | レポート本文および生成元となった健康データ（要配慮個人情報を含む） | 利用目的の特定・公表（17 条・21 条）+ 契約履行 |
| 研究開発・統計利用 | 匿名化されたデータのみ | 同意（要配慮個人情報を含む場合は明示同意） |
本表の「個情法上の位置付け」について: 日本の個人情報保護法は、GDPR のように「正当な利益」等の処理根拠（legal basis）を列挙する構成を採っていません。同法では、あらかじめ利用目的を特定・公表し（17 条・21 条）、その範囲内で取り扱うことが原則であり、要配慮個人情報の取得・第三者提供・越境移転については別途の同意等が求められます。本表は各目的がこの枠組みのどこに位置付けられるかを示すものです。
要配慮個人情報については、上記目的の中でも「サービスの提供」「カスタマーサポート」「レポートの品質確認」のみに限定して利用し、研究開発に用いる場合は別途同意を取得します。
「レポートの品質確認」について: 本サービスではレポートそのものが主要な提供物であるため、その検品と提供は不可分です。品質確認は、①配信前の検品（お客様にお出しする前に、記載された数値が集計値と一致するか、表現が禁止事項に触れていないかを確認する）と、②配信後の品質改善（お出ししたレポートを読み返し、生成の仕組みを改善する）の 2 つを含みます。当社は、②を含む品質確認において、担当者が氏名・呼び名と結び付いた状態で内容を読むことを既定としません（呼び名を伏せ、数値と構造のみを確認する運用を既定とします）。氏名と結び付いた状態での閲覧は、ご本人の明示的な同意がある場合、または安全上の懸念が生じた場合に限り、記録を残したうえで行います。
「サービス改善」のための行動解析（PostHog への送信）は、本ポリシーの公表をもって行っています。モバイルアプリのうち、アプリ内に任意設定（「製品の利用状況を送る」「AI の動作情報を送る」）を備えたバージョンをお使いの場合は、その設定に従います。任意設定を備えていないバージョン、および **Web プロパティ（nagaiki.ai）**では、この設定画面は表示されません（§6.1 参照）。
4. 第三者提供
原則として、ユーザー本人の同意なく第三者に提供しません。
例外:
- 法令に基づく場合（捜査機関の照会等）
- 人の生命・身体・財産の保護に必要な場合（例: 緊急時に主治医・救急医療機関への情報共有を本人が希望する場合）
- 公衆衛生・児童保護のため必要な場合
- 国の機関等が法令の定める事務を遂行することに対する協力
5. 委託
サービス提供に必要な範囲で、海外事業者へ業務の一部を委託しています。委託先に対しては、個人情報保護法 25 条に基づき、必要かつ適切な監督を行います。
主要な委託先（カテゴリと所在国）:
| カテゴリ | 主要プロバイダ | 事業者所在地（＝移転先の国） |
|---|---|---|
| AI 応答生成・食事写真の解析 | Anthropic / OpenAI / Google | 米国 |
| バックエンド・データベース・Storage | Supabase | 米国 |
| 課金処理（Phase 1 以降） | Stripe | 米国 |
| 運用支援サービス（行動解析） | PostHog, Inc. | 米国 |
| 運用支援サービス（エラー監視） | Sentry | 米国 |
| Web ホスティング | Vercel | 米国 |
| メール配信（通知・お問い合わせ） | Resend | 米国 |
PostHog については、当社は EU リージョンを選択しており、データは**ドイツ（フランクフルト）**のデータセンターに保管されます。ただし契約主体は米国法人 PostHog, Inc.（San Francisco）であるため、個情法 28 条の移転先の国は米国となります（§6.1）。
完全な委託先一覧（subprocessors）は、本ポリシーとは別途、公開ページにて常時開示します。 変更があった場合、変更後 30 日以内にアプリ内通知・登録メールアドレスへの送信によりご連絡します。
公開ページ: https://nagaiki.ai/subprocessors
主要プロバイダのプライバシーポリシー:
- Anthropic: https://www.anthropic.com/legal/privacy
- OpenAI: https://openai.com/policies/privacy-policy
- Google（Vertex AI）: https://cloud.google.com/terms/cloud-privacy-notice
- Supabase: https://supabase.com/privacy
- Stripe: https://stripe.com/privacy
- PostHog: https://posthog.com/privacy
- Sentry: https://sentry.io/privacy/
- Vercel: https://vercel.com/legal/privacy-policy
- Resend: https://resend.com/legal/privacy-policy
6. 個人情報の外国にある第三者への提供
本サービスでは、§5 に記載の委託先に個人情報を移転します。移転先の国は、いずれも米国です。
移転先の国の判断: 個人情報保護法 28 条の「外国にある第三者」に当たるかどうかは、データが物理的に保管される場所ではなく、提供先の事業者が所在する国を基準に判断します。したがって、事業者が米国法人であれば、当社がその事業者の EU リージョンを選択していても、移転先の国は米国となります。
米国の個人情報保護制度: 個人情報の保護に関する包括的な連邦法は存在せず、業界別・州別の法令により規律されます（HIPAA・GLBA・CCPA・CPRA 等）。日本の個人情報保護法と同等の水準にあると個人情報保護委員会が認めた国ではありません。
当社が講じている措置（個情法 28 条の根拠）:
- 原則: §7 に基づき、外国にある第三者への提供についてご本人の同意を取得します（法 28 条 1 項）。同意の取得にあたっては、移転先の国名・当該国の個人情報保護制度・当該第三者が講ずる措置に関する情報を、本ポリシーにより提供します（規則 17 条）。
- PostHog（行動解析）: 移転先の国は米国です（当社が同社の EU リージョンを選択していても、事業者所在地により判断するため米国となります）。EU の十分性認定に依拠する免除は適用できません。同社への移転についても、上記の原則のとおり、§7 に基づく同意と規則 17 条の情報提供によります。個人情報保護法施行規則 16 条 1 号に定める基準に適合する体制（いわゆる基準適合体制）を根拠とする取扱いは、現時点では行っていません。将来これを根拠とする場合には、本ポリシーを改定して明示します。
- 要配慮個人情報を含むデータ: いずれの委託先についても、上記に加えて §7 に基づく明示同意を取得します。
各委託先は、自社プライバシーポリシー・適切な技術的・組織的措置（暗号化・アクセス制御・監査）により、個人情報の保護に努めています。
完全な委託先一覧（subprocessors）の詳細・各社プライバシーポリシーへのリンクは、上記公開ページにて開示しています。
6.1 行動解析（PostHog）について
行動解析に利用する PostHog については、開示の正確性のため、以下を個別に明示します。
| 項目 | 内容 |
|---|---|
| 契約主体（事業者） | PostHog, Inc.（米国・San Francisco） |
| 移転先の国 | 米国（事業者所在地により判断。EU の十分性認定に依拠する免除は適用できません） |
| データ保管地 | ドイツ（フランクフルト）。当社は PostHog Cloud EU を選択しており、その実体は AWS の eu-central-1 リージョンです |
| 28 条の根拠 | §6 の原則のとおり（§7 に基づく同意 + 規則 17 条の情報提供）。規則 16 条 1 号の基準適合体制は根拠としていません |
| 送信する識別子 | 下記のとおり。いずれも匿名化された情報ではありません |
送信する識別子について（「匿名」ではありません）:
- モバイルアプリ: 氏名・連絡先と直接結び付かない、当社が発行する分析用の永続的な仮名 ID（アプリの利用をまたいで同じ値）と、セッション ID を送信します。当社内部には、この仮名 ID と利用者との対応表を保持しています。 したがって、この仮名 ID は個人情報保護法上の「個人情報」に当たり、匿名加工情報でも仮名加工情報の第三者提供でもありません。行動解析を行う根拠が終了したとき（任意設定を備えたバージョンでの設定のオフ、本ポリシーに基づく計測の終了、アカウントの削除）には、この対応表を削除します。
- Web プロパティ（nagaiki.ai）: ログイン後の行動解析には、当社のアカウント ID（Supabase のユーザー ID）をそのまま識別子として送信しています。当社のデータベース上のアカウントと直接対応するため、これも個人情報です。
- いずれの経路でも、氏名・メールアドレス・写真・食事内容・健康数値・チャット本文は送信しません。
以前の版では、本ポリシーおよび subprocessors ページにおいて PostHog を「EU（アイルランド）」所在、送信データを「匿名化された利用統計」と記載していましたが、いずれも実態と異なるため、上記のとおり訂正しました（v1.6 / NAG-2028）。データの保管場所の移行は行っていません（従前より EU リージョンです）。
AI プロバイダ（Anthropic / OpenAI / Google 等）への送信データの学習利用について: 当社は、AI 応答生成および食事写真の解析のために送信される個人情報（チャット履歴・食事写真等）が、AI プロバイダの自社モデルの学習に利用されないよう、各プロバイダの API 設定により opt-out しています。当社が利用する API では標準で「送信データを自社モデルの学習に利用しない」設定が採用されており、当社はこれを明示的に維持しています。Google（Vertex AI 経由の Gemini API）については、Google Cloud のサービス固有規約により、顧客データを同社の基盤モデルの学習に利用しない旨が定められているため、当社はこれに依拠しています。仮にプロバイダ側の設定変更により当該保護が変更される場合、本ポリシーを改定し、§13 に基づき事前にユーザーへ告知します。
ユーザーは、これら外国にある第三者への提供について、§7「同意の取得」に基づき同意したものとみなします。
7. 同意の取得
7.1 一般個人情報
アカウント登録時に本ポリシーへの同意を取得します。
7.2 要配慮個人情報
健康データ（CGM・心拍・睡眠・病歴・服薬等）の取得は、アプリ内で明示的な同意取得 UI（チェックボックス + 「同意する」ボタン）にて、本人の自発的な同意を取得します。同意ログはサーバー側に記録します。
7.3 越境移転
§6 に記載の外国にある第三者への提供については、本ポリシーへの同意により取得とみなしますが、UI 上でも別途明示的同意を取得します。
7.4 同意の撤回
ユーザーはいつでも同意を撤回できます。撤回方法は、(a) アプリ内「設定 → プライバシーと同意」画面、(b) OS 設定（HealthKit 等の権限撤回）、(c) hello@zanmaido.com への書面連絡、のいずれかです。
撤回後はサービスの一部機能が利用できなくなる可能性があります。同意項目別の影響は以下のとおりです:
| 撤回する同意項目 | 撤回後の影響 | 既存データの取扱 |
|---|---|---|
| 本ポリシー全体への同意撤回 | アカウント削除と同等の扱い。本サービス全機能が利用不可となる | §9 に従い 30 日以内に削除 |
| 要配慮個人情報（健康データ全般）の取扱同意 | グルコース可視化・AI 分析・健康データ記録機能が無効化される | 該当データを 30 日以内に削除（匿名化済データを除く） |
| CGM / ヘルスケアアプリ連携同意 | 自動連携が停止される。手入力は引き続き可能 | 既に取得済の連携データは設定により保持または削除を選択可能 |
| AI チャット利用同意 | AI チャット機能が無効化される | チャット履歴は §9 に従い保持または削除請求可能 |
| 越境移転同意 | 海外事業者へのデータ送信を伴う機能（AI 応答生成・写真解析等）が無効化される。基本記録機能は継続可能 | 既存データは原則保持。削除請求は別途可能 |
| マーケティング通信同意 | プロモーション・ニュースレターの配信が停止される | 既存配信履歴は監査ログとして 1 年保持 |
| 研究開発・統計利用同意（匿名化データの二次利用） | 以降の匿名化処理対象から除外される | 既に匿名化済のデータは個人特定不可のため復元・削除不可（§5「匿名加工情報の不可逆性」参照） |
| Slack コミュニティ参加同意 | コミュニティから退出。過去の投稿は残るが本人特定情報は匿名化対応 | Slack 側の保持ポリシーに従う |
重要: 同意撤回はサービス提供の一部または全部に影響する場合があります。撤回前に「設定 → プライバシーと同意 → 撤回後の影響シミュレーション」画面（Phase 1 で実装予定）にて事前確認することを推奨します。
8. 安全管理措置
8.1 組織的安全管理措置
- 個人情報保護管理者の設置
- 取扱規程の整備
- 委託先の監督
8.2 人的安全管理措置
- 従業員（業務委託先含む）への教育
- 守秘義務契約
8.3 物理的安全管理措置
- データセンター・サーバーへのアクセス制限（委託先準拠）
8.4 技術的安全管理措置
- 通信時の暗号化（TLS 1.2 以上）
- 保存時の暗号化（AES-256 相当）
- Row Level Security（RLS）による行レベルアクセス制御
- ログの監査
- 不要権限の最小化原則
9. 保有期間
| データ | 保有期間 |
|---|---|
| アカウント情報・利用データ | アカウント有効期間中 |
| アカウント削除後 | 削除リクエストから 30 日以内に削除完了（バックアップ反映遅延・誤操作復旧用の猶予） |
| 課金情報 | 法令上の保管義務がある期間（会計帳簿として 7 年） |
| ログ・監査記録 | 法令上必要な期間（標準 1 年） |
10. 開示・訂正・利用停止・削除等の請求
ユーザーは以下の請求を行うことができます:
- 保有個人データの開示
- 訂正・追加・削除
- 利用停止・消去
- 第三者提供の停止
- 開示等の請求方法の通知
請求方法: hello@zanmaido.com 宛にメールにて、または専用フォーム（実装予定）から。 本人確認のため、本人特定情報の提示を求める場合があります。 回答期限: 受領後速やかに回答するよう努めます（原則 14 日以内、遅くとも 30 日以内。個情法 33 条「遅滞なく」要件およびガイドラインに準拠）。受領から 7 日以内に「受け付けました」一次返信を行います。
11. クッキー・類似技術
Web プロパティ（nagaiki.ai）では、ログイン状態維持・サイト分析のためにクッキーおよび類似技術を使用します。ブラウザ設定で無効化できます。
12. 年齢制限
12.1 利用対象年齢
本サービスは 18 歳以上の方を対象とします。18 歳未満の方はご利用いただけません。年齢は、登録時にご入力いただく生年月日の自己申告に基づいて確認します。
12.2 18 歳未満の利用が判明した場合
18 歳未満の方による利用が判明した場合、当社は当該アカウントの利用を停止し、§9 に従いデータを削除します。ご本人または保護者の方からのアカウント削除・データ削除のご請求は hello@zanmaido.com で承り、§10 の手続に従って対応します。
13. 改定
本ポリシーを改定する場合、改定日 30 日前までにアプリ内通知・登録メールアドレスへの送信により告知します。改定日以降の利用継続をもって同意したものとみなします。重大な変更（取扱目的の追加・第三者提供範囲の拡張等）については、再同意を取得します。
14. お問合せ窓口
| 項目 | 内容 |
|---|---|
| 個人情報お問合せ窓口 | hello@zanmaido.com |
| 個人情報保護管理者 | 桑水 悠治 |