プライバシーポリシー

1. 適用範囲と運営者

本ポリシーは、Tsumugiの公開サイト、公開デモおよびサインイン後の本番ベータ版（総称して「本サービス」）に適用します。情報の取扱主体は、外山哲史（Tsumugi運営者）です。サービス提供拠点は名古屋市です。運営者情報と連絡方法は運営者・お問い合わせページでも確認できます。

正式提供前のベータ版であるため、機能・保存項目・委託先が変わる場合があります。重要な変更は本ページまたは本サービス内で分かりやすく案内します。

2. 取得・保存する情報

サインイン情報: このSites版では、Sign in with ChatGPT（SIWC）から提供される、サイトごとに安定した利用者識別子、メールアドレス、および提供される場合の表示名。別環境のGoogle版については第11項に記載します。パスワードはTsumugiが取得しません。
利用者の設定: 表示設定、プライバシー設定、作成日時・更新日時など、サービス提供に必要な設定情報。
利用者が入力する関係管理情報: 相手のニックネーム、任意で入力する居住地・年齢、お気に入りの有無、出会ったサービス、手動で関連付けたアカウント識別子、連絡チャネル、関係・返信の状態、TEL済み・対面済みの記録、約束・予定、次のアクション、タグ、要約メモ、アーカイブ状態など。
運用・セキュリティ情報: 認証、障害調査、不正利用防止に必要な最小限のリクエスト情報や処理時刻が、ホスティング基盤で処理される場合があります。

入力しない情報： 外部サービスのパスワード・アクセストークン、会話原文、チャット画面の画像、顔写真、要配慮個人情報や性的指向・健康・信条等の機微情報は、本サービスに入力・保存しないでください。

公開デモはサーバーへ人物データを保存せず、デモ操作をブラウザのsessionStorageに一時保存します。

居住地と年齢の登録は任意です。正確な住所や生年月日は入力せず、相手を区別するために必要な最小限の情報だけを入力してください。

3. 第三者の情報と利用者の責任

利用者が登録する相手の情報は、その相手本人からTsumugiが直接取得したものではありません。利用者は、本人の同意その他の適法な根拠があり、関係管理のために必要な最小限の範囲で記録できることを確認してください。

相手が削除・訂正を求めた場合は、利用者自身が速やかに対応してください。
推測、監視、追跡、評価付け、差別的な分類のために情報を追加しないでください。
本サービスから出力した情報を、本人の同意なく第三者へ共有・公開しないでください。

運営者は利用者と相手との関係や同意の有無を日常的に確認できません。第三者情報を登録する権限と記録内容の適法性は、利用者が責任をもって判断する必要があります。

4. 利用目的

相手ごとの文脈、予定、次のアクション、連絡チャネルを整理・表示するため
任意の居住地・年齢を、ニックネームや利用者が手動登録したマッチングサービス上の識別子と組み合わせ、同名の相手を区別し、記録を照合するため
利用者を認証し、利用者ごとのデータを分離するため
データの出力、アーカイブ、削除など、利用者が選択した操作を実行するため
障害対応、不正利用防止、安全性の改善、お問い合わせ対応のため
法令に基づく対応および権利保護のため

広告配信や第三者へのデータ販売を目的として、登録された関係管理情報を利用しません。

5. 保存先と安全管理

このSites本番版の構造化データはCloudflare D1に保存され、Cloudflare上のSitesホスティング環境で処理されます。利用者識別子を基準に、他の利用者のデータへアクセスできないようアプリケーション側で分離します。

このSites本番版はSIWCによるサインインを必須とし、匿名の訪問者には本番データを表示しません。
ニックネーム、居住地、年齢、アカウント識別子、予定、メモ等の人物情報は、アプリケーション層でAES-GCMにより暗号化して保存します。
暗号鍵はデータベースとは分けてホスティング環境のシークレットとして管理します。
Sites版では、外部サービスのパスワードやアクセストークンを取得・保存しません。

暗号化を含む安全管理措置はリスクを低減するものであり、事故が絶対に起きないことを保証するものではありません。ベータ期間中も、機能と運用に応じて措置を見直します。

7. 保存期間と削除

利用中の記録は、利用者が削除するかアカウントを削除するまで保存します。
アーカイブした相手の記録は30日間保持した後、恒久削除の対象になります。
Sites版でアカウントを削除すると、処理の完了と同時にアプリが直接管理する本番データベースから利用者データを削除します。
Cloudflare D1のTime Travelその他のプラットフォーム上の復旧用履歴には、技術的な仕組みにより削除前の断片が最大30日残る場合があります。これらは通常のアプリ操作には使用せず、保存期間経過後に失効します。

法令上の保存義務、紛争対応、不正利用調査が必要な場合は、必要な範囲で別の期間を適用することがあります。

8. 確認・出力・訂正・削除

利用者は、本番版の機能から自分の登録情報を確認・修正し、提供される形式で出力できます。相手の記録は個別に削除でき、アカウント削除により利用者データ全体の削除を依頼できます。

本人確認が必要な開示等の請求や、利用者が登録した第三者情報について相手本人から申告があった場合は、運営者・お問い合わせページに記載する外部窓口からご連絡ください。記録の特定と関係者の権利を守るため、追加確認をお願いする場合があります。

9. 漏えい等の事故への対応

漏えい、滅失、毀損、不正アクセス等を把握した場合、運営者は影響拡大の防止、事実調査、対象範囲の特定、再発防止を行います。法令上必要な場合は、関係当局への報告および影響を受ける本人への通知を行います。

不審な挙動や誤表示を見つけた場合は、画面の公開共有を避け、運営者・お問い合わせページの案内に沿ってお知らせください。

10. 外部サービスとの関係

Tsumugiは、掲載されるマッチングサービス、SNS、メッセージサービスの運営者とは独立したサービスであり、各社の公式サービス、提携サービスまたは代理サービスではありません。

このSites版では、アカウント情報を利用者が手動で関連付けます。各サービスの非公開API利用、スクレイピング、チャット同期、プロフィールやカレンダーの自動同期、パスワード・Cookie・アクセストークンの取得は行いません。

11. Google版の提供状況

このSites版はSIWCと既存D1を使用し、GoogleでのサインアップやGmail読み取りを行いません。別URLのGoogle版にはGoogleサインアップとGmailの保存なし確認機能を実装していますが、2026年8月15日の確認時点では direct Cloudflare Worker、専用URL、Google Web OAuthクライアントおよび実行時シークレットは未設定・未配備でした。 Sites版のSIWC利用者や既存データにGoogleアカウントを後付けするものではありません。状況はGoogle・Gmailの提供条件で案内します。

Google版専用のD1データベースtsumugi-google-betaはAPACに作成し、現在のCREATE専用マイグレーションを適用済みです。2026年8月15日の確認時点では、認証利用者、相手の記録、Google接続、Gmail確認状態の対象テーブルはいずれも0件でした。この準備によって、既存Sites版のD1を変更していません。

Googleでのサインアップ

Google版では、基本プロフィールの権限（openid・email・profile）でGoogleの利用者識別子を確認します。 Googleの利用者識別子はそのまま保存せず、運営者だけが持つ識別用鍵によるHMAC-SHA-256で仮名化し、その先頭40文字から同じGoogle利用者について再現できるgusr_…形式の不透明なアプリ内識別子兼データ所有キーを作ります。これはランダムUUIDやメールアドレス由来のキーではありません。メールアドレスの一致だけでSites版との統合、移行または同一人物判定は行いません。このサインアップだけではGmailへアクセスしません。

Gmail読み取りの限定テスト

Gmailの候補抽出は、Googleでのサインアップとは別に、利用可能と判定された利用者が機能を選んだ時点で説明し、 Gmail読み取り専用権限（gmail.readonly）への同意を求めます。この権限はGoogleの制限付きスコープであり、必要な審査とセキュリティ評価が完了するまでは、Google Cloudとアプリ側の両方で許可した指定テストユーザーだけに限定し、一般提供しません。アプリ側は、限定テストを有効にする設定、Google利用者識別子をHMACで仮名化した値の秘密許可リスト、最新の規約・ポリシーへの同意がすべて揃わない場合にGmail機能を表示・実行しない方式です。 Gmailを許可したGoogle利用者がサインアップ時と同じであることを、メールアドレスだけではなく、同じ方法で HMACで仮名化したGoogle利用者識別子でも確認します。

サーバー側で1〜30日に制限した期間、コードで承認した送信元ドメインの一部、および1回あたりの上限件数に該当する本文だけをWorkerのリクエストメモリ内で解析し、氏名・年齢・地域・外部識別子の候補を作成した後、原文を破棄します。
メール原文、HTML、スニペット、添付ファイルをD1、キャッシュ、ログ、解析基盤へ保存せず、ブラウザにも返しません。添付ファイルは取得しません。
現在の確認APIは、集計と原文から導出した候補項目だけを認証済みブラウザへ返し、関係管理情報を更新しません。候補の保存・反映APIは実装しておらず、確認結果は常に更新0件です。
Gmailの更新用トークンとGmailアドレスはGoogle版の専用鍵でAES-GCM暗号化して保存します。短時間のアクセストークンは保存しません。連携解除時はTsumugi側のトークン、接続情報、確認状態を先に削除し、その後、時間上限付きで Google側の許可取消しを試みます。

Google版でアカウント削除を確定すると、所有者を確認したうえで、関係管理情報、同意、Gmail接続・確認状態、セッション、本人確認情報およびアプリ内利用者を専用D1の1回の一括処理で削除し、セッションCookieを消去します。 Gmailの更新用トークンがある場合は、ローカル削除を先に完了してから、時間上限付きでGoogle側の許可取消しを試みます。通信失敗等でGoogle側の確認を得られなくても、Tsumugi側の削除は取り消しません。第7項記載の復旧用履歴は別です。

Sites版からGoogle版へのデータ移行は現在提供していません。将来提供する場合も、本人がSites版から書き出し、 Google版でファイルを選び、保存なしの確認結果を見てから明示的に取り込む方法に限定し、メールアドレス照合やデータベース間の自動移行は行いません。

Gmail限定テストでGoogle Workspace APIから受け取る情報の利用は、Limited Use要件を含むGoogle API Services User Data Policyに従います。実装内容と一致する画面内説明および本ポリシーを維持します。

12. 変更・お問い合わせ

本ポリシーを変更する場合は、変更日と内容を本ページまたは本サービス内で案内します。利用目的を大きく変更する場合は、法令に従って必要な同意または告知を行います。

プライバシーに関する質問、権利行使、事故の申告は、運営者・お問い合わせページに記載する外部窓口をご利用ください。初回の連絡には個人情報・機微情報を書かず、必要最小限の概要だけをお知らせください。