プライバシーポリシー

この翻訳は参考用です。法的に有効なのは英語版のみです。

最終更新日：2026年10月7日。

短く言えば：当社は製品を動かすために必要なものを収集し、漏れたときにあなたが最も深く傷つく部分は暗号化し、それを販売せず、あなたの会話でモデルを訓練せず、このアプリにはいかなる種類の広告もトラッキングもありません。以下が長い版で、相手の名前まで挙げます。

1. 収集する情報

あなたが当社に渡すもの：

メールアドレスとパスワード——あるいは、その方法でサインインするならGoogleまたはAppleのID。Googleの場合、Googleのサインイントークンが運ぶクレーム（メールアドレス、氏名、名と姓、Googleプロフィール写真のURL、そしてGoogleが付与したあなたのID）を保存し、あなたが変えない限り、その写真のURLがそのままアバターになります。Appleの場合、Appleが付与したあなたのID、あなたが共有することを選んだメールアドレス（Appleのプライベートリレーのアドレスであることがあります）、そして暗号化して封をしたAppleのリフレッシュトークンを保存します。最後のものの用途はただ1つ、あなたがアカウントを削除するときにそれを失効させるためです。かつてDiscordでサインインしたことがあるなら、そのアカウントには今もDiscordが付与したあなたのID、Discordが返したメールアドレス、そしてその背後にある検証済みのクレーム一式（ユーザー名を含みます）が残っています——現在当社が配布しているアプリにもウェブサイトにも、そのボタンはありません、
表示名、そして任意でハンドル、自己紹介、アバター、カバー画像、
タイムゾーンとアプリの言語——タイムゾーンは効いています。「1日40メッセージ」の1日とはあなたの1日のことだからです、
1対1のチャットとグループルームでのメッセージ、そしてペルソナ、キャラクター、シーン、ロアブック、固定メモリー。ペルソナには、あなたが書き入れたものがそのまま入ります：名前、年齢、性別、外見、好きなもの、嫌いなもの、
アップロードした写真：プロフィール写真とカバー画像、ペルソナとキャラクターのポートレート、サポートチケットに添付したスクリーンショット、
オンボーディングで選んだもの——好みの選択と、フォローした関心チャンネル、
あなたが送るサポートチケット、そして当社から連絡した場合のあなたの返信——ただしそれがアプリに届くのは、対応した担当者がスレッドに書き写したときだけです（§4）、
アプリまたはウェブアプリでアカウントを削除するときに当社がたずねる、ひとつだけの任意の質問への回答——短いリストから選んだ「決めた理由」と、書き添えた場合はあなた自身の一行。アカウントとは切り離して保存されます（§8）、
かつて当社のウェブサイトにあったウェイトリスト（順番待ち）フォームに入力したメールアドレス——このフォームは2026年9月に削除され、本サイトのどのページでも、ウェイトリスト用のメールアドレスを収集していません——と、あなたをそこへ紹介した人のコード、そしてあなた自身の紹介コード。それ以前に受け付けた登録は、いまも保存されています。この登録はアカウントではなく、後からサインアップしてもアカウントにはなりません——つまり、§8の削除がそこへ届くこともありません。

製品が生成するもの：

キャラクターが会話からあなたについて抽出した、構造化されたファクト——すべてあなたに見え、すべて編集でき、すべて削除できます、
モーメント、オープンループ（未完のやり取り）、チェックイン、絆レベル——キャラクターがあなたとの関係について保持する、短い文章と状態、
生成された画像（それを作ったプロンプトとともに保存されます）と、キャラクターのセリフの音声クリップ、
ストーリーとゲームの進行、
利用回数（メッセージ、画像、音声の分数）とSparksの台帳。プランの上限を適用するために使います、
購入とサブスクリプション：何を買ったか、金額と通貨、ストアの領収書識別子（AppleのトランザクションIDまたはGoogleの注文ID）、そして決済プロバイダーが当社に返してくるウェブフックの受信内容。届いたままの形で、一字一句そのまま保存されます。ウェブの領収書にはRazorpayが入れたものがそのまま入っており、通常はあなたが決済時にRazorpayへ渡したメールアドレス、電話番号、UPIハンドルが含まれます。クリエイター収益の支払いを依頼した場合は、あなたが指定した支払先と、支払いが行われたときのKYCの状態も保持します、
購入の試みごとの記録：アプリでもウェブでも、購入ボタンを押すたびに——どのパックまたはプランか、どのプラットフォームとアプリのバージョンか、分かっている場合は金額と通貨、どの画面から来たか、そしてその結果（開いた、支払われた、キャンセルされた、失敗した、拒否された）。拒否された場合は決済プロバイダー自身の理由も、短く切り詰め、メールアドレスと長い番号を取り除いたうえで残します。アカウントがある間は保持されます。電話番号が入ることはなく、当社があなたに電話番号を求めることもありません。インド国外からウェブでSparksを買うとき（ドルまたはユーロ）は、Razorpay自身の決済フォームが電話番号とカードをたずねます。あなたはそれをRazorpayの入力欄に打ち込み、それはRazorpayに届き、当社には届きません。当社に届く唯一の写しは、Razorpayが後で返してくる領収書の中にあり、ひとつ上の行に書いたとおりです、
紹介リンク、
プロダクトイベント：固定されたリストの操作——フィードのカードが表示された、チャットが開かれた、通知がタップされた、キャラクターが公開された、など。アプリが送れるのは18種類。さらに3種類はアプリからは送れません——あなたが参加した日に当社が最初に開くチャット（これは当社のサーバー自身が記録します）と、ウェブサイトにしかない2つの共有ボタンです。各行が記録するのは、操作、それが起きた面（フィード、検索、レール、キャラクター画面、リンク、ほか少数）、対象がキャラクターだった場合はそのキャラクター、そして時刻です。メッセージの本文は含みません、
プロモーションの表示とタップ：当社自身のどのプロモーションを、どこで見たか、アプリ自身が発行するセッションID、アプリのバージョン、プラットフォーム、
モデレーションと安全のシグナル、
危機紹介の記録（§7参照）。

当社が自動的に収集するもの：

IPアドレスとユーザーエージェント。ログインセッションごとに保存し、そのアカウントがどこでサインインされているかをあなたと当社が見られるようにします。これらのセッションはアプリ内で確認し、失効させられます、
サーバーログに記録されるIPアドレス、ユーザーエージェント、そして各リクエストのアドレス。クエリ文字列も含みます——つまり、あなたが入力した検索語がログの1行に現れることがあります、
当社のエッジでIPアドレスから読み取った国。国そのものは保持しません。インド、米国、EUという3つの価格地域のどれかに対応付け、その地域をアカウントに固定します。本ポリシーの以前のバージョンは、地域はあなたが当社に伝えたものだと書いていました。そうではありません。当社が導き出したものです、
プッシュトークンとデバイスの記録——プラットフォーム、アプリのバージョン、言語、最終アクセス、そして通知についてあなたのスマートフォンが最後にアプリに伝えたこと（許可、拒否、まだたずねていない）と、その答えが最後に変わった日付。通知を許可してもしなくてもこの記録は作られます。スマートフォンはどちらにしてもプッシュトークンを持っているからです、
あなたのアカウントがどこから来たか。登録時に一度だけ書き込まれ、その後変わることはありません：登録したプラットフォームとアプリのバージョン、そしてあなたを連れてきたリンクが自分について語っていたこと——キャンペーンのタグ、来る前にいたサイトのホスト（完全なアドレスは決して残しません）、最初に着いたページ（クエリを除く）、押した当社のボタン、そしてAndroidではPlayのインストールリファラー（広告のクリックIDはすべてプレースホルダーに置き換えます）。当社のウェブサイトとウェブアプリでは、この足跡はあなたのブラウザのタブの中に置かれ、そこから出るのは、ウェブアプリやGoogle Playへ進むリンクの中と、登録のときだけです。IPアドレス、ユーザーエージェント、メールアドレスが入ることはありません、
アプリのバージョンとOSのバージョン。アプリがユーザーエージェントに入れています。

収集しないもの： 正確な位置情報、連絡先、マイクの音声、他のアプリでの閲覧履歴、アップロードしていない写真、スマートフォンのヘルスケアデータ、広告識別子。アップロードされた写真は保存前に再エンコードするため、カメラが画像ファイルに書き込むGPS座標は残りません。

音声入力。 チャットのマイクをタップすると、お使いの端末の音声認識サービスが、話した内容をメッセージ欄の文字に変換します — iPhone と Safari では Apple のもの、Android と Chrome・Edge では Google のものです。このサービスは、それぞれの規約に基づき、音声を端末上または Apple・Google のサーバーで処理する場合があります。アプリがマイクへのアクセスを求めるのはこのためだけで、マイクが開くのは音声入力をしている間だけです。私たちが受け取るのは音声ではなく文字だけで、それもあなたが送信したときに限ります。

2. メッセージは保存時に暗号化されます。そして、平文が向かう先をすべて挙げます

メッセージの本文とそのバリアント、チャットとグループの要約、グループのメッセージ、メモリーのファクトの値、日記にあたるモーメントとその下の返信、日替わりの質問とあなたの答え、キャラクターが未完のやり取りについて、そして絆について残す1行のメモ、キャラクターをどう演じてほしいかをあなたが書く常時の指示、そしてグループルームでキャラクター同士があなたについて交わすアサイド（内緒話）は、いずれも当社のデータベースの中で暗号化されています（AES-256-GCM）。その鍵はデータベースの中にはありません。

これは、実際に起きた特定の災害に対する意図的な防御です。2024年、AIコンパニオンサービスのMuah.aiが侵害され、その漏洩は190万件のメールアドレスと、その人たちが書いたプロンプトを結び付けました。その組み合わせは、その後、恐喝に使われました。このカテゴリーでは、結び付けこそが害なのです。

当社のスタックのどこにも、メッセージの本文を一括して返すコンソールクエリ、ダッシュボード、レポート、分析ジョブはなく、一括復号のエンドポイントもありません。これは設計上の判断であり、今後もそう保つつもりです。しかし本ポリシーの以前のバージョンは、平文のメッセージに至る経路は1つだけだと書いていました。それは事実ではありませんでした。以下は、当社が見つけた経路のすべてを、できる限り具体的に名指ししたものです——これまでに2度、書き足さざるをえませんでした。ですから、閉じた一覧ではなく、当社が続けている監査の現時点の状態として読んでください。見落としを見つけたら、教えてください。

そのどれよりも前に、ごく当たり前のもの：あなた自身が書いたものを、あなたに見せること。 サーバーは、あなたのチャット、日記、固定メモリーをあなた自身のアプリに描き出すために、あなたが書いたものを開き、暗号化された接続で返します。以下に挙げるのはすべて、あなた以外のどこかへ向かう平文です。

その場であなたが求めるもの。 あなたに答えるために、当社は会話の該当部分を復号してAIプロバイダーに送ります（§3）——そして、その場であなたが求められる他のものも同じで、いずれもあなた自身が書いたものを復号します：チャットの中で撮る1枚の絵には直近のやり取りを、シーンの絵にはあなたが描いてほしいと指定した1通のメッセージを、モーメントへの返信には日記のページとその下の返信を、チャットが差し出すタップして送れる3つの返信候補には、やはり直近のやり取りを使います。これが主要な経路であり、製品そのものの目的です。
あなたがそこにいないときに動く処理。 裏で動く処理は、あなたからのリクエストが1つも進行していない状態で、あなたのものを開きます：キャラクターが夜にあなたへ送るメッセージ、グループルームのアサイド、当社が抽出する記憶、それをまとめる要約、日記のモーメント、日替わりの質問、キャラクターが把握している未完のやり取り、そして章と章のあいだでストーリーが静かに走らせる処理です。それぞれが必要なものを復号し——直近のやり取り、キャラクターが保存したファクト、未完のやり取りの言い換え——AIプロバイダーに送ります。そしてそれぞれが、何かが開かれる前に、実行のたびにあなたの許可を確認します（§3）。
セリフを声にすること。 キャラクターの返信は、読み上げのためにテキストとして音声プロバイダーへ送られます——多くの場合、送り先は当社自身の音声サーバーで、これは別のマシンであり、暗号化されていない接続で到達します（§3）。読み上げられるのは返信だけではありません：日記のモーメントの冒頭の数文と、キャラクターがあなたに尋ねた日替わりの質問も、同じく復号されたテキストから読み上げられます。この2つが行くのは当社自身の音声サーバーだけで、社外の音声企業に送られることはありません。
通知。 キャラクターのメッセージ通知がオンなら、返信はロック画面にそのまま表示されます。つまり、GoogleとAppleのプッシュ配信サービスを通ります。
あなた自身のエクスポート。 あなたがデータをエクスポートすると、当社はチャットを復号し、ストレージ上のファイルに書き出し、72時間で期限が切れる署名付きリンクをメールでお送りします。リンクは期限切れになりますが、ファイルはなくなりません。 エクスポートのバンドルを自動で削除するものはなく、それを指すデータベースの行もありません——それを回収できるのは、§8に出てくるのと同じ手作業のコンソールだけです。
監査付きの、管理者による1件のメッセージの閲覧。 スーパー管理者であることが必要で、1回のリクエストで復号されるのは1件のメッセージのみ、理由の記入は必須で、管理者、対象のメッセージ、理由を書き残す監査行が記録されます。一括版はありません。
監査付きの、管理者によるオープンループの閲覧が2つ——キャラクターが保持している、未完のやり取りの短い言い換えです。1つは、名指しした人物のやり取りを表示します。もう1つは夜のメッセージのドライラン（試し実行）で、候補1ページ分について1件ずつ、最大200件まで復号します。どちらもスーパー管理者のみで、どちらも管理者と読まれた人物を記録する監査行を書き込みます。どちらも、やり取りの中身をその行に写すことはしません。
そもそも最初から暗号化されていない項目。 あなたが書くもののうち、封がされているのはこの節の冒頭に挙げたものです。残りは平文のまま保存されており、そのうち口に出して言う価値があるのは次のものです：チャットのタイトル、メモリーのファクトのラベル（値は暗号化されています）、画像プロンプト（チャット内の画像が会話から組み立てるプロンプトを含みます）、固定したメッセージに添えて書くメモ、絶対に表示しないでほしいとあなたが指定したミュートした単語、自己紹介、アプリ内の受信ボックスに並ぶすべての通知のタイトルと本文（それらはあなた自身の世界と会話から書き出されています：「Lunaがあなたに何かを残しました」のように、世界そのものの名前が入ります）、あなたが書いたキャラクター・ペルソナ・シーン・ロアブックのテキスト、レビューの本文、サポートチケットとそこに書かれたすべてのメッセージ、当社が送ったメールへのあなたの返信、そして何かを通報するときに書く詳細です。

3. あなたのデータを処理する相手と、その相手が受け取るもの

第三者のAIプロバイダーに何かを送る前に、サインアップ時に明示的な許可をいただきます。許可をいただくまで、サーバーはすべてのAIリクエストを拒否します——チャットも、画像も、音声もです。この許可はいつでも撤回できます。 設定から撤回でき、その時点で送るものが何も残らないため、チャットはまた動かなくなります。撤回しても、アカウントも、その中身も削除されません。

撤回は、会話だけでなく、裏で動く処理も止めます。 キャラクターが夜にあなたへ送るはずだったメッセージ、キャラクター同士があなたのグループルームについて交わすアサイド、当社が会話から抽出する記憶、それをまとめる要約、日記と日替わりの質問、当社が把握している未完のやり取り、そして章と章のあいだでストーリーが静かに走らせる処理は、いずれも実行のたびに、あなたのものが開かれる前にあなたの許可を確認します。あなたが送信を押したときだけではありません。撤回すれば、これらは止まります。順番待ちに入って後から動くこともありません。これは当社自身も縛ります：当社があなたに個人的に手紙を書くとき（§4）、その許可がなければ、ここにいる誰も下書きをモデルに手伝わせることはできません——最初のメールも、あなたが書き返してくれたものへの返事もです。人間が書きます。

文章を書くAI——今日動いているレーンは次のとおりです：返信とキャラクターが自分から始めるメッセージ、チャットのタイトル、返信候補、会話とグループの要約、記憶の抽出と統合、日記のモーメント、日替わりの質問、未完のやり取り、グループのアサイド、ストーリーのビートとその周辺を埋める処理、翻訳、画像プロンプト、タグの提案、あなたが取り込んだキャラクターカードの整形、コンテンツモデレーションの判定、危機分類器、そして当社があなたに送るメールの下書き。後から追加するレーンはこのリストに加わり、他と同じ許可で制御されます。これらが受け取るのは、会話のテキスト、あなたのペルソナ（年齢、性別、外見、好きなもの、嫌いなものを含みます）、そしてキャラクターがあなたについて覚えているファクトです。アカウントIDやメールアドレスは受け取りません。プロンプトに入る名前はあなたのペルソナの名前で、アプリはそれをあなたの表示名から埋める候補を出します——例外はそのメールの下書きで、これはあなた宛ての手紙なので、あなたの表示名が入ります。

DeepSeek——今日のチャットの返信と翻訳で、最初に使われます。
Anthropic——チャットでは次に、危機分類器、記憶の抽出、入力モデレーションでは最初に使われます。
OpenAI——その次。
Google（Gemini）——その次。
xAI（Grok）——同じゲートウェイに接続され、同じルーティングテーブルから到達できます。そこへ向けられたレーンは、上の4社が受け取るものと同じものを受け取ります。

絵を描くAI。 画像プロンプトは5社に送られます：Tensor.Art、Sogni、OpenAI、Google（Gemini）、NovelAI。ある1枚をどこが描くかは、そのキャラクター自身のアートディレクション設定で決まり、残りはその後ろにフォールバックとして控えます。その順序は、新しいビルドを出さずに当社自身のコンソールから変えられます。

画像のスキャン。 生成されたすべての画像と、あなたがアップロードするすべての写真——プロフィール写真とカバー画像、ペルソナとキャラクターのポートレート——は、当社が許可していない内容がないかGoogle Cloud Visionでスキャンされます。スキャナーが拒否した画像は、Google（Gemini）がもう一度見ることがあります。例外が1つあり、それは意図的なものです：サポートチケットに添付されたスクリーンショットは、再エンコードされたうえで、あなたのチケットを担当する人が見るために保存され、スキャナーには送られません。

声にするAI。 音声クリップの大半は、当社が自分で運用する音声サーバーで作られます。それは当社が借りている2台目のマシンで、独自の公開アドレスを持ち、無関係な別の製品と共有されています——つまり、読み上げるセリフはここで復号され、インターネットを越えてそのマシンへ送られます。そのリクエストは秘密のトークンを運び、マシンのファイアウォールは当社のアプリケーションサーバーからのものだけを受け付けますが、接続そのものは転送中に暗号化されていません。そうでないと思い込ませるより、そう書くほうを選びます。残りのクリップはGoogle Cloud Text-to-SpeechまたはGoogle（Gemini）へ行き、これらは同じセリフをHTTPS経由で受け取ります。さらに2社の音声企業が製品に組み込まれていますが、どちらも今日は止まったままです。Cartesiaは、新しいビルドなしに当社自身のコンソールから有効にできます。ElevenLabs——この機能がもともと想定していた有料の音声経路——はそうはいきません。鍵をサーバー自身の環境から読むため、有効にするにはデプロイが必要で、コンソールに入力した鍵は何もしません。鍵が置かれていないバックエンドは止まったままで、そこを向いているキャラクターは当社自身のサーバーの無料音声にフォールバックします。鍵が置かれているときは、その会社も上の2社とまったく同じように、復号されたセリフを受け取ります。当社は、ある日たまたま経路に入っている会社だけを並べるのではなく、この4社すべての名前を挙げます。

プッシュ通知。 Google Firebase Cloud Messaging、そしてiPhoneではAppleのプッシュ通知サービス（APNs）。これらはあなたのデバイストークンと通知の本文を受け取ります——キャラクターの返信なら、その本文は返信そのものです。Firebaseのメッセージングライブラリは、インストールIDをGoogleに登録し、配信の診断情報も報告します。Firebase経由でプッシュを送るとは、そういうことです。このアプリにFirebase AnalyticsもCrashlyticsも入っていません。

エラー追跡。 Sentry。対象はサーバーのエラーだけ、しかもサーバー自身が失敗したとき（5xx）だけです。当社自身のコードが送るのは、例外そのもの（そのメッセージとスタック）に、エラーコードとHTTPステータスを加えたものです。リクエストの本文が渡されることはなく、レポートにあなたの身元を付けることもありません。そのうえで、Sentryのライブラリが既定で集める文脈——どのマシンのどのプロセスでエラーが起きたか、直近のサーバーログの行——を、当社は切っていません。ですから、それも一緒に流れていると考えてください。個人データを送るSentryのオプションはオフのままなので、あなたのIPアドレスは渡されません。アプリの中にクラッシュレポートや分析のSDKはありません。ただし、アプリは自分自身のクラッシュレポートを送ります。送り先は当社自身のサーバーだけで、ほかの誰にも送りません。スマートフォン上の公開版アプリが予期しないエラーに出会ったとき、または画面に開いたまま終了したとき、エラーの種類とメッセージ（アドレス、リンク、ID、長い番号は取り除きます）、それが起きたアプリのコードの行、画面のルートのパターン（IDを含むアドレスは決して送りません）、アプリのバージョン、プラットフォーム、OSのバージョン、言語、そしてスマートフォンが決して送らないランダムな秘密から作る日ごとのコードを送ります。これで、一台のスマートフォンを一日の中では数えられても、日をまたいで追うことはできません。レポートはサインインなしで送られ、アカウントも、デバイスIDも、メッセージの本文も含みません。日ごとの件数は90日間保持され、エラーそのものは、最後に誰かが報告してから90日後まで保持されます。

メール。 Hostingerが当社のメールホストで、双方向のすべてのメッセージを取り扱います：確認コード、パスワードの再設定、あなたのエクスポートのリンク、削除の通知、そしてあらゆるサポートのやり取りです。

ストレージ、配信、ホスティング。 Cloudflareはすべてのリクエストの手前に座っているため、あなたのIPアドレスを見ており、当社が地域を導き出す元の国を提供します。そのオブジェクトストレージには、あなたの画像、音声クリップ、アバター、サポートの添付ファイル、エクスポートファイル、そして当社の毎晩のデータベースバックアップが入っています。Hostingerは、アプリケーション、データベース、キャッシュを動かすサーバーを当社に貸し、当社のメールボックスもホストしています。上に書いた音声サーバーは別に借りている1台であり、この段落が当社の設備のすべてだと読まれないよう、ここで名前を挙げておきます。

決済。 iPhoneではApple、AndroidではGoogle Play。当社があなたのカードを見ることはありません。当社は領収書の識別子を受け取り、AppleとGoogleのサーバーで検証します。また、購入が正しいアカウントに届くよう、Appleには不透明なアカウントトークンを送ります。ウェブではRazorpayが決済を受け取ります。Razorpayは、サブスクリプションを正しく紐付けられるよう、あなたのメールアドレス、プラン、アカウントIDを受け取り、そこから当社に返ってくる領収書は一字一句そのまま、伏字なしで保存されます——つまり当社が持つ写しには、あなたがRazorpayに渡したメールアドレス、電話番号、UPIハンドルが載っています。それがどれだけ残るかは§8をご覧ください。正直な答えが「無期限」だからです。

サインイン。 Sign in with Appleを使うときはApple——当社はAppleとコードを交換し、得られたリフレッシュトークンを封をしたまま保持します。削除時に失効させるためです。Googleの場合、当社のサーバーはGoogleに何も送りません：Googleが公開している鍵に照らして、当社の側でGoogleのトークンを検証します。サインインそのものは、当然ながらあなたとGoogleのあいだで起こるので、あなたがここでサインインしたことをGoogleは知っています——そしてGoogleが当社に渡してくるプロフィール写真は、あなたがアバターを変えるまでGoogleのアドレスのままで、あなたのアプリはそれをGoogleから読み込みます。

当社は、これらの各社に対し、本ポリシーが定めるのと同じ水準であなたのデータを保護すること、当社が送った仕事のためだけにそれを使うこと、そしてそれでモデルを訓練しないことを契約で義務付けています。いずれの会社も、それを販売したり、さらに第三者へ渡したり、自社の目的に転用したりすることはできません。当社はこのリストを水増ししませんし、接続されていても今日あなたに対して動いていないプロバイダーは、書かずに済ませるのではなく、そう書きます。これはこのページ冒頭の日付時点での一覧です。会社がここに加わったとき、あるいはここから抜けたとき、それが書き留められるのはこの節です。

4. プロモーションと、当社が行わないこと

当社は、自社のアプリの中で自社の製品を宣伝します。 アプリを開いたときのカードとして、ディスカバーに織り込まれたカードとして、そして上限に達したときの画面として、当社のオファーが表示されます。それらはすべて当社自身のもの、つまりoomfy aiのプラン、Sparks、そして当社自身のキャラクターです。どれを表示するかは、あなたのアプリの言語と価格地域から決め、表示したこと、そしてタップされたかどうかを記録します——キャンペーン、表示された場所、アプリが発行するセッションID、アプリのバージョン、プラットフォームです。これらの記録は、あなたを中断する頻度に上限をかけるため、そしてそのプロモーションに意味があったかを当社が知るために存在します。

製品のお知らせ——新機能、ポリシーの変更、メンテナンス——は、プッシュ通知で、ときにはメールでお送りします。これは既定でオンで、設定 → 通知でオフにできます。また、登録したまま一度も戻ってこなかった方に、その理由を尋ねる個人的なメールを書くことがあります。返信をいただくと、それは人間のメールボックスに届きます：今日、アプリの中に返信を自動で取り込む仕組みはないため、あなたの答えがスレッドに届くのは、対応した担当者がそれを貼り付けたときだけで、その後はあなたがアカウントを削除するまでそこに残ります。返事を書く担当者は、当社が送る文面の下書きをモデルに頼むことがあります——モデルに渡されるのは、そのスレッドの直近の数通（あなた自身の言葉を含みます）と、あなたの名前、そしてあなたの言語です。これは、§3のAIへの許可をいただいている場合にだけ起こります。それがなければ下書きは拒否され、メールは手で書かれます。

ディスカバーはパーソナライズされます。 当社は、あなたがチャットし、いいねし、レビューし、フォローしたもの、そしてあなたが選んだチャンネルから、キャラクターをランク付けします。それはその行動から組み立てられるものであり、あなたのメッセージの本文からではありません。

この製品のどこにも、第三者の広告はありません。 広告ネットワークも、広告SDKも、広告識別子もありません——IDFAもなく、したがってApp Tracking Transparencyの許可ダイアログも出ません。あなたに尋ねるべきことが何もないからです。トラッキングピクセルも、第三者のアトリビューションツールも、第三者の分析ツールもありません。あなたのアカウントがどこから来たか（§1）は、当社自身のサーバーが一度だけ記録し、誰にも渡しません。ここでのあなたの行動が広告のために誰かと共有されることはなく、他社のアプリや他社のウェブサイトでのあなたの行動と結び付けられることもありません。当社はあなたをトラッキングしません。 Appleの言う意味でも、それ以外のいかなる意味でもです。

そして、これまでどおり：

あなたのデータを販売しません。 広告主にも、データブローカーにも、誰にもです。
あなたの会話でモデルを訓練しません。 他社にもさせません。
あなた自身のため以外に、あなたのプロフィールを組み立てません。

5. 処理が許される理由（GDPR第6条）

契約——あなたが申し込んだサービスを提供するため：アカウント、チャット、記憶、購入。
法的義務——安全報告、税務記録、そしてSB 243の危機紹介件数。
正当な利益——セキュリティ、不正防止、悪用の検知、サービスを動かし続けること、おすすめのパーソナライズ、そして自社のユーザーに自社の製品を宣伝すること。これらをあなたの権利と比較衡量し、文書化しています。あなたは異議を申し立てられますし、退会せずに製品のお知らせだけをオフにもできます。
同意——あなたのコンテンツを第三者のAIプロバイダーへ送ること。会話の中でも、その裏で動く処理でもです。いつでも撤回できます（§3）。

6. あなたの権利と、その実際の使い方

あなたは、許可を求めることも、誰かと話すこともなく、次のことができます：

キャラクターがあなたについて保存したすべてのファクトを見ること、そしてそのどれでもアプリ内で編集または削除すること。
サインイン中のすべてのセッションを見ること。作成元のIPアドレスとデバイスも表示され、どれでも失効させられます。
設定からAIへの同意を撤回すること。
設定から、製品のお知らせとキャラクターの通知をオフにすること。
データをエクスポートすること——アカウントの記録、1対1のチャットとその中のすべてのメッセージ（グループルームは今日このバンドルに入っていません）、メモリーのファクト、あなたが作ったすべてのキャラクターとそのロアブック、あなた自身のロアブック、ペルソナ、Sparksの台帳、そしてサブスクリプションを、1つのJSONファイルとして——設定から、またはGET /me/exportで。署名付きのダウンロードリンクをメールでお送りします。
アプリ内でアカウントを削除すること。

ウェブのフォーム oomfyapp.com/delete-account は、この見出しの例外です。2つ目のボタンのように見えるままにするより、そう書くほうを選びます。これはアプリに入れない人のためにあり、人が処理する申請です：サポートチケットが起票され、何かが破棄される前に、その申請が本当にあなたからのものかをメールで確認します——あなたのアドレスを知っているだけの他人が、公開フォームからあなたのアカウントを消せてはならないからです。知っておく価値のある帰結が2つあります。1つは、遅く、人とのやり取りが必要になること。もう1つは、送信時にあなたはログアウトしているため、入力したアドレスがそのサポートチケットに残り、削除の消去処理はそこへ永久に届かないことです。それは一度もアカウントに紐付いたことがないからです。アプリの中から削除すれば、どちらも避けられます。

あなたにはさらに、訂正、処理の制限、異議申立て、そしてあなたのデータ保護当局への苦情申立ての権利があります。[email protected] までご連絡いただければ、30日以内に回答します。

7. 危機紹介

あなたが送ったメッセージに当社の分類器が危機を検出した場合、キャラクターは即座に役を降り、当社は実在する、人間による危機支援先を表示します（全プロトコルはこちら）。それを引き起こしたメッセージは、§3に書いた他のすべてと同じ枠組みで、AIプロバイダーによって分類されます。

当社はその紹介の記録を保持します。カリフォルニア州法SB 243は、2027年7月から、事業者が自殺予防局へ危機紹介の件数を報告することを義務付けており、記録しなかった件数は報告できません。

本ポリシーの以前のバージョンは、その記録を「タイムスタンプとカウンター」と説明していました。実際にはそれ以上のものであり、あなたに後から気づかれるより、訂正するほうを選びます。その記録が持つのは、いつ起きたか、どの分類器モデルが判断し、その確信度はどれだけだったか、当社が何をしたか、どの支援先を表示したか、あなたがそのカードをタップしたかどうか、その時点のあなたの地域、報告対象年、そしてあなたのアカウント、チャット、メッセージへの参照です。メッセージの本文は含みません。他のほぼすべてと違い、これはアカウントの削除後も残ります——あなたのアカウント、チャット、メッセージへの参照は取り除かれるので、残るのは出来事であって、あなたではありません。破棄した件数は、報告できない件数だからです。

8. 保持

アクティブなアカウント： アカウントがあるあいだ、あなたのデータを保持します。
無効化： 30日、その後は削除済みとして扱います。ログインし直せば元に戻ります。
削除済み： アカウントは即座に到達不能になり、メールアドレスとハンドルはその日のうちにアカウント行そのものの上で置き換えられます——ただし、あなたに見つけられるより名前を挙げておきたい例外が1つあります（写しが生き延びうる他の場所は下に書きます）：モデレーターがあなたのアカウントに何らかの措置を取ったことがあるなら、管理者の監査証跡には、その時点でそのアカウントがどう読めたかの写しが、アドレスも含めて残り、それを消すものは何もありません（下記）。その30日後に消去処理が走り、行にフラグを立てるのではなく破棄します：あなたのチャットとメッセージ、そしてそこから書き出されたすべて——要約、メモリーのファクト、モーメントとその下の返信、日替わりの質問とあなたの答え、未完のやり取り、絆のメモ——あなたのグループルームとその中のアサイド、ペルソナとロアブック、画像と音声の記録、ストーリーとゲームの進行、デバイスとプッシュトークン、通知と通知設定、閲覧チャンネルとミュートした単語、サインインID、セッション、チェックインの連続記録、いいね、レビュー、フォロー、あなたが行ったブロック、あなたのプロダクトイベントと表示されたプロモーション、日ごとの利用回数、Sparksの残高、クーポンの利用、あなたが送った招待、当社が却下したキャラクターの申請の記録、ある日あなたが苦しそうに見えたとだけ記している静かな安全シグナル、そして当社があなたに対して始めたアウトリーチのスレッドです。同じ消去で、あなたのアカウントがどこから来たかの記録（§1）と、購入の試みの記録も削除されます。
その消去処理の中にある、正直な例外。 あなたが作ったキャラクターは——公開したものだけでなく、そのすべてが——破棄されるのではなく、非公開にされて停止されます。公開されたものについては、他の人たちが会話の途中にいるからです。あなたの画像——アバターとカバー、ペルソナの顔、そしてあなたが生成またはアップロードしたすべての画像——は、消去処理のデータベース変更が確定した後、消去処理そのものによってストレージから削除されます。削除されないファイルは3種類です：残り続けるあなたのキャラクターやシーンがまだ使っているポートレートやカバー（他の人たちがまだそれを見ているため）、当社の安全スキャンが拒否した画像（モデレーションの証拠として保持します）、そして音声クリップです。音声クリップは同じセリフを聞いた全員で共有されるため、消去処理は参照を外すだけです。これらが回収されるのは手作業で、参照の外れたオブジェクトを一覧にし、削除の前に人が確認する管理コンソールからです——これらには自動のスイープも決まった期間もありません。ですから、それを指していた行よりも無期限に長く残りえます。（無料の音声クリップは、この例外の中の唯一の例外です：当社自身の音声サーバーが作った音声は、それへのリンクの期限が切れた時点で、それを作ったのと同じコードによってストレージから削除されます。）そして当社があなたのために作ったエクスポートのバンドルも、同じ手作業の土台の上にあります——当社がメールで送ったリンクは72時間後に動かなくなりますが、そのファイルを自動で削除するものはありません。
意図的に残るもの。それは当社の記録だからです。 これらは当社が把握している生き残りであり、探しに行くたびにこのリストは長くなってきました。ですから、これが最後の言葉だという約束ではなく、正直な現状として受け取ってください：税法が求める期間の財務記録——購入、サブスクリプション、クリエイター収益、そしてクリエイターへの支払い。支払いの記録は、あなたが当社に伝えた支払先、支払いが行われたときのKYCの状態、その審査時のメモ、そしてその支払いが承認される際に通した不正防止の評価を名指しします。その評価は、そのクリエイターとチャットしたアカウントをスコア付けし、アカウントIDで名指しするため、あなたがいなくなった後も、あなたのIDが他人の支払い記録の中に残りえます——そしてあなたのSparksの台帳。ストアの領収書請求（人物ではなく、不透明な領収書ID——そうでなければ「買う、削除する、登録し直す、もう一度使う」が有効な悪用手段になってしまいます）。当社の決済プロバイダーが送ってくるウェブフックの受信内容は、一字一句そのまま、伏字なしで保持されます——ウェブの決済であれば、それはあなたが決済プロバイダーに渡したメールアドレス、電話番号、UPIハンドルを意味し、消去処理も、いかなる保持期間もそこには届きません。その行はあなたのアカウントに紐付いておらず、製品の中にそれを削除するものが何もないからです。§7の危機紹介の記録は、アカウント、チャット、メッセージへの参照を取り除いたうえで残ります。あなたが出したサポートチケットは丸ごと——件名、最初のメッセージ、その後あなたがスレッドに書き返したすべて、そしてあなたが送ってくれたスクリーンショットは、行だけでなく保存された画像ファイルごと、自動で掃除するものが何もないため残ります——あなたのアカウントは切り離されたうえで残り、メールアドレスが載るのは1つの場合だけです：サインイン中に出したチケットは設計上そもそもアドレスを持ちませんが、ログアウト状態のウェブフォームから出されたチケットは、あなたが入力したアドレスを保持し、それを取り除くものはありません。他人のコンテンツについてあなたが行った通報は、あなたのアカウントは切り離されたうえで、あなたが書いた文章が残ったまま残ります。あなたのアカウントに対して取られたストライクと執行の判断は、その時点で記録された理由とともに残ります。当社が取った措置のモデレーション記録も残ります。管理者の監査証跡——どの管理者が、誰に対して、なぜ、何をしたか——は、あなたのアカウントに一度でも措置が取られていれば、その瞬間にそのアカウントがどう読めたか、当時のメールアドレス、ハンドル、表示名、自己紹介まで含めて保持し、それには消去処理も期間もありません。アカウントの紐付かないAIのコストとトークン数の行も残ります。あなたが当社のコンソールで作成または昇格させたプロンプトのバージョンは、あなたの名前を外したうえで残ります。そして、あなたの地域、タイムゾーン、言語、本規約に同意した日付、アカウントが作られた日と削除された日、そしてストアのアカウントトークンだけを残した、簡略化されたアカウント行が残ります。もうひとつ、当社だけのものがあります。あなたのアカウントが、当社のチーム、テスター、またはアプリストアの審査担当者のものとして当社が印を付けたアカウントだった場合、その印は残ります。そのアカウントを利用統計から外しておくためです。
他の誰かのものだから残るもの： あなたが公開したシーンは、公開され、遊べるままです。あなたの名前は「Deleted user」に置き換えられます。他の人たちがその途中にいるからです。各キャラクターとあなたが何通やり取りしたかの月ごとの件数は、そのキャラクターのクリエイター統計に残り、削除済みのあなたのアカウントIDだけに結び付き、あなたに関する他の何にも結び付きません。あなたが受け取った招待は、あなたを招いた人のアカウントに残ります——それはその人にとって、報酬をもたらした招待の記録だからです——そしてその時点で、それが名指しするのは削除済みのあなたのアカウントだけで、あなたに関する他の何でもありません。そして、他の人たちがあなたに対して行ったブロックも残ります。それは彼らの判断であって、あなたの判断ではないからです。
アカウントなしで残るもの： あなた自身がアプリまたはウェブアプリで削除や停止をするたびに、誰の名前も含まない行がひとつ書き込まれます——そのどちらだったか、閉じるときの質問が表示されたか、答えた場合はその答え、プラットフォーム、アプリのバージョンとアプリの言語、アカウントがどれくらい古かったか、何通のメッセージを送っていたか（範囲で記録し、実際の数字は決して残しません）、そして起きた週。アカウントIDも、ほかのIDも、時刻も含みません。あなたが入力した文は、保存する前にアドレス、リンク、ハンドル、長い番号が取り除かれ、26週間後に消去されます。入力された名前を取り除くことはできないので、名前は書かないでください。行のそれ以外の部分に期限はありません。
当社が守る決まった期間（あなたが去るかどうかにかかわらず）：ログインセッションとそのIPアドレスは60日——夜ごとの掃除がセッションの行そのものを削除するので、あるログインが記録したIPアドレスとデバイスが、それを記録したセッションより長く残ることはありません。プロダクトイベントは180日。通知の受信ボックスは90日、かつ新しいものを最大200件まで。安全シグナルは90日。ウェブサーバーのリクエストログは約14日。アプリケーションログは日付ではなくサイズでローテーションします。データベースのバックアップは約7日。本ポリシーが期間を書いていないところは、当社が黙って省いた期間があるのではなく、期間がないのだと読んでください。
期間がまったくないもの： かつて当社のウェブサイトにあったウェイトリストのフォームに入力されたアドレス。フォームはもうありませんが、そこで受け取った登録は残っています。これはどのアカウントにも紐付いておらず、どの掃除も触れず、製品の中にそれを削除するものはありません——ご連絡いただければ、手で削除します。この穴を弁護するより、名前を挙げるほうを選びます。

9. 子ども

oomfy aiは18歳以上向けであり、未成年向けの体験は一切ありません。当社は18歳未満の人から故意にデータを収集することはなく、収集していたと分かった場合は、それを削除し、そのアカウントを停止します。児童安全基準をご覧ください。

10. 国際的な移転

当社はグローバルに事業を行っており、§3の各社も同じです。あなたのデータは、インド、欧州連合、米国で処理されることがあり、さらに——DeepSeekが中国を拠点とする企業であり、今日のチャットの返信の大半を処理していることから——中国でも、そして§3に挙げた会社があなたに向けてサービスを提供する、その他のいかなる国でも処理されることがあります。EEA/英国の外への移転は、標準契約条項（SCC）に依拠します。

会話を第三者のAIプロバイダーへ一切出したくない場合は、AIへの同意を撤回すること（§3）が、それを止めるスイッチです。

11. お問い合わせ

データ保護：[email protected]
苦情処理責任者（インド、IT規則2021）：[email protected]——24時間以内に受領を確認し、15日以内に解決します。