プライバシーポリシー

当社は、お客様が直接提供する情報を収集します。すなわち、お名前、メールアドレス、公開ユーザー名（@handle）、プロフィール写真、旅行の好み、および最低年齢14歳を確認するために登録時に入力される生年（西暦）です。また、当社は、お客様が作成するコンテンツ（旅行プラン、保存した目的地、写真、コメント、メッセージ、混雑レポート、AIアシスタントとの会話）および利用データ（アプリの操作パターン）を、サービスの運営およびお客様の体験の改善のために収集します。

お客様のデータは、旅行体験のパーソナライズ、混雑度に関するインサイトの提供、おすすめの生成、AI旅行アシスタントの提供、サービスの安全性の維持、および当社サービスの改善のために利用されます。当社は、お客様の個人情報を第三者に販売しません。マーケティング目的の連絡は、お客様の明示的なオプトイン同意がある場合にのみ送信され、お客様は設定内の通知設定からいつでも同意を撤回できます。

当社は、一般データ保護規則が定める以下の法的根拠に基づき、お客様のデータを処理します。 • アカウントデータ（氏名、メールアドレス、ユーザー名、プロフィール）およびお客様が作成するコンテンツ：契約の履行 — 処理は、お客様に当社のサービスを提供するために必要です（第6条(1)(b)）。 • AI旅行アシスタント：アシスタントを提供するための契約の履行（第6条(1)(b)）、およびその評価・改善のための正当な利益（第6条(1)(f)）。 • 位置情報データ：同意 — 当社は、お客様が明示的に許可を与えた場合にのみ位置情報を処理します（第6条(1)(a)）。お客様は、設定またはデバイスの設定からいつでも同意を撤回できます。 • 分析および利用データ：正当な利益 — 当社は、アプリの性能およびユーザー体験を改善するために利用パターンを分析し、匿名の集計統計を作成します（第6条(1)(f)）。 • セキュリティおよび不正利用の防止（メール認証、デバイス認証、スパム対策のレート制限、コンテンツモデレーション）：正当な利益（第6条(1)(f)）。 • マーケティングおよびプッシュ通知：同意 — 当社は、お客様のオプトイン同意がある場合にのみ、プロモーション目的の連絡を送信します（第6条(1)(a)）。お客様は、設定内の通知設定からいつでも同意を撤回できます。

すべてのアカウントには、固有の公開ユーザー名（@handle）が付与されます。お客様の公開プロフィールデータ（表示名、プロフィール写真、ユーザー名）は、お客様のプロフィール上および公開されたコンテンツの横で、他のユーザーに表示されます。お客様は、不正利用防止の制限に従うことを条件として、設定からユーザー名を変更できます。その場合、以前のユーザー名は他のユーザーが利用できるようになります。お客様のユーザー名はデータエクスポートに含まれ、アカウントを削除すると削除されます。法的根拠：契約の履行。

Wandermiには、生成AIに基づく旅行アシスタント（モデル提供者：Google）が含まれます。 • モデルに送信されるデータ：お客様のメッセージのテキスト、お客様が計画中の旅行のコンテキスト（目的地、日程、興味・関心）、および過去の会話から構築された旅行の好みのプロフィール。当社は、お客様のメールアドレスや正確なGPS位置を送信しません。 • モデルの実行場所：アシスタントは、欧州連合（リージョンeurope-west1）のGoogle Cloud Vertex AI上で実行されます。Googleは、Google Cloudデータ処理追加条項に基づき、GDPR第28条に定める当社の処理者として行為し、お客様のプロンプトまたはモデルの出力を自社モデルの学習に使用しません。お客様の会話はEU域内で処理されます。 • メモリ：当社は、(i) お客様の会話履歴、(ii) 複数の旅行にわたる会話から構築される永続的な旅行者プロフィール、および (iii) 旅行ごとのメモリを保存し、アシスタントがセッション間でコンテキストを保持できるようにします。お客様は、アプリ内でセッションをアーカイブまたは名前変更できます。 • 保持および削除：会話および両方のAIメモリは、お客様のアカウントが有効である間保持され、お客様がアカウントを削除すると削除されます。これらはデータエクスポートに含まれます。これとは別に、アシスタントを評価・改善するために、仮名化された複製（直接的な識別子を含まないもの）が保持されます。会話テキストは最大12か月、技術的な指標は最大24か月です。お客様がアカウントを削除した場合にこれらの複製がどのように扱われるかについては、「分析ウェアハウス」をご参照ください。 • 正確性：回答は自動的に生成されるものであり、誤りまたは最新でない情報を含む可能性があります。お客様は、チャット内でメッセージを長押しすることにより、いかなる回答も報告できます。 • 法的根拠：契約の履行（アシスタントの提供）および正当な利益（その評価・改善）。お客様は、privacy@wandermi.com 宛てにご連絡いただくことで、改善のための処理に異議を申し立てることができます。

お客様の許可を得たうえで、当社は以下の目的でお客様の位置情報を利用します。 • 混雑レポート：他のユーザーが閲覧するレポートには、おおよその座標（約1 kmの精度に丸めたもの）のみが保存されます。お客様が報告した地点の正確な座標は、クライアントアプリケーションが読み取ることのできないアクセス制限付きのコレクションに別途保存されます。これらは他のユーザーに表示されることはなく、第三者と共有されることもありません。これらはデータエクスポートに含まれ、お客様がアカウントを削除すると削除されます。 • 滞在検知：当社は、場所での滞在時間の集計値を導出します。当社は、お客様の継続的なGPS軌跡を記録せず、お客様の移動を追跡しません。 • 公的機関と共有される統計は、匿名かつ集計されたもののみです。 お客様は、設定 → 位置情報 またはデバイスの設定から、いつでも位置情報の共有を無効にできます。アプリは引き続き利用可能です。法的根拠：同意（第6条(1)(a)）。お客様はいつでもこれを撤回できます。また、集計統計の作成については正当な利益。

お客様は、旅程を共有するための公開リンクを生成できます。当該リンクを保有する者は誰でも、リンクが有効である限り、Wandermiのアカウントを持たない者やアプリ外の者を含め、共有されたコンテンツ（旅程、立ち寄り地、含まれる写真）を閲覧できます。何を誰と共有するかを慎重にご検討ください。 お客様は、共有設定からいつでもリンクを無効化できます。無効化により、当該コンテンツはリンク経由で直ちにアクセス不可となりますが、第三者が既に保存した複製には影響しません。有効なリンクはデータエクスポートに含まれ、お客様がアカウントを削除すると削除されます。法的根拠：契約の履行（お客様が要求する機能）。

• プッシュ通知：お客様の許可を得たうえで、当社は通知（メッセージ、招待、混雑アラート、ソーシャルアクティビティ）を送信します。当社は、お客様のデバイスに関連付けられた通知トークンを保存し、これを当社のプロバイダーであるExpo（米国、EU標準契約条項に基づく）に送信します。当該トークンは、お客様がログアウトすると削除されます。お客様は、設定 → 通知 から各カテゴリを管理し、またはオペレーティングシステムから通知を無効にできます。 • 通知の言語：当社は、お客様が使用する言語で通知が届くよう、アプリの言語設定を保存します。 • メール認証：お客様がメールアドレスで登録する際、当社は認証メッセージを送信します。認証は、セキュリティおよび不正利用防止の目的で、アカウントを利用するために必要です。法的根拠：正当な利益（第6条(1)(f)）。

自動化された不正利用（ボット、スクリプト、偽アカウント）からサービスを保護するため、本アプリは、Firebase App Checkを通じて、Apple（App Attest / DeviceCheck）およびGoogle（Play Integrity）が提供するデバイス認証の仕組みを使用します。これらのサービスは、リクエストが真正なデバイス上で動作する正規のアプリのコピーから送信されていることを検証し、技術的なトークンを生成します。当該トークンは、お客様のプロファイリングには使用されず、広告目的にも使用されません。法的根拠：サービスのセキュリティに関する正当な利益（第6条(1)(f)）。

当社は、Wandermiの運営を支援する信頼できるサービスプロバイダーとのみデータを共有します。すべてのパートナーは、厳格なデータ保護契約に拘束されています。当社は、お客様の個人データを販売しません。

当社は、サービスを提供するために以下の副処理者を利用しています。 • Google Firebase（Cloud Firestore、Authentication、Cloud Storage、App Check）— 米国。データ移転はEU標準契約条項（SCC）により規律されます。 • Google Cloud Platform（Cloud Functions、リージョンeurope-west1）— 欧州連合。 • Google Cloud Vertex AI（リージョンeurope-west1）— 欧州連合。AI旅行アシスタントを支える生成モデルを提供します。Googleは、Google Cloudデータ処理追加条項に基づく処理者として行為し、お客様のプロンプトまたはモデルの出力を自社モデルの学習に使用しません。処理はEU域内で行われます。 • Google Cloud BigQuery（リージョンeurope-west1）— 欧州連合。アプリを理解し改善するため、AI旅行アシスタントを評価・改善するため、および匿名の集計統計を作成するための分析データウェアハウスとして使用されます。Googleのデータ処理追加条項およびEU標準契約条項の適用対象です。データはEU域内で処理されます。 • Expo（EAS）— 米国。プッシュ通知の配信に使用されます。データ移転はEU標準契約条項（SCC）により規律されます。 • Mapbox — 米国。地図の表示および位置情報サービスに使用されます。テレメトリーデータの収集は任意であり、プライバシー設定で無効にできます。データ移転はEU標準契約条項（SCC）により規律されます。 • RevenueCat — 米国。サブスクリプション管理インフラです。Wandermiでは有料サブスクリプションは有効化されていません（「有料機能」をご参照ください）。SDKはアプリ内に存在しますが、現時点では取引データや請求データは一切処理されていません。有料機能が有効化された場合、RevenueCatは匿名のユーザー識別子およびApple/Googleの取引メタデータのみを受領し、メールアドレスその他の個人データは受領しません。データ移転はEU標準契約条項（SCC）により規律されます。 • Sentry — ドイツ（EUデータレジデンシー）。エラー監視およびクラッシュレポートに使用されます。スタックトレース、アプリのバージョン、OSのバージョン、および匿名化されたデバイス識別子を取得します。明示的に添付されない限り、メールアドレスその他の個人データは取得されません。 • Microsoft 365（Outlook — Microsoft Ireland Operations Limitedによるホスティング）— 欧州連合。組織のメールボックス（support@、privacy@、dpo@、legal@）のホスティング、およびお客様が当社に送信する受信通信の処理に使用されます。標準のMicrosoft Online Services DPAが適用されます。

当社は、以下の期間、お客様のデータを保持します。 • アカウントデータ（氏名、メールアドレス、ユーザー名、プロフィール写真、旅行の好み）：アカウントが有効である間保持されます。お客様がアカウントを削除すると削除されます。 • メッセージ：最大12か月間保持されます。365日を超えたメッセージは自動的に削除されます。お客様が送信したメッセージは、お客様がアカウントを削除した場合にも削除されます。 • 旅行データ（旅行プラン、保存した目的地、写真）：アカウントが有効である間保持されます。旅行を削除すると、30日間の復元期間に入り、その間は復元が可能です。30日経過後、当該旅行および関連するすべてのデータは完全に削除されます。すべての旅行データは、お客様がアカウントを削除した場合にも削除されます。 • AIアシスタントの会話およびメモリ（旅行者プロフィール、旅行ごとのメモリ）：アカウントが有効である間保持されます。お客様がアカウントを削除すると削除されます。 • 位置情報データ：お客様が送信した混雑レポートとともに保存されるおおよその座標（約1 km）、およびアクセス制限付きで別途保持される正確な座標は、お客様がアカウントを削除するまで保持されます。 • プッシュ通知トークン：お客様がログアウトすると削除されます。 • 分析ウェアハウス内の仮名化された複製：AIの会話テキストは最大12か月、AIの技術的指標は最大24か月、その他の分析イベントは最大26か月。以下の「分析ウェアハウス」をご参照ください。

当社は、分析データウェアハウス（Google Cloud BigQuery、EUリージョンeurope-west1）を、次の3つの目的で使用します。(a) アプリがどのように利用されているかを理解し改善するため、(b) 当社のAI旅行アシスタントを評価・改善するため、(c) 観光客の流動および過度の混雑に関する匿名の集計統計を作成するため。 • 仮名化およびデータ所在地：ウェアハウスに送信される記録には、お客様の氏名、メールアドレスまたは生のアカウント識別子は含まれません。識別子は仮名（鍵付きハッシュ）に置き換えられます。すべての処理は、GoogleのDPAおよびEU標準契約条項に基づき、EU域内で行われます。 • AIの改善：AIアシスタントとの会話は、アシスタントを評価・改善するために仮名化された形式で使用される場合があります。法的根拠：正当な利益。お客様は、privacy@wandermi.com 宛てにご連絡いただくことで異議を申し立てることができます。 • 集計統計（B2G）：公的機関または観光地域づくり法人と共有される統計は、匿名のもののみです。それらには、お客様を識別しうる情報は一切含まれず、いかなる個人も特定されないよう、最小限の集計しきい値が適用されます。当社は、お客様の個人データを決して販売しません。 • 削除 — お客様がアカウントを削除した場合に実際に起こること：当社は、当社の運用システム（データベースおよびファイルストレージ）から、お客様のデータ（プロフィール、ユーザー名、旅行、写真、メッセージ、AIの会話およびメモリ、共有リンク、ならびに混雑レポートの正確な座標）を削除します。分析ウェアハウスに既に転送された仮名化された複製は、その時点で個別に削除されるものではありません。これらは既にお客様のアカウント識別子を含んでおらず、その保持期間の終了まで保持され（AIの会話テキストは最大12か月、AIの技術的指標は最大24か月、その他の分析イベントは最大26か月）、その後削除されます。既に作成された匿名の集計データは個人データではなく、保持されます。それ以前にお客様に関する仮名化された記録の削除を希望される場合は、当社がそれらを識別できるよう、アカウントを削除する前に privacy@wandermi.com 宛てにご連絡ください。

人気のある場所の混雑予想時間帯を表示するため、当社は、選定された著名な施設群について定期的に収集される、Googleマップの公開されている集計「人気の時間帯」データを使用します。このデータは集計され匿名化されたものであり、お客様その他の識別可能な個人に関する個人情報は一切含みません。このデータは恒久的なベースラインとして保存され、およそ年に一度更新されます。また、生の形式で第三者に共有または再販されることはありません。

Wandermiには、他の旅行者と連絡を取り合い、旅行プラン、写真、投票および位置情報を共有できるアプリ内メッセージ機能が含まれます。 • 暗号化：すべてのメッセージは、転送中（TLS 1.2以上）および保存時（AES-256）に暗号化されます。エンドツーエンド暗号化は現時点では実装されていません。これにより、EUデジタルサービス法（規則（EU）2022/2065）が求めるサーバー側のモデレーションおよびコンテンツ報告が可能となります。 • 保存されるコンテンツ：メッセージのテキスト、添付メディア（写真）、投票、位置情報、リアクション、返信のコンテキスト、ならびに編集およびピン留めのメタデータ。既読通知は、会話の未読件数を提供するために保存されます。 • モデレーション：当社は、自動的なレート制限（送信者ごとに1分あたり最大40メッセージ、1時間あたり最大300メッセージ）を適用し、ユーザーからの報告を処理します。報告されたコンテンツは審査され、削除される場合があります。不正利用を行うアカウントは停止される場合があります。 • 違法コンテンツの報告：お客様は、長押しメニュー → 報告 から、いかなるメッセージも報告できます。報告は当社のモデレーターにより、通常48時間以内に審査されます。 • 編集および削除：お客様は、送信から15分以内であればメッセージを編集でき、いつでも削除できます。アカウントを削除すると、お客様が送信したメッセージは削除されます。 • プッシュ通知：メッセージのプレビューがプッシュ通知に表示される場合があります。お客様は、設定 → 通知 からプレビューを無効にできます。 • 未成年者：GDPR第8条およびイタリアの国内法の実施に従い、メッセージ機能を利用できる最低年齢は14歳です。

一般データ保護規則に基づき、お客様は、ご自身の個人データに関して以下の権利を有します。 • アクセス権およびデータポータビリティの権利（第15条および第20条）：設定内の「データをエクスポート」を使用して、AIアシスタントとの会話を含む、お客様のデータの完全なJSONファイルをダウンロードできます。 • 訂正の権利（第16条）：プロフィールを編集することにより、いつでも個人データを訂正できます。 • 消去の権利（第17条）：設定内の「アカウントを削除」を使用してください。これにより、当社の運用システムから、お客様のアカウント、コンテンツ、メッセージ、AIの会話およびメモリ、ユーザー名、共有リンク、ならびに混雑レポートの正確な座標が削除されます。分析ウェアハウス内の仮名化された複製については、上記の「分析ウェアハウス」をご参照ください。 • 異議を申し立てる権利および同意を撤回する権利（第21条）：お客様は、設定 → 位置情報 から位置情報を、設定 → 通知 から通知を、いつでも無効にできます。分析およびAIの改善のための仮名化データの処理に異議を申し立てるには、privacy@wandermi.com 宛てにご連絡ください。 • 苦情を申し立てる権利：お客様は、イタリアの監督機関（個人データ保護監督官 — Garante per la protezione dei dati personali）または居住国の監督機関に苦情を申し立てることができます。 • 再同意：当社が利用規約または本ポリシーに重要な変更を加えた場合、当社は、次回アプリを開いた際に、お客様に再度同意を求めます。お客様が同意しない場合、サービスへのアクセスは停止されます。 これらの権利を行使するには、privacy@wandermi.com 宛てにご連絡いただくか、アプリ内の該当機能をご利用ください。

お客様の個人データの一部は、当社のサービスプロバイダーの一部が所在する米国（Firebase、Expo、Mapbox、RevenueCat）に移転され、そこで処理される場合があります。これらの移転は、欧州委員会が承認したEU標準契約条項（SCC）により保護されます。AIアシスタントおよび分析ウェアハウスによって行われる処理は、欧州連合域内（リージョンeurope-west1）で行われます。

当社は、GDPR第37条に基づくデータ保護責任者（DPO）の選任義務を負いません。当社は公的機関ではなく、中核的な活動において特別な種類の個人データを大規模に取り扱っておらず、また、データ主体に対する大規模かつ定期的・体系的な監視も行っていないためです。この評価は継続的に見直し、要件を満たすこととなった場合にはDPOを選任します。 個人データの取扱いに関するご質問、またはGDPRに基づく権利の行使については、privacy@wandermi.com までご連絡ください。お客様は、居住国の監督機関に苦情を申し立てる権利も有しています。

Wandermiは現在無料です。有効なサブスクリプションやアプリ内課金はなく、当社はいかなる支払いデータも処理していません。アプリ内で「近日公開」として表示されている機能（例えばプレミアムサブスクリプションや印刷フォトアルバム）は有効化されていません。 当社のサブスクリプション管理インフラ（RevenueCat）はアプリ内に存在しますが、有料機能が無効である間は、いかなる取引も処理しません。有料機能が有効化される場合、当社は事前にお客様にお知らせし、本ポリシーを更新します。いずれの場合も、支払いは、iOSではApple（App Store）、AndroidではGoogle（Play Store）によってのみ処理されます。当社が、お客様の支払いカードの詳細や請求先住所を収集または保存することは一切ありません。

Wandermiは、将来のリリースにおいて、任意の印刷フォトアルバムを提供する予定です。本機能が利用可能となった場合： • 共有：お客様の注文を履行するために厳密に必要なデータのみが、当社の印刷パートナーであるPeecho（オランダ、EU所在）と共有されます。すなわち、配送先氏名、配送先住所、お客様がアルバム用に明示的に選択した写真、および注文の詳細です。 • その他のデータの非共有：当社は、お客様のアカウントのメールアドレス、旅行プラン、その他の個人情報をPeechoと共有しません。 • 注文ごとの明示的なオプトイン：本機能は、注文を行うたびに明示的な同意を必要とします。有効な注文がない限り、データが共有されることはありません。 • 現在の状況：現行のリリースにおいて、本機能は有効化されていません。Peechoとのデータ共有は行われておらず、これまでも行われていません。当社は、本機能が稼働する前に、本ポリシーを更新し、アプリ内でユーザーに通知します。

当社は、お客様の個人情報を不正なアクセスから保護するため、転送中（TLS 1.2以上）および保存時（AES-256）の暗号化を含む、業界標準のセキュリティ対策を実施しています。当社のバックエンドへのリクエストは、デバイス認証（Firebase App Check）を通じて検証されます。混雑レポートの正確な座標は、クライアントアプリケーションが読み取ることのできないアクセス制限付きのコレクションに保持されます。本番システムへのアクセスは、権限を有する担当者に限定され、多要素認証によって保護されています。