プライバシーポリシー

当社は、お客様が直接提供する情報を収集します。すなわち、お名前、メールアドレス、公開ユーザー名（@handle）、プロフィール写真、旅行の好み、および最低年齢14歳を確認するために登録時に入力される生年（西暦）です。また、当社は、お客様が作成するコンテンツ（旅行プラン、保存した目的地、写真、コメント、メッセージ、混雑レポート、AIアシスタントとの会話）および利用データ（アプリの操作パターン）を、サービスの運営およびお客様の体験の改善のために収集します。

お客様のデータは、旅行体験のパーソナライズ、混雑度に関するインサイトの提供、おすすめの生成、AI旅行アシスタントの提供、サービスの安全性の維持、および当社サービスの改善のために利用されます。当社は、お客様の個人情報を第三者に販売しません。マーケティング目的の連絡は、お客様の明示的なオプトイン同意がある場合にのみ送信され、お客様は設定内の通知設定からいつでも同意を撤回できます。

当社は、一般データ保護規則が定める以下の法的根拠に基づき、お客様のデータを処理します。 • アカウントデータ（氏名、メールアドレス、ユーザー名、プロフィール）およびお客様が作成するコンテンツ：契約の履行 — 処理は、お客様に当社のサービスを提供するために必要です（第6条(1)(b)）。 • AI旅行アシスタント：アシスタントを提供するための契約の履行（第6条(1)(b)）、およびその評価・改善のための正当な利益（第6条(1)(f)）。 • 位置情報データ：同意 — 当社は、お客様が明示的に許可を与えた場合にのみ位置情報を処理します（第6条(1)(a)）。お客様は、設定またはデバイスの設定からいつでも同意を撤回できます。 • 分析および利用データ：正当な利益 — 当社は、アプリの性能およびユーザー体験を改善するために利用パターンを分析し、匿名の集計統計を作成します（第6条(1)(f)）。 • セキュリティおよび不正利用の防止（メール認証、デバイス認証、スパム対策のレート制限、コンテンツモデレーション）：正当な利益（第6条(1)(f)）。 • マーケティングおよびプッシュ通知：同意 — 当社は、お客様のオプトイン同意がある場合にのみ、プロモーション目的の連絡を送信します（第6条(1)(a)）。お客様は、設定内の通知設定からいつでも同意を撤回できます。 • 「旅のスタイル」プロフィール：お客様が自分で設定した項目については契約の履行（第6条(1)(b)）、会話から学習した好みについては正当な利益（第6条(1)(f)）。お客様が追加を選択した要配慮データ（食事やアクセシビリティに関する必要事項）については明示的な同意（第9条(2)(a)）。同意はいつでも撤回でき、その場合データは直ちに削除されます。 • 旅のメモリ（「アシスタントが覚えていること」）：正当な利益（第6条(1)(f)）。「旅のメモリ」に記載の方法で異議を申し立てることができます。

すべてのアカウントには、固有の公開ユーザー名（@handle）が付与されます。お客様の公開プロフィールデータ（表示名、プロフィール写真、ユーザー名）は、お客様のプロフィール上および公開されたコンテンツの横で、他のユーザーに表示されます。お客様は、不正利用防止の制限に従うことを条件として、設定からユーザー名を変更できます。その場合、以前のユーザー名は他のユーザーが利用できるようになります。お客様のユーザー名はデータエクスポートに含まれ、アカウントを削除すると削除されます。法的根拠：契約の履行。

お客様が旅行に追加する写真や動画には、お客様が選ぶ公開範囲があります：「全員」「フォロワー」「自分のみ」。公開範囲はいつでも変更でき、変更はすぐに反映されますが、他の人がすでに撮ったスクリーンショットやコピーは取り消せません。 • 旅仲間：旅行のアルバムで、お客様の「全員」と「フォロワー」の写真を見ることができます。「自分のみ」の写真はお客様だけが見られます。 • 旅行に参加していない人：お客様の写真を見られるのは、その旅行も見られる人だけで、お客様の選択とアカウントの設定が許す範囲を超えることはありません。具体的には： – 「全員」：旅行が公開されていれば、Wandermiの誰でも見られます。旅行がフォロワーのみに公開されている場合は、最大でも旅行を作成した人のフォロワーまでです。 – 「フォロワー」：旅行が公開されている場合、またはお客様自身の旅行でフォロワーに公開されている場合は、お客様のフォロワーが見られます。それ以外の場合は旅仲間だけです。 – 非公開の旅行、下書きの旅行、ゴミ箱にある旅行の写真は、旅行に参加していない人には表示されません。 – お客様のアカウントが非公開の場合、写真が届くのは最大でも旅仲間とお客様のフォロワーまでです。 • 表示される場所：旅行の外に公開されている写真は、お客様のプロフィールや、その写真を見られる人のホームに、お客様の名前とともに表示されることがあります。スポットのページの「訪れた人の写真」には、非公開ではないアカウントの公開旅行の「全員」の写真（動画を除く）だけを表示します。その場所自体の写真がない場合は、約1.5km以内で撮影された写真を「近くで撮影」と表示して見せることがあります。ホームとプロフィールには写真のコピーを使用します。このコピーは元の写真に連動し、公開範囲を変更すると変わり、写真を削除すると削除されます。 • ブロック：お客様がブロックした人、またはお客様をブロックした人には、プロフィール、ホーム、スポットのページ、個別の写真のいずれでも、お客様の写真は表示されません。 • 位置情報：写真とともに保存するのは、おおよその位置（約1km）と場所の名前だけです。これらは写真のデータから取得するか、お客様が選択したものです。現在のバージョンのアプリが正確な位置を保存することはありません。古いバージョンのアプリが正確な位置を送信した場合は、当社のサーバーがただちに約1kmに丸めます。写真のファイルにGPS座標は含まれません。お客様の写真を見られる人（お客様の選択に応じて、旅仲間、フォロワー、または全員）は、場所の名前、おおよその位置（約1km）、場所への参照も受け取ることがあります。写真を見られない人は、これらを一切受け取りません。スポットのページに座標が表示されることはありません。 • 写っている人：ほかの人が写っている写真を公開する場合は、公開してよいことを確認してください。 法的根拠：契約の履行（第6条1項(b)）。保存期間：旅行データと同じです（「データの保持期間」を参照）。

16歳以上で、アカウント作成から7日以上経過している場合、場所のページからその場所を撮影したご自身の写真をアップロードできます。場所の写真は公開されます。すべてのユーザーと、リンク経由を含めて場所のページを開いた人が、お客様のユーザー名を撮影者として見ることができます。お客様がブロックしたユーザーにも表示されます。初回アップロード時に同意いただく「場所の写真に関する条件」が適用されます。この機能は段階的に提供され、機能がオフの間は場所の写真は表示されません。 • 収集する情報： – 写真。送信前にアプリがファイルからGPS位置情報を含むすべてのメタデータを削除し、その後当社のサーバーが写真を再エンコードして残っているメタデータをすべて削除し、小さいサイズを作成します。3つのサイズで保存し、最大のものでも長辺1600ピクセル以下です。 – お客様のユーザー名と、写真が紐づく場所。 – 「現地で撮影」を選んだ場合のみ（初期設定はオフ）：「場所から約300m以内で撮影」という表示と、撮影した年月（日や時刻は含みません）。アプリがお客様の電話上で写真から位置と日付を読み取り、場所に近いかどうかと年月だけを送信します。写真の位置情報は送信されません。年月が公開されるのは公開から30日後で、アップロード日は表示されません。これらはラベルにのみ使用し、ラベルを外すと削除され、再び付けることはできません。ラベルを選ばない場合、近さも日付も受け取りません。 – 自動チェックの結果と、写真が公開されない場合はその理由。 – 同意の記録：ユーザー識別子、ファイルのデジタル指紋（写真そのものではありません）、日時、条件のバージョンと言語および同意した本文の指紋、アカウントのログイン方法（メール、Google、Appleなど）。最初の写真が公開されると、同意したバージョンへのリンクを記載した確認メールをお送りします。 – 年齢の確認には、お客様の生まれ年を使用します（「生まれ年、最低年齢、未成年者」をご覧ください）。 • 写真を報告した場合：お客様のユーザー識別子とアカウントのメールアドレス、理由、任意で記入したテキスト、誠実に報告する旨の表明。法律上の義務または当局の命令がある場合を除き、撮影者に報告者を伝えることはありません。 • 目的と法的根拠： – お客様のユーザー名で写真を場所のページに公開し、お客様が選んだ場合に「現地で撮影」ラベルと撮影月を表示すること：契約の履行（GDPR第6条1項b）。写真の位置と日付はお客様の電話上で読み取られ、お客様が求めるラベルや日付を提供するために厳密に必要な範囲に限られます（ePrivacy指令第5条3項、イタリア個人情報保護法第122条）。 – 報告・一時停止・削除の処理と、撮影者および報告者への通知：法的義務（GDPR第6条1項c、規則（EU）2022/2065「デジタルサービス法」第16条・第17条）。 – 不正防止のための自動チェックとアップロード制限、および削除後の同意記録の保存：他のユーザーを守り、紛争時にライセンスを証明するという当社の正当な利益（GDPR第6条1項f）。privacy@wandermi.com宛てに異議を申し立てることができます。 • 自動チェック：公開前に、当社のサーバーで再エンコードされた写真を人工知能システムが確認し、その場所が写っていること、識別可能な人物（礼拝所や医療施設では姿だけでも）、ナンバープレート、読み取れる個人情報（書類、画面、看板の名前、インターホン、郵便受け）、不適切な内容が含まれていないことを確かめます。疑わしい場合、写真は公開されません。 – モデルは欧州連合内のGoogle Cloud Vertex AI（europe-west1リージョン）で実行されます。Googleは当社の処理者（GDPR第28条）として行動し、写真をモデルの学習に使用しません。 – チェックを通過しなかった写真は公開されません。理由と、チェックが自動であることをお知らせします。legal@wandermi.com宛てにご連絡いただければ、当社チームの担当者が改めて確認します。 – チェックを完了できない場合、写真は保留のまま公開されず、7日後に破棄されます。 – このチェックはその写真の公開にのみ関わり、お客様に法的効果を生じさせるものではありません（GDPR第22条の決定には当たりません）。 • 報告とモデレーション：通常、アプリからの報告で写真はただちに一時停止されます。同じ人がすでに報告していた場合、写真がすでに確認・復元済みの場合（「この写真に私が写っている」、著作権、管理機関からの要請を除く）、報告者のアカウント作成から7日未満の場合は自動では一時停止しません。いずれの場合も当社チームの担当者が原則48時間以内に判断します。撮影者には一時停止・削除のたびに理由をアプリで、またメールアドレスが確認済みの場合はメールでお知らせし、報告者には受付確認と結果をお知らせします。メール送信には、当社の処理者であるMicrosoft Ireland Operations Ltd（Microsoft 365）を利用します。 • 写っている人：公開された写真にお客様が写っている場合は、「この写真を報告」→「この写真に私が写っている」を使ってください（通常、写真はすぐに非表示になります）。アカウントをお持ちでない場合は、写真のリンク、理由、氏名とメールアドレスを記載して、個人情報や「この写真に私が写っている」の場合はprivacy@wandermi.com、著作権の場合はlegal@wandermi.comまでご連絡ください。チームの担当者が原則48時間以内に確認します。 • 保存期間： – 公開された写真：「場所の写真」から削除するか（1日以内に表示されなくなります）、アカウントを削除するまで。 – チェックで公開されなかった写真：ファイルはただちに削除、その他は24時間以内に削除。 – 一時停止中の写真：判断まで。削除された場合、ファイルはただちに削除。 – 報告と判断：判断から12か月。 – サービスメール（通知と受付確認）：送信から30日。 – 同意の記録：写真の公開中および削除後最長10年間。ライセンスの証明のためにのみ使用。 – アカウントを削除すると、場所の写真とお客様が行った報告を削除し、同意の記録のみが残ります。 • 提供先：処理者としてのGoogle Cloud（FirebaseとVertex AI、EU内）とMicrosoft（メール）、公開された写真については一般の人々。お客様の別途の同意なく、広告や有料商品に写真を使用しません。 • お客様の権利：アクセス、訂正、消去（ワンタップでの写真削除を含む）、異議、制限、データポータビリティ。場所の写真と同意の記録は「データをエクスポート」に含まれます。「お客様の権利」をご覧ください。

• 生まれ年：登録時に生まれ年をお尋ねします（GoogleまたはAppleで登録して生まれ年を入力していない場合は、次にアプリを開いたときにお尋ねします）。生まれ年は、法律で定められた年齢ルールの適用にのみ使用します。Wandermiの利用は14歳以上、場所の写真のアップロードは16歳以上、そして下記の14歳・15歳の方向けの保護措置です。生まれ年だけでは判断できない場合（14歳または16歳になる年）は、追加の質問（たとえば生まれ月）を1つお尋ねし、回答そのものではなく判定結果のみを保存します。生まれ年は他のユーザーには表示されません。 – 法的根拠：法的義務（GDPR第8条およびイタリア個人情報保護法第2-quinquies条が定める最低年齢を守るため、GDPR第6条1項c）および契約の履行（GDPR第6条1項b）。年齢ルールは利用規約の一部だからです。 – 保存期間：アカウントが存在する間。アカウントを削除すると削除されます。 – 変更不可：年齢ルールが回避されないよう、一度保存した生まれ年はアプリから変更できません。誤って入力した場合は、privacy@wandermi.comまでご連絡いただければ訂正します（訂正の権利、GDPR第16条）。確認のため、いくつかの情報をお願いすることがあります。 • 14歳未満の方：Wandermiはご利用いただけません。 – 登録時に14歳未満であることが示された場合、アカウントは作成されず、入力されたデータは削除されます。 – 既存のアカウントが14歳未満の方のものであると判明した場合、アカウントは一時停止されます。公開コンテンツとフォロワー向けコンテンツはすべて非表示になり、AIアシスタントとプッシュ通知は利用できなくなります。その旨をアプリとメールでお知らせします。誤りの場合は、30日以内にprivacy@wandermi.comまでご連絡ください。異議の申し立てにより削除は停止され、当社チームの担当者が確認し、誤りが確認された場合はアカウントを復旧してコンテンツを再び表示します。異議の申し立てがない場合、30日後に「アカウントを削除」と同じ手順でアカウントと関連データが自動的に削除されます。 – すぐに再登録されることを防ぐため、Google/Appleアカウントの識別子または確認済みメールアドレスの鍵付き指紋（HMAC、元に戻せないもの）のみを90日間保存し、その後削除します。年齢の誤りが確認された場合は、直ちに削除します。法的根拠：法律で定められた最低年齢を守らせるという当社の正当な利益（GDPR第6条1項f）。 • 14歳・15歳の方： – プロフィールと旅は初期設定で非公開です（フォロワーへの共有は可能です）。ご希望の場合は、ワンタップでご自身で公開できます。すでにアカウントをお持ちの場合、非公開になるのは公開していたプロフィールと旅のみで、フォロワー向けに共有していたものはお客様の選択のまま残ります。アプリでお知らせし、ワンタップで再び公開できます。 – 場所の写真はアップロードできません（16歳以上が必要です）。 – お客様のコンテンツには、利用規約に定める限定的なライセンスが適用されます。本サービス内で、お客様が選んだ範囲の相手にのみ表示し、本サービス外での宣伝には使用しません。 • 注目セクション：ご申告いただいた生まれ年から18歳未満の可能性がある場合、お客様のコンテンツは注目セクション（注目の旅、「発見」、場所や国のページに表示されるコミュニティの写真）に選ばれません。「この場所の写真を持っています」からアップロードした写真（16歳以上）はこの除外の対象外で、「場所の写真に関する条件」に従います。 未成年の方は、保護者の方とご一緒に本ポリシーをお読みになることをお勧めします。

Wandermiには、生成AIに基づく旅行アシスタント（モデル提供者：Google）が含まれます。 • モデルに送信されるデータ：お客様のメッセージのテキスト、お客様が計画中の旅行のコンテキスト（目的地、日程、興味・関心）、および過去の会話から構築された旅行の好みのプロフィール。当社は、お客様のメールアドレスや正確なGPS位置を送信しません。 • モデルの実行場所：アシスタントは、欧州連合（リージョンeurope-west1）のGoogle Cloud Vertex AI上で実行されます。Googleは、Google Cloudデータ処理追加条項に基づき、GDPR第28条に定める当社の処理者として行為し、お客様のプロンプトまたはモデルの出力を自社モデルの学習に使用しません。お客様の会話はEU域内で処理されます。 • メモリ：当社は、(i) お客様の会話履歴、(ii) 複数の旅行にわたる会話から構築される永続的な旅行者プロフィール、および (iii) 旅ごとのメモリ（下記「旅のメモリ」参照）を保存し、アシスタントがセッション間でコンテキストを保持できるようにします。お客様は、アプリ内でセッションをアーカイブまたは名前変更できます。 • 保持および削除：会話および旅行者プロフィールは、お客様のアカウントが有効である間保持され、お客様がアカウントを削除すると削除されます。旅のメモリには独自の保存期間が適用されます（「旅のメモリ」参照）。これらはいずれもデータエクスポートに含まれます。これとは別に、アシスタントを評価・改善するために、仮名化された複製（直接的な識別子を含まないもの）が保持されます。会話テキストは最大12か月、技術的な指標は最大24か月です。お客様がアカウントを削除した場合にこれらの複製がどのように扱われるかについては、「分析ウェアハウス」をご参照ください。 • 正確性：回答は自動的に生成されるものであり、誤りまたは最新でない情報を含む可能性があります。お客様は、チャット内でメッセージを長押しすることにより、いかなる回答も報告できます。 • 法的根拠：契約の履行（アシスタントの提供）および正当な利益（その評価・改善）。お客様は、privacy@wandermi.com 宛てにご連絡いただくことで、改善のための処理に異議を申し立てることができます。

AIアシスタントは、お客様の旅行の好みに関するプロフィールを保持します。このプロフィールは、アプリ内の「旅のスタイル」（会話パネルまたはプロフィール → 設定から）で確認・管理できます。 • 内容：普段一緒に旅行する相手、旅行スタイル、興味のあること、旅のペース、予算、混雑への考え方、お気に入りの場所や避けたい場所、宿泊や移動手段の好み。各項目について、アプリはその出所（最初の質問から、お客様が設定、または会話から学習（日付付き））を表示します。 • 作成方法：アシスタントは、会話から明確に読み取れる継続的な旅行の好みのみを保存し、その都度チャットでお知らせします（「覚えておきます…」）。「元に戻す」ボタンで取り消せます。お客様が自分で設定した内容が常に優先され、アシスタントが上書きすることはありません。お客様が削除した項目が復活することもありません。 • お客様による管理：各項目はいつでも変更・削除できます。「会話から学ぶ」をオフにすると、アシスタントは新しい項目を追加しません。すでにプロフィールにある内容は残り、お客様が変更または消去するまで提案の調整に引き続き使用されます。完全に異議を申し立てるには、学習済みの項目も削除するか、プロフィール全体を削除する「すべて消去」を使用してください。「会話から学ぶ」をオフにすると旅のメモリも一時停止し、新しい項目は追加されず、保存済みの項目も使用されません（「旅のメモリ」参照）。これらの操作は直ちに反映されます。privacy@wandermi.com へのご連絡も可能です。 • 要配慮データ（GDPR第9条）：食事に関する必要事項（例：アレルギー、不耐症、食事制限など。お客様の健康状態や宗教的信条に関する情報が明らかになる場合があります）およびアクセシビリティに関する必要事項は、お客様ご自身が「旅のスタイル」に入力し、専用のチェックボックスで明示的に同意された場合にのみ保存されます。当社は同意の記録（日付とバージョン）を保管します。アシスタントは、これらの情報を会話から推測しないよう指示されており、プロフィールに保存することはできません。これらの情報は旅行の提案を調整するためだけに使用され、お客様のリクエストの一部としてのみAIモデル（Vertex AI、EU）に送信され、分析用データウェアハウスにはコピーされません。Googleは当社の処理者として行動し、これらのデータを自社モデルの学習に使用しません。お客様は「同意を取り消して削除する」により、いつでも同意を撤回できます。データは直ちに削除されます。撤回は、撤回前に行われた処理の適法性に影響しません。 • チャットに書かれた健康や宗教に関する情報：メッセージで言及された場合、その情報は当該会話および分析のために最長12か月保管する仮名化コピーの一部として残りますが、プロフィールには保存されません。このような情報はチャットで共有せず、「旅のスタイル」をご利用ください。 • 自動化された意思決定は行いません：プロフィールは場所や旅程の提案にのみ使用され、お客様に法的効果または同様の重大な影響を及ぼす決定には使用されません。 • 保存期間：プロフィールは、アカウントが有効な間またはお客様が消去するまで保存され、アカウントを削除すると削除されます。「データをエクスポート」に含まれます。 • 法的根拠：お客様が自分で設定した項目または最初の質問で回答した項目については契約の履行（第6条(1)(b)）、会話から学習した好みについては正当な利益（第6条(1)(f)。上記のとおり異議を申し立てることができます）、要配慮データについては明示的な同意（第9条(2)(a)）。

トラベルコンパニオンでは、特定の旅についてお客様が伝えた短い事項をAIアシスタントが覚えておくことができるため、会話のたびに同じことを繰り返す必要がありません。これらは、トラベルコンパニオンのメニュー内の「アシスタントが覚えていること」、および「旅のスタイル」→「旅ごとのメモ」で確認できます。 • 内容：お客様がその旅について明示的に述べた短い事項のみです。旅程に関する決定（例：「2日目は美術館に行かない」）、実際的な条件（「夕食は20時まで」「車は使わない」）、この旅での好み（「静かなビーチがいい」）、見送った提案（「旧市街はもう提案しない」）などです。各項目は最大120文字で、1人あたり1つの旅につき最大30項目です。 • 作成方法：各回答の終了時に、軽量なAIモデルがお客様のメッセージからこれらの事項を抽出し、当社のコードが保存前にフィルタリングします。モデルは、質問や仮定の話を保存しないよう指示されています。アシスタントは通常チャットでお知らせし（「この旅のために覚えておきます…」）、「元に戻す」ボタンで取り消すことができます。また、「アシスタントが覚えていること」でいつでもすべての内容を確認できます。モデルはEU域内のGoogle Cloud Vertex AI（europe-west1リージョン）で実行されます。Googleは、GDPR第28条に基づく当社の処理者として行動し、これらのデータを自社モデルの学習に使用しません。 • 保存しないもの：お客様の健康に関する情報、食事に関する必要事項や食事制限、アクセシビリティに関する必要事項（これらはお客様の明示的な同意のもと「旅のスタイル」にのみ保存されます）、宗教的信条、他の人に関する情報、書類、身分証明書・連絡先・カードの番号、メールアドレスや住所。モデルはこれらの項目を提案しないよう指示されており、さらに当社のコードは、これらのカテゴリーに関する一般的な語句を含む項目を破棄します。万一保存されてしまった場合は、✕ですぐに削除できます。 • 閲覧できる人：お客様のみであり、お客様がその旅のメンバーである間に限られます。旅の主催者を含む他のメンバーは、お客様の項目を見ることはできません。項目は当社のサーバーのみが書き込み、アプリは読み取りのみ可能です。このバージョンでは、メモリが他のメンバーと共有されることはありません。共有項目を導入する場合は、本ポリシーを更新し、事前にアプリ内でお知らせします。 • 目的および法的根拠：旅の間、アシスタントによるサポートの継続性を確保するためです。法的根拠：正当な利益（第6条(1)(f)）。メモリはお客様がその旅について述べた事項に限られ、いつでも確認・削除できます。 • 異議の申立て方法：「旅のスタイル」で「会話から学ぶ」をオフにしてください。アシスタントは、プロフィールにも旅のメモリにも新しい内容を追加しなくなります。すでに保存された項目は「アシスタントが覚えていること」に引き続き表示されますが、学習がオフの間は使用されません。✕または「すべて消去」で削除できます。これらの操作は直ちに反映されます。privacy@wandermi.com へのご連絡も可能です。 • 保存期間：項目は旅の終了から90日後に自動的に削除されます（旅に日付がない場合は、最初の項目が保存された時点から起算します）。また、お客様が旅から退出した場合もしくは旅から外された場合、旅が完全に削除された場合（30日間の復元期間の経過後）、またはお客様がアカウントを削除した場合には、それより前に削除されます。✕または「元に戻す」で項目を削除した場合、アシスタントが再び保存しないよう、当社はその指紋（テキストではなく、元に戻せないハッシュ値）のみを保持します。指紋は、お客様が旅から退出した場合、旅が完全に削除された場合、お客様がアカウントを削除した場合、およびいかなる場合も旅の終了から90日後に削除されます。 • お客様の権利：項目は「データをエクスポート」に含まれます。上記および「お客様の権利」に記載のとおり、アクセス、削除、異議の申立てを行うことができます。項目は当社のデータベース内で旅とともにのみ保存され、分析ウェアハウスにはコピーされません。項目の元となったメッセージは、お客様の会話の一部です（「AI旅行アシスタント」をご参照ください）。 • 自動化された意思決定は行いません：メモリは、その旅に関するアシスタントの提案を調整するためにのみ使用されます。

お客様の許可を得たうえで、当社は以下の目的でお客様の位置情報を利用します。 • 混雑レポート：他のユーザーが閲覧するレポートには、おおよその座標（約1 kmの精度に丸めたもの）のみが保存されます。お客様が報告した地点の正確な座標は、クライアントアプリケーションが読み取ることのできないアクセス制限付きのコレクションに別途保存されます。これらは他のユーザーに表示されることはなく、第三者と共有されることもありません。これらはデータエクスポートに含まれ、お客様がアカウントを削除すると削除されます。 • 滞在検知：当社は、場所での滞在時間の集計値を導出します。当社は、お客様の継続的なGPS軌跡を記録せず、お客様の移動を追跡しません。 • 公的機関と共有される統計は、匿名かつ集計されたもののみです。 お客様は、設定 → 位置情報 またはデバイスの設定から、いつでも位置情報の共有を無効にできます。アプリは引き続き利用可能です。法的根拠：同意（第6条(1)(a)）。お客様はいつでもこれを撤回できます。また、集計統計の作成については正当な利益。

お客様は、旅程を共有するための公開リンクを生成できます。当該リンクを保有する者は誰でも、リンクが有効である限り、Wandermiのアカウントを持たない者やアプリ外の者を含め、共有されたコンテンツ（旅程、立ち寄り地、含まれる写真）を閲覧できます。何を誰と共有するかを慎重にご検討ください。 お客様は、共有設定からいつでもリンクを無効化できます。無効化により、当該コンテンツはリンク経由で直ちにアクセス不可となりますが、第三者が既に保存した複製には影響しません。有効なリンクはデータエクスポートに含まれ、お客様がアカウントを削除すると削除されます。法的根拠：契約の履行（お客様が要求する機能）。

• プッシュ通知：お客様の許可を得たうえで、当社は通知（メッセージ、招待、混雑アラート、ソーシャルアクティビティ）を送信します。当社は、お客様のデバイスに関連付けられた通知トークンを保存し、これを当社のプロバイダーであるExpo（米国、EU標準契約条項に基づく）に送信します。当該トークンは、お客様がログアウトすると削除されます。お客様は、設定 → 通知 から各カテゴリを管理し、またはオペレーティングシステムから通知を無効にできます。 • 通知の言語：当社は、お客様が使用する言語で通知が届くよう、アプリの言語設定を保存します。 • メール認証：お客様がメールアドレスで登録する際、当社は認証メッセージを送信します。認証は、セキュリティおよび不正利用防止の目的で、アカウントを利用するために必要です。法的根拠：正当な利益（第6条(1)(f)）。

自動化された不正利用（ボット、スクリプト、偽アカウント）からサービスを保護するため、本アプリは、Firebase App Checkを通じて、Apple（App Attest / DeviceCheck）およびGoogle（Play Integrity）が提供するデバイス認証の仕組みを使用します。これらのサービスは、リクエストが真正なデバイス上で動作する正規のアプリのコピーから送信されていることを検証し、技術的なトークンを生成します。当該トークンは、お客様のプロファイリングには使用されず、広告目的にも使用されません。法的根拠：サービスのセキュリティに関する正当な利益（第6条(1)(f)）。

当社は、Wandermiの運営を支援する信頼できるサービスプロバイダーとのみデータを共有します。すべてのパートナーは、厳格なデータ保護契約に拘束されています。当社は、お客様の個人データを販売しません。

当社は、サービスを提供するために以下の副処理者を利用しています。 • Google Firebase（Cloud Firestore、Authentication、Cloud Storage、App Check）— 米国。データ移転はEU標準契約条項（SCC）により規律されます。 • Google Cloud Platform（Cloud Functions、リージョンeurope-west1）— 欧州連合。 • Google Cloud Vertex AI（リージョンeurope-west1）— 欧州連合。AI旅行アシスタントを支える生成モデルを提供します。Googleは、Google Cloudデータ処理追加条項に基づく処理者として行為し、お客様のプロンプトまたはモデルの出力を自社モデルの学習に使用しません。処理はEU域内で行われます。 • Google Cloud BigQuery（リージョンeurope-west1）— 欧州連合。アプリを理解し改善するため、AI旅行アシスタントを評価・改善するため、および匿名の集計統計を作成するための分析データウェアハウスとして使用されます。Googleのデータ処理追加条項およびEU標準契約条項の適用対象です。データはEU域内で処理されます。 • Expo（EAS）— 米国。プッシュ通知の配信に使用されます。データ移転はEU標準契約条項（SCC）により規律されます。 • Mapbox — 米国。地図の表示および位置情報サービスに使用されます。テレメトリーデータの収集は任意であり、プライバシー設定で無効にできます。データ移転はEU標準契約条項（SCC）により規律されます。 • RevenueCat — 米国。サブスクリプション管理インフラです。Wandermiでは有料サブスクリプションは有効化されていません（「有料機能」をご参照ください）。SDKはアプリ内に存在しますが、現時点では取引データや請求データは一切処理されていません。有料機能が有効化された場合、RevenueCatは匿名のユーザー識別子およびApple/Googleの取引メタデータのみを受領し、メールアドレスその他の個人データは受領しません。データ移転はEU標準契約条項（SCC）により規律されます。 • Sentry — ドイツ（EUデータレジデンシー）。エラー監視およびクラッシュレポートに使用されます。スタックトレース、アプリのバージョン、OSのバージョン、および匿名化されたデバイス識別子を取得します。明示的に添付されない限り、メールアドレスその他の個人データは取得されません。 • Microsoft 365（Outlook — Microsoft Ireland Operations Limitedによるホスティング）— 欧州連合。組織のメールボックス（support@、privacy@、dpo@、legal@）のホスティング、およびお客様が当社に送信する受信通信の処理に使用されます。標準のMicrosoft Online Services DPAが適用されます。 • Microsoft 365（Exchange Online、Microsoft Graph経由 — Microsoft Ireland Operations Ltd）。サービスメールの送信についても当社の処理者として行動します。対象は、報告に関するモデレーションチームへの通知、モデレーションの結果、お客様のアカウントに関する確認や通知（たとえば14歳未満の方のアカウントの一時停止）です。サービスメールは送信から30日後に自動的に削除されます。

当社は、以下の期間、お客様のデータを保持します。 • アカウントデータ（氏名、メールアドレス、ユーザー名、プロフィール写真、旅行の好み）：アカウントが有効である間保持されます。お客様がアカウントを削除すると削除されます。 • メッセージ：最大12か月間保持されます。365日を超えたメッセージは自動的に削除されます。お客様が送信したメッセージは、お客様がアカウントを削除した場合にも削除されます。 • 旅行データ（旅行プラン、保存した目的地、写真）：アカウントが有効である間保持されます。旅行を削除すると、30日間の復元期間に入り、その間は復元が可能です。30日経過後、当該旅行および関連するすべてのデータは完全に削除されます。すべての旅行データは、お客様がアカウントを削除した場合にも削除されます。 • AIアシスタントの会話および旅行者プロフィール：アカウントが有効である間保持されます。お客様がアカウントを削除すると削除されます。 • 位置情報データ：お客様が送信した混雑レポートとともに保存されるおおよその座標（約1 km）、およびアクセス制限付きで別途保持される正確な座標は、お客様がアカウントを削除するまで保持されます。 • プッシュ通知トークン：お客様がログアウトすると削除されます。 • 分析ウェアハウス内の仮名化された複製：AIの会話テキストは最大12か月、AIの技術的指標は最大24か月、その他の分析イベントは最大26か月。以下の「分析ウェアハウス」をご参照ください。 • 「旅のスタイル」プロフィール：「すべて消去」でいつでも消去できます。要配慮データは、同意を撤回した時点で削除されます。 • 旅のメモリ（「アシスタントが覚えていること」）：旅の終了から90日後に自動的に削除されます。それより前に削除される場合もあります（「旅のメモリ」参照）。 • 生まれ年：アカウントが存在する間。 • 14歳未満の方のログイン識別子の指紋：90日間。 • Microsoft 365経由で送信したサービスメール：送信から30日。 • 場所の写真、報告、同意の記録：「場所の写真」をご覧ください。 • バックアップ：当社のシステムから削除されたデータは、データベースのバックアップに最長8週間残ることがあります（毎日のバックアップは7日間、毎週のバックアップは8週間保存）。その後、バックアップは自動的に削除されます。

当社は、分析データウェアハウス（Google Cloud BigQuery、EUリージョンeurope-west1）を、次の3つの目的で使用します。(a) アプリがどのように利用されているかを理解し改善するため、(b) 当社のAI旅行アシスタントを評価・改善するため、(c) 観光客の流動および過度の混雑に関する匿名の集計統計を作成するため。 • 仮名化およびデータ所在地：ウェアハウスに送信される記録には、お客様の氏名、メールアドレスまたは生のアカウント識別子は含まれません。識別子は仮名（鍵付きハッシュ）に置き換えられます。すべての処理は、GoogleのDPAおよびEU標準契約条項に基づき、EU域内で行われます。 • AIの改善：AIアシスタントとの会話は、アシスタントを評価・改善するために仮名化された形式で使用される場合があります。法的根拠：正当な利益。お客様は、privacy@wandermi.com 宛てにご連絡いただくことで異議を申し立てることができます。 • 集計統計（B2G）：公的機関または観光地域づくり法人と共有される統計は、匿名のもののみです。それらには、お客様を識別しうる情報は一切含まれず、いかなる個人も特定されないよう、最小限の集計しきい値が適用されます。当社は、お客様の個人データを決して販売しません。 • 削除 — お客様がアカウントを削除した場合に実際に起こること：当社は、当社の運用システム（データベースおよびファイルストレージ）から、お客様のデータ（プロフィール、ユーザー名、旅行、写真、メッセージ、AIの会話およびメモリ、共有リンク、ならびに混雑レポートの正確な座標）を削除します。分析ウェアハウスに既に転送された仮名化された複製は、その時点で個別に削除されるものではありません。これらは既にお客様のアカウント識別子を含んでおらず、その保持期間の終了まで保持され（AIの会話テキストは最大12か月、AIの技術的指標は最大24か月、その他の分析イベントは最大26か月）、その後削除されます。既に作成された匿名の集計データは個人データではなく、保持されます。それ以前にお客様に関する仮名化された記録の削除を希望される場合は、当社がそれらを識別できるよう、アカウントを削除する前に privacy@wandermi.com 宛てにご連絡ください。

場所の通常の混雑状況を推定するため、当社は独自の推定モデルを使用します。このモデルは、場所のカテゴリーごとの典型的な1日の傾向、対応するWikipedia記事の公開・集計された閲覧数から算出した季節的傾向と知名度（WikimediaおよびWikidata、CC0で公開されたデータ）、各国の祝日カレンダー、ならびに（利用可能な場合）本ポリシーに記載のとおりWandermiユーザーから送信された混雑レポートおよび滞在時間の集計値を組み合わせます。これらの第三者の情報源は集計された匿名のデータであり、お客様その他の特定可能な個人に関する個人情報を含みません。当社はGoogleマップの「混雑する時間帯」データを使用しません。過去に収集した同種のデータの使用は停止し、本サービスを運用するシステムから削除しました。推定値は典型的な1日（「通常」）を表すものであり、リアルタイムの状況を示すものではありません。

Wandermiには、他の旅行者と連絡を取り合い、旅行プラン、写真、投票および位置情報を共有できるアプリ内メッセージ機能が含まれます。 • 暗号化：すべてのメッセージは、転送中（TLS 1.2以上）および保存時（AES-256）に暗号化されます。エンドツーエンド暗号化は現時点では実装されていません。これにより、EUデジタルサービス法（規則（EU）2022/2065）が求めるサーバー側のモデレーションおよびコンテンツ報告が可能となります。 • 保存されるコンテンツ：メッセージのテキスト、添付メディア（写真）、投票、位置情報、リアクション、返信のコンテキスト、ならびに編集およびピン留めのメタデータ。既読通知は、会話の未読件数を提供するために保存されます。 • モデレーション：当社は、自動的なレート制限（送信者ごとに1分あたり最大40メッセージ、1時間あたり最大300メッセージ）を適用し、ユーザーからの報告を処理します。報告されたコンテンツは審査され、削除される場合があります。不正利用を行うアカウントは停止される場合があります。 • 違法コンテンツの報告：お客様は、長押しメニュー → 報告 から、いかなるメッセージも報告できます。報告は当社のモデレーターにより、通常48時間以内に審査されます。 • 編集および削除：お客様は、送信から15分以内であればメッセージを編集でき、いつでも削除できます。アカウントを削除すると、お客様が送信したメッセージは削除されます。 • プッシュ通知：メッセージのプレビューがプッシュ通知に表示される場合があります。お客様は、設定 → 通知 からプレビューを無効にできます。 • 未成年者：GDPR第8条およびイタリアの国内法の実施に従い、メッセージ機能を利用できる最低年齢は14歳です。

一般データ保護規則に基づき、お客様は、ご自身の個人データに関して以下の権利を有します。 • アクセス権およびデータポータビリティの権利（第15条および第20条）：設定内の「データをエクスポート」を使用して、AIアシスタントとの会話を含む、お客様のデータの完全なJSONファイルをダウンロードできます。 • 訂正の権利（第16条）：プロフィールを編集することにより、いつでも個人データを訂正できます。 • 消去の権利（第17条）：設定内の「アカウントを削除」を使用してください。これにより、当社の運用システムから、お客様のアカウント、コンテンツ、メッセージ、AIの会話およびメモリ、ユーザー名、共有リンク、ならびに混雑レポートの正確な座標が削除されます。分析ウェアハウス内の仮名化された複製については、上記の「分析ウェアハウス」をご参照ください。 • 異議を申し立てる権利および同意を撤回する権利（第21条）：お客様は、設定 → 位置情報 から位置情報を、設定 → 通知 から通知を、いつでも無効にできます。分析およびAIの改善のための仮名化データの処理に異議を申し立てるには、privacy@wandermi.com 宛てにご連絡ください。旅のメモリに異議を申し立てるには、「会話から学ぶ」をオフにするか、「アシスタントが覚えていること」で項目を削除してください（「旅のメモリ」参照）。 • 苦情を申し立てる権利：お客様は、イタリアの監督機関（個人データ保護監督官 — Garante per la protezione dei dati personali）または居住国の監督機関に苦情を申し立てることができます。 • 本ポリシーの変更：当社が重要な変更を行う場合、変更が効力を生じる前にアプリ内でお知らせします。変更が利用規約に関わる場合、または法律上必要な場合（例：お客様の同意に基づく新たな処理）には、再度の同意をお願いします。お客様が同意しない場合、サービスへのアクセスは停止されます。 • プロファイリングに対する異議申立権（第21条）：「旅のスタイル」で「会話から学ぶ」をオフにし、学習済みの項目を削除するか、プロフィール全体を消去できます。 これらの権利を行使するには、privacy@wandermi.com 宛てにご連絡いただくか、アプリ内の該当機能をご利用ください。

お客様の個人データの一部は、当社のサービスプロバイダーの一部が所在する米国（Firebase、Expo、Mapbox、RevenueCat）に移転され、そこで処理される場合があります。これらの移転は、欧州委員会が承認したEU標準契約条項（SCC）により保護されます。AIアシスタントおよび分析ウェアハウスによって行われる処理は、欧州連合域内（リージョンeurope-west1）で行われます。

個人データの管理者：WANDERMI S.R.L.（登記上の本店：Viale Umbria 128, 20135 Milano (MI), Italia）・付加価値税番号・納税者番号（P.IVA e C.F.）14880440962・REA MI-2813220（ミラノ・モンツァ・ブリアンツァ・ローディ企業登記所 登録番号 14880440962）・資本金 5,000.00 ユーロ（全額払込済）・認証メール（PEC）wandermi@namirialpec.it・企業登記簿の特別区分に登録された革新的スタートアップ。 当社は、GDPR第37条に基づくデータ保護責任者（DPO）の選任義務を負いません。当社は公的機関ではなく、中核的な活動において特別な種類の個人データを大規模に取り扱っておらず、また、データ主体に対する大規模かつ定期的・体系的な監視も行っていないためです。この評価は継続的に見直し、要件を満たすこととなった場合にはDPOを選任します。 個人データの取扱いに関するご質問、またはGDPRに基づく権利の行使については、privacy@wandermi.com までご連絡ください。お客様は、居住国の監督機関に苦情を申し立てる権利も有しています。

Wandermiは現在無料です。有効なサブスクリプションやアプリ内課金はなく、当社はいかなる支払いデータも処理していません。アプリ内で「近日公開」として表示されている機能（例えばプレミアムサブスクリプションや印刷フォトアルバム）は有効化されていません。 当社のサブスクリプション管理インフラ（RevenueCat）はアプリ内に存在しますが、有料機能が無効である間は、いかなる取引も処理しません。有料機能が有効化される場合、当社は事前にお客様にお知らせし、本ポリシーを更新します。いずれの場合も、支払いは、iOSではApple（App Store）、AndroidではGoogle（Play Store）によってのみ処理されます。当社が、お客様の支払いカードの詳細や請求先住所を収集または保存することは一切ありません。

Wandermiは、将来のリリースにおいて、任意の印刷フォトアルバムを提供する予定です。本機能が利用可能となった場合： • 共有：お客様の注文を履行するために厳密に必要なデータのみが、当社の印刷パートナーであるPeecho（オランダ、EU所在）と共有されます。すなわち、配送先氏名、配送先住所、お客様がアルバム用に明示的に選択した写真、および注文の詳細です。 • その他のデータの非共有：当社は、お客様のアカウントのメールアドレス、旅行プラン、その他の個人情報をPeechoと共有しません。 • 注文ごとの明示的なオプトイン：本機能は、注文を行うたびに明示的な同意を必要とします。有効な注文がない限り、データが共有されることはありません。 • 現在の状況：現行のリリースにおいて、本機能は有効化されていません。Peechoとのデータ共有は行われておらず、これまでも行われていません。当社は、本機能が稼働する前に、本ポリシーを更新し、アプリ内でユーザーに通知します。

当社は、お客様の個人情報を不正なアクセスから保護するため、転送中（TLS 1.2以上）および保存時（AES-256）の暗号化を含む、業界標準のセキュリティ対策を実施しています。本アプリは、当社のバックエンドへのリクエストとともにデバイス認証（Firebase App Check）を送信します。当社はこれを、正規のアプリ以外からの通信を識別するために使用しており、有効な認証のないリクエストの拒否を段階的に導入しています。混雑レポートの正確な座標は、クライアントアプリケーションが読み取ることのできないアクセス制限付きのコレクションに保持されます。本番システムへのアクセスは、権限を有する担当者に限定され、多要素認証によって保護されています。