本プライバシーポリシーは、Coffee or Tea on Me Inc.（以下「Coffee or Tea on Me」、「当社」または「当方」といいます。）が、お客様が当社のモバイルアプリケーション（以下「本サービス」といいます。）をご利用になる際に収集する情報、その利用方法、共有先、およびお客様のデータに関する権利について説明するものです。本サービスをご利用いただくことにより、お客様は本プライバシーポリシーに同意したものとみなされます。同意されない場合は、本サービスをご利用にならないでください。
1. 収集する情報
1.1 本人確認情報
- 法的氏名。お客様の政府発行の写真付き身分証明書から光学文字認識（OCR）により抽出します。お客様の名（ファーストネーム）はプロフィールに表示され、非表示にすることはできません — マッチした相手は、誰と話しているのかを確認できます。
- 生年月日。身分証明書から抽出します。お客様が18歳以上であることを確認し、プロフィールに表示する「年齢」を算出するために使用します。
- 身分証明書の画像 — 政府発行の身分証明書の表面および（該当する場合は）裏面。これらの画像は当社の検証パイプラインにアップロードされ、本人確認が完了した時点で削除されます。失敗した試行や途中で中断した試行も含め、いかなる場合もアップロードから7日以内に削除されます。当社が保持するのは、OCRで抽出したテキスト項目と、以下に説明する顔署名のみです。身分証明書の複製は保持しません。
- 顔署名（生体情報） — お客様の顔を数値で表したもの（「ベクトル」）であり、身分証明書の顔写真とライブの顔スキャンから AWS Rekognition が算出します。これは写真ではなく、写真に復元することもできません。当社はこれを、(a) カメラの前にいる人物が身分証明書上の人物と同一であることの確認、(b) 同一人物が複数のアカウントを保有することの防止、の2点に使用します。AWS Rekognition の顔コレクションに保存され、その識別子の一方向 SHA-256 ハッシュが当社データベースに併せて保存されます。保持されるのは、お客様のアカウントが認証済みである間です。アカウントが削除または利用停止となった場合は、氏名・メールアドレス・写真を一切伴わない匿名のボット対策署名として、一方向ハッシュのみが保持されます。これは3年のローリング方式で自動的に消去され、設定 → プライバシー → 顔データの削除を申請からいつでも早期に消去を求めることができます。
- ライブ顔スキャン（ライブネス） — AWS Rekognition Face Liveness による確認では、なりすまし（静止画、マスク、再生、ディープフェイク）を検出するため、顔の短い映像がお客様の端末から AWS へ直接送信されます。当社がその映像を受け取ることはなく、AWS も当該確認の画像を一切保存しない設定になっています。 AWS は顔の参照用静止画を1枚だけ返し、当社はその1枚を保持します。保管は非公開かつアクセス制限された領域で、お客様のアカウントが認証済みである間に限られます。用途は1つだけで、その後アップロードされる写真をこの静止画と照合し、他人の写真を認証済みプロフィールに掲載できないようにするためです。アカウントを削除したとき、および設定 → プライバシー → 顔データの削除を申請を使用したときに削除されます。後日、再確認（「左を向く／右を向く」の簡単なチェック）をお願いした場合、そのクリップは7日以内に削除されます。ただし、そのチェックが失敗した場合、または安全性審査の対象としてフラグが付いた場合は、調査に必要な期間、不正・安全記録として保持します。
1.2 プロフィール情報
- お客様がアップロードする写真（最大6枚）。各写真は、プロフィール上に表示される前に当社のレビューパイプラインを通過します：ヌード／性的暗示／暴力に対する AWS Rekognition によるモデレーション、本人確認済み身分証との顔照合、EXIF およびメタデータの整合性チェック、ならびに過去に拒否された画像の知覚ハッシュによるブロックリストです。
- お客様が記入または選択するプロフィール文、プロンプトへの回答、および興味。
- お客様が開示することを選んだライフスタイル属性：喫煙、飲酒、子の有無、子を望むか、ペット。
- 基本情報：性別（身分証と一致する男性または女性）、身長、都市。
- 関係の目標：結婚、長期、友情、未定、カジュアル。
1.3 行動データ
- 他のメンバーに宛てて書くノート、および共有される日々の一節の余白に書き込むマージン。
- 相手が返信したときに開かれる会話と、そのメッセージ、添付ファイル、リアクション。
- 最終アクティブ日時。やり取りしている相手に最近の在席状況を示し、また非アクティブなメンバーを読書画面から除外するために使用します。
- プッシュ通知トークン。ノートおよびメッセージの通知を配信するために使用します。
1.4 デバイス情報
- IPアドレス。登録時およびそれ以後定期的に、国および地域を判定するために使用します。お客様のプロフィールに紐づくIPアドレスは、当社のホスティングプロバイダーが運用ログに保持する期間（通常30日）を超えて保持されません。
- iOS DeviceCheck および App Attest トークン — Apple が発行する認証で、登録時にエミュレートまたは侵害されたデバイスを検出するために使用します。これらのトークンは、当社側で Apple ID と紐づけることはできません。当社は不透明なキーのみを受領します。
- デバイスのモデル、iOS のバージョン、アプリのバージョン、およびタイムゾーン。互換性確保およびデバッグのため、APIリクエストに付加して送信されます。
位置情報に関する注意：本アプリはお客様のデバイスの位置情報にアクセスしません。プロフィールに表示される都市は、オンボーディング時にお客様ご自身が入力するテキストであり、お客様と潜在的なマッチ相手との距離を推定するために使用されます。当社はiOSの位置情報の許可を要求せず、GPS座標を収集しません。
1.5 アナリティクス
- 当社は、アプリにサードパーティのプロダクトアナリティクスSDKまたはクラッシュ報告SDKを一切組み込んでいません。本アプリはサードパーティの計測情報を一切送信しません。アプリ間またはウェブサイト間のトラッキングを行わないため、iOSのApp Tracking Transparencyのプロンプトは不要であり、当社は表示しません。
- 当社は、Facebook SDK、Google Analytics、AppsFlyer、PostHog、Sentry、その他のサードパーティ広告ネットワークを使用しません。本アプリ内で広告を表示することはありません。
- 当社は、自社バックエンド上でファーストパーティの利用アナリティクスを収集します。具体的には、アプリの起動／終了、セッション時間、お客様が閲覧した画面およびその閲覧時間、ナビゲーションパターン、オンボーディング／本人確認ファネルの完了状況です。これらのイベントは、アプリの改善および不正利用の検出に使用されます。生イベントは最長180日間保持された後に削除されます。匿名化された集計データ（ユーザー識別子を含みません）は、トレンド分析のために無期限で保持されることがあります。当社は、これらのイベントを広告主、データブローカー、またはマーケティング・ネットワークと共有しません。
- 当社のバックエンドはデバッグおよび不正利用防止のために運用上のリクエストログも保持しますが（第4条参照）、これらはファーストパーティかつ短期保持です。
2. お客様の情報の利用方法
当社は、上記の情報を以下の目的で利用します：
- 本サービスの提供 — お客様のフィルターに合致する潜在的マッチを表示し、メッセージを配信し、プッシュ通知を送信し、プロフィールを表示します。
- 本人確認 — お客様が実在し、生存しており、18歳以上の人間であること、ならびにスキャンした身分証が確認した顔と一致することを確認します。
- 不正利用の防止 — 重複アカウント、不正な身分証、詐欺、ハラスメントのパターンを検出します。
- 本サービスの運用およびデバッグ — 短期保持のファーストパーティ・サーバーログを用いて、エラーおよび障害を診断します。
- 当社の規約の執行 — 報告の調査、モデレーション措置の適用、法的要請への対応を行います。
- お客様への連絡 — 確認状況、マッチ通知、セキュリティ警告、サービスの随時更新のため。明示的なオプトインのないマーケティングメールは送信しません。
当社は、お客様の個人情報を販売しません。お客様の個人情報を貸与しません。お客様の個人情報を広告主、データブローカー、またはマーケティングネットワークと共有しません。
3. 情報の共有先
当社は、本サービスの運用に厳密に必要な範囲で、少数のサービス提供者と情報を共有します：
- Supabase Inc. — Postgres データベースのホスティング、認証、ファイルストレージ、リアルタイムチャネル。当社の Supabase プロジェクトはカナダリージョン（AWS ca-central-1、モントリオール）でホストされており、身分証明書の画像、ライブネスの参照用静止画、顔署名のハッシュはそこに保存されます。
- Amazon Web Services, Inc.（AWS） — 顔のライブネス判定・顔比較・顔インデックス作成のための Rekognition、身分証明書の OCR のための Textract、処理パイプラインのための S3 および Lambda、モデレーション分類のための Bedrock（ユーザー向けコンテンツの生成には使用しません）。Rekognition と Textract は、お客様の顔および身分証明書のデータを AWS us-east-1 リージョン（米国）で処理し、Rekognition の顔コレクションも同リージョンに存在します。すべての AWS リソースは Coffee or Tea on Me アカウントの名前空間に分離され、権限を絞った IAM ロール経由でのみアクセスできます。
- Resend, Inc. — トランザクションメールの配信（確認メール、セキュリティ警告、サポート返信）。Resend はお客様のメールアドレスをマーケティングに使用する許可を有していません。
- Apple Inc. — App Store ホスティング、アプリ内課金（StoreKit 2）、プッシュ通知（APNS）、DeviceCheck および App Attest。Apple によるこれらのデータの取扱いは、Apple のプライバシーポリシーに従います。
当社は、サードパーティのアナリティクスまたはクラッシュ報告プロバイダーを使用していません。そのようなSDKは本アプリに組み込まれていません。
また、法令により要求される場合、有効な法的手続（召喚状、裁判所命令、捜索令状）への対応、利用者または公衆の権利または安全を保護するため、または企業取引（合併、買収、資産売却）に関連して情報を共有することがあります — 後者の場合、お客様の情報は、本プライバシーポリシーと少なくとも同等以上の保護を提供するプライバシーポリシーによって引き続き取り扱われます。
当社は、広告またはマーケティング目的で、個人情報を広告ネットワーク、データブローカー、またはその他の第三者に移転しません。
4. 保存期間
- 身分証明書の画像：本人確認が完了した時点で削除され、失敗・中断した試行も含め、いかなる場合もアップロードから7日以内に削除されます（夜間ジョブが一掃します）。
- ライブネス参照用静止画（ライブ顔スキャンから AWS が返す唯一の静止画）：アカウントが認証済みである間保持し、アカウント削除時または顔データ削除の申請時に削除します。ライブネスの映像そのものは、当社も AWS も一切保存しません。
- 再確認の映像クリップ（「左を向く／右を向く」のチェック）：チェックに合格しアカウントが良好な状態であれば7日以内に削除します。失敗したチェックやフラグの付いたアカウントのクリップは、不正・安全記録として保持します。
- OCR結果（氏名、生年月日、書類項目）：お客様のアカウントが存在する間保持します。
- 顔署名：アカウントが認証済みである間保持します。アカウントを削除した場合、または設定 → プライバシー → 顔データの削除を申請を使用した場合、ベクトルは当社の検証インデックスから直ちに削除されます。利用停止となった利用者や削除済みアカウントによる即時の再登録を防ぐため、削除後も匿名のボット対策署名（氏名・メールアドレス・写真を伴わない一方向ハッシュ）を保持することがあります。これは3年のローリング方式で自動的に消去され、設定 → プライバシーからいつでも消去を請求できます。消去は形式的なものではありません。署名が消えた後は恒久的に締め出されることはなく、将来あらためて本人確認を受けることができます。
- プロフィール情報、写真、ノート、マージン、会話：お客様のアカウントが存在する間保持します。アカウント削除時、当該データは法的、安全、または不正防止上の理由で保持が必要な場合（第7条参照）を除き、30日以内に当社のデータベースから完全に削除されます。
- 運用ログ（IPアドレス、リクエストタイミング、エラートレース）：ホスティングプロバイダーが最大30日間保持した後、ローテーションされます。サードパーティのアナリティクスイベントストアは別途保持していません。
- 不適切コンテンツまたは悪質ユーザーの報告：再犯者を識別し、24時間のレビューSLAを履行するために、無期限で保持します。
5. お客様の権利
適用法令に従い、お客様は以下の権利を有します：
- 当社が保有するお客様に関する情報へのアクセス。お客様のアカウントに紐づくアドレスから support@coffeeorteaonme.com までメールしてください。
- 不正確な情報の訂正。プロフィール項目のほとんどはアプリ内で直接編集できます。法的氏名の訂正（更新された身分証による再確認が必要）については、サポートまでメールしてください。
- アカウントの削除は、プロフィール → 設定 → アカウントを削除から3タップで行えます。サーバー側の削除は30日以内に完了し、顔ベクトルおよび保管されているライブネス参照用静止画も併せて削除されます。アカウントを削除せずに顔データだけを消去したい場合（たとえば生体情報の保持への同意を撤回する場合）は、設定 → プライバシー → 顔データの削除を申請をご利用ください。即時に実行され、あらためて本人確認を行うまで「認証済みの人間」のステータスは取り消されます。
- データのポータビリティ — プロフィール、写真、会話履歴を機械可読形式（構造化データはJSON、写真は元のメディア）でエクスポートするよう請求できます。
- 一定の処理への異議申立て、一定の処理の制限、および生体情報処理への同意の撤回をいつでも行うことができます。生体情報処理への同意の撤回は、生体認証が本サービス利用の条件であるため、アカウント削除と同等となります。
- 監督機関への苦情の申立て — 例えば、日本の個人情報保護委員会、カナダのプライバシーコミッショナー事務所、ケベック州の情報アクセス委員会（Commission d'accès à l'information du Québec）、または欧州経済領域における各国のデータ保護機関。
当社は有効な請求に対して30日以内に対応し、適用法令で要求される場合はより短い期間で対応します。
6. 児童
Coffee or Tea on Me は、18歳以上の成人を対象としています。当社は、18歳未満の方から故意に情報を収集することはありません。18歳未満の方の情報を収集したことを知った場合、直ちに削除します。お子様が本サービスを利用していると思われる場合は、support@coffeeorteaonme.com までご連絡ください。
7. 法的および安全上の理由による保持
第4条の削除期限にかかわらず、以下の目的に必要な場合、当社は限定された範囲でデータを保持することがあります：
- 利用停止となった利用者の再登録を防ぐため — 具体的には、除名された利用者の匿名化された顔署名は、請求に基づき消去されるか、3年のローリング保持スケジュールにより消去されるまで、当社の重複排除インデックスに残ります。
- 詐欺、不正利用、ハラスメント、または違法行為の調査、防止、または対応。
- 当社の EULA の執行ならびに利用者および公衆の権利および安全の保護。
- バンされたユーザーの再登録の防止 — 具体的には、終了済みユーザーの顔ベクトルは、削除請求が成功するまで、当社の重複検出インデックスに保持されます。
8. 国際的なデータ移転
Coffee or Tea on Me はカナダから運営しており、米国およびカナダ国内のクラウドインフラを使用しています。本サービスをご利用いただくことにより、お客様の情報がこれらの法域に移転され、処理されることをご理解いただきます。当社は標準契約条項、ベンダー側のコンプライアンス認証（SOC 2、ISO 27001）、および適用される越境移転の保護措置に依拠しています。
9. セキュリティ
当社は業界標準の保護措置でお客様の情報を保護しています：通信時のTLS 1.2+、身分証画像および顔ベクトルの保管時のAES-256、スコープを限定したIAMロール、データベースにおける行レベルセキュリティ、ならびに当社の小規模チームに対する最小特権アクセスです。完全に安全なシステムは存在しません。お客様のデータに影響するセキュリティ事象を当社が認識した場合、適用法令に従い、お客様および関係当局に速やかに通知します。
10. 本ポリシーの変更
当社は、本プライバシーポリシーを随時更新することがあります。重要な変更は、効力発生の少なくとも14日前にアプリ内およびメールで通知します。最新版は常に設定 → 法的事項 → プライバシーポリシーでご確認いただけます。
11. お問い合わせ
プライバシーに関するご質問、データ請求、苦情：support@coffeeorteaonme.com
Coffee or Tea on Me Inc. カナダ、ケベック州モントリオール