プライバシーポリシー

責任者

ここで説明する処理の管理者（GDPR 上の管理者）は、Andrey Fedyukov（Mecumstraße 52, 40225 Düsseldorf, ドイツ）です。

データに関するご質問は [email protected] までお送りください。お住まいの EU 加盟国のデータ保護監督機関に苦情を申し立てることもできます。

保存するデータ

アカウントを作成した場合のアカウントデータ：メールアドレス、使用したサインイン方法の識別子（Apple または Google でサインインした場合）、セッションの技術的なタイムスタンプ。

帳簿そのもの：取引、口座、カテゴリ、定期取引、予定の支払い、予算、通貨の設定、書き込んだメモ。帳簿を共有している場合は、そのグループのメンバーと招待コード。

Topf Plus を購入した場合：購入が行われたことと有効期限、購入サービスがインストールに割り当てる匿名の識別子、アカウントがある場合はその両者の結び付き。カード、Apple アカウント、Google アカウントは含みません。これらはストアが保管し、いずれも私たちには開示されません。

アカウントで音声入力を使う場合：暦月ごとに、そのアカウントに計上された成功した音声入力の回数。適用される上限を守るためのもので、無料版では月ごとの上限、Plus では不正利用を防ぐための上限が設けられています。保存するのは暦月、回数、最後に変更された日時です。話した文やそこから作られた下書きは保存しません。共有している帳簿では、自分の Plus を持たないメンバーの音声入力は、グループの所有者のアカウントに計上されます。

アカウントでレシートのスキャンを使う場合：暦月ごとに、そのアカウントのために読み取ったレシートの枚数。適用される上限を守るためのものです。音声入力と同じく、保存するのは暦月、枚数、最後に変更された日時です。レシートの写真やそこから作られた下書きは保存しません。共有している帳簿では、自分の Plus を持たないメンバーのスキャンは、グループの所有者のアカウントに計上されます。

アカウントとともに保存するのは以上ですべてです。アプリには広告識別子、デバイスのフィンガープリント、サードパーティによるトラッキングはありません。下に記載する利用統計は、アカウントとは結び付いていません。

アカウントなしで使う場合

Topf はアカウントなしで使えます。その場合、帳簿はデバイスに保存され、アップロードされません。音声入力とレシートのスキャンはインターネット接続が必要で、使うときにデータを送信します。Plus の購入は App Store または Google Play と購入サービスを通じて行われます。アプリは匿名の利用統計も送信しますが、オフにできます。詳しくは以下で説明します。

処理の目的と法的根拠

利用を選んだ製品を提供するため：帳簿を保存し、デバイス間で同期し、新しいデバイスで復元します。法的根拠：契約の履行（GDPR 第6条第1項(b)）。

サインインのため：サインインコードをメールアドレスに送信します。法的根拠：契約の履行（GDPR 第6条第1項(b)）。

Plus の有無を確認するため：購入サービスで購入を確認し、その現在の状態を私たちのサーバーに保持します。法的根拠：契約の履行（GDPR 第6条第1項(b)）。

音声入力とレシートのスキャンの月間上限を適用するため：無料版に含まれる回数には月ごとの上限があるため、暦月ごとにそれぞれの回数を数えます。法的根拠：契約の履行（GDPR 第6条第1項(b)）。

アプリの使われ方を理解し、改善するため：利用統計。法的根拠：正当な利益（GDPR 第6条第1項(f)）。

サービスを動かし続け、音声入力とレシートのスキャンの不正利用を防ぐため。法的根拠：正当な利益（GDPR 第6条第1項(f)）。

データの保存場所

帳簿の完全なコピーはデバイス上のローカルデータベースにあり、ネットワークなしで動作します。

アカウントがある場合、同じデータはドイツ・フランクフルトで Supabase がホストする PostgreSQL データベース（AWS eu-central-1）にも保存され、同期サービス PowerSync を通じて各デバイスに届きます。アクセスは行レベルセキュリティ（row-level security）によって利用者ごとに制限され、アカウントが読めるのは自分の帳簿と、参加している共有帳簿だけです。

音声入力

音声入力では、話した言葉は通常デバイスの音声認識サービスによってテキストになります。iPhone では Apple のサービス、Android ではシステムで選ばれているサービス（多くの場合 Google のもの）です。このサービスは、デバイス上で動くことも、提供元のサーバー上で提供元の規約に従って動くこともあります。私たちのサーバーに送られるのは認識されたテキストだけです。あわせて、その意味を理解するために必要な情報が送られます。インターフェースの言語、今日の日付、タイムゾーン、メイン通貨、使用中の口座とカテゴリの名前です。

このテキストは OpenAI に渡され、取引の下書きに変換されます。下書きはデバイスに戻って表示され、確認するまで帳簿には何も書き込まれません。

デバイスの音声認識が使えない場合は、録音そのものが送られ、同じ事業者が文字に起こします。どちらの場合も、音声とテキストは私たちの関数のメモリ上を通過するだけで、私たちが保存することはありません。データベースにも、ファイルにも、ログにも残りません。アカウントを使っている場合、成功した入力は、上で説明した月間の回数を1増やすだけです。

OpenAI は、私たちの委託を受けた処理者としてこのデータを処理します。API は、送信したデータをモデルの学習に使わない設定で利用しています。事業者は不正利用の監視のため、リクエストとその応答を最長30日間保持することがあります。法令で求められる場合や、自社のサービスまたは第三者を損害から守るために合理的に必要な場合は、さらに長く保持することもあります。処理者に見られたくない内容は、音声で入力しないでください。

レシートのスキャン

レシートをスキャンするには、アプリでレシートを撮影するか、写真から1枚を選びます。アプリが受け取るのは選んだ写真だけです。写真はデバイスを離れる前に縮小され、撮影場所や日時などのメタデータを除いて保存し直されます。アプリで許可するまで何も送信されません。この許可は、設定 → プライバシーからいつでも取り消せます。

写真は、読み取りに必要なコンテキストと一緒に私たちのサーバーに送られます。インターフェースの言語、今日の日付、タイムゾーン、メイン通貨、支出カテゴリの名前です。そこから OpenAI に渡され、OpenAI がレシートを読み取って取引の下書きに変換します。下書きはデバイスに戻って表示され、確定するまで帳簿には何も書き込まれません。

レシートに印字されている内容はすべて写真と一緒に送られます。氏名、住所、メールアドレスが印字されていれば、それらも OpenAI に渡ります。写真は私たちの関数をメモリ上で通過するだけで、データベースにもファイルにもログにも保存しません。アカウントを使っている場合、読み取れたレシート1枚につき、その月のスキャン数が1つ増えます。何も読み取れなかった写真は数えません。

OpenAI は、私たちの委託を受けた処理者としてこのデータを処理します。設定と不正利用の監視のための保持は、音声入力と同じです。処理者に見られたくないものはスキャンしないでください。

メール

サインインコードは Amazon Simple Email Service（AWS、ドイツ・フランクフルト）を通じて送信されます。このサービスは、メッセージを届けるためにメールアドレスを受け取ります。広告メールは送らず、メーリングリストもありません。

為替レート

毎日の為替レートは、公開サービス api.frankfurter.dev から取得します。リクエストはデバイスではなく私たちのサーバーが1日1回、全員分まとめて行います。そのため、複数の通貨を使っても、このサービスに利用者のことが伝わることはありません。

購入

Topf Plus は、アカウントの有無にかかわらず、iPhone では Apple の App Store で、Android では Google Play で購入します。支払いそのもの、カード、Apple アカウントまたは Google アカウントはストアの側にあり、私たちが目にすることはありません。Apple と Google は、それぞれのプライバシーポリシーに従い、独立した管理者として購入を処理します。RevenueCat（RevenueCat, Inc.、米国）は、ストアの購入証明（App Store のレシートまたは Google Play の購入トークン）、インストールの匿名識別子、アカウントがある場合はその識別子を受け取り、Plus が有効かどうかといつまで有効かをアプリと私たちのサーバーに伝えます。RevenueCat は、私たちの委託を受けた処理者としてこのデータを処理します。米国への移転は、EU の標準契約条項に基づいています。

利用統計

どこでつまずく人が多いのか、何を改善すべきかを理解するため、アプリは利用統計を PostHog（PostHog Inc.、米国。データは EU のフランクフルトに保存されます）に送信します。送信するのはアプリの使われ方、つまりどの画面が開かれ、どんな操作が行われたかです。各イベントには、アプリのバージョン、OS とそのバージョン、言語、タイムゾーン、インストールのランダムな識別子が含まれます。

金額、メモ、口座とカテゴリの名前、話した内容、メールアドレス、アカウントの識別子は決して送信しません。IP アドレスは破棄され、位置の特定には使われません。統計はアカウントと結び付いておらず、アプリを再インストールするとインストールの識別子は新しくなります。送信はアプリでオフにできます：設定 → プライバシー → 利用統計。

法的根拠は、アプリを改善するという私たちの正当な利益です（GDPR 第6条第1項(f)）。PostHog は、私たちの委託を受けた処理者としてこのデータを処理します。米国への移転は、EU の標準契約条項に基づいています。イベントは1年間分析に利用できます。それより古いイベントはレポートに表示されなくなりますが、PostHog がアーカイブに保管する場合があります。統計は個人と結び付いていないため、特定のインストールのイベントだけを探し出したり削除したりすることはできません。

本サイト

本サイトは Cloudflare Pages でホストされています。フォーム、Cookie、アクセス解析、埋め込まれた第三者のコンテンツはありません。トップページだけが、ブラウザで設定された言語を読み取ってそのひとつで表示しますが、その情報は保存されません。Cloudflare は、ページを届けサービスを守るために、あらゆるウェブサーバーが受け取る技術的なデータ（IP アドレス、要求されたアドレス、user agent）を処理します。

データを見る第三者

上に挙げた処理者だけです。それぞれが担うのは、ひとつの役割だけです。

• Supabase：データベースとサインインサービスのホスティング
• PowerSync：データベースとデバイス間の同期
• OpenAI：話した言葉やレシートの写真を下書きに変換
• Amazon Web Services：メールの配信と、データベースが動くインフラ
• RevenueCat：アプリ内課金の処理と、Plus の利用権の状態
• PostHog：アプリの利用統計
• Cloudflare：本サイトとドメインのホスティング

私たちは、ユーザーデータを提供する第三者が、本ポリシーに記載し、本アプリに適用されるデータ保護要件が求めるものと同一または同等の水準でデータを保護するようにしています。

データを売ったり、貸したり、広告主と共有したり、誰かのモデルの学習に使ったりすることはありません。

保存期間

アカウントが存在する間です。アカウントを削除すると、サーバー上の帳簿が削除されます。すでに自分のデバイスに同期されたコピーは、サインアウトするかアプリを削除すると消えます。

アプリで削除した取引は、すぐに帳簿とすべての合計から消え、削除の直後であれば取り消せます。サーバー上では、アカウントを削除するまで、削除済みの印を付けた状態で保存されます。

権利

GDPR に基づき、アクセス、訂正、消去、処理の制限、データポータビリティの権利、および正当な利益に基づく処理に異議を唱える権利があります。

削除はアプリに組み込まれています。「設定」→「アカウント」→「アカウントを削除」でサーバー上のデータが削除され、Apple でサインインしている場合はその許可も同時に取り消されます。そのほかのことは [email protected] までお送りください。

子ども

Topf は子ども向けではなく、16歳未満の方の利用を想定していません。

変更

本ポリシーを変更したときは、冒頭の日付も更新します。データの扱いに重大な影響を与える変更は、発効する前にアプリでお知らせします。