施行前の草案です。 旅行行こはまだ公開されておらず、アカウント機能も提供していません。本ポリシーは、公開の準備にあたりお読みいただけるURLを先に用意するために掲載したものであり、法律の専門家によるレビューはまだ受けていません。
内容は旅行行こアプリの実際のコードの動作に基づいて作成したものであり、法的助言ではありません。
まだ決まっていない値は、勝手に埋めることはせず、本文に未確定の表示を残しています。残っている項目は§16にまとめています。
サービスを実際に開始する時点で下記の施行日を記載し、その日から本ポリシーを適用します。
〔未確定: 事業者名（商号）〕（以下「当社」）は、旅行情報アプリ 旅行行こ（以下「本サービス」）を運営し、韓国の「個人情報の保護に関する法律」（以下「個人情報保護法」）をはじめとする関係法令を遵守します。当社は利用者の個人情報を大切に扱い、サービスの設計の段階から個人情報を取得しない仕組みを優先することを原則としています。
本ポリシーを読み解くうえで必要な、本サービスの構造上の特徴は次のとおりです。
当社は、次の項目をサーバーへ取得しません。取得の遮断は運用方針ではなくコードで行っています。
サーバーは、AI機能へ届いたリクエストの本文を再帰的にすべて検査し、上記の項目名がどの位置にあっても見つかった時点でリクエストを拒否します（HTTP 400）。このとき記録されるエラーログには、遮断した項目の名称だけが残り、その値はいかなる場合も記録されません。
ℹ️ この遮断はAI機能の経路に適用されます。 これとは別に、経路検索と天気の照会の機能では、利用者が選ばれた場所の座標をリクエストの値としてサーバーへ送ります。この座標は端末が測定した現在地ではなく（§9）、サーバーはこれを格子単位に丸めたキャッシュのキーとしてのみ使い、利用者の識別子と結び付けて保管することはありません。この座標が外部の事業者へ渡る範囲は§5に記しています。
| 項目 | 説明 |
|---|---|
端末識別子（X-Install-Token） | アプリを初めて起動したときに端末側で1回だけ生成される匿名の文字列（ULID）です。氏名・メールアドレスなど実際の身元とは結び付かず、当社が別途署名を付けたり身元を結合したりすることもありません。端末内部のデータベースに保存され、アプリを削除して入れ直すと新しい値に初期化されます。 |
決済識別子（payment_id） | 定期購入の決済処理のために、端末識別子とは無関係に別途生成される乱数です。2つの値は互いに導き出すことができません。 |
ℹ️ 端末識別子は実際の身元の情報を含みませんが、同じ端末からのリクエストを互いにたどれる値であるため、当社はこれを「完全に個人と結び付かない情報」ではなく端末ごとの匿名識別子として扱い、本ポリシーに記載しています。
アカウント機能を提供する場合（§11）、次の値が当社のサーバーに保存されます。
| 項目 | 説明 |
|---|---|
アカウント識別子（account_id） | 初回ログインの際に当社のサーバーが生成する26文字の文字列（ULID）です。前半が生成時刻、後半が乱数です。氏名・メールアドレスなど実際の身元とは結合されません。 |
ログイン提供元の利用者識別子（provider_sub） | ログイン提供元（Apple・Google・カカオ・NAVER・LINE）が、そのサービスの中で利用者を区別するために発行した値です。当社はこの値をそのまま保存し、同じ方法で再びログインされた際に同じアカウントへ結び付けるためだけに使用します。 |
| 氏名・メールアドレス・プロフィール画像・電話番号 | 受け取りません。 ログイン提供元から当社に渡されるのは上記の利用者識別子ひとつだけであり、当社サーバーの処理の仕組みには、これらの項目を収める場所自体がありません。 |
| Apple連携解除用トークン | Appleでログインされた場合にのみ1件あわせて保管します。アカウントを削除する際にAppleへ連携解除を依頼するための値であり（§11.7）、ほかのログイン提供元についてはこのような値を保管しません。 |
ℹ️ 端末とアカウントでは動きが異なります。 アプリを削除すると§2.2の端末側の値は消えますが、アカウントは消えません。 アプリを入れ直し、以前と同じ方法でログインすると、以前のアカウントに戻ります。アカウント自体をなくすには、§11.6のアカウントの削除をご利用ください。
AIの回答を生成するために Anthropic（米国） へ送信される項目は、機能ごとに次のとおり限定されています。下記に挙げていない値は、§2.1の遮断の仕組みにより送信されません。
| 機能 | 送信する項目 |
|---|---|
| 旅行コンシェルジュ（質問への回答） | ① スポットの事実情報のブロック: スポット識別子、営業時間、料金、定休日、タグ、情報の確認時刻、出典の参照値 ② アプリ側で事前に整えた（スクラブ済みの）質問テキスト（最大2,000文字） ③ 都市の識別子、画面の言語、リクエスト件数 |
| 集まる場所のおすすめ | ① 候補スポットの識別子・名称・分類（住所・電話番号・リンクは意図的に除外） ② あらかじめ定義した選択肢（enum）の形式による条件値 ③ 任意で、スクラブ済みの質問テキスト |
| コースの説明（ナレーション） | 意図のバージョン、スポット識別子の一覧（順序）、おすすめの理由コード、画面の言語、都市の識別子 — 自由入力のテキストを収めるフィールド自体がありません。 |
定期購入の決済はアプリストアと決済仲介サービス（RevenueCat）を通じて行われ、当社のサーバーが保管する値は次のものだけです。
氏名・メールアドレス・カード番号などの決済手段の情報を、当社は取得も保管もしません。 決済仲介サービスへ渡すのは§2.2の payment_id だけであり、payment_id と内部の処理を結び付ける対応情報は当社サーバーの内部にのみ存在します（保管期間400日、§4）。アカウント機能を提供する場合、これらの値は端末識別子ではなくアカウント識別子を基準に保管されます。
→ §8で改めて説明します。現在、この機能は既定で無効です。
当社は取得した情報を次の目的にのみ利用し、目的を変更する場合は事前に告知し、必要な同意を得ます。
| 項目 | 利用目的 |
|---|---|
| 端末識別子 | ログインしていない状態での端末ごとの利用上限の管理、濫用・自動化されたリクエストの防止、パーソナライズ機能（有効時）の保存キー |
| AIへ送信する項目（§2.4） | 利用者の質問に対する旅行情報の回答、集まる場所の候補のおすすめ、コースの説明文の生成 |
| 定期購入の状態値 | 有料機能の利用権限の確認、期限切れ・更新の処理 |
| 決済識別子の対応情報 | 決済仲介サービスの決済イベントとサービス内の権限との結び付け |
| 好みのタグ（有効時） | おすすめ結果のパーソナライズ |
| 利用量カウンター・ログ | サービスの安定性の確保、障害対応、誤用・濫用の遮断 |
| 位置情報 | 地図画面での端末内の「現在地」表示のみ（§9） |
| アカウント識別子 | ログイン状態の維持、利用上限・有料権限を端末単位ではなくアカウント単位で管理すること |
| ログイン提供元の利用者識別子 | 同じログイン方法で再びログインされた際に以前と同じアカウントへ結び付けること、1つのログイン方法が2つのアカウントに重複して連携されるのを防ぐこと |
| ログインセッショントークン | ログイン状態の維持、「すべての端末からログアウト」の実行時に既存のセッションを一括で無効化すること |
| Apple連携解除用トークン | アカウントの削除時にAppleへ連携解除を依頼すること（§11.7） |
| アカウントと決済の帰属情報 | 1つの決済が複数のアカウントに重複して帰属しないよう管理すること、アカウントの統合時に有料権限を移すこと |
| アカウントの状態の記録（削除・統合の印） | 削除したアカウントが登録し直しによって復活しないよう遮断すること、不正利用の防止 |
当社は項目ごとに保有期間を定めています。一部の項目は、保存先が備える自動失効の機能によって、期間が過ぎると自動で削除されますが、一部の項目には現在、自動失効が設定されていません。 これを下表にありのまま記載します。
| 項目 | 保存場所 | 保有期間 | 廃棄の方法 |
|---|---|---|---|
| 端末識別子 | 利用者の端末内部のストレージ | アプリの削除まで | アプリの削除・再インストールで消滅（新しい値を生成） |
| 好みのタグ（パーソナライズ有効時） | Cloudflare Workers KV | 180日 | 期間の経過により自動で消滅。または利用者のご請求により直ちに削除（§8） |
| 決済識別子の対応情報 | Cloudflare KV | 400日 | 期間の経過により自動で消滅 |
| 決済Webhookの重複処理防止キー | Cloudflare KV | 30日 | 期間の経過により自動で消滅 |
| 定期購入の状態値 | Cloudflare KV | 自動失効の期限が設定されていないため、個別に削除するまで保管されます。 | アカウントの削除時に直ちに削除。それ以外に現在、自動の廃棄手続きはありません — 〔未確定: 定期購入の状態値の保有期間の方針確定および廃棄手続きの実装〕 |
| 利用量カウンター | Cloudflare KV | 自動失効の期限が設定されていないため、個別に削除するまで保管されます。 | アカウント削除時に、直近の期間の分だけを削除します（下記の注②） — 〔未確定: 利用量カウンターの保有期間・リセット周期の確定〕 |
| 運用・エラーログ | インフラ事業者のログ | 〔未確定: ログの保存期間を確認のうえ記載〕 | 〔未確定: ログの廃棄方法〕 |
| アカウントの記録（アカウント識別子・状態・作成時刻） | Cloudflare D1 | アカウントの削除後も最小限の記録が残ります（下記の注①） | 削除時に状態を「削除済み」へ切り替え。完全な廃棄の手続きは 〔未確定: アカウント記録の完全な廃棄（purge）の方針・実装の確定〕 |
| ログイン方法の連携記録（利用者識別子を含む） | Cloudflare D1 | アカウントの削除後も使用不可の印とともに残ります（注①） | 削除時に直ちに使用不可の状態へ。完全な廃棄は上記と同じ |
| アカウントと決済の帰属記録 | Cloudflare D1 | アカウントの削除時に帰属を解除 | 帰属解除の印 |
| アカウントと端末の連携履歴 | Cloudflare D1 | 〔未確定: アカウントと端末の連携履歴の保有期間の確定〕 | 〔未確定: アカウントと端末の連携履歴の廃棄方法〕 |
| Apple連携解除用トークン | Cloudflare D1 | 連携解除の依頼が成功した時点まで | 解除の成功時に直ちに値を空にします。依頼を送れなかった場合は再試行の対象として残ります（§11.7） |
| ログインセッショントークン | 利用者の端末内部のストレージ | 30日（最後に確認した時点から） | 期間の経過によりアプリが自動で破棄。ログアウト・「すべての端末からログアウト」・アカウントの削除の際に直ちに削除（§13-8） |
当社は、利用者の個人情報を販売せず、広告・マーケティングの目的で第三者へ提供することもありません。 サービスの提供に必要な範囲で、次のとおり外部サービスを利用します。
下の表には二種類が混ざっています。当社のサーバーが代わりに呼び出すものと、アプリが当社のサーバーを経由せずに直接つなぐものです。後者には「アプリが直接接続」と書き添えて区別しています。
| 利用先 | 利用の目的 | やり取りする項目 |
|---|---|---|
| Anthropic（Claude API） | AIの回答の生成 | §2.4の機能ごとの項目 |
| Cloudflare | サーバーの実行環境およびデータの保存先などのインフラ | §2.2・§2.3・§2.5・§2.6のサーバー保存項目 |
| RevenueCat | 定期購入の決済状態の仲介 | 決済識別子（payment_id）および定期購入のイベント |
| Google AdMob | アプリ内の広告の配信（§10） | 広告SDKが取り扱う項目 — 〔未確定: AdMobが実際に取り扱う識別子の範囲をGoogleの文書に基づいて確定し記載〕 |
| NAVER地域検索 | 集まる場所の候補の照会 | 地域を表すラベルの文字列と、あらかじめ定義した施設の種類を示すヒントだけを送信し、利用者の位置座標は送信しません。 |
| Apple（Sign in with Apple） | ログイン時の本人性の確認、アカウント削除時の連携解除 | 受け取るもの: 利用者識別子。送るもの: ログイン時にアプリが受け取った認証値の有効性の確認の依頼、アカウント削除時の連携解除の依頼（保管中の解除用トークンを含む） |
| Google（Googleアカウントでのログイン） | ログイン時の本人性の確認 | 受け取るもの: 利用者識別子。送るもの: 署名の検証に必要な公開鍵の照会の依頼のみで、利用者を名指しする値は送りません |
| カカオ | ログイン時の本人性の確認、アカウント削除時の連携解除 | 受け取るもの: 利用者識別子。送るもの: 署名を検証するために必要な公開鍵の照会と、アカウント削除時に利用者識別子を含めて送る連携解除の依頼 |
| NAVER | ログイン時の本人性の確認 | 受け取るもの: 利用者識別子。送るもの: アプリが受け取ったアクセストークンを載せた本人情報の照会の依頼が1件 |
| LINE | ログイン時の本人性の確認 | 受け取るもの: 利用者識別子。送るもの: 署名の検証に必要な公開鍵の照会の依頼のみで、利用者を名指しする値は送りません |
| SKテレコム（TMAP 公共交通） | 韓国国内の公共交通の経路・所要時間の照会 | 利用者が選ばれた出発地・目的地の座標と出発時刻。利用者識別子や質問のテキストは送りません |
| 韓国気象庁（APIハブ） | 韓国国内における現在の天気の照会 | 照会する地点の座標を格子番号に変換した値と基準の日時。座標そのものは送りません |
| 気象庁（日本） | 日本の地域の予報の照会 | 地域コードひとつだけです。座標も、利用者を名指しする値も送りません |
| NAVITIME（日本の公共交通） — 現在は利用していません | 日本国内で公共交通の経路と所要時間を照会するため | この機能が有効になれば、出発地・目的地の座標と出発時刻。〔未確定: NAVITIMEの正式な事業者名・所在国、および仲介事業者（RapidAPI）の関与の範囲を確認〕 |
| ソウル特別市（オープンデータ広場） | 市営駐車場のリアルタイムの状況の照会 | 利用者に関する値は一切送りません。 駐車場の一覧をまとめて受け取り、サーバーが一時的に保持して必要な部分だけをお見せします |
| Google 地図SDK — アプリが直接接続 | 地図画面の表示 | 地図画面が見ている位置と拡大の度合い、接続の情報。「現在地」の表示をオンにされた場合は、端末の位置がSDKを通じてGoogleへ渡ります。 〔未確定: Google 地図SDKが実際に取り扱う項目をGoogleの文書に基づいて確定し記載〕 |
| NAVER 地図SDK — アプリが直接接続 | 韓国の地域の地図画面の表示 | 上と同じで、接続先がNAVERである点だけが異なります。〔未確定: NAVER 地図SDKが実際に取り扱う項目をNAVERの文書に基づいて確定し記載〕 |
| 韓国観光公社（お祭りの写真のサーバー） — アプリが直接接続 | お祭り・イベントの写真の表示 | アプリが写真を直接受け取るため、利用者の接続の情報（IPアドレスなど）が韓国観光公社側に届きます。 利用者識別子は送りません |
| 提携予約リンク7社（Klook・KKday・GetYourGuide・Agoda・Booking.com・JR Pass・Airalo） — アプリが直接接続 | 予約・商品のページへの遷移 | 利用者がリンクを押されたときにのみ外部のブラウザが開きます。リンクには場所や都市の名称と提携の識別値が入り、位置座標や利用者識別子は入りません。〔未確定: 提携パートナー7社の正式な事業者名・所在国、およびリンクに実際に載る値を確認〕 |
当社は、サービスの提供のために次のとおり個人情報を外国にある第三者へ提供します。
| 提供先 | 所在国 | 提供の目的 | 提供する項目 | 提供の時期および方法 | 保有期間 | 拒否の方法と効果 |
|---|---|---|---|---|---|---|
| Anthropic | 米国 | AIの回答の生成 | §2.4の機能ごとの項目 | 利用者がAI機能を使うそのつど、暗号化された通信（HTTPS）によるAPI呼び出しで送信 | 〔未確定: Anthropic APIのデータ保存期間を確認のうえ記載〕 | AI機能（コンシェルジュ・集まる場所のおすすめ・コースの説明）を利用しなければ提供は発生しません。当該機能のみが制限され、ほかのサービスはご利用いただけます。 |
| Cloudflare | 米国およびグローバルネットワークの拠点 | サーバーの実行およびデータの保存などのインフラの提供 | §2.2・§2.3・§2.5・§2.6のサーバー保存項目 | サービスの利用時に常時、暗号化された通信で送信・保存 | §4の項目ごとの保有期間と同じ | サービスの基盤となるインフラであるため個別の拒否ができず、拒否を希望される場合はサービスのご利用を中止していただくことになります。 |
| RevenueCat, Inc. | 米国 | 定期購入の決済状態の仲介 | 決済識別子、定期購入のイベント | 定期購入の決済・更新の時点 | この表の下にある最初の注記をご覧ください | 有料の定期購入を利用しなければ提供は発生しません。 |
| Google（AdMob） | 〔未確定: Google AdMobの所在国の確認〕 | 広告の配信および効果測定 | 〔未確定: AdMobへ提供する項目〕 | 広告の表示の時点 | 〔未確定: AdMobの保有期間〕 | 同意フォーム（§10）でパーソナライズ広告に同意しないことができ、iOSではトラッキングを許可しないことができます。 |
| Apple | 米国 | ログイン時の本人性の確認、アカウント削除時の連携解除 | ログイン時の認証値、削除時の連携解除用トークンと利用者識別子 | ログインの時点およびアカウント削除の時点 | ログイン提供元の方針に従います | Appleでログインしなければ提供は発生しません。ほかのログイン方法をご利用いただけます。 |
| Google（ログイン） | 米国 | ログイン時の本人性の確認 | 署名を検証するために必要な公開鍵の照会（利用者を名指しする値はありません） | ログインの時点 | ログイン提供元の方針に従います | Googleでログインしなければ提供は発生しません。 |
| カカオ | 韓国 | ログイン時の本人性の確認、アカウント削除時の連携解除 | 署名を検証するために必要な公開鍵の照会と、削除時に送る利用者識別子 | ログインの時点およびアカウント削除の時点 | ログイン提供元の方針に従います | カカオでログインしなければ提供は発生しません。 |
| NAVER | 韓国 | ログイン時の本人性の確認 | アプリが受け取ったアクセストークンを載せた本人情報の照会の依頼 | ログインの時点 | ログイン提供元の方針に従います | NAVERでログインしなければ提供は発生しません。 |
| LINE | 日本 | ログイン時の本人性の確認 | 署名を検証するために必要な公開鍵の照会（利用者を名指しする値はありません） | ログインの時点 | ログイン提供元の方針に従います | LINEでログインしなければ提供は発生しません。 |
| Google（地図SDK） | 米国 | 地図画面の表示 | 地図画面が見ている位置と拡大の度合い、接続の情報。「現在地」の表示をオンにされた場合は端末の位置 | 地図画面を開かれるたびに、アプリが当社のサーバーを経由せず直接接続 | 〔未確定: Google 地図SDKの保有期間〕 | 地図画面をご利用にならなければ提供は発生しません。「現在地」の表示は、端末の設定で位置情報の権限を撤回されるとオフになります（§9）。 |
| 気象庁（日本） | 日本 | 日本の地域の予報の照会 | 地域コードひとつ（利用者を名指しする値はありません） | 日本の地域の天気をご確認になるとき | 公開資料の提供元の方針に従います | 日本の地域の天気の情報をご利用にならなければ提供は発生しません。 |
| NAVITIME — 現在は利用していません | 日本（仲介事業者の所在国は 〔未確定: RapidAPI 仲介事業者の所在国を確認〕） | 日本国内の公共交通の経路の照会 | 出発地・目的地の座標、出発時刻 | この機能が有効になったのち、日本の経路を照会されるとき | 〔未確定: NAVITIMEの保有期間〕 | この機能が有効になるまでは提供そのものが発生しません。有効になったあとも、日本の経路案内をご利用にならなければ提供は発生しません。 |
本条は、生成AIを利用するサービスに求められる事項を改めてご案内するためのものです。
AIが事実と異なる回答や不適切な回答を示した場合は、次の方法でご報告いただけます。
いただいたご報告は、検討のうえ、プロンプトや遮断ルールの改善などに反映します。
AIの回答は参考情報です。営業時間・料金・定休日などは現地の事情により変わることがあります。重要なご予定は、必ず元の出典でご確認ください。
この機能は現在、既定で無効です。 サーバー設定で有効化の値が明示的に指定された場合にのみ動作し、設定値がない場合や確認できない場合は、有効にはならず、無効のままとなります。以下の内容は、機能が有効になったときに適用される事項をあらかじめご案内するものです。
X-AI-Personalization-Consent）が添えられたリクエストに対してのみ動作します。同意されなくても、サービスのほかの機能はそのままご利用いただけます。DELETE /v1/ai/taste）を常時提供します。アカウントを削除されると、好みのデータもあわせて削除されます（§11.6）。 〔未確定: アプリ内の「好みのデータを削除」ボタンの表示経路の確定〕ℹ️ 当社は「位置情報を取得していない」という言い方をしません。正確な事実は 「端末の中だけで使い、サーバーへは送らない」 ということです。
〔未確定: 韓国「位置情報の保護および利用等に関する法律」上の位置情報事業・位置基盤サービス事業の届出の対象に当たるかの法務レビュー〕
アカウント機能は現在、提供していません。 サーバー設定で有効化の値が明示的に指定され、アプリにログイン方法が搭載された時点から適用されます。それまではアプリの画面にログインの入口が現れず、サーバーのアカウント関連のリクエストの経路も応答しません。以下の内容は、機能を提供する際に適用される事項をあらかじめご案内するものです。
アカウントの削除はアプリから行えます（設定 → アカウント → アカウントを削除）。アプリをインストールできない事情がある場合は、§14の窓口へご依頼ください。
削除されるもの
削除後も残るものと、その理由
当社は「すべての情報が消える」とは申し上げません。実際に残るものは次のとおりです。
処理の時期と、元に戻せないこと
定期購入は別途解約が必要です
App StoreやGoogle Playで開始された定期購入は、アカウントを削除しても解約されません。 解約されない限り、次回の更新日以降も請求が続きます。定期購入は、購入されたストアでご自身で解約してください。アカウントを削除される前に、まず解約を済ませることをおすすめします。
利用者は、個人情報の開示・訂正・削除・利用停止を請求する権利を有します。実際の行使の方法は次のとおりです。
⚠️ アプリを削除することと、アカウントを削除することは異なります。 アプリを削除されると、端末に保存されたデータと端末識別子は消えますが、当社サーバーのアカウントはそのまま残ります。 アカウントをなくされる場合は、§11.6のアカウントの削除をご利用ください。
| 対象 | 行使の方法 |
|---|---|
| 端末内のデータ・端末識別子 | アプリの削除 |
| 好みのデータ | 削除の機能を利用（§8.4）、または§14の窓口へご請求 |
| 定期購入の状態値・利用量カウンター | ログインしていない状態では§14の窓口へご請求 — ご請求の際、ご本人の確認のために 〔未確定: 識別子の提出方法など確認手続きの確定〕。ログインしている場合はアカウントの削除であわせて処理（§11.6） |
| 位置情報の権限 | 端末の設定から権限を撤回（§9） |
| 広告の同意 | 同意フォームの再表示、または端末の設定から変更（§10） 〔未確定: アプリ内で同意を再設定する導線の確定〕 |
| アカウント情報の開示 | アプリで、アカウント識別子・状態・作成時刻と、連携中のログイン方法の一覧を確認 |
| アカウントの削除 | アプリで実行（設定 → アカウント → アカウントを削除、§11.6）。アプリをインストールできない場合は§14の窓口へご請求 |
| すべての端末からログアウト | アプリの設定から実行 — それまでに発行されたすべてのセッションがサーバー側で直ちに無効になります（§11.3） |
| ログイン方法の連携解除 | アプリで実行（最後の1つは解除できません、§11.4） |
〔未確定: 満14歳未満の利用可否および法定代理人の同意の取扱いの確定 — ストアの年齢レーティング申告との一致、および日本国内での取扱い（個人情報保護委員会のガイドラインが示す年齢の目安）との整合が必要〕
個人情報の取扱いに関するご相談や紛争の調停が必要な場合は、韓国の個人情報紛争調停委員会、韓国インターネット振興院の個人情報侵害申告センター、大検察庁サイバー捜査課、警察庁サイバー捜査局などへお申し出いただけます。日本にお住まいの方は、個人情報保護委員会の相談窓口もご利用いただけます。 〔未確定: 各機関の連絡先・URLは公開の時点で公式サイトを確認して記載〕
当社は次の措置を講じています。
個人情報の取扱いに関するお問い合わせ、苦情の処理、被害の救済は、下記へご連絡ください。
当社は、お問い合わせを受け付けた後、遅滞なく回答し、対応します。
次の事項はまだ確定できていないものです。隠さずそのまま記載します。これらが法務レビューおよびオーナーの確認を経て解消されて初めて、アプリをストアに提出できます。
| 番号 | 事項 | 備考 |
|---|---|---|
| A-1 | 事業者名・代表者・事業者登録番号・所在地 | §1 |
| A-2 | 個人情報保護管理者の氏名・連絡先・部署 | §14 — 韓国個人情報保護法施行令第31条の必須記載事項 |
| A-3 | 施行日 | 本書の冒頭。最終更新日は2026-08-02として記載済み |
| A-4 | https://travel-iko.pages.dev/ja/legal/privacy-policy — 日本語。韓国語は /legal/privacy-policy、英語は /en/legal/privacy-policy | |
| A-5 | アカウント削除の公開案内ページで、まだ埋められていない値 — 開発者名・ポリシーのURL・お問い合わせ窓口・更新日の4つが、韓国語・日本語・英語の3つの版すべてで空欄のままです | 本ポリシーを確定する際に、あわせて埋める必要があります |
| A-6 | LINEチャネルのコンソールのプライバシーポリシーURLが空欄 | 公開後に入力 |
| 番号 | 論点 | 対応 |
|---|---|---|
| B-1 | 定期購入の状態値・利用量カウンターに自動失効が設定されていない | 保有期間の方針を定め、廃棄の手続きを実装すること。定めるまでは本ポリシーに「無期限で保管」と正直に記載する必要があり、「一定期間の後にすべて自動で廃棄」といった文は使えません（§4） |
| B-2 | 運用・エラーログの保存期間が未確認 | インフラの設定を確認のうえ§4に記載 |
| B-3 | AIの回答（出力）のサーバー側での保存・キャッシュの有無が未確認 | 確認のうえ§7.1の文を確定 |
| B-4 | 不適切な回答の報告の導線が未確認・未実装 | 2026-04-24改正の処理方針作成指針（生成AI附録）が報告方法の記載を要求しています。アプリ内の導線またはメールのうち、少なくとも1つの確定が必要です（§7.3） |
| B-5 | パーソナライズの同意UIと、好みを削除するボタンについて、アプリ内で表示される導線が未確認 | §8.3・§8.4 |
| B-6 | v1 §10の記述が偽になったまま放置された事例です。§10は訂正済みで、ストア申告の同期が残っています | |
| B-7 | スクラブ（事前に整形する処理）が実際に及ぶ範囲 | どの類型の個人情報がどの程度まで除去されるかを仕様と照合すること。「除去される」という表現の強さを実装の水準に合わせること |
| B-8 | 集まる場所のおすすめの経路は候補スポットの名称（name） を送信する一方、ほかの経路では「スポット名そのものは送信しない」を原則としています | 2つの記述が矛盾しないよう、§2.4の経路別の記載を維持するか、コード側で名称の送信をやめるかを決めること |
| B-9 | 🔴 アカウントの削除後もアカウントの記録が「削除済み」の状態で残ります。 保有期間と完全な廃棄の手続きが未定です（コードに「完全な廃棄」の状態値は存在しますが、その値を設定する経路が実装されていません） | 保有期間の方針の確定と廃棄手続きの実装。§4の注①・§11.6と連動 |
| B-10 | 🔴 アカウントの削除時に当月・前月・当日・前日にあたる利用量カウンターのみが削除され、それより前の期間は残ります | 方針を確定すること（全量を削除する実装、または保有期間の明示のいずれかを選ぶ）。§4の注② |
| B-11 | Apple連携解除用トークンについて、保有期間と廃棄する時点を述べる文面を確定すること（解除が成功したときにのみ値が空になります） | §4の該当行 |
| B-12 | セッションの自動更新がアプリに反映されていません — サーバーは新しいトークンを発行しますが、アプリがこれを保存しないため、実効の寿命が初回発行から30日で固定されています。§11.3の「新しいトークンを発行します」の文面との照合が必要です | アプリ側の実装の修正、または文面の調整 |
| B-13 | アカウントの統合の不可逆性が、訂正・削除の権利の行使に及ぼす影響 | 方針および法務のレビュー |
| B-14 | 定期購入の用語のドリフト — アカウント削除の案内ページとアプリの文言が異なります（韓国語の 취소／해지、日本語の サブスクリプション／定期購入）。アプリの文言が正本です | 本ポリシー3言語版はアプリの文言（正本）に基づいて作成しました。案内ページ側の整理は別のバッチで行います |
| B-15 | 🔴 広告ユニットがすでに商用の実値に置き換えられています — v1 §10は「サンプル（テスト用）の値」と記載しており、その記述は2026-07-18から偽でした | §10の文面は本v2で訂正しました。Apple App Privacy・Google Play Data safetyの申告との同期が残っています（§16.4 D-2） |
| B-16 | 定期購入の状態の記録にグループの識別子が含まれます（グループの利用権を使う場合） | §2.5に反映しましたが、グループの識別子が個人情報に当たるかは法務レビューの対象です（C-10とあわせて判断） |
| B-17 | 🔴 地図SDK（Google・NAVER）は、アプリが当社のサーバーを経由せず直接呼び出します。 当社はそのときやり取りされる項目を確かめることも制御することもできません | 各社の公式文書に基づいて実際の取扱い項目を確定し、§5・§6に記載すること。確定するまで§5の該当欄は未確定の表示のまま残ります |
| B-18 | 🔴 お祭りの写真を、アプリが韓国観光公社のサーバーから直接受け取っています — 利用者の接続の情報がそちらへ直接届きます。v1および本v2の以前の草案にあった「TourAPIの過程に利用者の個人情報は関与しない」という記述は、写真の経路を見落とした不正確な記載であり、本版で訂正しました | サーバーの中継を挟む形に変えるか、現状のままポリシーで明らかにするかを決めること |
| B-19 | 日本の公共交通の経路（NAVITIME）のアダプターは実装済みですが、資格情報が投入されていないため実際には呼び出されません | 有効化する時点で、§5・§6の記載を「現在は利用していません」から実際の状態へ改めること。有効化より先にポリシーだけを書き換えると虚偽の記載になります |
| B-20 | 提携予約リンク7社について、提携を識別する値もリンクの形式も、すべて仮置きのままです | 契約を実際に締結したのち、リンクに載る値を確認しなおして§5を更新すること |
| 番号 | 論点 |
|---|---|
| C-1 | Anthropicの商用APIにおける「顧客データをモデルの学習に使用しない」条項の最終確認。 本ポリシー§7.2はこの条項に依拠しているため、根拠となる文書を確保できない場合は当該の文を修正する必要があります |
| C-2 | 外国にある第三者への提供の項目の網羅性 — RevenueCat・Google（AdMob）が国外への提供に当たるかどうかと、その記載の方式（第三者提供／委託／外国にある第三者への提供）を法務レビューで確定すること。RevenueCatの所在国および処理国は2026-08-02に米国と確認し§6に記載済みで、残るのは記載方式の判断である |
| C-3 | 提供先が個人情報をどの水準で保護しているかの記載（契約上の安全管理措置、認証の状況） — Apple 5.1.2(i)(d)および韓国個人情報保護法第28条の8への対応 |
| C-4 | 日本の個人情報保護法における外国にある第三者への提供: 提供先の所在国の名称と、当該国の個人情報の保護に関する制度についての情報の提供の義務。所在国の名称は各言語版に記載済みで、制度の情報は本日本語版で詳細化する必要があります |
| C-5 | 韓国「位置情報の保護および利用等に関する法律」の適用の有無 — 位置の値をサーバーへ送らない場合でも届出の義務が生じるか |
| C-6 | 満14歳未満のお子さまの取扱いの方針と、ストアの年齢レーティングとの整合 |
| C-7 | 決済に関する法定保存義務が§4の保有期間に及ぼす影響。法律の条文と期間は2026-08-02に確認し§4に記載済みで、残るのは「アプリストア経由の決済において当社がその法律上の事業者に当たるか」の一点である |
| C-8 | 言語版どうしの優先順位を定める条項が有効か（§1） |
| C-9 | ソーシャルログインの提供元5社が第三者提供に当たるのか委託に当たるのか — 韓国と日本で判断が異なる可能性があります |
| C-10 | ログイン提供元の利用者識別子の法的な性質（個人情報に当たるか、仮名加工情報に当たるか）。グループの識別子（B-16）もあわせて判断 |
| C-11 | GDPRの適用の有無 — 自己評価では、対応言語（韓国語・日本語・英語）、対象地域（韓国・日本の旅行）、欧州通貨に非対応、欧州の利用者に向けた広告・ターゲティングがないことから、適用されない可能性が高いものの法的判断が必要です。本草案はこの判断を留保するため、GDPR専用の条を設けていません |
| C-12 | 日本の個人情報保護法第28条 — 同意に基づく外国にある第三者への提供の際の、提供先の所在国の保護制度についての情報提供の本文の作成（本日本語版） |
| C-13 | 🔴 韓国個人情報保護法施行令の最近の改正内容が未確認 — 処理方針の必須記載事項が変わったかどうかを一次条文で確認できていません。分からないものとして記録しています。 公開前の原文の確認が必須です |
| C-14 | 🔴 経路検索のリクエストに含まれる出発地・目的地の座標が、外部の事業者（TMAP、今後はNAVITIME）へ渡ります。 この座標が個人情報に当たるか、韓国「位置情報の保護および利用等に関する法律」上の個人位置情報に当たるかの判断が必要です（C-5とあわせて判断） |
| C-15 | 🔴 地図SDKがアプリから各社へ直接接続する構造が、当社による「第三者提供」に当たるのか、利用者ご自身の接続に当たるのか — 外国にある第三者への提供（§6）の記載の仕方も、この判断によって変わります |
| C-16 | 提携予約リンクのクリックが第三者提供に当たるのか、単なるリンクの提供にとどまるのか — §6から除外した現在の扱いの妥当性を含めて判断すること |
| C-17 | 今回の監査で新たに掲載した事業者の正式な事業者名・所在国・保有期間が未確認 — SKテレコム（TMAP）・韓国気象庁・気象庁（日本）・NAVITIMEおよびその仲介事業者・ソウル特別市・Google 地図SDK・NAVER 地図SDK・韓国観光公社・提携パートナー7社 |
| 番号 | 論点 |
|---|---|
| D-1 | Apple App Privacyの申告内容と本ポリシーの一致 — 特に「位置情報」について、アプリは使用するがサーバーへは送らないという仕組みをラベルでどう申告するかを決めること |
| D-2 | Google Play Data safetyの申告と本ポリシーの一致 — 取得（collected）と共有（shared）の区分、広告SDKが取り扱う項目、商用広告への切り替え（B-15）の反映 |
| D-3 | Apple Guideline 5.1.2(i)への対応 — 第三者のAIへ個人を識別し得る情報を送る際に、(a)どのデータが (b)誰へ渡るかを明示し、(c)アプリ内で送信の前に明示的な許可を取得し、(d)ポリシーに取得項目・方法・用途・第三者における保護の水準を記載すること。(a)(b)(d)は§2.4・§6に反映済みですが、(c)については、アプリ内で事前に許可を得るUIの実装と文言の確認が必要です |
| D-4 | コースの説明（ナレーション）の経路は自由入力のテキストがなく、識別子とコード値のみを送信するため、5.1.2(i)の「個人を識別し得る情報の送信」に当たらない可能性がありますが、免除されるかどうかは確認できていません。 保守的に、当該の経路にもアプリ内の告知を加える案を検討すること |
| D-5 | 広告の商用化の際、UMP・ATTの同意の流れが実装とポリシーの記載の順序（UMP → ATT）と一致するかの再検証 |
| D-6 | ブランド名（旅行行こ）の反映 — アプリストアの表示名・Play Data safety・ポリシーの相互の一致 |
| D-7 | Apple App Privacyの再分類 — アカウントの導入により一部の項目がアカウントに結び付くため、「Data Linked to You」の区分を判定し直す必要があります |
| D-8 | Google Play Data deletionの2つの質問への回答値と、ウェブ上の削除請求URLの確定 |
| D-9 | 🔴 Google Playは *「アカウントの削除の際は、そのアカウントに関連する利用者データも削除しなければならず、一時的な無効化は削除とは認められない」* と求めています ↔ 本サービスはアカウントの最小限の記録が「削除済み」の状態で残ります（B-9）。この緊張関係をどう申告し説明するか、法務・方針の決定が必要です |
| D-10 | 🔴 Apple 5.1.1(v)は、Sign in with Appleを提供する場合、削除の請求とあわせてトークンの無効化（revoke）を求めていますが、現在は認証情報がサーバーに投入されていないため依頼が送られません（§11.7） |
| D-11 | Apple・Googleの申告フォームの実物を確認できていません（Apple Developer Programに未加入）。カテゴリの全体の一覧を一次出典で確定できなかったため、store-privacy-declarations.md の該当欄は「未確認」のままとしています |
| D-12 | YEOHAENGIKO をそのまま出力しているため、Iko Travelに直す必要があり、ストアの登録名もこの3つに合わせること |
| D-13 | 🔴 アプリに載せた第三者SDKのすべて（Google 地図・NAVER 地図・Google AdMob）と、アプリが直接接続する外部のサーバー（韓国観光公社の写真のサーバー・提携リンク7社）を、Apple App PrivacyおよびGoogle Play Data safetyの第三者SDK・データ共有の項目でどう申告するかを確定すること |
*本ポリシーは施行前の草案です。上記§16の事項が解消され、法務レビューを終えて初めて、アプリをストアに提出できます。*