隐私政策
以日语版本为正式文本（参见第15条）。制定日期、最近修订日期尚未确定。
本文件为法务审查前的草案。
本文件是开发团队根据规格说明书和技术设计编写的草案，不构成法律意见。 在公开发布及提交 App Store 之前，我们计划请熟悉数据保护法的专业人士（如律师等）进行审核。 尚未确定的事项标注为「尚未确定」。
目录
摘要（正式条款见第1条以下）
| 服务名称 | Watagumo（绵云） |
|---|---|
| 提供者 | Kento Ito（无字号） |
| 这是什么样的应用 | 一款 iOS 应用，可根据用户自行导出的过往聊天记录，或用户输入的信息创建 AI 角色，并与该角色对话 |
| 主要收集的信息 | Apple 用户识别符、从聊天记录中提取的特征数据、与 AI 的聊天内容、购买信息、设备及使用信息 |
| 不收集的信息 | 姓名、电子邮箱地址、电话号码、住址、位置信息、通讯录、整个照片图库、广告标识符 |
| 向第三方提供 | 为生成 AI 回复，会将部分聊天数据发送给 OpenAI, L.L.C.（第5条） |
| 存储位置 | Cloudflare, Inc. 的全球基础设施（含境外）（第6条） |
| 保存期限 | 直至用户删除为止。删除操作在受理后以异步方式处理，在确认完成之前不会显示「已删除」（第7条） |
| 用户的权利 | 用户可随时在应用内删除数据、删除账户（第8条） |
| 适用年龄 | 17岁及以上 |
| 服务地区 | 第一阶段：日本／台湾／韩国／美国／加拿大／澳大利亚／新西兰／新加坡共8个地区。目前尚未在欧盟/欧洲经济区/英国提供服务（第6条） |
| 联系方式 | spw2jo2@gmail.com（第12条） |
1. 前言
Kento Ito（以下称「我们」）就 iOS 应用「Watagumo」（以下称「本应用」） 对用户（以下称「用户」）个人信息及隐私相关信息的处理方式， 制定本隐私政策（以下称「本政策」）。
本应用处理的是用户极其私密的聊天记录。我们深知这些信息需要特别的谨慎对待， 因此在设计和运营中，将隐私与安全置于功能扩展之上优先考虑。
用户在首次使用本应用时，将被要求同意本政策。若不同意， 将无法使用本应用。
2. 我们收集的信息
2.1 与账户相关的信息
| 信息 | 内容 | 获取方式 |
|---|---|---|
| Apple 用户识别符 | 通过「通过 Apple 登录」由 Apple 提供的、本应用专用的用户识别符 | 登录时从 Apple 获取 |
| 内部用户ID | 我们为每位用户自动生成的随机识别符 | 由我们生成 |
本应用唯一的认证方式为「通过 Apple 登录」。不会设置或保存任何密码。
我们不会以原始形式保存 Apple 用户识别符，而是将其转换为无法还原的形式（哈希值）后保存。 我们不收集姓名及电子邮箱地址。即使您在「通过 Apple 登录」时选择共享或不共享电子邮箱地址， 我们也不会保存该数值。
2.2 与导入的聊天记录相关的信息
用户可以将自行从 LINE、WhatsApp、KakaoTalk 等应用导出的聊天记录文件 读入本应用。
聊天记录文件的原始文件（文件本身）会在用户设备本地处理，不会 发送或保存到我们的服务器。在设备本地完成解析后，发送到我们服务器的 信息仅限于以下内容。
| 发送到服务器的信息 | 示例 |
|---|---|
| 为分析 AI 角色特征而提取的部分聊天内容（样本） | 具有代表性的对话片段 |
| 聊天的统计信息 | 平均每句字数、表情符号使用倾向、回复间隔等 |
| 用户设置的 AI 显示名称与图标 | 如「〇〇」等 |
| 分析后生成的 AI 资料（语气、口头禅等特征数据） | — |
提取的部分聊天内容（样本）中，可能包含聊天记录中出现的第三方的发言内容。导入完成后， 设备本地临时创建的工作文件，无论处理成功与否都会被删除。 保留在导出来源应用（如 LINE 等）或文件应用中的原始文件，请用户自行管理与删除。
2.3 用户输入创建的 AI 相关信息
用户也可以不使用聊天记录，而是通过文字输入对方的姓名、说话方式、关系、话题倾向等来创建 AI。 在这种情况下，用户输入的内容会被发送并保存到我们的服务器。
2.4 与聊天相关的信息
| 信息 | 是否保存 |
|---|---|
| 用户发送给 AI 的消息正文 | 会保存 |
| AI 生成的回复正文 | 会保存 |
| 收发时间 | 会保存 |
为方便用户日后回顾聊天内容，聊天内容会保存在我们的服务器上。 为支持离线显示，设备本地也会缓存一定期限。
2.5 与购买 / 付费相关的信息
| 信息 | 内容 |
|---|---|
| App Store 购买交易信息 | Apple 签发的购买凭证、商品ID、购买时间（通过 RevenueCat, Inc. 获取） |
| 额度余额与使用记录 | 发放与消耗的记录 |
| 订阅状态 | 订阅中／到期时间 |
信用卡号等支付方式信息由 Apple 处理。我们和 RevenueCat 均不会收集这类信息。
关于购买数据传递给 RevenueCat（第三方）。 本应用的付费基础设施（购买界面、收据处理）使用 RevenueCat, Inc. 提供的服务。当您购买额度或 订阅时，Apple App Store 签发的购买交易信息（商品ID、购买时间、交易ID、 自动续订状态等）会通过 RevenueCat, Inc. 传递到我们的服务器 （RevenueCat 的 Webhook 通知）。RevenueCat 仅根据该信息向我们通知「发生了购买」， 额度的发放、消耗及余额管理仍由我们的服务器负责（不会将余额本身托管在 RevenueCat 一侧）。 信用卡号等支付方式信息由 Apple 处理，不会传递给我们或 RevenueCat。 RevenueCat 的隐私政策请参阅该公司官方网站。
2.6 与设备及使用相关的信息
| 信息 | 用途 |
|---|---|
| IP地址 | 防止非法使用、过度访问（我们的应用日志中会先转换为无法还原的形式后再记录） |
| 操作系统版本、应用版本、语言设置 | 故障调查、显示语言的判定 |
| 错误类型、API状态码、处理时间、请求识别符 | 故障处理、质量改进 |
我们的应用日志中，不会记录聊天正文、AI 显示名称、输入的资料文字、文件名等 任何内容物。但根据 Cloudflare 公司的规范，其平台侧的访问日志中会在一定期限内记录 IP 地址等信息。
2.7 我们不收集的信息
为明确起见，特此说明我们不会收集以下信息。
- 姓名、出生日期、性别、住址、电话号码
- 电子邮箱地址（通过联系我们提供的情况除外）
- 位置信息、通讯录（地址簿）、日历、整个照片图库
- 广告标识符（IDFA），以及以广告为目的的追踪
- 对设备麦克风、摄像头的常时获取
3. 信息的收集方式
- 用户直接输入 / 操作（登录、选择文件、创建 AI、发送聊天消息）
- 随应用使用自动收集的信息（IP地址、应用版本、错误信息）
- 由 Apple 提供（登录时的用户识别符、购买交易的验证结果）
本应用不使用以广告为目的的 Cookie 或追踪技术。我们也不会从第三方数据经纪商等处 购买或获取信息。
4. 使用目的
我们仅将收集的信息用于以下目的。
| # | 目的 | 相关信息 |
|---|---|---|
| 1 | 用户身份验证及按用户分离数据 | Apple 用户识别符、内部用户ID |
| 2 | 通过分析聊天记录创建 AI 角色，并保存 AI 资料 | 从导入内容中提取的信息、输入的资料文字 |
| 3 | 提供与 AI 对话的功能（生成回复、显示聊天记录） | 聊天内容、AI 资料 |
| 4 | 额度余额的管理，以及付费 / 订阅的提供与验证 | 购买信息 |
| 5 | 防止非法使用、非法付费、过度访问 | IP地址的转换值、使用次数、购买交易识别符的转换值 |
| 6 | 故障处理、故障调查、服务质量改进 | 错误类型、处理时间、请求识别符 |
| 7 | 回应用户的咨询 | 咨询时您提供的信息 |
| 8 | 基于法令的应对，以及应对违反服务条款的行为 | 上述范围内必要的部分 |
我们不会进行以下行为。
- 出售所收集的信息
- 将聊天内容用于广告投放
- 由我们查阅聊天内容用于娱乐，或将其展示给第三方（因故障调查需要且用户明确请求的情况除外）
- 将我们所获取的聊天内容用于我们自有 AI 模型的训练
5. 向第三方提供 / 委托
5.1 我们为提供服务而使用的合作机构
| 机构 | 角色 | 提供 / 保存的信息 | 所在地 |
|---|---|---|---|
| OpenAI, L.L.C. | 通过 AI 分析聊天记录，以及生成 AI 回复 | 见5.2 | 美国 |
| Cloudflare, Inc. | 应用运行环境、数据库、文件存储 | 本政策所述全部存储对象信息，以及来源 IP 地址 | 美国（全球网络） |
| Apple Inc. | 登录、通过 App Store 付费、应用分发 | 用户识别符、购买信息 | 美国等 |
| RevenueCat, Inc. | App Store 购买处理的中介（购买界面、收据处理、购买通知） | 购买交易信息（商品ID、购买时间、交易ID、自动续订状态）、用于购买的匿名ID | 美国 |
以上是我们在自定条件下委托处理信息的机构。
5.2 关于向 OpenAI 发送聊天数据
为提供本应用的核心功能「创建 AI」与「与 AI 对话」，我们会将用户 部分聊天数据发送至 OpenAI, L.L.C. 提供的 API。
| 场景 | 发送的内容 |
|---|---|
| 创建 AI（基于聊天记录） | 从导入的聊天记录中提取的部分聊天内容（样本）及统计信息。并非聊天记录全文 |
| 创建 AI（基于文字输入） | 用户输入的关于对方特征、说话方式、关系等的文字 |
| 与 AI 对话 | 用户发送的消息正文、最近对话的一部分，以及 AI 资料（语气等特征数据） |
不会发送的信息： 导入的聊天记录文件原始文件 / 全文、Apple 用户识别符及 内部用户ID等账户识别信息、购买信息、IP地址。
发送的数据将按照 OpenAI 的隐私政策及 API 使用条款处理。我们所使用的 API 设置为不将我们的调用数据用于 OpenAI 模型的训练。OpenAI 出于监控非法使用等目的， 可能会在一定期限内保留所发送的数据。保留期限及条件由 OpenAI 决定。 我们要求 OpenAI 一方删除已保存数据的能力有限，我们服务器上的数据删除 （第7条、第8条）不会自动波及 OpenAI 一方的记录。
您通过本应用与 AI 进行的对话内容，会如上所述发送给 OpenAI。请您在了解这一点的前提下， 注意不要输入不希望被发送的信息。
5.3 基于法令的披露
仅在基于法令要求，或为保护人的生命、身体、财产而有必要，且难以取得用户同意的 情况下，我们才会在必要范围内披露信息。
5.4 业务转让
因业务转让、合并等原因，可能会发生信息的继受。在此情况下，我们将以继受后 仍按照本政策同等方式处理信息为条件。
6. 向境外转移
本应用的数据存储与处理位于日本境外的服务器上。
| 转移目的地 | 机构 | 国家 |
|---|---|---|
| 应用运行环境 / 数据库 / 文件存储 | Cloudflare, Inc. | 美国（及全球分布的网络） |
| AI 分析与回复生成 | OpenAI, L.L.C. | 美国 |
| 身份验证 / 付费 | Apple Inc. | 美国等 |
| 购买处理中介 | RevenueCat, Inc. | 美国 |
用户在使用本应用的同时，即被视为同意上述向境外转移。各国的 个人信息保护制度可能与日本有所不同。关于各机构所采取的保护措施概要， 请参阅各公司公布的信息。
6.1 本应用的服务地区
本应用目前仅在以下8个地区提供服务：日本 / 台湾 / 韩国 / 美国 / 加拿大 / 澳大利亚 / 新西兰 / 新加坡。
本应用目前尚未在欧盟（EU）／欧洲经济区（EEA）／英国提供服务。 这是因为本应用使用的 AI API 提供商所支持的地区范围有限，在支持地区之外 使用时，服务可能会因该服务商的条款而被停止。服务地区今后可能会有所变更。 最新的服务地区请以 App Store 页面上的信息为准。
7. 保存期限与删除
7.1 保存期限
| 信息 | 保存期限 |
|---|---|
| 账户信息、AI 资料、AI 解析数据、聊天记录 | 直至用户删除为止（只要账户存续） |
| 导入的聊天记录文件原始文件 | 不保存（在设备本地处理后即被删除） |
| 会话信息（登录状态） | 最长90天。失效后7天内删除 |
| 防止过度访问用的计数器 | 1天 |
| 任务进度记录 | 完成后7天 |
| 购买交易识别符的转换值 | 账户删除后仍会保留 |
| 我们的应用日志 | 遵循 Cloudflare 的默认保留期限，为短期。不会进行长期保存 |
7.2 删除方法
用户可随时在应用内进行以下操作。
| 操作 | 位置 | 删除的内容 | 额度余额 / 购买记录 |
|---|---|---|---|
| 删除单个 AI | AI 列表 → AI 设置 | 该 AI 的资料、解析数据、聊天记录、图标图片 | 不受影响 |
| 删除全部数据 | 设置 → 数据管理 → 数据删除 | 所有 AI 及聊天记录（账户保留） | 会保留（为避免退款纠纷，不会删除已购买的资产） |
| 删除账户 | 设置 → 数据管理 → 账户删除 | 以上全部内容 + 账户信息 + 登录信息 | 会消失 |
无论进行哪种操作，执行前都会显示确认画面。删除以异步方式处理。当您在应用内完成操作后， 我们会先完成删除受理，实际的删除处理随后在后台进行。处理期间会显示 「正在删除…」。删除处理完成后，我们会自动验证删除对象是否确实已不再存在。 在此项验证完成之前，应用不会显示「已删除」。若验证发现 仍有删除对象残留，我们将自动重试删除处理。
设备本地的缓存也会在账户删除、退出登录时被清除。 即使删除账户，App Store 的订阅也不会自动取消。 需要另行通过 iOS 的设置进行取消。账户删除的确认画面中也会明示此项内容。
7.3 删除后仍会保留的信息
| 保留的信息 | 原因 | 是否可识别个人 |
|---|---|---|
| 购买交易识别符转换为无法还原形式后的数值 | 防止重复使用同一购买记录进行非法获取额度的行为。不会与用户ID关联保留 | 无法识别 |
| 与个人无关联的统计数值（如每日总请求数等） | 服务运营监控 | 无法识别 |
| Cloudflare 平台侧的访问日志 | 根据该公司的规范 | 可能包含 IP 地址 |
| OpenAI、Apple 各公司保留的记录 | 根据各公司的规定 | 根据各公司的规定 |
7.4 从备份中消除
为应对故障恢复，数据库存在可回溯一定期限进行恢复的机制。因此， 从执行删除到备份中的记录消除，可能需要一定天数。在此期间， 该数据不会被用于常规的服务提供。
8. 用户的权利
用户就自己的信息享有以下权利。
| 权利 | 行使方式 |
|---|---|
| 请求删除的权利 | 应用内的删除功能（第7条）。或第12条的联系窗口 |
| 请求披露（访问）的权利 | 请联系第12条的窗口。在确认您本人身份后，我们将以电子形式提供我们所持有的信息 |
| 请求更正的权利 | AI 显示名称等可在应用内更改。其他请联系第12条的窗口 |
| 请求停止使用的权利 | 请联系第12条的窗口。原则上以删除账户的方式应对 |
| 撤回同意的权利 | 可通过停止使用本应用并删除账户来撤回同意 |
我们原则上会在合理期限内回应您的请求。身份验证方式预计将采用应用内设置画面 所显示信息的核对等方式。对于居住在欧盟/英国等地的用户，可能会另行 认可数据可携带权、限制处理权、向监管机构投诉等权利。
9. 安全性
为保护所收集的信息，我们采取了以下措施。
- 所有通信均经过加密（HTTPS）
- 为确保只有经过身份验证的本人才能访问用户数据，我们在服务器端对所有数据操作强制施加用户身份识别
- OpenAI 的 API 密钥等机密信息完全不包含在应用本体中（全部由服务器端管理）
- 登录信息（令牌）保存在设备的 Keychain（钥匙串）中，不会同步到其他设备或备份
- 服务器端日志的设计不记录聊天正文、可识别个人身份的信息
- 设有限制措施以防止过度访问及非法使用
但对于互联网上的通信及电子存储，我们无法保证绝对的安全性。
9.1 关于设备管理（重要提示）
本应用会在用户设备本地保留一定期限的聊天内容。请务必设置设备锁屏密码、启用 Face ID 等以保护设备本身安全。若设备被出借给第三方，本应用的内容有可能被查看。 此外，由于 iOS 系统的规范限制，本应用无法阻止截图操作。
10. 关于未成年人的使用
- 本应用面向17岁及以上人士。
- 我们不会有意收集13岁以下人士的信息。
- 未成年人使用本应用时，请务必先取得监护人的同意后再使用。
- 若发现收集了13岁以下人士的信息，我们将立即删除该信息。如您认为符合此情形，请联系第12条的窗口。
11. 关于Cookie与追踪技术
- 本应用为原生应用，不使用以广告为目的的 Cookie。
- 本应用不会进行 App Tracking Transparency（ATT）所规范的、跨越其他公司应用与网站的追踪。因此不会显示追踪许可的弹窗。
- 设备本地保存的信息，仅限于用于维持登录状态及提升显示速度的信息。
12. 联系窗口
关于本政策及个人信息处理方式的咨询，请通过以下方式联系我们。
| 经营者名称 | Kento Ito（无字号） |
|---|---|
| 电子邮箱地址 | spw2jo2@gmail.com |
| 所在地 | 如收到请求，我们将不迟延地以电子邮件方式披露（与基于《特定商交易法》的标示采用相同运作方式。回复大致标准为收到请求后3个工作日内） |
13. 本政策的变更
我们可能会根据法令变更或服务内容的变更，对本政策进行修订。若变更内容 对用户权利产生重大影响，我们将在变更生效前，通过应用内通知等方式告知用户。若变更后 您仍继续使用本应用，将被视为您已同意变更后的内容。若您不同意， 请删除账户并停止使用。
14. 关于AI生成内容的注意事项
虽不属于本政策的适用范围，但作为重要事项特此说明。
- 本应用创建的 AI，是根据聊天记录或用户输入内容生成的角色，并非真实存在的特定人物本人。
- AI 的发言不代表真实人物的意愿、发言或观点。
- AI 生成的内容可能包含与事实不符的信息。
15. 适用法律
本政策的解释及适用，均以日本法律为准。
本页面未刊载面向开发团队的法务确认事项清单、实施检查清单等仅用于内部运营的文件。
这些文件另作为内部文件单独管理。本页面内容是将
privacy-policy-draft-ja.md（法务审查前的草案）第0条至第15条
整理为公开页面的形式，未变更条款的含义。