プライバシーポリシー

本ポリシーは、規則（EU）2016/679（一般データ保護規則、GDPR）および情報処理・ファイル・自由に関する1978年1月6日のフランス法律第78-17号に基づき、Lunalulu アプリとそのウェブサイトがどのデータを、なぜ、どの根拠で、誰と、どのくらいの期間取り扱うかを説明するものです。本アプリは親の声でおはなしを読み聞かせます。あなたの声は個人データであり、以下では、その声がどのように扱われるかを省略することなく説明します。この翻訳は参考のためのものであり、フランス語版が優先します。

1. 管理者

BAUGEY MATHEO、個人事業主（entrepreneur individuel、EI）、屋号 DEVOLIM
248 rue de Bègles, 33800 Bordeaux, France
SIREN 948 000 757
メール：[email protected]

発行者はデータ保護責任者（DPO）を選任していません。あなたのデータに関するご質問やご請求は、上記の連絡先で発行者が直接対応します。

2. 私たちの原則

• アカウントの作成は不要です。氏名、メールアドレス、電話番号、パスワードを求めることはありません。
• あなたの声は、何が起きるかを説明する画面であなたが明示的に同意した後でなければ、端末から送信されません。
• 録音は、送信後は端末にも当方のサーバーにも保存されません（あなたの合成音声を作成する Cartesia は、削除されるまで録音を保持します：3.2を参照）。送信できなかった場合は、バックアップの対象外である本アプリの非公開領域で、最長30日間送信を待ちます。
• あなたの声と、その声で準備したものはすべて、本アプリからいつでも削除できます。
• 広告なし、広告目的のプロファイリングなし、位置情報の取得なし。
• データを販売、貸与、交換または譲渡することは、相手を問わず一切ありません。
• 利用統計に、あなたの声、おはなしの文章、聴いたおはなしのタイトルが含まれることはありません。唯一の例外は、入力した場合の、はじめの画面の自由回答「その他の方法で」です（5.6を参照）。

3. あなたの声

3.1 録音され送信されるもの

おはなしをあなたの声で読み聞かせるために、本アプリで提示される文章を声に出して読み、数十秒程度の短い声のサンプルを録音します。送信前に聴き直したり、録り直したりできます。あなたが同意するまで、何も送信されません。

同意して送信を確定すると、サンプルは、あなたが同意した同意書のバージョンと本アプリの言語（本アプリが対応する言語のいずれか）とともに、暗号化されて当方のサーバー機能（Google Cloud Functions、europe-west1 リージョン、ベルギー）に送られます。当方のサーバーはサンプルの形式と長さを確認し、音声合成サービス提供者である Cartesia に送信します。Cartesia はそこから、その言語の合成音声（ボイスクローン）を作成します。あなたの声がおはなしを読むのはこの言語です。当方のサーバーはサンプルのコピーを一切保持せず、本アプリは送信が成功した時点で端末からサンプルを消去します。

その場で送信できなかった場合（ネットワークがない、サーバーが利用できない、利用上限に達したなど）でも、本アプリは通常どおり使えます。サンプルは、あなたが同意した同意書のバージョンとともに、iCloud と Google のバックアップの対象外である本アプリの非公開領域で端末に残り、本アプリが少し後に自動的に再送信します（起動時、ネットワーク復旧時、間隔を徐々に広げながら）。サンプルは、送信が成功した時点、ホーム画面で「送信しない」をタップしたとき、「わたしの声を削除」または「すべて消去」をタップしたとき、そして遅くとも録音から30日後に消去されます。あなたの同意なしに送信されることはなく、同意を撤回した場合は送信されずに消去されます。

3.2 保存されるもの

• Cartesia のもとで：合成音声を作成するために受け取ったあなたの声のサンプルと、合成音声そのもの。いずれも、あなたが声を削除するまで（「わたしの声を削除」、置き換えとなる新しい録音、「すべて消去」）、それがない場合は本アプリを12か月間開かなかったことによる自動消去まで保存されます。Cartesia は、欧州委員会の標準契約条項により米国への移転を規律するデータ処理補遺（Data Processing Addendum）の枠内で、処理者として当方に代わってこれらを処理します（第8条を参照）。
• 当方のサーバー（Google Cloud Firestore、欧州）：各声について、本アプリからは読み取れない領域に保存される Cartesia での技術的な識別子、同意を証明する作成日と同意書のバージョン、その言語、そしてあなたが名前を付けた場合は本アプリ内でその声を示す名前（「誰の声ですか？」）。

3.3 あなたの声の用途

あなたの合成音声は、Lunalulu+プランで、あなたがその声で聴くことを選んだおはなしの地の文を読むために使われます。これらの部分は Cartesia があなたの声で読み上げ、その後当方のサーバーが、別の合成音声で一度だけ録音された登場人物のセリフと組み合わせます。あなたの声はあなた自身のアプリ内でのみ使われ、他の人に配信されることはなく、あなたを識別するためにも認証するためにも使われません。合成音声で作成された各音声ファイルには、人工知能により生成されたことを示す機械可読の表示が付されています（人工知能に関する規則（EU）2024/1689 第50条）。この表示にあなたに関するデータは含まれません。

3.3の2 Cartesia のモデルの学習

当方があなたの声をモデルの学習に使うことはありません。ただし、Cartesia の利用規約（第5.3条）は、別段の合意がない限り、Cartesia が顧客から受け取るコンテンツ（ここではあなたの声のサンプルと読み上げる文章）および Cartesia が生成するコンテンツを、そのモデルの学習と改善に使えると定めています。同規約は、顧客が自らのコンテンツをその目的に使わないよう求めることを認めており、この請求は将来に向かってのみ効力を持ちます。あなたが十分な説明を受けたうえで同意できるよう、このことをお伝えします。当方のアカウントについてこの請求が受理された場合は、その日付とともにここに記載します。あなたはいつでも声を削除でき、削除すると当方の Cartesia アカウントからも取り除かれます。

3.4 あなたの同意に基づいて取り扱われる個人データ

あなたの声は個人データです。あなたを認識または識別するためには使われないため、GDPR 第9条にいう、自然人を一意に識別することを目的とした生体データの処理には該当しません。仮に声がセンシティブデータとみなされる場合でも、あなたが与える明示的な同意は、GDPR 第9条第2項(a)に基づく同意としても有効です。それでも当方は最も厳格な予防措置を講じています。声の送信は、録音の前に専用画面でチェックボックスと「同意する」ボタンにより取得する、あなたの明示的な同意（GDPR 第6条第1項(a)）に基づいています。同意することで、あなたは自分自身の声を録音すること、および成年に達していることを確認します。Lunalulu+プランでは、家族の他の大人も自分の声を追加できます。各人が自分で文章を読み、同じ画面で自ら同意します。

3.5 同意の撤回

同意は、同意したときと同じくらい簡単に、いつでも撤回できます：設定、「あなたの声」、「わたしの声を削除」。撤回すると、あなたの声は Cartesia のもとで削除され、その識別子と同意の証明は当方のサーバーから削除され、その声で準備したおはなしは当方のサーバーとあなたの端末から消去されます。Cartesia がその場で応答しない場合、削除の請求は（声の技術的な識別子のみの形で）当方のサーバーに保存され、成功するまで6時間ごとに自動的に再送信されます。声を録音し直した場合も、同様に以前の声が削除されます。ある声を削除しても、他の声には影響しません。同意の撤回は、それまでに行われた処理の適法性に影響しません。本アプリの語り手は引き続き利用できます。

声の画像：家族の声それぞれに画像を設定できます。端末のカメラでその場で撮影した写真、または端末の写真ピッカーで選んだ写真を丸く切り抜いたもの、あるいは本アプリのイラストのアバターです。この画像はあなたの端末の、バックアップ対象外の本アプリ専用領域に保存され、送信されることはありません。声を削除したとき、すべてのデータを消去したとき、または本アプリを削除したときに消去されます。

3の2. おはなしをつくる

Lunalulu+プランでは、「おはなしをつくる」で、あなたの子どものためだけのおはなしを書いてもらい、それをあなたの声で読み聞かせることができます。あなたが入力した情報がどうなるのかを、省略することなく説明します。

あなたが入力するもの

主人公の名前（通常はあなたの子どもの名前）、希望する場合は友だち、ぬいぐるみ、動物の名前、テーマ、短い一文（たとえば「暗いところがこわい」）、長さ、子どもの年齢。その後、あなた自身が手入力で好きなだけ修正できるほか、短い指示（「もっと短く」「ねこを登場させて」）で Hibou に最大3回まで修正を依頼できます。名字、住所、電話番号、健康に関する情報は入力しないでください。本アプリは、住所、電話番号、メールアドレス、リンクを自動的に拒否します。

おはなしを書くのは誰か

おはなしは人工知能が書きます。OpenAI の言語モデル（GPT）で、当方のサーバーだけが OpenAI の API を通じて呼び出します。最初の送信の前に、本アプリはあなたの同意を求め、何が送信されるかを説明します。当方のサーバーは、あなたのシナリオ（Hibou による修正の場合は、おはなしの文章とあなたの指示。手入力による修正の場合は、OpenAI のモデレーションサービスによるチェックのため、あなたが変更した箇所のみ）を OpenAI に送り、おはなしを受け取ります。その際、セキュリティ識別子を添付します。これはあなたの匿名識別子から元に戻せない形で生成したハッシュ値で、OpenAI があなたが誰かを知ることなく不正利用を検知するのに役立ちます。あなたの声、匿名識別子そのもの、表紙の写真は送信しません。

OpenAI は、処理者として当方に代わり、米国でこれらのデータを処理します（第8条を参照）。OpenAI の資料によれば、その API に送信されたデータがモデルの学習に使われることはありません。当方は OpenAI に、これらのやり取りを一切保存しないよう求めています（「store」オプション無効、キャッシュ無効）。OpenAI は、法的義務がある場合を除き、不正利用監視のためのログのみを最長30日間保存します。OpenAI が提供する欧州での処理（データレジデンシー）は、現時点では OpenAI が審査のうえ承認した顧客に限られており、本アプリでは利用できません。

あなたが入力した内容と返ってきたおはなしは、OpenAI のモデレーションサービスとモデルに与えたルールにより自動的に確認されます。暴力、性的な内容、憎悪、危険、他人の個人データは説明とともに拒否され、あなたは修正できます。おはなしは3歳から10歳の子ども向けに書かれ、モデルにもそのことが伝えられています。確認ができない場合（サービスが利用できない場合）、おはなしはお届けされません。人工知能が書いたおはなしには、ぎこちない表現が含まれることがあります。読み聞かせる前に読み返し（修正できます）、不適切だと思われる箇所があれば本アプリから当方に通報してください（5.5を参照）。

おはなしを読むのは誰か

おはなしを読み返したら、誰が読むかを選びます。あなたの声（または家族の他の大人の声）か、本アプリの語り手です。いずれの場合も、当方のサーバーは、主人公の名前を含むおはなしの文章を、米国にある当方の音声合成サービス提供者 Cartesia に送り（第7条と第8条を参照）、Cartesia がそれを読み上げて音声を返します。作り直す場合は、新しい箇所または修正した箇所だけが送られます。語り手を選んだ場合、家族の声は使われません。声なしでおはなしを保存することもでき、その場合 Cartesia には何も送られません。

当方のサーバーが保存するもの、保存しないもの

当方のサーバーは、あなたの子どもの名前、あなたのアイデア、おはなしの文章もタイトルも保存しません。あなたの匿名識別子に関連付けて保存するのは、次のものだけです：各箇所の技術的なハッシュ値（文章を復元できない文字列）。これは、ある箇所がすでに確認済みであることを把握し、修正された箇所だけを処理し直すために使います。言語、長さ、年齢、修正回数。そして、作成後最長7日間、あなたの端末がダウンロードするまでの間、あなたの声で読んだおはなし（音声ファイル、Google Cloud Storage、ベルギー）。この音声ファイルでは、あなたの子どもの名前が読み上げられます。音声は作成から7日後に当方のサーバーから消去されます。おはなしを削除した場合、声を削除または変更した場合、「すべて消去」をタップした場合は、それより早く消去されます。ハッシュ値とカウンターは、おはなしを削除したとき、「すべて消去」をタップしたとき、およびおはなしの最後の修正から180日後に自動的に消去されます。

端末に残るもの

シナリオ、文章、選んだ表紙、表紙の写真（選んだ場合）、あなたの声で読んだおはなしは、バックアップの対象外である本アプリの非公開領域で、あなたの端末に保存されます。写真が送信されることはありません。写真は端末のカメラで撮影するか、端末の写真ピッカーで選びます。ピッカーは本アプリにその写真だけを渡します。その後、本アプリは写真をトリミングし、縮小したコピーを保存します。

計測されるもの

利用統計とクラッシュレポートに、名前、アイデア、おはなしの文章やタイトルが含まれることはありません。含まれるのは内容を伴わないイベント（おはなしの作成、テーマ、長さ、年齢、拒否とその理由）だけです。

4. 端末に残るもの

次のものは、あなたの端末にのみ保存されます：

• オフラインで聴けるようにするための、ダウンロードした語り手のおはなし、およびあなたの声で準備したおはなし；
• お気に入りと、各おはなしの再生回数；
• つくったおはなし（「わたしのおはなし」）：シナリオ、文章、表紙または写真、あなたの声で読んだおはなし（バックアップ対象外、3の2を参照）、および次のおはなしのために入力した子どもの年齢；
• 設定（選んだ語り手、おはなしの後の音楽、おはなし中の画面の点灯、ボタンの音、選んだリマインダー）と、本アプリのはじめの画面の状態；
• 声の画像（写真またはイラストのアバター、3.5を参照）；
• 声の送信に同意したこと、および本アプリの評価のお願いにすでに回答したこと。

録音中、あなたの声のサンプルは、聴き直して送信するまでの間、本アプリの一時フォルダーに保存されます。送信が成功した時点で消去されます。送信できなかった場合は、本アプリが送信に成功するまで、あなたが送信をやめるまで、または最長30日間、バックアップの対象外である本アプリの非公開領域で待機します（第3条を参照）。

写真を撮影または選択すると、カメラまたは写真ピッカーが元のファイルを本アプリに渡し、本アプリはそれをトリミングしてから縮小したコピーを保存します。この元のファイルは、縮小したコピーが作成された時点で、またはトリミング画面を離れた時点で、本アプリの一時フォルダーから消去されます。本アプリが突然終了した後などに残ったファイルも、「すべて消去」で消去されます。送信されることはありません。

当方はこれらの情報にアクセスできません。これらは「すべて消去」（設定）または本アプリのアンインストールにより削除されます。あなたの声で準備したおはなしは、声を削除または変更したときにも端末から消去されます。

5. 端末から送信されるもの

5.1 初回起動時から

• 匿名識別子：本アプリはランダムな技術的識別子を作成します（Firebase Authentication の匿名ログイン）。氏名、メールアドレス、電話番号は含まれないため「匿名」と呼んでいますが、あなたのインストールに固有のものであるため、GDPR 上は仮名化されたデータに当たります。あなたの声、準備したおはなし、サブスクリプションを関連付け、利用上限を適用し、あなたの請求に応じてデータを消去するために使われます。
• サービスの保護：当方のサーバーへの各リクエストには、正規のアプリからのものであることを証明する Firebase App Check の証明（Apple の App Attest、Google の Play Integrity）が付されます。この証明に個人的な内容は含まれず、一度だけ有効で、当方が保存することはありません。
• サブスクリプションの状態：本アプリは、サブスクリプションが有効かどうかを確認するため、あなたの匿名識別子をサブスクリプション管理サービス提供者である RevenueCat に関連付けます。
• リモート設定：起動時と、その後は最大で1時間に1回、本アプリは Firebase Remote Config（Google）から、すべての利用者に共通の設定を読み込みます。本アプリの最低バージョンまたは推奨バージョン、アップデートのお知らせ、メンテナンスモード、機能のオン・オフ、評価のお願いに関する設定です。そのために Google は、端末の Firebase インストール識別子と技術的な情報（アプリとバージョン、OS、言語、おおよその国）を受け取り、適切な設定を選ぶために使います。当方はそこに個人データを一切加えません。あなたの声も、文章も、本アプリでのあなたの操作も含まれません。読み込んだ設定は端末に残ります。

利用統計（5.6）とクラッシュレポート（5.7）も、初回起動時から有効です。

5.2 あなたの声

第3条で説明したとおり、あなたの同意がある場合に限ります。

5.3 あなたの声で準備したおはなし

あなたの声でおはなしを聴くとき、当方のサーバーは、あなたに声があること、有効なサブスクリプション（Lunalulu+プラン）があること、使えるムーンがあることを確認します。そのうえで、地の文の文章（おはなしの文章であり、あなたが書いた文章ではありません）をあなたの声の識別子とともに Cartesia に送り、音声ファイルを組み立てます。このファイルは、あなたの匿名識別子に関連付けて、作成後最長7日間、当方のサーバー（Google Cloud Storage、europe-west1 リージョン、ベルギー）に保存されます。本アプリは2分間有効な安全なリンクでファイルをダウンロードし、あなたの端末に保存します。以後はこのコピーが使われます。ファイルが当方のサーバーにもうない場合は、本アプリの条件に従って作り直されます。サーバーは、各おはなしの準備状態（準備完了かどうか、日付、長さ）と、使用した声の技術的なハッシュ値も記録します。これにより、古い声で準備したおはなしが提供されることを防ぎます。

語り手が読むおはなしは全員共通のファイルで、あなたに関するデータは一切含まれません（5.3の3を参照）。

5.3の2 あなたがつくるおはなし

3の2で説明したとおり、「おはなしをつくる」を使う場合に限ります。

5.3の3 語り手のおはなしのダウンロード

語り手のおはなしの音声ファイルは、Hetzner のドイツ（ファルケンシュタイン）にあるファイルストレージに保存されています。これらは全員共通のファイルで、個人データは一切含まれません。おはなしをダウンロードするとき、本アプリは当方のサーバーに10分間有効な安全なリンクを求め、Hetzner から直接ファイルを取得します。このリンクには、あなたの匿名識別子もあなたに関する情報も含まれません。サーバーへのあらゆる接続と同様に、Hetzner は端末の IP アドレスを認識します。当方のサーバーは、不正利用を防ぐため、匿名識別子ごとのダウンロード数を日単位と月単位で数えます（5.4を参照）。

5.4 当方のサーバー上の技術的カウンターとサブスクリプションの状態

当方のサーバー（Google Cloud Firestore、欧州）では、次のものがあなたの匿名識別子に関連付けられています：

• 利用上限を適用するカウンター（作成および削除した声、準備したおはなし、ダウンロードした語り手のおはなし、送信したメッセージ、消去の請求）を日単位と月単位で記録したもの、およびその月にすでに準備したおはなしの一覧；
• あなたのムーン（Lunalulu+プラン）：現在のサイクルで使ったムーン、このサイクルですでに支払ったおはなしの一覧、およびサイクル間の繰越しのための直近のサイクルのムーン数；
• 購入したムーン：ランダムに生成された番号で示され、ムーンの数だけを保持するウォレットで、あなたの匿名識別子に関連付けられたもの。また、ムーンの各購入について、購入が二重に数えられないよう、ストアの取引の不可逆なハッシュ値（取引番号そのものは保存しません）、製品、ムーンの数、日付；
• RevenueCat から伝えられるサブスクリプションの状態（有効かどうか、無料体験中かどうか、期間の日付）。おはなしのたびに問い合わせなくて済むよう記憶しておくものです。また、再インストール後も同じサブスクリプションのムーンを数えられるようにする、不可逆なサブスクリプションキー。

これらには、あなたの声も文章も一切含まれません。

5.5 提案、評価、通報

本アプリから当方に連絡した場合（設定の「アイデアと不具合」、または本アプリを評価した後に表示されるフォーム）、当方は次のものを受け取ります：メッセージの種類（アイデアまたは問題）、あなたが書いた文章、評価した直後であれば1から5の星の数、本アプリのバージョン、端末のシステム（iPhone または Android）、言語、およびあなたの匿名識別子。これらのメッセージには氏名もメールアドレスも含まれないため、当方から返信することはできません。あなた自身やお子さまに関する個人情報は書かないでください。

おはなしの通報。不適切だと思われるおはなしや箇所を通報した場合、当方はさらに、該当するおはなしの参照情報（カタログのおはなし、またはつくったおはなし）と、対象となる箇所（最大2,000文字）を受け取ります。この箇所には、つくったおはなしのためにあなたが入力した名前が含まれることがあります。これは通報の確認と、おはなしや当方のチェックの修正のためだけに使われ、送信から90日後、または「すべて消去」によりそれより早く消去されます。

5.6 内容を含まない利用統計

本アプリを利用している人数や使われている機能を把握するため、本アプリは仮名化されたインスタンス識別子とともに、Firebase 向け Google Analytics に次のものを送信します：表示された画面；内容を伴わない操作（たとえば、声の作成、送信待ちへの登録または削除と送信できなかった技術的理由、おはなしの再生開始または終了とそのモード（語り手または親の声）、お気に入りの追加、検索語を含まない検索の開始、おはなしの後の音楽の設定、ダウンロードしたおはなし、購入の開始とその結果、本アプリの評価）；声を録音済みかどうか、サブスクリプションが有効かどうかの2つの指標；はじめの画面の任意の質問に回答した場合は、あなたが誰か（ママ、パパ、祖父母、その他）、年齢層、本アプリを知った経緯、および「その他の方法で」を選んで入力した場合は入力したとおりの自由回答（最大100文字）；そして Google Analytics が自動的に収集する情報（端末の機種とシステム、言語、おおよその国、セッション、初回起動）。次のものは決して送信されません：あなたの声、おはなしの文章とタイトル、「おはなしをつくる」のために書いた内容、あなたのメッセージ、検索した語句。自由回答「その他の方法で」は送信される唯一の入力内容です。名前、連絡先、お子さまに関する情報は書かないでください。Google Analytics の同意設定では広告は常に拒否されており、広告識別子は収集されません。「すべて消去」を行うと、インスタンス識別子がリセットされます。

5.7 クラッシュレポート

本アプリがクラッシュしたりエラーが発生したりした場合、Firebase Crashlytics は技術的なレポートを受け取ります。内容は、エラーのトレース、端末の機種、システムと本アプリのバージョン、および Crashlytics 固有のインストール識別子です。これらのレポートには、設計上、あなたの声や入力した内容は含まれません。

5.8 購入

支払いは Apple（App Store）または Google（Google Play）が受領するため、当方があなたの身元や銀行情報を見ることはありません。RevenueCat は、あなたのLunalulu+へのアクセスを開放し確認するため、あなたの匿名識別子と、購入または復元の際にストアから伝えられる取引情報（製品、日付、ストアの国と通貨、レシート）を受け取ります。当方のサーバーは、家族の声によるおはなし、またはつくったおはなしを準備する前に、あなたの匿名識別子で RevenueCat に問い合わせます。

5.9 サポートへのメッセージ

メールでご連絡いただいた場合、当方はあなたのメールアドレスとメッセージを、返信のためだけに使います。

5.10 技術ログ

当方のサーバー機能のログには、イベントの種類と数値（所要時間、数量、エラーコード）が記録されますが、あなたの声、文章、あなたの識別子、あなたの声の識別子が記録されることはありません。あらゆるオンラインサービスと同様に、Google Cloud のリクエストログには、各呼び出しの送信元 IP アドレスを含む技術的な接続データも記録されます。不正利用を抑えるため、当方のサーバーは IP アドレスごとの呼び出し回数も数えます。当方が IP アドレスそのものを記録することはなく、毎日ランダムに生成される鍵で計算したハッシュ値（IPv6 アドレスの場合はそのプレフィックスのハッシュ値）だけを記録し、このハッシュ値はカウンターとともに3日後に消去されます。異なる日同士を結び付けることはできません。

5.11 通知

本アプリは、はじめの画面で通知を許可するかどうかをたずねます。許可しないこともでき、端末の設定でいつでもオフにしたりオンに戻したりできます。通知に広告が含まれることはありません。通知には2種類あります：

• 端末上で予約される通知（たとえば、おはなしの時間のリマインダー、ダウンロードしたおはなし、ムーンの補充）：本アプリが自ら準備し、何も送信しません。
• 当方のサーバーから送信される通知（たとえば、本アプリを閉じている間に、あなたの声で準備したおはなしの準備が整ったとき）：Firebase Cloud Messaging（Google）を経由し、iPhone では Apple の通知サービスを経由します。そのため本アプリは、この端末固有の通知トークンを、システム（iPhone または Android）および本アプリの言語とともに、あなたの匿名識別子に関連付けて、本アプリからは読み取れない領域に当方のサーバーに登録します。メッセージはあなたの言語で書かれた本アプリの文章で、あなたの声もつくったおはなしの文章も含まれません。

トークンは、端末が新しいトークンを発行すると置き換えられ、「すべて消去」または本アプリを12か月間開かなかった場合に削除されます。通知を許可しない場合、あなたに通知を送るためにトークンが使われることはありません。

6. 目的と法的根拠

7. 受領者と処理者

あなたのデータにアクセスできるのは、発行者と、以下に記載する、発行者に代わって処理者として行動するサービス提供者（GDPR 第28条）だけです。ただし、販売については自らの責任で行動する Apple と Google を除きます。

これらのサービス提供者はいずれも、契約によりデータの機密性と安全性を確保する義務を負っています。データを第三者に販売、貸与または譲渡することはありません。当局にデータを提供するのは、法的根拠のある請求があった場合に限られます。

8. 欧州連合域外への移転

当方のサーバー機能、データベース、準備したおはなしの保存、および語り手のおはなしの保存（Hetzner、ドイツ）は、欧州連合域内にあります。一方、あなたの声は、米国に拠点を置く企業 Cartesia が処理します。そのため、あなたの声のサンプル、合成音声、読み上げる箇所の文章（あなたがつくるおはなしの文章を含みます）は、米国で処理されることがあります。Cartesia のデータ処理補遺は、欧州委員会が採択した標準契約条項（決定（EU）2021/914、管理者から処理者へのモジュール）により、これらの移転を規律しています。つくったおはなしの作成は、米国で OpenAI が行います。これらのおはなしのシナリオ、指示、文章は米国で処理されます。OpenAI Ireland Limited と締結した OpenAI のデータ処理補遺は、欧州委員会の標準契約条項（GDPR 第46条）、または適用される場合は十分性認定（第45条）により、この移転を規律しています。その他のデータも、当方のサービス提供者またはその関連会社により、欧州連合域外、特に米国で処理されることがあります。対象は、RevenueCat、グローバルなサービス（匿名ログイン、App Check、Crashlytics、Analytics、Firebase Cloud Messaging、Remote Config）を提供する Google、および該当する場合はウェブサイトを配信する Cloudflare です。これらの移転は、受領者が参加している場合は EU-米国データプライバシー・フレームワーク（Data Privacy Framework）により、それ以外の場合は欧州委員会の標準契約条項により規律されます。これらの保護措置については、第1条に記載の連絡先でお問い合わせいただけます。

9. 保存期間

当方のサーバーでの自動消去は、予定された期限に、通常はその数日以内に Google が実行します。重要：本アプリをアンインストールしても、Cartesia のもとにあるあなたの声や、当方があなたと結び付けることのできない匿名識別子に関連付けられた当方のサーバー上のデータは、すぐには消去されません。これらは、本アプリを最後に開いてから12か月後に自動的に消去されます。すぐに消去したい場合は、本アプリをアンインストールする前、または端末を変更する前に、「わたしの声を削除」または「すべて消去」をタップしてください。いずれの場合も、アクセスできない状態のコピーが当方の安全のためのバックアップに最長14日間残り、その後完全に消去されます（上の表を参照）。

10. 私たちが行わないこと

• 本アプリにもウェブサイトにも広告はありません。
• 広告目的のトラッキングやプロファイリングは行いません。広告識別子は収集せず、他のアプリやサイトでのあなたの行動を追跡しないため、Apple のトラッキング許可（App Tracking Transparency）を求めることもありません。
• 位置情報の取得、連絡先へのアクセス、写真ライブラリへのアクセスは行いません。本アプリに渡されるのは、あなたが表紙や声の画像用に撮影または選択した写真だけで、その写真はあなたの端末に残ります。カメラは「写真を撮る」を選んだときにだけ使います。
• あなたの声を、あなたのおはなし以外に使うことも、他の人に配信することもありません。
• データの販売、貸与、交換は行わず、データブローカーも利用しません。
• アカウントはなく、お子さまに何かを求めることもありません。「おはなしをつくる」で入力した名前は、おはなしを書いて読むためだけに使われ、当方のサーバーに保存されることも、統計に含まれることもありません。

11. 端末の権限

• マイク：声を録音するときだけ求めます。本アプリが、あなたが開始した録音以外で音声を聞き取ることはありません。
• バックグラウンド再生と画面の点灯：画面が消えてもロック画面の再生コントロールでおはなしを続けるため、または選択した場合に画面を点灯したままにするため。
• カメラ：「写真を撮る」を選んだとき、つくったおはなしの表紙または声の画像のためにだけ使います。iPhone と iPad では、そのときに許可を求めます。Android では、本アプリは許可を求めずに端末のカメラを開きます。本アプリに渡されるのは、あなたが確定した写真だけです。それ以外に何かを撮影したり記録したりすることはなく、その写真があなたの写真ライブラリに追加されることも、送信されることもありません。本アプリは写真をトリミングし、縮小したコピーを、バックアップの対象外である本アプリの非公開領域に保存します（3.5、3の2、第4条を参照）。カメラを拒否して、撮影済みの写真を選ぶこともできます。
• 写真：写真ライブラリへのアクセス権限は求めません。端末の写真ピッカーが、表紙や声の画像用にあなたが選んだ写真だけを本アプリに渡します。
• インターネット：おはなしのダウンロード、あなたの声、つくったおはなしの作成、おはなしの準備、購入、チームへのメッセージ、クラッシュレポート、統計のため。

これらの権限は、端末の設定でいつでも取り消すことができます。

12. セキュリティ

• 当方のサーバーおよびサービス提供者とのやり取りは、すべて暗号化されています（HTTPS）。
• 当方のサーバーは、正規のアプリ（App Check、1回限りのトークン）と識別されたセッションからのリクエストのみを受け付けます。
• Cartesia でのあなたの声の識別子、カウンター、サブスクリプションの状態は、本アプリからは読み取れません。準備したおはなしの状態を読めるのはあなただけで、音声ファイルは2分間有効な署名付きリンク（語り手のおはなしは10分間）でのみ取得できます。
• Cartesia、RevenueCat、OpenAI へのアクセスキーはサーバー上の、当方の機能だけが読めるシークレット保管庫にあり、本アプリ内に置かれることはありません。人工知能を呼び出すのはサーバーだけです。
• 利用上限により、サービスとあなたの声を不正利用から守っています。
• 当方のサーバーに保存されたデータは、予定された期限に、または本アプリからのあなたの請求により、自動的に消去されます。
• 障害やミスのあとにサービスを復旧するため、当方のサーバーはデータベースとファイルの安全のためのバックアップを保持しています。バックアップには本アプリからアクセスできず、ほかの目的には使いません。消去されたデータがバックアップに残るのは最長14日間で、その後完全に消えます。

完全に安全なシステムはありません。端末をパスコードで保護し、システムを最新の状態に保ってください。

13. あなたの選択と権利

本アプリでは、いつでも次の機能を利用できます：

• 「わたしの声を削除」（設定の「あなたの声」）：同意を撤回し、あなたの声と、その声で準備したおはなし、およびつくったおはなしの音声を削除します（3.5を参照）；
• つくったおはなしの削除（「このおはなしを削除」ボタン）：あなたの端末と当方のサーバーから消去します；
• 「すべて消去」（設定）：Cartesia のもとにあるあなたの声、準備したおはなし、つくったおはなしとその写真、声の画像、あなたの声の識別子と同意の証明、当方のサーバーが保持するサブスクリプションの状態、通知トークン、提案・評価・通報、および端末上のお気に入りと設定を削除し、統計用の識別子をリセットします。利用上限が引き続き適用されるよう、あなたの匿名識別子は、内容のない状態で保持されます。したがって、次のものは残ります：期限が来ると消去される技術的カウンターとムーンのカウンター（第9条を参照）、あなたのものである購入したムーンとその購入のハッシュ値、匿名識別子（Google の匿名ログインアカウントと RevenueCat の記録）、Apple または Google のサブスクリプション情報、およびすでに送信され、期限が来ると消去されるログ、レポート、統計（第9条を参照）。オフラインの場合、端末上のデータはすぐに消去され、当方のサーバーでの消去は次に本アプリを開いたときに再実行されます。サブスクリプションはあなたの Apple または Google のアカウントに関連付けられたままで、「購入を復元」で復元できます。

あなたが消去したものは、本アプリとサービスからすぐに消えます。アクセスできない状態のコピーが当方の安全のためのバックアップに最長14日間残り、その後完全に消去されます（第9条を参照）。

GDPR 第15条から第22条に基づき、あなたには、アクセス権、訂正権、消去権、処理制限権、異議申立権、データポータビリティ権、それまでに行われた処理の適法性に影響を与えることなくいつでも同意を撤回する権利、および死後の自己のデータの取扱いに関する指示を定める権利（フランスの「Informatique et Libertés」法第85条）があります。これらの権利は、[email protected] へのメールで行使できます。1か月以内に回答します。複雑な請求の場合、この期間は2か月延長されることがあります。

当方はあなたの身元を知らないため、あなたの匿名識別子に関連付けられたデータを、氏名やメールアドレスから探し出すことはできません。上記の本アプリの機能が、権利を行使する最も確実で速い方法です。利用統計とクラッシュレポートについては、当方に連絡することで異議を申し立てることができます。ただし、これらはあなたに関する情報と結び付いていないため、当方があなたに関するものを特定することはできません。現時点では、「すべて消去」の後に本アプリをアンインストールすることが、これらの送信を確実に止める方法です。購入に関する情報は、Apple または Google のもとでも管理できます。

14. 子ども

Lunalulu アプリは、親および子どもの世話をする大人のためのものです。本アプリをインストールし、成年であることを確認したうえで自分の声を録音し、サブスクリプションを管理するのは大人です。子どもは、3歳から10歳の子ども向けに書かれたおはなしを聴きます。人工知能が書いたおはなしは、お届けする前に確認されます（3の2を参照）。また、どのおはなしでも本アプリから当方に通報できます。本アプリはアカウントを作成せず、子どもに広告、購入、他の人とのやり取りを提供することもありません。名前と年齢をたずねるのは「おはなしをつくる」機能だけで、それも大人であるあなたにたずねるものです。これらはおはなしを書くためだけに使われます（3の2を参照）。お子さまの名前は未成年者の個人データです。それ以上の情報（名字、学校、住所、健康状態）は入力しないでください。子どもの声を録音しないでください。また、本アプリから送るメッセージにお子さまに関する情報を書かないでください。未成年者が自分の声を録音したと思われる場合は、当方にご連絡ください。「わたしの声を削除」と「すべて消去」で、その声はすぐに削除されます。

米国の利用者（COPPA）。本アプリは大人を対象としており、児童オンラインプライバシー保護法（Children's Online Privacy Protection Act、COPPA）にいう13歳未満の子どもを対象としていません。子どもから直接個人情報を収集することはなく、子どもにアカウント、購入、他の人とのやり取りを提供することもなく、ターゲティング広告もトラッキングも行いません。「おはなしをつくる」で入力する名前と年齢は、親が自分の利用のために入力するものです。これらはおはなしを書き、読み上げるためだけに使われ、当方のサーバーには保存されません（3の2を参照）。13歳未満の子どもが、たとえば自分の声を録音したり当方にメッセージを送ったりして、当方に個人情報を送ったと思われる場合は、[email protected] までご連絡ください。速やかに削除します。

15. ウェブサイト

このウェブサイトは Cookie を設定せず、以下に記載する匿名のカウンターを除き、アクセス解析ツールを使用しません。フォントはサイトとともにホストされているため、あなたのブラウザがフォント、広告、計測のサービスに接続することはありません。サイトは OVH がホスティングしており、攻撃からサイトを守り表示を高速化する Cloudflare のネットワークを通じて配信されることがあります。これらのサービス提供者は、これらの目的に限り、あなたの訪問に関する技術データ（IP アドレス、リクエストされたページ、日付）を限られた期間処理します。

唯一の例外は共有ページ /app（本アプリから共有され、当方の SNS に掲載されるリンク）で、匿名のカウンターを備えています。記録するのは、1日ごとの訪問数と App Store または Google Play へのクリック数で、ページの言語、端末の種類、国、リンクに示された流入元とともに記録します。Cookie は設定されず、識別子も作成されず、IP アドレスも記録されません。誰かを特定することのできない合計値だけです。このカウンターは Devolim に代わって Cloudflare がホストしており、その数値は13か月後に消去されます。

16. セキュリティインシデント

個人データ侵害が発生した場合、当方は GDPR 第33条の条件に従って CNIL に通知し、あなたの権利と自由に対して高いリスクをもたらすおそれがある場合は、同第34条に従い、本アプリ内またはこのサイトでお知らせします。

17. 監督機関への苦情申立て

当方に連絡した後も、あなたの権利が尊重されていないとお考えの場合は、フランスの監督機関である Commission nationale de l'informatique et des libertés（CNIL）に苦情を申し立てることができます：3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07、またはオンラインで cnil.fr。欧州連合の他の加盟国に居住している場合は、居住国の監督機関に申し立てることもできます（GDPR 第77条）。

18. 変更

本ポリシーは、法令や技術の変化に対応するために変更されることがあります。最終更新日はページ上部に記載しています。重要な変更は本アプリ内でお知らせし、あなたの声の送信に関わる変更の場合は、改めて同意をお願いします。