III　店舗管理者向けプライバシーポリシー

1. このポリシーについて

このポリシーは、tellme letterの店舗管理者のアカウント、店舗、手紙、料金、利用状況の情報について説明します。手紙を送る方の情報は、投稿者向けポリシーで説明します。運営者の氏名・名称、住所、連絡先は、特定商取引法に基づく表示およびお問い合わせページに記載します。版・施行日時：未決定（採用前）。

2. 取得する情報

アカウントの登録メールアドレス、認証・アカウント識別情報、店舗名、住所、業種・地域、Webサイト・公開URL、ポスト・QRコードの管理情報、登録経路、契約・プラン・請求・支払い状態、お問い合わせ内容を取得します。

届いた手紙の原文、受信日時、送信先の店舗・ポスト、初回開封・返信・期限、公開選択、表示した説明の版・内容、同意と撤回・停止・処理の記録を管理します。店舗の情報が変更された場合、手紙を当時の店舗情報と対応させるための履歴を管理します。未確認の業種・地域は推測で補いません。

カードの設置確認、画面表示、送信・開封・返信など利用の流れを、目的に必要な範囲で記録します。設置確認は確認した時点の事実で、継続設置の証明ではありません。フォーム表示回数は人数ではなく、手紙の受信日時は来店日時とは限りません。

紹介や広告の経路では、UTM、紹介コード、広告クリック識別子、参照元等を取得することがあります。サービス改善イベントにはランダムな識別子や必要な店舗・操作情報を使い、そのイベントへ手紙本文、連絡先、端末指紋、詳細な位置情報を複製しません。改善イベントは、経路・施策・店舗・操作種別や状態等を用途に必要な範囲で記録し、パス中の確認用トークンを除去します。これだけで外部解析やすべての運用が有効化済みとは説明しません。

DM・案内物の発送では、公開情報等に基づく店舗名、住所、業種、連絡先、担当者、Webサイト・SNS・地図の公開情報、取得元、運営会社や関連店舗と確認根拠、配送方法・追跡番号、設置証跡、発送・送付停止の情報を管理することがあります。

3. 利用目的

情報は、アカウント認証と権限確認、ポスト・手紙・返信の提供、契約・料金・決済管理、通知、問い合わせ・サポート、DM等の発送と送付停止、紹介・登録経路の把握、不正利用対策、障害調査・安全管理、法令対応、権利申告・紛争対応のために利用します。

手紙の内容と利用状況は、tellme letterの使いやすさ・機能・運営の改善、店舗自身が声を理解して運営に役立てる分析機能・サービスの開発・提供、業種・地域・時期ごとの傾向から店舗運営に役立つ知見を作るために利用します。原文・文脈と将来の分析結果を区別し、処理方法や実行日を別に管理します。現在、手紙の自動AI分類は実行しません。

外部へ提供する知見は、個人・個別店舗を特定できない集計を基本とします。集計の粒度や少数データの扱いは未確定で、公開可能な集計が既に完成したことを意味しません。原文の第三者販売と外部AIの学習利用は初期の利用範囲に含めません。追加用途は、必要な説明、手続き、権利関係を別に確認してから行います。

4. 店舗の公開許可と運営者の利用

投稿者が新しい説明の下で明示的に許可した手紙だけを、送信先店舗が原文のまま提供便箋で、自店のSNS、Webサイト、店頭掲示、印刷物、有料広告を含む宣伝に利用できます。Standard・Plus・対応する新DM体験で条件は共通です。非公開の選択、撤回、説明の版等を記録し、公開出力時に確認します。新しい許可のない過去の手紙へ遡及しません。

この選択から運営者の事例紹介・広告への掲載許可を自動的に取得しません。店舗による宣伝への公開許可と、運営者によるサービス提供・目的別分析の根拠は別に管理します。本文の著作権は投稿者に留まります。返信、管理画面、確認ページのURL、認証情報は公開許可に含みません。

5. 原文保有と店舗の利用期限

店舗の閲覧・ダウンロード・公開出力の期限は、プランと手紙の状態により定まり、画面に示します。期限後はこれらのサービス内利用を止めます。運営者の原文には固定の保持期限を設けず、店舗の期限到達だけで自動削除しません。

目的と保有の必要性を見直し、不要となった情報や、法令上削除・利用停止が必要な情報について適切に対応します。あらゆる将来用途のために無条件で永久保有する方針ではありません。運営内で原文にアクセスする担当は運営者本人とし、本人が3か月ごとに保有の必要性を見直します。原文の取得は担当者と対象を監査記録に残す方針です。公開前に本番の実権限と、削除・停止の外部サービス・バックアップへの反映方法を確認します。

新しい規約・プライバシー説明への同意について、表示した説明の内容・版・ハッシュ、発行・有効期限・同意受理日時、対象との結合情報を、同意の証明、登録・申込み・公開条件の確認、不正利用防止、問い合わせ・紛争対応に必要な範囲で記録します。登録メールから作る秘密鍵付きHMAC、ユーザー・店舗・手紙との識別・結合情報、Auth試行の記録、決済申込み世代と同意記録の結合を含みます。HMACは匿名化ではありません。生メールは同意台帳へ複製しませんが、認証サービスでは扱います。決済サービスの識別子等は別の契約・決済記録にも保持されます。

同意していない期限切れ記録は、同意操作の有効期限から30日後を削除の基準とします。登録・申込み等が成立しなかったと確認できた記録は、その確認日時から30日後を基準とします。成立した同意や、送信・登録・決済の結果が不明な試行を、未同意・不成立とみなして削除しません。成立した同意は、関連する利用や公開許可に必要な間と、その終了後5年を原則として、必要最小限の証跡を保持します。30日・5年は運用方針であり、法律で一律に義務づけられた期間や法的十分性を保証するものではありません。

公開許可の終了は、合理的な確認を経て撤回・停止が有効となった日時など、許可の終了を確認できる事実から判断します。外部画像・印刷物の完全回収を終了条件にせず、アプリで便箋を作成できる期限とも区別します。別の利用関係が続く場合は、その関係も確認して保存終了の起算点を判断します。

終了日時が不明、Auth結果不明、未解決決済、問い合わせ・紛争対応その他必要な確認中の記録は機械的に削除しません。保留理由、確認担当、次回確認日、解除条件を記録し、運営者本人が定期的に見直します。保留解除だけを理由に成立証跡の保存起算日を変更せず、確認された事実と必要性に基づき削除時期を判断します。

上記は新しい同意・登録・申込みの記録に関する保存方針です。原文の固定期限や、他の契約・会計・監査・外部ログすべての一律期限を定めるものではありません。バックアップや外部サービスへの削除反映には対象ごとの確認が必要で、依頼の受付と同時に完全消去される保証ではありません。

紹介クリックのIPアドレス・User-Agentは180日を保持の基準とし、クリックから180日を超えた情報を定期処理でNULL化する方針です。180日ちょうどの瞬時消去を保証するものではありません。DM利用・導線分析とサービス改善の詳細記録には、当面、固定の保存期限を設けず、1年後の自動削除を行いません。現在取得する店舗・利用者・DM等の識別・結合情報、操作・経路・状態等も必要な範囲で保持する方針で、個人を識別しない集計だけを残すという意味ではありません。運用後に目的と保有の必要性を確認し、必要に応じて方針を見直します。この方針は法令に基づく削除・利用停止への対応を除外せず、手紙原文や契約同意等の別の保持条件を変更するものではありません。方針の採用と本番の処理・Cron反映は別に確認します。個人を識別しない集計は目的に必要な範囲で別に保持することがあります。送付停止は再送防止に必要な最小限の情報を保持します。契約・会計・不正対策・安全管理・紛争等の記録は目的と法令に必要な期間を別に管理し、原文の「固定期限なし」をこれらすべてへ広げません。

6. 委託・外部サービス

主要DBおよびファイル保存先には東京を設定していますが、サーバー処理の一部、メール配信に伴う保存、ログ管理、サポート等は国外でも行われます。以下は確認済みの設定と各社の公開仕様であり、個別契約による変更まで確認したものではありません。

SupabaseのDB保存先は東京（ap-northeast-1）、DBバックアップは7日、PITRは未有効です。公開仕様ではDB・Auth・バックアップは選択地域に置かれますが、ログはEU、アカウント管理・サポート等は地域外でも処理されます。Pro公開料金表のAuth Audit・API・DBログは7日ですが、任意にDB保存するauth.audit_log_entriesを含む全情報の7日削除を保証するものではありません。

Vercelのアプリ実行は米国東部（iad1/us-east-1、Washington DC）で、Observability PlusのRuntime logsは30日です。制限記録のBlob保存先は東京・privateです。Runtime logsの期間をBlob固有ログや他の成果物へ広げません。private BlobのCDN既定キャッシュ1か月は保存物の削除期限ではなく、公開SDKの削除後CDN反映は最大約1分でも、全複製の即時消去を保証しません。

Resendの送信ドメイン設定はap-northeast-1で、開封・クリック追跡は無効です。送信元地域と保存地域は異なり、公開仕様では本文・配送ログ・Webhook・アカウント情報は米国で保存されます。Free・Pro・Scaleのメールログは30日、Enterpriseは個別条件、バックアップは7日です。契約終了後の残存顧客データは法令等の例外を伴う90日以内の削除条件があり、全データが37日で消えるという意味ではありません。

削除対応後も、バックアップ・運用・決済の記録は各保持期間や法令上の義務に従い残存する場合があります。DB内の個別削除が既存バックアップへ遡及する保証はありません。本サービスでは復元後に最新の撤回・削除・停止記録を再適用し、照合が完了するまで対象の利用を再開しない運用を行います。本番接続とこの手順の受入は提供開始前に確認します。

サービスの運営に必要な処理を外部事業者に委託する場合、対象を必要な範囲に限り、安全管理と委託先の管理を行います。用途の説明は次のとおりです。有効化していない機能を提供中と説明するものではありません。

| サービス | 対象となる処理・確認範囲 | |---|---| | Supabase | 認証・店舗・手紙・返信等の保存と権限管理。公開標準契約の主要処理者はSupabase Pte. Ltd.（シンガポール）、marketplaceでは例外があります。個別契約先は未確認です。 | | Cloudflare Turnstile | 利用する場合のbot確認・不正投稿対策。remote IP等を検証のため送信。処理地域・保持条件は未確認。 | | Resend | 店舗通知・お問い合わせ通知と返信。公開標準契約はPlus Five Five, Inc.。米国保存と対象別の保持は上記のとおりで、個別契約の例外は未確認です。 | | Stripe | 支払方法・請求・月額契約と決済状態。削除・終了後も法令、税・会計、不正対策等のため記録が残る場合があり、Customer削除は全取引記録の消去ではありません。Account Countryが日本なら標準契約はStripe Japan Inc.でSPELも処理に関わりますが、実アカウント国・個別合意は未確認です。 | | Vercel | アプリの配信・実行。公開標準契約はVercel Inc.、米国を中心とする処理や他国移転があります。実行地域・Runtime logsの確認範囲は上記のとおりです。 | | Vercel Blob | 撤回・削除・処理停止の累積制限記録。東京・privateを確認。本番接続、Blob固有内部ログ保持とバックアップ残存条件は未確認です。 | | Sentry | 有効化している場合の障害監視・エラー調査。本文・認証情報等を送らないよう制御。適用する保持・削除条件や処理地域は未確認。 | | OpenAI | 運営者の確認操作によるお問い合わせ返信案。新v3の手紙自動分類には使用しない。適用する保持・削除条件等は未確認。 | | Google Analytics / Plausible | 有効化している場合のアクセス解析・利用状況把握。未有効の解析を有効と説明せず、適用範囲・保持・処理地域は確認した範囲に限ります。 |

問い合わせ返信案を作る場合、お問い合わせの種別、件名、本文、問い合わせ者名、必要な店舗候補・FAQなどを送ることがあります。案は運営者が確認・修正してから送信します。手紙の自動分類や、原文を外部AIの学習に利用する許可とは別です。

制限記録に保存するのは、操作・対象手紙の識別子、公開停止・削除・処理停止の区分、記録全体の版・改訂番号・整合性確認用ハッシュです。手紙本文、メールアドレス、本人確認資料、申告理由、生の確認URL・トークンをこの記録へ複製しません。識別子はDBとの照合で対象に結び付くため、匿名情報と説明しません。

この記録は、DB復元で撤回・削除・停止済みの内容が再び利用可能になることを防ぐため、原文・同意証跡の台帳と別に管理する累積記録です。同意証跡の30日・5年を、その一律削除期限へ読み替えません。復元後は最新の制限を再反映するまで対象の利用を再開しない運用方針です。保管先のprivate設定だけで、本番の接続、本人限定の実権限、復元後の反映が完了したとは説明しません。

外部サービスの取扱いは各社の公開仕様・契約条件と本サービスの利用範囲に従います。個別契約や未確認の条件を確認済みとせず、必要な情報提供・更新を行います。国外移転の法的適合性、国内限定処理、全複製の即時消去を保証する説明ではありません。

7. 安全管理

認証、権限確認、アクセス制御、通信の保護、ログへ含める情報の制御、必要性の見直し等により情報を管理します。返信確認URLの生トークンを手紙データベースへ保存せず、ハッシュ値で照合します。公開便箋へ確認URL、内部ID、認証情報、返信を含めません。匿名の原文にも個人情報が含まれ得るため、運営内での閲覧も目的と役割に必要な範囲に限ります。

サービス内の閲覧期限は、本文の閲覧・ダウンロードと公開用便箋の作成・再取得の期限です。期限内に保存した公開用便箋の外部利用には、一律の期間を設けません。ただし、公開許可が撤回された後も継続利用してよいという意味ではありません。

公開許可が撤回されたら、管理画面での公開用便箋の作成・再取得を停止し、店舗へ撤回を通知して、掲載停止・削除をお願いします。すでに保存・掲載された外部の画像や印刷物は店舗が対応します。tellmeが外部の掲載物を直接削除・回収したり、完全な削除を保証したりするものではありません。公開許可の撤回だけで、元の手紙の私的閲覧・非公開保存の権限を変更するものではなく、それぞれの通常の条件と期限が適用されます。

公開許可の撤回後も、期限内の再読と非公開PDF保存は通常条件で継続します。撤回後に新たに作成・取得する私的保存PDFの各ページに、原文を改変せず「非公開・店舗内保存用」「公開許可は撤回されています」の表示を添えます。公開用便箋の作成・再取得は停止します。既に保存されたファイルの表示を遡って変更することはできません。店舗へ撤回を通知し、既存の外部掲載物の掲載停止・削除を求め、対応を記録します。非公開の私的保存は外部掲載の許可ではありません。

8. 開示・訂正・削除・利用停止、公開の停止

情報の確認、訂正、削除、利用停止、権利に関する相談は、お問い合わせフォーム（`/contact`）で受け付けます。対象特定と本人・権限の確認のため、必要な情報と安全な提出方法を案内します。申請内容と法令に従い、対応するかどうかやその理由を説明します。

投稿者による公開許可の撤回は、確認ページまたは窓口から受け付け、合理的な確認後に公開状態の変更・出力停止・店舗通知・記録を行います。投稿者確認ができない場合に応じられないことがありますが、第三者の個人情報・権利に関する申告は別に受け付け、投稿者ではないことだけで退けません。外部媒体のファイルを自動回収する機能はありません。

9. 変更とお問い合わせ

法令、サービス、処理内容の変更に応じて本ポリシーを改定し、重要な変更はサービス上の表示など適切な方法で知らせます。利用目的を追加する場合は必要な説明・手続きを行います。お問い合わせはサービスのお問い合わせフォーム（`/contact`）へご連絡ください。