IV　手紙を送る方向けプライバシーポリシー

1. このポリシーについて

このポリシーは、tellme letterから店舗・施設へ手紙を送る方の情報の取り扱いを説明します。運営者の氏名・名称、住所、連絡先は、特定商取引法に基づく表示およびお問い合わせページに記載します。版・施行日時：未決定（採用前）。店舗管理者のアカウントや決済情報は店舗管理者向けポリシーで説明します。

2. 取得する情報と匿名性

名前、メールアドレス、電話番号、SNSアカウントの入力は求めません。手紙原文、送信先店舗・ポスト、受信日時、公開・非公開の選択、表示した説明の内容・版・表示時刻、送信・同意の記録、初回開封・返信の記録、返信確認に必要な情報、不正利用対策に必要な情報を取得します。本文に氏名、連絡先、勤務先、詳しい日時や場所などを書くと、その情報も店舗管理者へ届きます。匿名で届けたい場合は本文にも特定につながる情報を書かないでください。

投稿者に年齢、性別、住所を新たに質問したり、端末をまたいで追跡したりする方式は採用しません。受信時刻を来店時刻、表示回数を人数として扱いません。

3. 通信・不正投稿対策とブラウザ保存

通常の手紙送信では、IPアドレス、User-Agent、ブラウザ内の送信者識別子などを基にHMAC化したrate keyを手紙データベースへ保存し、連続・不正投稿を防ぎます。その手紙データベースには送信時の生IPアドレスを保存しません。bot確認のCloudflare Turnstileでは、検証に必要なremote IP等をCloudflareへ送ります。これは、すべての通信事業者やネットワークログにIPが一切存在しないという説明ではありません。

入力途中の下書きや送信者識別子をブラウザ内へ保存することがあります。画面改善では、同じタブの表示、入力開始、送信試行、成功・エラーを結ぶランダムIDを用います。その改善イベントに手紙本文、氏名・連絡先、端末指紋、詳細位置情報を保存せず、改善・利用調査の詳細記録には当面、固定の保存期限を設けず、1年後の自動削除を行いません。運用後に目的と保有の必要性を確認し、必要に応じて見直します。法令に基づく削除・利用停止等には対応し、手紙原文や契約同意等の別の保持条件は変更しません。本番での処理・Cron反映は別に確認します。下書きはブラウザの消去等で失われる場合があります。

4. 利用目的

情報は、店舗への手紙の送信・閲覧、店舗からの一度限りの返信と確認ページの提供、不正・連続投稿やbot対策、障害調査・安全管理、お問い合わせ・削除・利用停止・権利申告への対応に利用します。

手紙の内容と利用状況は、tellme letterの使いやすさ・機能・運営を改善し、店舗自身が声を理解して運営に役立てる分析機能を開発・提供し、業種・地域・時期ごとの集計から店舗運営に役立つ知見を作るため、必要な範囲で利用します。原文と分析結果は別に管理し、現在、手紙の自動AI分類は行いません。

外部向けの知見は、個人・個別店舗を特定できない集計を基本とします。具体的な粒度・少数データの扱いは未確定で、公開可能な集計が完成したと説明しません。原文の第三者販売や外部AIの学習利用は初期の利用範囲に含めません。将来の追加用途は、その用途に必要な説明・手続き・権利関係を別に確認します。

5. 店舗が外部掲載できる手紙

送信前に、公開を許可するか、非公開にするかを明示的に選びます。どちらでも送信、店舗の閲覧、返信の条件は変わらず、自動公開はされません。公開を許可すると、送信先店舗が自店のSNS、Webサイト、店頭掲示、印刷物、有料広告を含む宣伝に、提供便箋で原文全文を無償掲載できます。文章の加筆、削除、伏字、要約、言い換えは認めません。文章内容を変えない改行・ページ分割は行います。

返信、管理画面、確認ページのURLは公開許可に含まれません。運営者による事例紹介・広告の掲載許可を、この選択から自動的に取得しません。手紙の著作権はあなたに留まります。運営者の目的別の利用と、店舗への掲載許可は別に管理します。

選択、説明の版、記録日時等を保存し、公開出力時に確認します。非公開の手紙や新しい明示同意を確認できない過去の手紙へ公開許可を追加しません。店舗のプラン変更だけで選択を変更しません。本人・第三者の特定や権利侵害のおそれがある場合は店舗に掲載を見送るよう求めます。

6. 保有と削除・停止

店舗が手紙を読める期限と、運営者の原文保有は別です。原文には固定の保持期限を設けず、店舗の閲覧期限を過ぎただけで自動削除しません。保存の目的と必要性を見直し、不要となった情報や、法令上削除・利用停止が必要な情報に適切に対応します。すべての情報を無条件に永久保有し、あらゆる将来用途へ利用するという意味ではありません。

同意・運用・監査の記録やバックアップは、原文と別の必要性・期間により管理します。運営内で原文にアクセスする担当は運営者本人とし、本人が3か月ごとに保有の必要性を見直します。原文の取得は担当者と対象を監査記録に残す方針です。公開前に本番の実権限と、停止・削除の外部サービス・バックアップへの反映方法を確認します。

新しい規約・プライバシー説明への同意について、表示した説明の内容・版・ハッシュ、発行・有効期限・同意受理日時、投稿セッションや手紙との識別・結合情報を、同意の証明、公開条件の確認、不正利用防止、問い合わせ・紛争対応に必要な範囲で記録します。これらの識別・結合情報を匿名化済みとは説明しません。投稿者に店舗登録用メールや決済情報の入力を求めるものではありません。店舗登録・認証・決済同意の記録は店舗管理者向けポリシーで説明します。

同意していない期限切れ記録は、同意操作の有効期限から30日後を削除の基準とします。登録・申込み等が成立しなかったと確認できた記録は、その確認日時から30日後を基準とします。成立した同意や、送信・登録・決済の結果が不明な試行を、未同意・不成立とみなして削除しません。成立した同意は、関連する利用や公開許可に必要な間と、その終了後5年を原則として、必要最小限の証跡を保持します。30日・5年は運用方針であり、法律で一律に義務づけられた期間や法的十分性を保証するものではありません。

公開許可の終了は、合理的な確認を経て撤回・停止が有効となった日時など、許可の終了を確認できる事実から判断します。外部画像・印刷物の完全回収を終了条件にせず、アプリで便箋を作成できる期限とも区別します。別の利用関係が続く場合は、その関係も確認して保存終了の起算点を判断します。

終了日時が不明、Auth結果不明、未解決決済、問い合わせ・紛争対応その他必要な確認中の記録は機械的に削除しません。保留理由、確認担当、次回確認日、解除条件を記録し、運営者本人が定期的に見直します。保留解除だけを理由に成立証跡の保存起算日を変更せず、確認された事実と必要性に基づき削除時期を判断します。

上記は新しい同意・登録・申込みの記録に関する保存方針です。原文の固定期限や、他の契約・会計・監査・外部ログすべての一律期限を定めるものではありません。バックアップや外部サービスへの削除反映には対象ごとの確認が必要で、依頼の受付と同時に完全消去される保証ではありません。

サービス内の閲覧期限は、本文の閲覧・ダウンロードと公開用便箋の作成・再取得の期限です。期限内に保存した公開用便箋の外部利用には、一律の期間を設けません。ただし、公開許可が撤回された後も継続利用してよいという意味ではありません。

公開許可が撤回されたら、管理画面での公開用便箋の作成・再取得を停止し、店舗へ撤回を通知して、掲載停止・削除をお願いします。すでに保存・掲載された外部の画像や印刷物は店舗が対応します。tellmeが外部の掲載物を直接削除・回収したり、完全な削除を保証したりするものではありません。公開許可の撤回だけで、元の手紙の私的閲覧・非公開保存の権限を変更するものではなく、それぞれの通常の条件と期限が適用されます。

公開許可の撤回後も、期限内の再読と非公開PDF保存は通常条件で継続します。撤回後に新たに作成・取得する私的保存PDFの各ページに、原文を改変せず「非公開・店舗内保存用」「公開許可は撤回されています」の表示を添えます。公開用便箋の作成・再取得は停止します。既に保存されたファイルの表示を遡って変更することはできません。店舗へ撤回を通知し、既存の外部掲載物の掲載停止・削除を求め、対応を記録します。非公開の私的保存は外部掲載の許可ではありません。

7. 確認ページと公開許可の撤回

確認ページのURLには内容確認に必要な情報が含まれます。生の返信確認トークンは手紙データベースに保存せず、ハッシュ値で照合します。URLを知る第三者が返信等を確認できる可能性があるため、自分だけが見られる場所に保存してください。

確認ページまたはお問い合わせ窓口から公開の停止を申し出られます。対象と投稿者であることの合理的な確認後、公開状態の変更、以後の公開用出力補助の停止、店舗管理者への通知、対応記録を行います。投稿者確認ができない場合は、撤回に応じられないことがあります。店舗名や投稿時期だけで投稿者と認定せず、運営者本人が個別に補足確認と対応を判断します。

第三者の個人情報・権利についての申告は別に受け付け、投稿者ではないことだけで退けません。法令上必要な対応を行います。すでに保存・配布・外部掲載されたファイルや印刷物をサービスから自動回収する機能はありません。

8. 外部サービスと安全管理

主要DBおよびファイル保存先には東京を設定していますが、サーバー処理の一部、メール配信に伴う保存、ログ管理、サポート等は国外でも行われます。以下は確認済みの設定と各社の公開仕様であり、個別契約による変更まで確認したものではありません。

SupabaseのDB保存先は東京（ap-northeast-1）、DBバックアップは7日、PITRは未有効です。公開仕様ではDB・Auth・バックアップは選択地域に置かれますが、ログはEU、アカウント管理・サポート等は地域外でも処理されます。Pro公開料金表のAuth Audit・API・DBログは7日ですが、任意にDB保存するauth.audit_log_entriesを含む全情報の7日削除を保証するものではありません。

Vercelのアプリ実行は米国東部（iad1/us-east-1、Washington DC）で、Observability PlusのRuntime logsは30日です。制限記録のBlob保存先は東京・privateです。Runtime logsの期間をBlob固有ログや他の成果物へ広げません。private BlobのCDN既定キャッシュ1か月は保存物の削除期限ではなく、公開SDKの削除後CDN反映は最大約1分でも、全複製の即時消去を保証しません。

Resendの送信ドメイン設定はap-northeast-1で、開封・クリック追跡は無効です。送信元地域と保存地域は異なり、公開仕様では本文・配送ログ・Webhook・アカウント情報は米国で保存されます。Free・Pro・Scaleのメールログは30日、Enterpriseは個別条件、バックアップは7日です。契約終了後の残存顧客データは法令等の例外を伴う90日以内の削除条件があり、全データが37日で消えるという意味ではありません。

削除対応後も、バックアップ・運用・決済の記録は各保持期間や法令上の義務に従い残存する場合があります。DB内の個別削除が既存バックアップへ遡及する保証はありません。本サービスでは復元後に最新の撤回・削除・停止記録を再適用し、照合が完了するまで対象の利用を再開しない運用を行います。本番接続とこの手順の受入は提供開始前に確認します。

サービスの運営に必要な処理を外部事業者に委託する場合、対象を必要な範囲に限り、安全管理と委託先の管理を行います。用途の説明は次のとおりです。有効化していない機能を提供中と説明するものではありません。

| サービス | 対象となる処理・確認範囲 | |---|---| | Supabase | 認証・店舗・手紙・返信等の保存と権限管理。公開標準契約の主要処理者はSupabase Pte. Ltd.（シンガポール）、marketplaceでは例外があります。個別契約先は未確認です。 | | Cloudflare Turnstile | 利用する場合のbot確認・不正投稿対策。remote IP等を検証のため送信。処理地域・保持条件は未確認。 | | Resend | 店舗通知・お問い合わせ通知と返信。公開標準契約はPlus Five Five, Inc.。米国保存と対象別の保持は上記のとおりで、個別契約の例外は未確認です。 | | Stripe | 支払方法・請求・月額契約と決済状態。削除・終了後も法令、税・会計、不正対策等のため記録が残る場合があり、Customer削除は全取引記録の消去ではありません。Account Countryが日本なら標準契約はStripe Japan Inc.でSPELも処理に関わりますが、実アカウント国・個別合意は未確認です。 | | Vercel | アプリの配信・実行。公開標準契約はVercel Inc.、米国を中心とする処理や他国移転があります。実行地域・Runtime logsの確認範囲は上記のとおりです。 | | Vercel Blob | 撤回・削除・処理停止の累積制限記録。東京・privateを確認。本番接続、Blob固有内部ログ保持とバックアップ残存条件は未確認です。 | | Sentry | 有効化している場合の障害監視・エラー調査。本文・認証情報等を送らないよう制御。適用する保持・削除条件や処理地域は未確認。 | | OpenAI | 運営者の確認操作によるお問い合わせ返信案。新v3の手紙自動分類には使用しない。適用する保持・削除条件等は未確認。 | | Google Analytics / Plausible | 有効化している場合のアクセス解析・利用状況把握。未有効の解析を有効と説明せず、適用範囲・保持・処理地域は確認した範囲に限ります。 |

問い合わせ返信案を作る場合、お問い合わせの種別、件名、本文、問い合わせ者名、必要な店舗候補・FAQなどを送ることがあります。案は運営者が確認・修正してから送信します。手紙の自動分類や、原文を外部AIの学習に利用する許可とは別です。

制限記録に保存するのは、操作・対象手紙の識別子、公開停止・削除・処理停止の区分、記録全体の版・改訂番号・整合性確認用ハッシュです。手紙本文、メールアドレス、本人確認資料、申告理由、生の確認URL・トークンをこの記録へ複製しません。識別子はDBとの照合で対象に結び付くため、匿名情報と説明しません。

この記録は、DB復元で撤回・削除・停止済みの内容が再び利用可能になることを防ぐため、原文・同意証跡の台帳と別に管理する累積記録です。同意証跡の30日・5年を、その一律削除期限へ読み替えません。復元後は最新の制限を再反映するまで対象の利用を再開しない運用方針です。保管先のprivate設定だけで、本番の接続、本人限定の実権限、復元後の反映が完了したとは説明しません。

外部サービスの取扱いは各社の公開仕様・契約条件と本サービスの利用範囲に従います。個別契約や未確認の条件を確認済みとせず、必要な情報提供・更新を行います。国外移転の法的適合性、国内限定処理、全複製の即時消去を保証する説明ではありません。

認証・権限確認、アクセス制御、通信とログの制御により、必要な情報を目的に沿って管理します。生の返信確認トークンを手紙DBへ保存せず、ハッシュ値で照合します。公開用便箋に確認URL・内部ID・認証情報・返信を含めません。

9. 開示・訂正・削除・利用停止、お問い合わせ

保有情報の確認、訂正、削除、利用停止、プライバシー・権利の相談は、お問い合わせフォーム（`/contact`）で受け付けます。対象特定・本人確認に必要な情報と安全な提出方法は窓口から案内します。申請内容と法令に従い、対応と理由を説明します。本人の撤回手続きと第三者の権利申告は分けて確認します。

法令、サービスや処理内容が変わる場合は本ポリシーを改定し、重要な変更はサービス上の表示など適切な方法で知らせます。追加の利用目的は必要な説明・手続きを経て取り扱います。