プライバシーポリシー

バージョン 3.2.0 ／発効日：2026年9月17日

第1条（当社について、および連絡先）
第2条（本ポリシーの適用範囲）
第3条（要点だけを読まれる方へ）
第4条（一覧表）
第5条（QuickDateモードとバタフライモード：アカウントの2つの側面の関係）
第6条（当社が取得する個人情報の種類）
第7条（要配慮個人情報）
第8条（当社は個人情報を販売せず、広告のために共有しません）
第9条（当社がお客様の情報を利用できる根拠）
第10条（保存期間）
第11条（自動処理およびAI機能と、それができないこと）
第12条（音声機能とマイク）
第13条（委託先およびその他の受領者）
第14条（データが処理される場所：越境移転）
第15条（通報、ブロック、および当社の対応）
第16条（アプリ内で実際にご利用いただける操作）
第17条（アカウントの削除と、削除が消すもの・消さないもの）
第18条（情報の保護と、想定より弱い箇所）
第19条（権利を侵害するコンテンツと削除請求）
第20条（カリフォルニア州のお客様のプライバシー権）
第21条（その他の米国の州におけるプライバシー権）
第22条（個人情報に関するご請求の方法）
第23条（日本：利用目的と個人情報保護法に基づく権利）
第24条（日本：端末から外部に送信される情報）
第25条（日本：18歳以上の要件と禁止される勧誘）
第26条（年齢の要件と未成年者）
第27条（Apple App Store のプライバシー表示）
第28条（本ポリシーの変更）
第29条（お問い合わせ）
第30条（本バージョンで訂正した事項）

バージョン 3.2.0
発効日：2026年9月17日
本バージョンは、2026年8月25日付のプライバシーポリシーの全部に代わるものです。

3.2.0における変更点：6.4に、アップロードされたメディアについて当社のサーバーが作成する複製と、アプリが端末のキャッシュに保存するものを追加しました。第3節、第13節、第14節および第23節では、データの所在を正しく記載しました。データベースはアメリカ合衆国に、アップロードされたファイルは日本に所在し、バックエンド処理は台湾で稼働しています。

3.1.0における変更点：第12節に、1対1の直接通話（音声・ビデオ）を追加しました。通話を記録も保存もしないこと、および通話について当社が保持する情報を記載しています。第18節は、その後強化されたアクセス規則を反映して更新しました。

本ポリシーは、CHRYSAがどのような個人情報を取得し、なぜ取得し、誰に渡し、どれだけの期間保存し、それについてお客様が当社にどのような請求ができるかを、平易な言葉で説明するものです。対象は、恋愛とデートの計画を行うQuickDateモードと、擬似匿名の交流を行うバタフライモードという、アプリの両方の側面です。

当社は本書を、読み飛ばされるためではなく、読まれるために書きました。正直な答えが「それは削除されません」「その保護は思われているより狭い範囲にしか及びません」「その機能はまだ作られていません」「その自動処理は不完全です」である場合には、守れない約束をするのではなく、そのとおりに書いています。前版の記載のいくつかは誤っていました。コードを読み直し、事実に関するすべての記載をソフトウェアの実際の挙動と突き合わせて確認したことで、見つかったものです。訂正は埋もれさせず第30節にまとめています。以前お伝えした事柄のうち、どれが真実でなかったかを知る権利が、お客様にはあるからです。

第1条（当社について、および連絡先）

CHRYSA APP Incは、米国デラウェア州のC corporation（C法人）であり、CHRYSAの親会社として、CHRYSAのブランド、アプリおよびサービスを所有しています。運営会社および各社の責任は、以下に記載のとおり変わりません。お客様が作成したコンテンツの所有権は、引き続きお客様に帰属します。会社情報および連絡先の更新日：2026年10月12日。

CHRYSAは、関連する2社が共同で運営しており、両社はお客様の個人情報の共同管理者として、本ポリシーに記載する取扱いについて共同で責任を負います。

YoYo LLC（アメリカ合衆国）
453 S Spring St STE 400, PMB 1290
Los Angeles, CA 90013, United States

YoYo株式会社（日本）
〒105-0013 東京都港区浜松町2-7-17 イーグル浜松町天翔オフィス浜松町大門566

本ポリシーに定めるすべての目的、すなわち個人情報に関するご請求、データの写しのご請求、本ポリシーに関するご質問、苦情、不適切なコンテンツや迷惑ユーザーの通報、権利を侵害するコンテンツの削除請求、およびアプリ外からのアカウント削除のご請求について、公表している連絡先は次の1つです。

support@chrysa.app

このアドレスでは日本語と英語のご連絡を受け付けます。日本語での苦情およびご請求は、YoYo株式会社が日本語で対応します。上記いずれの住所宛にも郵送いただけます。当社は、いただいたすべてのご連絡について、3営業日以内に受領した旨をお知らせするよう努め、不適切なコンテンツおよび迷惑ユーザーの通報には第15節に記載の期間内に対応します。

YoYo株式会社は、個人情報の保護に関する法律にいう、日本のお客様に関する個人情報取扱事業者であり、上記東京の住所がその登記上の事務所です。同社の代表取締役の氏名は商業登記簿に記載されています。support@chrysa.app までご請求いただければ、遅滞なくお知らせします。

第2条（本ポリシーの適用範囲）

本ポリシーは、iOSおよびAndroid向けのCHRYSAモバイルアプリケーション、それを支えるバックエンドサービス、および上記連絡先にお送りいただくご連絡に適用されます。CHRYSAは日本およびアメリカ合衆国で提供されており、日本語、英語、中国語に対応しています。

CHRYSAは満18歳以上の成人のみを対象としています。第26節をご覧ください。

本ポリシーは、CHRYSAを経由してアクセスする第三者のサービスには適用されません。お店自身のウェブサイトや予約ページに移動された場合、そのお店およびサイト運営者は、本ポリシーではなく自らの方針に基づいてお客様の情報を取り扱います。お客様のご依頼により当社がお店に予約を送信する場合も同様であり、これは第13節に記載しています。

CHRYSAには広告がなく、広告SDKもありません。アプリ自体の稼働状況を把握するために使用している Google アナリティクス for Firebase 以外に、分析SDKも計測SDKもありません。現在アプリ内に決済処理はありません。CHRYSAは、カード番号、銀行口座情報その他の決済情報を取得、受領、保存しておらず、決済代行事業者も利用しておらず、いずれのモードにもアプリ内購入やサブスクリプションはありません。

第3条（要点だけを読まれる方へ）

他を読まれないとしても、ここだけはお読みください。ここに書かれた各行は後の節で詳述しており、いずれも推測ではなくコードと突き合わせて確認したものです。

当社はお客様の個人情報を販売しておらず、文脈を越えた行動ターゲティング広告のために共有していません。直前の12か月間も、いずれも行っていません。このアプリのどこにも、広告ネットワーク、追跡SDK、計測SDK、データブローカーはありません。
当社は他社のアプリやウェブサイトを横断してお客様を追跡していないため、App Tracking Transparency の確認画面を表示しません。
当社はボイスマッチおよびパーティールームの音声を録音していません。その音声は Agora がリアルタイムで運び、当社のサーバーに届くことはありません。
お客様のプロフィール、メッセージその他のアカウントのデータは、日本にお住まいの方の分も含め、当社のデータベースがあるアメリカ合衆国に保管されます。お客様がアップロードされる写真、動画および本人確認書類は日本で保管され、当社のバックエンド処理は台湾で実行されます。それが何を意味し、誰が受領するかは第14節に記載しています。
位置情報の利用を許可された場合、精密な座標はお客様のアカウント記録に保存され、サインイン済みのCHRYSA利用者のアプリはその記録を読み取ることができます。生年月日、電話番号、メールアドレスについても同じです。詳細は第18節に記載しています。本書のうち、お客様のデータがどのように保護されているかについて最も重要な箇所であり、おそらくお客様が想定されるほど堅固ではありません。
当社は、現在地とは別に、GPSの履歴ログ（日付の付いた座標の一覧）も保持しています。前版はこれを保持していないと記載していました。誤りでした。6.6をご覧ください。
お客様が書いた文章は、自動コンテンツ審査のために OpenAI に送信されます。投稿、コメント、ルーム名、プロフィールの文章、および両モードで送信するチャットメッセージが含まれます。前版はコメントとルーム名は送信していないと記載していました。誤りでした。6.16および第11節をご覧ください。
バタフライモードは、他の利用者に対しては擬似匿名です。当社に対しては匿名ではありません。バタフライのプロフィールは、恋愛プロフィールと同じアカウントIDのもとに保存されているため、当社は両者を結びつけることができます。お客様に想定させたままにするのではなく、第5節にはっきり記載しています。
レストランの予約を当社にご依頼になった場合、お名前、電話番号、メールアドレス、および食事やアレルギーに関する記載は、当社のために自動予約ブラウザを運用する Browser Use, Inc. に、そして独立した事業者であるお店に渡ります。第13節に記載しています。
一定の出来事が起きると、Resend という会社を通じてCHRYSAのスタッフ宛てにメールが送信されます。本人確認書類を提出されると、お客様の氏名、アカウントのメールアドレス、アカウントIDが送信されます。予約が失敗すると、お客様の氏名とアカウントのメールアドレスが送信されます。前版は Resend に一切言及していませんでした。6.24をご覧ください。
当社は、お客様のアカウントID、表示中だった画面、直前の数回の操作の履歴を含む不具合の診断記録を取得しています。現在、この記録はアカウントを削除しても削除されません。当社はこれを隠さずお伝えします。6.20および第17節をご覧ください。
アプリ内に「データをダウンロード」するボタンはありません。ご連絡いただければ、当社の担当者が手作業で取りまとめてお送りします。第22節をご覧ください。
プロダクト分析をオフにするアプリ内の切替えはありません。すべての方について有効です。6.19をご覧ください。
アカウントは、どちらのモードからでもアプリ内で削除でき、削除はQuickDateモードとバタフライモードの両方に及び、実際に徹底しています。何が削除され、どの安全記録を意図的に残し、どの記録が漏れているかは、第17節に正確に記載しています。

第4条（一覧表）

これは概要の表です。意図的に短くしています。種類ごとの完全版は第6節です。「アカウントを削除するまで保存」とは、自動的な消滅がないこと、すなわちアカウントをお持ちである限りその情報が置かれ続けることを意味します。

サインインとアカウント
内容：メールアドレス、氏名、サインイン識別子、サインイン方法、生年月日。
理由：アカウントの作成と保護、および18歳以上の規則の実施。
保存：アカウントを削除するまで。
他に見る者：Google（Firebase）、Appleでサインインをお使いの場合は Apple。

恋愛プロフィール
内容：写真、自己紹介、性別、希望条件、身長、職業、学校、生活習慣、興味。
理由：プロフィールの表示とマッチングの実行。
保存：項目を空にするか、アカウントを削除するまで。
他に見る者：他のCHRYSA利用者、OpenAI（審査のための文章と写真）。

精密な位置情報
内容：GPSの座標、そこから求めた市区町村名と国名、および過去の座標の日付付き履歴ログ。
理由：近くのお店、地図の検索結果、マッチングにおける距離、マッチング対象の国。
保存：現在地は上書き。履歴ログはアカウントを削除するまで。
他に見る者：Google マップおよび Places、Apple のジオコーダー、ならびに現在の座標については、距離の算出に用いるサインイン済みCHRYSA利用者のアプリ。

メッセージと投稿
内容：チャット、投稿、コメント、ルームのチャット、お店ボードの投稿の全文、および画像・動画。
理由：お客様が書いたものを届け、公開するため。
保存：ご自身で削除するか、アカウントを削除するまで。パーティールームのチャットは、ルームの終了から1時間後に消去。
他に見る者：送信先の相手、OpenAI（審査のための文章と投稿画像）、Expo（プッシュ通知内のQuickDateモードのメッセージ冒頭40文字）。

バタフライのプロフィール
内容：ハンドルネーム、アバター、惑星、興味タグ、および5問の診断結果（5つの数値として保存）。
理由：擬似匿名の存在を与え、マッチングを行うため。
保存：アカウントを削除するまで。
他に見る者：他のバタフライ利用者はハンドルネーム、アバター、惑星、タグを見ます。アイスブレイクをご利用の場合、OpenAI がタグと惑星を受け取ります。

本人確認書類
内容：アップロードされた本人確認書類の写真、その種類、レビューの判断。
理由：任意の本人確認。これにより、招待の承諾、クイックデート、ルームの作成ができるようになります。
保存：記録はアカウントを削除するまで。画像そのものには自動消去がありません。ご請求いただければ削除します。
他に見る者：レビューを担当するCHRYSAの担当者。提出があった旨のメールが、氏名、メールアドレス、アカウントIDとともにスタッフに送られます。画像が送られることはありません。

予約
内容：予約名義、電話番号、メールアドレス、人数、日付、時刻、および食事やアレルギーに関する記載。
理由：ご依頼の予約を行うため。
保存：アカウントを削除するまで。
他に見る者：Browser Use, Inc.、お店そのもの、および自動処理が失敗した場合にこれを読んでお店に電話をかけるCHRYSAの担当者。

音声
内容：チャンネル識別子、席とルームの状態、在室者、日時。音声そのものは含みません。
理由：通話を接続し、ルームを管理するため。
保存：ルームのチャットと参加記録はルームの終了から1時間後、ボイスマッチの記録は通話終了から60分後に消去。
他に見る者：Agora。参加者間でライブ音声を運びますが、当社のために保存することはありません。

不具合と診断
内容：端末の機種、OSのバージョン、アプリのバージョン、表示中だった画面、アカウントID、セッションID、および直前の操作の履歴。
理由：不具合を見つけて修正するため。
保存：無期限。現在、アカウントを削除してもこれは削除されません。6.20をご覧ください。
他に見る者：Google（Firebase）、および要約の通知メールについては Resend とCHRYSAのスタッフ。

安全記録
内容：お客様が行った通報とお客様に関する通報、ブロック、審査の判断。自動的に本文を空にされたメッセージについては、書かれていた内容の冒頭1,500文字までを含みます。
理由：人々の安全を守り、排除された利用者の復帰を防ぐため。
保存：アカウントの削除後も保持します。意図的なものです。6.23および第17節をご覧ください。
他に見る者：CHRYSAの審査担当者、および法令上必要な場合の法執行機関。

第5条（QuickDateモードとバタフライモード：アカウントの2つの側面の関係）

CHRYSAのプライバシーについて最も重要な点ですので、前のほうに置きます。

QuickDateモードは恋愛の側です。氏名、写真、年齢、およびご自身で入力する任意のプロフィール項目からなる、実名に近いプロフィールを用います。

バタフライモードは擬似匿名の側です。形容詞と名詞と2桁の数字からなる自動生成のハンドルネーム、用意された16種類のイラストのアバター、5問の性格診断の結果、割り当てられた惑星、および3〜8個の興味タグを用います。バタフライモードには、お客様ご自身の写真も本名もありません。

他の利用者に対しては、この2つの人格は分離されています。当社は、人が見ないだろうという前提に頼るのではなく、意図的にこの分離を作りました。バタフライモードのプロフィールは、QuickDateモードの恋愛プロフィールとは別の記録として保存されています。そこには写真も本名も、恋愛プロフィールへの手がかりもありません。両者を結びつけるアプリ機能は存在しません。モードをまたぐ開示はなく、「この人の恋愛プロフィールを探す」機能もありません。2つのチャット機構は保存領域を一切共有していません。バタフライモードのチャットとQuickDateモードのチャットが、互いの一覧に表示されることはありません。いいねの履歴を読めるのはお客様だけです。フォローの一覧は、ご自身のものとしてのみ照会できます。他の利用者がCHRYSAを使って、どのQuickDateモードのプロフィールがどのバタフライモードのハンドルネームに対応するかを突き止めることはできません。

匿名投稿は同じ基準で、しかもおそらくご想像以上に慎重に扱われています。スクエアに投稿者を表示せずに公開する場合、投稿の記録には、執拗な人が読み取れるような隠れた投稿者の項目はありません。その項目自体が存在しません。真の投稿者は、投稿に付随する別の非公開の記録に保存され、お客様ご自身を含め、いかなる状況でもアプリからこれを読める利用者はいません。アクセス規則は、その非公開の記録が投稿より先に書き込まれることを要求しており、両者を競合状態で切り離すことはできません。そして、匿名投稿が通報された場合、その通報自体がすべてのクライアントから読み取れません。通報は真の投稿者を解決するものだからです。匿名投稿を通報することを、投稿者の身元を暴く手段として使うことはできません。

この分離が何であって何でないかは、正確に述べる必要があります。それはコンテンツの分離であり、他の利用者が到達できる範囲の分離です。バタフライモードのプロフィール記録が隠されているという主張ではありません。他のSNSのプロフィールと同じく、それはブロックしていないサインイン済みのバタフライモード利用者に見えます。だからこそ交流のためのプロフィールなのです。

当社に対しては、両者は同じアカウントです。安心させる言葉ではなく、仕組みを述べます。バタフライのプロフィールは、恋愛プロフィールと同じアカウントIDのもとに保存されています。当社側の1回の特権的な読み取りにより、バタフライのハンドルネームは、本名、写真、生年月日、電話番号、座標と結びつきます。ブロックと通報は、両モードを通じて同じIDで管理されています。アカウント上の1つのプッシュトークンが両モードで使われます。バタフライの国は、QuickDateモードの位置情報から求めた国から複製されます。最初のバタフライの興味タグは、QuickDateモードの興味から初期設定されます。そして、バタフライのパーティールームをホストするには、QuickDateモードで本人確認書類を提出して得た認証済みの状態が必要です。

当社がこれを行うのは、安全、セキュリティ、不正利用の防止、利用規約の執行、および法令遵守のためです。はっきり申し上げるのは、そうしなければ、バタフライモードが他の利用者だけでなくCHRYSAに対しても匿名であるかのように示唆することになり、それが真実ではないからです。CHRYSAにおける「匿名」は、他の利用者に対する擬似匿名性を意味します。当社から見えないという意味ではありません。

ブロックについて、正直に。2つのモードは異なる道具を備えており、それらはつながっていません。バタフライモードには完全なブロックがあります。直ちに効力を生じ、双方向に働き、アプリではなく当社のサーバーで実施され、スクエア、コメント、バタフライのプロフィール、バタフライのマッチング、バタフライのチャット、バタフライの音声を対象とします。QuickDateモードに同等のものはありません。あるのは、その人をマッチのデッキから外す「プロフィールを非表示」、マッチを終了し会話を削除し双方を相手のデッキから外す「マッチ解除」、およびアカウントを当社の安全チームに送る「ユーザーを通報」です。

そこから2つのことが導かれます。どちらも自明ではありません。第一に、一方のモードで行ったことは、他方のモードに及びません。バタフライモードでのブロックは、QuickDateモードのデッキからその人を隠さず、QuickDateモードでの非表示は、バタフライモードでのブロックになりません。両方で困っている場合は、両方で対処する必要があります。第二に、QuickDateモードの「プロフィールを非表示」は一方向です。アプリはその人をお客様の非表示リストに追加しますが、そこから外す画面はどこにもありません。誤って非表示にされた場合は、当社にご連絡ください。当社が解除します。

通報は本当に共有されています。いずれのモードで行われた通報も、同じ待ち行列と同じレビューチームに届きます。QuickDateモードの直接的なブロック機能と、非表示の解除機能は当社の作業予定に入っており、実装された時点で本ポリシーを更新します。

第6条（当社が取得する個人情報の種類）

種類ごとに、それが何であるか、どこから取得するか、なぜ利用するか、誰が受領するか、どれだけの期間保存するか（または保存期間を決める基準）を記載します。より短い期間を明記していない限り、アカウントに紐づく情報は、アカウントが存在する限り保存され、その後は第17節に記載のとおり取り扱われます。

以下で「Firebase に提供」というときは、当社の委託先として契約に基づき行動する Google の Firebase プラットフォーム（Authentication、Cloud Firestore、Cloud Storage、Cloud Functions、アナリティクス、Cloud Messaging、App Check、Remote Config）において保管または処理されることを意味します。Firebase はCHRYSAのほぼすべての保管の基盤であるため、以下のすべての種類の受領者であり、種類ごとの繰り返しは省略します。

6.1 アカウントおよび本人確認に関する情報

内容：メールアドレス、姓名、登録時に発行されるアカウントID、利用されたサインイン方法（Apple、Google、またはメールアドレスとパスワード）、およびAppleでサインインをお使いの場合は、Apple のユーザー識別子と Apple から提供されるメールアドレス（メールアドレスを非公開にする設定を選ばれた場合は中継用のアドレスであることがあります）。
取得元：お客様。Apple または Google のサインインをお使いの場合は同社。
利用目的：アカウントの作成と保護、お客様の認証、アカウントおよび安全に関する事項についてのご連絡、ならびにご請求への対応。
提供先：Firebase Authentication。お客様が選んだサインイン方法に応じて Apple または Google。OpenAI（6.16に記載のとおり、自動モデルによる審査のため、お客様が書いた自由記述のプロフィール文を受け取ります）。6.24に記載の特定の通知メールについて Resend およびCHRYSAのスタッフ。
保存期間：アカウントを削除するまで。その後は第17節に従って取り扱います。
補足：お客様のアカウント記録は、サインイン済みのCHRYSA利用者であれば読み取ることができます。その理由と意味は第18節に記載しています。

6.2 生年月日および年齢

内容：登録時に入力される生年月日と、そこから導かれる年齢。
取得元：お客様。
利用目的：18歳以上の要件の実施、QuickDateモードのプロフィールへの年齢の表示、年齢に基づくマッチング条件の適用。
提供先：当社の委託先以外にはありません。ただし下記の補足をご覧ください。プロフィールで他の利用者に表示されるのは、生年月日ではなく年齢です。
保存期間：アカウントを削除するまで。
補足：生年月日はお客様のアカウント記録に置かれており、サインイン済みのCHRYSA利用者のアプリはこれを読み取ることができます。画面上で他の利用者に表示されることはありませんが、データには到達可能です。第18節をご覧ください。

6.3 QuickDateモードの恋愛プロフィール項目

内容：お客様が入力を選ばれた項目。性別、マッチングを希望する性別、希望年齢層、身長、職業、学校、勤務先、学歴、喫煙・飲酒・食事の好み、興味、好きなデートの種類、および自由記述の自己紹介が含まれることがあります。
取得元：お客様。性別、マッチングを希望する性別、希望年齢層はマッチングが動作する前提となる項目であり、これらなしにQuickDateモードは機能しません。アカウントの作成に必要な範囲を超えるその他の項目はすべて任意であり、プロフィールからいつでも編集または削除できます。
利用目的：プロフィールを他の利用者に表示すること、および距離、共通して保存したお店、共通の興味、直近の活動、プロフィールの充実度で候補を採点するマッチングの実行。
提供先：プロフィールに表示される範囲で他のCHRYSA利用者。OpenAI（6.16に記載のとおり、自動モデルによる審査のため、自由記述のプロフィール文を受け取ります）。第三者に、その第三者自身の目的のために提供することはありません。
保存期間：項目を空にするか、アカウントを削除するまで。空にされた項目は上書きされ、保管されません。
補足：これらの項目の一部は要配慮個人情報にあたります。第7節をご覧ください。とくに食事の好みは、他のどの項目よりも広く流通します。6.11をご覧ください。

6.4 写真および動画

内容：QuickDateモードのプロフィール写真、ならびにお客様が投稿し、コメントに添え、またはチャットで送信する画像および動画。バタフライモードの投稿は、1投稿につき画像4枚まで、または動画1本（現在の上限は1時間）です。
取得元：お客様。端末のカメラまたは写真ライブラリから取得します。当社は、この目的のためにのみ写真ライブラリとカメラの権限をお願いします。お客様が選択された項目を超えて写真ライブラリを読み取ることはありません。
利用目的：プロフィールの表示、公開を選ばれたコンテンツの公開、および送信を選ばれたメッセージの配信。
提供先：写真を置かれた場所に応じて他のCHRYSA利用者。OpenAI は、アップロード時のQuickDateモードのプロフィール写真、スクエアに投稿された画像、および投稿された動画から生成されたカバー画像を、自動審査モデルによる判定のために受け取ります。チャット内で送信された画像は OpenAI に送信されず、機械による審査も行われません。
画像が実際に OpenAI に届く仕組み（重要です）：当社はファイルを OpenAI にアップロードしていません。当社は、当社ストレージ上のファイルへのリンクを OpenAI に渡し、OpenAI のサーバーが自らそれを取得します。このリンクにはアクセストークンが含まれており、CHRYSAにサインインしていなくても機能します。そのリンクの文字列を入手した者は誰でも画像を取得できます。当社はこのリンクを秘密として扱い、公開しませんが、仕組みがそうなっていることはご承知おきください。
当社のサーバーが作成する写真の複製：画像をすばやく表示するため、当社のバックエンド処理は、QuickDateモードのプロフィール写真とバタフライモードの投稿の各画像について、長辺640ピクセル以下の複製を作成し、アプリは、チャット一覧、アバター、投稿の一覧など画像を小さく表示する箇所でその複製を表示します。画像を大きく表示する箇所でも、元のファイルを読み込む間、その複製を一時的に表示することがあります。撮影場所や撮影に用いた端末など、ファイルに埋め込まれた情報は、複製からは削除されます。元のファイルは変更されずに保管され、画像を大きく表示する箇所と、複製を作成できなかった場合には、引き続き元のファイルが表示されます。
お客様の端末で縮小される動画：バタフライモードの動画をアップロードする前に、アプリはお客様の端末上で、長辺1920ピクセル以下の複製を作成します。その際、HDR（ハイダイナミックレンジ）の動画は標準のダイナミックレンジに変換され、撮影場所や端末などの情報は削除されます。当社がアップロードして保管するのはこの複製であり、撮影したままの動画はお客様の端末に残ります。アプリが複製を作成できない場合は、撮影したままの動画がアップロードされます。アップロードは、投稿する前の、動画を選んだ時点で始まります。動画を取り消した場合や投稿しなかった場合、その動画は通常2日以内に当社のストレージから自動的に削除されます。
当社のサーバーが作成する動画の複製：120秒以下のバタフライモードの動画については、当社のバックエンド処理が、長辺1920ピクセル以下、毎秒5メガビット以下の再生用の複製と、長辺1280ピクセル以下のカバー画像の複製を作成します。HDR（ハイダイナミックレンジ）の動画は、標準のダイナミックレンジに変換されます。その投稿は、以後この複製から再生されます。撮影場所や端末など、ファイルに埋め込まれた情報は、複製からは削除されます。アップロードされたファイルは、変更されずに当社のストレージに保管されます。これより長い動画、すでにこの基準を満たしている動画、および変換できなかった動画は、アップロードされたファイルから再生されます。
複製が作成・保管される場所：複製は、第14節に記載のとおり台湾で作成され、元のファイルとともに日本で保管されます。各複製は、作成元のファイルとあわせて削除されます。第17節に記載のアカウントの削除の際も同様です。
端末に保存されるもの：同じ動画を重ねてダウンロードしないよう、アプリは、再生した動画と、あらかじめ読み込みを始めた動画を、端末上の最大1GBのキャッシュに保存し、最後に使われてから最も時間が経ったものから削除します。サインアウトの際、アプリはこの動画のキャッシュを消去します。動画が開いたままであるなどの理由で消去できなかった場合、キャッシュされた動画は、新しい動画のための容量確保で削除されるか、アプリを削除するまで端末に残ります。アプリが表示した写真や、あらかじめ読み込んだ写真も、端末上の画像キャッシュに保存されます。このキャッシュはサインアウトの際には消去されず、アプリを削除すると削除されます。バタフライモードのイラストのアバターは、アプリに組み込まれているか、あらかじめダウンロードされます。これらは当社が用意した図柄であり、どなたかの写真ではありません。
保存期間：プロフィール写真は、差し替えもしくは削除されるか、アカウントが削除されるまで。投稿されたコンテンツは6.13に記載のとおり。チャットの画像は6.15に記載のとおり。バタフライの孤立したメディアファイルは、作成から1日を超えたものが6時間ごとにストレージから一括消去されます。

6.5 精密な位置情報

内容：位置情報の許可をされた場合の端末の座標（緯度、経度、精度の値）、およびそこから求めた市区町村名と国名。
取得元：お客様の端末（お客様の許可に基づきます）。位置情報の許可は拒否でき、後から端末の設定で撤回できます。撤回された場合、距離に基づく機能は制限され、または動作しなくなります。
利用目的：精密な位置情報は、近くのお店を探すこと、地図にお店の検索結果を表示すること、およびマッチングの距離要素を計算することに用います。市区町村名と国名は、どの国の利用者を対象にマッチングするかを決めるために用います。バタフライモードは同一国内でのみマッチングします。
取得のタイミング：アプリが開かれ、画面に表示されている間のみです。CHRYSAはフォアグラウンドの位置情報の権限のみを求めます。当社はバックグラウンドの位置情報を求めておらず、受け取ることもできず、アプリが閉じられているときやバックグラウンドにあるときに位置情報を取得する設定にもなっていません。
提供先：Google マップおよび Google Places（お店の検索結果を返すため、端末から直接、座標と検索語を受け取ります）。Apple の端末上のジオコーディングサービス（市区町村名と国名を返すため、生の座標を受け取ります）。および、次に述べる形で他の利用者。
最後の点について、詳しく。お客様の直近の座標は、お客様のアカウント記録に保存されます。サインイン済みのCHRYSA利用者のアプリはこの記録を読み取ることができ、お客様までの距離は、相手の端末上で、お客様の座標から計算されます。当社は、画面上でお客様の位置を示すピン、住所、緯度の数値を誰にも表示しません。しかしデータは読み取りうる状態にあり、それはお客様とマッチしていない人にも及びます。これを望まれない場合は、端末の設定でCHRYSAの位置情報をオフにしてください。近さによる順位付けと近くのお店の提案は動作しなくなりますが、アプリの残りは動作し続けます。
保存期間：現在地は1つの値であり、更新のたびに上書きされます。別途の履歴ログについては6.6をご覧ください。
補足：精密な位置情報は要配慮個人情報にあたります。第7節をご覧ください。

6.6 位置情報の履歴ログ

内容：過去の座標を日付とともに記録した、現在地とは別のログです。各記録には、アカウントID、日時、地理座標としての座標、精度の値、プラットフォーム、アプリおよびSDKのバージョン番号が含まれます。
取得元：お客様の端末。このログは、アプリが位置情報の強制更新を行ったときに書き込まれ、これは iOS で発生します。
利用目的：位置情報の更新の運用記録として作られたものです。実際には、アプリのどの部分もこれを読み返していません。当社は正当化ではなく開示を残します。正直な立場は、このログが存在し書き込まれているということであって、それが存在に値するということではないからです。
提供先：Firebase。このログはどのクライアントからも読み取ることができず、お客様のアプリはご自身のアカウントの記録を追加できるのみです。
保存期間：自動的な消滅はありません。記録はアカウントが存在する限り蓄積し、アカウントを削除すると削除されます。
訂正：前版は、当社が位置情報の履歴を作成も保持もしていないと記載していました。誤りでした。これがその履歴です。
補足：精密な位置情報は要配慮個人情報にあたります。第7節をご覧ください。

6.7 電話番号

内容：電話番号と、あわせて選択された国番号。
取得元：お客様。
利用目的：お客様に代わってレストランの予約を完了すること、および国番号を通じて、お客様が最初に所属する市場を判断する材料の1つとすること。
提供先：予約をご依頼になった場合の Browser Use, Inc. およびお店。自動処理が失敗した場合に手作業で予約を完了するCHRYSAの担当者。
保存期間：削除されるか、アカウントを削除するまで。
補足：電話番号はお客様のアカウント記録に置かれており、サインイン済みのCHRYSA利用者のアプリはこれを読み取ることができます。第18節をご覧ください。

6.8 プッシュ通知のトークンと設定

内容：お客様のアプリのインストールに対して発行されるプッシュトークン（Expo のプッシュトークンであり、Expo がこれを Android では Firebase Cloud Messaging に、iOS では Apple プッシュ通知サービスに対応づけます）、最終更新日、端末のプラットフォーム、および通知のオン・オフ設定。
取得元：お客様の端末およびプラットフォーム。
利用目的：お客様がご希望になった通知を配信するため。
提供先：当社が通知を送信する Expo, Inc.、および最終的な配信のための Google（FCM）と Apple（APNs）。
通知の中を通るもの：QuickDateモードでは、新着メッセージのプッシュ通知の本文に、実際のメッセージの冒頭40文字が含まれます。アプリを開かなくても何が届いたか分かるようにするためです。このプレビューは、お客様に届くまでの経路上で Expo および Apple または Google のプッシュサービスを通過します。バタフライモードのプッシュ通知にメッセージ本文は一切含まれず、ハンドルネームと定型の文言のみが含まれます。
保存期間：トークンはプラットフォームにより更新・置換され、無効になったとき、またはアカウントが削除されたときに削除されます。当社は、トークンが古くなったことを検知できるよう、プッシュごとの配信記録（アカウントID、チケットの識別子、配信状況、トークンの短い断片）も保持しています。これらの記録はアカウントとともに削除されます。

6.9 同意の記録

内容：利用規約、本プライバシーポリシーおよびクッキーポリシーに同意されたかどうか、その日時、およびそのバージョン。ならびにFAQを閲覧されたかどうか。
取得元：お客様（同意された時点）。
利用目的：お客様が同意されたことを示すため、および実質的な変更の後にいつ再度お願いすべきかを把握するため。
提供先：当社の委託先以外にはありません。
保存期間：アカウントを削除するまで。

6.10 予約および予約の試み

内容：各予約および各試みの記録。お店（名称、住所、電話番号、ウェブサイト、場所の識別子を含みます）、日付、時刻、人数、送信された氏名・電話番号・メールアドレス、試行された時間帯、状態、および結果。
取得元：CHRYSA予約のご利用時に生成されます。
利用目的：予約を行うこと、成否をお伝えすること、および失敗や紛争を調査すること。
提供先：自動ブラウザを運用する Browser Use, Inc.。6.11および第13節に記載のとおりお店およびその予約プラットフォーム。予約が失敗した場合、6.24に記載の通知メールについて Resend およびCHRYSAのスタッフ。
保存期間：お客様と当社が過去の予約を確認できるよう、アカウントが存在する間保持し、アカウントとともに削除します。同行のために他の利用者の記録にも予約が存在する場合、相手の記録が壊れないよう、当社は相手の複製からお客様のIDを取り除いたうえで、予約そのものは保持します。

6.11 手作業の予約待ち行列と、それを読む担当者

内容：自動ブラウザがお店の予約フォームを完了できない場合、その試みは担当者が処理する待ち行列に入ります。待ち行列の記録には、プランおよびアカウントのID、自動処理が停止した理由、到達した最後のページ、お店の詳細、予約の日付・時刻・人数、すでに試行された時間帯、エージェントの動作の要約、ならびにお客様の氏名、電話番号、メールアドレス、および特記事項（保存された食事の好みをそのまま記載したもの）からなる顧客情報が含まれます。
取得元：お客様のプロフィールと予約のご依頼から生成されます。
利用目的：CHRYSAのチームの担当者が、お店への電話を含め、手作業で予約を完了できるようにするため。
提供先：待ち行列を処理するCHRYSAの担当者。当社がこれを注記ではなく独立した種類として記載しているのは、担当者がお客様の氏名、電話番号、メールアドレス、食事に関する記載を読むことが、機械がそれらを処理することとは本質的に異なるからです。
保存期間：予約が有効な間保持します。アカウントを削除された場合、すでに完了しまたは取り消された記録は削除し、進行中の記録は取り消したうえで、お客様のIDを取り除き、顧客情報を残さずに置き換えます。
補足：食事およびアレルギーに関する情報は、健康または宗教に関する情報を明らかにしうるものであり、要配慮個人情報にあたります。第7節をご覧ください。

6.12 CHRYSAカレンダーおよび端末のカレンダーへのアクセス

内容：プランまたは予約が確定したときにCHRYSAが作成するデートの予定、CHRYSAカレンダー内でお客様ご自身が作成する予定、および端末のカレンダー同期をオンにされたかどうかを記録する1つのフラグ。保存される各予定には、件名、開始・終了時刻、終日フラグ、由来、参照するプランまたは予約、相手がいる場合はそのマッチした利用者、お店、備考が含まれます。
取得元：お客様、およびCHRYSA自身の予約フローから。
重要な点。2つの方向があります。読み取り：カレンダー同期をオンにされた場合、CHRYSAは端末上で、表示のためだけに、前後3か月の範囲で端末のカレンダーの予定を読み取ります。これらの端末のカレンダーの予定は、現在、当社のサーバーにアップロードされておらず、当社が保存もしていません。保存されるのはオン・オフのフラグのみです。当社にはこれを取り込む機能を持つサーバー処理がありますが、アプリのどこからも呼び出されておらず、これが変わる場合には先に本ポリシーを更新します。書き込み：デートの招待が承諾されると、CHRYSAはそのデートを、お店の名前を件名、お店の住所を場所として、端末のカレンダーに書き込みます。この書き込みは、同期のスイッチがオンのときだけでなく、カレンダーの権限が許可されている限り行われ、既定の書き込み可能なカレンダーに入ります。したがって、そのカレンダーを誰かと共有していれば、その相手に予定が見えます。アプリ内で同期をオフにでき、端末の設定でカレンダーの権限を撤回でき、書き込まれた予定はご自身で削除・編集できます。
提供先：共有される予定については、マッチした相手。
保存期間：CHRYSAカレンダーの予定は、ご自身で削除されるか、アカウントを削除するまで保持します。アカウントを削除された場合、相手のカレンダーからも対応する予定を削除します。誰も指していないプランが相手に残らないようにするためです。

6.13 バタフライモードの擬似匿名プロフィール

内容：作成後に変更できない自動生成のハンドルネーム、選択されたアバター（用意された16種類のイラストのうちの1つ）、5問の診断の回答（それぞれ0から3までの5つの数値として保存されます）、受けた診断のバージョン、割り当てられた惑星、3〜8個の興味タグ、国、最終活動日時、ならびにフォロワー数、フォロー数、未読通知数、不活動状態についてのサーバー管理のカウンタ。
取得元：お客様のために生成されるもの、およびお客様が選ばれる診断の回答とタグ。国は、QuickDateモードの位置情報から求めた国から一度だけ複製されます。最初のタグ一式は、QuickDateモードの興味から一度だけ初期設定されます。いずれの複製も、その後は再度行われません。
利用目的：擬似匿名の存在を与えること、同一国内のマッチングと漂う候補の表示を動作させること、および不活動のフラグを運用すること。
提供先：ハンドルネーム、アバター、惑星、タグの形で他のバタフライモード利用者。アイスブレイクの生成のためにタグと惑星を用いる OpenAI（6.16をご覧ください）。
保存期間：アカウントを削除するまで。アバター、惑星、タグはいつでも変更でき、診断は7日に1回受け直せます。ハンドルネームは恒久的です。
不活動について：一定日数バタフライモードをご利用にならない場合、プロフィールに「ほこり」がついた状態の印が付きます。この印により、他の利用者がほこりを払えるようになります。何かが削除されることはありません。

6.14 匿名投稿の非公開の投稿者記録

内容：投稿者を表示せずに公開された投稿について、その真の投稿者のアカウントIDを、投稿に付随する非公開の記録に保存したもの。
取得元：匿名で公開された時点で生成されます。
利用目的：コンテンツの審査、利用規約の執行、お客様ご自身の匿名投稿の削除を可能にすること、アカウント削除時に匿名投稿を消去すること、通報の調査、および適法な法的手続への対応。
提供先：ありません。いかなる利用者もこれを読むことができず、アクセス規則は例外なくすべてのクライアントに対してその読み取りを拒否します。権限を有するCHRYSAの担当者、および法令上必要な場合に適法な手続に基づく裁判所または当局のみがアクセスできます。
保存期間：投稿が存在する限り。アカウントを削除された場合、当社がお客様の匿名投稿を見つけて消去するために用いるのが、この記録です。

6.15 投稿、コメント、いいね、フォロー、チャットメッセージ

内容：500文字までのテキスト投稿と最大4枚の画像または1本の動画、300文字までのコメント、いいね、フォローの関係図、200文字までのパーティールームのチャット、および両モードにおける2,000文字までのプライベートなメッセージ（本文と画像、ならびに送信者、受信者、日時、既読状態、および提案された文面をそのまま送信した場合にAI支援であることを示すフラグを含みます）。
取得元：お客様、およびお客様が会話する相手。
利用目的：公開を選ばれたものを公開すること、フィードを構成すること、会話を配信すること、およびコンテンツ審査を運用すること。
提供先：送信または公開の相手。OpenAI は、自動審査のために、両モードにおける投稿、コメント、パーティールームのチャット、ルーム名、プロフィールの文章、およびプライベートなメッセージの本文と、投稿の画像および動画のカバー画像を受け取ります。6.8に記載のQuickDateモードの40文字のメッセージプレビューについては Expo。
保存期間：コンテンツは、ご自身で削除されるまで、アカウントを削除されるまで、当社が規約に基づき削除するまで、または通報を受けて削除されるまで掲載されます。パーティールームのチャットは異なり、ルームの終了から1時間後に、ルームの参加記録、出入り禁止・ミュートの一覧とともに消去されます。アカウントを削除すると、匿名のものを含む投稿とコメント、いいね、双方向のフォロー関係、および両モードの会話とメッセージが削除されます。会話の複製は相手のもとに残ります。相手の複製は相手自身の記録でもあるからです。他の利用者が保存またはスクリーンショットした複製は、当社の管理の外にあります。コンテンツが通報の対象となった場合、コンテンツがなくなった後も、6.23に記載のとおり通報を保持します。

6.16 AI機能への入力と、その出力

内容：自動審査に送信されるすべて、すなわち投稿の本文と画像、コメントの本文、パーティールームのチャットの本文、ルーム名、ハンドルネームを含むプロフィールの自由記述、QuickDateモードのプロフィール写真、投稿された動画のカバー画像、および両モードで送信するプライベートなメッセージの本文。CHRYSA デートコーチに送信されるメッセージとその返答。ならびに、バタフライモードのアイスブレイクの生成に用いられる興味タグ、惑星、直近の会話のメッセージ。
取得元：お客様、およびお客様が送信または交換するコンテンツ。
利用目的：コンテンツ審査、コーチング、提案の各機能を提供するため。
提供先：OpenAI。同社は、当社の委託先として、消費者向け製品ではなく商用APIを通じて、審査結果、コーチングの返答、または提案の一覧を当社に返すためにこのコンテンツを処理します。当社は OpenAI に対し、メールアドレス、生年月日、本人確認書類、電話番号、座標を送信していません。
訂正：前版は、OpenAI はコメントとルーム名を受け取らないと記載していました。誤りでした。いずれも送信されており、これまでも常に送信されていました。
保存期間：CHRYSA デートコーチのセッションは全体が保存されます。お客様のメッセージ、モデルの返答、会話全体、モデル名、トークン数、および評価（高評価か低評価か）が保存されます。アカウントを削除するまで保持し、アカウントとともに削除します。保存されたアイスブレイクの提案は、会話とともに、およびアカウントとともに削除されます。審査の点数と判断は、審査対象とともに保持されます。
補足：補足：デートコーチの記録を読めるのは、その記録のご本人のみです。アプリから記録を作成することも削除することもできず、アプリから変更できるのは、回答に対する評価（高評価・低評価）のみです。会話そのものは、クライアントからは変更できません。

6.17 マッチングの記録

内容：QuickDateモードでは、距離、共通して保存したお店、共通の興味、直近の活動、プロフィールの充実度から算出される候補の組合せの点数。バタフライモードでは、マッチングの待ち行列の記録（アカウントID、モード、国、診断のベクトル、タグ、日時を含み、60秒で失効します）、マッチングの結果、同じ相手が直後に再表示されないようにするための7日間の待機記録、および1日の上限のカウンタ。
また：バタフライのすべての組合せを記録した、恒久的かつ追記のみのログ。2つのアカウントIDの組として記録されます。どの組合せがうまくいったかを後に研究できるようにするために存在するものであり、お客様がお使いになるどの機能もこれを読んでいません。
取得元：当社のシステムが生成します。
利用目的：候補の並び順を決めること、1日の上限と待機期間を運用すること、およびマッチングの質を研究すること。
提供先：当社の委託先以外にはありません。他の利用者に見えるのは並び順の結果であり、その基礎となる数値ではありません。
保存期間：点数と待ち行列の記録は一時的です。組合せのログはアカウントを削除するまで保持し、アカウントとともに削除します。

6.18 バタフライモードの識別子の対応表

内容：お客様のアカウントIDと、バタフライの内部識別子とを相互に対応づける、2つの内部の参照記録。
取得元：バタフライプロフィールの作成時に生成されます。
利用目的：バタフライの各機能が、アカウントIDを持ち回ることなくお客様を参照できるようにするため。
提供先：ありません。いずれの記録も、両方向について、すべてのクライアントに対して拒否されています。どのアプリもこれを読むことも書くこともできません。バタフライの識別子がお客様ご自身の端末に届くのは、サインイン用トークンに含まれる記載項目としてのみです。
保存期間：アカウントを削除すると削除されます。

6.19 プロダクト分析

内容：端末の機種、OSのバージョン、アプリのバージョン、言語と地域、および機能の使われ方を示すイベントの記録（画面を開いた、通知をタップした、位置情報を更新した、アカウントを削除した、など）。これらのイベントの多くは、イベントと並んでお客様のアカウントIDをパラメータとして保持しており、Google が発行するインストール識別子にも紐づけられています。
取得元：お客様の端末。
利用目的：アプリを稼働させ続けること、機能が使われているかを測ること、および不正利用を検知すること。
提供先：当社の分析事業者としての Google。当社は広告ネットワークやデータブローカーを一切使用していないため、これらに提供することはありません。
現在オプトアウトはありません。取り繕うつもりはありません。分析の収集は、アプリの起動時に無条件で有効化されます。そのための設定も、切替えも、同意の確認画面もありません。これをオフにするにはアプリ自体の変更が必要であり、当社の作業予定に入っています。それまでの正直な言い方はこうです。CHRYSAをお使いになる限り、プロダクト分析は有効です。
保存期間：アプリ内の何かではなく、当社の Google アナリティクスのプロパティに設定された保存期間により定まります。CHRYSAのアカウントを削除しても、これには届きません。分析の記録の削除をご希望の場合は、当社にご連絡ください。お客様に代わって Google に請求します。
はっきり書いておくべき場面が1つあります。アカウントを削除される際に一覧から理由を選ばれると、その理由はイベントとして Google アナリティクスに送信されます。氏名には紐づけられませんが、お客様のインストールの分析上の識別子には紐づけられます。お伝えになりたくない場合は、意味のない選択肢を選んでいただいても構いません。いずれにせよ削除は進みます。

6.20 不具合およびエラーの診断記録

内容：2種類あります。第一に、アカウントに紐づくエラーの記録で、アカウントID、エラーの種類、メッセージ、画面、端末の情報、および致命的であったかどうかを保持します。第二に、別のクラッシュ署名の保管庫で、同一のクラッシュをまとめ、保存される各サンプルが、発生時刻、アカウントID、表示中だった画面、アプリのバージョンとビルド番号、OSのバージョン、端末の機種、セッションID、直前の操作の履歴、およびエラーメッセージを保持し、あわせて直近の報告者の一覧と最大4,000文字のスタックトレースを保持します。
取得元：お客様の端末（不具合の発生時に自動で送信されます）。
利用目的：不具合を見つけて修正するため。当社はお客様の端末に直接アクセスできない状態でこのアプリを提供しており、この仕組みが、何かが壊れていることを知る手段です。
提供先：Firebase。および6.24に記載の要約通知メールについて Resend とCHRYSAのスタッフ。通知にはサンプル全体ではなくエラーと画面が含まれます。
閲覧：お客様はこの保管庫を読むことができず、他の利用者も読むことができません。アクセス規則は書き込みを許し、クラッシュを報告したご本人を含むすべての者に読み取りを拒否しています。
保存期間（当社の削除に関する説明のなかで最も弱い点なので、はっきり書きます）：アカウントに紐づくエラーの記録は、アカウントを削除すると削除されます。クラッシュ署名の保管庫は削除されません。定期的な消滅も削除の処理も存在しないため、お客様のアカウントID、訪れた画面、直前の操作の履歴は、アカウントが消えた後もそこに残ります。これは当社の判断ではなく手落ちであり、前版はこの保管庫に一切言及していませんでした。当社は削除の処理を作成中です。それまでの間、アカウントを削除され、これらの記録も削除することをご希望の場合は、support@chrysa.app までご連絡ください。手作業で削除し、削除したことをご報告します。

6.21 操作および利用のログ

内容：アプリ内でお客様が行った重要な操作のログ。各記録は、アカウントID、操作、日時、その操作に関するメタデータ、プラットフォーム、OSのバージョン、端末の機種を保持します。
取得元：お客様によるアプリの利用。
利用目的：挙動の調査、機能の流れの把握、および不正利用の調査。
提供先：当社の委託先以外にはありません。
保存期間：自動的な消滅はありません。アカウントを削除するまで保持し、アカウントとともに削除します。

6.22 在席および活動の日時

内容：バタフライモードを開いている間、およそ1分ごとに更新される最終活動日時、ならびにマッチングの直近の活動の要素と不活動のフラグに用いる活動の日時。パーティールームの中では、ルームが接続の継続を把握できるよう、アプリが前面にある間、参加記録の在席の合図が更新されます。
取得元：お客様によるアプリの利用。
利用目的：その人がいまいるかどうかを表示すること、候補を並べること、および放置されたルームを閉じること。
提供先：他の利用者。ただし大まかな在席状況としてのみであり、生のログとしてではありません。
保存期間：在席は1つの値であり、継続的に上書きされます。当社は在席の履歴ログを保持していません。ルームの参加記録は、ルームの終了から1時間後に消去されます。

6.23 通報、ブロックおよび審査の記録

内容：お客様が行った通報およびお客様に関して行われた通報（通報対象、理由、通報者、通報された利用者、音声のチャンネルまたはルームの識別子、レビューの結果、および講じられた措置を含みます）、ブロックの一覧、自動審査の判断、ならびにコンテンツの削除、機能の制限、アカウントの停止の記録。
通報に何が含まれるかについて、具体的に知っていただきたいことがあります。当社の自動審査がお客様の送信したメッセージの本文を空にした場合、自動的に通報が作成され、その通報の説明欄にはメッセージ本文の冒頭1,500文字までが含まれます。つまり通報は、何かが差し止められたという事実だけを記録するのではなく、何が書かれていたかを記録します。通報はアカウントの削除後も保持されるため、本文を空にされたメッセージの内容が、それを書いた人のアカウントより長く残ることがあります。「通報を保持する」ことと「書かれた内容を保持する」ことは別の約束であり、真実なのは後者です。
取得元：お客様、他の利用者、および当社の自動審査。
利用目的：通報を調査し対応すること、ブロックを機能させること、3人の異なる通報者に達したコンテンツをレビューまで非表示にすること、常習者と措置の回避を検知すること、紛争において当社を防御すること、および法令上の義務を履行すること。
提供先：権限を有するCHRYSAの審査担当者。法令上開示が義務づけられる場合の法執行機関または裁判所。紛争の相手方に対しては必要な範囲でのみ。通報は、例外なくすべてのクライアントから読み取れません。バタフライの通報は匿名投稿の真の投稿者を解決するものだからです。
保存期間：アカウントの削除後も意図的に保持する種類であり、その理由を正確に述べます。通報は双方向に保持され、対象となるアカウントが削除されたことを示す印が付けられます。審査担当者が、消えたアカウントと現存するアカウントを見分けられるようにするためです。削除されたアカウントに対して置かれたブロックも保持され、置いた人を保護し続けます。離れる利用者が他人に対して置いたブロックは削除されます。他の人のルームでお客様に付与された出入り禁止とミュートは、そのルームに残ります。当社がこうするのは、そうしなければ、削除が、何について通報されたかの記録を消す手段になり、削除と再登録により措置を免れる手段になるからです。法的根拠は明確です。カリフォルニア州消費者プライバシー法第1798.105条(d)は、セキュリティ上の事案を検知し、悪意ある、欺瞞的な、不正なまたは違法な行為から保護するために必要な個人情報の保持を認めています。また個人情報の保護に関する法律は、人の生命、身体または財産の保護のために必要な保持を認めています。措置に至らなかった通報は、反復的な通報の傾向を把握するのに足りる、より短い期間保持します。

6.24 スタッフ宛ての通知メール

内容：一定の出来事が起きると、当社のバックエンドは、メール配信事業者である Resend を通じて、少数のCHRYSAスタッフのアドレス宛にメールを送信します。そのうち2種類がお客様の個人情報を含みます。

本人確認のために本人確認書類を提出されたとき、メールにはお客様の氏名、アカウントのメールアドレス、アカウントID、本人確認の記録の識別子、および日時が記載されます。書類の画像は意図的に添付もリンクもされません。
予約が失敗し担当者の対応が必要になったとき、メールにはお客様の氏名、アカウントのメールアドレス、アカウントID、お店、および希望の時間帯が記載されます。電話番号は意図的にメールに含めません。担当者は待ち行列の記録を開いて取得します。

第三の通知は新しいクラッシュ署名を報告するもので、お客様の身元ではなくエラーと画面を含みます。
取得元：お客様のアカウント記録から当社のバックエンドが生成します。
利用目的：本人確認書類のレビューと予約の失敗は、いずれも速やかに担当者の対応を必要とし、メールがその担当者に伝わる手段だからです。
提供先：メッセージを送信する Resend, Inc.、および受信者一覧にあるCHRYSAの指定スタッフ用メールボックス。受信者一覧は、アプリの新しいバージョンを配布することなく当社が変更できます。
保存期間：一度送信されたメールは、Resend の配信ログと受信者のメールボックスに残ります。アカウントを削除しても、いずれにも届きません。特定の通知メールを当社のメールボックスから削除することをご希望の場合は、ご連絡ください。削除します。
訂正：前版は Resend にもこれらのメールにも一切言及していませんでした。

6.25 本人確認書類

内容：アップロードされる公的な本人確認書類の写真、選択された書類の種類、レビューの状態、レビューの判断、日時、および提出とあわせて取得される端末とアプリのバージョンの基本情報。
取得元：お客様（任意）。本人確認は任意であり、アプリのどの機能もこれを必須としていません。本人確認により認証済みの状態が与えられ、これは両モードで有効です。保留中のデート招待の承諾、クイックデートの利用、およびバタフライのパーティールームのホストに必要です。
利用目的：実在し責任を負う成人がアカウントの背後にいることを確認すること、なりすましと詐欺を減らすこと、および濫用のリスクが高い機能に条件を設けること。
レビューの方法：CHRYSAの担当者が、当社の管理コンソールで記録を開き、書類を見て、承認または却下の印を付けます。アプリ内にレビュー用の画面はなく、自動の本人確認もありません。当社は顔認識を運用しておらず、書類やお客様の写真から顔のテンプレート、指紋、声紋その他の生体識別子を生成も保存もしていません。
提供先：レビューを行うCHRYSAの担当者。6.24に記載の通知メールについて Resend とスタッフのメールボックス（画像が含まれることはありません）。お客様の本人確認書類が、プロフィールに表示されること、フィード、検索、候補一覧、マッチングの結果に返されること、および第三者にその第三者自身の目的のために送信されることは、一切ありません。とくに OpenAI に送信されることはありません。
保護の方法（正直に）：お客様の書類を指し示す記録は厳格に保護されており、お客様と当社のバックエンドのみが読める、独自のアクセス制御領域にあります。ファイル自体も所有者のみの領域に保管されています。ただし、記録にはファイルへのリンクが含まれ、そのリンクにはアクセストークンが付いています。つまりリンク自体が、サインインなしで機能します。実際の管理はこの記録です。ファイルが2つの独立した鍵で守られているとは言えないため、こう書いています。
保存期間：本人確認の記録はアカウントを削除するまで保持し、保存されたファイルとともにアカウントとともに削除します。レビューの終了時点での自動消去はなく、当社は作っていない機能を説明するつもりはありません。レビューの直後やアカウントの削除後を含め、いつでも書類の画像の削除をご希望の場合は、support@chrysa.app までご連絡ください。削除し、ご報告します。
補足：本人確認書類の情報は要配慮個人情報にあたります。第7節をご覧ください。

6.26 音声セッションの記録

内容：ボイスマッチまたはパーティールームのチャンネル識別子、各参加者に割り当てられる数値の音声識別子、席と参加の状態、ミュート・退出・出入り禁止といったホストの操作、ルーム名とカテゴリ、ならびに開始・参加・終了の日時。音声セッションについて通報が行われた場合、どのセッションに関するものかを判別できるよう、チャンネルまたはルームの識別子を通報とともに記録します。
含まれないもの：音声そのものです。CHRYSAはボイスマッチおよびパーティールームの音声を録音していません。音声は、当社のリアルタイム音声事業者である Agora を通じて参加者間をライブで流れます。当社のサーバーが音声のストリームを受け取ることはなく、録音機能も有効化されていないため、当社が保持し、確認し、提出し、または紛失しうる録音は存在しません。
取得元：音声機能のご利用時に生成されます。
利用目的：適切な通話に接続すること、席の上限とホストによる管理を実施すること、放置されたルームを閉じること、利用回数の制限を適用すること、および通報を調査すること。
提供先：Agora, Inc.。チャンネル名、当社がセッションのために発行する数値の識別子（お客様のCHRYSAアカウントIDではありません）、アクセストークンを受け取り、お客様が話している間、参加者間でライブ音声を運びます。他の参加者は、お客様のハンドルネーム、アバター、席を見ます。
保存期間：ルームのチャット、参加記録、出入り禁止・ミュートの記録は、ルームの終了から1時間後に消去されます。ボイスマッチの記録は、通話終了から60分後に消去されます。いずれも残っている場合はアカウントとともに削除されます。

6.27 保存したお店、コレクション、デートプラン、招待、お店ボード

内容：保存されたお店、そこから作られたコレクション、作成または承諾されたデートプラン（お店の詳細、日付、時刻、人数、備考を含みます）、送受信された招待、およびお店ボードに書かれた投稿と返信。
取得元：お客様、および選ばれたお店について Google Places が返すお店の情報。
利用目的：お店やプランを保存して見返せるようにすること、相手とデートの調整を行うこと、公開を選ばれた投稿を掲載すること、およびマッチングにおける「共通して保存したお店」の要素を採点すること。
提供先：プランまたは招待の相手方。お店ボードへの投稿については他のCHRYSA利用者。OpenAI（6.16に記載の自動審査のため、お店ボードの投稿の本文を受け取ります）。
保存期間：項目を削除されるか、アカウントを削除するまで。デートプランは例外であり、本バージョンでこの記載を訂正しました。お客様のみのプラン、すなわち相手のいない、ご自身のために作成されたプランは、アカウントを削除すると完全に削除されます。他の人と共有されたプランは削除されません。削除すると相手の複製が壊れるからです。代わりに、一方のアカウントが失われたことを示す印が付けられます。お客様のアカウントIDは、その共有されたプランに残ります。お客様のアカウント記録が失われるため、そのIDはもはや何も参照せず、誰もそこからお客様の氏名や写真に戻ることはできません。ただし、IDは物理的にはそこにあるため、「氏名が取り除かれた」とは書きません。特定の共有プランの削除をご希望の場合は、アカウントを削除される前にアプリ内で削除されるか、当社にご連絡ください。削除します。

6.28 利用回数の制限カウンタ

内容：当社が制限している操作について、1人ごと、操作ごと、1日ごとに、使用回数を記録するカウンタ。
取得元：当社のバックエンドが生成します。
利用目的：濫用、スパム、費用を狙った攻撃を防ぐため。
提供先：当社の委託先以外にはありません。
保存期間：前日のカウンタが自動的に消えることはありません。アカウントを削除すると削除されます。

6.29 サポートおよび法務に関するご連絡

内容：support@chrysa.app にお送りいただくメッセージの内容（添付いただく情報を含みます）、および当社からの返信。
取得元：お客様。
利用目的：ご回答すること、個人情報に関するご請求を確認し処理すること、苦情と削除請求に対応すること、およびそれらに対応した記録を残すこと。
提供先：CHRYSAおよび当社の専門家の助言者以外にはありません。ただし、第19節に定める著作権の異議申立通知のように、ご連絡自体を転送しなければならない場合を除きます。
保存期間：当該事案の解決に必要な期間、およびその後、当社が対応したことを示す必要がありうる期間保持します。個人情報に関するご請求については、カリフォルニア州法が求めるとおり、少なくとも24か月間となります。

第7条（要配慮個人情報）

上記の情報の一部は、カリフォルニア州法および他の米国州法の同等の区分において機微な情報として扱われ、日本においては要配慮個人情報またはその他の特別な保護を受ける情報として扱われます。CHRYSAにおける該当区分は次のとおりです。

精密な位置情報。お客様の許可のもとでのみ取得し、お店の検索、地図の検索結果、マッチングの距離に用います。6.6に記載の履歴ログを含みます。
公的な本人確認に関する情報、すなわち任意の本人確認のためにアップロードされる本人確認書類。
性的指向を示す情報。性別と探している性別を記載する恋愛プロフィールには本来的に含まれ、公開を選ばれるコンテンツからも明らかになります。
プライベートな通信の内容、すなわちいずれかのモードで他の利用者と交換するメッセージ。カリフォルニア州法は、当社が受信の相手方でない場合これを機微なものとして扱い、お客様が他の利用者に送るメッセージについて、当社は受信の相手方ではありません。当社がメッセージの内容を取り扱うのは、配信のため、会話をお客様が利用できる状態に保つため、第11節の送信前の確認を行うため、および通報に対応するためのみです。
食事およびアレルギーに関する記載（保存を選ばれた場合）。健康情報を、場合によっては宗教上の実践を明らかにしうるからです。これらはCHRYSAの中にとどまりません。予約をご依頼になると、Browser Use, Inc. に送信され、お店自身の予約フォームのアレルギー欄または特記事項欄に入力され、担当者が予約を完了しなければならない場合はCHRYSAの担当者が読みます。他のどのプロフィール項目よりも広く流通します。レストランが知る必要があるからです。流通させたくない場合は、欄を空にして、ご自身でレストランにお伝えください。
CHRYSA デートコーチでの会話。ご自身の生活について話される範囲において。これらを読めるのはご本人のみです。6.16をご覧ください。

当社はこれらを、第6節に記載の目的のためにのみ取得します。当社は、お客様が求めた機能を提供するため、サービスを安全かつ安定に保つため、違法行為を検知し対処するため、および法令を遵守するためにのみ、これらを利用し、開示します。当社は、お客様の特性を推知するために要配慮個人情報を利用または開示することはなく、カリフォルニア州法上、利用の制限を求める権利が生じるいかなる目的のためにも利用または開示しません。そのため、「要配慮個人情報の利用を制限する」リンクは設けていません。当社の判断にご異議がある場合はご連絡ください。それでも制限を適用します。

当社は要配慮個人情報を販売せず、文脈を越えた行動ターゲティング広告のために共有せず、いかなる形の広告やプロファイリングにも利用しません。

当社は顔認識を用いておらず、顔のテンプレート、指紋、声紋といった生体識別子を取得も保存もしていません。バタフライの性格診断の結果を構成する5つの数値は、5問の選択式の質問に対するお客様の回答であって、お客様を測定したものではありません。

第8条（当社は個人情報を販売せず、広告のために共有しません）

CHRYSAは、カリフォルニア州消費者プライバシー法にいう「販売」に該当する個人情報の販売を行っておらず、同法にいう「共有」に該当する、文脈を越えた行動ターゲティング広告のための個人情報の共有も行っていません。直前の12か月間も販売または共有を行っておらず、その予定もありません。当社はこれを、意図ではなくコードと突き合わせて確認しました。アプリのどこにも、広告SDK、計測SDK、データブローカーとの連携、広告識別子は存在しません。

当社は、バージニア州、コロラド州、コネチカット州、ユタ州、テキサス州、オレゴン州、モンタナ州、メリーランド州その他の米国州プライバシー法の同等の定義においても個人データを販売しておらず、ターゲティング広告のため、または法的効果もしくは同様に重大な影響を生じる決定のためのプロファイリングのために個人データを処理していません。

当社は他社のアプリやウェブサイトを横断してお客様を追跡していないため、Apple の App Tracking Transparency の確認画面を表示しておらず、そこで尋ねるべき事項もありません。

販売および共有は、第13節に記載する予約に伴う提供とは異なるものです。お客様がテーブルの予約を当社にご依頼になると、当社は予約を確保できるよう、そのお店に予約の情報を渡します。当社はその対価を受け取っておらず、これはお客様のご依頼があった場合にのみ生じるものであり、それらの法律にいう販売にも共有にも該当しません。当社は、委託先の一覧の中に埋め込むのではなく、率直に記載します。

当社はいずれも行っていませんが、販売と共有をオプトアウトする方法をお示しすることが求められています。お送りいただいた場合、当社は記録します。第22節をご覧ください。

第9条（当社がお客様の情報を利用できる根拠）

法律により枠組みが異なるため、同じ答えを2つの枠組みで示します。

カリフォルニア州法その他の米国州法のもとでは、当社は、お客様がサービスを求め、当社がそれを提供しているために、また第20節に掲げる事業上の目的のために、個人情報を処理しています。要配慮情報の処理に先立ちお客様の同意を求める法律がある場合、どの同意がどの区分をカバーし、どのように撤回するかは第21節に記載しています。

日本の個人情報の保護に関する法律のもとでは、当社は利用目的をあらかじめ特定し、その範囲内で処理します。23.1がその一覧です。当社は、お知らせすることなく、また必要な場合に同意をいただくことなく、その範囲外の目的でお客様の個人情報を利用することはありません。

実務上、当社は4つの根拠に依拠しています。どれがどれかを知っておくと有用です。

お客様が機能を求めたこと。マッチング、チャット、投稿、予約、カレンダーの予定、音声、コーチング、アイスブレイクは、いずれもお客様がお使いになったから存在します。第6節のほとんどがこれにあたります。
サービスを安全に保つ必要があること。コンテンツ審査、通報、ブロック、利用回数の制限、措置の回避の検知、および保持される安全記録は、これに基づきます。コンテンツ審査をオフにできない理由、および一部の記録がアカウントより長く残る理由でもあります。
サービスを稼働させ続ける必要があること。認証、不具合の診断、エラーのログ、分析は、これに基づきます。
法律が求めること。年齢の確認、漏えい等の報告、適法な法的手続への対応、および遵守を示すために保持しなければならない記録。

同意に基づく利用（位置情報の権限、マイクの権限、カレンダーの権限、写真ライブラリへのアクセス、本人確認書類のアップロード）については、当社がお尋ねした時点でお客様が同意されたものであり、端末の設定または項目の消去により撤回できます。撤回は将来の利用を止めるものであり、すでに行われたことを取り消すものではありません。

第10条（保存期間）

種類ごとの期間または基準は第6節に記載しています。まずそちらをご覧ください。まとめは次のとおりです。

自動的に期限が来るものは3つあります。パーティールームのチャット、参加記録、出入り禁止・ミュートは、ルームの終了から1時間後。ボイスマッチの記録は、通話の終了から60分後。バタフライの孤立したメディアファイルは、1日を超えたものが6時間ごとに一括消去されます。

それ以外のほとんどには期限がありません。アカウントを削除するまで保存されます。これは意図した設計です。1年経つとマッチが黙って消えるデートアプリは、より悪いプロダクトだからです。ただしその結果、「どれだけ保存しますか」という問いに対する答えが本書のほとんどで同じになり、その答えは「アカウントをお持ちである限り」です。

アカウントの削除後も残るものは3つあります。6.23および第17節に記載の安全記録、共有されたデートプランおよびお客様の名前が入っている他の人の記録（削除ではなく印を付けます）、ならびに6.20に記載のクラッシュ署名の保管庫（これは判断ではなく手落ちであり、修正中です）。

保存期間の判断に用いる基準は次のとおりです。

お客様がお使いの機能を提供するために、その情報がどれだけ必要か。
会話のように、他の人の記録の一部でもあるかどうか。
人々の安全を守り、規則を執行し、排除された利用者の復帰を防ぐために必要かどうか。
法律上保持が義務づけられているか、または法的請求の確立、行使、防御に必要かどうか。
すでに他の利用者に流通しているかどうか。それにより削除で達成できることが制限されます。

いずれの基準によっても不要となった情報は、削除するか、復元できない形で匿名化します。

第11条（自動処理およびAI機能と、それができないこと）

当社はこれらを正確に説明することを求められており、またそうしたいと考えています。本節で最も重要なのは、CHRYSAの自動コンテンツ審査がすべてを対象としているわけではなく、対象としている範囲でも保証されているわけではないということです。どこに適用され、どこに適用されないかを正確にお伝えします。

審査の対象。次の場所の文章が OpenAI の審査モデルに送信されます。スクエアの投稿、コメント、QuickDateモードとバタフライモードの両方のプライベートなメッセージ、パーティールームのチャット、ルーム名、およびハンドルネームを含むプロフィールの自由記述。画像は、スクエアの投稿とQuickDateモードのプロフィール写真について送信されます。これは前版が記載していた一覧より広く、前版の一覧は単に不完全だったのではなく誤っていました。

投稿の公開前審査。スクエアの投稿は保留の状態で作成され、走査が終わるまで他の誰にも表示されません。走査を通過すれば公開され、通過しなければ差し止められ、一般的な内容の通知が届きます。しきい値は当社が設定し、当社のサーバー上で調整します。

チャットの審査が実際にどう動くか（理解する価値があります）。お客様のメッセージは送信時に確認されます。ここから2つの帰結が生じます。第一に、審査サービスが遅い、利用できない、または回数の上限を超えている場合、確認はアプリの利用を止めるのではなく、端末内のみの簡易な確認に低下します。したがって障害時には検出される量が減ります。第二に、当社はメッセージを保留せず速やかに配信するため、モデルの結果が返って本文が空にされる前に、メッセージがすでに相手に配信され、プッシュ通知として届いていることがあります。相手はすでにそれを見ているかもしれません。それでも本文は空にされ、通報も作成されます。

自動審査がまったく行われていない場所。チャット内で送信された画像は審査されていません。ライブ音声は審査されていません。音声は当社のサーバーに届かないため、モデルが読むものが存在せず、これは設定で有効化できるものではなく、機能の構成そのものに由来します。動画はコマごとには審査されていません。確認されるのはカバー画像のみで、それ以降のすべてのコマは未確認であり、カバー画像は送信側の端末が生成するもので、それが添付された動画に由来することを当社は検証していません。動画は1時間に及びうるものですから、これは形式的な但し書きではなく、現実の限界としてお読みください。

以上のすべての場所、および上記の確認が低下するすべての場面でお客様を守るのは、18歳以上の要件、任意の本人確認とルーム作成の条件となる認証済みの状態、アプリ内の通報機能、チャットのワンタップの申告、ブロック、3人の異なる利用者から通報された時点での自動非表示、ならびに、理由のある通報から24時間以内にコンテンツを削除し違反者を排除する、人によるレビューです。

自動コンテンツ審査は両方向に誤ります。受け入れられるコンテンツを差し止め、受け入れられないコンテンツを見落とします。当社は誠実に審査を行います。当社はユーザーコンテンツの著作者ではなく、お客様が目にするすべてが正しくレビューされていることを保証しません。

通報と自動非表示。3人の異なる通報者に達したコンテンツは、人によるレビューまで自動的に非表示になります。これは件数による作動であって、コンテンツが悪いという判断ではありません。

CHRYSA デートコーチ。OpenAI のモデルの上に構築された対話型のアドバイザーで、1回のセッションに上限があり、さらに1日の上限があります。一般的なデートの提案を行います。セラピスト、カウンセラー、弁護士、安全サービスではなく、お客様がお話しになる以上のことはお相手について何も知らず、その出力は誤ることがあります。セッションは全体が保存されます。6.16と、そこに記載のアクセスに関する補足をご覧ください。

バタフライモードのアイスブレイク。2人のタグと惑星、およびその会話の直近のメッセージから生成される、最大3件の会話の切り出しの提案です。提案は回数制限があり、保存され、連絡先を取り除くフィルタを通り、表示前に審査されます。お客様に代わって何かが送信されることはありません。送るかどうかはお客様が選びます。提案をそのまま送信された場合、AI支援である旨の印が付きます。

予約代行。CHRYSA予約は、お客様がご提供の情報を用いて、お店自身の公開予約サイトでの予約の完了を試みます。このエージェントは、アメリカ合衆国の委託先である Browser Use, Inc. が当社のために運用するAI駆動の自動ブラウザであり、フォームに入力するために予約の情報を受け取ります。お店のサイトは千差万別のため、これはしばしば失敗します。失敗した場合、その試みは手作業の待ち行列に入り、CHRYSAのチームの担当者が、お店への電話を含め手作業で予約を完了します。つまり担当者がお客様の氏名、電話番号、メールアドレス、食事に関する記載を読みます。エージェントは、クレジットカード情報を入力しないこと、およびお店がカードを要求する場合は中止することを指示されています。予約はお店が確定して初めて確定するものであり、お店は断ることができます。

これらの機能はいずれも、お客様について法的効果または同様に重大な影響を生じる決定を行いません。コンテンツやアカウントを制限し削除する審査の判断は、人による再審査の対象です。ご請求は上記の連絡先までお願いします。

第12条（音声機能とマイク）

バタフライモードには2つのライブ音声機能があります。マッチした2人の間の時間制限のあるボイスマッチ（タイマーの満了前に双方が同意した場合にのみ身元が明かされます）と、マイク席と聴衆からなり、ホストが管理するパーティールームです。

これらの機能でお話しいただけるよう、当社はマイクの権限をお願いします。マイクを使用するのは、ボイスマッチの最中、パーティールームのマイク席についている間、または通話中のみで、広告、プロファイリング、周囲の音の聴取に使用することは決してありません。音声とマイクの機能が動作するのは、アプリが前面にある間だけです。アプリをバックグラウンドに移すか終了すると、いずれも停止します。バックグラウンドのまま、または操作のないままおよそ5分が過ぎると、ルームの席は空き、いま聴いている他の方が座れるようになります。ルームが把握しているのは在席の情報であって、音ではありません。

CHRYSAはボイスマッチおよびパーティールームの音声を録音していません。お客様が話された内容の録音は保存されていません。お客様のライブ音声は、他の参加者に届くために Agora のリアルタイムネットワークを通過します。これが第24節で開示している事項です。運ばれてはいますが、保持されてはいません。

現時点で1つ、知っておいていただきたい限界があります。ルームで話す権限があるのは誰かは、音声ネットワーク自身ではなく、アプリと当社のデータベースの規則によって実施されています。当社はこれを厳格化する作業を進めています。それまでの間、パーティールームは想定外の声が生じうる場であるとお考えいただき、その場合はホストの機能と通報のボタンをお使いください。

他の参加者を録音してはなりません。当社が事業を行う法域の一部、たとえばカリフォルニア州では、録音される会話について全当事者の同意が必要とされています。他の参加者の音声を同意なく録音、配信その他の方法で取得することは当社の規約により禁止されており、刑事罰の対象となる場合があります。同意なく録音されたとお考えの場合は、上記の連絡先にご通報ください。

音声セッション中に起きたことを通報される場合は、そのセッションの中から通報していただくか、ルームを控えておいてください。通報とあわせて記録されるチャンネルの識別子が、どの会話を指しているかについて当社が持つ唯一の恒久的な手がかりだからです。

CHRYSAには1対1の音声通話およびビデオ通話の機能もあります。QuickDateモードでは、マッチした相手とチャットの画面から通話できます。バタフライモードでは、会話が開いたあと、つまり相手が最初のメッセージに返信したあとに通話できます。

ビデオ通話の場合は、カメラの利用許可もお願いします。許可は通話を発信する前にお願いしています。完了できない通話の呼び出し中に取り残されることがないようにするためです。カメラはビデオ通話中にのみ使用されます。

当社は通話を録音・録画せず、保存もいたしません。いずれの種類の通話についても、保存された音声または映像は存在しません。ルームと同様に、通話中の音声および映像は相手に届けるためにAgoraのリアルタイムネットワークを経由します。これは伝送であって、保存ではありません。

一方で、通話そのものとは別に、各通話に関する短い記録を保持します。この記録には、誰が誰に発信したか、どのモードの通話か、音声かビデオか、どの会話から発信されたか、開始した時刻、応答されたかどうか、どのように終了したかが含まれます。これは通話機能を成立させるため（相手の端末を呼び出し、通話どうしの衝突を防ぐのはこの記録です）、あとから不在着信をお知らせするため、および1つのアカウントが1日に発信できる人数の上限を適用するために使用します。終了した通話の記録は、終了からおよそ1時間後に削除されます。

応答されなかった通話については、あとから確認できるものが残る場合があります。バタフライモードでは通知として、QuickDateモードでは会話のなかのメッセージとして残ります。ご自身で拒否された通話については残しません。すでにご覧になっているためです。

QuickDateモードでの通話は、双方の本人確認が完了していることが必要です。バタフライモードでの通話に本人確認は必要ありません。バタフライモードでは身分証明書をお預かりしないためです。その代わりに必要となるのは、相手から返信があることです。

上記の音声ルームと同じ理由により、通話の相手を録音・録画することは禁止されています。

第13条（委託先およびその他の受領者）

当社は、事業上の目的のために、次の各社に個人情報を提供しています。いずれも、当社のためにのみ処理することを定めた契約に基づきます。この一覧は、発効日時点で完全なものです。

Google（Firebase プラットフォーム）。Firebase Authentication はアカウントの認証情報と識別子を保持します。Cloud Firestore は、プロフィール、投稿、コメント、チャット、カレンダーの予定、通報、ブロックその他のデータベースを保持します。Cloud Storage は、写真、動画、カバー画像、本人確認書類を保持します。Cloud Functions は、マッチング、コンテンツ審査、予約、音声トークンの発行、および6.4に記載するメディアの複製の作成を含む当社のバックエンド処理を実行します。Google アナリティクス for Firebase は、多くのイベントについてアカウントIDを含む、利用状況および診断のイベントを受け取ります。Firebase Cloud Messaging はプッシュ通知を配信し、プッシュトークンを受け取ります。App Check は真正性検証のデータを受け取ります。Remote Config はアプリに設定を配信します。当社のデータベースはアメリカ合衆国に、Cloud Storage は日本に所在し、Cloud Functions は台湾で稼働しています。Firebase Authentication は、Google がアメリカ合衆国のデータセンターのみで運用しています。Google アナリティクス for Firebase、Firebase Cloud Messaging、App Check および Remote Config は、Google のグローバルな基盤上で稼働しており、Google がデータセンターを置くいずれの国・地域でもデータを処理する可能性があります。

Google（マップおよび Places）。地図、お店の検索結果、お店の詳細、お店の写真を返すために、お客様の座標とお店の検索語を受け取ります。これらの呼び出しは、当社のサーバーを経由せず、お客様の端末から直接 Google に対して行われます。QuickDateモードでのみ使用されます。

Apple。Appleでサインインを提供します。その場合、Apple は当社にアカウント識別子とメールアドレス（中継用のアドレスであることがあります）を渡します。また、Apple プッシュ通知サービスによりプッシュ通知を配信し、カレンダー同期をオンにされた場合に用いる端末上のカレンダーのインターフェースを提供し、生の座標を市区町村名と国名に変換する端末上のジオコーディングサービスを提供します。つまり Apple はその座標を受け取ります。Apple はまた App Store を通じてアプリを配布しています。CHRYSAには現在、アプリ内購入、サブスクリプション、いかなる決済もありません。

OpenAI。自動審査のために提出されるコンテンツ、すなわち投稿の本文と画像、コメントの本文、パーティールームのチャット、ルーム名、ハンドルネームを含むプロフィールの自由記述、QuickDateモードのプロフィール写真、投稿された動画のカバー画像、および両モードで送信されるプライベートなメッセージの本文を受け取ります。画像は、6.4に記載のとおり、OpenAI のサーバーが自ら取得するリンクとして渡されます。また、CHRYSA デートコーチおよびバタフライモードのアイスブレイクの入力と出力（興味タグ、惑星、および該当する会話の直近のメッセージを含みます）も受け取ります。処理は、当社の委託先として、当社に結果を返すという唯一の目的のために、OpenAI の商用APIを通じて行われます。当社は OpenAI に対し、メールアドレス、生年月日、本人確認書類、電話番号、座標を送信していません。

Agora。ボイスマッチとパーティールームのリアルタイム音声の伝送を提供します。チャンネル名、当社がセッションのために発行する数値の参加者識別子（お客様のCHRYSAアカウントIDではありません）、アクセストークン、接続品質の情報、およびお客様が話している間のライブ音声を受け取ります。音声は参加者間をリアルタイムで通過します。当社が録音することはなく、録音機能も有効化されていません。

Expo, Inc.。アプリの実行基盤と、写真や動画を選択する際に用いる端末上のメディアの選択および圧縮の機能を提供します。Expo Application Services は無線経由の更新を配信し、更新の確認のたびにインストールおよび実行環境の識別子、アプリのバージョン、プラットフォーム、端末の機種を受け取ります。Expo のプッシュサービスは当社の通知を Apple および Google のプッシュサービスに中継し、プッシュトークンと通知の内容（QuickDateモードでは、通知の契機となったメッセージの冒頭40文字を含みます）を受け取ります。

Resend, Inc.。6.24に記載のスタッフ宛て通知メールを配信します。受信者のアドレスとメッセージの本文を受け取ります。本人確認の通知の場合は氏名、アカウントのメールアドレス、アカウントIDが、予約の失敗の通知の場合は氏名、アカウントのメールアドレス、アカウントID、お店、時間帯が含まれます。本人確認書類の画像を受け取ることは一切ありません。

Browser Use, Inc.（browser-use.com、アメリカ合衆国）。CHRYSA予約のご利用時に、お店自身の予約フォームをお客様に代わって完了する、AI駆動の自動ブラウザを運用します。予約をご依頼になった場合にのみ、アカウント上の名、姓、フルネーム、電話番号、予約用メールアドレス、お店とその予約ページ、日付、時刻、人数、および保存されている食事またはアレルギーに関する記載を、当社が送信する指示の中の平文として受け取ります。クレジットカード情報を入力しないよう指示されています。

お店およびお店が利用する予約プラットフォーム。これは上記のすべてとは性質が異なるため、埋もれないよう分けて記載します。予約をご依頼になると、当社はお客様の予約をお店、またはお店が利用するオンライン予約プラットフォームに送信します。送信されるのは、予約に用いる氏名、連絡先の電話番号、メールアドレス、人数、希望の日付と時刻、および食事またはアレルギーに関する記載であり、エージェントはこの記載をお店のアレルギー欄または特記事項欄に入力するよう明示的に指示されています。お店およびその予約プラットフォームは当社の委託先ではありません。お店は独立した事業者としてその情報を受領し、予約の確保、確定、変更、取消しのために、自らのプライバシー慣行に基づいて取り扱います。その後にお店が何をするかを当社は管理していません。これは予約をご依頼になった場合にのみ生じます。これらの情報を共有したくない場合は、CHRYSA予約をご利用にならないでください。CHRYSAでお店を見つけたうえで、ご自身で予約していただくことは可能です。

上記の各社のほか、当社は次の場合に個人情報を提供することがあります。

お客様が他の利用者と共有することを選ばれた場合の当該利用者。
法令上義務づけられる場合、または差し迫った身体的危害を防ぐために必要な場合の、法執行機関、規制当局または裁判所。
法務または会計の助言を得るために必要な場合の、当社の専門家の助言者。
合併、買収または事業譲渡の場合の譲受人。その場合、お客様の情報が異なる方針の適用を受ける前に、利用者にお知らせします。

上記の、お客様のご依頼があった場合にのみ生じる予約に伴う提供を除き、当社は、第三者自身の独立した商業目的のために個人情報を提供することはありません。当社は広告ネットワーク、計測事業者、データブローカーを一切使用していないため、これらに個人情報を提供することもありません。

「受領者」という通常の意味には収まらないものの、お客様の情報が行き着く先として、あと2つ挙げておきます。当社のバックエンドは Google Cloud Logging に運用ログを書き込んでおり、そのログにはアカウントIDやメッセージ本文の短い断片が含まれることがあります。また、予約のために Browser Use に送信する指示は、同社の処理履歴に残ります。当社のシステムはそれを削除しません。

第14条（データが処理される場所：越境移転）

CHRYSAは、複数の国・地域にある Google Cloud のインフラストラクチャ上で稼働しています。当社のデータベースは、アメリカ合衆国内のマルチリージョンに構成されています。お客様がアップロードされるファイル（写真、動画、カバー画像、本人確認書類）は、日本（東京）の Cloud Storage に保管されます。そのデータを読み書きし、6.4に記載するメディアの複製を作成する当社のバックエンド処理は、台湾で稼働しています。つまり、日本にお住まいの場合、アカウントの記録、プロフィール、メッセージその他の当社のデータベースの内容は、アカウントを作成された瞬間から、日本ではなくアメリカ合衆国に保存され、当社のバックエンドがデータを処理する際には台湾で処理されます。サインインの認証情報を保持する Firebase Authentication はアメリカ合衆国のみで稼働し、Google アナリティクス for Firebase、Firebase Cloud Messaging、App Check および Remote Config は、第13節に記載のとおり、Google がデータセンターを置くいずれの国・地域でもデータを処理する可能性があります。データは第13節に掲げる各社により取り扱われます。参加者に最も近い地域を経由して音声を中継する Agora のグローバルなリアルタイムネットワーク、および予約をご依頼になるお店（予約を行う国に所在します）を除き、いずれも米国の会社です。

アメリカ合衆国には、日本の個人情報の保護に関する法律に相当する単一の包括的な国内データ保護法はありません。保護は、連邦取引委員会による不公正または欺瞞的な行為への執行、分野別の連邦法、ならびにカリフォルニア州、バージニア州、コロラド州、コネチカット州、ユタ州、テキサス州、オレゴン州、モンタナ州、メリーランド州その他の州の包括的なプライバシー法（消費者にアクセス、訂正、削除、オプトアウトの権利を与えます）の組合せから生じます。ロサンゼルスに拠点を置く事業者であるYoYo LLC に適用されるカリフォルニア州法はこれらのうち最も厳格であり、カリフォルニア州プライバシー保護庁およびカリフォルニア州司法長官が執行します。当社のバックエンド処理が稼働する台湾には、包括的な個人情報保護法として個人資料保護法があります。アメリカ合衆国と台湾は、いずれも日本の個人情報保護委員会による同等性の認定の対象ではありません。そのため当社は、受領者と安全確保措置を23.3および23.7に個別に記載しています。

当社が依拠する安全確保措置は次のとおりです。各社との間で、当社の指示に基づき当社の目的のためにのみ処理することを制限する書面によるデータ処理契約を締結していること。契約上の守秘義務と安全管理義務。通信経路上および保存時の暗号化。権限を有する担当者へのアクセスの限定。および各社が公表するセキュリティおよびプライバシーの取組み。

日本からCHRYSAをご利用になることは、必然的にこのインフラストラクチャ上で動作するサービスの提供を当社に求めることを意味します。個人情報の保護に関する法律が求める具体的な開示は23.3に記載しています。

第15条（通報、ブロック、および当社の対応）

安全とプライバシーは同じ話であるため、本節を設けています。

プロフィール、投稿、コメント、チャット、パーティールーム、ボイスマッチを、アプリ内から通報できます。QuickDateモードでは、チャットから直接メッセージを申告することもできます。通報は両モードで同じように機能し、すべての通報が1つの待ち行列と1つのレビューチームに届きます。

バタフライモードには、当社のサーバーで実施される完全なブロックがあり、直ちに、バタフライモードのあらゆる場所で、双方向に効力を生じます。QuickDateモードには現在ブロック機能がありません。あるのは「プロフィールを非表示」「マッチ解除」「ユーザーを通報」であり、第5節に正確に記載しています。また「プロフィールを非表示」は現在アプリ内から取り消せません。一方のモードで行ったことは、他方のモードに及びません。お持ちでない保護を想定されるより、そのことを知っていただきたいと考えます。

当社は、不適切なコンテンツおよび迷惑行為の通報を速やかにレビューし、通報に理由があると認められる場合には、通報から24時間以内にコンテンツを削除し、違反した利用者を排除することをお約束します。3人の異なる利用者から通報されたコンテンツは、そのレビューまで自動的に非表示になります。当社はまた、警告、制限、一時停止、契約解除を行うことがあり、反復侵害者のアカウントは停止します。

通報はアカウントの削除後も保持され、6.23に記載のとおり、自動的に作成される通報には、その契機となったメッセージの本文が含まれます。通報をされた場合、通報された内容は、双方のアカウントより長く残りうる安全記録の一部となります。

アプリ内の通報機能をご利用になれない場合、または対応を上位に求められる場合は、support@chrysa.app までご連絡ください。日本語または英語で結構です。

第16条（アプリ内で実際にご利用いただける操作）

当社は、現在存在する操作のみを列挙し、存在しないものについてははっきりそう書きます。

プロフィールの編集。QuickDateモードの任意項目は、要配慮のものを含め、プロフィールの画面から追加、変更、削除できます。アプリが実際に実装している権利のうち最も強力なものです。
写真。プロフィール写真の追加、差し替え、並べ替え、削除ができます。
バタフライのプロフィール。アバター、惑星、興味タグはいつでも変更でき、性格診断は7日に1回受け直せます。ハンドルネームは作成後に変更できません。お客様も変更できず、ご請求に基づき当社が変更することもできません。他の人がお客様を認識する手がかりだからです。
シークレットモード。オンにすると、他の利用者の候補一覧に表示されなくなり、お客様も相手の候補一覧を見なくなります。見えなくなるのは双方向です。
バタフライモードのブロック。直ちに、バタフライモードの全体に、双方向に効力を生じ、解除できます。第5節をご覧ください。
QuickDateモードの「プロフィールを非表示」「マッチ解除」「ユーザーを通報」。現在ブロック機能はなく、「プロフィールを非表示」はアプリ内から取り消せません。ご連絡いただければ当社が解除します。第5節をご覧ください。
通報。いずれのモードからでも、コンテンツまたは利用者をレビューのために通報し、1つの待ち行列に届けます。
通知。アプリ内の切替えでCHRYSAのプッシュ通知をオン・オフでき、これは端末上だけでなく、通知が送信される前に当社のサーバー側で尊重されます。端末の設定でも通知の権限を独立して管理できます。バタフライモードでは、プッシュをオフにしてもアプリ内の通知センターに記録が表示され続けるため、プッシュをオフにしても情報を失うことはありません。
カレンダーの同期。端末のカレンダーを端末上の表示のために読み取るかどうかを、切替えで管理できます。オフにすると読み取りは止まり、端末の設定でカレンダーの権限を撤回しても止まります。なお、CHRYSAは、この切替えとは独立に、カレンダーの権限が許可されている限り、承諾されたデートを端末のカレンダーに書き込みます。
位置情報の権限。端末の設定で管理します。許可されていなくてもCHRYSAは動作し、お店と距離に関する機能が制限されます。
マイクの権限。端末の設定で管理します。音声機能にのみ必要です。
本人確認。完全に任意です。
匿名投稿。投稿ごとにハンドルネームを表示するかどうかを選べます。第5節に従います。
アカウントの削除。いずれのモードからでもアプリ内で行えます。第17節に記載しています。

存在しない操作（探されないよう記載します）。

アプリ内でのデータのダウンロードはありません。ご連絡いただければ手作業で作成します。第22節をご覧ください。
プロダクト分析の切替えはありません。6.19をご覧ください。
コンテンツ審査をオプトアウトする方法はありません。意図的なものです。
「データ共有の設定」画面も、広告のオプトアウトもありません。当社は販売も共有も広告も行っていないからです。

第17条（アカウントの削除と、削除が消すもの・消さないもの）

CHRYSAのアカウントは、アプリ内から削除できます。QuickDateモードではアカウント設定に、バタフライモードではいちばん右のタブ（自分のアバターのタブ）、設定、アカウント削除の順に操作します。いずれの経路も同じ削除の流れに入ります。アプリをインストールしなくても手続を開始できるよう、当社のウェブサイトにも削除請求のページがあります。また、アカウントに登録されたメールアドレスから support@chrysa.app にご連絡いただくこともできます。メールでのご請求は3営業日以内に受領した旨をご連絡し、アカウント所有者ご本人からのご請求であることを確認したうえで、確認から30日以内（可能な場合はより早く）に削除を完了します。この方法による削除は、アプリ内での削除とまったく同じものを削除します。

実際の動作（時間の点が重要です）。アカウントの削除により、お客様はサインアウトされ、サインインの認証情報が削除されます。当社サーバー上の完全な消去処理は、この認証情報の削除によって起動されます。消去処理は、バタフライモード、QuickDateモードの順に2段階で実行され、数十の個別の工程を順に進みます。大部分は数秒で完了します。完了しなかった工程は記録され、30分ごとに動作する処理が残りを引き継いで完了させます。

言葉は慎重に選んでいます。「直ちに、かつ恒久的に」は正確ではありません。「当社は直ちに開始し、最初の処理で完了できなかった部分は定期処理が完了させます」が正確です。削除が完了したかどうかをお知りになりたい場合は、いつでもご連絡ください。記録を確認してご回答します。

削除されるもの。削除は両モードに及び、実際に徹底しています。

バタフライモードからは、プロフィールとその非公開の記録、公開プロフィールの複製、ハンドルネームを付けて公開した投稿と匿名で公開した投稿（後者は6.14に記載の非公開の投稿者記録により見つけます。当社がその記録を執行のためではなく消去のために使う唯一の場面です）、コメント（他の人の投稿に残したものを含みます）、お客様の投稿に付いたすべてのいいねとお客様が押したすべてのいいね、双方向のフォロー関係、お客様が他の人に置いたブロック、会話とそのメッセージおよび保存されたアイスブレイクの提案、通知およびお客様に関する他の人の通知、ホストしていたパーティールーム（そのチャット、参加記録、出入り禁止・ミュートの一覧を含みます）、他の人のルームでのメッセージ（決して閉じない常設のルームを含みます）、他の人のルームで付与されたモデレーター権限、ルームへの参加記録、ボイスマッチの記録、マッチングの待ち行列・結果・待機期間・上限、お客様を含む組合せのログ、送信したほこり払い、ストレージ上のバタフライの画像と動画、および6.18に記載の内部の識別子の対応表が削除されます。

これらに先立ち、お客様のプロフィールには印が付けられ、1回のポーリングの周期のうちに候補の対象から外れます。ホストしていたライブのルームは、席をすべて空にして閉じられます。先に見えなくなり、後から消去されるため、消去処理の進行中に誰かが幽霊と話し続けることはありません。

QuickDateモードからは、公開のクイックデートのボードの記録、双方向の参加リクエスト、チャットとそのすべてのメッセージおよび添付ファイル（残る参加者のチャット一覧からもお客様のIDが取り除かれます）、お客様のみのデートプラン、予約の試み、マッチ、双方向の通知、操作のログ、CHRYSA デートコーチのセッション、本人確認の記録と書類のファイルそのもの、ご意見、エラーの記録、プッシュの配信記録、位置情報の履歴ログ、利用回数の制限カウンタ、保存したプラン、カレンダーの予定（デートの相手のカレンダー上の対応する予定を含みます）、保存したお店とコレクション、予約、そして最後にお客様の利用者記録とその配下のすべてが削除され、その後に、実際に消えていることを確認する検査が行われます。

お客様の Firebase Authentication のアカウントも削除されるため、以後サインインできません。削除は恒久的です。一時停止ではなく、当社が取り消すことはできず、削除されたアカウントをバックアップから復元することもありません。

削除されないものと、その理由。当社は完全な消去を約束するのではなく、正直に記載します。

通報。双方向に保持し、アカウントが削除されたことを示す印を付けます。自動的に作成された通報については、その契機となったメッセージの本文を含みます。法的根拠は6.23に記載しています。
お客様に対して置かれたブロック。お客様が離れた後も相手を保護し続けるために保持します。お客様が他人に置いたブロックは削除されます。
他の人のルームでお客様に付与された出入り禁止とミュート。それらはそのルームに属するものです。
共有されたデートプラン。6.27に記載のとおり、削除ではなく印を付け、お客様のアカウントIDはそこに残ります。お客様のみのプランは削除されます。
同行者としてお客様の名前が入っているだけの予約。相手の複製からお客様のIDを取り除いたうえで、予約そのものは保持し、相手の記録が壊れないようにします。
他の利用者の通知の履歴の中に現れるお客様のハンドルネームとアバター。これらは自然に古くなって消えていきます。
手作業の待ち行列にある進行中の予約。削除ではなく、取り消したうえで顧客情報を残さずに置き換えます。
お客様のIDを含む、他の利用者の非表示リストおよびブロックリスト。守られていた側の保護リストを、その相手の後片付けのために編集することは、意図的に行いません。
6.20に記載のクラッシュ署名の保管庫。これは判断ではなく手落ちであり、当社が現在お客様のデータに届いていないと正直に答えなければならない唯一の箇所です。ご連絡いただければ手作業で削除します。
法律上保持しなければならない記録、または法的請求の確立、行使、防御に必要な記録。
お客様に結びつけられない形に匿名化され、集計されたデータ。
6.19に記載の Google におけるプロダクト分析の履歴。当社の削除処理はこれに届きません。ご請求いただければ、当社から Google に請求します。
当社のインフラストラクチャ事業者が保持するバックアップの複製。削除されたデータは、稼働サービスから取り除かれた後も、当社ではなく同事業者の周期に従って、通常の暗号化されたバックアップに一定期間残ることがあります。
6.24に記載の、すでに送信されたスタッフ宛て通知メール。

所要時間。稼働サービスからの記録の削除は、両モードにおいて直ちに、またはほぼ直ちに行われ、最初の処理で完了しなかった部分は30分ごとに動作する定期処理が完了させます。アップロードされたバタフライの画像と動画は後片付けの処理でも消去されるため、孤立したファイルが最大1日程度ストレージに残ることがあります。パーティールームの席の状態は、およそ5分以内に片づきます。

削除がうまくいっていないように見える場合、または何が残っているかを確認されたい場合は、ご連絡ください。お調べしてご回答します。

第18条（情報の保護と、想定より弱い箇所）

本節は2つに分けます。強みだけを並べたセキュリティの節は、情報ではないからです。

当社が行っていること。アプリと当社バックエンドの間の通信はすべて経路上で暗号化され、保存されたデータは Google Cloud のインフラストラクチャ上で保存時に暗号化されています。本番データへのアクセスは、必要とする担当者に限定されています。管理操作はクライアントからの直接のアクセスではなくサーバー側の処理を経由するため、カウンタ、本人確認の状態、審査の状態その他の保護された項目は、当社のバックエンドからのみ書き込めます。機微なバックエンド処理には利用者ごとの回数制限が適用されます。いくつかの領域は個別に、正しく保護されています。本人確認の記録はお客様と当社のバックエンドのみが読めます。通報はいかなるクライアントも読めません。匿名投稿の非公開の投稿者記録もいかなるクライアントも読めません。バタフライの識別子の対応表は、両方向についてすべてのクライアントに拒否されています。クラッシュの保管庫は書き込みを受け付けますが、誰の読み取りも許しません。バタフライのブロックは、アプリではなく当社のデータベースの規則で実施されているため、改造クライアントで回避することはできません。

弱い箇所を、はっきり書きます。当社のアクセス規則には、まだ固有の規則が与えられていない領域について、サインイン済みの利用者に読み書きを許す旧来の既定値が残っています。当社は領域を1つずつこの既定値から移してきました。利用者の記録、チャット、本人確認書類、通報、ブロック、クラッシュの記録、スタッフの設定その他いくつかは、現在は個別に規律されています。そこから2つのことが導かれ、これは知っておいていただく必要があります。

お客様の利用者記録は個別に規律されるようになりましたが、その規則は「サインイン済みの利用者は読み取ってよい」と書かれています。書き込みは厳しく制限されていますが、読み取りは所有者限定ではありません。つまり、他のサインイン済みCHRYSA利用者のアプリは、お客様のアカウント記録上の項目（精密な座標、生年月日、電話番号、メールアドレスを含みます）を読み取ることができます。アプリの画面がそれらを相手に表示することはありません。それでもデータには到達可能です。これは本書のなかで最も重要な一文です。
他のいくつかの領域は、いまも旧来の既定値のもとにあります。デートプラン、マッチ、通知、予約、ご意見を含みます。エラーの記録と参加リクエストも既定値から外れました。いずれもサインイン済みの利用者からの書き込みは引き続き受け付けますが（本来そのための領域です）、どのクライアントからも読み取ることはできません。

当社は、理想の姿を述べるのではなく、これをお伝えします。いずれも当社の作業予定に入っており、完了した時点で本ポリシーを更新します。

App Check は、当社のバックエンドが本物のアプリと自動化されたスクリプトとを区別できるようにする仕組みで、アプリに組み込まれ配線されていますが、古い版をお使いの方が追いつくまでの間、強制は現在オフになっています。いま有効にすると、古い版の利用者が締め出されてしまいます。したがってこれは、存在しているがまだ働いていない仕組みです。当社は、適用していない保護を主張するより、そう申し上げます。

トークン付きのファイルのリンク。写真と本人確認書類は、アクセストークンを含むリンクを持つファイルとして保管されています。この種のリンクは、サインインなしにそれ自体で機能します。当社はこのリンクを秘密として扱い、リンクを保持するデータベースの記録自体もアクセス制御されています。しかし、それを守っているのはファイル単位の権限ではありません。6.4および6.25をご覧ください。

ライブ音声は審査されておらず、音声の構成上、審査することができません。第11節をご覧ください。

完全に安全なシステムは存在せず、当社は自社のものがそうだとは主張しません。強固で使い回しのない認証情報をお使いいただき、アカウントへのアクセスを他人と共有しないでください。

漏えい等の報告。お客様の個人情報に関わるセキュリティ上の事案を発見した場合、当社は調査し、封じ込めのための措置を講じ、法令が求める場合にはお客様および関係当局に通知します。日本においては、個人情報保護委員会への報告と、個人情報の保護に関する法律が定める場合の本人への通知を意味し、報告義務のある事案については速やかな速報とその後の確報を意味します。アメリカ合衆国においては、州の漏えい通知法が定める期限内に、影響を受ける住民および該当する場合は州司法長官に通知することを意味します。当社は、何が起きたか、どの情報が関係したか、当社が何をしたか、お客様に何ができるかをお伝えします。

第19条（権利を侵害するコンテンツと削除請求）

CHRYSA上のコンテンツがお客様の権利を侵害する場合、すなわちお客様を誹謗し、プライバシーを侵害し、同意なく個人情報を公開し、無断で写真を使用し、または著作権を侵害する場合、その削除を当社に請求できます。

請求は support@chrysa.app までお送りください。記載事項は、お客様の氏名、住所、電話番号、メールアドレス、当社が特定できる程度の詳細（ハンドルネーム、投稿、おおよその時刻など）を伴う対象コンテンツの特定、侵害されているとされる権利の説明とその理由、および請求の内容が正確である旨の陳述です。

お客様のご請求がアメリカ合衆国法に基づく著作権の請求である場合、デジタルミレニアム著作権法が求めるため、通知には次の事項も記載する必要があります。物理的または電子的な署名。侵害されたとされる著作物の特定（1つの通知が本サービス上の複数の著作物を対象とする場合は、その代表的な一覧）。侵害しているとされるコンテンツの特定と、当社がその所在を特定するに足りる情報。お客様の住所、電話番号、および可能であればメールアドレス。申告の対象となる態様での利用が、著作権者、その代理人または法により許諾されていないと誠実に信じる旨の陳述。ならびに、通知の記載が正確であること、および偽証罪の罰則のもとで、お客様が著作権者であるか、権利者に代わって行動する権限を有することの陳述。これらの要素を欠く通知は有効でない場合があり、当社は不足分の提出をお願いすることがあります。合衆国法典第17編第512条(f)に基づき、コンテンツが侵害していること、またはそれが誤って削除されたことを、重要な点について虚偽と知りながら表示した場合、費用および弁護士費用を含む損害について責任を負うことがあります。

著作権侵害の申告を受領する当社の指定代理人は次のとおりです。

DMCA Designated Agent
YoYo LLC
453 S Spring St STE 400, PMB 1290
Los Angeles, CA 90013, United States
support@chrysa.app

当社は速やかに受領した旨をご連絡し、原則として、完全な請求の受領から14日以内に当社の判断をお知らせします。コンテンツが明白に違法である場合、未成年者が関わる場合、または危害のおそれがある場合は、より早く対応します。当社は、コンテンツを投稿した者に削除請求があったことを通知し、応答できるよう請求の内容を伝えることがあります。コンテンツが匿名で投稿された場合、当社が投稿者の身元をお客様に開示することはありません。当社はコンテンツに対して対応します。

著作権の通知に応じてコンテンツを削除しまたはアクセスを無効化した場合、当社は投稿した者への通知のため合理的な措置を講じ、その者は当社に異議申立通知を送ることができます。異議申立通知には次の事項が必要です。物理的または電子的な署名。削除されたコンテンツと、削除前の所在の特定。当該コンテンツが誤りまたは誤認により削除もしくは無効化されたと誠実に信じる旨の、偽証罪の罰則のもとでの陳述。ならびに氏名、住所、電話番号と、住所が所在する司法管轄区のアメリカ合衆国連邦地方裁判所（住所がアメリカ合衆国外である場合は、YoYo LLC が所在するとされる任意の司法管轄区）の管轄に服し、当初の通知を行った者またはその代理人からの訴状の送達を受諾する旨の陳述。最後の点はここで重要です。CHRYSAの利用者の多くが日本にお住まいであり、法律はアメリカ合衆国外の申立人を異なって扱うからです。

要件を満たす異議申立通知を受領した場合、当社はその写しを当初の通知を行った者に送付し、10営業日後にコンテンツを復旧する旨を伝え、当初の申立人が侵害の差止めを求める訴訟を提起した旨の連絡を先に受けない限り、異議申立通知の受領から10営業日以上14営業日以内にコンテンツを復旧します。

当社は、適切な場合に、著作権の反復侵害者のアカウントを停止します。

この手続は、プラットフォームを通じた他人の権利を侵害する情報の取扱いに関する日本の枠組みに基づく請求の方法でもあり、日本語でのご請求には日本語で対応します。

第20条（カリフォルニア州のお客様のプライバシー権）

本節は、カリフォルニア州プライバシー権法により改正されたカリフォルニア州消費者プライバシー法に基づき、カリフォルニア州の居住者に適用されます。本ポリシーは、アプリ内のその場の説明とあわせて、当社の取得時通知にあたります。

直前の12か月間に当社が取得した個人情報の区分は次のとおりです。

識別子：氏名、メールアドレス、アカウントの識別子、Apple または Google のサインイン識別子、端末の識別子、インストールの識別子、セッションの識別子、プッシュトークン。
カリフォルニア州民法第1798.80条に記載の顧客記録情報：電話番号、予約用メールアドレス。
保護される属性：年齢と生年月日、性別、および第7節に記載の性的指向を示す情報。
商取引情報：予約の履歴、保存したお店、コレクション、デートプラン。
インターネットおよびネットワークの活動情報：アプリの利用状況、機能の操作、訪れた画面、操作の履歴、診断情報。
位置情報：精密な位置情報とその履歴を含みます。
音声および映像の情報：アップロードされた写真と動画、ならびにボイスマッチまたはパーティールームの間に参加者間を運ばれるライブ音声（当社はその音声を録音しておらず、録音を保持していません）。
職業または学歴の情報：職業、勤務先、学校、学歴をプロフィールに任意でご記入いただいた場合に限ります。
推知情報：6.13および6.17に記載のマッチングの点数、性格ベクトル、惑星、組合せの履歴。
第7節に列挙する要配慮個人情報。

取得元：お客様、お客様の端末、お客様を通報しまたはお客様と交流する他の利用者、Apple または Google のサインインをお使いの場合は同社、保存されたお店に付随するお店の情報については Google Places、および識別子、点数、記録を生成する当社自身のシステム。

事業上の目的：本サービスの提供と維持、マッチング、コンテンツの公開、メッセージと通知の配信、予約、安全とコンテンツ審査、セキュリティと不正防止、不具合の調査、アプリ改善のための分析、ご連絡への対応、および法令遵守。種類ごとの記載は第6節にあります。

受領者の区分：第13節に掲げる委託先、予約をご依頼になった場合のお店およびその予約プラットフォーム、お客様が共有を選ばれたものについての他の利用者（および第18節に記載のとおり、サインイン済み利用者のアプリが読み取れるアカウント記録上の項目）、ならびに法令上必要な場合の法的または行政上の受領者。

直前の12か月間の事業上の目的による提供：当社は、上記の各区分を、上記の事業上の目的のために第13節に掲げる委託先に提供しました。また、利用者からのご依頼により予約を行った場合に、識別子および顧客記録情報（具体的には予約名義、電話番号、メールアドレス、食事に関する記載）をお店およびその予約プラットフォームに提供しました。

保存期間：種類ごとに第6節に記載し、基準は第10節にまとめています。

販売および共有：当社は個人情報を販売しておらず、文脈を越えた行動ターゲティング広告のために共有しておらず、直前の12か月間もいずれも行っていません。第8節をご覧ください。

お客様の権利：

当社が取得した個人情報、その区分、取得元、目的、受領者の区分、および具体的な内容を知る権利。
可搬性のある、技術的に可能な範囲で容易に利用可能な形式で個人情報の写しを取得する権利。アプリ内にダウンロードのボタンはありません。上記の連絡先にご請求いただければ、手作業で取りまとめてお送りします。期限は第22節に記載しています。
当社がお客様から取得した個人情報の削除を求める権利。法律上の例外に服し、その例外は第17節に正直に記載しています。
不正確な個人情報の訂正を求める権利。プロフィール情報のほとんどはアプリ内でご自身で訂正でき、訂正できないものは第16節に列挙しています。
販売および文脈を越えた行動ターゲティング広告のための共有をオプトアウトする権利。当社はいずれも行っていないため、オプトアウトの対象はありませんが、ご送付いただければご意向を記録します。
要配慮個人情報の利用および開示を制限する権利。第7節に記載のとおり、当社はこの権利を発生させる目的で利用または開示していないため、リンクの設置は不要です。ご請求いただければ、それでも制限を適用します。
権利の行使を理由に差別されない権利。当社は、プライバシーに関する権利を行使されたことを理由に、サービスの提供を拒否し、異なる価格を課し、または異なる品質のサービスを提供することはありません。金銭的な誘因の提供も行っていません。

権利の行使方法は第22節に記載しています。

第21条（その他の米国の州におけるプライバシー権）

バージニア州、コロラド州、コネチカット州、ユタ州、テキサス州、オレゴン州、モンタナ州、メリーランド州その他の包括的な消費者プライバシー法を有する州にお住まいの場合、当社がお客様の個人データを処理しているかを確認しこれにアクセスする権利、不正確な点を訂正する権利、削除を求める権利、お客様が当社に提供したデータの可搬性のある写しを取得する権利、ならびにターゲティング広告、個人データの販売、および法的効果もしくは同様に重大な影響を生じる決定のためのプロファイリングをオプトアウトする権利を有します。第8節に記載のとおり、当社はターゲティング広告、販売、その種のプロファイリングのいずれも行っていないため、これらのオプトアウトには作用の対象がありませんが、お送りいただいたご意向は尊重します。一部の州では、当社が個人データを提供した第三者の一覧を取得する権利も認められています。第13節がその一覧です。

要配慮データの処理に関する同意。お住まいの州の法律が要配慮データの処理に先立ち同意を求める場合、当社はお客様がそれを提供された際の同意に依拠します。いずれの種類も撤回できます。

性的指向を示すデータ。QuickDateモードの恋愛プロフィールを作成し、性別とマッチングを希望する性別をお伝えいただく際に、この同意をいただきます。当社はこれを任意の追加項目としては扱いません。マッチング機能がまさにそれを用いるために存在する情報であり、これなしにQuickDateモードは機能しないからです。この同意は、QuickDateモードのプロフィールまたはアカウントを削除することで撤回できます。
精密な位置情報。位置情報の権限を許可することで同意をいただき、端末の設定でその権限を撤回することで撤回できます。撤回により新たな取得は止まります。6.6に記載の履歴ログは、アカウントを削除された時点、またはそれより早くご請求があった時点で削除されます。
公的な本人確認の情報。任意の本人確認のために本人確認書類のアップロードを選ばれることで同意をいただきます。アプリのどの機能もこれを必須としていません。書類の削除をご請求いただくことで撤回できます。
健康に隣接する食事およびアレルギーの情報。第7節でその流通先をご理解のうえ食事の欄にご記入いただくことで同意をいただき、欄を空にすることで撤回できます。

メリーランド州の居住者の方へ。メリーランド州オンラインデータプライバシー法は、要配慮データの取得と処理を、お客様が求めた製品またはサービスの提供もしくは維持に厳密に必要な場合にのみ認め、要配慮データの販売を全面的に禁止しています。当社が性別と希望する性別を処理するのは、マッチングがお客様の求めた製品であり、これなしには動作しないからです。精密な位置情報、本人確認、食事に関する記載は、お客様が特定の機能のために別途ご提供を選ばれた場合にのみ取得され、第6節に記載した目的を超えて用いられることはなく、広告やプロファイリングに用いられることは決してありません。当社は、メリーランド州でも他のどこでも、要配慮データを販売していません。

当社の分析事業者である Google アナリティクス for Firebase には、Google シグナル、広告のパーソナライズ、Google の広告プロダクトとの連携といった任意の広告機能があり、これらは広告目的で Google にデータを送信します。CHRYSAは広告を行っておらず、これらの機能を使用していません。当社は Google アナリティクスの設定でこれらをオフに保ち、リリースのたびに設定を確認しています。仮にいずれかを有効にする場合、それは上記の各法が定義する販売または共有にあたるため、施行前に本ポリシーを更新し、お客様にお知らせし、本ポリシーが述べるオプトアウトを提供します。

不服申立て。当社がご請求の全部または一部をお断りした場合、その理由をお知らせします。ご不服がある場合は申立てができます。件名を「Privacy Request Appeal」として、当初のご請求と、当社の判断が誤っているとお考えの理由を添えて support@chrysa.app までお送りください。当初の判断に関与していない者が再審査します。当社は、申立ての受領から45日以内に、結果とその理由を書面でご回答します。申立てをお断りする場合には、お住まいの州の司法長官に苦情を申し出る方法もお知らせします。この不服申立ての手続は、法律が求めるか否かにかかわらず、米国のすべての州の居住者にご利用いただけます。

第22条（個人情報に関するご請求の方法）

ご請求は support@chrysa.app まで、または第1節のいずれかの住所宛に郵送でお送りください。行使される権利をお知らせいただき、アカウントに登録されたメールアドレス以外からご連絡になる場合は、アカウントを特定できる情報も添えてください。

先にお読みください。これが正直な立場です。CHRYSAにデータの自動書き出し機能はありません。ダウンロードのボタンも、書き出しの画面も、自動のレポートもありません。データの写しをご請求いただくと、CHRYSAの担当者が当社のシステムから手作業で取りまとめてお送りします。ボタンより時間がかかり、そのために当社は回答期間を全部お願いしています。当社が埋めるつもりでいる欠落です。

本人確認。知る権利、削除、訂正のご請求に対応する前に、当社は、お客様がご本人であることについて合理的な確信を得る必要があります。通常は、アカウントに登録されたメールアドレスからご請求いただき、アカウント所有者しか知り得ない情報を1つご確認いただければ十分です。個人情報の具体的な内容のご請求、および要配慮個人情報に触れるご請求については、より高い水準を適用し、追加の確認をお願いすることがあります。確認のためにご提供いただいた情報は、その目的にのみ用い、その後削除します。ご本人であることを確認できない場合はその旨をお知らせし、法律が認める範囲で、具体的な内容ではなく区分についてのご請求として取り扱います。

代理人。代理人をご利用いただけます。代理人は、お客様が署名した書面による委任を提出する必要があり、当社はご本人に直接ご連絡し、ご請求を委任されたことの確認とご本人であることの確認をお願いすることがあります。ただし、代理人が有効な委任状を提出する場合を除きます。

期間。当社は10営業日以内に受領した旨をご連絡し、45日以内に実質的なご回答をします。ご請求が複雑である場合、または多数のご請求を受けている場合には、さらに45日、合計90日を上限として延長することがあり、その場合は最初の45日以内にお知らせします。23.5に基づく日本からのご請求については、30日以内のご回答を目指します。ご請求が明らかに根拠を欠き、または過剰である場合を除き、費用はいただきません。その場合は、対応の前に理由をお知らせします。

Do Not Track およびグローバル・プライバシー・コントロール。CHRYSAはウェブサイトではなくモバイルアプリであり、ブラウザの Do Not Track の信号を受け取らないため、これに応答しません。当社は個人情報を販売も共有もしていないため、グローバル・プライバシー・コントロールのようなオプトアウトの信号によって停止すべき販売や共有はありません。グローバル・プライバシー・コントロールの信号、またはこれに相当する書面でのご意思をお送りいただいた場合、当社の答えが「オプトアウトの対象となる行為を行っていません」であっても、当社は有効なオプトアウトのご請求として扱い、記録します。

第23条（日本：利用目的と個人情報保護法に基づく権利）

本節は日本のお客様に適用され、個人情報の保護に関する法律に基づき提供するものです。個人データを取り扱う事業者は、第1節の東京の住所のYoYo株式会社および YoYo LLC です。

23.1 利用目的

当社は、お客様の同意または法令上の根拠がない限り、次の目的のためにのみ個人情報を利用します。

アカウントの登録、認証および管理、ならびに18歳以上であることの確認
お客様が選ばれた範囲での、他の利用者へのプロフィールおよびコンテンツの表示
マッチング、お店ボード、コレクション、CHRYSAカレンダー、クイックデート、スクエアの運営
チャットメッセージの配信
擬似匿名プロフィール、同一国内のマッチング、ボイスマッチ、パーティールームを含むバタフライモードの運営
ご依頼のレストランその他のお店の予約（当社のチームの担当者が手作業で予約を完了する場合を含みます）
CHRYSA デートコーチおよびアイスブレイクの提供
お店の検索、地図、お店の情報の提供
ご希望の通知の送信
コンテンツの審査、通報の調査、ブロックの運用、濫用・なりすまし・詐欺の防止と対処、および利用規約の執行
本人確認を選ばれた場合の本人確認
6.24に記載のとおり、提出または予約について担当者の対応が必要な場合の、当社スタッフへのメールによる通知
クラッシュの診断および利用状況の分析を含む、アプリの維持、保護、不具合の調査および改善
6.17に記載の組合せのログを用いた、当社が生成するマッチングの質の研究
お客様のお問い合わせ、苦情、ご請求への対応
法令、規則、公的機関からの適法な要請の遵守

23.2 第三者提供

当社は、お客様の同意なく、第三者自身の目的のために個人データを提供することはありません。ただし、法令に基づく場合、人の生命、身体または財産の保護のために必要があり本人の同意を得ることが困難である場合、公衆衛生の向上または児童の健全な育成の推進のためにとくに必要があり本人の同意を得ることが困難である場合、国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに協力する必要があり、本人の同意を得ることによりその事務の遂行に支障を及ぼすおそれがある場合など、法が認めまたは求める場合を除きます。第13節に掲げる各社への提供は、利用目的の範囲内における取扱いの委託であり、第三者提供ではありません。当社は契約により委託先を監督しています。当社は、YoYo LLC とYoYo株式会社の間を除き、共同利用の枠組みを用いていません。両社は、23.1の目的のために第6節のすべての区分を共同して利用し、日本のお客様については YoYo株式会社が共同利用の責任を負います。

第三者への提供が生じる場面が1つだけあり、それはお客様のご依頼があった場合に限られます。予約をご依頼になると、当社は、お店が予約を確保し確定できるよう、予約に用いる氏名、連絡先の電話番号、メールアドレス、人数、希望の日付と時刻、および食事またはアレルギーに関する記載を、お店またはお店が利用する予約プラットフォームに提供します。お店はその後、その情報を自らの慣行に基づき自らの目的のために取り扱います。CHRYSA予約のご利用が、この提供についての同意にあたります。ご自身でお店に連絡されることにより、これを完全に回避できます。当社は法が求めるとおり第三者提供の記録を作成しており、23.5に基づきその記録の開示をご請求いただけます。

23.3 外国にある第三者への提供

アカウントを作成された瞬間から、当社のデータベースにあるお客様の個人データはアメリカ合衆国において保管され、処理されます。お客様がアップロードされるファイルは日本において保管され、お客様の個人データは、当社のバックエンド処理が稼働する台湾においても処理されます。当社のデータベースはアメリカ合衆国に所在し、日本国内にその複製はありません。これらの所在地（その他の国・地域でデータを処理する可能性がある Firebase のサービスを含みます）は第14節に、台湾の制度は23.7に記載しています。提供先は次のとおりです。

Google LLC（アメリカ合衆国）：Firebase Authentication、Cloud Firestore、Cloud Storage、Cloud Functions、Google アナリティクス for Firebase、Firebase Cloud Messaging、App Check、Remote Config、Cloud Logging、および Google マップ・Places。
OpenAI, L.L.C.（アメリカ合衆国）：コンテンツ審査、CHRYSA デートコーチ、アイスブレイク。
Agora, Inc.（アメリカ合衆国）：リアルタイム音声の伝送。参加者に最も近い地域のサーバーを経由することがあります。
Apple Inc.（アメリカ合衆国）：Appleでサインイン、プッシュ配信、および座標を受け取る端末上のジオコーディング。
Expo, Inc.（アメリカ合衆国）：無線経由のアプリ更新、およびプッシュ通知の内容を含む中継。
Resend, Inc.（アメリカ合衆国）：6.24に記載のスタッフ宛て通知メールの配信。氏名、アカウントのメールアドレス、アカウントIDを含みます。
Browser Use, Inc.（アメリカ合衆国）：お店の予約フォームを完了する自動ブラウザ。予約をご依頼になった場合にのみ、予約名義、電話番号、メールアドレス、お店、日付、時刻、人数、食事に関する記載を受け取ります。
YoYo LLC（アメリカ合衆国）も共同管理者です。

このほか、日本国外のお店の予約をご依頼になった場合、23.2に記載の予約情報が当該国のお店に提供されます。

アメリカ合衆国の個人情報の保護に関する制度についての情報：アメリカ合衆国には、単一の包括的な国内個人データ保護法はなく、一般的な管轄権を有する独立した国家的なデータ保護監督機関もありません。保護は、連邦取引委員会による不公正・欺瞞的行為への執行、分野別の連邦法、および包括的な州プライバシー法（主として、YoYo LLC に適用され、カリフォルニア州プライバシー保護庁およびカリフォルニア州司法長官が執行する改正後のカリフォルニア州消費者プライバシー法、ならびにバージニア州、コロラド州、コネチカット州、ユタ州、テキサス州、オレゴン州、モンタナ州、メリーランド州その他の州の同等の法律）から生じます。これらの法律は、個人情報の保護に関する法律に基づく権利と、範囲は同一ではないものの、性質において概ね比較可能なアクセス、訂正、削除、可搬性、オプトアウトの権利を与えています。アメリカ合衆国の公的機関は、一定の場合に、法的手続に基づき米国企業が保有するデータにアクセスすることがあります。

提供先が講じる措置：各提供先は、当社の指示に基づき当社の目的のためにのみ処理することを制限する書面によるデータ処理契約に拘束されます。各提供先は、契約上、守秘義務と適切な安全管理措置の義務を負っています。データは通信経路上および保存時に暗号化されています。アクセスは権限を有する担当者に限定されています。各提供先は情報セキュリティに関する取組みを公表しています。当社は定期的にこれらの取決めを見直し、提供先の取扱いが求められる水準を満たさなくなった場合には必要な措置を講じます。これらの措置についてのさらなる情報は、23.6の連絡先にご請求いただけます。

23.4 個人関連情報

当社が委託先に送信する識別子の一部（インストールの識別子、端末の識別子、セッションの識別子、プッシュトークンなど）は、受領者の側では個人データではなく個人関連情報にあたる場合があります。当社は、第三者が個人データとして個人に紐づけることを目的として個人関連情報を第三者に提供することはなく、委託先にもこれを認めていません。当社は広告ネットワークやデータブローカーを一切使用していないため、これらの識別子をそれらに提供することもありません。なお、当社の分析イベントは、インストールの識別子とあわせてお客様のアカウントIDを頻繁に含んでいます。これは Google の側では単なる個人関連情報ではないことを意味し、当社は個人データとして取り扱っています。

23.5 開示等の請求手続

お客様は、保有個人データの利用目的の通知、データ自体の開示（第三者提供の記録の開示を含みます）、不正確なデータの訂正・追加・削除、ならびに法が認める事由に基づく利用停止、消去、第三者提供の停止をご請求いただけます。電磁的記録による開示をご請求いただくこともできます。

ご請求は、件名を「個人情報開示等請求」として support@chrysa.app まで、または第1節の住所のYoYo株式会社宛に郵送でお送りください。どのご請求かをお知らせいただき、アカウントを特定できる情報を添えてください。当社は、通常、アカウントに登録されたメールアドレスからのご請求であることと、もう1つのアカウント情報のご確認により、ご本人であることを確認します。代理人によるご請求も可能であり、その場合は、お客様が署名した委任状の提出が必要です。法定代理人の場合は、その資格を証する書類の提出が必要です。これらのご請求に手数料はいただきません。当社は遅滞なく、通常30日以内にご回答します。第22節に記載のとおり、開示は自動の書き出しではなく手作業で取りまとめるため、期間を全部お願いしています。ご請求の全部または一部をお断りする場合は、その理由をお知らせします。

利用停止または消去をご請求いただいた場合、当社は、法が認める範囲で、とくに人の生命、身体または財産の保護のために保持が必要である範囲で、これをお断りすることがあります。当社がこれに依拠する箇所、すなわち保持される通報、保持されるブロック、およびお客様のものであると同時に他の利用者のものでもある記録については、第17節に記載しています。

23.6 苦情の申出先

当社の個人情報の取扱いに関する苦情は、日本語または英語で support@chrysa.app まで、または〒105-0013 東京都港区浜松町2-7-17 イーグル浜松町天翔オフィス浜松町大門566 YoYo株式会社宛に郵送でお申し出ください。日本語での苦情には日本語で対応します。

日本において個人情報を取り扱う事業者を監督する個人情報保護委員会に対して、苦情を申し出ることもできます。同委員会の連絡先は同委員会が公表しています。

23.7 安全管理措置

当社は次の措置を講じています。

組織的安全管理措置：個人データの取扱いに関する責任の明確化。取扱い、アクセス、事案対応に関する社内規程。事案を経営層に報告する経路。取扱状況の定期的な見直し。
人的安全管理措置：従業者および業務委託先に対する守秘義務。個人データの取扱いに関する指導。役割上必要な者へのアクセスの限定。
物理的安全管理措置：通常の業務において個人データを可搬記録媒体に保持しないこと。本番データにアクセスする機器のアクセス制御と画面の施錠。
技術的安全管理措置：データベースおよびストレージの規則のサーバー側での実施。保護された項目、審査に関する項目、本人確認に関する項目へのサーバーからのみの書き込み。通報、匿名投稿の投稿者記録、バタフライの識別子の対応表、およびクラッシュの保管庫に対するクライアントからの読み取りの拒否。通信経路上および保存時の暗号化。バックエンド処理に対する利用者ごとの回数制限。Firebase App Check によるアプリケーションの真正性検証（第18節に記載のとおり、実装済みですがまだ強制していません）。
是正中の既知の弱点：旧来のアクセスの既定値により、一部の領域がサインイン済みの利用者に読み書きを許す状態にあり、また利用者の記録がサインイン済みの利用者から読み取れる状態にあります。詳細は第18節に記載しています。当社は、理想の姿を述べるよりも、これを開示するほうがお客様にとって有用であると考えます。
外的環境の把握：個人データは、データベースのあるアメリカ合衆国と、アップロードされたファイルを保管する日本に所在し、バックエンド処理を行う台湾で取り扱われます。また、第13節に掲げる Firebase のサービスの一部は、Google がデータセンターを置くその他の国・地域でデータを処理する可能性がありますが、Google はそのいずれで処理するかを事前に示していません。アメリカ合衆国の個人情報の保護に関する制度に関して当社が講じる措置は23.3に記載しています。台湾には、事業者による個人データの収集、処理および利用を規律し、本人に照会・閲覧、複製の交付、補充・訂正、収集・処理・利用の停止および削除を求める権利を認める包括的な法律として、個人資料保護法があります。当社は、この制度を把握した上で、本節の安全管理措置を講じています。

23.8 保有個人データの保存期間

保存期間および当社が用いる基準は、種類ごとに第6節に記載し、第10節にまとめています。

第24条（日本：端末から外部に送信される情報）

本節は、電気通信事業法の外部送信規律に基づき提供するものです。本アプリがお客様の情報を送信させる外部の事業者、送信される内容、およびその目的をお知らせします。お客様の端末からではなく当社のバックエンドを経由して事業者に届く場合も、行き着く先こそがお客様にとって重要であるため、あわせて記載します。

Google LLC（Firebase Authentication、Cloud Firestore、Cloud Storage、Cloud Functions、App Check）。送信される情報：アカウントIDと認証トークン、お客様が行うリクエストの内容および作成・閲覧するデータ、アップロードされる写真と動画、端末とアプリのバージョンの情報、App Check の真正性検証トークン。目的：アプリの稼働。

Google LLC（Google アナリティクス for Firebase）。送信される情報：インストールの識別子、アカウントID、端末の機種、OSのバージョン、アプリのバージョン、言語、地域、どの画面と機能を使ったかを示すイベントの記録、ならびにクラッシュおよびエラーの診断情報。目的：アプリの利用状況の測定、不具合の発見と修正、およびプロダクトの改善。広告には使用しておらず、広告ネットワークとも共有していません。これを止めるアプリ内の切替えはありません。

Google LLC（Firebase Cloud Messaging）。送信される情報：プッシュトークンと端末の情報。目的：ご希望の通知の配信。

Google LLC（Firebase Remote Config）。送信される情報：インストールの識別子、アプリのバージョン、端末の情報。目的：アプリの更新を伴わない設定の配信。

Google LLC（Google マップおよび Google Places）。端末から直接送信される情報：位置情報の権限を許可された場合の座標、お店の検索語、表示中の地図の範囲、場所の識別子。目的：QuickDateモードにおける地図の表示と、お店の検索結果、お店の詳細、お店の写真の取得。

Apple Inc.。送信される情報：Appleでサインインについては認証のリクエストとお客様が承認する認証情報。プッシュ通知については通知の内容と端末のトークン。ジオコーディングについては生の座標（OSのジオコーダーが市区町村名と国名に解決します）。目的：認証、通知の配信、および座標から地名への変換。

Expo, Inc.（Expo Application Services、アメリカ合衆国）。送信される情報：起動のたびに、アプリが無線経由の更新を確認しダウンロードできるよう、インストールおよび実行環境の識別子、アプリのバージョン、プラットフォーム、端末の機種。プッシュ通知については、お客様のインストールに対して発行された Expo のプッシュトークンと通知の内容（Expo がこれを Apple および Google のプッシュサービスに中継します）。QuickDateモードでは、この内容に通知の契機となったメッセージの冒頭40文字が含まれます。目的：アプリの更新とプッシュ通知の配信。

OpenAI, L.L.C.。当社のバックエンドを経由して送信される情報：プロフィールの自由記述とハンドルネーム、QuickDateモードのプロフィール写真、スクエアに提出される投稿の本文と画像、コメント、パーティールームのチャット、ルーム名、提出される動画のカバー画像、お店ボードの投稿の本文、いずれかのモードで送信するプライベートなメッセージの本文、CHRYSA デートコーチに送信するメッセージ、およびアイスブレイクのための2人の興味タグと惑星とその会話の直近のメッセージ。画像は OpenAI が自ら取得するリンクとして送信されます。目的：自動コンテンツ審査、CHRYSA デートコーチ、およびバタフライモードのアイスブレイク。お客様のメールアドレス、生年月日、電話番号、本人確認書類、座標は送信されません。プライベートなチャット内の画像も送信されません。

Agora, Inc.。送信される情報：音声チャンネル名、当社がセッションのために発行する数値の参加者識別子、アクセストークン、接続および通信品質の情報、ならびにボイスマッチ中またはパーティールームの席にいる間のライブ音声のストリーム。目的：参加者間のリアルタイム音声の伝送。音声はCHRYSAにより録音されません。

Resend, Inc.（アメリカ合衆国）。当社のバックエンドを経由して、契機となる出来事が生じた場合にのみ送信される情報：本人確認の提出については、氏名、アカウントのメールアドレス、アカウントID。予約の失敗については、氏名、アカウントのメールアドレス、アカウントID、お店、希望の時間帯。新しいクラッシュ署名については、エラーと画面。目的：対応すべきCHRYSAのスタッフへのメール送信。本人確認書類の画像が送信されることはありません。

Browser Use, Inc.（アメリカ合衆国）。当社のバックエンドを経由して、予約をご依頼になった場合にのみ送信される情報：アカウント上の名、姓、フルネーム、電話番号、予約用メールアドレス、お店とその予約ページ、日付、時刻、人数、および保存されている食事またはアレルギーに関する記載。目的：お客様のご指示によりお店自身の予約フォームを完了する、AI駆動の自動ブラウザの実行。クレジットカード情報を入力しないよう指示されています。

お店およびお店が利用する予約プラットフォーム。当社のバックエンドまたは自動ブラウザを経由して、予約をご依頼になった場合にのみ送信される情報：予約に用いる氏名、連絡先の電話番号、メールアドレス、人数、希望の日付と時刻、および食事またはアレルギーに関する記載。目的：予約の確保と確定。上記の各社と異なり、お店は当社のために処理しているのではありません。第13節をご覧ください。

これらの送信の一部は、端末の設定で該当する権限（位置情報、マイク、写真、通知）を許可しないか撤回すること、アプリ内で通知をオフにすること、またはお店の場合はCHRYSA予約をご利用にならないことによって止められます。Firebase Authentication、Cloud Firestore、Cloud Storage、Cloud Functions、App Check への送信は、それがアプリそのものであるため、アプリをご利用の間は止めることができません。Google アナリティクス for Firebase への送信も、6.19に記載のとおり、現在は止めることができません。

第25条（日本：18歳以上の要件と禁止される勧誘）

CHRYSAは満18歳以上の成人を対象としています。年齢は登録時の生年月日により確認し、公的な本人確認書類による本人確認も任意でご利用いただけます。CHRYSAは、インターネット異性紹介事業を利用して児童を誘引する行為の規制等に関する法律に基づくインターネット異性紹介事業の届出を行っておらず、本ポリシーはこれと異なる主張をするものではありません。

未成年者を勧誘することは禁止されています。援助交際を含め、金銭その他の対償と引き換えに性的な行為を求める投稿やメッセージ、および売春その他の違法な性的サービスを申し出または求める投稿やメッセージも禁止されています。これらを行うアカウントは停止され、必要な場合には当局に通報します。利用者が未成年者であるとお考えの場合は、アプリ内の通報機能または support@chrysa.app から、直ちにそのアカウントをご通報ください。

第26条（年齢の要件と未成年者）

CHRYSAは成人向けのサービスです。アカウントの作成には18歳以上であることが必要です。

「当社はすべての利用者が18歳以上であることを検証しています」は真実ではなく、当社はそう書くつもりがないため、当社が実際に行っていることを正確に記載します。当社は、登録時に生年月日の入力を求めます。当社はその生年月日を18歳のしきい値と照合します。18歳未満と判定されるアカウントは、本サービスから遮断されます。バタフライモードも例外ではなく、生年月日をあらためて尋ねることなく同じ値を用います。古いアカウントに読み取り可能な生年月日が保存されていない場合、当社の確認は「不明」を返し、項目の欠落を理由に成人を締め出すのではなく、アクセスを許可します。これは古いアカウントについての意図的な選択であり、当社の年齢確認が、年齢の証明ではなく生年月日の確認であることを意味します。公的な書類による任意の本人確認がより強い確認であり、ご希望の方はどなたでもご利用いただけます。

CHRYSAは子どもに向けられたサービスではなく、当社は18歳未満の方から意図的に個人情報を取得しておらず、13歳未満の子どもに向けたサービスを運営していないため、アメリカ合衆国の児童オンラインプライバシー保護法は当社に適用されません。

アカウントが18歳未満の方のものであることを当社が知った場合、当社はそのアカウントを停止し、関連する個人情報を削除します。同一人物の再登録を防ぎ、報告義務を履行するために必要な最小限の記録のみを保持します。保護者の方で、未成年者がアカウントを作成したとお考えの場合は、アカウントを特定できる詳細を添えて support@chrysa.app までご連絡ください。優先して対応します。

第27条（Apple App Store のプライバシー表示）

Apple は、App Store のプロダクトページで当社のデータの取扱いを要約することを求めています。この表示は要約であり、詳細は本ポリシーです。表示が真実より粗い場合は、本書が優先します。

お客様を追跡するために使用されるデータ：ありません。当社は、広告または計測のために、お客様のデータを他社のアプリやウェブサイトのデータと結びつけておらず、アプリ内に追跡SDKもありません。

お客様に紐づくデータ：連絡先情報（氏名、メールアドレス、電話番号）。ユーザーコンテンツ（写真、動画、投稿、コメント、メッセージ、ライブ音声が通過するという意味での音声、その他のユーザーコンテンツ）。識別子（アカウントID、端末の識別子、インストールの識別子）。使用状況データ（プロダクトの操作）。診断（クラッシュのデータ、パフォーマンスのデータ、および6.20に記載の操作の履歴）。位置情報（精密および粗い）。健康とフィットネス（食事またはアレルギーに関する記載が該当する範囲においてのみ）。機微な情報（恋愛プロフィールに本来的に含まれる性的指向、および公的な本人確認書類）。購入：ありません。金融情報：ありません。連絡先：ありません。閲覧履歴：ありません。検索履歴：お店の検索という意味においてのみ。

お客様に紐づかないデータ：当社が主張するものはありません。CHRYSAのほとんどすべてがお客様のアカウントに紐づいているためです。当社は、過少に申告するよりも、過大に申告するほうを選びます。

第28条（本ポリシーの変更）

当社は、行っていることが変わったとき、および以前に記載した内容が正確でなかったと判明したときに、本ポリシーを更新します。実質的な変更（個人情報の新しい区分、新しい目的、新しい受領者、またはお客様の権利を減らす変更）を行う場合、施行前に、アプリ内のお知らせにより、および適切な場合はアカウントに登録されたメールアドレス宛のメールによりお知らせし、ご確認いただく機会を設けます。適用法により同意が必要な変更については、利用の継続から推定するのではなく、同意をお願いします。明確化や訂正などの実質的でない変更は、掲載した時点で効力を生じます。

本ポリシーには、まだ作られていない、またはまだ強制されていないと記載しているものがいくつかあります。クラッシュ署名の保管庫の削除処理、アップロードされた本人確認書類の自動消去、QuickDateモードのブロック機能と非表示の解除機能、データの自動書き出し、アプリ内の分析の切替え、App Check の強制、および第18節に記載する旧来のアクセスの既定値の解消です。当社は、古い記載を静かに残すのではなく、それぞれが変わった時点で本ポリシーを更新し、バージョンを上げます。

現在のバージョン番号と発効日は、本書の冒頭に記載しています。

第29条（お問い合わせ）

ご質問、苦情、個人情報に関するご請求、データの写しのご請求、不適切なコンテンツや迷惑ユーザーの通報、権利を侵害するコンテンツの削除請求、およびアプリ外からのアカウント削除のご請求：

support@chrysa.app

YoYo LLC
453 S Spring St STE 400, PMB 1290
Los Angeles, CA 90013, United States

YoYo株式会社
〒105-0013 東京都港区浜松町2-7-17 イーグル浜松町
天翔オフィス浜松町大門566

日本語および英語でご返信します。

第30条（本バージョンで訂正した事項）

当社は、ソフトウェアを読み直し、事実に関するすべての記載を、コードが実際に行っていることと突き合わせて確認することにより、本ポリシーを書き直しました。前版の次の記載は誤っていました。当社は、黙って差し替えるのではなく、これらを列挙します。

OpenAI はコメントとルーム名を受け取らないと記載していました。受け取っており、これまでも常に受け取っていました。いずれも自動審査のために送信されています。6.16および第11節をご覧ください。
位置情報の履歴を作成も保持もしていないと記載していました。作成し、保持しています。日付の付いた座標のログが書き込まれ、保存されています。6.6をご覧ください。
Resend およびスタッフ宛て通知メールに一切言及していませんでした。本人確認書類を提出されたときと予約が失敗したときには、お客様の氏名とアカウントのメールアドレスが、第三者のメールサービスを通じて少数のスタッフのアドレス宛に送信されます。6.24をご覧ください。
クラッシュ署名の保管庫に一切言及していませんでした。そしてこれには、アカウントの削除が届いていません。6.20をご覧ください。
デートプランは、氏名、写真、プロフィールを取り除いたうえで、削除後もアプリ内に残ると記載していました。両方とも不正確でした。お客様のみのプランは現在、完全に削除されます。共有されたプランは、お客様のアカウントIDが取り除かれるのではなく、そのまま残ります。6.27をご覧ください。
当社のセキュリティを説明するにあたり、旧来のアクセス規則により、お客様のアカウント記録（座標、生年月日、電話番号、メールアドレスを含みます）がサインイン済みの利用者から読み取れる状態にあることを記載していませんでした。第18節をご覧ください。
App Check は、リクエストが本物のアプリから来たことを確認すると記載していました。実装済みですが、現在強制していません。第18節をご覧ください。
通報について、何が通報されたかの記録であると説明し、自動的に作成された通報にはメッセージ本文の冒頭1,500文字までが含まれることを記載していませんでした。6.23をご覧ください。
お客様がお伝えになる削除の理由は、削除されたプロフィールとは別に24か月を超えない期間保持されると記載していました。実際には、イベントとして Google アナリティクスに送信され、お客様のインストールの分析上の識別子に紐づけられます。6.19をご覧ください。
当社が備えていない、アプリ内の分析に関する姿勢をお示ししていました。分析の切替えはありません。6.19をご覧ください。
端末上のジオコーダーを通じて生の座標を受け取る Apple を、受領者として挙げていませんでした。第13節をご覧ください。
動画を30秒までと記載していました。現在の上限は1時間であり、これはカバー画像のみを審査するという限界の重要性を、小さくするのではなく大きくします。6.4および第11節をご覧ください。
18歳以上の確認について説明するにあたり、読み取り可能な生年月日のないアカウントは遮断されるのではなく通過することを記載していませんでした。第26節をご覧ください。
QuickDateモードの「プロフィールを非表示」について説明するにあたり、それがアプリ内から取り消せないことを記載していませんでした。第5節をご覧ください。
データベース、ストレージ、バックエンド処理はいずれもアメリカ合衆国にあると記載していました。データベースはアメリカ合衆国にありますが、アップロードされたファイルは日本で保管され、バックエンド処理は台湾で稼働しています。第14節をご覧ください。

これらの訂正はいずれも、CHRYSAが行っていることを変えるものではありません。変わるのは、当社がそれについてお客様にお伝えしていた内容であり、そここそが当社の管理下にある部分であって、誤っていたことを最も直したいと考えた部分です。