プライバシーポリシー

発効日・最終更新日：2026年10月21日

本プライバシーポリシーは、Hangzhou Origin Gravigation Technology Co., Ltd（以下「運営者」）による Erase iOS アプリ、クラウド処理 API、サポートページの情報の取り扱いを説明します。プライバシーに関するご質問やご依頼は support@erasephoto.com までご連絡ください。

1. Erase が取り扱う情報

• アカウントと ID データ：匿名利用のため作成される Supabase ユーザー UUID、匿名状態、認証セッション、および存在する場合のプロフィール名、画像、言語・地域、Pro 利用権の状態。
• ユーザーメディアと編集入力：写真、動画、画像寸法、メディア形式、ブラシや投げ縄のストローク、マスク、選択領域、依頼したツール設定。端末内の「美化」と「透かし追加」はローカルで動作します。クラウドツールは必要なメディアと編集入力を Erase API および該当する AI 処理業者へ送信します。
• 処理と結果：処理 UUID、アカウント UUID、処理種別、状態、タイムスタンプ、提供業者のリクエスト ID、クレジット費用、エラーまたはキャンセル状態、生成画像や動画、サムネイル、非公開ストレージの参照情報。アプリに返される結果リンクは 1 時間で期限切れになる署名付き URL です。
• 購入と報酬：Apple と Superwall を通じて受け取る商品・利用権の識別子、購入、更新、解約、失効、復元、取引および元取引の識別子、クレジット台帳項目、リワード広告イベント UUID、広告ユニット識別子、付与元、タイムスタンプ。
• プッシュ通知と端末データ：Expo プッシュトークン、プラットフォーム、トークン更新時刻、正規化された言語設定、診断に含まれるアプリのリリース情報、リクエストの配信と保護のため Cloudflare が処理する可能性がある IP アドレスやユーザーエージェント等のネットワーク情報。リワード広告が失敗した場合に処理を許可する仕組みの乱用を防ぐため、Erase は Cloudflare の信頼できるクライアント IP の短期的な SHA-256 フィンガープリントをレート制限カウンターに保存し、生の IP は保存しません。 1 日あたりのリワード広告上限を適用するため、アプリはデバイスのベンダー識別子（iOS）または Android ID の SHA-256 ハッシュを送信します。Erase は日次カウンターにその値とクライアント IP のソルト付きハッシュのみを保存し、生の識別子や IP は保存しません。
• ローカルデータ：認証セッション、言語や環境設定、クレジット・サブスクリプションのキャッシュ、保存されたエディターコンテキストごとに最大 5 枚の履歴画像、編集再開に必要な元画像・結果のコピー、一時的な書き出し・ダウンロードファイル。これらはアプリまたはアカウントのデータが消去されるか、OS が一時キャッシュを削除するか、アカウントを削除するまで端末内に残ります。

2. 情報を利用する理由

ユーザー認証、依頼された編集の実行、結果の作成と非公開での配信、作品の表示、入力・頻度・クレジット・利用権のルール適用、キャンセルと重複しない返還処理、購入の復元とサブスクリプション状態の同期、希望された完了通知の配信、リワード広告の報酬付与、不正・再送・乱用の防止、障害の診断、サポートとプライバシー依頼への対応、法令遵守のために利用します。

3. 処理業者と送信先

• Cloudflare は公開サイトと Worker API をホストし、リクエストをルーティングし、ネットワークと安全性の制御を提供します。
• Supabase は認証、Postgres データベース、アカウントに紐づく結果とサムネイルを保管する非公開の uploads ストレージバケットを提供します。
• PostHog は製品と売上の分析のため、seo:<uuid> 形式の仮名化されたランディングページ訪問者 ID、ページのパス、$pageview イベント、帰属する購入件数と売上額を受け取ります。
• FAL はクラウド検出、物体・透かし除去、背景削除、画像拡大、AI 感を軽減する画像編集、動画処理のため、メディアおよび必要に応じてマスクや編集指示を受け取ります。Naturalize AI では、Erase が元画像を FAL に直接送信し、GPT Image 2 で編集します。
• Erase GPU サーバー（Erase のために運用されるサーバー）はクラウド検出、物体・透かし除去、背景削除、画像拡大のため、メディアおよび必要に応じてマスクや編集指示を受け取り、結果を Erase API に返します。
• OpenAI は結果の提供前に、クラウドで生成された各画像結果の縮小コピーを自動安全チェック（性的コンテンツおよび児童の安全に関するシグナル）のために受け取ります。Erase はアカウント識別子を一緒に送信しません。OpenAI の API 規約により、このデータはモデルの学習に使用されません。
• OpenRouter は、任意の OpenRouter 対応テキスト生成 API が呼び出された場合にのみ、テキストプロンプトと関連するテキストリクエストデータを受け取ります。Naturalize AI には使用されず、Erase は元画像を OpenRouter に送信しません。
• Superwall は、ペイウォールの表示、購入復元、Pro 状態の同期のため、Erase アカウント UUID、ペイウォールの配置・文脈、購入または利用権のイベントを受け取ります。
• Apple と StoreKit は App Store での購入、サブスクリプション管理、復元、返金申請を処理します。運営者は決済カードの完全な情報を受け取りません。
• Google AdMob はリワード広告を配信し、広告・端末のシグナルと広告への操作を処理します。サーバー側の報酬検証では、Erase は一度限りの不透明な報酬セッション UUID を user_id と custom_data の両方として送信し、恒常的な Supabase アカウント UUID は送信しません。Google は広告ユニットの数値接尾辞、報酬値、コールバック時刻、取引 ID、不透明なセッション値、署名、検証キー ID を返します。Erase はセッションをアカウントに対応付け、署名と厳密なセッションの紐づけを検証し、重複付与を防ぐため取引・セッション結果を記録します。Erase が AdMob にパーソナライズ広告を要求するのは、Google の同意フローがそれを許可し、かつ iOS の App Tracking Transparency の確認で追跡を許可した場合だけです。未回答を含むその他すべての場合は、非パーソナライズ広告を要求します。iOS の ATT 確認は起動時ではなく最初のリワード広告の直前に表示され、その後も広告の前に現在の回答を読み直します。Google の同意フローが適用される場合、そのフォームが先に表示されます。
• Expo Push Service は処理完了通知を配信するため、プッシュトークンと通知ペイロードを受け取ります。

Sentry による診断：診断のため Sentry を有効にしています。クラッシュ、エラー、パフォーマンストレース、入力内容を含まずコンポーネントとソースファイルを特定するタッチ操作履歴、商品 ID やエラーメッセージを含む場合がある購入フロー履歴を受け取ります。サーバー側のエラーイベントには匿名 Supabase ユーザー UUID、リクエスト経路、Cloudflare の cf-ray リクエスト ID が含まれる場合があります。モバイルの Sentry イベントも同じ匿名 Supabase ユーザー UUID と匿名ユーザー区分に関連付けられます。これらの情報は信頼性と購入利用権の不具合を診断するために使い、製品分析には使いません。

4. 販売、広告、追跡の選択

ユーザーメディアや個人情報を販売しません。ユーザーメディアを広告プロフィール作成に利用しません。リワード広告は任意です。初期利用枠を使うか、広告を視聴して 1 クレジット追加するか、Pro を購入できます。ATT を拒否しても主要な編集機能は利用できます。Apple と AdMob は、追跡許可なしでも認められる限定的な端末、ネットワーク、不正防止、文脈広告の情報を処理する場合があります。追跡許可は iOS の設定で変更できます。

5. 保持期間

• リクエスト本文、マスク、ストローク：運営者はメモリ内で処理し、リクエスト後に独立したデータベース記録として永続保存しません。 例外：リクエストの処理が最終的に失敗した場合、障害の調査とサービスの改善のみを目的として、そのリクエストの入力画像とマスクを最長7日間保持し、その後自動的に削除します。他の目的には使用せず、リクエストの処理に必要な提供業者以外の第三者とは共有しません。各提供業者は自身の利用規約に基づき、実際に受け取ったリクエストデータのみを保持する場合があります。FAL はクラウド編集のメディアを受け取る場合がありますが、OpenRouter は該当する任意のテキスト生成リクエストデータのみを受け取り、Naturalize AI の元画像は受け取りません。
• 成功した作品、生成メディア、サムネイル、処理記録：Erase アカウントを削除するまで、非公開の Supabase ストレージとアカウントデータベースに保持します。Erase は恒久的なバックアップではありません。原本と書き出したコピーを保管してください。
• 署名付き結果 URL：1 時間で期限切れになりますが、元の非公開ファイルはアカウント削除まで残ります。
• 送信前キャンセルの意図：10 分後に消去されます。動画以外の画像処理が 15 分を超えて処理中の場合、失敗にしてクレジットを返還します。動画の照合処理は 1 時間の処理期限で停止します。
• レート制限カウンター：失敗時に処理を許可する IP 範囲のハッシュとリクエスト数は短期的な運用記録で、共通の古いカウンター削除処理で除去されます。これらの行に生の IP アドレスは保存しません。
• アカウント、クレジット、サブスクリプション、リワード広告イベント、プッシュトークン：Erase アカウントが存在する間保持します。プッシュサービスから登録解除済みと報告された無効なプッシュトークンは削除します。
• アカウント削除の復旧状態：自動削除が未完了の間だけ保持します。スケジューラーが削除を再試行し、非公開ファイルがなくなり Supabase ID の削除が確認された時点で復旧行を削除します。
• Webhook の完全性記録：削除時にアカウント識別子と提供業者のペイロードを消去します。重複処理の防止とシステムの完全性の記録のため、提供業者のイベント ID、イベント種別、処理状態、タイムスタンプ、エラー状態が残る場合があります。
• Apple の購入記録と処理業者のコピー：Apple または該当する処理業者が、自身の法的義務と保持方針に基づいて独立して保持します。
• 児童の安全に関してフラグが付いた結果：結果が未成年者の性的搾取を描写している可能性があるとフラグ付けされた場合、法的な報告義務および保全義務を果たすために必要な期間、アカウント削除後であっても、その結果と関連するアカウント記録を保持することがあります。

6. 安全性と非公開アクセス

クラウド API には Supabase bearer トークンが必要です。処理はアカウント UUID ごとに範囲が分離されます。結果ファイルは非公開バケットに保存され、有効期間の短い署名付き URL で配信されます。サービスキーはサーバー側に保持します。完全に安全な保存・通信方法はありません。上記処理業者への送信が許可されていないメディアはアップロードしないでください。

7. 削除とプライバシーに関する依頼

Erase の設定でアカウントを削除を選ぶと、Supabase ID、プロフィール、作品と結果ファイル、処理、クレジット、サブスクリプションのコピーとリワード広告の行、プッシュトークン、当該端末のエディターコンテキストを削除できます。削除の失敗は自動で再試行されます。Erase の削除では Apple サブスクリプションの解約、Apple の取引履歴の削除、Apple への返金申請は行われません。App Store で別途管理してください。

適用される場合、アクセス、訂正、削除、処理の制限、異議申立て、データポータビリティを support@erasephoto.com へのメールで依頼することもできます。依頼を特定するのに必要なアカウントのメールアドレスまたは匿名アカウント UUID のみを記載し、ユーザーメディア、パスワード、決済認証情報は送らないでください。対応前にアカウントの管理権限を確認する場合があります。

8. 国際的な処理、子ども、変更

上記の処理業者は、お客様の国以外で情報を処理する場合があります。その移転には各業者の契約上・法律上の保護措置が適用されます。Erase は、各法域でデータ処理に同意できる最低年齢に達していない子どもを対象としていません。有効な許可なく子どもがデータを提出したと思われる場合はご連絡ください。

製品、提供業者、保持期間、法律が変わった場合、本ポリシーを更新することがあります。重要な変更は新しい発効日とともにここに掲載し、適切な場合はアプリ内でも通知します。

9. お問い合わせ

運営者：Hangzhou Origin Gravigation Technology Co., Ltd
メール：support@erasephoto.com
サポート：Erase サポート

メール、Apple、Googleでログインすると、EraseとSupabaseは確認済みの本人情報、メール（Appleの転送アドレスを含む）、プロバイダーID、セッションを処理し、アカウントを連携してWebとアプリのアクセスを同期します。AppSumoの有効化では認証情報をAppSumoと交換し、ライセンスID、ティア、状態、最小限のイベント記録を保持して権限を確認・連携・解除します。アカウント削除で有効な連携を解除します。最小限のライセンスとイベント記録は不正防止と検証後の復元のため保持しますが、削除したアカウントの本人情報は保持しません。ログイン情報やライセンス認証情報は広告分析へ送信しません。