Cribaは、写真をスワイプして残すか削除するかを決めながら、ライブラリを整理できるiPhone・iPad・Android用アプリです。このポリシーは両方のバージョン（App StoreとGoogle Play）を対象とし、どのようなデータを、何のために、どのような法的根拠で扱うのか、そしてEU一般データ保護規則（GDPR）に基づいてあなたがどのような権利を持つのかを、わかりやすく説明します。OSによって異なる点は、その都度記載します。
いちばん大事なこと：写真がデバイスの外に出ることはありません。Cribaには自前のサーバーもユーザーアカウントもなく、広告を表示せず、広告目的でデータを販売・共有することもありません。
1. 管理者
データの管理者は、Cribaの開発者（David Miguel Reina Poyatos、スペインを拠点とする個人開発者）です。プライバシーに関するご質問は david@usecriba.app までお寄せください。
2. 扱うデータと、その場所
デバイスの中にとどまるデータ
Cribaは、最初の起動時にあなたが許可した範囲で写真にアクセスします。iPhoneとiPadではAppleのPhotoKitを、AndroidではシステムのメディアライブラリAPI（MediaStore）を使います。そのアクセスで行うことは、すべてデバイスの中で完結します。
- 写真とビデオ：表示・再生し、あなたが確定したときにシステムのゴミ箱へ移動したり（iPhoneとiPadでは写真アプリの「最近削除した項目」、Androidではギャラリーのゴミ箱で、30日間残ります）、お気に入りにしたりします。コピーしたり、サーバーにアップロードしたりすることは一切ありません。
- あなたの判断（残した写真、ゴミ箱にある写真、連続記録の日数）は、続きから再開できるように、またウィジェットのために、デバイス内に保存されます。
- ライブラリの分析（書類やレシート、ブレた写真、重複した写真や似ている写真）：デバイス上で行います。iPhoneとiPadではAppleのVisionフレームワーク、AndroidではGoogleのML KitとMediaPipeを使います。結果はローカルの識別子のリストとして、アプリ内に保存されます。
- 設定（並び順、表示する種類、選んだアルバム）と、無料プランの1日の上限の状態。
これらのデータは、アプリを削除すると消えます（あなた自身のデバイスのバックアップに含まれている場合を除きます）。私たちがこれらのデータにアクセスすることはできません。
デバイスの外に出るデータ
次の場合だけで、どれにも写真そのものは含まれません。
- 場所の名前。場所のラベル（「京都」「富士山」など）を表示するために、Cribaは写真のGPS座標をシステムの逆ジオコーディングサービスに送り、地名を受け取ります。iPhoneとiPadではAppleマップ、AndroidではGoogleのジオコーダーです。このリクエストはあなたのデバイスから直接送られ、AppleまたはGoogleのプライバシー保護のもとで処理されます。私たちがそれを見ることはありません。結果は、同じ問い合わせを繰り返さないようにデバイス内にキャッシュされます。
- 場所の地図。「探す」の地図は、iPhoneとiPadではAppleマップが、AndroidではGoogleマップが描画します。地図をダウンロードするために、サービスはあなたが見ている範囲とデバイスの技術情報を受け取ります。Google Maps SDKはさらに、IPアドレス、仮名の識別子、SDK自身のエラー、地図の使い方を収集します。地図の上に表示される写真はデバイス上で描画され、送信されません。
- 分析の診断情報（Androidのみ）。スマートフォン上で分析を行うGoogleのコンポーネントであるML KitとMediaPipeは、動作に関する技術情報（デバイスの機種、アプリのバージョン、応答時間、エラー、インストールごとの識別子）をGoogleに送信します。写真や分析の結果を送ることはありません。
- 購入。Criba Proにアップグレードすると、購入はApp Storeを通じてAppleが、またはGoogle Playを通じてGoogleが処理します。購入の検証と、デバイス間での購入の復元には RevenueCat を使います。RevenueCatが受け取るのは、アプリが生成する匿名の識別子、購入のレシートまたは証明、デバイスの技術情報（機種、OSのバージョン、言語）です。あなたの名前、メールアドレス、写真は受け取りません。「Cribaを何で知りましたか？」に回答すると、その回答はこの匿名の識別子とともにRevenueCatにも保存され、購入する人がどの経路から来たかを知るのに使います。iPhoneとiPadのみ：App StoreのApple広告からCribaをインストールした場合、RevenueCatはAppleのアトリビューションの仕組み（AdServices）を通じて、どのキャンペーンだったかをAppleから受け取ります。広告識別子（IDFA）は使わず、アプリをまたいであなたを追跡することもありません。Android版は広告IDを使いません。
- 匿名の利用統計。どの機能が使われ、どこを改善すべきかを知るために、Cribaは TelemetryDeck （ドイツの企業、サーバーはEU内）に、「『探す』を開いた」「Proの画面を見た」「11〜50枚の写真をチェックした」といったイベントを送ります。数量は常に範囲で丸めています。各イベントには技術情報（機種、OSとアプリのバージョン、言語）と、送信前に元に戻せないコード（ハッシュ）に変換された識別子が付きます。これであなたが誰かを知ったり、ほかのアプリと結びつけたりすることはできません。写真に関するもの（画像、日付、場所、サイズ）は一切含みません。Criba→「設定」→「匿名の利用統計」でオフにできます。Cribaは一度だけ、何で知ったか（TikTok、友人、ストアなど）をたずねます。回答するとこの利用統計と一緒に送られます。利用統計をオフにしている場合はたずねません。
- クラッシュレポート。Cribaがエラーで終了したり、固まったり、メモリ不足でシステムに終了させられたりした場合、修正のために Sentry （EUリージョン、サーバーはドイツ）にレポートを送ります。内容は、コードのどこで起きたか、その時点のデバイスの技術情報（機種、OSとアプリのバージョン、空いているメモリ）、前の項目で説明した直近の利用イベント、あなたと結びつかないランダムなインストール識別子です。スクリーンショットや写真に関するものは含みません。Criba→「設定」→「匿名の利用統計」の同じスイッチでオフにできます。
3. 利用目的と法的根拠
| 目的 | データ | 法的根拠 |
|---|---|---|
| 写真ライブラリの表示と管理 | 写真、ビデオ、メタデータ（日付、位置情報、サイズ） | 契約の履行（GDPR第6条1項b）、デバイス上で処理 |
| 場所の名前の表示 | 写真の座標 | 契約の履行（第6条1項b） |
| 場所の地図の表示 | 表示している地図の範囲、技術情報、IPアドレス（AndroidのGoogleマップ） | 契約の履行（第6条1項b） |
| スマートフォン上の分析の動作（Android） | ML KitとMediaPipeの技術的な診断情報、インストールごとの識別子 | 正当な利益（第6条1項f） |
| Criba Proの管理 | 匿名の識別子、購入のレシートまたは証明、技術情報 | 契約の履行（第6条1項b） |
| 利用統計によるアプリの改善 | 利用イベント、元に戻せない識別子、技術情報 | 正当な利益（第6条1項f）。アプリ内でオフにできます |
| 不具合の検出と修正 | クラッシュレポート、インストール識別子、技術情報 | 正当な利益（第6条1項f）。アプリ内でオフにできます |
Cribaは、広告用やアプリをまたいだトラッキング用のSDKを使いません。プロファイルを作成することも、あなたに影響する自動的な判断を行うこともありません。
4. 委託先と国外への移転
Apple Inc.（iPhoneとiPadでのApp Store、購入、Appleマップ）とGoogle LLC / Google Ireland Ltd.（AndroidでのGoogle Play、購入、Googleマップ、ジオコーダー、ML Kit、MediaPipe）は、場合に応じて処理者または独立した管理者として関わります。RevenueCat Inc.（購入の管理）は米国に拠点があります。Functional Software, Inc.（Sentry、クラッシュレポート）は処理者で、米国に拠点があり、データはEUリージョン（ドイツ）に保存されます。TelemetryDeck GmbH（利用統計）は処理者で、ドイツに拠点があり、サーバーはEU内にあります。米国への移転は、EU・米国データプライバシーフレームワークと、欧州委員会の標準契約条項に基づいています。
5. 保存期間
ローカルのデータは、アプリがインストールされている間保存されます。RevenueCatの購入データは、サブスクリプションまたは買い切りの購入が存在する間と、会計に関する法定期間のあいだ保存されます。利用統計の保存は最長3か月、クラッシュレポートは30日です。場所の名前のキャッシュは、アプリを削除すると消えます。AppleとGoogleが自社のサービスで収集する情報は、それぞれのプライバシーポリシーに従います。
6. あなたの権利
あなたには、自分のデータへのアクセス、訂正、削除、異議申し立て、処理の制限、データポータビリティの権利があります。ほとんどのデータはデバイスの中にあるため、多くはご自身で直接行えます。写真へのアクセスを取り消す（iPhoneとiPadでは「設定」→「プライバシーとセキュリティ」、Androidでは「設定」→「アプリ」→「Criba」→「権限」）、アプリのデータを消去する、またはアプリをアンインストールしてください。スペインデータ保護庁（aepd.es）や、お住まいの国・地域の監督機関（日本では個人情報保護委員会、ppc.go.jp）に苦情を申し立てることもできます。
7. データの削除を依頼する方法
Cribaにはアカウントがないため、解約や退会の手続きはありません。私たちが利用するサービスに残るのは、購入データ（RevenueCat）、利用統計（TelemetryDeck）、クラッシュレポート（Sentry）だけで、いずれも匿名の識別子に結びついています。削除を依頼するには：
- Criba→「設定」→「メールで問い合わせ」を開きます。作成されるメールには、あなたのインストールの匿名の識別子が含まれています。これが、あなたのデータを見つけるために必要な情報です。
- データの削除を希望する旨を書いて、david@usecriba.app に送ってください。アプリがもう手元にない場合も、そのままご連絡ください。本人確認の方法をお伝えします。
- RevenueCatの顧客データとSentryのレポートを削除し、最長30日以内に削除の完了をお知らせします。TelemetryDeckの統計はあなたと結びつけることができず、3か月で自動的に削除されます。
購入そのものは、AppleとGoogleが管理しているため、App StoreまたはGoogle Playに記録が残ります。また、領収書類は会計に関する法律で定められた期間保存されます。Cribaからの利用統計とクラッシュレポートの送信を今すぐ止めるには、「設定」→「匿名の利用統計」をオフにしてください。
8. お子さまについて
Cribaは14歳未満の方を対象としておらず、お子さまのデータを意図的に収集することはありません。
9. このウェブサイト
usecriba.appはVercelでホストされ、Vercel AnalyticsとVercel Speed Insightsを使っています。訪問数と表示速度の計測で、Cookieは使わず、個人を特定することもありません。フォームやアカウントもありません。
キャンペーンのリンク（Instagramのストーリーズなど）から来た場合、ブラウザがそのキャンペーン名を識別子なしで7日間保存し、アプリをダウンロードするときにApp StoreまたはGoogle Playのリンクに追加します。
また、TelemetryDeckを使って訪問数とストアボタンのタップ数を計測しています。Cookieは使いません。訪問者の識別子はTelemetryDeckのサーバーで生成されて毎日変わり、IPアドレスは保存されません。
10. 変更について
このポリシーに重要な変更があった場合は、新しい日付とともにこのページを更新し、必要に応じてアプリ内でもお知らせします。