長い版
Balise プライバシーポリシー
最終更新:2026年9月9日 · 発行者・管理者:Balise, Inc
お客様が読んでいるこの日本語のページが、日本語版のポリシーです。
発行者・管理者:Balise, Inc。 製品サイト:usebalise.com。 プライバシーに関する連絡先:apps@usebalise.com(件名「Balise privacy」)。
Baliseは端末内だけで完結する製品ではありません。短命な推論用コピーをアップロードし、構造化された知識をサーバーに保存します。Appleの写真アプリの画像を一般的に保管するアーカイブではありません。Instagramから明示的に選んで取り込んだ写真は、複数の端末で表示できるよう、上限付きの非公開表示用レンディションをBaliseに保存します。
第1条 要約
- お客様のオリジナルの写真はAppleの写真アプリ(または将来接続する他のライブラリ)に残ります。Baliseは写真のバックアップサービスではありません。
- Instagramを接続し、写真を明示的に選んで取り込むと、複数端末で表示できるよう、暗号化された長辺1,504 px以下の非公開表示用レンディションをワークスペースに保存します。オリジナルはInstagramに残ります。バックアップや継続同期ではありません。
- 処理対象に含めた写真について、Baliseは一時的な推論用レンダリング(上限のある縮小派生物。現在は長辺1,504 pxのHEIC。フル解像度のアーカイブではありません)を、ビジョンモデルが構造化された知識を抽出できるよう、Google Cloud上のBalise専用の非公開インフラへアップロードします。Balise専用の非公開サービスが、必要とするモデルのためにWebPのレンディションを派生させることがあります。
- Baliseは、暗号化された推論用レンダリングについて、処理のあとに削除を要求します。すぐの削除が中断された場合は、1日のストレージライフサイクルが後始末の保険として働きます。
- Baliseは一般的な写真アーカイブを保持しません。オリジナルはAppleの写真アプリに残ります。お客様が選んだ例外は、明示的に取り込んだInstagram写真、公開したカードやストーリー、そして1つのリクエスト元の接続先について承認した正確なConnected AIの写真です。Connected AIのアクセスは承認から1時間で終了し、今後の取り込みは含みません(第4.4項)。
- Baliseは、写真から導かれた構造化された知識(観察、事実、ドメイン、検索インデックス、好み)をお客様のワークスペースに保存します。これが永続的な製品資産であり、お客様が訂正・削除できます。
- 私たちはお客様のコンテンツをモデルの学習に使用しません。また、AI事業者に対し、Baliseの推論コンテンツで学習しないよう指示しています。
- Baliseはクラウドの顔認識サービスや永続的な生体的人物グラフを提供しません。繰り返し写る人物のグループ化はオプトインで、お客様の端末から始まります。顔テンプレート、切り抜き、埋め込みは端末内に留まります。インポートのあと、ビジョンモデルが、すでにアップロードされた一時的な処理用コピーの中で一度だけ顔を比較し、明らかに重複する不透明なグループを整理することがあります。このモデルは人物に名前を付けることも、グループを分割することも、同一性を作り出すこともできず、Baliseが保存するのは、その結果生じる不透明な別名の対応だけです。お客様が付けた名前は、端末が同じ不透明参照に一致させた今後の写真が処理される際、一時的なモデル文脈として添えられることがあります(第4.6項)。
- Baliseの利用は16歳以上に限ります(第11条参照)。親が自分の子どもを撮影して個人的な知識として使うことは、想定される個人利用です。
- アプリ内からBaliseの全データを削除できます(プロフィール → 「Baliseのデータをすべて削除」)。サインインアカウント自体の閉鎖はメールでご依頼ください。第10条参照。
- お客様の写真や知識を販売しません。広告も表示しません。
- ウェブサイト(usebalise.com)は、入力があればウェイトリスト用のメールアドレスを保存し、分析Cookie、広告、クロスサイト追跡なしで利用状況を測定します(第4.8項参照)。
第2条 私たちについて
Balise, Inc は、Baliseを発行する法人であり、Baliseサービスおよびusebalise.comウェブサイトに関連して処理される個人データの管理者です。ただし、特定の処理が第三者により独立した管理者として行われると記載されている場合(例:お客様の端末上のAppleのOSサービス)を除きます。
2093 Philadelphia Pike #3795, Claymont, DE 19703, United States
〒106-0044 東京都港区東麻布1丁目23-5
75009 Paris, 2-4 rue Jules Lefebvre
連絡先:apps@usebalise.com · usebalise.com
個人情報保護管理者・苦情の申出先。Baliseには、プライバシーに関するお問い合わせ、第10条に基づくご請求、そしてデータ保護当局とのやり取りに責任を負う担当者が1名います。この役割は、欧州ではデータ保護責任者(DPO)、ブラジルではencarregadoと呼ばれ、日本ではお客様の個人情報の取扱いに関する個人情報保護管理者であり、苦情の申出先です。件名「Balise privacy」で apps@usebalise.com にお送りいただければ、担当者に届きます。日本語でのお問い合わせを受け付けます。English、français、español、portuguêsでも構いません。
第3条 適用範囲
本ポリシーは以下を対象とします。
- Balise iOSアプリ(iOS 17以上)。TestFlight/ベータビルドを含みます。
- サービス提供に用いるBaliseのバックエンドAPIおよびストレージ。
- お客様が選んだAIサービスのためのBaliseのコネクター。メモリと写真の参照に加え、お客様が依頼する少数の書き込み(非公開のリストの保存、非公開の発見の保存または更新、非公開のストーリー案の準備)を含みます。コネクターは何も公開できません。
- usebalise.comウェブサイト。ウェイトリストのフォームとサイト分析を含みます。
- Baliseに関する関連サポートのやり取り。
私たちにリンクしている第三者のウェブサイトやアプリ、およびプラットフォーム提供者としてのApple自身の処理(Appleでサインイン、写真、App Store、TestFlight)は、Baliseがそれらとどう連携するかの説明を除き、対象外です。
第4条 処理する個人データ
4.1 アカウントと認証
| 区分 | 例 | 取得元 |
|---|---|---|
| 本人確認・認証 | Clerkのユーザーid、サインイン識別子(例:Appleでサインイン)、セッショントークン、サインイン方法が提供する場合はClerkが保持するメールアドレスや氏名。Balise自身のサーバーはClerkのユーザーidのみを保存し、ワークスペースidとして使います。 | お客様 / Clerk / Apple |
| ワークスペースの紐付け | ワークスペースid、プロビジョニング状態、ロール | Baliseが生成 |
| プッシュ通知 | 通知を許可した場合の端末プッシュトークン。1回の処理が終わったことをお知らせするために使います。 | お客様 / Apple |
4.2 写真ライブラリからの入力
Instagramからの取り込み。接続したCreatorアカウントを閲覧するだけでは何も取り込みません。静止画を明示的に選ぶと、Baliseは画像、安定したアカウント/投稿/メディアID、カルーセル内の順序、投稿日、利用可能な元リンクとキャプションを受け取ります。投稿日を撮影日時として扱わず、キャプションはInstagramに由来する文章であって、視覚的に確認された事実ではありません。動画を写真として取り込むことはありません。
Apple PhotoKitを通じたお客様の許可により、Baliseは対象に含めたアセットについて以下を受け取ります。
- 画像の内容(クラウドビジョン用の一時的な推論用レンダリングを作るため。カメラロールをアーカイブするためではありません)。レンダリングは端末上で再エンコードされ、カメラのメタデータ(EXIF、GPS、メーカーノート、サムネイル)はファイルから除去されます。
- 撮影・変更のタイムスタンプと、撮影時のタイムゾーンオフセット。
- アセットに位置情報がある場合はその位置メタデータ(写真のGPS座標、高度、方位、精度。お客様のリアルタイム追跡ではありません)と、その座標から端末上で解決した地名。
- これは精密な位置情報です。座標は写真とともにワークスペースに保存され、その写真から得た知識を保持している間は検索できます(§9)。Baliseが写真を地図上に置き、お客様がどこにいたかに答えられるのはこのためです。現時点では、位置情報を処理から除外する設定はありません。写真の位置情報をBaliseに渡したくない場合は、インポートする前にAppleの「写真」アプリで位置情報を削除するか、その写真を対象から外してください。
- Googleでの地点の照会。写真に写っている場所の名称を特定し、写真が持っていない地理情報を補うため、Baliseは当社のサーバーから写真の座標をGoogle Maps Platform(Places APIとGeocoding API)にも送り、返ってきた候補を保存します。Googleが受け取るのは座標だけで、それ以外はありません。画像も、アカウント識別子も、氏名も送りません。写真に位置情報がない場合、その写真について送るものはありません。
- 任意で、写真が選択済みの自宅エリア内にあることを端末上で判定した肯定的なヒント。別途保存する自宅エリアのラベル、中心、半径は写真レコードにはコピーしません。
- アルバムへの所属(アルバム名を含む。対象・除外ルールと文脈のため)。
- 技術的なフラグとカメラ設定(例:スクリーンショット、お気に入り、編集済み、寸法、カメラ機種とレンズ、露出、フラッシュ)と、写真アプリで入力したキャプション。
- 端末内のVisionの結果:顔と人物の数と位置、明示的な確認に基づくお客様の有無(第4.6項)、任意の不透明人物参照、動物、文字の有無、品質スコア。認識した文字そのもの、顔の切り抜き、ランドマーク、特徴ベクトルは含みません。
- PhotoKitのローカル識別子と、可能な場合はクラウド識別子、およびインストールごとの端末識別子。重複排除と、事実を端末上の写真に結び直すために使います。
これらの情報はレンダリングとともに構造化データとして(画像ファイルの中ではなく)送られ、生成された知識とともに保存され、写真を説明する際の文脈としてビジョンモデルに渡されます。
既定値と制限
- Baliseが検討する写真の枚数と期間はお客様が選び、アプリはその期間から均等にサンプリングします。現在のビルドでは、アルバム単位の選択は提供していません。
- 非表示アルバムと共有アルバムは常に除外され、オンにすることはできません。スクリーンショットはオンにしない限り除外されます。
- iOSの限定的な写真アクセスに対応しています。BaliseはAppleのシートで選んだ写真しか見られません。
- 写真ライブラリの許可は、すべてのアセットが直ちに、あるいは必ずアップロードされることを意味しません。
- 撮るたびに追いかける機能(新しい写真の自動取り込み)はオンにしない限りオフで、無料を含む有効なプランで提供されます。プランが終了するとオフになります。
4.3 一時的な推論用メディア
クラウドビジョン処理のためにアップロードされる、上限のある推論用レンダリングです。これは短時間だけ存在する処理用コピーであり、カメラロールのアーカイブではありません。Baliseは、有効になっているインポート後の人物比較を含む処理のあとに、暗号化されたコピーの削除を要求します。すぐの削除が中断された場合は、1日のストレージライフサイクルが後始末の保険として働きます。失敗、スキップ、キャンセル、リセット、明示的に削除された作業は、可能な場合はより早く消されます。ストレージの論理削除の保持期間はゼロに設定しており、削除されたコピーは残りません。
4.4 画像コピー(写真アーカイブなし)
BaliseはAppleの写真アプリの画像を一般的に保管するアーカイブではありません。オリジナルはAppleの写真アプリに残ります。以下の選択は、それぞれの画面が説明するものだけを保持します。選択したInstagramの取り込み、公開したカード、ストーリーのページ、そして非公開のConnected AIレンディションです。
選択したInstagram取り込みはBalise内で非公開です。明示的に取り込んだ静止画ごとに、長辺1,504 px以下の暗号化された表示用レンディションをワークスペースに保存します。既定では公開されず、Instagramとの接続を解除した後も複数の端末で表示できます。取り込んだ写真、Baliseの全データ、またはアカウントを削除するまで保存します。オリジナルはInstagramに残り、Baliseはオリジナルのバックアップや継続同期を行いません。この保存はConnected AIへの包括的な同意ではなく、正確な写真ごとの承認と1時間の期限は変わりません。
共有カードはオプトインで、写真1枚ずつです。Baliseは、1枚の写真と、そこで気づいたことをカードにできます。そのカードをお客様のiPhoneで描画すること、お客様自身の写真ライブラリに保存することでは、何もアップロードされません。別途リンクで公開することを選んだ場合にのみ、お客様のiPhoneが描画したカード画像、リンクを展開したときのプレビュー画像、そしてその1枚の写真の表示サイズのコピーを保存します。
これらはお客様が削除するまで保存します。有効期限はありません。お客様が投稿したものの中でリンクが切れることは、約束を破ることだからです。アドレスは推測困難でnoindexが付いており、検索エンジンには掲載しないよう求めていますが、リンクはリンクです。公開したカードは公開されたものとして扱ってください。アプリ(プロフィール → 共有)またはページ自体から取り下げられます。削除は画像を消し、次に記録を消します。そのあとアドレスは「存在しません」と応答し、再利用されることはありません。データまたはアカウントの削除は、公開したカードも削除します。支払いカードの番号がカードに入ることはありません。表示のときに隠すのではなく、作るときに捨てています。
ストーリーのページはオプトインで、1日ずつです。Baliseは、ある1日を短いストーリー(タイトル、いくつかの節の文章、そのストーリーが扱う写真)として書き、人に送れるリンクで公開できます。その日について「ストーリーを書く」をタップするまで、何も起こりません。タップした場合にのみ、その日のグリッドから最大12枚の写真の小さなコピー(長辺およそ640ピクセル)—Baliseが選んでチェックを入れ、お客様が変更できます—と、それらについて書かれた文章を保存します。その日の他のものや、ライブラリの残りからは何も保存しません。
公開されたストーリーのページには小さな地図が表示され、その地図はOpenStreetMapの埋め込みフレームです。フレームはそのストーリーの座標を伴うため、ページを開いた人のブラウザはopenstreetmap.orgに直接アクセスし、OpenStreetMapはその人のIPアドレスと、そのストーリーが扱う場所を知ることになります。これは当社のサーバーではなく閲覧者のブラウザで起こり、お客様が公開を選んだページでのみ起こります。
これは、モデルが文章を書くためにお客様の写真を見る、Baliseが書く唯一のストーリーテリング機能です。Connected AIは、お客様が指示する別のコネクターです。1日のストーリーを書くために、ストーリーのモデルには、そのストーリーが公開するちょうど12枚の写真だけが、書き上げるまでの数分間示されます。それ以外は示されません。AI事業者には、Baliseのコンテンツで学習しないよう指示しています。
お客様が先に読みます。ストーリーは公開するまで非公開の下書きで、タイトルを付け直し、どの節でも書き直し、節のあいだで写真を移動し、節を削除し、もう一度書かせることができます。公開すると、推測困難でnoindexの付いたアドレスで、お客様が削除するまで保存します。ただしリンクはリンクなので、公開したストーリーは公開されたものとして扱ってください。アプリ(プロフィール → ストーリー)またはページ自体から取り下げられます。写真と文章が消え、次に記録が消え、そのあとアドレスは「存在しません」と応答し、再利用されることはありません。データまたはアカウントの削除は、公開したストーリーも削除します。カード番号がストーリーに書き込まれることは、まったくありません。
Connected AIは既定では事実のみです。お客様のアシスタントは、最大24枚の正確な写真をリクエストできます。Baliseはすべての選択をアプリに表示し、お客様が10分以内に承認しない限り何も送りません。承認により、リクエスト元のその接続先だけが、それらの正確な長辺1,504 pxの表示用コピーに、承認から1時間アクセスできます。写真を取得し直しても1時間は延長されず、今後の取り込みや後の選択には別の承認が必要です。期限切れはBaliseを通じた以後のアクセスを止めますが、アシスタントがすでに受け取った画像を消去したり、会話から取り除いたりするものではありません。認証済みの1回の応答で返せる画像は最大4枚です。公開の画像URLはありません。iPhoneはHEICのレンディションを暗号化してからアップロードし、オリジナルはAppleの写真アプリに残り、Baliseは一般的な写真アーカイブを保持しません。
Baliseがお客様のClaudeやChatGPTの会話を自動的に受け取ったり保存したりすることはありません。受け取るのは、認証されたコネクター呼び出しで送られた引数です。お客様が依頼または承認した場合、別に権限を区切った1つの操作が、ワークスペースに新しい非公開のテキストのリストを保存するか、既存の非公開リスト1つを置き換えることがあります。保存されるのはリストの文章と、根拠となる写真レコードへの検証済みの非公開リンクであり、公開、削除、公開済みリストの変更、お客様の写真や構造化された知識の変更はできません。お客様の指示により、選んだサービスが事実や画像を受け取ったあとは、そのサービス自身の規約、プライバシーポリシー、アカウント設定、保持期間の選択が適用されます。Baliseの復処理者についての学習禁止の約束は、お客様が独自に選んだClaudeやChatGPTのアカウントについて約束するものではありません。
公開プロフィールは、別の任意の公開機能です。@ハンドルを予約し、表示名、短い自己紹介、そしてすでに公開したカード、まとめ、ストーリー、リストへのリンクを公開できます。プロフィールを公開しても、インデックス化された写真ライブラリ、Appleの写真アプリのオリジナル、非公開のConnected AIコピーが公開されることはありません。公開されるのはプロフィールと、すでに公開済みの素材へのリンクだけです。プロフィールは見つけてもらうためのもので、検索エンジンに掲載されることがあります。下書きの作成をBaliseに頼んだ場合、使うのはすでに公開済みの素材の、公開して差し支えないタイトルと概要だけです。下書きは、お客様が編集し、選び、公開するまで非公開のままです。いつでも公開を取り下げられます。古いハンドルはお客様に予約されたまま残り、共有したアドレスを他の人が引き継ぐことはできません。
保存したリストは文章であり、画像コピーではありません。Askが写真の知識から物や場所をまとめても、「保存」または「共有」をタップするまでは新たに保持されません。Connected AIのサービスが非公開のリストを保存または改訂できるのは、お客様が依頼または承認したあとだけです。保存すると、リストの文章と、根拠となる写真レコードへの非公開のリンクをワークスペースに保持しますが、それらの写真をコピーまたは公開しません。共有すると、リストのタイトル、概要、項目名、説明だけを、推測困難なnoindexのアドレスで公開します。そのリンクを知る人は誰でも読めます。コレクション → リスト(プロフィール → リストからも開けます)で削除するか、Baliseのデータを削除するまで保持され、削除すると文章が消え、そのあとアドレスは「存在しません」と応答します。
4.5 構造化された知識(永続)
- 観察と抽出された事実(物、文字の手がかり、場所、ドメイン固有の項目)。お客様が対象に含めた場合、子どもや他の人が写っている写真の構造化された記述を含みます。
- 事実とエビデンス識別子を結ぶ来歴情報。
- ドメイン/関心の設定と、インサイトの定義。
- 構造化コンテンツの検索インデックスと埋め込み(写真のバックアップではありません)。
- お客様が行った訂正と好み。
- 任意で選択した自宅エリアのラベル、中心、半径。写真レコードではなく、非公開のワークスペース設定として保存します。
- 重複排除と「処理済み」状態のためのインポート台帳(写真識別子、撮影日時と写真の位置、寸法、状態。オリジナルのファイルではありません)。
- 希望言語、通知の登録、サブスクリプションのエンタイトルメント状態(AppleのStoreKitから。カード情報は含みません)。
4.6 端末内処理、非公開の自宅情報、顔、セルフリファレンス
端末上で、BaliseはAppleのフレームワーク(PhotoKit、ImageIO、MapKit、Vision)を使い、アップロード前に写真を選択・並べ替え・縮小し、写真の座標から地名を解決し、顔・人物・動物・文字・前景を検出します。場所の名称そのものを特定する処理は、座標だけを用いて、当社のサーバー上でGoogle Maps Platformを通じて行います(第4.2項)。端末を出ることがあるのは数、枠、顔の向き、スコア、ランダムな不透明人物参照で、認識した文字、顔の切り抜き、ランドマーク、特徴ベクトルは出ません。
自宅エリア。MapKit上のエリアを自宅として選ぶと、その大まかなラベル、中心座標、小さな半径を非公開のワークスペース設定として保存し、サインイン中の端末の保護されたストレージにも同期します。Baliseのエージェントは、お客様が明示した自宅の文脈としてこの設定を利用できます。住所として保存せず、写真レコードにもコピーしません。エリア内で撮影された写真には、肯定的な自宅ヒントだけが付くことがあります。プロフィールからいつでも変更または削除でき、削除するとサーバー設定と端末上のコピーの両方が消えます。
セルフリファレンス。フロントカメラの写真やAppleの「セルフィー」アルバムは、写っている人を特定するものではありません。そのためBaliseは、自動的に選ばれた候補をすべて未確認として扱います。お客様が端末内のセルフリファレンスを明示的に確認した場合に限り、アプリは端末上で顔を比較し、確認済みであることを示す情報とともに写真ごとの本人の有無をアップロードできます。参照ベクトルは端末内に留まり、Baliseやモデル事業者には送信されません。旧バージョンがアカウントに保存したベクトルはサービスによって削除されます。
繰り返し写る人物。対応する機能では、お客様が人物の機能をオンにした場合に限り、アプリはApple Visionの顔のランドマークと同梱の端末内モデルを使って繰り返し写る顔をグループ化し、ワークスペース単位のランダムな識別子を付けます。これにより、同じ人物の写真をまとめて閲覧し、必要に応じてその人が誰かをBaliseに伝えられます。顔の切り抜きは保存しません。顔の埋め込みテンプレートは、端末専用の鍵でアプリのローカルデータベース内に暗号化され、端末内に留まります。インポートの完了後、Baliseは、非公開の一時的な処理用コピーにすでに存在する顔について、範囲を限定したビジョンモデルによる比較を一度だけ行うことがあります。これは、間違いなく同じ人物を写した2つの不透明なグループ全体を統合するためだけのものです。モデルは、端末のグループを分割すること、誰かに名前を付けること、人物idを作ること、センシティブな特徴を記述することはできません。サーバーは、2つのグループが1枚の写真に同時に写っている場合や、お客様が入力したラベルと矛盾する場合には、独立に統合を拒否します。確信度が中程度以下の提案は適用されません。クラウドに顔の切り抜き、テンプレート、埋め込みが保持されることはありません。処理用コピーは、この比較を含む処理のあとに削除され、1日の後始末の保険が働きます。クラウドに永続するのは、不透明な識別子、写真との対応、統合履歴、お客様が入力したラベルや関係だけです。お客様が人物に名前を付けた場合、端末が同じ不透明識別子に一致させた今後の写真をクラウドのビジョンモデルが処理する際、説明にその名前を使えるよう、お客様が入力した名前を一時的な文脈として含めることがあります。構造化された行為者は不透明なままであり、名前を付けても家族・友人その他の関係が設定されることはありません。Baliseは顔から氏名や関係を推測せず、汎用の顔認識サービスを運用しません。
4.7 運用・診断データ
- APIログ、IPアドレス、端末/アプリのバージョン、Firebase Crashlytics、Firebase Performance Monitoring、Apple MetricKitからのクラッシュや性能の信号。
- 定型の製品インタラクションイベント(アプリの起動、インポート、最初のカード、コレクション、検索、Ask、プランの操作)。有効化と継続利用を測るためにお客様のワークスペースに紐づけます。これらのイベントに、検索の文字列、Askのプロンプト、写真やコレクションの識別子、メモ、任意のプロパティが含まれることはありません。
- Redis/Memorystoreの運用状態(ジョブの進捗、ロック、マニフェスト、短命トークン)。永続的な写真ストアではありません。
- インポートバッチ、インポート台帳、エンタイトルメントの使用状況、アカウント操作の監査証跡(例:データのリセットが完了したこと)を保持するコントロールデータベース(Cloud SQL)。
- セキュリティと不正防止の信号。
出荷するiOSビルドは、運用上の診断のためにFirebase CrashlyticsとPerformance Monitoringを使います。Google Analyticsは連携しておらず、Baliseは広告識別子やアプリをまたぐ追跡を使いません。Apple MetricKitの完全な診断ペイロードは端末内に留め、Firebase Performanceへ送るのは数値の要約だけです。製品インタラクションイベントはBalise自身の認証されたAPIへ送られ、PostgreSQLに保存されます。サーバー側の転送が有効な場合、Baliseは同じ閉じたイベントを、仮名化したワークスペース識別子の下でPostHogへ送ることがあります。アプリに新しい分析SDKを追加することはありません。転送は開発環境とプレビュー環境では無効で、本番では遠隔削除が構成されたあとにのみ有効になります。ワークスペースのリセットまたはアカウントの削除は、対応するPostHogの人物とイベントの削除をキューに入れるよう要求します。その要求を送信できない場合、リセットは成功と報告しません。
4.8 ウェブサイト(usebalise.com)
- ウェイトリスト。ホームページでメールアドレスを残していただいた場合、メールアドレス、任意の「ふだん撮っているもの」の一言、ブラウザのユーザーエージェント文字列、IPアドレスのソルト付きハッシュ(登録のレート制限にのみ使用)、登録日時をCloudflare KVに保存します。同じ内容の通知メールが創業者の受信箱に送られ、ご案内に使います。アドレスはTestFlightの招待とBaliseのお知らせの送信にのみ使い、他には使いません。
- サイト分析。Balise独自のブラウザコードが仮名化した型付きイベントを
/api/eへ送り、Cloudflare Workerがそれを検証してPostHogの米国の受信サービスへ転送します。タブごとのランダムなセッションidをセッションストレージに記録することがあり、共有オブジェクトのidを除いたページのパス、端末・ブラウザ・OSの区分、国、リファラーのドメインのみ、短い参照元とutm_source/utm_medium/utm_campaign/utm_contentのコード、ページのバリアント、型付きの操作やイベントも記録することがあります。IPアドレス、メールアドレス、ウェイトリストの関心欄その他のフォームの文章、写真の内容、完全なクエリ文字列、utm_term、紹介コードは転送しません。PostHogのブラウザスクリプト、分析Cookie、リプレイ、自動取得、広告、クロスサイト追跡はありません。Do Not TrackとGlobal Privacy Controlは収集を無効にします。タブごとのidは訪問をまたいで残らず、ウェブサイトの参照元がアプリのワークスペースへ自動的に結合されることはありません。正規のwaitlist_joinedのコンバージョンは、新しいウェイトリストの記録が保存されたあとにのみ作成し、重複した登録は除外します。ブラウザ側の成功イベントはUIの診断にすぎません。 - Cloudflare Web Analytics。CloudflareがCookieなしで集計トラフィックとサイト性能を測定することもあります。
- 言語Cookie。言語パス(例:/ja)を選んだ場合、サイトはそれを記憶するために機能的なCookie
balise_langを1つだけ設定します。それ以外にCookieに保存するものはありません。 - ホスティング。ウェブサイトとそのAPIはCloudflare(Workers、KV、Email Service)上で動いています。限定された仮名化分析イベントは、PostHogが米国で処理します。
外部送信について。電気通信事業法の外部送信規律に対応して、お客様の端末から当社以外の事業者へ送られる情報を、ここに一つにまとめます。ウェブサイトでは。ページの表示に伴い、ホスティングを担うCloudflareに接続情報(IPアドレス、ユーザーエージェント)が届き、Cookieを使わない集計のトラフィックとサイト性能の測定に使われます。利用状況の仮名化イベントはBalise自身の/api/eへ送られ、PostHog(米国)へはそこから当社のサーバー側で転送されます。ブラウザから直接PostHogへ送るスクリプトはなく、分析Cookieもありません。ウェイトリストにご登録いただいた場合は、入力内容がCloudflareの保存領域へ送られます。公開されたストーリーのページを開いたときに限り、埋め込みの地図がOpenStreetMapへ接続します(第4.4項)。アプリでは。不具合と性能の診断のため、クラッシュと性能の信号がFirebase CrashlyticsとFirebase Performance Monitoring(Google)へ送られます。Apple MetricKitの完全な診断内容は端末内に留まります。製品インタラクションイベントはBalise自身の認証されたAPIへ送られ、サーバー側の転送が有効な場合に限り、同じ閉じたイベントが仮名化されたワークスペース識別子の下でPostHogへ届きます。写真の処理用コピーと、そこから生じるモデルの入出力の送り先は、第4.3項、第6条、第7条に記載しています。広告識別子、アプリをまたぐ追跡、広告を目的とした外部送信はありません。
4.9 サポートのやり取り
メールをいただいた場合、返信のためにアドレスと本文を処理します。
4.10 写真に含まれる機微な情報
カメラロールは中立な記録ではありません。数年分もたまれば、病院の廊下、台所に置かれた処方箋、礼拝の場、デモ、パートナー、子どもが入ってきます。いくつもの国が、そうした情報を通常の個人データより慎重な取扱いを求める特別な区分と定めています。日本の個人情報保護法(APPI)でいう要配慮個人情報、GDPRの特別な種類の個人データ、ブラジルLGPDのdados pessoais sensíveisです。Baliseでの取扱いは以下のとおりです。
露骨な写真は、Baliseが詳しく見る前に脇へ置かれます。最初のひと目で露骨だと判定された写真について、Baliseはそこで止まります。処理用コピーは削除され、説明は書かれず、その写真に関することはお客様の知識に一切入りません。Baliseが残すのは、その写真を脇へ置いたという事実だけで、後の回で改めて取り上げないためのものです。インポートの結果には、そうなった写真の枚数が表示されます。
健康に関する写真は、お客様の人生を語るすべての場所から外れます。健康や医療に関わる写真だとBaliseが気づいた場合、その写真に印を付け、印は残り続けます。印の付いた写真は、ストーリー、ストーリーのハイライト、編集時に追加できる写真、Memoryの文章、そもそもMemoryの書き手が見る素材、エピソードの表紙とヒーロー画像、地図上の写真の帯、共有カードの画像案、そしてBaliseが人物について書くあらゆる説明から外されます。写真は、それが起きた日のあるべき場所に残ります。外れるのは、それについて文章が書かれることと、表紙に置かれることです。
正直に申し上げておく限界が2つあります。この印付けの仕組みができる前に処理された写真には、印が付いていないことがあります。Memoryの文章については、印のない根拠は使わないという安全側の運用をしていますが、他の場所は印があることを前提にしています。また、お客様が意図して接続先のアシスタントに写真を送る場合、Baliseはお客様が選んだ写真を送ります。健康の印がお客様の選択を覆すことはありません。
顔。繰り返し写る人物をグループ化することは、これらの法律の多くで生体データの取扱いにあたります。だからこそ、この機能はお客様がオンにしない限り動かず、テンプレートとベクトルはお客様のiPhoneから出ず、クラウドに残るのはランダムな識別子、統合の履歴、顔の枠と向き、そしてお客様自身が入力した名前だけです(第4.6項)。
信条、政治、性生活、人種・民族。Baliseはこれらを推測しようとせず、これらから対象者の集団やプロファイルを作ることもしません。それでも、お客様が対象に含めた写真にはっきり写っていれば、結婚式、行進、社寺といった事柄が説明に入ることはあります。いずれも訂正または削除できます(第10条)。もっとも効くのは最初の設定です。写真アクセスを限定してお客様自身が写真を選ぶか、その期間を対象から外してください。
精密な位置情報。米国のいくつかの州は、写真の正確な座標をそれ自体で機微なデータとして扱っています。Baliseは座標を写真とともに保持し、写真の場所を示すために使います(§4.2)。これはサービスの提供そのものであり、それを超える利用ではありません。
第5条 処理の目的(目的と法的根拠)
利用目的を、平易な言葉で。当社は、お客様の個人データを次の目的で利用します。アカウントを作成し保護すること。お客様が選んだ写真を処理し、Baliseの目的である構造化された知識、コレクション、Memoryを組み立てること。その処理を行うクラウド推論を実行すること。1回の処理が終わったことをお知らせすること。本サービスの信頼性を保ち、デバッグし、悪用を防ぐこと。サポートのお問い合わせにお答えすること。ウェイトリストを運営し招待をお送りすること。ウェブサイトの利用状況を把握すること。そして法令上の義務を果たすこと。これが利用目的のすべてです。これ以外の目的でお客様のデータを利用することはありません。将来そうしたいと考えた場合は、新しい利用目的が何であるかを、始める前にお知らせします(第15条)。下の表は、EEAと英国の読者のために、目的ごとの法的根拠を加えたものです。
| 目的 | データ(概要) | 法的根拠 |
|---|---|---|
| アカウントの作成と保護 | 認証識別子、セッション | 契約(第6条(1)(b))。セキュリティについては正当な利益 |
| お客様が求めるライブラリ処理と知識機能の提供 | 一時的な推論用レンダリング、構造化された知識、好み | 契約 |
| 一時的なクラウド推論 | 推論用レンダリング、モデルの入出力 | 契約 |
| 処理の完了をお知らせする | プッシュトークン | 契約/同意(iOSの通知許可) |
| 信頼性の向上、デバッグ、不正防止 | ログ、運用メタデータ、ソルト付きIPハッシュ | 正当な利益。該当する場合は法的義務 |
| ウェイトリストと招待 | メールアドレス、関心の一言 | 同意/契約締結前の措置 |
| ウェブサイトの利用状況の把握 | 仮名化されたインタラクションイベント | 正当な利益(分析Cookie、広告、クロスサイト追跡なし) |
| サポート | メールの内容 | 契約/正当な利益 |
| 法令の遵守 | 限られた記録、削除の監査エントリ | 法的義務 |
リンクでのカードの公開は、それを公開するというお客様の写真ごとの明示的な選択に基づいて処理され、お客様が公開を続けているあいだだけ続きます(第4.4項)。
5.1 学習に使わない、販売しない
私たちは個人データを販売しません。お客様の写真、推論用レンダリング、構造化された知識、その他の顧客コンテンツを機械学習モデルの学習に使用しません。AIの復処理者(Vertesia、OpenAI、Google Vertex AI / Gemini、xAI、Anthropic、およびVertesiaを通じて利用するAmazon Web Services)に対し、Baliseの推論コンテンツを自社モデルの学習に使用しないよう指示しています。各事業者は、お客様のワークスペースのために推論と関連するサービス機能を提供する目的でのみコンテンツを処理します。
第6条 処理の仕組み(パイプライン)
- お客様が写真アプリへのアクセス(フルまたは限定)を許可し、枚数と期間を選びます。
- 端末上のルールが対象アセットを決めます(スクリーンショットは有効な場合のみ。非表示・共有アルバムは常に対象外。サンプルは期間全体に均等に分布)。
- 対象アセットごとに、Baliseは上限のある長辺1,504 pxのHEIC処理用コピーを1つ作り、iPhoneで暗号化し、暗号化されたコピーをアーカイブにまとめて、短命の署名付きURLを通じてTLSで、Google Cloud Storage上のBalise専用の非公開推論バケットへ、第4.2項に挙げた写真の情報を構造化データとして添えてアップロードします。Balise専用の非公開サービスが処理のためにコピーを復号し、必要な場合は暗号化された長辺1,504 pxのWebP版を派生させます。
- ビジョンモデル(Vertesiaがオーケストレーション。現在はOpenAIとGoogle Vertex AI / Geminiの経路)が一時的なレンダリングを解析し、構造化されたエビデンスを抽出します。GoogleのVertexの経路は、期限付きのアクセス(現在は10分間)を伴う別の一時的な非公開クラウド入力を受け取ります。この入力には、iPhoneの画像ごとの暗号化ではなくクラウドストレージの暗号化が適用されます。OpenAI互換の経路は、Baliseを通じた短命のアクセスを受け取ります。そのあとの文字のみの処理では、Vertesiaを通じてGemini、OpenAI、xAI(Grok)、またはAnthropic(Claude。Amazon Bedrock経由を含む)を使うことがあります。Memoryの構築が受け取るのは、抽出された観察対象の名称、説明、ドメイン、時間、粗い場所の文脈からなる、範囲を限定して絞り込んだパケットです。写真、Searchの完全な文字列、正確な自宅座標、医療に関する内容、文書の本文は受け取りません。その他の文字のみの処理は、その操作に必要な、範囲を限定したスキーマ、アカウント、イベントストーリー、またはセンシティブでないプロフィールの項目を受け取ります。
- 構造化された結果がお客様のワークスペース(Vertesiaのコンテンツオブジェクトと検索インデックス)とコントロールデータベースの台帳に書き込まれます。
- Baliseは、有効になっている人物比較を含む処理のあとに、暗号化された推論オブジェクトの削除を要求します。すぐの削除が中断された場合は、1日のライフサイクルが取り残しを消します。
- BaliseはApple Photosの一般的な画像アーカイブを保持しません。明示的に選択して取り込んだInstagram写真の表示用レンディションは、上記のとおり非公開で保存されます。
最初のインポート後の新しい写真。追加の処理は手動で送れます。「撮るたびに追いかける」をオンにすると、有効なプランのあいだ、新しい写真が自動で取り込まれます。新しく追加された写真が取り込まれているかどうかは、お使いのビルドのアプリUIが正です。
第7条 処理者および復処理者
Baliseの運用にはサービス提供者(「処理者」)を使います。各社は私たちの指示に基づいてデータを処理します。以下の一覧は、会社が確認済みのベンダーと、BaliseのGoogle Cloudプロジェクト(現在のリージョンはus-central1)に配備済みのインフラを反映しています。
| 事業者 | 役割・目的 | 通常関わるデータ |
|---|---|---|
| Clerk | アプリの認証と、Connected AIのためのOAuth認可 | アカウント識別子、認証メタデータ、提供された場合はメールアドレス、コネクターの付与とスコープ |
| Google Cloud / Firebase | ホスティングとインフラ:Cloud Run(APIとインポートサービス)、Cloud Storage(非公開の推論メディア、選択したInstagram表示用レンディション、承認済みConnected AIコピー)、Memorystore(Redis)(短命のリースと破棄可能なキャッシュ)、Cloud SQL(コントロールデータベース、インポート台帳、定型の製品イベント)、Cloud KMS(暗号鍵の操作)、Secret Manager、Artifact Registry、ネットワーク。Firebase CrashlyticsとPerformance Monitoring。VertesiaがGoogleのVertex環境に推論をルーティングする場合のVertex AI / Gemini | 一時的な処理用コピー、選択したInstagram表示用レンディション、承認済みConnected AIコピー、台帳と運用データ、定型の製品イベント、クラッシュ/性能/インストールの診断情報、Vertex経路のモデル入出力 |
| Temporal Cloud | インポート、再構築、定期処理、タスクのワークフロー実行と再試行 | 不透明なワークスペース/作業識別子、ワークフローの状態、時刻、編集済みのエラーメタデータ。写真のバイト列や事業者の認証情報は含みません |
| Vertesia | 永続的なワークスペースの知識、検索、エージェント/ワークフロー、Baliseが供給する短命のメディアアクセスを用いた推論のオーケストレーション | 構造化された知識、ワークスペースに限定された認証情報、実行メタデータ、推論のための一時的なメディアアクセス |
| OpenAI | Baliseが供給する短命のHTTPSメディアアクセスを用いた、Vertesia経由のビジョン/モデル推論。文字のみのドメイン設計ステップ | 一時的なメディア参照/モデルの入出力 |
| xAI | ドメイン画面の設計、範囲を限定したセンシティブでない人物説明、確定済みMemoryの文章のための、Vertesia経由の文字のみのモデル推論(Grok) | ドメインのスキーマとテンプレート、範囲を限定したセンシティブでない集計値、絞り込まれたドメイン例と項目、確定済みのアカウントとイベントストーリーの文字情報。写真は含みません |
| Anthropic | 年単位のMemory文章や予備の処理を含む、Vertesia経由の文字のみのモデル推論(Claude) | 範囲を限定した構造化テキスト、確定済みのアカウント、イベントラベル、イベントストーリーの文字情報。これらのMemory文章作成には写真を含みません |
| Amazon Web Services | Anthropic Claudeの一部の経路でVertesiaが利用するAmazon Bedrockの推論基盤 | 該当するClaudeの文字のみの処理に必要な、範囲を限定したモデル入力と出力 |
| Google Maps Platform | 写真に写っている場所の名称の特定と、欠けている地理情報の補完。当社のサーバーから呼び出すPlaces API(New)とGeocoding API | 写真の座標のみ。画像、アカウント識別子、氏名は含みません |
| Meta(Instagram) | お客様がInstagramを接続した場合にのみ、お客様が取り込むために選んだメディアの取得 | お客様のInstagramの認可と、Baliseが取り込むメディア、キャプション、元リンク |
| X Corp. | お客様が記事を投稿するためにXを接続した場合にのみ | お客様のXの認可と、お客様が投稿を選んだ記事 |
| Cloudflare | ホスティング、分析エンドポイント、Cookieなしの集計Web Analytics、ウェイトリスト保存(KV)、メール(Email Service):ウェイトリストの通知、購読の確認、パブリッシャーをフォローしている人へのお知らせ | ウェイトリストのメールアドレスと関心の一言、購読者とフォロワーのメールアドレス、レート制限用IPデータ、限定された仮名化イベント、集計トラフィックとサイト性能 |
| PostHog(米国) | ウェブ分析、任意のサーバー側製品イベントとサニタイズ済みエラー報告 | 仮名化イベントと静的なエラー概要。ブラウザエラーには許可されたスクリプト名と行番号が含まれることがあります。写真、フォーム文章、IPは含みません |
Apple(プラットフォームであり、BaliseのAI復処理者ではありません):OS、PhotoKit、Appleでサインイン、プッシュ通知、App Store / TestFlightの配布とクラッシュレポート。Appleはプラットフォームサービスについて自社の規約に基づいて行動します。
このほか、モデルの評価のためにOpenRouterとBasetenのアカウントを保有しています。いずれも現在の本番の経路には入っておらず、当社は、学習に使うことを認める規約を持つモデル事業者に顧客コンテンツを送りません。これらのアカウントから利用できる事業者の中には、まさにそうした規約のものがあり、それが本番の経路に入れていない理由です。
処理者にはデータを適切に保護することを求めています。処理者がBaliseの顧客コンテンツをお客様への広告に使ったり、Baliseの推論コンテンツでモデルを学習させたりすることを許可していません。
削除が届かないところ。お客様のデータの削除は、Balise、当社のストレージ、当社の分析からデータを取り除きます。モデル事業者自身の運用ログにまで遡って届くことはありません。これらの事業者は、自社の規約と保持期間の下で限られた記録を保持しており、当社がそれを管理することはできません。
第8条 国際移転
Baliseのインフラと処理者は、欧州連合のほか、米国を含む他の国でデータを処理することがあります(Google Cloudプロジェクトは現在us-central1で稼働。Vertesiaは現在米国リージョンを使い、OpenAI、Vertex、xAI、Anthropic、Amazon Bedrockの経路もEEA域外で処理することがあります。PostHogは米国で限定的な分析イベントを処理し、Cloudflareはグローバルなネットワークを運用しています)。事業者のリージョンとアカウント設定によります。
どの国か、平たく申し上げると。現在、Baliseの実体——サーバー、一時的な写真のコピー、お客様の構造化された知識、そしてそれらを処理するモデル——は米国で動いています。ウェブサイトは、Cloudflareがお客様のいる場所から配信します。これ以外の国が、通常の運用としてお客様のデータを保持することはありません。
米国であることの意味。米国には、包括的な連邦レベルの個人データ保護法が1つとして存在しません。同国での保護は、分野別の法律と州法、第7条に挙げた各事業者と当社が結ぶ契約、そして第13条に記載する技術的な制限から生じるものであり、お客様の国の法律と同等であることから生じるものではありません。米国の公的機関が、状況によっては事業者にデータの提出を求めることがあります。
EEA/英国から。必要な場合、十分性認定のない国への個人データの移転には、適切な保護措置(標準契約条項など)を用います。
ブラジルから。ブラジルにいる方の個人データは、第7条に挙げた事業者により、第5条の目的のために米国で処理されます。移転について情報を得たうえでご判断いただけるよう、これをお伝えしており、各事業者にはここに記載した保護を守ることを求めています。
日本から — 外国にある第三者への提供。日本にいるお客様の個人データは、第7条に挙げた事業者により、米国で処理されます。お客様がそれらを前にしてご判断いただけるよう、個人情報保護法が定める情報として次をお伝えします。移転先の外国の名称は米国です。同国の個人情報の保護に関する制度は、包括的な国レベルの個人データ保護法を持たず、分野別の法律と州法によるものです(上記のとおり)。当該第三者が講ずる個人情報の保護のための措置は、第7条に記載する契約上の義務、第9条に記載する保持期間、および第13条に記載する技術的な制限です。
第9条 保持期間
| データ | 保持期間 |
|---|---|
| 推論用レンダリング(一時) | 有効になっている人物比較を含む処理のあとに削除を要求。すぐの削除が中断された場合は1日のライフサイクルが取り残しを消去。失敗/キャンセル/リセットされた作業は可能な場合はより早く消去。論理削除の保持期間はゼロ |
| Connected AIリクエストのコピー | アプリ内での承認後の正確な写真のみ。リクエスト元の接続先だけが承認から1時間利用でき、取得を繰り返しても延長されません。期限切れのあとに後始末 |
| 選択したInstagram表示用レンディション | 取り込んだ写真、Baliseの全データ、またはアカウントを削除するまで、ワークスペース内で非公開に保存。Instagramとの接続解除だけでは削除されません |
| 任意の自宅エリア設定 | 変更または削除するか、Baliseの全データ/アカウントを削除するまで |
| 構造化された知識、インポート台帳、不透明人物メタデータ | お客様が削除するか、Baliseの全データ/アカウントを削除するまで |
| 認証/アカウント記録(Clerk) | アカウントの存続期間中。その後は依頼に応じて削除または匿名化 |
| Redis/Memorystoreの運用状態 | 短命/キャッシュ指向。失われても写真アーカイブを再現してはならない |
| 製品インタラクションイベント | Baliseの全データを削除するか、アカウントを閉鎖するまで。ワークスペース単位で保持し、広告やアプリをまたぐ追跡には使いません |
| ウェイトリストの記録(ウェブサイト) | お客様が削除を求めるまで、またはベータの招待を送らなくなるまで |
| サイト分析イベント | 仮名化。設定されたPostHogプロジェクトの保持ポリシーに従います |
| 事業者への入力コピー(Vertexの経路) | アクセスは10分で期限切れ。バイト列そのものは同じ1日のストレージのルールに従います |
| お客様が依頼したデータのエクスポート | 30日後にバケットが削除します |
| 推論実行の記録(どのモデルが、いつ、いくらで動いたか) | 120日後に消去 |
| 何も見つからなかった検索 | 90日後に消去 |
| インポートバッチ、ドメインの提案、インポートのアーカイブ | 30日後に消去 |
| ワークフローの履歴(Temporal Cloud) | ワークフローの終了から30日 |
| データベースのバックアップとサーバーログ | バックアップ30日、トランザクションログ7日、プラットフォームログ30日 |
| サポートのメール | 依頼への対応と通常の業務/法的記録に必要な期間 |
| 削除の監査エントリ | 削除が完了したことを示す最小限の非コンテンツ記録(件数、タイムスタンプ) |
オリジナルの写真がAppleの写真アプリから削除された場合、関連する構造化された記録は、お客様が削除するまで「エビデンス利用不可」と印がついたまま残ることがあります。Baliseが表示可能なオリジナルを勝手に作り出すことはありません。
第10条 お客様の権利と設定
10.1 製品内の設定
- 写真アプリへのアクセスレベル(フルまたは限定。Appleのシートで写真を選ぶ)、枚数と期間の選択。スクリーンショットのオン/オフ。「撮るたびに追いかける」のオン/オフ。
- 非表示・共有アルバムの固定的な除外を前提にできます。
- 構造化された知識の訂正または削除。
- Baliseのデータをすべて削除(プロフィール → Baliseのデータ → 「Baliseのデータをすべて削除」):検索できる写真、メモ、コレクション、インポート履歴、不透明人物メタデータ、端末内のセルフリファレンス、Baliseが保持するコピーを、端末、知識ストレージ、両方のメディアバケット、コントロールデータベース、プッシュ登録、運用状態にわたって完全に削除します。実行中のジョブは先に中止されます。Appleの写真アプリとサインインアカウントは変わりません。
- サインイン方法の管理とサインアウト(プロフィール → アカウントとサインイン)。
10.2 アクセス、エクスポート、訂正、削除
お住まいの地域によっては(EEA/UKにお住まいの場合のGDPR、その他の地域の類似の法律を含む)、特定の処理に対するアクセス、訂正、消去、制限、データポータビリティ、異議の権利、および同意に基づく処理について同意を撤回する権利をお持ちの場合があります。
法律は地域ごとに異なるため、お住まいの地域で何をご請求いただけるかを以下に示します。件名「Balise privacy」で apps@usebalise.com にお送りください。アカウントのメールアドレスから、またはそのアカウントがお客様のものだと確認できる十分な情報を添えてお願いします。1か月以内に回答します(お住まいの国の法律がより短い期限を定めている場合は、その期限内に)。手数料はいただきません。ご請求が著しく反復的または過大である場合は、料金をいただくのではなく、その旨と理由をお伝えすることがあります。
- EEAおよび英国(GDPR)。アクセス、訂正、消去、制限、データポータビリティ、異議、同意の撤回、および監督機関への苦情申立て(第10.3項)。
- ブラジル(LGPD)。そもそも当社が処理しているかの確認、アクセス、不完全・不正確・古いデータの訂正、不要・過剰または法に反して処理されたデータの匿名化・ブロック・削除、ポータビリティ、同意に基づいて処理されたデータの削除、当社がデータを共有している公的・私的機関に関する情報、同意を拒んだ場合に何が起こるかの情報と拒む権利、同意の撤回、そして専ら自動的な手段でなされた決定の見直し(第14条)。
- 日本(個人情報保護法)。当社が保有するお客様の保有個人データの開示(第三者提供記録の開示を含みます)、内容が事実でない場合の訂正・追加・削除、そして法が認める場合の利用停止・消去および第三者提供の停止。
- 米国。お住まいの州の法律が定める範囲で、知ること、アクセス、訂正、削除、持ち運べる写しの取得。販売、クロスコンテキストの行動ターゲティング広告のための共有、ターゲティング広告からのオプトアウト(いずれも当社は行っていません。第10.4項)。機微な個人情報の利用の制限。拒否に対する不服申立て。権利を行使したことを理由に取扱いを変えることはありません。
保有個人データに関する公表事項(日本)。個人情報保護法が公表を求める事項を、ここにまとめます。
- 個人情報取扱事業者の名称。Balise, Inc。住所は第2条および第16条に記載しています。
- すべての保有個人データの利用目的。第5条に記載しています。
- 開示等の請求に応じる手続。件名「Balise privacy」で apps@usebalise.com にお送りください。ご本人であることは、アカウントのメールアドレスからお送りいただくか、そのアカウントがお客様のものだと確認できる十分な情報を添えていただくことで確認します。代理人による場合は、その権限を確認できる資料を添えてください。
- 手数料。いただきません。
- 苦情の申出先。第2条に記載の個人情報保護管理者。監督機関については第10.3項をご覧ください。
- 安全管理のために講じた措置。第13条に記載しています。外国にある第三者への提供については第8条をご覧ください。
エクスポート。プロフィールのプロパティ、観察/事実/来歴、ドメイン設定など、ワークスペースが保持するデータのエクスポートをメールで依頼できます。エクスポートにはAppleの写真アプリのオリジナルは含まれません。Baliseは保存していないためです。
アカウントの削除。アプリからBaliseの全データを削除すると、ワークスペースの内容が消えます。サインインアカウント自体(Clerkのアイデンティティ)を閉鎖するには、アカウントのメールアドレスから件名「Balise delete my account」で apps@usebalise.com にメールしてください(またはAppleでサインインのアカウントを特定できる十分な情報を添えてください)。まだであればワークスペースのデータを削除し、Clerkのアイデンティティを削除または匿名化します。完了を証明する必要がある場合に限り、最小限の非コンテンツ監査エントリを保持します。App Storeでのリリース前に、App Storeガイドライン5.1.1(v)を満たすアプリ内アカウント削除を提供することを約束します。
ウェイトリスト。メールをいただければ、ウェイトリストからアドレスを削除します。
10.3 苦情
まずは私たちにご連絡ください。お手伝いします。お住まいの国の監督機関に苦情を申し立てることもできます。日本では個人情報保護委員会(PPC、ppc.go.jp)です。日本以外にお住まいの場合は、その国の個人データ保護機関にご連絡ください。
10.4 カリフォルニア州/その他の米国州法
私たちは金銭と引き換えに個人情報を販売せず、クロスコンテキストの行動ターゲティング広告のために共有もしません。
第11条 子どもと年齢要件
Baliseのアカウントを作成するには16歳以上(またはお住まいの地域でより高いデジタル同意年齢が定められている場合はその年齢以上)である必要があります。現地の法律が検証可能な保護者の同意を条件により低い年齢(例:13歳以上)を認めている場合でも、適切な保護者同意のフローを実装した後にのみ認めることがあり、それまでは16歳以上が既定です。Baliseはこれらの年齢未満の子どもを対象としていません。16歳以上で、お住まいの地域の成年年齢に達していない場合(日本とブラジルでは18歳です)、有料のサブスクリプションを有効に契約するには、その地域の法律により法定代理人(親権者など)の同意が必要となることがあります。購入の前に同意を得てください。子どものアカウントを故意に作成したり、子どもから個人データを求めたりしません。子どもがBaliseを使い、私たちに個人データを提供したとお考えの場合は apps@usebalise.com にご連絡ください。削除を含む適切な措置をとります。
第12条 写真に写っている人(子どもを含む)
お客様のライブラリには他の人(子どもを含む)の画像が含まれることがあります。アカウント保有者がそのような写真を対象に含めた場合、Baliseはそれらの画像を推論のために処理し、その人に関する構造化された知識(記述、出来事、場所、関連する事実)をワークスペースに保存することがあります。通常の画像レンディションは処理のあとに削除が予定され、1日の後始末の保険が働きます。お客様が選んだ限られた例外は第4.4項に記載しています。接続したアシスタントのために承認された正確な写真にも他の人が写っていることがあり、同じ1時間のアクセスのルールが適用されます。それらを共有する権利を持つことについては、引き続きお客様が責任を負います。
想定される個人利用。親が自分の子どもを撮影して個人的な知識として使うこと(例:成長を見守る)は、Baliseの想定される個人利用です。「写真を見る」方法は端末上のAppleの写真アプリであり、Baliseが写真アーカイブになることではありません。
私たちは、お客様の写真に写っている第三者と直接の関係を持たず、汎用の顔認識ネットワークを運用せず、クラウドに生体テンプレートを保持しません。人物の機能が有効な場合、第4.6項に記載した、インポート後に範囲を限定して行う重複グループの比較が、一時的な写真コピーの中でそれらの人の顔を処理することがあります。他の人が写っている写真を処理する権利を持つことについては、お客様(アカウント保有者)が引き続き責任を負います。処理すべきでない写真がある場合は、限定的な写真アクセス、期間と枚数の設定、削除をお使いください。共有アルバムは常に除外され、顔テンプレート、切り抜き、埋め込みは端末内に留まります(第4.6項)。
第13条 セキュリティ
iPhoneは、アップロードの前に、処理用コピーごとに新しいAES-256-GCM鍵で暗号化し、その鍵をRSA-OAEP-SHA256でラップします。非公開の画像コピーはストレージ上でも暗号化されています。マスター秘密鍵はGoogle Cloud KMSに置かれ、復号の権限は専用の非公開メディアサービスに限定されています。スタッフには非公開の写真を開く権限を与えていません。許可された自動処理が、準備、AIによる処理、承認された配信のためにコピーを復号します。これは端末だけで完結するエンドツーエンド暗号化ではありません。処理サービスと関係するAI事業者は必要な入力を解析でき、検索できる知識は当社のサーバーに別途保存されます。本番環境のアクセス制御がスタッフの制限を実施しますが、暗号化だけで、起こりうるあらゆるシステム侵害を防げる保証にはなりません。
AI事業者は、復号された入力に期限付きでアクセスします。Vertexでの処理は、iPhoneの画像ごとの暗号化の外にある一時的な非公開クラウド入力を使うことがあり、クラウドストレージの暗号化と、期限切れになる事業者のアクセス権限で保護されます。現在の入力アクセスの期間は10分です。期限切れは、物理的な削除とは独立にアクセスを閉じます。予定された後始末が期限切れのあとに続き、1日のストレージライフサイクルが中断された後始末を補います。他の画像事業者は短命のアクセスリンクを通じて取得します。これらの制御は、事業者が入力や痕跡を一切保持しないことを約束するものではありません。
このほか、非公開のストレージ、暗号化された通信(TLS)、アカウントごとのアクセス確認、記録される復号の試行を使っています。平易な言葉での写真を守る仕組みの説明もご覧ください。脆弱性の疑いは apps@usebalise.com までご報告ください。
第14条 自動化された意思決定
Baliseは機械学習を使って写真から情報を抽出し、整理します。これらの出力はお客様のアカウントのための補助的な知識ツールです。GDPR第22条にいう、専ら自動化された決定として法的効果を生じさせたり、同様に重大な影響を及ぼしたりすることを意図していません。抽出された知識は訂正または削除できます。
とはいえ、Baliseは自動処理によって動いています。そのため、お住まいの地域にかかわらず、Baliseがお客様について判断したことについては、Baliseの担当者による確認を求めることができます。また、アプリの中でご自身で訂正または削除できます。ブラジルでは、LGPDがGDPRより低い基準でこの見直しの権利を明文で認めており、当社は基準を満たすかどうかを問わず、ご依頼に応じてこれを尊重します。
第15条 変更
本ポリシーは、このURLに改訂日付きの新しい版を公開することで更新することがあります。重要な変更については、効力が生じる少なくとも30日前に、アプリ内またはメールでお知らせし、何が変わるのかをお伝えします。新たにお客様のデータを利用したい目的がある場合も同様です。適用法の下で同意が必要な重要な変更(将来の任意の画像保持機能を含みます)については、実施前に同意/オプトインを求めます。
第16条 連絡先
Balise, Inc
2093 Philadelphia Pike #3795, Claymont, DE 19703, United States
〒106-0044 東京都港区東麻布1丁目23-5
75009 Paris, 2-4 rue Jules Lefebvre
apps@usebalise.com(件名「Balise privacy」)
usebalise.com
連絡と各種の依頼
学習したものを全部消す:アプリで、プロフィール → Baliseのデータ → Baliseのデータをすべて削除。すぐに実行されます。Appleの写真アプリとサインインはそのままです。
アカウント自体の閉鎖、データのエクスポート、その他:アカウントのメールアドレスから apps@usebalise.com へ。振り分けに役立つ件名:「Balise delete my account」「Balise export」「Balise security」「Balise privacy」。人が返信します。
ウェイトリストから外す:同じアドレスに一行、それだけです。