プライバシーポリシー

新しいアカウント・購入候補のデータ取扱い

以下は審査専用Android16で使うアカウント処理と、将来の本番購入処理を分けた説明です。Android16は承認済み3IDの審査用APIへの接続設定を持ちますが、一般向けアカウント作成・本番購入は提供しません。Apple13のアカウントと本番商品は未構成です。設定や配布版を変更する際は、この説明とストアの申告を同じ対象版へ更新します。

アカウント名・パスワード・端末の公開鍵

Android16候補は審査用の登録名、パスワードの検証要求、ランダムなアカウントID、審査用メールの確認・再設定を扱います。確認コードは実メールの所有証明ではありません。認証DBはsalt付きscryptのハッシュを保存します。案内用の初期テスト認証情報は、提供者が権限を制限した審査専用設定で管理します。入力パスワードやコードを通常ログへ記録しない構成です。入力や処理中のRAMを完全に消去できるという保証はしません。

端末ごとのP-256公開鍵とその指紋、期限・失効・再送防止用の情報を認証・不正利用防止に使います。IMEI、電話帳、マイク、写真を読み取るための識別子ではありません。秘密鍵はAppleのSecure EnclaveまたはAndroidKeyStoreの対応する保護領域で生成・使用し、書き出して他端末へコピーする機能はありません。利用できない端末やロック状態では未確認として扱い、通常ファイルの秘密鍵へ無断で切り替えません。

ログイン継続と復旧コード

アクセス用の秘密情報は最長1時間、継続用の秘密情報は最長30日・14日間の非活動で失効する設計です。サーバーには秘密そのものではなく検証用ハッシュを保存します。アプリではアクセス用と継続用を分け、Appleは同期しないThisDeviceOnly Keychain、AndroidはAndroidKeyStoreの鍵でAES-GCM暗号化した専用保存領域を使います。期限・公開鍵の指紋等も照合し、端末だけの判断で有料機能を解放しません。

復旧コードは一度だけ表示し、自動保存や自動バックアップは行いません。サーバーは検証用ハッシュと保存確認の状態を扱います。利用者が保存したというチェックだけで確認済みにせず、サーバーの応答と現在のアカウントを照合します。新しいログインでは保存状態を照会し、コードの再表示や再発行はしません。復旧すると旧ログイン・継続情報・端末鍵を失効させ、改めてログインと明示的な鍵更新を行う設計です。

ログアウト・アカウント削除では、この端末に保存したアクセス情報と継続情報を削除する処理を行います。処理の取り消しだけで、サーバー上の結果や保存済みログイン情報の消去を約束するものではありません。Apple候補の「この端末のログイン情報を破棄」は、単なる取り消しと区別した明示操作です。OSの保存領域が利用できない等で確認できない場合は、削除済みと表示せず再確認を案内します。端末鍵と鍵の切替履歴は保護領域に残る場合があり、アプリ削除だけですべてのKeychain項目や購入元の記録が消えるとは約束しません。

家族・試行制限・保持

家族の招待先アカウントID、招待コードのハッシュ、有効期限、所属、席数、端末失効を扱います。家族の連絡先や端末内データを自動収集しません。接続先サーバーは通信時に接続元IP等のネットワーク情報を受け取り、認証・不正利用防止に使います。認証の試行制限には、短期の接続元・登録名のハッシュ等を使います。期限が過ぎた記録も通常は次の処理の後片付けで消去するため、一定秒数で全記録が物理削除されるとは説明しません。

接続後の家族一覧では、契約者本人に、自分が契約する購入の登録メンバーのアカウントIDとログイン名を表示します。ログイン名は本人確認済みの氏名・メールアドレスではありません。招待・参加が確認されたメンバーを管理するための表示で、電話帳や戸籍を調べるものではありません。参加メンバーに他の契約者の購入一覧を公開する機能ではありません。一般向けとApple13ではこの一覧を提供していません。Android16候補では案内済みの審査用アカウントだけで合成された家族関係を検査します。

購入元との対応付け・支払確認

販売前の料金方針は月額1人300円、2人400円、3人500円、以降は家族1人追加ごとに100円です。実際の商品・通貨・表示価格・税の扱い・最終請求額・対象人数・請求日・解約条件は、各ストアの商品情報と購入確認画面で確認してください。予定料金だけを根拠に購入は開始しません。 対応台数と販売条件は販売前に掲示します。現在は販売していません。

非公開候補には1〜10人の契約枠の選択と、ストアから実際の商品・価格を取得する画面を追加しています。人数選択や価格取得だけでは購入しません。別の購入・変更操作とストアの確認が必要です。正当な共有メンバーは自分の購入を求められず、アカウント画面で利用権を確認します。Googleの既存契約切替は検証用の別設定が既定で無効です。切替を有効にする場合も即時請求・残期間・適用時期を確認し、将来の人数を先取りして適用したり、自動で家族を解除したりしません。本番の販売商品・決済接続は未設定で、Android16候補のストア接続も無効です。購入できません。

購入接続後は、当社サーバー発行のUUIDをAppleのappAccountTokenまたはGoogleのobfuscatedAccountIdとして購入元へ渡し、当社のアカウントと購入を対応付けます。商品、購入元、環境、購入識別子、期間、状態、通貨・支払確認、家族席、必要最小限の監査情報を利用権の確認と不正防止のために扱います。カード番号やセキュリティコードは購入元が扱い、当社のアプリへ直接入力・保存させません。

購入確認の処理は通常、生の購入トークン等を保存しない構成です。別のサーバー側継続確認用の保管機能を運用へ接続する場合は、再照会に必要なGoogle購入トークンやApple元取引IDを、管理されたサーバー鍵でAES-GCM暗号化して保存する候補を用意しています。この保管機能を本番に配置した状態ではありません。アカウント削除では対応する暗号化データを削除する設計です。必要な請求・監査記録の対象と保持期間は、販売前に当社の実運用として確定・掲示します。全記録の即時削除や全面的な責任免除とは説明しません。

支払状態の再確認が失敗・不明の場合は確認期限を伸ばしません。端末内の成功フラグだけで支払済みとは扱わず、サーバー確認には短い有効期限を設けています。実際の継続確認の運用・容量管理・購入元の鍵は未配置で、常時の有料サービスは未提供です。

有料認可と保存済みOS設定は別です

解約後も、端末に保存済みの遮断ルールやSafari・OSのDNS設定は残し、契約終了だけを理由に自動消去しない方針です。月額の対象となる更新・同期・家族サービスは、購入元で確認した支払済み有効期間と正式な猶予期間が終了した後に、新しい有料認可の発行を停止します。解約申込みだけで支払い済みの残り期間を直ちに取り消しません。ほかに有効な購入があれば、その確認済み利用権も考慮します。ログアウトやアカウント削除と定期購入の解約は別の操作です。保存済み設定を停止・解除したい場合は、アプリの停止・ルール削除、Safari拡張の無効化、OSのDNS設定の選択解除・削除を本人が行います。現在は本番の月額サービスを販売しておらず、ルールの自動更新・端末間同期も未提供です。対応範囲と解除手順は利用するOSの説明を確認してください。

General-customer accounts and live purchases remain unavailable. Android16 has a synthetic review-only account configuration; Apple13 accounts are unconnected. With a configured service, an owner can see approved family members’ account IDs and login names, not verified legal identities. A short server authorization does not switch or remove OS DNS/Safari settings. Saved local rules and OS settings remain after cancellation or paid expiry. Monthly update, sync and family-service authorization ends after the verified paid or official grace period; automatic rule updates and cross-device sync are not currently provided. Cancellation stops renewal rather than immediately cancelling an already-paid period; other verified valid purchases are also honored. Plan selection and store price retrieval alone do not purchase. Tax and the final charge are confirmed in the store.

追加したSDKと提供元の処理

Apple候補はStoreKit、Android候補はGoogle Play Billing Library 9.1.0を含みます。Android候補の実依存にはAndroidX、Google DataTransport、Google Play servicesの部品も含まれます。課金の権限・SDK構成を追加していますが、位置情報、広告ID、マイク、連絡先、広範なストレージ権限は追加していません。

当社独自の広告追跡・分析用SDKは追加していませんが、決済SDKやその依存部品の運用診断まで「一切収集なし」とは扱いません。SDKによる診断情報等の具体的な送信範囲とストアの申告区分は、最終の配布構成・提供元の開示・実通信を照合する必要があり、現在検証中です。購入元の決済処理は各社の方針にも従います。Googleのプライバシー、Appleのプライバシーをご確認ください。

アカウントや購入の通信を接続する際は、固定のHTTPS接続先へ認証・購入確認に必要な情報を送ります。DNSは別の処理です。Android候補16（DNS部は14と同じ構成）の対応するDNS転送はDoHですが、接続先名の初回名前解決や停止後のOS通信を含め、端末の全通信がHTTPSになるという意味ではありません。アカウントID・購入IDをDNS問い合わせへ付加する実装はありません。DNS履歴や選択したファイルを、購入処理・外部AI・広告のために当社へ送る機能もありません。

General-customer account and live purchase services are not available. Android16 is configured only for approved synthetic review identities; Apple13 account connectivity and live billing remain unset. The candidate includes StoreKit and Google Play Billing9.1.0. If connected, account IDs, device public keys and purchase records are used for authentication, billing and abuse prevention. Passwords and recovery codes are not saved by the app; device-only storage protects access/continuation secrets. SDK diagnostics are still being checked; no blanket “no collection” claim is made. DNS processing is separate.

SaveMeアカウントの削除・外部からの依頼

審査環境の現在の保存期間：審査用アカウント・確認済みメール・所属等はアカウント削除まで保持します。削除がDBへ反映されると、認証アカウント、確認済みメール、セッション、連携する継続・復旧情報、家族所属・招待を削除します。未完了のメール確認要求、コード、再送防止・試行制限等には期限がありますが、期限後の次の処理で削除されるものがあります。失効済みの合成利用権、旧アカウントID、期限のない端末失効記録、合成イベント記録等の一部には自動削除期限を設定しておらず、期間を定めず保持されます。これらは匿名化された記録ではありません。90日は審査用利用権の期限であり、全データの保存期間ではありません。全記録の物理消去やバックアップまでの即時消去を保証しません。この説明は分離したテスト環境の現状で、一般向け本番の保存・削除方針の確定ではありません。

Current review-environment retention: Review accounts, verified email links and membership data are retained until account deletion. Committed deletion removes authentication accounts, verified email links, sessions, associated continuity/recovery records, family memberships and invitations. Pending email requests, codes, replay/rate limits and similar temporary records have expiry conditions; some are cleaned up on a later operation. Some revoked synthetic entitlements, former opaque account IDs, non-expiring device-revocation records and synthetic event records have no automatic deletion deadline and are retained indefinitely. They are not anonymized. The90-day review entitlement is not a data-retention deadline. Deletion does not guarantee physical erasure of every record or immediate erasure of backups. This describes the isolated test environment, not a finalized production retention policy.

現在、一般向けアカウントサービスは未提供です。追加候補には「アカウントと家族」内の削除操作を用意し、パスワードと、定期購入は別途解約が必要であることの確認を求めます。サーバーの完了応答を厳密に確認できたときだけ削除確認済みとし、期限超過・通信失敗・不明な応答を削除成功とは扱いません。

アプリを利用できない場合も、株式会社SAKURA TRADINGの既存窓口へ依頼できます。メールでSaveMeアカウント削除を依頼する、または会社お問い合わせページをご利用ください。件名に「SaveMeアカウント削除」、本文に登録名またはアカウントIDと返信先を記載してください。パスワード、復旧コード、カード番号は送らないでください。窓口へのメールの取扱いは会社の一般プライバシーポリシーもご確認ください。メールは利用者のメールアプリから送信する窓口で、自動の受付・削除完了を表示するサービスではありません。

将来の一般向けサービスへ接続後の削除処理では認証用の状態・ログインと継続情報を失効させ、対応する家族関係等を整理する設計です。正当な請求・不正防止・監査のために残す必要がある情報は、対象・理由・期間を販売前に掲示します。本人確認の方法、依頼への回答方法、運用上の削除・保持期間は準備中であり、無条件の即時削除や未確認の受付完了は約束しません。端末内のルール・書き出したファイル・購入元が保有する記録の削除は、それぞれの操作・方針によります。

アカウント削除、ログアウト、アプリのアンインストールは定期購入の解約ではありません。購入済みの場合は購入元の定期購入管理で解約してください。確認済みの支払期間や請求・返金条件は購入元と契約条件に従い、削除依頼だけで解約済みとは扱いません。

To request deletion without the app, email the existing company contact at info@sakuratrading.net with “SaveMe account deletion”, your account name or ID, and a reply address. Do not send passwords, recovery codes or payment-card details. This is a manual contact route, not an automatic deletion confirmation. Deleting an account or uninstalling the app does not cancel store subscriptions.

任意のCloudflare DNS設定（追加候補）

既知のマルウェア・フィッシングに関連するとCloudflareが分類したドメインへのDNS問い合わせを、同社の無料公開サービス「1.1.1.1 for Families」のマルウェア専用設定で照合する候補です。成人向けコンテンツも遮断する別設定は選びません。自動で初期選択しません。DNSの送信先・データの取扱いをアプリ内で確認し、利用者が明示的に選択・有効化する方式です。

有効化すると、対象となるDNS問い合わせのドメイン名・型などと接続元のIPアドレスがCloudflareへ送られます。DNS over HTTPSは途中の経路を暗号化しますが、Cloudflareからこれらの情報を隠すものではありません。Webページの本文、URLのパス、写真、ファイル内容を検査する機能ではありません。PHP・OSの脆弱性を修正したり、未知のすべての攻撃を防いだりするものでもありません。接続元IPは回線・VPNなどの経路により、端末自身ではなくその出口のIPとなる場合があります。

Cloudflareの公開DNSは当社のサービスではなく、当社との提携・認証や専用の稼働保証を示すものではありません。無料公開DNS自体への利用権を当社の有料契約で独占管理するものでもありません。

Cloudflareの対象機能 · 公開DNSのプライバシー方針 · 利用条件・保証範囲

送信先・目的と端末内データ

固定の送信先はCloudflareの https://security.cloudflare-dns.com/dns-query です。目的はDNSの名前解決と既知危険宛先の分類です。Android候補は任意設定の選択値と開示を確認した版を端末内に保存し、対応DNSを転送します。Apple候補はOS管理のDNS設定を保存し、OSが通信を行います。当社サーバーへのDNS履歴の集約、外部AI・広告・分析SDKへの送信、利用者のアカウントIDや広告IDを問い合わせへ追加する機能として設計していません。実装・検査で確認した対象版に限って説明を確定します。

Android候補16（DNS部は14と同じ構成）は、許可されたDNS問い合わせを回線DNSへ平文UDPで中継しません。ただしDoH接続先の初回名前解決には回線DNSを使い、Cloudflareのサービス名が渡る場合があります。停止後はSaveMeがDNSを中継せず、Androidの通常通信設定に従います。この例外や停止後の通信まで、SaveMeがすべて暗号化すると説明するものではありません。当社に閲覧履歴を送らないことと、DNS提供者が問い合わせ情報を受け取らないことは別です。

Cloudflare側のログと保持

公開DNSの方針では、切り詰めた送信元IPと限定的な問い合わせ・デバッグログを原則25時間以内に削除します。ただし「ログを一切残さない」という意味ではありません。ネットワーク運用・DoS対策には全通信の最大0.05%から採取するパケットの例外があり、送信元IPを含み得ます。また、切り詰めIPを含まない限定的な標本データを集計に使う例外があります。

匿名化した問い合わせ名・型などはAPNICのDNS運用研究向けの限定利用があり、同社へ利用者のIPを渡さない方針です。集計情報は無期限に保持される場合があります。したがって「すべてのデータが25時間で完全に消える」「完全匿名」とは説明しません。Cloudflareは公開DNSの個人データを販売せず、広告のターゲティングに利用しないとしています。例外の保持期間を当社が独自に約束せず、最新の提供元方針を参照してください。

選択の変更・削除

Cloudflareへ送るには、アプリ内でこの取扱いを確認したうえで任意設定を選択し、対象OSで有効化します。選択しない場合はこの追加候補を利用しません。Android候補16（DNS部は14と同じ構成）では停止・送信先の未選択への変更を用意し、旧回線DNS設定を選んでも停止として扱います。平文中継は再開しません。Apple候補ではOS設定での無効化・選択変更とアプリからの設定削除を別の操作として扱います。利用を止めても、既にCloudflareへ届いた情報を当社が直ちに削除できるわけではありません。端末内のルールや復旧用コピーの削除方法、現時点の未課金状態は上記の説明を維持します。

If you choose and enable the optional candidate, Cloudflare receives DNS query names/types and the source IP of the connection. HTTPS protects transit, not the data from the resolver. Limited logs generally expire within25 hours, with packet-sampling and aggregation exceptions; APNIC may access anonymized research data and aggregates may be retained indefinitely. Android16 retains the same DNS behavior as14 and stays stopped until a current disclosure and explicit Cloudflare choice are confirmed; it does not relay DNS over plaintext UDP. Endpoint bootstrap may use the network DNS, and normal OS DNS after stopping is separate. Turning the setting off does not instantly delete data already received by Cloudflare. This is a development disclosure, not a claim of store availability.

審査専用Android16と、本番サービスの違い

審査用3IDは、継続して使う契約者用・家族用と、新規登録・パスワード再設定・削除を検査するための登録用です。ストアの審査用手順で案内したテスト情報だけを入力し、実在する個人のメールアドレスや普段のパスワードを入力しないでください。一般のお客様が自由に登録できる環境ではありません。登録用IDは最初は未登録で、明示的な登録とコード確認の後に新しいIDを作成します。

メールの登録・再設定に使う確認コードは審査専用の仕組みです。実際のメール配送やメールアドレスの所有確認を行ったという意味ではありません。確認要求ごとの識別子・用途・期限・試行回数を確認し、審査用以外の登録名やメールの組合せは拒否します。本番の認証サービスへ固定コードを組み込むものではありません。

合成利用権で、実際のアカウント・家族招待と参加・端末鍵とサーバーによる短期の利用確認を検査します。表示にStripeなどのレコード種別があっても、実際に支払った取引ではありません。Google Playの公式価格取得・購入・ストア購入の復元は無効で、審査用APIの決済経路も閉じています。有料内容への審査アクセスと、本物のストア決済が動いたことは区別します。

登録用IDを削除した後は、明示的に再登録したときだけ別の新しいIDと空のアカウントを作成します。削除前の家族メンバーやデータを自動復活させません。審査用利用権には最大90日の絶対期限を設定し、再起動やパスワード再設定だけで延ばしません。審査期間中の利用可能なアカウントは提供者が維持します。一般向けの永久無料プランや本番の有料契約を提供する説明ではありません。

Android16 is an unpublished review-only candidate for three approved synthetic identities. Account, family and device authorization checks use a synthetic grant. No real email delivery, payment, Store purchase or restoration is provided. Apple13 account connectivity remains unconfigured. This does not announce public availability.

審査用接続で会社が扱う情報

審査専用候補の接続先は https://saveme-api.sakuratrading.net です。一般向け本番サービスとは別の審査用データベースと鍵を使う構成です。承認されていない名前・メールアドレスは、登録や確認コードの発行を行わず拒否します。拒否した入力も通信処理のため受け取るため、「端末の外へ一切送信しない」とは説明しません。

• アカウント管理：審査用ログイン名、入力した審査用メールアドレス、ランダムなアカウントID、パスワードの検証要求を扱います。認証データベースではsalt付きscryptのハッシュを保存し、メールは確認用のハッシュと暗号化したデータで扱います。審査用の初期認証情報は提供者の権限制限された専用設定で管理します。
• ログイン・復旧：期限付きのセッション、継続情報、メールコードの確認要求・期限・試行制限、本人保管用の復旧コードの検証情報を扱います。コード・パスワード・セッション秘密を通常ログへ出力しない構成です。アプリの復旧コードは一度だけ表示する方式で、メール確認コードとは別です。
• 端末認証：アプリ専用のP-256公開鍵と指紋、署名・再利用防止用の識別情報、端末の失効状態を扱います。端末の秘密署名鍵を会社へ送信する機能ではありません。IMEI、電話帳、写真、マイクを読むための処理でもありません。
• 家族管理：明示的な招待・参加・解除に必要なアカウントID、招待の検証情報、所属、合成利用権の席数と期限を保存します。所有者には参加済みメンバーのアカウントIDとログイン名を表示します。これは本人確認済みの氏名や端末の電話帳ではありません。共有に必要な情報を、操作で指定した相手とその所属を管理する所有者へ表示します。
• アクセス制御：会社APIは接続元IPを通信・試行制限のため受け取ります。制限処理では接続元や登録名のハッシュ等を使います。実際のクレジットカード番号、購入トークン、本番の支払履歴を入力・送信させる審査手順ではありません。

通常の審査用登録・家族・端末の認証処理の送信先は会社の専用APIです。Xserver上の会社VPSを使う配置で、インフラの処理はその委託範囲に従います。実メール送信者や実決済事業者へこの候補から購入・配送を依頼する機能は有効にしません。広告・広告追跡・外部AIへの送信は追加していません。

CloudflareへのDNS送信は別です

利用者が説明を確認してCloudflareの危険宛先DoHを明示選択し、開始とAndroidのVPN許可を行った場合、対応するDNSの問い合わせ名・型と接続元IPはCloudflareへ渡ります。会社のアカウント認証とは別の受信者・目的です。DNSの履歴を会社APIへ追加送信する構成ではありません。提供元の限定ログ、標本・集計・APNICの研究利用等の例外は下段の既存説明を維持します。会社がDNS履歴を保存しないことを、全受信者が収集しないという説明には置き換えません。

削除と保持

「アカウントと家族」内の削除では、パスワードと明示確認を求め、サーバーで対象アカウントの削除が確認されたときだけ成功とします。登録用IDは削除後、明示的な再登録で新しいIDになり、古い家族関係・データを復元しません。削除しても、保存済みのOSのDNS設定やSafariのルールを勝手に消しません。既存の外部からの削除依頼窓口も利用できます。

審査用利用権の最大90日はデータ全体の保存期間ではありません。期限切れのコードや試行制限記録等は次の処理で後片付けするものがあり、秒単位の全消去や90日で全記録が消えるとは約束しません。Cloudflareが既に受け取った情報の削除は同社の方針と例外に従い、当社アプリから即時に全削除できるものではありません。一般向けの本番運用・保持方針は販売開始前に確定して案内します。