プライバシー

GRILL MEは決断について質問する。その間にお前が話す内容は、このアプリでいちばん私的なものだ。だから最初から保持しない造りになっている。

管理者

Oliver Strebel-Mark
Emmericher Weg 76a
47574 Goch, ドイツ
hello@grillofficer.app

アカウントなし

登録もログインもメールアドレスもない。アプリがお前を特定できるものを求めることはない。

声は端末を出ない

話した内容はこのiPhoneの中でテキストになる。録音は送信されず、保存もされない。

送られるもの、そして保存されないもの

テーマと答えは、次の質問と最後の判定を作るためにテキストとしてサーバーへ送られる。サーバーはそのテキストを保存しない。会話の状態は端末にあり、質問ごとに一緒に往復する。

サーバーが持つのは数であって、中身ではない。無料分と課金が成り立つように、端末識別子に紐づけて次を記録する——どのグリルが始められたか、今の期間に何回使ったか、課金が有効かどうか、それぞれ書き込んだ時刻とともに。テーマも答えも判定も、そのどれにも入っていない。

例外がひとつある。それは故障のときだ。モデルが返してきたものをサーバーが読めない場合、原因を突き止めて直すために、その数百文字をCloudflare上の自前の稼働ログへ書き出す。そのテキストは士官のものであり、お前が言ったことを言い直している場合がある。こちらの分析基盤には渡らない。

保存のためではなく処理のために、そのテキストは次に届く：

• Anthropic（Vercel AI Gateway経由）——質問と判定を作る。
• ElevenLabs——音声を有効にしている場合に読み上げを作る。士官が言う文だけが送られ、お前の答えが送られることはない。
• Cloudflare——この二つが通るサーバーを動かしている。

端末に残るもの

グリルが終わると端末に書き込まれる。テーマ、士官が記録したお前の答え、主張とその結果、そして判定。保存されるのはそこだけだ。こちらには送られず、iCloudにも端末のバックアップにも入らない。お前が送らないかぎり、他の誰にも読めない——アプリは判定を共有カードにできる。そうやって共有したものが端末を出るのは、お前が送ると決めたからだ。

設定 → この端末の中に → すべてのグリルを削除でいつでも全部消せる。アプリを削除しても消える。こちらが受け取ったことがない以上、そこが存在する唯一の場所であり、消すべき唯一の場所だ。

測っているもの

アプリの使われ方を数えている。グリルが始まったか終わったか、質問にかかった時間、音声が動いたか。これらのイベントは自由記述を載せない作りになっている。値になれるのは数値、真偽値、または最大四十文字の短い文字列だけで、この長さはテーマも質問も答えも入らないように意図して小さくしてある。テーマも答えも士官の質問も、そこには入れない。これはアプリが守る規則とサーバーが強制する上限であって、数学的な不可能ではない——不可能を約束するより、そう言っておく。

イベントには端末識別子、AppleのidentifierForVendorが付く。これはお前の名前ではなく、お前が話した内容も含まない。ただしどこでも同じ識別子だ——利用回数の集計、無料分、課金、分析のすべてがこれを鍵にしているので、それらの記録は互いに結びつき、ひとつの端末に属する。Appleはこれをこちらのアプリにだけ適用し、その端末からこちらのアプリがすべて削除されて初めて再設定する。GRILL MEだけを削除しても変わるとはかぎらない。こちらのサーバーを経由してPostHogで分析される。こちら向けのデータセンターはEU域内にあるが、PostHog Inc.は米国の企業であり、EU域外でも処理する——下の節がそれを扱う。

広告識別子はなく、他のアプリやサイトをまたぐ追跡もない。だからAppleの追跡許可ダイアログも出ない。

不具合が起きたとき

アプリがエラーを捕まえると、原因を直せるように報告する——エラーの種類、アプリが自分について書いたメッセージ、どの画面で起きたか、Apple自身のエラードメインと番号、そしてアプリ内部の呼び出し履歴を最大四十行。これはPostHogへ、利用イベントと同じ端末識別子のもとで送られる。

そのメッセージはアプリが自分について書くものであり、お前が書くものではない。中身はステータスコードやデコード失敗といったもので、三百文字までに制限されている。テーマや答えを入れる場所ではない。

このウェブサイト

ウェブサイトもアクセスを数えている。どのページか、どの言語か、どこから来たか。解析は EU にある PostHog が行い、こちらのアドレス z.grillofficer.app を通すので、リクエストが第三者に渡ることはない。

端末には何も保存されない。Cookie もローカルストレージも使わない。だからここでは同意を求めるバナーが出ないし、来るたびに初回の訪問として数えられる。見分けるものが何もないからだ。IP アドレスはページを届けることと、国を判定することに使われる。

クリックは記録せず、セッションの録画もしない。

購入

サブスクリプションはAppleを通る。利用権は同じ端末識別子でRevenueCatが管理する。支払い情報をこちらが見ることはない。それはAppleに留まる。

どれだけ保管されるか

端末の中：終わったグリルはお前が消すまで残り、アプリを削除しても消える。そこで勝手に期限が切れるものはない。そこにあるものはどれもこちらのものではないからだ。

こちらのサーバー：あるグリルが始められたという記録は七日後に削除される。その裏にある数、つまりこの端末が無料分を何回使ったか、課金が有効かどうかは期限なしで保持される。期限をでっち上げるより、はっきり言っておく——無料分はその識別子が存在するかぎり端末ごとに数えられ、こちらはお前がアプリを削除したことを知る手段を持たない。だから削除を引き起こす出来事が存在しない。二行、中身はなし、上の住所に書けば消させることができる。

委託先：

• PostHog、利用イベントとエラー報告：こちらの契約により最長七年。PostHogはこの上限をプロジェクトごとに適用しており、こちらのプロジェクトにはまだ適用されていないので、今日の時点で自動的に削除されるものはない。契約終了時の削除または返却は取り決めてある。
• Cloudflare、読めない応答を数百文字含みうる稼働ログ：最長七日。
• RevenueCat、課金の状態：契約終了から三十日以内に破棄または返却。
• ElevenLabs、受け取るのは士官が言う文だけ：百八十日使われなければ削除。
• Vercel、要求をモデルまで運ぶ：契約終了時に削除。

EU域外のどこへ行くか

テーマと答えはEU域外で処理され、利用イベントもそうだ。以下はいずれも米国の企業であり、どの移転もこちらが結んだ契約に基づく。

• Vercel Inc.が要求をモデルまで運び、AnthropicがVercelの再委託先として質問と判定を作る。Anthropicとの個別契約はなく、アプリが直接そこへ届くことはない。欧州委員会の標準契約条項、実施決定 (EU) 2021/914、モジュール二、アイルランド法。
• ElevenLabs Inc.が読み上げを作る。標準契約条項およびEU-US データプライバシーフレームワーク、アイルランド法。
• PostHog Inc.が利用イベントを分析する。こちら向けのデータセンターはEU域内だが、処理は域外でも行われる。データプライバシーフレームワークに加えて標準契約条項、モジュール二、アイルランド法。
• RevenueCat Inc.が課金を管理する。標準契約条項、モジュール二、英国アデンダム付き、アイルランド法。
• Cloudflare Inc.がすべてが通るサーバーを動かす。標準契約条項、モジュール二、およびデータプライバシーフレームワーク。

いずれの企業も自社の再委託先一覧を公開しており、どの契約もこれらの義務を再委託先へ引き継ぐことを義務づけている。

法的根拠

入力を送ること自体がサービスそのものだ（GDPR第6条1項b）。匿名の利用測定は、動くアプリに対する正当な利益に基づく（第6条1項f）。

お前の権利

アクセス、訂正、削除、制限、ポータビリティ、異議申立てを求められる。上の住所に書いてくれ。内容を保存していないので、実際には利用イベントが対象になる。見つけられるよう、おおよその期間を伝えてほしい。グリルはこれに含まれない。こちらに届いたことがないからだ。端末にあり、そこでお前が消す。データ保護監督機関に苦情を申し立てることもできる。

いちばん速い道はこちらを必要としない。アプリを削除すれば端末識別子は消える。その後は何もお前に結び付けられない。