プライバシーポリシー

1. 端末上で処理され、当方が収集しないデータ

メディアの分類、重複の検出、そして確認と削除を可能にするため、アプリは 端末上のローカルでのみ、以下を読み取ります：

• photo_library写真と動画 、およびそのメタデータ（ファイル名、サイズ、寸法、作成日、アルバム）。使用する権限は READ_MEDIA_IMAGES と READ_MEDIA_VIDEO です。
• description書類。重複ファイルを見つけるためです。Android 11 以降では次の権限を使用します： MANAGE_EXTERNAL_STORAGE 。この権限は、システム設定で明示的に許可した場合にのみ Android が付与します。アプリが読み取るのはファイル名とサイズ、そして内容ハッシュを計算するために候補ファイルのバイト列だけです。書類の中身を解析したり、索引化したり、保存したり、送信したりすることはありません。
• auto_awesome端末上の機械学習。 分類（たとえばペット、食べ物）は端末上のライブラリ Google ML Kit Image Labeling で行われます。画像が分析のためにサーバーへ送られることは ありません 。結果（カテゴリ、確信度、ラベル）が保存されるのは 端末上のローカルデータベースだけです.
• fingerprint重複検出。 バイト単位で完全に一致するコピーを見つけるため、内容ハッシュ（MD5、OneDrive では quickXorHash）を計算します。ハッシュは端末上に ローカルで キャッシュされます。

これら端末上のデータは、ローカルの SQLite データベース、端末上のキーバリューストレージ、そしてアプリの非公開ファイルに保存されます。以下の任意機能を除いて端末外に出ることはなく、アプリをアンインストールすると削除されます。

2. クラウドアカウント（任意、接続した場合のみ）

Google ドライブまたは Microsoft OneDrive を接続する場合、OAuth 2.0 でアプリを認可することになります。その場合：

• sync_altアプリは Google と Microsoft の API と直接通信し、 ファイルとそのメタデータおよび内容ハッシュを一覧し （写真を数え、重複を見つけるため）、また 選択したファイルを削除します。Google ドライブと OneDrive での削除は 完全 であり、提供元のゴミ箱を経由しません。
• keyAccess token は端末上に保存されます。Google へのサインインは Google Play Services が処理するため、Google の refresh token は一切保存されません。リクエストのたびに短期間だけ有効な access token をシステムから取得し、そのリクエストの間だけ保持します。OneDrive の長期有効な refresh token は Android Keystore に保存されます。当方はクラウドの認証情報を受け取ることも、当方のサーバーに保存することもありません。そもそもサーバーを運用していないからです。
• link_offGoogle ドライブおよび OneDrive の利用には、 Google と Microsoft それぞれのプライバシーポリシーも適用されます。クラウドアカウントはアプリ内でいつでも切断でき、その際に保存済みの token とキャッシュされたクラウドデータが端末から削除されます。

アプリが連携するのは Google ドライブ と Microsoft OneDrive のみです。Google フォトにはアクセスしません。

3. サブスクリプションと購入

任意のサブスクリプションは Google Play で販売され、 RevenueCat（第三者のサブスクリプション管理サービス）で管理されます。購入または復元の際、RevenueCat は購入情報（レシートまたは取引、アプリが生成した利用者識別子、端末およびプラットフォームの情報）を処理して権利を検証します。当方がお支払いのカード情報を受け取ることも、保存することも ありません 。それらは Google Play が扱います。処理の詳細は RevenueCat のプライバシーポリシー および Google Play のものをご覧ください。

4. 通知

アプリは端末上で ローカル通知 を送ることがあります。たとえば、バックグラウンドのスキャンで新しい重複が見つかったときの Auto-Pilot の知らせや、無料の月間枠に関するお知らせです。これらは端末上で生成されます。プッシュサーバーは存在せず、送信のために個人データが送られることもありません。アプリ内（プロフィール → 通知）または端末の設定でオフにできます。

5. 利用状況の測定

アプリには Google Analytics for Firebaseが含まれます。目的はひとつだけ、有料プランが機能しているかを判断するためにサブスクリプションのイベントを紐づけることです。Firebase は仮名のアプリインスタンス識別子を生成し、アプリのバージョン、端末の機種、OS、IP アドレスから導かれるおおまかな地域、アプリの起動やサブスクリプションのイベントといった技術・利用データを収集します。RevenueCat は同じ識別子に紐づけて、サブスクリプションのイベントをその Google Analytics プロパティへ転送します。

• image_not_supported測定が写真・動画・書類の中身に触れることは一切ありません。記録するのはアプリの使われ方であって、ライブラリの中身ではありません。
• block当方は広告 SDK を 組み込まず 、広告識別子も使用せず、プロファイリングやアプリ横断のトラッキングも行わず、データを販売することもなく、自動化された意思決定も行いません。
• info測定は現在、アプリを初めて開いた時点で始まり、アプリ内の切り替えスイッチはまだありません。アンインストールすれば停止します。測定データの削除をご希望の場合はご連絡ください。Google Analytics プロパティから削除いたします。

アプリ内部のロジックにのみ使う内部イベントカウンターは、端末のメモリ上にとどまり、送信されることはありません。

6. バックグラウンド処理

アプリは定期的なバックグラウンド処理を実行することがあります（ RECEIVE_BOOT_COMPLETEDを使用）。新しく追加された写真を分析し、重複を検出するためです。これは Android がスケジュールする延期可能な実行枠であり、フォアグラウンドサービスではありません。これらはすべて 端末上で実行され、写真がアップロードされることはありません。

7. 法的根拠

GDPR 第 6 条に基づき、それぞれの目的は特定の法的根拠に依拠します：

8. 提供先と EU 域外への移転

当方はサーバーを持たないため、あなたのデータを保持する当方のデータベースは存在しません。提供先は、あなたが利用するサービスです：

• cloudGoogle LLC （Google Drive API、Google Sign-In、Google Play、Google Analytics for Firebase）、および Microsoft Corporation （OneDrive API）。
• card_membershipRevenueCat, Inc.（サブスクリプション管理の処理者として）。

これらの提供者は 米国に所在するため、第 2 節・第 3 節・第 5 節に記載のデータは欧州連合の域外へ移転される場合があります。かかる移転は GDPR 第 5 章の保護措置に依拠します。すなわち、提供者が認証を受けている場合は EU-US Data Privacy Framework 、そうでない場合は欧州委員会の 標準契約条項です。特定の提供者に適用される保護措置については、お問い合わせいただけます。

9. データ保護とセキュリティ対策

Diluza はローカルで動作するアプリです。Diluza のサーバー、ユーザーアカウント、当方が運用するデータベースはいずれも存在しません。あなたの写真や Google ドライブの情報が、当方の管理下にあるサーバーに届くことはありません。以下では、機微なデータ（Google アカウントの認証情報、および https://www.googleapis.com/auth/drive スコープを通じて取得した Google ユーザーデータ）を、端末上および Google への通信中にどのように保護しているかを説明します。

• https通信の暗号化。 Google（OAuth 2.0 および Google Drive API v3）と Microsoft OneDrive とのすべての通信は、Android プラットフォームの TLS スタックを用いた HTTPS で行われます。公開版のアプリには暗号化されていないエンドポイントは一切なく、平文通信を許可せず、独自のネットワークセキュリティ構成も定義していないため、Android がプラットフォーム全体で行う平文通信のブロックがすべてのリクエストに適用されます。証明書の検証を無効化・緩和・回避することは一切ありません。
• key認証情報。 Google へのサインインを処理するのは Google Play Services であり、認証情報はそちらで保持されます。Diluza があなたの Google パスワードを見ることはなく、 Google の refresh token を一切保存しません。Google ドライブへのリクエストのたびに、必要になった時点で短期間だけ有効な access token をシステムから取得し、そのリクエストの間だけ保持します。サインインのフローがアプリに長期間有効な refresh token を渡す Microsoft OneDrive については、その token を Android Keystore に保存します（セキュアエレメントを備えた端末ではハードウェアで保護されます）。通常のアプリ領域に平文で保存することはありません。
• encrypted保存データの暗号化。 その他のアプリデータはすべて、端末上のアプリ専用ストレージに保存され、Android のファイルベース暗号化で保護され、端末の認証情報でのみ解除されます。ここには、ローカルの SQLite データベースに保持される Google ドライブの目録（ファイル ID、名前、サイズ、チェックサム、つまりメタデータのみ）と、削除しようとしているものを確認できるようにキャッシュされたサムネイル画像が含まれます。他のアプリが読み取れる共有ストレージや外部ストレージには、何も書き込みません。アプリデータの自動クラウドバックアップは無効にしているため、これらのデータが Google アカウントのバックアップにコピーされたり、別の端末に転送されたりすることはありません。
• shieldアクセス制御と分離。 Android のアプリ sandbox により、他のアプリが Diluza のストレージを読み取ることはできません。Google ドライブへのアクセスは Google の同意画面を通じてのみ許可され、いつでもあなたの操作で取り消せます。Google が付与する権限は広範ですが、アプリが読み取り、操作するのは、あなたが所有する画像ファイルとドキュメントファイルだけであり（下記「データの最小化」を参照）、それ以外に対しては一切行いません。当方はサーバーを一切運用していないため、あなたのデータに到達できる管理者・従業員・委託先のアカウントは存在せず、人がそれを見ることは一切ありません。
• filter_altデータの最小化。 重複の検出に使うのは メタデータのみです。アプリは Google ドライブ自身が計算して返すチェックサムを比較するため、重複を検出するためにファイルの中身をダウンロードする必要はありません。一覧に表示されるのは、あなたが所有し、ゴミ箱に入っていないファイルだけです（画像と、重複検出がまとめられるドキュメント・アーカイブ形式、すなわち PDF、Office および OpenDocument のファイル、RTF、プレーンテキスト、CSV、ZIP/RAR/7z）。他の人があなたと共有したファイルが一覧に載ることはありません。前回の実行以降に何が変わったかの確認には Google ドライブの変更フィードを使いますが、Drive API はこれをファイル種別で絞り込むことを認めていません。そのため Google は、あなた自身のドライブで変更したすべてのファイルについて基本的な情報（名前、サイズ、種類、チェックサム）を返します。アプリは上記の種類に当てはまらないものを、端末上で直ちに破棄します。それ以外のものが保存されたり、グループ化されたり、表示されたりすることは一切ありません。削除は、あなたが明示的に選択し、削除が取り消せないことを示す専用の確認手順で確認したファイルにのみ行われます。ファイルの中身をダウンロードするのは、次の 2 つの場合だけで、いずれもあなたのための処理であり、バックグラウンドで行うことはありません。ひとつは、削除しようとしているものを確認できるようにするファイルのサムネイル、もうひとつは、写真を 1 枚選んで 共有 をタップしたときのフル解像度の原本です。後者では、ファイルをアプリの一時キャッシュに置き、あなたが選んだ Android の共有シートに渡します。
• block第三者への提供はありません。 Google ユーザーデータが当方や第三者に送信されることはありません。組み込まれている外部コンポーネントは 2 つです。 RevenueCat はサブスクリプションの状態のみを受け取ります。 Firebase Analytics は、標準的な利用状況のテレメトリ（アプリインスタンス識別子、端末とアプリのバージョン情報、セッションおよび画面のイベント、IP アドレスから推定されるおおよその地域）を自動的に収集します。これは本アプリの Play ストアのデータセーフティ欄で申告しているとおりで、アプリ側から独自のイベントを送ることはありません。 いずれも Google ドライブのデータを受け取ることはありません。ファイル名、ファイル ID、チェックサム、サムネイル、その他 Drive のコンテンツやメタデータが、これらに渡る情報に含まれることはありません。
• link_off削除と取り消し。 Diluza でクラウドアカウントの接続を解除すると、Google アカウント側の認可が取り消され（アプリが忘れるだけでなく、アカウント自体から権限が取り消されます）、同じ操作で、Drive の目録、重複の検出結果、確認の進捗、保存された容量情報、保持している token が端末から消去されます。システムが管理する一時的な画像キャッシュは、アプリのキャッシュ削除時またはアンインストール時に消去されます。アクセスは Google アカウントからいつでも取り消せます： myaccount.google.com/permissions。アプリをアンインストールすると、そのデータはすべて端末から削除されます。
• verified_userアプリの堅牢化。 公開ビルドはコード圧縮と難読化（R8）を行っており、デバッグは不可で、デバッグ用やプロキシの設定は含みません。クライアントシークレットも同梱していません。

10. 保存期間

• smartphone端末上 （分類、ハッシュ、設定、キャッシュされたクラウドデータ）：アプリをアンインストールするか、データを消去するまで。
• link_offクラウドの token とキャッシュされたクラウドデータ：アプリ内でアカウントを切断した時点で削除。
• receipt_longサブスクリプションの記録 （RevenueCat と Google Play）：サブスクリプションの期間に加え、各社の方針および適用される会計法令が求める期間。
• query_stats測定データ：Google Analytics プロパティで設定された期間（既定では 2 か月）保存され、その後削除されます。

11. 児童

本アプリは、フランスにおけるデジタル同意年齢である 15 歳未満の児童を対象としておらず、当方が児童の個人データを故意に収集することはありません。

12. あなたの権利

あなたには アクセス、訂正、消去、処理の制限、異議、データポータビリティの権利、および 同意を撤回する 権利がいつでもあります。アプリの処理は端末上で行われ、当方はあなたに関するアカウントを保持していないため、多くは直接行使できます：

• delete端末上のデータの消去： アプリをアンインストールするか、Android の設定でデータを消去してください。
• link_offクラウドへのアクセス： アプリ内でアカウントを切断し、Google または Microsoft のセキュリティ設定で Diluza のアクセスを取り消してください。
• toggle_off測定： アプリをアンインストールするか、測定データの削除をご依頼ください。

その他のご用件は contact@diluza.comまでご連絡ください。GDPR 第 12 条の定めに従い、1 か月以内に回答します。

本ポリシーおよびそこに記載された処理は、フランス法および GDPR に準拠します。ご自身の権利が尊重されていないとお考えの場合は、フランスの監督機関である CNIL に苦情を申し立てることができます。 cnil.fr.

13. 本ポリシーの変更

本ポリシーは更新される場合があります。重要な変更は、上記の発効日と、アプリからリンクされている公開版を更新することで反映します。

14. 連絡先

Bastien Botrel、 contact@diluza.com