旅途今日 プライバシーポリシー

施行日：2026-11-02
版：v2（草案・弁護士確認前。2026-11-02「AI に聞く」を追加）

旅途今日（以下「本アプリ」）は、Ziyu Guo（日本在住の個人開発者。以下「当方」）が開発・運営しています。本ポリシーでは、本アプリが扱う情報、その目的、提供先、保存期間、およびお客様ができることを説明します。

1. 概要

• アカウント登録は不要です。広告、トラッキング、データの販売は行わず、第三者の解析・広告 SDK も使いません。
• 旅程はお客様の端末と、お客様が選んだ iCloud Drive のフォルダに保存され、当方のサーバーには保存されません。AI の機能を使うときだけ、必要な内容が当方のサーバーを経由して送られます（第 3・4 節）。
• お客様が同意したうえで「生成」をタップしたときに限り、今回追加した資料（各資料の名前とテキスト）と、入力した旅程名が当方のサーバーを経由して Anthropic 社（米国）の AI モデルに送られ、日ごとの旅程に整理されます。
• 「AI に聞く」を使うと、お客様の質問、直近の会話、開いている旅程の内容、お客様が自分で添付した写真や位置情報も、当方のサーバーを経由して Anthropic に送られます。回答のため、AI がウェブを検索し、公開されているウェブページを開くことがあります（第 4 節）。
• 当方のサーバーはこれらの内容を保存しません。端末ごとの利用回数を、暗号学的ハッシュにした識別子で日ごとに数えるだけです（内容は含みません）。Anthropic は入力と出力を 30 日以内に削除し、モデルの学習には使いません（例外は第 3 節）。

2. 端末内だけで扱う情報（当方には届きません）

iCloud Drive は Apple が同社のプライバシーポリシーに基づいて提供しており、当方はお客様の iCloud にアクセスできません。端末内のアプリデータは、お客様ご自身の iPhone のバックアップ（iCloud バックアップなど）にも含まれ、Apple が同社のポリシーに基づいて取り扱います。

翻訳リンク：「Google 翻訳で開く」をタップすると、その文と言語を URL に入れて Google 翻訳アプリまたはウェブを開きます。その後は Google が同社のプライバシーポリシーに従って取り扱い、当方は受け取りません。アプリ内の Apple オフライン翻訳は端末内で行われ、誰にも送信されません。

地図リンク：場所をタップすると、アプリは場所の名前（住所がある場合は住所も）を URL に入れて Google マップまたは Apple マップを開きます。その後は Google または Apple がそれぞれのプライバシーポリシーに基づいて取り扱い、当方には届きません。

問題の報告メール：「問題を報告」でメール送信を選ぶと、端末のメールアプリが開き、宛先（zguo415@gmail.com）、件名、本文があらかじめ入力されます。本文には問題の種類、項目のタイトル、お客様が書いた説明、アプリのバージョン、報告番号が入ります。「この項目の内容を添付」をオンにした場合に限り、その項目の日付、時刻、場所、説明文も加わります。メールはお客様が確認してから送信し、送信しないこともできます。送信された場合、当方はそのメールとお客様のメールアドレスを受け取り、その報告への対応、お客様への返信、生成の改善にのみ使います。対応完了後、最長 12 か月保存し、その後削除します。

3. 「生成」をタップしたときに送信する情報

初めて生成する前に説明を表示し、同意をお願いします。同意しない場合は資料を一切送信せず、旅程は手動で作成できます。

送信するもの（生成ごとに 1 回）

• 資料：今回追加した各資料の名前と全文。ファイルを選んだ場合、名前はファイル名です（ファイル名に人名が含まれることがあります。例：「山田-ホテル確認.pdf」）。貼り付けたテキストやスクリーンショットには「貼り付け 1」「スクリーンショット 1」のような名前が付きます。全文には、貼り付けたテキスト、スクリーンショットから認識したテキスト、ファイル（テキスト、PDF、ウェブページ、メールファイルなど）から読み取ったテキストが含まれます。
• メールファイル：メールファイル（.eml）を選んだ場合、アプリが端末内でメールを解析し、差出人、宛先、件名、日付、本文テキストのみを送信します。その他のメールヘッダー（経由したメールサーバー、署名情報など）と添付ファイルは送信しません。
• 旅程名：入力した旅程名（ある場合）。旅程の日付は送信しません。
• 生成の設定：選んだシナリオパックの ID（例：「子ども連れ」「食事制限・アレルギー」）、旅程の言語（アプリの表示言語と同じ。例：簡体字中国語、日本語）。
• リクエスト情報：今回のリクエストのランダムな番号、旅程のランダムな番号、リクエストの作成日時、アプリ名とバージョン。
• 同意の記録：同意した説明のバージョン、同意日時、「18 歳以上」の確認。氏名などの身元情報は含みません。
• 不正利用防止のための技術情報：Apple App Attest の鍵 ID と今回のリクエストへの署名。リクエストがこの端末上の正規のアプリから送られ、改ざんされていないことを確認するために使います。初めて生成する前に一度だけ、この端末を登録するため、Apple が発行した App Attest の検証データ（この鍵の公開鍵を含む）も送信します。

このうち Anthropic に転送するのは資料（名前と全文）と旅程名だけです。その他の情報は当方のサーバーが確認に使うだけで、処理後に破棄し、保存しません（下記の「端末記録」を除きます）。

送信しないもの：写真やスクリーンショットそのもの、他の旅程、連絡先、位置情報、その他端末内の内容。

資料に含めないでください：旅券番号、カード番号、病歴・健康情報などの機微な情報。

経由先・提供先

1. 当方の生成サーバー：Cloudflare, Inc.（米国企業）のグローバルネットワーク上で動作し、通常はお客様に最も近いデータセンターで処理されるため、処理される国をあらかじめ特定できません。サーバーは転送と結果の確認だけを行います。
   • 資料をディスクやデータベースに書き込まず、ログにも記録しません。
   • リクエストがこの端末上の正規のアプリから送られたことを確認し、端末ごとの利用回数（現在、1台につき1日最大3回・1か月2回、新しくインストールしてから7日間は合計3回。「AIに質問」は旅行中は1日5件、それ以外の日は1日2件）を制限するため、「端末記録」を保存します。アプリをインストールするごとに 1 件あります。AI の機能を使うかどうかにかかわらず、アプリを初めて開いたときにサーバーに登録します。記録の名前は App Attest の鍵 ID を暗号学的ハッシュ（HMAC）にした値で、元の ID は保存しません。内容は、この端末の App Attest 鍵の公開鍵と署名カウンター、記録の作成日時、インストール元（TestFlight・App Store・開発版のいずれか。登録時にアプリが自身のインストールレシートから読み取ります）、当日・当月の生成回数です。資料の内容、旅程名、氏名、連絡先、IP アドレスは含みません。作成から 90 日後に記録全体を自動削除します（その後はアプリが改めて登録します）。
   • 「どこで知りましたか」：アプリを初めて開いたときに一度だけ、このアプリをどこで知ったか（App Storeの検索、小紅書、note・Zenn、X、友人の紹介、ほかの人が共有した旅程、その他）をお尋ねします。スキップもできます。送信するのは選んだ項目だけで、文章は送りません。サーバーは端末記録に「回答済み」と記録し（1回のインストールにつき1回のみ）、その項目をその日の合計回数に加えます。合計は「どの日に、どの版（個人版・公開版）で、どのインストール元（TestFlight・App Store・開発版）から、どの項目が、何回」だけで、端末記録の名前とは一緒に保存せず、2年間保存します。端末記録の「回答済み」は記録とともに90日後に削除します。
   • これらの端末記録から、全端末の合計利用回数（その日の生成回数や「AI に聞く」のメッセージ数など。インストール元別に分けることもあります）を日ごとに集計し、全体の利用状況の把握と費用管理に使います。集計結果に端末記録の名前は含まれず、アプリがこのために追加で何かを送信することはありません。
   • 全体の予算上限のため、全ユーザー合計の 1 日あたりの AI 費用も記録します。この数値はどの端末や内容とも結び付きません。
   • 動作ログ：端末の登録や生成のたびに 1 行記録します。内容は、結果とエラーコード（検証に失敗した場合は短い技術的な理由）、インストール元、使用したモデルと処理地域、資料の数と合計文字数、トークン数、費用、処理時間、AI の終了理由、生成した項目数とそのうち確認が必要な数、回数を払い戻したかどうか、記録日時です。資料のテキスト、ファイル名、旅程名、リクエストや旅程の番号、端末記録の値、IP アドレスは含みません。最長 7 日で削除されます。
   • 当方は IP アドレスを記録しません。不正利用を防ぐため（同じネットワークから1日に「AIに質問」40件・生成6回まで）、サーバーは「その日の日付＋IP アドレス」を暗号学的ハッシュ（HMAC）にした値と当日の回数と費用だけを保存し、IP アドレスそのものは保存しません。この値は毎日変わります。異常な利用に気づくため、端末記録の名前を短くしたものごとに当日の費用も記録します。これらは2日後に削除します。Cloudflare はリクエストをサーバーに届けるため、当方とのデータ処理契約に基づき IP アドレス等の接続情報を処理します。
2. Anthropic, PBC（米国）：同社の Claude モデルで資料を旅程に整理します。当方は Anthropic の商用 API を利用しており、同社の商用利用規約とデータ処理補遺が適用されます。
   • モデルは米国内のサーバーで実行されます。
   • Anthropic はこれらの内容をモデルの学習に使いません（Anthropic の説明：https://privacy.claude.com/en/articles/7996885 ）。
   • Anthropic は API の入力と出力を、受信または生成から 30 日以内に自動削除します。例外として、利用ポリシーの執行のためや法令で求められる場合は、より長く保存されることがあります。同社の自動システムで利用ポリシー違反と判定された入力と出力は最長 2 年、安全性の分類スコアは最長 7 年保存されます（Anthropic の説明、2026-07-01 更新：https://privacy.claude.com/en/articles/7996866 ）。当方は、保存期間をお客様自身が管理するサービス（Files API など）は使っていません。
   • Anthropic に送るのは、AI への固定の指示、資料（名前と全文）、旅程名だけで、端末記録の値など、お客様を識別できる ID は付けません。

4. 「AI に聞く」を使ったときに送信する情報

「AI に聞く」を初めて使う前に、アプリが説明を表示し、別途同意をお願いします。同意しない場合は何も送信されず、それ以外の機能はそのまま使えます。

メッセージごとに送信するもの

• お客様の質問と、貼り付けた原文（例：ホテルからのメッセージ）。
• 直近の会話：この会話の直近最大 10 往復の質問と回答のテキスト（AI の回答に含まれるカードもテキストにして含めます）。それより前のものは送信しません。
• 開いている旅程の内容：各日の日付とタイムゾーン、各項目（時刻、タイトル、場所、説明、お客様のメモ、予約済みかどうか）、宿泊先、ToDo、端末上で行った変更。ほかの旅程は、タイトル、日付、都市と、各日の項目のタイトルだけを送り、詳しい内容は送りません。
• 旅行者情報（設定で入力した場合）：パスポートの国籍、居住国、在留資格、ビザ。それぞれ短い説明だけで、旅券番号は送りません。
• 時刻の情報：端末上の今日の日付とタイムゾーン、現在時刻、どの画面から「AI に聞く」を開いたか。
• 写真（そのメッセージに写真を添付したときだけ）：縮小して送り、写真に含まれる付加情報（撮影場所や撮影日時など）は取り除きます。そのメッセージと一緒に一度だけ送ります。
• 位置情報（「現在地を送る」をタップしたときだけ）：約 1 km の精度（緯度・経度は小数点以下 2 桁まで）で、30 分より古いものは送りません。そのメッセージと一緒に一度だけ送ります。
• リクエスト情報と不正利用防止のための技術情報：メッセージのランダムな ID、アプリの名前とバージョン、同意の記録、「生成」と同じ Apple App Attest の署名（第 3 節）。

止めるもの：クレジットカード番号のように見える数字と、「パスポート」「旅券」などの語の後に番号があるもの、または一般的な旅券番号の形式に当てはまるものは、端末または当方のサーバーで止め、AI には渡しません。ただし、すべての書き方を見分けられるわけではないため、メッセージにカード番号や旅券番号を書かないでください。

Anthropic に渡すもの：上記のうち「リクエスト情報と不正利用防止のための技術情報」を除いたものと、AI への固定の指示。端末の識別子など、お客様を識別できる情報は付けません。

ウェブ検索：営業時間、規則、経路など変わりうることに答えるため、AI が Anthropic の提供するウェブ検索とウェブページ閲覧の機能を使うことがあります。検索語は AI がお客様の質問をもとに作り（地名、店名、日付を含むことがあります）、検索は Anthropic 側で行われます。当方のサーバーが受け取るのは検索結果だけです。検索語に旅程の全文、写真、座標は含めません（座標を検索語に入れないよう AI に指示しています）。

天気：AI が天気を調べるとき、当方のサーバーが都市名、またはお客様が送った位置（約 1 km の精度）を天気サービス Open-Meteo（OpenMeteo GmbH、スイス）に送り、都市の座標とその日の予報を取得します。それ以外は送りません。Open-Meteo は同社の規約により、サーバーログ（IP アドレスとリクエストの座標を含む）を最長 90 日保存することがあります。リクエストを送るのは当方のサーバーで、お客様の端末ではありません（Open-Meteo の規約：https://open-meteo.com/en/terms 、2026-11-02 確認）。

当方のサーバーが保存するもの

• 質問、会話、旅程、写真、位置情報は保存せず、ログにも記録しません。
• 端末ごとの回数と費用の上限のため、第 3 節の「端末記録」に、日ごと（UTC の日付）に次を記録します：その日の AI 費用の合計、送ったメッセージの数、ウェブを使った回数、旅行と関係ない質問や回答拒否と判定された回数。回答中のメッセージには一時的な記録（最長 30 分）があります。通信が切れて再送したときに二重に数えないよう、メッセージ ID の暗号学的ハッシュ値を 1 時間保存します。いずれも内容は含みません。日ごとの回数は 90 日保存します（統計と不正利用防止のため。旅行中の日とそれ以外の日に断られたメッセージの数も含みます）。端末記録は作成から 90 日後にまとめて削除されます。
• 運用ログ：メッセージごとに 1 行、結果、質問と会話の文字数、含めた過去の往復数、写真や位置情報が添付されたかどうか（写真や座標そのものは含みません）、AI が使った機能、カードの種類と枚数、トークン数、費用、所要時間、エラーコード、インストール元を記録します。テキストの内容、ID、IP アドレスは含みません。最長 7 日保存します。

「この回答を報告」のメール：AI の回答の下には、それぞれ「この回答を報告」があります。押すと端末のメールアプリが開き、宛先（zguo415@gmail.com）、件名、本文があらかじめ入力されます。本文には、その回答の原文の先頭 1,500 文字、回答番号、アプリのバージョンが入ります。お客様の質問、それまでの会話、写真、位置情報、旅程の内容は入りません。ただし、回答の原文自体に旅程の日付、場所、店名が含まれていることがあります。送信前に本文のどの部分も編集・削除でき、送信しないこともできます。送信された場合、できるだけ早く確認します。当方はそのメールとお客様のメールアドレスを受け取り、回答の問題点の確認、お客様への返信、「AI に聞く」の改善にのみ使います。対応完了後、最長 12 か月保存し、その後削除します。

会話を消去する：アプリで会話を消去すると、その会話と送った写真が端末から削除されます。当方のサーバーにはもともと保存されておらず、Anthropic に送られた分は第 3 節の期間で削除されます。

5. 利用目的

• 資料をもとに旅程を生成し、結果が原文と一致しているか確認するため。「AI に聞く」でのご質問に回答するため。
• 不正利用の防止と費用管理のため（正規のアプリからのリクエストかどうかの確認、端末ごとの回数制限、全体の予算上限）。
• 障害の調査のため。
• メールでいただいた報告やお問い合わせに対応し、返信し、生成を改善するため。

広告、マーケティング、プロファイリングには使わず、誰にも販売しません。

6. 外国（米国・スイス）にある第三者への提供について

個人情報保護委員会の「外国にある第三者への提供編」ガイドラインに沿って、提供先の国名、その国の個人情報保護制度、提供先が講じる措置をお知らせします。
個人情報の保護に関する法律第 28 条に基づき、外国にある第三者へ個人データを提供する前にご本人の同意をいただき、次の情報をお知らせします。

• 国名：米国（Anthropic の処理地）。「AI に聞く」で天気を調べるときはスイス（Open-Meteo）。Cloudflare（米国の企業）のサーバーは世界各地のデータセンターにあり、リクエストはお客様に最も近い拠点で処理されます。その拠点はお客様がいる場所や通信の状況で毎回決まるため、国をあらかじめ特定できません。参考情報として、当方は米国法人の Cloudflare, Inc. とデータ処理契約を結んでいます。
• 米国の個人情報保護制度：連邦レベルでは包括的な個人情報保護法はなく、分野ごとの法律（医療、金融、通信など）があります。州によっては包括的な法律があり、例えばカリフォルニア州には消費者プライバシー法（CCPA）があります。米国は 2012 年に APEC の CBPR システムに参加しています。詳しくは個人情報保護委員会の「外国制度（アメリカ合衆国）」をご覧ください：https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/
• スイスの個人情報保護制度：スイスには連邦データ保護法（FADP）があり、連邦データ保護・情報コミッショナー（FDPIC）が監督しています。Open-Meteo に送るのは都市名、または約 1 km 精度の座標だけです。
• 提供先が講じる措置：Anthropic と Cloudflare はいずれも当方とデータ処理契約を結び、処理者として当方の指示に従って取り扱い、技術的・組織的な安全管理措置を講じています。Anthropic はこれらの内容を学習に使うことができず、第 3 節の期間で削除します。Open-Meteo に送るのは都市名、または約 1 km 精度の座標だけで、送るのは当方のサーバーです（お客様の端末からではありません）。Open-Meteo は同社の規約に従い、サーバーのログ（IP アドレスとリクエストの座標を含む）を最長 90 日保存することがあります。いずれの通信も暗号化（HTTPS）されています。Open-Meteo と当方はデータ処理契約を結んでいません。同社が日本の個人情報保護法の求める措置に相当する措置を講じているかどうかは、当方では確認できません。

7. 同意の撤回・削除

• 同意の撤回：設定 › AI 整理 › 同意を撤回（「AI に聞く」の同意は 設定 › 「AI に聞く」の同意を撤回）。撤回後は資料もメッセージも一切送信しません。再び使うには改めて同意が必要です。
• 送信済みの資料とメッセージ：当方のサーバーには保存されていないため削除の対象がありません。Anthropic は第 3 節の期間で自動削除します。現時点では、特定の回の資料を Anthropic に早期削除させる手段はありません。
• 端末内のデータ：アプリ内で旅程を削除するか、アプリを削除してください。iCloud Drive フォルダ内のファイルは「ファイル」アプリで削除してください。端末内の利用統計は「設定 › 端末内の利用統計」で消去できます。チケットやファイルを削除するには、「チケットとファイル」で長押し › 削除。端末内と iCloud フォルダ内のバックアップが一緒に削除されます。
• データの書き出し：「設定 › すべてのデータを書き出す」で、すべての旅程（報告した問題を含む）、旅程の一覧、端末内の利用統計を 1 つの .zip にまとめます。保存や共有はお客様ご自身が行います。
• 端末記録：90 日以内に自動削除します。お客様を識別できる情報を含まないため、どの記録がお客様のものかを当方は確認できません。
• 当方に送られたメール：メールで削除をご請求いただけます。
• その他のご請求：ご本人に関する情報の開示、訂正、削除、利用停止、第三者提供の停止、利用目的の通知をzguo415@gmail.comまでご請求いただけます。合理的な期間内に無料で対応します。

8. 安全管理

• 端末とサーバーの間、サーバーと Anthropic・Open-Meteo の間はいずれも暗号化通信（HTTPS）を使います。
• AI サービスの API キーはサーバーにのみ保管し、アプリには含めません。
• Apple App Attest により、正規のアプリからのリクエストであることを確認します。

9. 未成年の方

AI の機能（生成と「AI に聞く」）は 18 歳以上の方のみご利用いただけます。本アプリは 13 歳未満の子どもを対象としておらず、子どもの個人情報を意図的に収集しません。

10. 変更

本ポリシーを変更する場合は、上記の施行日を更新します。送信する内容、提供先、保存期間が変わる場合は、次回の生成または「AI に聞く」の前に改めて同意をお願いします。

11. お問い合わせ

• 運営者：Ziyu Guo（日本、個人開発者）
• メール：zguo415@gmail.com
• 住所：個人情報の保護に関する法律に基づき、ご請求があれば遅滞なくお知らせします。

本ポリシーには中国語版、日本語版、英語版があります。