はじめに / データ管理者
Odyssey Journal（以下「当社」または「本アプリ」）へようこそ。当社はお客様のプライバシーを尊重し、トルコ個人データ保護法（KVKK — 法律第6698号）、一般データ保護規則（GDPR — EU 2016/679）、およびカリフォルニア州消費者プライバシー法（CCPA）を完全に遵守して個人データを保護することをお約束します。
本プライバシーポリシーは、お客様が当社のモバイルアプリおよび odysseyjournal.app の関連ウェブサービスをご利用になる際に、当社が情報をどのように収集・利用・保存・処理・保護するかを説明するものです。
- データ管理者: Odyssey Journal / Arif Gültaş
- データ保護・プライバシー窓口: privacy@odysseyjournal.app
- 一般サポート: support@odysseyjournal.app
- 公式サイト: odysseyjournal.app
アカウントを作成し、Odyssey Journal をダウンロードまたは利用することにより、お客様は本プライバシーポリシーおよび当社の利用規約に記載された取り扱いを読み、理解し、同意したものとみなされます。
収集する情報
A. お客様が任意に提供する情報
- アカウント情報: メールアドレス、パスワード（Supabase Auth によりソルト付きで安全にハッシュ化されます）、ユーザー名、氏名、プロフィール文、アバター画像。
- ユーザー生成コンテンツ（UGC）: 旅の投稿、ストーリー、写真、コメント、ブックマーク、コレクション、リアクション（いいね）、旅行日、および任意の地名・目的地。
- 直接のやり取り: 旅人同士のアプリ内ダイレクトメッセージ、および当社メールアドレス宛のサポート連絡。
B. 自動的に収集される技術データ
- 端末情報: 端末のモデル、メーカー、OS とそのバージョン、端末固有の識別子、優先言語、タイムゾーン。
- 診断・クラッシュデータ: Sentry を通じて収集されるクラッシュログ、スタックトレース、アプリのパフォーマンス指標（個人を特定できる情報 — PII — は厳格に除去されます）。
- ネットワーク・セッションデータ: IP アドレス（可能な限り匿名化・除去します）、接続状態、アプリ起動時のタイムスタンプ。
C. 位置情報
- 正確な位置情報（GPS）: 旅の投稿に現在地のタグを付けることをお客様が明示的に選択した場合にのみ要求されます。当社はバックグラウンドや継続的にお客様の位置を追跡することは決してありません。位置情報の許可は端末の設定からいつでも取り消せます。
インフラと Supabase のデータ構成
Odyssey Journal は、中核となるクラウドバックエンド、データベース、認証基盤、メディアストレージとして Supabase（supabase.com）を利用しています。
Supabase のセキュリティ・保存に関する仕様:
- サーバーの所在: 主要な本番データベースとメディアストレージは、Supabase のエンタープライズ基盤（AWS EU リージョン — ドイツ・フランクフルト）でホストされています。
- 通信の暗号化: モバイルアプリ、ウェブクライアント、Supabase サーバー間のすべての通信は TLS 1.3 / HTTPS で暗号化されます。
- 保存時の暗号化: すべてのデータベーステーブル、ユーザーレコード、アップロードされたメディアファイルは、業界標準の AES-256 により保存時に暗号化されます。
- 行レベルセキュリティ（RLS）: 厳格できめ細かなデータベースポリシーによりアクセスを分離しています。ユーザーは、検証済みの暗号学的認証トークン（JWT）で許可されたデータのみを読み取り・追加・更新・削除できます。
- トークンの保護: 認証トークンは、安全なネイティブ保存機構（Expo Secure/Async Storage を介した iOS Keychain および Android Keystore / EncryptedSharedPreferences）を用いて端末内に保存されます。
- 自動バックアップ: バックアップは Supabase Pro プランで自動的に取得され、データ破損を防ぐためポイントインタイムリカバリに対応しています。
情報の利用目的と法的根拠
当社は、KVKK 第5条・第6条および GDPR 第6条に定める適法な根拠に基づき個人データを処理します。
| 目的 | データの種類 | 法的根拠（KVKK および GDPR） |
|---|---|---|
| アカウントの作成と管理 | メール、ユーザー名、パスワード | 契約の履行 |
| 旅の投稿・写真・コメントの公開 | ユーザーコンテンツ、写真、位置 | 契約の履行および明示的同意 |
| インタラクティブマップと近隣目的地のタグ付け | GPS 座標（投稿ごと） | 明示的同意 |
| プッシュ通知の送信（いいね、フォロー、チャット） | プッシュ通知トークン | 明示的同意および正当な利益 |
| アプリの安定性、クラッシュの分析、不具合修正 | 匿名化されたクラッシュログ（Sentry） | 正当な利益 |
| スパム・不正利用・セキュリティ侵害の防止 | IP、アカウント識別子 | 法的義務および安全確保 |
第三者の下請処理者
当社は、厳格なデータセキュリティとプライバシー基準を維持する信頼できる第三者サービス提供者とのみ提携しています。
- Supabase, Inc.: クラウドデータベース、ユーザー認証、写真のオブジェクトストレージ。（サーバー: AWS フランクフルト、ドイツ — EU）
- Sentry (Functional Software, Inc.): リアルタイムのエラー監視とクラッシュ診断。メールアドレス、ユーザー名、機微なペイロードが送信されないよう、クライアント側での PII 除去を有効にしています。
- Google LLC (Google Maps Platform): 逆ジオコーディングおよびインタラクティブな地図タイル。
- Google LLC (Google Workspace): カスタマーサポートとプライバシーに関する問い合わせのための法人向けメールホスティング。
- Expo / 650 Industries, Inc.: アプリケーションフレームワークおよびプッシュ通知ゲートウェイ（Expo Push Service）。
当社は、お客様の個人データをデータブローカー、広告主、その他いかなる営利目的の第三者にも販売・貸与・交換いたしません。
ユーザーコンテンツと第三者のプライバシー（利用者の責任）
データの国外移転
世界中で快適にご利用いただくため、お客様のデータは、認証を受けた下請処理者（Supabase、Sentry、Google、Expo）により、欧州連合（ドイツ・フランクフルト）および米国に所在する安全なクラウド基盤で処理されます。
- KVKK（第9条）に基づき: アカウントを登録し Odyssey Journal を利用することにより、お客様は、サービス契約の履行のために、アカウントデータ、旅の投稿、技術的メタデータを当社の安全な国際クラウドサーバーへ移転することに明示的に同意するものとします。
- GDPR（第5章）に基づき: EEA 域外の下請処理者への移転は、欧州委員会の標準契約条項（SCC）および十分性認定により保護されます。
データの保存期間と削除
- 有効なアカウント: アカウントが有効である限り、当社はお客様の個人データおよび旅の記録を保存します。
- アカウントの削除: アプリ内の
設定 > アカウント > アカウント削除から、アカウントと関連するすべての投稿、写真、コメント、メッセージを完全に削除できます。 - 消去までの期間: アカウント削除後、プロフィールと投稿は直ちに公開範囲から取り除かれ、30日以内に当社の Supabase データベースおよびストレージから完全に消去されます。ただし、適用される法令により保存が義務づけられる場合を除きます。
トルコ法に基づく権利（KVKK 第11条）
トルコ共和国個人データ保護法（法律第6698号、「KVKK」）第11条に基づき、データ主体であるお客様には次の権利があります。
- 個人データが処理されているかを知る権利
- 処理されている場合に、それに関する情報を求める権利
- 処理の目的、および目的に沿って利用されているかを知る権利
- 国内外を問わず、データの移転先である第三者を知る権利
- 個人データが不完全または不正確な場合に、その訂正を求める権利
- KVKK 第7条に定める要件のもとで、データの削除または廃棄を求める権利
- 訂正・削除・廃棄が、データの移転先である第三者へ通知されるよう求める権利
- もっぱら自動化された手段による分析の結果、お客様に不利な結果が生じることに異議を述べる権利
- 違法な処理により損害を被った場合に、その賠償を求める権利
申請方法: KVKK に基づくご請求は、本人確認ができる情報を添えて privacy@odysseyjournal.app までメールでお送りください。ご請求は、その内容に応じて遅くとも30日以内に無償で対応いたします。
GDPR に基づく権利（EEA および英国のご利用者）
欧州経済領域（EEA）または英国にお住まいの場合、GDPR に基づき次の権利が認められます。
- アクセス権（第15条）
- 訂正の権利（第16条）
- 消去の権利/忘れられる権利（第17条）
- 処理の制限を求める権利（第18条）
- データポータビリティの権利（第20条）
- 異議を述べる権利（第21条）
- 所在地のデータ保護監督機関に苦情を申し立てる権利
これらの権利を行使するには privacy@odysseyjournal.app までご連絡ください。
カリフォルニア州のプライバシー権（CCPA / CPRA）
カリフォルニア州の住民は、収集された個人情報の開示を請求する権利、個人情報の削除を請求する権利、個人情報の販売を拒否する権利（当社は個人情報を販売していません）、およびこれらの権利を行使したことを理由に不利益な取り扱いを受けない権利を有します。お問い合わせは privacy@odysseyjournal.app までお送りください。
子どものプライバシー
Odyssey Journal は13歳未満（一部の法域では16歳未満）の子どもを対象としておらず、また子ども向けに提供されるものでもありません。当社が子どもから個人データを故意に収集することはありません。子どもが個人データを提供したことが判明した場合、当社は直ちに当該データをサーバーから削除します。お子様のデータが収集されたと思われる保護者の方は privacy@odysseyjournal.app までご連絡ください。
Cookie とローカルストレージ
Odyssey Journal は、モバイルアプリでも odysseyjournal.app でも、広告・解析・プロファイリング・サイト横断トラッキングのための Cookie を一切使用していません。第三者の広告ネットワークも行動分析スクリプトも利用していないため、Cookie 同意バナーは表示されません。
本サイトが使用するブラウザー保存領域は、必要不可欠なものに限られ、お客様の端末内にとどまります。
oj-theme— 明るい配色（パーチメント）と暗い配色（セピアナイト）のどちらを選んだかを記憶します。oj-lang— お客様が選んだサイトの表示言語を記憶します。
これらの値はブラウザーの localStorage に書き込まれ、当社のサーバーや第三者へ送信されることは一切なく、ブラウザーのサイトデータを消去すればいつでも削除できます。
モバイルアプリ内では、第3項で説明したとおり、認証セッショントークンが安全なネイティブ保存領域（iOS Keychain / Android Keystore）に保存されます。これはログイン状態を維持するために必要なもので、ログアウト時またはアカウント削除時に消去されます。
本プライバシーポリシーの変更
当社は、サービス、技術または法的義務の変更を反映するため、本プライバシーポリシーを随時更新することがあります。重要な変更を行う場合は、アプリ内通知でお知らせするとともに、本書冒頭の「最終更新」の日付を更新します。通知後も本アプリのご利用を継続された場合、改訂後のポリシーに同意したものとみなされます。
お問い合わせ
本プライバシーポリシーまたはお客様の個人データに関するご質問・ご要望は、次の窓口までお寄せください。
- プライバシー・KVKK に関する請求: privacy@odysseyjournal.app
- カスタマーサポート: support@odysseyjournal.app
- 一般のお問い合わせ: hello@odysseyjournal.app
- 郵送およびデジタルでの確認先: Gultas Software / Arif Gültaş、トルコ・イスタンブール
- ウェブサイト: odysseyjournal.app/privacy-policy
Odyssey Journal をダウンロードまたは利用することにより、お客様は本プライバシーポリシーに同意したものとみなされます。