はじめに / データ管理者
Odyssey Journal（以下「当方」または「本アプリ」）へようこそ。当方はお客様のプライバシーを尊重し、トルコ個人データ保護法（KVKK — 法律第6698号）、一般データ保護規則（GDPR — EU 2016/679）、およびカリフォルニア州消費者プライバシー法（CCPA）を完全に遵守して個人データを保護することをお約束します。
本プライバシーポリシーは、お客様が当方のモバイルアプリおよび odysseyjournal.app の関連ウェブサービスをご利用になる際に、当方が情報をどのように収集・利用・保存・処理・保護するかを説明するものです。
- データ管理者: Arif Gültaş
- データ保護・プライバシー窓口: privacy@odysseyjournal.app
- 一般サポート: support@odysseyjournal.app
- 公式サイト: odysseyjournal.app
本プライバシーポリシーはお客様への情報提供を目的とするものであり、契約ではありません。お客様に同意を求めるものでもありません。お客様の同意に基づいて処理を行う場合は、本アプリ内で別途同意をお願いし（第4条参照）、お客様はいつでもその同意を撤回できます。
収集する情報
当方は、本アプリおよびウェブサイトを通じて電子的な方法で個人データを収集します。その一部はお客様が入力した際にお客様から直接、一部はお客様がこれらを利用する間に自動的に収集されます（第2条B参照）。
A. お客様が任意に提供する情報
- アカウント情報とプロフィール: メールアドレス、パスワード（Supabase Auth によりソルト付きで安全にハッシュ化されます）、ユーザー名、氏名、プロフィール文、アバター画像、任意のウェブサイトのリンク、アプリの表示言語、通知の設定。
- 自宅の位置（任意）: 初回ログイン後に表示される案内に同意した場合、自宅の座標・都市・国がアカウントに保存され、お客様本人しか読み取れません。これは搭乗券に表示する距離の計算にのみ使われます。ほかのユーザーがこれを目にすることはなく、見えるのはその距離の数値だけです。その数値は、ほかのユーザー向けには自宅の位置のおおよその値（丸めた値）から計算されます。案内はスキップできます。
- ユーザー生成コンテンツ（UGC）: 旅の投稿、ストーリー、写真とそのキャプション、カテゴリー、投稿とともに記録される天気、コメント、ブックマーク、コレクション、リアクション（いいね）、旅行日、および任意の場所。投稿は公開されます: 本アプリにログインしているすべてのユーザーが、場所とともに投稿を閲覧できます。コレクションは非公開に設定できます。
- ソーシャル活動: お客様がフォローしているアカウントとお客様をフォローしているアカウント、ブロックしたユーザー、送信した報告（理由、追記したテキスト、報告の対象となるアカウントを含む）、および最近の検索を表示するためにアカウントに保存される検索履歴。
- 直接のやり取り: 旅人同士のアプリ内メッセージ（「手紙」）、メッセージのリクエストとその承認、および当方メールアドレス宛のサポート連絡。
B. 自動的に収集される技術データ
- 端末情報: OS とそのバージョン、アプリのバージョン、および（通知を許可した場合のみ）端末のプッシュ通知トークン。クラッシュレポートには、Sentry が自動的に記録する端末のモデルも含まれます。
- 診断・クラッシュデータ: Sentry を通じて収集されるクラッシュログ、スタックトレース、および一部のセッションから抽出したパフォーマンス計測値。メールアドレスはレポートが端末を離れる前に伏せ字にされ、レポートはお客様の氏名ではなくアカウント ID（ランダムな識別子）に紐づきます。
- ネットワーク・セッションデータ: アプリが接続するすべてのサーバーが必然的に受け取る IP アドレス、およびリクエストの時刻。インフラ提供者である Supabase は、これらを自社のサービスログに最長7日間保持します。
- 操作記録（トルコ法律第5651号）: 投稿、コメント、メッセージ、他の人が見られるコレクション、またはユーザー名・名前・自己紹介・アバターを作成、編集または削除したとき、当方はアカウント ID、IP アドレス、日時、操作の種類（作成・編集・削除）、対象の項目、およびリクエストとともに送信されるアプリのバージョンと OS（ユーザーエージェント）を記録します。内容そのものはこの記録に保存されません。保存期間は第8条で説明します。
C. 位置情報
- 正確な位置情報（GPS）: 本アプリを開いているあいだ、しかも位置情報を必要とする機能を使うときにだけ読み取られます。具体的には、投稿に現在地を付けるとき、自宅の位置を設定するとき、地図に自分の現在地を表示するときです。当方はバックグラウンドや継続的にお客様の位置を追跡することは決してありません。位置情報の許可は端末の設定からいつでも取り消せ、代わりに地名で場所を検索できます。
- 写真のメタデータ: 写真はアップロード前に JPEG として再エンコードされ、カメラが記録した GPS 位置を含む埋め込みメタデータが削除されます。
インフラと Supabase のデータ構成
Odyssey Journal は、中核となるクラウドバックエンド、データベース、認証基盤、メディアストレージとして Supabase（supabase.com）を利用しています。
Supabase のセキュリティ・保存に関する仕様:
- サーバーの所在: 主要な本番データベースとメディアストレージは、Supabase の基盤（AWS EU リージョン — ドイツ・フランクフルト）でホストされています。
- 通信の暗号化: モバイルアプリ、ウェブクライアント、Supabase サーバー間のすべての通信は TLS 1.3 / HTTPS で暗号化されます。
- 保存時の暗号化: すべてのデータベーステーブル、ユーザーレコード、アップロードされたメディアファイルは、業界標準の AES-256 により保存時に暗号化されます。
- 行レベルセキュリティ（RLS）: 厳格できめ細かなデータベースポリシーによりアクセスを分離しています。ユーザーは、検証済みの暗号学的認証トークン（JWT）で許可されたデータのみを読み取り・追加・更新・削除できます。
- セッションの保存: ログインセッションは、端末上の本アプリ専用の保存領域（AsyncStorage）に保存されます。この領域は OS によってほかのアプリから切り離されています。ログアウト時またはアカウント削除時に消去されます。
- 自動バックアップ: データベースは Supabase Pro プランで1日1回自動的にバックアップされ、各バックアップは7日間保持されます。
情報の利用目的と法的根拠
当方は、KVKK 第5条・第6条および GDPR 第6条に定める適法な根拠に基づき個人データを処理します。
| 目的 | データの種類 | 法的根拠（KVKK および GDPR） |
|---|---|---|
| アカウントの作成と管理 | メール、ユーザー名、パスワード | 契約の履行 |
| 旅の投稿・写真・コメントの公開 | ユーザーコンテンツ、写真、位置 | 契約の履行および明示的同意 |
| 投稿とコメントの自動安全チェック（OpenAI） | 投稿のテキストと写真、コメントのテキスト | 明示的な同意 |
| 投稿への場所の付与と地図上での表示 | GPS 座標（投稿ごと） | 明示的同意 |
| 搭乗券に表示する距離の計算 | 自宅の位置 | 明示的同意 |
| 旅人同士の非公開メッセージ | メッセージ、メッセージのリクエスト | 契約の履行 |
| フォロー、検索履歴、報告、ブロック | ソーシャル活動、報告の内容 | 契約の履行および正当な利益 |
| プッシュ通知の送信（いいね、コメント、フォロー） | プッシュ通知トークン、優先言語 | 明示的同意 |
| アプリの安定性、クラッシュの分析、不具合修正 | 仮名化されたクラッシュログ（Sentry） | 正当な利益 |
| スパム・不正利用・セキュリティ侵害の防止 | IP、アカウント識別子 | 正当な利益および法的義務 |
| 利用者のコンテンツを保管する事業者にトルコ法律第5651号が求める通信記録の保存 | 操作記録：アカウント ID、IP、日時、操作の種類、項目 ID、ユーザーエージェント | 法的義務 |
同意に基づく処理については、いつでも同意を撤回できます。本アプリの設定で AI コンテンツチェックを、端末の設定で位置情報と通知の許可をオフにするか、privacy@odysseyjournal.app までご連絡ください。同意の撤回は、撤回前に行われた処理には影響しません。
第三者の下請処理者
当方は、厳格なデータセキュリティとプライバシー基準を維持する信頼できる第三者サービス提供者とのみ提携しています。
- Supabase, Inc.: クラウドデータベース、ユーザー認証、写真のオブジェクトストレージ。（サーバー: AWS フランクフルト、ドイツ — EU）
- Sentry (Functional Software, Inc.): エラー監視とクラッシュ診断。Sentry の EU リージョン（ドイツ・フランクフルト）でホストされています。メールアドレスは端末上で伏せ字にされ、レポートにはアカウント ID、端末とアプリの情報、エラーの技術的な状況が含まれます。
- Google LLC (Google Maps Platform): Android 版アプリの地図タイル。読み込み時に、表示中の地図の範囲とお客様の IP アドレスが送信されます。インタラクティブな地図を利用できない場合、プロフィールには代わりに Google の静止地図画像が表示され、その取得時に投稿の座標が送信されます。
- Google LLC (Google Workspace): カスタマーサポートとプライバシーに関する問い合わせのための法人向けメールホスティング。
- Expo / 650 Industries, Inc.: アプリケーションフレームワークおよびプッシュ通知ゲートウェイ（Expo Push Service）。通知を送る際、当方のサーバーは端末のプッシュトークン、通知の文面（いいね・コメント・フォローをした人の表示名を含む）、関連する項目の ID を Expo に送信します。Expo は Android では Firebase Cloud Messaging（Google LLC）、iPhone では Apple Push Notification service（Apple Inc.） を通じて通知を届けます。
- Open-Meteo（スイス・チューリッヒ）: 投稿を作成した時点での、その場所の現在の天候。アプリはその投稿の座標のみを送信し、アカウントの識別子・氏名・メールアドレスは添付しません。
- Wikimedia Foundation, Inc.（Wikidata）: アプリの12言語での都市名と国名。アプリは照会する地名のみを送信し、返された名前は再度照会しなくて済むよう共有テーブルに保存されます。
- OpenAI, L.L.C.: コンテンツの自動モデレーション。お客様の許可を得たうえで、投稿のテキストと写真、およびコメントのテキストは、コミュニティガイドラインに沿っているかを確認するため OpenAI の Moderation API に送信されます。テキストと写真は投稿が公開される前に確認され、問題ありと判定されたコンテンツは投稿されません。確認が一時的に利用できない場合、コンテンツは確認なしで公開されることがあり、その場合も報告と審査の対象となります。OpenAI は API 経由で送信されたデータをモデルのトレーニングに使用せず、不正利用の監視のため最長 30 日間保持します。この許可は本アプリの 設定 > 法的情報とコミュニティ > AI によるコンテンツチェック で付与・撤回できます。許可がなくても閲覧はできますが、投稿とコメントはできません。コンテンツが誤って判定されたと思われる場合は、support@odysseyjournal.app までご連絡ください。担当者が確認します。
- Unsplash, Inc.: アプリ内の代替画像として用いるストック写真（探索画面や表紙のないコレクションなど）。読み込みにより IP アドレスが送信されます。
- Apple Inc.: iPhone では地図が Apple マップで表示され、位置に対応する地名は端末に内蔵されたジオコーディング機能で取得されます。いずれも該当する座標とお客様の IP アドレスを受け取ります。投稿の地図にある「Appleマップ」ボタンは、その投稿の座標をマップアプリに渡します。
当方は、お客様の個人データをデータブローカー、広告主、その他いかなる営利目的の第三者にも販売・貸与・交換いたしません。
ユーザーコンテンツと第三者のプライバシー（利用者の責任）
データの国外移転
お客様のデータは、第5条に記載された目的のためだけに、同条に記載されたデータに限り、欧州連合（ドイツ・フランクフルト：Supabase、Sentry）、米国（Google、Expo、OpenAI、Apple、Wikimedia、Unsplash）およびスイス（Open-Meteo）の委託先によって処理されます。
- KVKK（第9条）に基づく扱い：トルコ個人データ保護委員会はまだいずれの国についても十分性認定を行っていないため、これらの移転には第9条に定める適切な保護措置、すなわち受領者との間で締結され個人データ保護庁に届け出られる標準契約が必要です。本アプリを利用することは国外移転に同意したことを意味せず、当方はサービスの提供をそのような同意の条件としません。特定の受領者にどの保護措置が適用されるかは、privacy@odysseyjournal.app にお問い合わせください。
- GDPR（第5章）に基づく扱い：EEA 域外の委託先への移転は、欧州委員会の標準契約条項（SCC）および十分性認定に基づいて行われます。
データの保存期間と削除
- 有効なアカウント: アカウントが有効である限り、当方はお客様の個人データおよび旅の記録を保存します。
- アカウントの削除: アプリ内の
設定 > アカウント > アカウント削除から、アカウントと関連するすべての投稿、写真、コメント、メッセージを完全に削除できます。 - 消去の流れ: アカウントを削除すると、プロフィール、投稿、コメント、いいね、コレクション、フォロー、ブロック、報告、検索履歴、通知トークン、および送受信したメッセージが当方のデータベースから直ちに消去され、続いて本アプリがストレージから写真を削除します。写しは毎日のバックアップに最長7日間、バックアップの期限が切れるまで残ります。法令上保存が義務づけられた記録は、適用される時効期間に限り保存します。消去される内容と保存される少数の記録は odysseyjournal.app/ja/delete-account に記載しています。
- 操作記録: 利用者が公開するコンテンツを保管する事業者として、当方はトルコ法律第5651号により、第2条Bに記載した操作記録を少なくとも1年間保存する義務を負います。各記録は対象の操作から1年間保存し、その後自動的に削除します。その間にアカウントを削除した場合も同様です。この記録は本アプリには表示されず、当方のみがアクセスでき、法令に基づき請求する権限を持つ当局にのみ開示します。
- 会話の削除: 「手紙」で会話を削除しても、お客様自身の受信箱から非表示になるだけです。どちらかがアカウントを削除するまで、メッセージは相手の旅人からは引き続き閲覧できます。
トルコ法に基づく権利（KVKK 第11条）
トルコ共和国個人データ保護法（法律第6698号、「KVKK」）第11条に基づき、データ主体であるお客様には次の権利があります。
- 個人データが処理されているかを知る権利
- 処理されている場合に、それに関する情報を求める権利
- 処理の目的、および目的に沿って利用されているかを知る権利
- 国内外を問わず、データの移転先である第三者を知る権利
- 個人データが不完全または不正確な場合に、その訂正を求める権利
- KVKK 第7条に定める要件のもとで、データの削除または廃棄を求める権利
- 訂正・削除・廃棄が、データの移転先である第三者へ通知されるよう求める権利
- もっぱら自動化された手段による分析の結果、お客様に不利な結果が生じることに異議を述べる権利
- 違法な処理により損害を被った場合に、その賠償を求める権利
請求の方法：「データ管理者への申請の手続および原則に関する告示」に従い、書面、登録電子メール（KEP）、安全な電子署名またはモバイル署名により、またはアカウントに登録されたメールアドレスから privacy@odysseyjournal.app へのメールにより請求できます。氏名、トルコ国民識別番号（トルコ国籍でない場合は国籍とパスポートまたは身分証明書の番号）、住所、連絡方法および請求内容をご記載ください。当方は請求を無料で、できる限り速やかに、遅くとも30日以内に処理します。回答に追加の費用が生じる場合に限り、委員会が定める料金を請求することがあります。請求が拒否された場合、当方の回答が不十分と考える場合、または期限内に回答がない場合は、当方の回答を知った日から30日以内、いかなる場合も請求日から60日以内に、個人データ保護委員会に苦情を申し立てることができます（KVKK 第14条）。
GDPR に基づく権利（EEA および英国のご利用者）
欧州経済領域（EEA）または英国にお住まいの場合、GDPR に基づき次の権利が認められます。
- アクセス権（第15条）
- 訂正の権利（第16条）
- 消去の権利/忘れられる権利（第17条）
- 処理の制限を求める権利（第18条）
- データポータビリティの権利（第20条）
- 異議を述べる権利（第21条）
- 同意を撤回する権利（第7条第3項）：いつでも撤回でき、撤回前に行われた処理には影響しません
- 自動処理のみに基づく決定の対象とされない権利（第22条）：モデレーションの判断を人に見直してもらう方法は第5条第8号に記載しています
- 所在地のデータ保護監督機関に苦情を申し立てる権利
これらの権利を行使するには privacy@odysseyjournal.app までご連絡ください。
カリフォルニア州のプライバシー権（CCPA / CPRA）
カリフォルニア州の住民は、収集された個人情報の開示を請求する権利、個人情報の削除を請求する権利、個人情報の販売を拒否する権利（当方は個人情報を販売していません）、およびこれらの権利を行使したことを理由に不利益な取り扱いを受けない権利を有します。お問い合わせは privacy@odysseyjournal.app までお送りください。当方は、コンテキスト横断型の行動ターゲティング広告のために個人情報を販売または共有することはなく、正確な位置情報はお客様が利用を選んだ機能のためにのみ使用します。
子どものプライバシー
Odyssey Journal は成人のみを対象としています。18歳未満、またはお住まいの国の成年年齢がそれより高い場合はその年齢未満の方を対象としておらず、また未成年者向けに提供されるものでもありません。登録時に、お客様は18歳以上であることを別途確認します。また、利用規約に同意することにより、この年齢要件を満たしていることも確認したものとします。当方が子どもから個人データを故意に収集することはありません。子どもが個人データを提供したことが判明した場合、当方は直ちに当該データをサーバーから削除します。お子様のデータが収集されたと思われる保護者の方は privacy@odysseyjournal.app までご連絡ください。
Cookie とローカルストレージ
Odyssey Journal は、モバイルアプリでも odysseyjournal.app でも、広告・解析・プロファイリング・サイト横断トラッキングのための Cookie を一切使用していません。第三者の広告ネットワークも行動分析スクリプトも利用していないため、Cookie 同意バナーは表示されません。
本サイトが使用するブラウザー保存領域は、必要不可欠なものに限られ、お客様の端末内にとどまります。
oj-theme— 明るい配色（パーチメント）と暗い配色（セピアナイト）のどちらを選んだかを記憶します。
この値はブラウザーの localStorage に書き込まれ、当方のサーバーや第三者へ送信されることは一切なく、ブラウザーのサイトデータを消去すればいつでも削除できます。
モバイルアプリ内では、次の情報が端末上の本アプリ専用の保存領域に保管され、ほかのアプリと共有されることはありません。
- ログインセッション（第3条）
- 言語とテーマの選択、および紹介画面を表示済みかどうか
- この端末で AI によるコンテンツチェックを許可したかどうか（第5条）
- 自宅の位置をすでに尋ねたかどうか
- 地名のキャッシュと、アプリをすばやく開くために最長24時間保持され、ログアウト時に消去される最近読み込んだコンテンツの写し
本プライバシーポリシーの変更
当方は、サービス、技術または法的義務の変更を反映するため、本プライバシーポリシーを随時更新することがあります。重要な変更を行う場合は、メールでお知らせするとともに、本書冒頭の「最終更新」の日付を更新します。変更にお客様の同意が必要な場合は、本アプリ内で改めて同意をお願いします。
お問い合わせ
本プライバシーポリシーまたはお客様の個人データに関するご質問・ご要望は、次の窓口までお寄せください。
- プライバシー・KVKK に関する請求: privacy@odysseyjournal.app
- カスタマーサポート: support@odysseyjournal.app
- 一般のお問い合わせ: hello@odysseyjournal.app
- 郵送およびデジタルでの確認先: Arif Gültaş、トルコ・イスタンブール
- ウェブサイト: odysseyjournal.app/privacy-policy