Budgie Budgieプライバシーポリシー
Budgieは、使ったお金を記録して予算と照らし合わせるための小さなアプリです。ほとんどの処理は端末の中だけで完結します。このポリシーでは、何が、いつ、なぜ端末の外に出るのかを、わかりやすく説明します。
要点
- サインインしていなければ、あなたに関する情報は端末の外に出ません。購入記録、カテゴリ、予算、プロジェクト、メモ、レシート写真は端末に残ります。送るのは、個人データを含まない為替レートの問い合わせと、オフにしない限り、あなたが誰かわからない匿名の利用統計だけです。
- サインインは任意です。必要なのは、AIレシート読み取り、AI自動分類、デバイス間の同期を使う場合だけです。
- 同期を使うと、データはあなたのアカウントの下にGoogleのFirebaseサービス上に保存され、ほかの端末からも見られるようになります。
- AIレシート読み取りを使うと、レシートは当社のサーバーを経由してOpenAIに送られ、読み取られて結果が返ってきます。当社のサーバーに画像は残りません。
- 購入の手続きはAppleが行います。当社があなたの支払い情報を見ることはありません。
- 匿名の利用統計は、オフにできます。1日に1回、Budgieは読み取ったレシートの数や読み取りの確かさなど、アプリの使われ方の集計を当社のサーバーに送ります。IDも、あなたが入力した内容も含みません。初期設定はオンで、設定 → プライバシーでオフにできます。
- 広告なし。トラッキングなし。Budgieには、広告や外部の分析サービスのプログラムは入っていません。あなたのデータを第三者自身の目的のために販売・共有することはありません。このウェブサイトはクッキーを使いません。実行するスクリプトは、トップページのベータ登録フォームだけです。
- すべてのデータを、アプリの中から削除できます。
Budgieが端末に保存するもの
あなたが入力したすべて：購入記録（金額、通貨、日付、店名、メモ、カテゴリ、プロジェクト、返金・割り勘の情報）、追加したレシート写真とそこから読み取った明細、カテゴリと予算、プロジェクト、設定。ウィジェットは、アプリが端末内の共有コンテナに保存する予算の簡単な要約を読み込みます。Siriやショートカットからの記録も、端末上のアプリを通して行われます。AIを使わずにスキャンしたレシートは端末上で読み取られ、外に出ることはありません。利用統計をオフにしていなければ、送信前の数日分の集計も端末に保存します（最長7日間）。
これらのデータは端末自体のセキュリティで保護され、iPhoneのバックアップ設定に従ってバックアップに含まれます。
Appleでサインインしたとき
Apple IDでサインインできます。Appleからは、あなたを識別する固定のIDと、初回のみ名前とメールアドレス（メールを非公開にした場合はAppleのリレーアドレス）が当社に伝えられます。サインイン情報の保持にはGoogleのFirebase Authenticationを使います。名前はあいさつ表示のために端末に保存し、FirebaseはIDとAppleから提供されたメールアドレスを保持します。
サインインしただけでデータがアップロードされることはありません。アップロードが起きるのは、以下の機能を使ったときだけです。
デバイス間の同期（プレミアム）
同期をオンにすると、購入記録、カテゴリ、予算、プロジェクト、明細、返金・割り勘の情報のコピーをGoogle Cloud Firestoreに、レシート写真（縮小したもの）とアカウントに保存することを選んだ書き出しやレポートをGoogle Cloud Storageに、あなたのアカウントの下で保存します。これにより、同じApple IDでサインインした別の端末にも同じ数字が表示されます。データはあなたのアカウントの下に保存され、アプリを通してあなただけがアクセスできます。セキュリティルールにより、サインインしたユーザーが読み書きできるのは自分のデータだけです。
レシート写真の保存先（この端末、アカウント、または両方）は、Budgieの設定で選べます。
Googleはサービス提供者として、当社のためにこのデータを処理します。データはGoogleのデータセンターに保存され、その場所はあなたの国の外（米国を含む）である場合があります。
AIレシート読み取りとAI自動分類
サインインすると、レシートをAIで読み取れます。毎月5回までは無料で、Budgie プレミアムではさらに多く使えます。読み取りを行うと、アプリは写真（縮小したもの）、端末がすでに読み取ったテキスト、カテゴリ名、通貨を当社のサーバーに送ります。サーバーは、サインインしていること、そしてプレミアムに登録しているか今月の無料回数が残っていることを確認したうえで、写真とテキストをOpenAIに転送します。OpenAIはレシートを読み取り、店名、日付、合計、明細を返します。サーバーはその結果をアプリに返し、写真もテキストも保存しません。
AI自動分類（プレミアム）が送るのは、明細のテキスト、店名、カテゴリ名だけで、写真は送りません。同じ経路で、明細ごとのカテゴリが返ってきます。
OpenAIはAPI規約に基づくサービス提供者としてこれを処理します。この規約では、送られた内容をモデルの学習に使うことは認められていません。OpenAIは、サービスの提供と不正利用の検知のため、APIで受け取った内容を最長30日間保持し、その後削除します。
無料回数を数えるため、また1つのアカウントに想定以上の費用がかからないよう、サーバーはAIの利用回数を1時間ごと・1か月ごとに、アカウントIDをハッシュ化した形で記録します。内容は一切保存しません。
為替レート
選んだ通貨で金額を表示するため、アプリは当社のサーバーに今日の為替レートを問い合わせます。この通信に含まれるのは基準通貨のコードだけで、あなたに関する情報は含まれません。サーバーは欧州中央銀行（Frankfurter経由）またはExchangeRate-APIからレートを取得します。サーバーは、同じネットワークアドレスからの問い合わせ回数を、アドレスをハッシュ化した形で制限します。
匿名の利用統計
Budgieは、2つの役割をきちんと果たせているかを知るために、機能の使われ方を数えています。たとえば、端末上で読み取ったレシートの数、読み取りの確かさ、項目を直す必要があった回数などです。1日に1回、アプリを閉じるときに、その日の集計を当社のサーバーに送ります。そこには、あなたが誰かも、お金に関することも一切含まれません。
初期設定はオンで、オフにできます：設定 → プライバシー →「匿名の利用統計を共有」。オフにすると、それ以降は何も記録・送信しません（オフにしたことも送りません）。まだ送っていない集計は、その場で端末から削除されます。送られる内容は、アプリの 設定 → プライバシー →「送信される内容」でも確認できます。サインインしているかどうかで、送る内容は変わりません。
数えるもの
- アプリについて：バージョン、iOSのバージョン、iPhoneかiPadか、アプリの言語、App Storeの国（App Storeアカウントの国で、あなたの現在地ではありません）、TestFlight版かApp Store版か、プラン（無料、トライアル、月額、年額、買い切り、または支払いに問題がある・終了したサブスクリプション）、Budgieをインストールしてからのおおよその日数（「8〜14日」のような範囲）。
- 使われている端末の数：その日・その月で最初の送信かどうか。端末にIDを付けずに、使われている端末の数を数えるためです。
- 記録：各購入をどう記録したか（キーパッド、スキャン、Siriやショートカット。アプリ、ウィジェット、コントロールセンターのどこからか）、どんな情報が付いていたか（返金、割り勘、プロジェクト、メモ、明細、計算機、別の日付や通貨の有無だけで、内容は送りません）、Budgieを開いてから保存するまでのおおよその秒数、インストール後最初の記録、編集で変わった項目、削除と取り消し、アーカイブの利用。
- スキャンしたレシート：どちらが読み取ったか（端末上かAIか）と、AIから端末上の読み取りに切り替わった場合はその理由、保存したかどうか、読み取りにかかった時間、合計・日付・店名・通貨それぞれの確かさ（10段階）、そのうち「要確認」が付いた項目と、保存前にあなたが直した・入力した項目、写真のタップで入力した項目、提案されたカテゴリをそのまま使ったかと提案の出どころ、明細の行数と合計が合ったか、カテゴリを変えた行の数、割り勘の分け方（方法だけで、金額は送りません）。
- プレミアムの画面：どこから開いたか、開いていた時間、どう終わったか（購入、復元、Appleの画面でキャンセル、閉じた）、選んだ・購入したプラン、サインインが必要だったか、アプリが確認したプランの変化（トライアルから年額へ、など）。
- お知らせ：App Storeのレビューのお願い（評価する、今はしない、閉じた、サポートへのリンクをタップしたか）と、買い切り購入後のリマインダー（お知らせとタップされたボタン、通知を許可したか、どのリマインダーを開いたか、以前のサブスクリプションの解約を確認した時期）。
- 機能：使った画面、インサイトの期間とグラフ、履歴の機能（検索した言葉は送りません）、書き出し、最初の画面で予算を変えたかどうか。
- 設定（1日に1回）：予算の方式と期間、シンプル表示、計算機、読み取りと自動分類の設定、同期がオンか、写真の保存先、必須のカテゴリがあるか、カテゴリ・カテゴリ予算・プロジェクト・購入記録・通貨のおおよその数（範囲）、置いているウィジェットのサイズとコントロールセンターのボタン。
- 問題：何も読み取れなかったスキャン、AI読み取りの切り替え、種類別の同期エラー、為替レートの取得失敗、端末が送れずに捨てた集計。
時間や数は正確な値ではなく、「3〜4秒」「3〜5行」のような範囲で送ります。
送らないもの
- 名前、メールアドレス、Apple ID、そしてあらゆるID：アカウントIDや端末ID、広告ID、購入のトークン、クッキー、またはこれらから作ったものも送りません。
- あなたが入力したもの：金額（範囲でも送りません）、予算、店名、カテゴリ、プロジェクト、メモ、明細、検索した言葉、レシートの写真やその文字、購入の通貨。
- 位置情報や、日より細かい時刻。1日の出来事は端末上でまとめて並べ替えるため、その順番も送られません。
どの端末から送られたかを示すものが一切ないため、同じiPhoneの別の日の集計を結びつけることはできません。当社が数えているのは人ではなく端末です。
ネットワークアドレスについて。インターネット上のほかの通信と同じく、1日1回の送信はあなたのネットワークアドレス（IPアドレス）から届きます。利用統計はこれを保存しません。サーバーは、同じアドレスからの送信回数を制限するためだけにこれを使い、そのための符号は毎日作り直されて翌日には削除されます。集計と一緒に保存されることはありません。ただし、このアドレスへのウェブサーバーのアクセスログを当社が止めるまでは、ほかのリクエストと同じくアクセスログに記録され（サーバーのログを参照）、14日後に削除されます。
保存場所と期間。QuaalCo の自社サーバーに安全に保存します。サーバーは届いた集計をその日の全端末の合計に足し、届いた内容そのものは捨てます。残るのは日ごとの合計だけで、年ごとの変化を比べられるよう、期限を設けずに保存します。ほかの誰にも渡しません。Budgieには分析会社や広告のプログラムは入っておらず、合計を見るのは、何を直し、次に何を作るかを決める当社だけです。端末上の集計は、送られるまで最長7日間保存されます。
購入とサブスクリプション
Budgie プレミアムは、App Storeを通じてAppleが自動更新サブスクリプションまたは買い切りとして販売・請求します。支払い、更新、解約、返金はAppleが自社の規約とプライバシーポリシーに基づいて扱い、当社が支払い情報を受け取ることはありません。購入時、Appleはアプリがあなたのサインイン情報から作るアカウントトークンを記録します。当社のサーバーはこれを、購入がリクエスト元のアカウントのものかを確認するためだけに使い、ほかの目的には使いません。
サブスクリプションの管理や解約は、BudgieではなくApple IDの設定から行います。
このウェブサイトでのベータ登録
このウェブサイトでベータに登録すると、フォームはあなたの名前、メールアドレス、そして任意で、Budgieを知ったきっかけを当社のサーバーに送ります。サーバーは不正利用を防ぐため、登録の時刻、ネットワークアドレス、ブラウザの名前とバージョンも記録します。これらは、TestFlightのリンクとBudgieのベータに関するお知らせをメールで送るためだけに使い、メールは当社のメールサービスを通じて送信します。登録してもBudgieのアカウントは作られず、アプリ内のデータとも結び付きません。
テストへの参加はAppleのTestFlightアプリで行われ、Appleの規約とプライバシーポリシーが適用されます。Appleは、招待に使われたメールアドレス、端末の機種とiOSのバージョン、そしてあなたがTestFlightから送ることを選んだフィードバック、スクリーンショット、クラッシュレポートを当社に共有することがあります。
登録情報はベータ終了まで保管し、その後削除します。それより早く削除を希望する場合は support@quaal.co までご連絡ください。
サーバーのログ
一般的なウェブサーバーと同様、当社のサーバーはセキュリティとトラブル対応のために標準的なアクセスログ（リクエスト元のネットワークアドレス、時刻、パス、結果コード、リクエストが示すアプリやブラウザのバージョン）を記録します。このログにレシートの内容、あなたのデータ、トークンが含まれることはなく、14日後に削除されます。1日1回の利用統計の送信も、当社がこのログを止めるまでは同じように記録されます。このウェブサイトも同じ種類のアクセスログを同じ期間だけ記録します。
当社がしないこと
- 広告は表示しません。
- 外部の分析サービス、広告サービス、クラッシュレポートサービスは使いません。Budgie自身の匿名の利用統計（上記）は、当社のサーバーにだけ送られます。iOSの設定で「デベロッパと共有」をオンにしている場合、Appleから匿名化されたクラッシュレポートが共有されることがあります。
- アプリやウェブサイトをまたいだトラッキングはしません。あなたのデータを第三者自身の目的のために販売・貸与・共有することはありません。
- あなたのデータを見ることはありません。データはあなたのものです。
サービス提供者
| 提供者 | 用途 | 受け取るもの |
|---|---|---|
| Apple | Appleでサインイン、App Storeでの購入とサブスクリプション、TestFlightでのベータテスト | Apple ID、支払い、あなたが送ることを選んだTestFlightのフィードバック |
| Private Email | ベータ登録に関するメールの送信 | ベータに登録したときの名前とメールアドレス |
| Google（Firebase） | 認証、同期データ・レシート写真・保存した書き出しの保管 | サインインID とメールアドレス、上記の同期データ |
| OpenAI | レシートの読み取りと明細のカテゴリ分け | リクエストごとのレシート写真とテキスト、明細テキスト、店名、カテゴリ名 |
| 欧州中央銀行（Frankfurter経由）、ExchangeRate-API | 為替レート | あなたに関する情報はなし（当社のサーバーが代わりに問い合わせます） |
データの削除
設定 → アカウントの「アカウントを削除」で、Budgieがあなたについて保持しているものをすべて削除します。Firebaseアカウント内のすべての記録、レシート写真、保存した書き出し、サインイン情報そのもの、そして端末上のすべてのデータです。取り消しできないため、実行前にAppleでの確認を求めます。
アカウントを削除しても、Budgie プレミアムのサブスクリプションは解約されません。解約できるのはあなただけで、設定 → ユーザ名 → サブスクリプションから行います。アプリは何かを削除する前に、このことをお知らせします。
個々の購入記録やレシートは、アプリでいつでも削除できます。サインアウトしても、クラウドのデータは次のサインインに備えて残ります。
利用統計：オフにするか「アカウントを削除」を行うと、まだ送っていない集計は削除されます。送信済みの集計は、あなたにたどれない日ごとの合計の一部になっているため、取り出して削除することはできません。
お子さまについて
Budgieは13歳未満のお子さまを対象としておらず、お子さまの個人情報を意図的に収集することはありません。
このポリシーの変更
このポリシーを変更した場合は、新しい施行日とともにこのページに掲載します。端末の外に送る内容に関わる変更は、アプリのリリースノートでもお知らせします。
お問い合わせ
このポリシーやあなたのデータについてのご質問は support@quaal.co までお寄せください。