Kimda

プライバシーポリシー

最終更新日：2026年10月27日

本ポリシーはチェコ語版を正本とします。他言語への翻訳は参考情報として提供されるものであり、相違がある場合はチェコ語版が優先されます。

本書は、Kimdaアプリ（「本アプリ」「当方」）およびウェブサイトkimda.appがどのようなデータを処理するのか、その理由と法的根拠、データの提供先、保存期間、そしてあなたとお子さまが持つ権利について説明するものです。本アプリは子どもを含む家族全員で使うことを想定しているため、データの保護には特に慎重に取り組んでいます。

1. データの管理者

データの管理者は、プラハ8区役所（ÚMČ Praha 8）が管理する事業者登録簿に登録された個人事業主としてKimdaアプリを運営するMgr. Ivo Slávka（IČO 30070929、所在地：Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, チェコ共和国）です。プライバシーに関するお問い合わせ、および権利の行使に関するご連絡先のメールアドレス：privacy@kimda.app。

2. 処理するデータとその理由

• アカウント情報：名、姓、電話番号、役割（保護者/子ども）、選択した言語とテーマ、任意のプロフィール写真、本ポリシーのバージョンおよび同意した日時、保護者の場合は成人であることを確認した日時、子どもの場合は日時、ポリシーのバージョン、および子どもに代わって同意した保護者（第5項）。 あなたの名前とプロフィール写真は、アプリ内で家族の他のメンバーに表示されます（親はすべてのメンバーを、子供は親と兄弟を見ることができます）。
• 電話番号は、本人確認（SMSコード）とログイン、およびその不可逆フィンガープリントをPremium試用期間の保護（第6項）、電話番号変更後に乗っ取られたアカウントの返還リクエストを検証するため（以下のセキュリティ記録）、ならびにバックアップからのデータベース復元後に以前アカウントから離れた電話番号でのログインを保留するため（以下の電話番号変更ジャーナル）に使用します - 本アプリがそれ以外の目的で電話番号に連絡することはなく、SMS認証の提供事業者（Twilio、第4項参照）を除き、第三者と共有することもありません。
• 家族の情報：家族の名前、家族に属するメンバー、各メンバーの役割と設定（お小遣いの配分割合、通貨、家族の言語とタイムゾーン）、および財務ルールの変更履歴（誰がいつ、例えば利息、配分割合、通貨、タイムゾーンをどの値からどの値に変更したか）。
• 参加リクエスト：家族への参加を希望する人の名、姓、役割、電話番号、およびリクエストの時刻 - 保護者が誰を承認しているかを確認できるようにするため。
• 保護者の同意リクエスト：リクエストの種類（保護者の削除または家族全体の削除）、申請者、対象者、承認、拒絶またはキャンセルした人（内部識別子）、日時（申請、期限、リマインダー、処理完了）、および結果（承認、拒絶、キャンセル、期限超過による実行、無効化）。氏名、電話番号、自由入力テキストは保存されません。リクエストはアプリ内で家族の保護者に表示されます。
• タスクの情報：タスク名、ポイント、完了・承認・却下された日時、およびタスクで写真が必要な場合は写真（写真の技術的フィンガープリントを含む。第3項を参照）。
• 予定、ルーティン、リマインダー：タスクの担当者、予定日時、完了状況、遅れ、交代の順番、リマインダーが送信されたかどうか。
• ご褒美と目標：家族のご褒美カタログ、ご褒美のリクエスト、貯金目標、子どもが目標に移した金額。保護者向けの概要は、これらのデータから達成率、期限の順守状況、分担のバランスを集計しますが、子どもの公開ランキングは作成しません。
• アプリ内の金銭情報：ポイント、仮想のお小遣いとその配分、支払いのリクエスト、家族内の貸し借りと利息。これらはアプリ内部の記録であり、実際の銀行・決済情報ではありません。本アプリは銀行口座や決済カードに一切アクセスできません。 子供の月間サマリー（承認されたタスクの数、ポイント、Premiumの場合は今月の金額も。ボックスの残高は含まれません）は、親が家族の設定でオフにしない限り、同じ家族の他の子供にも表示されます。
• 直接支払いと手動返済の記録：保護者がアプリ内で子どもの残高の一部を直接（子どものリクエストなしに）支払うか、または子どもの借金の返済を手動で記録すると、サーバーはそのような操作ごとに、その後変更されない個別の記録を保存します。これには、家族、子ども、および操作を行った保護者の内部識別子、操作の種類（直接支払い、手動返済）、金額、支払いの場合は支払い元のボックス、および金額の内訳（支払いの場合は自己入金分と付与された利息分、返済の場合は元金と利息）、操作の日時、ならびにリクエストのランダムな識別子が含まれます。この記録は、保護者がアプリ内でいつ何を記録したかを証明できるようにし、家族内で紛争が生じた場合に、最終的な残高だけでなく記録に基づいて判断できるようにするために使用されます。これはアプリの内部記録であり、アプリ自体はお金を送金しません。記録はデータエクスポート（第7項）に含まれ、第6項に従って保持されます。
• サブスクリプション：家族のサブスクリプションの状態（トライアル期間、Premium、その有効期限と更新）、およびプロモーションコードによる無料アクセスの有無。プロモーションコード自体は、サーバーがHMACフィンガープリントとしてのみ保存し、コードの管理（誰が、いつ、どのようなアクションを行ったか）を記録します。当方は決済情報を見ません。決済はAppleまたはGoogleが処理します。当方がこの同意の証拠として保持するPremiumの即時開始への同意の記録については、第6項で説明しています。
• ログインとセキュリティ：各デバイスのログインセッション（作成日時、最終使用日時、有効期限）。保護者はマイプロフィールでログイン中のデバイスの概要（ログインと最終使用の日時のみ。IPアドレスやデバイス名は含まれません）を確認でき、個別にログアウトさせることができます。サーバーは、盗まれたトークンの悪用を検知するため、すでに置き換えられたトークンのフィンガープリントを含め、更新トークンをSHA-256フィンガープリントとしてのみ保存します。SMSコードの要求時には、電話番号のキー付きフィンガープリント（HMAC-SHA-256）および1回限りのチャレンジのSHA-256フィンガープリントを試行回数とともに、電話番号の変更および家族の削除の確認の場合はその目的とアカウントの内部識別子も保存します。送信済みSMSの1日あたりの制限を含むリクエスト回数の制限は、IPアドレスまたはそのネットワーク（IPv4 /24、IPv6 /56）、電話番号、電話番号とネットワークのペア、またはアカウントのキー付きフィンガープリント（HMAC-SHA-256）、あるいは国や電話番号のプレフィックスに基づいて計算されます。サーバーは、データベース外に保存された秘密鍵からこれらのフィンガープリントのキーを派生させるため、秘密鍵がなければフィンガープリントを電話番号やIPアドレスに戻すことはできません。重要なイベント（ログイン、参加リクエスト、メンバーの承認・却下・削除、新しい招待コード、デバイスのログアウト、電話番号の変更、ポリシーの確認、子どもに代わっての保護者の同意、トークン悪用の疑いなど）のセキュリティ記録には、イベントの種類、日時、内部識別子が含まれます。メンバーの削除の場合はさらにその役割（保護者/子ども）が含まれ、ポリシーの確認と保護者の同意の場合はポリシーのバージョンが含まれ、借金、残高、または未処理のリクエストがあった子どものアカウントの削除の場合は、通貨、帳消しにされた金額、未処理のリクエストの数も含まれます。電話番号変更の記録にはさらに、乗っ取られたアカウントの返還リクエストが元の番号の真の所有者によって提出されたことをサポートが検証できるように、元の番号の不可逆フィンガープリント（秘密鍵付きHMAC）が含まれます。名前、電話番号、IPアドレスは含まれません。これに加え、電話番号の変更、ならびに家族のメンバーの削除または復元は、以下の「電話番号およびメンバー状態の変更ジャーナル」の項目で説明する個別のジャーナルに記録されます。
• セキュリティ警告：保護者がSMSコードでログインすると、家族の他の保護者は名前や電話番号を含まない一般的な警告を受け取ります。SMSコードによるログイン（保護者および子ども）のたびに、同じアカウントで現在ログインしているデバイスにも、新しいログインに関する一般的な警告が届きます。電話番号の変更時（新しい番号はSMSコードで確認されます）には、サーバーはそのアカウントの他のログイン中デバイスをログアウトさせ、既存のアカウントのデバイスおよび家族の保護者に一般的な警告が届きます。元の電話番号はそれ以降保持されません – 変更のセキュリティ記録にその不可逆フィンガープリントのみが残り（30日、セクション6を参照）、電話番号変更ジャーナルに元の番号と新しい番号の不可逆フィンガープリントが残り（60日、以下およびセクション6を参照）、トライアル期間中に家族のメンバーであった保護者の場合は、セクション6に従ってそのフィンガープリントも残ります。 アカウント所有者のリクエストに応じてサポートが電話番号を復旧する場合、まず本人確認を行います：元の番号（そのフィンガープリントが番号変更記録のフィンガープリントと一致する必要があります）に送信されたSMSコードによります。そのような確認が不可能な場合（変更記録がすでに存在しないか、所有者が元の番号を持っていない場合）、家族の別の保護者からの承認（この保護者の番号に送信されたSMSコードによって確認されます）およびサポートが行う質問への回答によって確認します。その場合、まずアカウントのデバイスおよび家族の保護者に警告を送信し、誰も異議を唱えない場合、最短で72時間後に番号を返還します；この警告は、ログイン後、その期間中ずっとアプリ内で直接確認できます。そのような確認がない場合、番号は復旧されず、いかなるリクエストもキャンセルされません – アカウントのすべてのデバイスをログアウトさせることのみが可能です。サポートが過去30日間に同じアカウントをすでに一度返還している場合、次のリクエストを紛争とみなし、さらなる調査なしに番号を復旧することはありません。 復旧後、サーバーはそのアカウントをすべてのデバイスからログアウトさせ、家族の保護者に一般的な警告が届き、対応が記録されます（誰が、いつ行い、どのアカウントが対象か、およびリクエストへのリンク。電話番号は含まれません）。 子どものアカウントが削除された場合、他の保護者が削除された場合（削除された保護者も含む）、およびログイントークン悪用の疑いがある場合にも、保護者は一般的な警告を受け取ります。トークン悪用の疑いがある場合、サーバーはそのアカウントをすべてのデバイスからログアウトさせ、通知の登録を解除します。 セキュリティ警告（例：新しいログインまたはデバイス、電話番号の変更、財務ルールの変更、メンバーの削除、子どものアカウントの削除、またはトークン悪用の疑いに関する警告）について、サーバーはまずキューに保存し（警告の種類、宛先 - デバイスのプッシュトークンまたは家族・アカウントの内部識別子および言語 - および一般的な技術的イベントタイプ）、そこから配信します。ただし、サポートによる乗っ取られたアカウントの返還時の警告（上記）は直接送信されます。家族のメンバーのアカウントのデバイスまたは保護者に対する警告が、繰り返しの試行後も配信できない場合、サーバーは家族の内部識別子、警告の種類、および日時（プッシュトークンおよび名前なし）のみを保存し、保護者が次回アプリにログインした際にどのような警告であったかを確認し、承認できるようにします；受信者に警告を送信できるデバイスがない場合、そのような記録は作成されません。保持期間は第6項で定められています。
• 電話番号およびメンバー状態の変更ジャーナル：上記のセキュリティ記録に加え、サーバーは、アカウントの電話番号の変更（マイプロフィールでお客様自身が行ったか、お客様のリクエストに基づきサポートが行ったかを問わず）、ならびに家族のメンバーの削除または復元ごとに、ジャーナルに個別の記録を保持します。記録には、記録のランダムな識別子、アカウントおよび家族の内部識別子、イベントの種類（電話番号の変更、サポートによる電話番号の復旧、メンバーの削除、メンバーの復元）、イベントの日時、および（電話番号の変更の場合のみ）元の番号と新しい番号の不可逆フィンガープリント（データベース外に保存された秘密鍵を用いたHMAC-SHA-256）が含まれます。メンバーの削除および復元の場合、フィンガープリントは含まれません。電話番号、名前、IPアドレスはジャーナルに含まれません。秘密鍵がなければフィンガープリントを電話番号に戻すことはできませんが、アカウントの内部識別子にひも付けられているため、匿名データではなく仮名化データとなります。ジャーナルは、バックアップからのデータベース復元の影響から保護することのみを目的としています。すなわち、その間にアカウントから離れた（そして他の誰かが取得した可能性がある）電話番号がアカウントに戻らないようにし、バックアップに含まれていない家族のメンバーの削除を再び適用できるようにするためです。そのため、サーバーはSMSコードによるログイン時および電話番号の確認時に、入力された電話番号のフィンガープリントをジャーナルの最新の記録と比較します。一致しない場合、ログインを保留し、サポートを案内します。記録はデータベースに保存され、バックアップ間でのデータベース消失時にも残るようにするため、通常は数分以内にCloudflare R2の個別の非公開ストレージ（第4項）のコピーにも保存されます。保持期間は第6項で規定されています。
• 技術データ：プッシュトークン、および通知の配信のためにアプリが作成するランダムなデバイス識別子（ハードウェア識別子ではありません）、デバイスの最終登録日時、その登録が属するログイン、およびデバイスがプッシュトークンの所有者であることを証明するためのランダムなインストールシークレットのSHA-256フィンガープリント。登録が解除された後（ログアウト、メンバーの削除、セキュリティブロック、または自動クリーンアップ）、サーバーはデバイスの通知を第三者のアカウントが乗っ取ることができないように、2つの期間限定の記録を保持します：(a) 解除されたプッシュトークンの記録 - プッシュトークンとインストールシークレットのSHA-256フィンガープリント、家族の内部識別子、および解除された時間（これにより、解除されたトークンを他の家族のアカウントが取得できなくなります）；および (b) 解除されたデバイスの記録 - アカウントの内部識別子、デバイスのランダムな識別子、同一のフィンガープリント、および解除された時間（これにより、解除されたデバイスが同一のインストールであることを証明することなく、同じアカウントの別のログインセッション（盗難されたセッションなど）によって再び占有されることを防ぎます）。サーバーはさらに、デバイス登録の記録（アカウントおよびデバイスの内部識別子、プッシュトークンのフィンガープリント、イベントの種類、日時）を30日間保持し、これに基づいて新しいデバイスの24時間以内の登録制限を管理します。保持期間は第6項で規定されています。アカウント削除時には、解除されたデバイスの記録は保持されません。さらに、電話番号やリクエスト内容を含まないサーバーの運用記録（エラー状態など）。スマートフォン内では、アプリは安全なストレージにログイントークンを保持し、選択された言語とテーマを記憶します。また、通知があなたの言語で届くように、選択された言語をサーバーにも伝えます。アプリがExpoおよびSentryのサービスに直接送信するものについては、第4項で説明します。

データを処理する理由と法的根拠：

• 家族のアカウントとアプリの機能（登録、家族、タスクと写真、予定、リマインダー、ご褒美、目標、直接支払いと手動返済の記録を含むお小遣い、通知、サブスクリプション）：契約（利用規約）の履行（GDPR第6条第1項(b)）。直接支払いと手動返済の記録および金融ルールの変更履歴は、さらに、アプリ内での金融操作およびルールの証明可能性ならびに家族内の紛争解決に対する当方の正当な利益に基づいて処理されます（GDPR第6条第1項(f)）。Premiumの即時開始への同意の記録およびデータベース外にあるそのコピーは、さらに、この同意を証明することおよび法的請求を防御することに対する当方の正当な利益に基づいて処理されます（GDPR第6条第1項(f)）。子どものデータについては第5項を参照。
• SMSコードで認証されたログイン：契約の履行（GDPR第6条第1項(b)） - 認証された電話番号なしではアプリにログインできません。
• セキュリティと悪用からの保護（セッションとトークンのフィンガープリント、SMSコードのチャレンジ、リクエスト回数の制限とSMSの1日あたりの制限、セキュリティ記録、電話番号およびメンバー状態の変更ジャーナル、解除されたプッシュトークンおよびデバイスの記録、デバイス登録の記録および新規デバイス登録の24時間以内の制限、セキュリティ通知のキューおよび未配信の通知の記録、運用ログ、試用期間の繰り返し利用を防止するための電話番号のフィンガープリント、一方的な保護者の削除や家族の削除から保護するための保護者の同意リクエスト、および乗っ取られたアカウントをサポートが返還する際の本人確認（そのような対応の記録を含む））：サービスの安全な運用、保護者と子どものアカウントの保護、およびSMS認証の悪用防止に対する当方の正当な利益（GDPR第6条第1項(f)）。
• バグ修正とアプリのアップデート（Sentry経由のエラー報告、Expo経由のアップデート）：安定した安全なアプリに対する当方の正当な利益（GDPR第6条第1項(f)）。
• 第7項に基づくあなたのリクエストの処理、およびそれをいつどのように処理したかの記録（実行された削除の状態、実行された削除のジャーナル、および外部削除タスクなど）：法的義務の遵守（GDPR第6条第1項(c)）。
• ウェブサイトkimda.appでの広告効果の測定（Meta Pixel）：あなたの同意（GDPR第6条第1項(a)）。第9項を参照。

正当な利益に基づく処理に対しては、異議を唱えることができます（第7項）。電話番号は登録とログインに必須であり、これなしではアプリを使用できません。プロフィール写真は任意であり、完了したタスクの写真は、保護者がそれを要求するタスクでのみ必要です。法的または同様に重大な影響をもたらす自動化された意思決定やプロファイリング（GDPR第22条）は使用していません。例えばSMSコードのさらなる試行を一時的にブロックする自動セキュリティ制限は、アカウントとサービスを保護するためだけに使用されます。

3. タスクの写真

子ども（またはその代わりの保護者）がタスクにアップロードした写真を見られるのは、同じ家族のメンバーのみ（アプリ内の保護者と子ども）です。写真は公開されず、本アプリが他のアプリやSNSと共有することもありません。タスクの写真はアプリ内のカメラでのみ撮影できます。アプリ、そしてその後サーバーは、保存前に写真からメタデータ（GPS位置情報やカメラのデータなど）を削除します。写真は非公開のオブジェクトストレージ（第4項参照）に保存され、サーバーは同じ家族のログイン済みメンバーにのみ写真を提供します。保護者はいつでもその削除を求めることができます。

アップロードされた各写真について、サーバーは技術的フィンガープリント（チェックサムおよび簡略化された64ビットの画像フィンガープリント）を計算します。これは、同じまたはほぼ同じ写真がタスクで再び使用されたことをアプリが認識するため、および子どもがアプリで今撮影した写真がそのタスクのものであることを確認するためにのみ使用されます。フィンガープリントから写真を表示したり復元したりすることはできず、写真と一緒に削除されます。写真のタイムチャレンジの記録（アプリで誰が、どのタスクのために、いつ要求したか）は、7日後にサーバーから削除されます。保護者は承認時の補助として、写真にアプリの有効なタイムチェックがない場合、または以前の写真と非常に類似している場合に、写真の横に警告を表示します。このチェックは、写真が偽造できないことを保証するものではありません。

4. データの提供先とEU域外への移転

データは、当方のためにアプリの運用を行う提供事業者（処理者）にのみ、そのために必要な範囲でのみ提供します。処理者は、当方へのサービスの提供のため、および当方の指示に従ってのみデータを使用できます。AppleおよびGoogleは、ストアでの購入において独立した管理者として機能します。

• ホスティング事業者（Railway） - アプリのサーバーと、アプリのデータが保存されるデータベースを運用します。
• Cloudflare - プライベートオブジェクトストレージR2は、転送されたプロフィール写真と完了したタスクの写真、データベースのバックアップ（クラウド外に保存しているプライベートキーでのみ復号できるように送信前に暗号化されます）、実行された削除のログ（内部識別子、削除の種類、日時のみ）、電話番号およびメンバー状態の変更ジャーナル（第2項：内部識別子、イベントの種類と日時、電話番号変更の場合は番号の不可逆フィンガープリント）、およびPremiumの即時開始に関する同意の証拠のコピー（第6項：家族およびユーザーの内部識別子、同意の時刻、選択されたプラン、支払済み期間の開始、ストアのトランザクション識別子、および表示されたテキストのバージョン）を非公開のバケットに暗号化して保存します。写真へのアクセスは、引き続きログイン済みのKimdaバックエンドが管理します。Cloudflareはウェブサイトkimda.appも運用しています（第9項）。
• Twilio（SMSコードによる電話番号の認証） - SMSコードの送信と認証の目的でのみ、電話番号とあなたが入力したコードを受け取ります。
• Expo（650 Industries） - 第一に、通知を配信します。デバイスのプッシュトークン、通知用のインストール識別子、AppleまたはGoogleのネイティブトークン、一般的な通知の文言または絵文字、および一般的な技術上のイベント種別を受け取ります。データベースID、名前、タスク名、金額をプッシュメッセージに送信することはありません。ExpoはメッセージをApple（Apple Push Notification service）またはGoogle（Firebase Cloud Messaging）のプッシュサービスに転送します。第二に、アプリのアップデートを配信します（EAS Update）。アプリは起動するたびに、修正が利用可能かどうかをExpoのサーバーに問い合わせます。その際、ExpoはデバイスのIPアドレス、プラットフォーム、アプリのバージョン、インストールされているアップデートの識別子、場合によってはアプリを終了させた最後のエラーのテキスト、およびアプリがスマートフォンに永続的に保存し、ログアウト後も変更されないランダムなインストール識別子 EAS-Client-ID を受け取ります。当方はこれをあなたのアカウントと結び付けることはなく、アプリが当方のサーバーに送信することもありません。
• AppleおよびGoogle - 独立した管理者として、App StoreおよびGoogle Playでのサブスクリプションの購入と管理を処理します。プッシュサービス（Apple Push Notification service、Firebase Cloud Messaging）として、デバイスに通知を配信します。
• RevenueCat（保護者アカウントのみを対象とした、App Store / Google Playを通じたサブスクリプションの処理） - 家族の識別子、購入履歴、AppleのレシートまたはGoogleの購入トークン、最終利用日時、端末の技術情報（端末の種類やOSなど）を処理します。Kimdaから保護者や子どもの名前・電話番号を受け取ることはありません。本アプリでは、RevenueCatの広告・アトリビューション連携も、広告識別子の手動収集も有効にしていません。
• Sentry（バグ修正のための、アプリとサーバーの技術的なエラー報告） - エラーの種類、コード内の場所、アプリとOSのバージョンを受け取ります。アプリとサーバーは、名前、電話番号、ログイントークン、リクエスト内容、IPアドレスをSentryに送信しないよう設定されています。SentryにおけるKimdaの組織は、EUのデータリージョン（ドイツ）で管理されています。
• メールプロバイダー（Spaceship、Spacemailサービス） - あなたが privacy@kimda.app または support@kimda.app 宛てに送信したメールを配信および保存します。

Railway、Cloudflare、Twilio、Expo、RevenueCat、Sentry、Spaceship、Apple、Google、およびMeta（第9項）は、米国に本社または拠点を持つ企業であるため、欧州経済領域外でもデータを処理する可能性があります。欧州経済領域外への移転については、特定の受領者および処理に適用されるGDPR第V章に基づくメカニズムを使用します。これは通常、EU-USA Data Privacy Framework（十分性認定に関する欧州委員会の決定、GDPR第45条）に基づく受領者の認証、または欧州委員会が承認した標準契約条項（GDPR第46条第2項(c)）によるものです。特定の受領者におけるメカニズムに関する情報、および該当する保証のコピーをどこで入手できるかについての情報は、privacy@kimda.app にご請求いただければ提供いたします。

当方は本アプリのデータを販売せず、広告主と共有せず、ターゲティング広告にも使用しません。訪問者の同意に基づくウェブサイトkimda.appでの広告効果の測定については、第9項をご覧ください。

5. 保護者の同意と子どもの役割

本アプリで登録（「保護者」の役割と新しい家族の作成）を行えるのは成人のみです。「子ども」の役割のアカウントは、必ず保護者だけが知っている招待コードで参加した後に作成されます。つまり子どもは、コードを共有した保護者が承知し、同意した場合にのみ参加できます。さらに、子どもや他の保護者の参加はすべて、保護者がアプリ内で明示的に承認する必要があります。承認されるまで、新しいメンバーは家族の名前しか見ることができません。家族の招待コードは48時間有効で、未承認のリクエストは72時間後に自動的に削除され、却下またはキャンセルされたリクエストは直ちに削除されます。「保護者」の役割で登録することにより、あなたは自分が成人であり、本アプリでお子さまのデータを処理することに同意する法的な権限を有することを確認したものとします。

当方は、保護者が作成し管理する家族アカウントの機能に必要な範囲でのみ、すなわち保護者との契約の履行（GDPR第6条第1項(b)）のために、子どものデータを処理します。保護者は法定代理人として、子どもの参加について決定します。招待コードを共有し、子どもの参加を明示的に承認し、いつでも子どもを家族から削除したり、子どものアカウントの削除を要求したりすることができます。子どもは登録時にポリシーを認識するのみです。データ処理への同意は、保護者がアプリ内で子どもの参加を承認する際に与え、サーバーは日時、保護者、ポリシーのバージョンを記録します。古いバージョンのアプリで承認された子どもの場合、アプリは不足している保護者の同意を後から要求します。処理に同意が必要であり、子どもが15歳（GDPR第8条および個人データ処理に関するチェコ共和国法第110/2019号第7条に基づくチェコ共和国の年齢制限）未満である場合、保護者が子どもに代わって同意を与えます。第7項に基づく子どもの権利は、保護者が代わって行使することができます。

6. データの保存期間

アカウントと家族のデータは、利用者がアカウントまたは家族全体の削除を求めるまで保存します。アプリを使わない状態が続いただけでは、自動的な削除は行われません。そのため利用者は、家族の履歴を失わないようにアプリを定期的に開く必要はなく、削除はいつでもアプリ内から直接始めるか、privacy@kimda.app 宛てに依頼することができます。財務ルールの変更履歴（第2項）は、例えば保護者間の紛争時などに、誰がいつルールを変更したかを示す不変の証拠として機能するため、家族が存在する期間全体にわたって、時間や全体の回数の制限なしに保持されます（家族は1時間あたり最大30回、財務ルールの変更を保存できます）。これはアプリ内で編集や削除をすることはできません。家族全体の削除（第7項）後、サーバーは次回のクリーンアップ時にそれを削除します。個別のメンバーのアカウントが削除されてもこれは変更されず、名前のない内部識別子のみが残ります。

その他の個別の記録には、以下の期間が適用されます：

• SMSコードのチャレンジ（電話番号とチャレンジのフィンガープリント）：10分間有効です。認証が成功した場合はサーバーが直ちに削除し、そうでない場合は有効期限切れから遅くとも1時間後に削除します。
• リクエスト回数の制限とSMSの1日あたりの制限（フィンガープリント）：サーバーは、監視期間の終了から24時間後にこれらを削除します。SMSの1日あたりの制限は、常にUTCの深夜に終了します。
• ログインセッション：ログイントークンは15分間有効です。セッションは、30日間の非アクティブ状態の後、遅くとも90日後、またはそれ以前のログアウトによって終了します。サーバーは、終了したセッションを、トークンのフィンガープリントを含め、終了から30日後に削除します。
• 招待と参加リクエスト：家族の招待コードは48時間、他の保護者への招待は24時間有効です。未承認の参加リクエストは72時間後に自動的に削除され、却下またはキャンセルされたリクエストは直ちに削除されます。他の保護者への招待の記録（コード、作成者、使用者）は、有効期限切れ、使用、またはキャンセルの30日後にサーバーが削除します。
• データベース内のセキュリティ記録（第2項）：サーバーは30日後に自動的に削除します。電話番号およびメンバー状態の変更ジャーナルには、以下に記載する独自の期間が適用されます。
• 電話番号およびメンバー状態の変更ジャーナル（第2項）：サーバーは、データベース内の記録を作成から早くとも60日後、かつ個別のストレージへのコピーが完了した後にのみ削除します（コピーは通常数分以内に作成されます）。コピーに失敗した記録は、コピーが成功するまでサーバーによって削除されないため、60日を超えてデータベースに残る場合があります。Cloudflare R2の個別の非公開ストレージ内のコピーは、保存から60日後にストレージ自体によって削除されます。アカウントまたは家族全体の削除時（第7項）、サーバーは削除されたアカウントまたは家族のジャーナル記録をデータベースから削除します。ストレージ内のコピーは、保存から遅くとも60日後に消滅します。
• 写真：プロフィールやタスクにひも付けられなかった写真は、24時間後にサーバーが削除します。写真のタイムチャレンジの記録は7日後に削除し（第3項）、削除された写真の技術的記録（内部識別子のみ）は写真の削除から30日後に削除します。
• プッシュトークンとデバイス識別子：デバイスのログアウト、家族からのメンバーの削除、またはアカウントの削除まで。あるいはAppleまたはGoogleが無効とマークするまで。さらに、アプリがデバイスの登録を90日間更新しなかった場合（ログインおよび起動のたびに更新します）、またはユーザーが30日以上有効なログインセッションを持っていない場合、サーバーはこれらを自動的に削除します。デバイスがログアウトされた後（プロフィールでの遠隔操作を含む）、またはログインが終了した後、デバイスには何も配信されません。例外として、このバージョンの導入前の登録で、それ以降アプリが更新していないものがあります。1つのデバイスを遠隔でログアウトさせても切断されませんが、「すべてのデバイスからログアウト」を選択すると切断されます。それ以外の場合、サーバーは上記の期間に従ってそれらを削除します。サーバーは、解除されたプッシュトークンの記録（フィンガープリント、家族、時間）を30日後、またはデバイスが再登録された場合はそれより早く削除します。サーバーは、解除されたデバイスの記録（アカウントの内部識別子、デバイスのランダムな識別子、フィンガープリント、時間）を91日後 - すなわち、ログインセッションの最長有効期間（90日）の経過後 - または同じアカウントのデバイスが再登録された場合はそれより早く削除します。アカウント削除時には、解除されたデバイスの記録は保持されません。削除の開始時にすでに作成されていた場合、サーバーは削除の完了時にこれを削除します。これにより、解除されたプッシュトークンの記録の期間は変更されません。送信されたリマインダーのプッシュトークンの技術的フィンガープリントは、配信の確認にのみ使用されます。サーバーは配信を評価した後、送信から遅くとも30日後にこれを削除します。サーバーは、その間にアカウントを削除した場合でも、デバイス登録の記録（アカウントおよびデバイスの内部識別子、プッシュトークンのフィンガープリント、イベントの種類と日時。第2項）を、作成から30日後に削除します。
• セキュリティ警告キューと未配信の警告（第2項）：警告の宛先データ（デバイスのプッシュトークンまたは家族・アカウントの内部識別子および言語）は、配信直後または配信の断念後に保存されたキュー記録からサーバーによって削除されますが、遅くとも警告の作成から7日後には削除されます。ただし、未配信の警告の記録（以下）が書き込まれるまで、家族の内部識別子のみ（例外的なデータベースエラーの場合は一時的にアカウントの識別子も）が残る場合があります。残りの記録（警告の種類、一般的な技術的イベントタイプ、時間、および技術的エラーメッセージ）は、処理から30日後に削除されます。保護者に対する未配信の警告の記録（プッシュトークンや名前を含まない、家族の内部識別子、警告の種類、および時間）は、保護者がアプリ内で承認するまで保持されます。承認済みの記録は、90日が経過した時点で削除されます。すでに存在しない家族の記録は、次回のクリーンアップ時に削除されます。
• 保存された金融操作の応答：ネットワーク障害後の再リクエストによって、支払い、貸し借り、またはその他の金融操作が二重に記録されるのを防ぐため、サーバーはその応答を30日間記憶します。操作自体の記録（操作の種類、そのランダムな識別子、家族、実行者および対象メンバーの内部識別子、リクエストのSHA-256フィンガープリント、および時間）は金融履歴の一部であり、アカウントまたは家族が削除されるまで保持されます。
• 直接支払いと手動返済の記録（第2項）：30日後に削除される上記の保存された応答とは異なり、これらの記録は対象となる子ども、または家族全体が削除されるまで保持されます（第7項）。
• スケジューラの繰り返しリクエストの保存された記録：ネットワークの停止後に繰り返しのリクエストがタスク計画を二重に作成するのを防ぐため、サーバーはその作成の記録（家族と保護者の内部識別子、操作の種類、リクエストのランダムな識別子、入力された計画パラメータのSHA-256フィンガープリント、作成された計画へのリンク、および時間）を60日間保持します。また、サーバーは、計画を作成した保護者のアカウントの削除時、および家族全体の削除時（第7項）にも記録を削除します。
• アカウント削除のリクエスト：未確認の削除リクエストは45日後に無効になり、遅くともさらに400日後に削除されます。実行された削除の記録（名前や連絡先を含まない、内部識別子と状態のみ）は、当方があなたのリクエストを処理した証拠として、処理から3年間保存されます。同じ範囲（アカウントまたは家族の内部のランダムな識別子、削除の種類、日時）で、バックアップからデータベースを復元した場合にその後のすべての削除を再適用できるよう、実行された削除のログを保持します。データベース内のログ記録は、個別のストレージにコピーされた後（通常数分以内にコピーが作成されます）、作成から早くとも180日後にサーバーによって削除されます。コピーに失敗した記録は、コピーが成功するまでサーバーから削除されません。別の非公開ストレージ内のコピーは、保存から60日後にストレージ自体によって削除されます。データベースのバックアップの一部であるログの暗号化エクスポートは、バックアップとともに（遅くとも30日後に）消滅します。
• 保護者の同意リクエスト：保留中のリクエストの有効期間は14日間です。その間に家族に保護者が追加された場合（家族の削除リクエストにおいて、新しい保護者には個別の14日間が、ただし別の保護者の削除後の保護期間がある場合は最大でその終了まで付与されます）、またはバックアップからのデータベース復元後にのみ延長されます（保護期間の終了までのみ有効な家族の削除リクエストを除きます）。別の保護者の削除後14日間の期間中に期限切れとなる家族の削除リクエストは、その期間の終了まで継続し、その後消滅します。別の保護者の削除後14日間の期間中は、家族を削除することはできません。この期間中に提出された家族の削除リクエストは、期間終了後に無効になります。期間終了後、唯一残った保護者はプロフィール内で直接家族を削除できます。処理完了後のリクエストは90日後にサーバーによって削除されます。
• アカウント削除または電話番号変更後の電話番号のフィンガープリント：アカウントの削除と新規登録を繰り返してPremiumの試用期間を何度も取得することを防ぐため、試用期間中に家族のメンバーであった保護者のアカウントが削除された際、および当該保護者の電話番号が変更された際（本人のリクエストによりサポートが番号を変更した場合を含む）、サーバーは従来の電話番号のフィンガープリント（秘密鍵付きHMAC）と日時のみを保存し、電話番号自体は保存しません。同じ番号での新規登録には試用期間が付与されません。フィンガープリントは12か月後にサーバーから削除されます。
• あなたが送信したメール：あなたの質問やリクエストを処理し、それをどのように処理したかを証明するために必要な期間。
• サポートおよび管理対応の記録：データベース内の対応記録（対応の種類、誰が、いつ行い、どの家族が対象か、およびリクエスト番号。名前や電話番号は含まれません。このようにして、サポートによる電話番号の復旧およびデバイスのログアウト、リクエストに応じた家族のデータのエクスポート、プロモーションコードおよび無料アクセスの管理を記録します）は、サーバーが3年後に自動的に削除します。サポートリクエストのログ（リクエスト番号、日付、アカウントの内部識別子、本人確認の方法および結果。電話番号は含まれません）は、データベース外で暗号化して保持し、リクエストをどのように処理したかを証明するものとして同じく3年間保存します。

ホスティングの本番環境の運用ログおよびセキュリティログを保存できるのは、最長で30日間です。Sentryは、アプリの新バージョンのリリース後に初めて現れるエラーを追跡および修正できるように、アプリおよびサーバーの技術的なエラーレポートを最長で90日間保存します。Sentryの運用バックアップがある場合、作成から遅くとも90日後に消滅します。データベースのバックアップは毎日作成され、本番環境から送信される前に暗号化され、作成から30日後に削除されます。そのため、以前に削除されたデータがバックアップに残るのは最長で30日間です。これらは削除されたアカウントの通常の復元には使用されません。バックアップからデータベースを復元する必要がある場合、バックアップ作成後に実行された削除を削除ログに従って再度適用します。ホスティング、データベース、ストレージの設定は、これらの期間を技術的に強制するものでなければならず、運営者が定期的に確認します。

外部のサブスクリプション事業者における記録の削除を直ちに完了できない場合、Kimdaはメディアを削除したうえで、遅滞なく手元の個人データを匿名化します。外部への依頼を安全に再試行するために残すのは、内部的なランダムの家族識別子と削除の技術的な状態のみであり、名前や電話番号は残しません。この外部削除タスクの記録（名前や電話番号を含まない、家族の内部識別子、事業者の指定、試行回数、日時、および直近のエラーコード）は、完了から90日後にサーバーによって削除されます。未完了のタスクは完了するまで保持されます。

Premiumの即時開始に関する同意の証拠（内部的な家族およびユーザー識別子、同意の時刻、選択されたプラン、支払済み期間の開始、ストアのトランザクション識別子、購入試行の内部識別子、および表示されたテキストのバージョン）は、起こり得る紛争においてこの同意を証明するために必要な期間、標準的に付与から3年間保持します。期間の経過後、証拠は管理された方法で削除されます。証拠はアカウントや家族と一緒に削除されることはありません（第7項）。バックアップ間のデータベースの消失に証拠が残るように、そのコピー（購入試行の内部識別子を含まない）をCloudflare R2の個別の非公開ストレージにも保存します（第4項）。ストレージ自体は、保存から1125日後にそれを削除します。

7. あなたの権利

あなたには以下の権利があります：

• 本アプリが保存しているあなたとご家族に関するすべてのデータへのアクセス（GDPR第15条）
• 不正確な情報の訂正（GDPR第16条）– 電話番号はマイプロフィールで新しい番号をSMSコードで確認後、ご自身で変更できます；アカウントへのアクセスを失った場合（ログイン中の端末から他者によって番号が変更された場合など）、ご本人確認の上、ご要望に応じて変更します
• 個々のメンバーのアカウントの削除（GDPR第17条） - アプリ内から直接（マイプロフィール → アカウントを削除）行うと、本アプリは名前、電話番号、写真、プッシュトークンを元に戻せない形で削除または匿名化し、あなたがアップロードしたすべての写真を削除します。子どものアカウントの場合は、保護者が代わりにアップロードしたタスクの写真も削除します。これにより、そのアカウントではログインできなくなり、名前や連絡先も残りません。タスクと支払いの履歴に残るのは、残りの家族のつながりを保つために必要な会計上の事実（ポイント、金額、状態、日時）のみであり、自由入力のメモは削除され、タスクと目標の名前は中立的な値に置き換えられます。この履歴は、残りの家族にひも付いたままであるため削除されません（そうしないと家族間の会計のつながりが合わなくなるため）。ただし、履歴は名前や連絡先を含まない記録にのみひも付けられます。子どもの直接支払いと手動返済の記録（第2項）は、子どもとともに削除されます。電話番号およびメンバー状態の変更ジャーナルの記録（第2項）は、サーバーがデータベースから削除します。個別のストレージ内のコピーは、保存から遅くとも60日後に消滅します。子どもに借金、残高、または未処理のリクエストがある場合、アプリは削除前に失われる金額を表示し、削除を明示的に確認する必要があります。その後、保護者は一般的な警告を受け取ります。保護者によって家族から削除されたメンバーは、アプリ内でSMSコードによる認証を行った後、自分のアカウントを完全に削除し、電話番号を解放することができます。
• 家族全体の一括削除 - 保護者が家族全体の削除を明示的に確認すると、当方はすべてのメンバーを匿名化し、写真を削除し、さらに自由入力のテキストと、独自に作成したタスク・目標・ご褒美の名前を中立的な値に置き換えます。また、家族の直接支払いと手動返済の記録（第2項）、家族の金融ルールの変更履歴（次回のクリーンアップ時）、およびそのメンバーの電話番号およびメンバー状態の変更ジャーナルの記録も削除します（個別のストレージ内のジャーナルのコピーは、保存から遅くとも60日後に消滅します）。他の保護者の削除には、対象となる保護者の同意が必要です。明示的な拒否により処理は停止され、対応がない場合は14日後に実行されます。別の保護者がいる家族全体の削除には、他のすべての保護者の明示的な同意が必要です。全員の同意がない場合、リクエストは14日後にキャンセルされ、家族は削除されません。過去14日以内に別の保護者が削除された家族は、その削除から早くとも14日後に削除できます。残高、ならびに子どもの借金や貯金などの状態を含む、削除された家族の会計記録は、削除から遅くとも30日以内に本番データベースから削除されます。暗号化されたバックアップ内には、バックアップが削除されるまで最長でさらに30日間残る場合があります。Premiumの即時開始への同意の記録は、家族の削除によって削除されることはありません（第6項）。個人データを含まないパートナーコードの利用に関する匿名化された記録は、パートナーの管理および悪用からの保護を目的として保持されます。メディアの削除後は、RevenueCatが一時的に利用できない場合でも、手元での匿名化は実施されます。その後、外部への依頼は内部的な家族識別子のみを用いて安全に再試行されます。RevenueCatは削除を非同期で実行します。これによってApp StoreまたはGoogle Playで管理されているサブスクリプションが解約されることはありません。保護者は、該当するストアの設定で別途解約する必要があります。
• 処理の制限（GDPR第18条） - 例えば、あなたがデータの正確性に異議を唱えた場合、当方がそれを確認するまでの期間。
• データポータビリティ（GDPR第20条） - あなたが当方に提供し、当方が契約に基づいて処理するデータを、構造化され、一般的に使用され、機械可読な形式（JSONなど）で提供します。また、技術的に可能な場合は、あなたの要求に応じて別の管理者に転送します。
• 当方の正当な利益（第2項）に基づく処理に対する異議申し立て（GDPR第21条） - 当方が、あなたの利益、権利、自由に優先する、処理のためのやむを得ない正当な理由を証明できない限り、または法的請求の確立、行使、防御のために処理が必要でない限り、処理を中止します。
• いつでも同意を撤回する権利（GDPR第7条第3項） - ウェブサイトでの広告効果測定への同意は、ウェブサイトのフッターにある「Cookie設定」リンクから撤回できます（第9項）。撤回は、それ以前の処理には影響しません。
• 監督機関への苦情申し立て（GDPR第77条） - チェコ共和国では、個人データ保護局（Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, ウェブサイト uoou.gov.cz）です。また、あなたが居住または勤務するEU加盟国の監督機関に連絡することもできます。

ご依頼は privacy@kimda.app までお送りください。データを他の人に提供したり削除したりしないように、まずアカウントの所有者がリクエストを行っていること（例えば、アカウントにひも付けられた電話番号からの確認など）を確認します。ログイン用SMSコードは絶対に送信しないでください。唯一の例外は、「Kimda obnova účtu」と記載されたSMSのコードです。これは、乗っ取られたアカウントの返還に関するお客様ご自身の要求、またはご家族の別の保護者によるそのような要求に対するお客様ご自身の承認に対する返答としてのみ、サポートが提示を求めます（第2項）；その場合でも、コードはサポートにのみ伝え、他の家族には絶対に教えないでください。サポートは、お客様のリクエスト番号を記載した support@kimda.app からのメールでのみこのコードを要求し、電話や他の家族を通じて要求することは絶対にありません。アクセスまたはデータポータビリティのリクエストは、家族のデータをJSON形式でエクスポートすることによって処理します（ログイントークンとそのフィンガープリント、およびアカウント返還リクエストの確認にのみ使用されるセキュリティ記録からの元の電話番号のフィンガープリント、ならびに電話番号の乗っ取り防止にのみ使用される電話番号およびメンバー状態の変更ジャーナルは除外します。エクスポートには直接支払いと手動返済の記録が含まれます（第2項）。写真については第3項に基づく技術的フィンガープリントが含まれ、写真自体はご要望に応じて別途提供します）。各エクスポートは記録されます（誰が、いつ、どのリクエストに基づいて準備したか）。電話番号およびメンバー状態の変更ジャーナルのイベントに関するデータ（種類と日時、フィンガープリントを除く）は、ご要望に応じてお知らせします。不当な遅滞なく、遅くとも1か月以内に回答します。複雑なケースでは、期限をさらに2か月延長することがあり、その場合は適時にお知らせします。子どもの権利は、保護者が法定代理人として代わって行使することができます。

8. セキュリティ

本アプリはパスワードを使用せず（認証済みの電話番号でのみログイン）、アクセスは15分間有効な短期間のログイントークンと、サーバーがフィンガープリントとしてのみ保存する更新トークンによって保護されています。すでに置き換えられた更新トークンの繰り返しの使用が証明された場合、サーバーはそのアカウントをすべてのデバイスからログアウトさせ、通知の登録を解除し、セキュリティ記録を書き込み、他の保護者に警告します。本番環境では、アプリとサーバー間の通信はHTTPSで行われます。写真は非公開のストレージに保存され、バックエンドは写真を提供する前に、アカウントと同じ家族への所属を確認します。データベースのバックアップは転送前に暗号化され、クラウド外に保存された秘密鍵でのみ復号できます。プロモーションコードは、データベース外のキーを使用したHMACフィンガープリントとしてのみデータベースに保存され、プロモーションコードの管理を記録します。電話番号、トークン、リクエスト内容は、サーバーの運用ログには記録されません。

9. ウェブサイトkimda.appとCookie

本項は、ウェブサイトkimda.appの訪問者にのみ適用され、本アプリの利用には適用されません。本ウェブサイトはCloudflareのネットワーク上で運営されており、Cloudflareはページを配信し攻撃から保護するため、アクセスのたびにIPアドレスとブラウザに関する情報を技術的に処理します。ウェブサイトの診断記録は、Cloudflareが最長3日間保存します。ブラウザの言語（ダウンロードリンクの場合はデバイスの種類も）に応じて、ウェブサイトは適切なバージョンのページにリダイレクトします。法的根拠は、安全で機能的なウェブサイトに対する当方の正当な利益（GDPR第6条第1項(f)）です。選択したテーマは、お使いのブラウザ内（localStorage）にのみ保存されます。Cookieに関する決定は、localStorageと、必要不可欠な技術的Cookie kimda-consent-proof（有効期間180日）に保存されます。このCookieには選択の種類と決定の時刻のみが含まれ、個人やアカウントの識別子は含まれません。ブラウザは技術上、本ウェブサイトへのすべてのリクエストとともにこのCookieを送信しますが、サーバーはこれを評価しません。これはブラウザ内のスクリプトが、同意が撤回されていないことを確認するためにのみ使用します。このCookieは同意を必要とせず、計測や広告には使用されません。

ウェブサイトのバナーで「同意する」を選択した場合に限り、本ウェブサイトはMeta Platforms Ireland LimitedのMeta Pixelを読み込みます。Meta PixelはブラウザにCookie（例：有効期間が最長90日の _fbp）を保存し、アクセスに関する情報（閲覧したページ、IPアドレス、ブラウザに関する情報、Cookieの識別子）をMetaに送信します。当方はこれをFacebookおよびInstagramにおける広告の効果測定に使用します。法的根拠はあなたの同意です（GDPR第6条第1項(a)および電子通信に関するチェコ共和国法第127/2005号第89条第3項）。これらの情報の収集および送信については、当方がMetaと共同で責任を負います。その後の処理（EU-USA Data Privacy Frameworkに基づく米国への移転が行われる場合を含む）は、Metaが独立した管理者として、facebook.com/privacy/policyに掲載された同社のポリシーに従って行います。本アプリ、アカウントまたは家族のデータをMetaに送信することは一切ありません。

同意がない限り、Meta Pixelは一切読み込まれません。同意は、ウェブサイトのフッターにある「Cookie設定」リンクからいつでも撤回できます。撤回すると、本ウェブサイトはPixelのCookieを削除し、以後Pixelを読み込みません。

テスター用ページからGoogle Groupsのテスターグループに参加した場合、グループの管理者はあなたのGoogleアカウントのメールアドレスを見ることができます。当方はこれを、アプリのテストおよびGoogle Playでのテストバージョンへのアクセスのためにのみ使用します。iPhone用のテストバージョンは、AppleがTestFlight経由で配信します。その際、GoogleおよびAppleは独立した管理者として、自社のポリシーに従ってデータを処理します。法的根拠は、テストへの参加に対するあなたのリクエスト（GDPR第6条第1項(b)）です。メールアドレスは、あなたがグループから退会するか、テストが終了するまでグループに残ります。

10. 本ポリシーの変更

本ポリシーに重要な変更がある場合は、アプリ内およびウェブサイト kimda.app でお知らせします。アプリはあなたが同意したポリシーのバージョンを認識し、保護者には新しいバージョンの確認（および場合によっては子どもに代わっての同意）を求め、子どもはそれを認識します。確認の日時とバージョンを記録します。

11. お問い合わせ

個人情報の保護に関するお問い合わせ：privacy@kimda.app