プライバシーポリシー

最終更新日: 2026年10月22日

個人事業者 松本 有輝也（以下「運営者」）は、iPhone・Apple Watch・Mac 向けアプリ「Tsugra」（以下「本アプリ」）と、本アプリが接続する運営者のサーバー（以下「運営サーバー」。あわせて「本サービス」）における、利用者の情報の取り扱いを以下のとおり定めます。

1. 取得する情報と、その行き先

1-1. 利用者の端末の中だけにある情報（運営者は受け取りません）

• 録音した音声、文字起こし、要約、タスク、日記、設定、ご自身の Anthropic API キー（端末のキーチェーンに保存）。
• 文字起こしは、端末内の音声認識（Apple の音声認識）で行います。この場合、音声は外部に送信されません。
• 声の登録（声紋）：「自分」「相手」を聞き分けるために、声の特徴（数値の並び）を端末のキーチェーンにだけ保存します。送信も iCloud 同期もしません。聞き分け用のデータ（約14MB）は初回に Hugging Face から取得しますが、その際に音声は送りません。登録は設定からいつでも削除できます。
• Apple Watch での録音は、Watch から iPhone へ Apple の WatchConnectivity で転送されます。録音状況の診断（数字と停止理由のコードのみ。音声・文字・場所を含みません）も、Watch から iPhone に送られ、設定画面で確認できます。
• API 利用の記録（回数・秒数などの数値のみ。会話・質問・心拍・場所・API キーは含みません）は、端末内に90日間保存されます。
• Mac 版の会議録音（マイクとシステム音声）、リアルタイム通訳（翻訳）は端末内で処理されます（「会議中のノート」をオンにした場合の送信は下記 1-3）。
• カレンダー（端末のカレンダー）：ご自身が「カレンダーに追加」を選んだときだけ、予定を書き込みます。「カレンダーの会議に記録係を自動で送る」をオンにした場合に限り、これからの予定を端末の中で読み、会議の URL と時刻を探します。
• Google カレンダー（「Google カレンダーをつなぐ」を選んだ場合のみ）：予定は端末の中だけで読みます。詳しくは下記 1-8 をご覧ください。

1-2. 体のデータ（ヘルスケア。任意・iPhone のみ）

• 「体のデータを1日のふり返りに使う」（初期設定はオフ）をオンにした場合に限り、ヘルスケアから心拍・心拍変動・歩数・アクティブエネルギー・エクササイズ時間・スタンド・睡眠を読み取ります（ヘルスケアへの書き込みはしません）。読み取った値は、その日のタイムライン・目立った瞬間・1日のふり返りを端末の中で作るためだけに使い、記録には保存せず、iCloud・運営サーバー・その他の第三者へ送信しません。1日のふり返りの文章は、端末内の AI（Apple Intelligence）または決まった文で作ります。ストレスは心拍変動からの推定であり、診断ではありません。
• さらに「クラウドの日記に1日の合計値を添える」（初期設定はオフ）をオンにした場合に限り、クラウドの AI で日記を作るとき、その日の合計と範囲（心拍の最小〜最大、歩数、睡眠時間、エクササイズ時間、ストレスの推定の段階）だけを、会話の要約とともに運営サーバー経由（またはご自身の API キーで直接）で Anthropic へ送ります（下記 1-3）。時刻ごとの値やヘルスケアの生のデータは送りません。iCloud 同期をオンにしている間は送りません。同期をオンにすると、合計値を添えて作った日記は iCloud に送る前に端末から削除します。
• 体のデータを広告・マーケティング・販売・データ分析の目的に使ったり、上記以外の第三者に提供したりしません。
• どちらの設定もいつでもオフにでき、ヘルスケアの読み取りの許可は「ヘルスケア」アプリで取り消せます。断っても、タイムラインに会話だけが表示され、その他の機能はそのまま使えます。
• 開発中のビルドに限り、会話に心拍・場所（町名まで）を添えて AI に送る機能があります（公開版には含まれません）。iCloud 同期をオンにしている間は、これらの体の記録は収集せず、既にある分も削除します。

1-3. AI 機能のために外部へ送られる情報

• 要約・分類・タスク抽出・日記・「聞く」・議事録では、会話の文字起こし、ご自身の質問、選択された過去の記録（および上の 1-2 で許可した1日の合計値）が、Anthropic, PBC（米国）の Claude に送られます。送る前に、設定で同意をお願いしています。
• 「覚えておくこと」（ご自身が登録した短いメモ）は端末に保存されます。クラウドの AI で「聞く」や日記を使うときに限り、質問やその日の記録に関係するもの（最大10件）を一緒に送ります。「ハイライト」（大事な場面の印）は端末に保存され、送信しません（書き出しを選んだ場合は書き出し先に含まれます）。
• 会議中のノート（Mac 版。会議オプション・Pro）をオンにした場合：会議を録っている間だけ、端末内で文字にした会議の発言のうち前回のノート以降の部分（「自分」「相手」のラベル付き）と、これまでのノート、選んだノートの型を、新しい発言がたまるたび（約3分ごと。話していない間は送りません）に運営サーバー経由で Anthropic へ送り、ノートを作ります。オフにすると送信は止まります。会議の音声そのものは送りません。会議中に「聞く」を使った場合は、その会議のここまでの文字起こしも質問とともに送られます。
• 運営サーバー経由で使う場合：運営サーバーは内容をそのまま Anthropic へ中継するだけで、内容を保存しません。ただし、通信が途切れたときの再取得のため、処理結果を最大10分間だけ一時的に保管し、その後削除します。
• ご自身の API キーで使う場合：端末から Anthropic へ直接送信され、運営サーバーは関与しません。費用はご自身の API 契約に従って発生します。
• 端末内の AI（Apple Intelligence）で要約を作る設定の場合、その要約は外部に送信されません。
• クラウド文字起こし（任意）：設定でオンにして同意した場合に限り、音声ファイルと、ご自身が設定した API キーを、ご自身が指定した文字起こしサービス（OpenAI 互換のエンドポイント）へ送信します。送信先の取り扱いはその提供元の規約に従います。

1-4. アカウントと購入（運営サーバー）

• Apple・Google・LINE・Facebook のいずれかでサインインすると、運営サーバーはその事業者が発行する識別子（sub）のハッシュ値のみを保存し、運営者が発行するランダムなアカウント ID と対応づけます。識別子そのもの、メールアドレス、氏名、プロフィール画像は保存しません。複数の方法を同じアカウントにつないだ場合は、それぞれのハッシュ値を同じアカウント ID に対応づけます。
• 購入：App Store の署名付き取引情報を検証し、購入の権利（商品 ID、元の取引 ID、有効期限、状態、appAccountToken）をアカウントに結びつけて保存します。クレジットカード等の決済情報は取得しません（Apple が処理します）。
• Web での購入（公式サイト）：決済は Stripe, Inc. が処理し、運営者はカード番号等を受け取りません。運営者は、Stripe の決済セッション ID、顧客 ID、定期購読 ID、購入した商品、支払いの状態、有効期限、受け取りコードと、それを使ったアカウント ID を保存します。氏名・メールアドレス・住所は Stripe が決済のために取得し、Stripe の方針に従って取り扱われます。
• 利用量：回数の上限や費用の上限を守るため、リクエスト ID、操作の種類、状態、利用したモデル、概算コスト、日付・月、付与された回数（パック）を、アカウントごとに保存します。会話の内容は含みません。
• 更新トークンのハッシュ、サインイン用の一時的な値（ノンス）、Apple からの通知の識別子（重複防止）を保存します。

1-5. 広告

• 本アプリは広告を表示しません。広告 SDK も含みません。

1-6. 会議の記録係（Meeting ボット）

• 会議の URL を入力すると、運営サーバーが Recall.ai, Inc.（東京リージョン）に依頼し、記録係「Tsugra 記録係」が Zoom / Google Meet / Microsoft Teams / Webex の会議に参加して、音声の録音と文字起こしを行います。
• 会議の URL は運営サーバーに保存しません（Recall.ai に渡されます）。運営サーバーは、会議のタイトル（カレンダーから自動で送る場合は予定の題名）・言語・状態・利用秒数・文字起こし（発言者の表示名を含みます）を保存します。
• 文字起こしは、アプリが受け取って確認の連絡をするまで、最大7日間運営サーバーに保管し、その後削除します。1.5MB を超える分は切り詰められます。
• Recall.ai に残る録音等のメディアは、文字起こしの取得後に削除を依頼します。
• 「チャットで通訳する」をオンにした場合：会議中、Recall.ai がリアルタイムで文字起こしした発言（発言者の表示名を含みます）を運営サーバーが受け取り、Anthropic, PBC（米国）の Claude で選んだ言語に機械翻訳して、Recall.ai を通じて会議のチャットに投稿します。訳文は会議の参加者全員が読めます。英語以外の発言をリアルタイムで文字起こしするため、Recall.ai が音声認識事業者（Deepgram, Inc.、米国）を利用する場合があります。翻訳待ちの発言は会議の終了時に削除し、翻訳の内容は保存しません（利用量と費用の記録のみ残します）。費用は AI の利用枠から差し引かれます。
• 会議の参加者全員に、記録係が参加して録音・文字起こしすることを事前に伝えてください（下記 8）。

1-7. アクセスの記録（ログ）

• 運営サーバーは Cloudflare, Inc. のサービス上で動作します。不正な連続アクセスを防ぐため、接続元（IP アドレス）単位で回数を制限します。運営者は、会話の内容をログに記録しません。通信の運用上、Cloudflare が IP アドレス等を処理することがあります。
• 本アプリは、利用者の行動を追跡する SDK や解析ツールを含みません。本ウェブページも、Cookie・解析・外部リソースを使いません。

1-8. Google のユーザーデータの取り扱い（Google カレンダー・Google でサインイン）

本アプリが Google API から受け取る情報（以下「Google ユーザーデータ」）の取り扱いは次のとおりです。

• Google でサインイン（求める権限は「openid」のみで、メールアドレスやプロフィールの権限は求めません）：サインインのためだけに使います。運営サーバーは Google の識別子（sub）のハッシュ値だけを保存し、メールアドレス・氏名・プロフィール画像は保存しません（上記 1-4）。
• 読み取る情報（「Google カレンダーをつなぐ」を選び、Google の許可画面で同意した場合のみ）：
  • カレンダーの一覧（権限「calendar.calendarlist.readonly」）：カレンダーの ID・名前・主カレンダーかどうか。会議を探すカレンダーを選んでいただくため、およびつないだアカウント（主カレンダーの ID＝メールアドレス）を設定画面に表示するために使います。
  • 予定（権限「calendar.events.readonly」）：選んだカレンダーの、3時間前から7日先までの予定の題名・開始と終了の時刻・終日かどうか・場所・説明・Google Meet などの会議の参加 URL・状態・ご自身の出欠の返事・予定の ID。会議の URL と時刻を見つけるため（記録係の自動送信・Mac の会議パネル）と、会話から拾った予定の候補が既に登録済みかの確認にだけ使います。他の参加者の一覧やメールアドレスは読み取りません。
• 書き込む情報：本アプリは Google カレンダーに書き込む権限を求めません。「Googleカレンダーで開く」は、下書きを入れた Google カレンダーの画面を開くだけで、追加するかどうかは Google の画面でご自身が決めます。
• 保存場所：Google のアクセストークン・リフレッシュトークンと、つないだアカウントは、端末のキーチェーン（この端末だけ。iCloud キーチェーンにも同期しません）にだけ保存します。読み取った予定はアプリの動作中にメモリ上で使い、つながりを外すと消します。選んだカレンダーの ID と、記録係を予約した予定の目印（予定の ID と開始時刻、会議 URL のハッシュ値）は端末の中に保存します。
• 運営サーバーに送らない情報：トークン、カレンダーの一覧、予定の内容（説明・場所・参加者など）を運営サーバーに送ることはありません。Google Calendar API とのやり取りは端末から Google へ直接行い、運営サーバーを経由しません。Google ユーザーデータを Anthropic などの AI 事業者に送ることもありません。
• 記録係を会議に送る場合だけ送る情報：「カレンダーの会議に記録係を自動で送る」をオンにした場合（またはご自身で記録係を送る場合）に限り、その会議について、会議の URL と参加の予定時刻を運営サーバー経由で Recall.ai, Inc.（東京リージョン）へ、予定の題名（120文字まで）と参加の予定時刻を運営サーバーへ送ります。会議の URL は運営サーバーに保存しません。題名は記録係の履歴として運営サーバーに保存され、アプリの記録係の一覧に表示されます（保存期間は下記 4）。
• 使わない目的：Google ユーザーデータを、広告（パーソナライズ広告・リターゲティング・興味に基づく広告を含みます）に使うこと、販売すること、データブローカー等に渡すこと、汎用の AI・機械学習モデルの開発・改良・学習に使うこと、信用度の判断や融資の目的に使うことはありません。ご自身が使う機能の提供・改善に必要な場合、セキュリティ上の目的、法令の順守に必要な場合を除き、第三者に移転しません。運営者を含め、人が Google ユーザーデータを閲覧することはありません（ご本人の明示の同意がある場合、不正利用の調査などセキュリティ上必要な場合、法令に基づく場合を除きます）。
• 保存期間と削除：端末のトークン・予定は、つながりを外すまで、またはアプリを削除するまで残ります。運営サーバーの記録係の題名は、アカウントが存在する間保存し、削除の請求（下記 6）があれば削除します。
• 許可の取り消し：アプリの「設定 > Google カレンダー > Google カレンダーを外す」でいつでも外せます。外すと Google 側の許可を取り消し（トークンの失効）、端末からトークン・選んだカレンダー・読み取った予定を削除します。Google カレンダーの予定そのものは消えません。Google アカウントの「セキュリティ > サードパーティ製のアプリとサービス」（https://myaccount.google.com/connections）からも許可を取り消せます。
• 本アプリによる Google API から受け取った情報の利用と他のアプリへの移転は、Google API Services User Data Policy（Limited Use の要件を含む）に従います。

1-9. 連携（Slack・Notion・AI アプリ・リマインダーへの送信、Obsidian への書き出し）

• 記録の画面でご自身が「送る」を押したときだけ、記録の題名・日時・名前の分かる参加者・要約・議事録・決まったこと・やること・気づきを、ご自身が選んだ送り先に送ります。記録に添えた心拍などの体の記録と場所の情報、会話の全文（文字起こし）は送りません。ただし、要約や議事録の本文に書かれた内容はそのまま送られるため、送る前に画面のプレビューでご確認ください。
• Slack・Notion：ご自身が Slack で作った Incoming Webhook の URL、または Notion で作った内部インテグレーションのトークンと送り先のページを使い、端末から Slack, Inc.（Salesforce）・Notion Labs, Inc. へ直接送ります。運営サーバーを経由せず、運営者は送った内容・URL・トークンを受け取りません。運営者は Slack や Notion のアプリ・アカウントを持たず、OAuth による許可も求めません。
• Webhook URL とトークンは、端末のキーチェーン（この端末だけ。iCloud キーチェーンにも同期しません）にだけ保存します。アプリの「設定 > 連携 > 連携を外す」でいつでも消せます。送り先に送った内容は、各サービスの方針に従って保存されます。消すときは各サービスで削除してください。
• ChatGPT・Claude などの AI アプリ：本アプリから AI 事業者へは何も送りません。頼みごとと記録をクリップボードまたは共有シートでご自身に渡し、アプリ（またはブラウザ）を開くだけです。貼り付けて送るかどうかはご自身が決め、その後の取り扱いは各事業者の方針に従います。
• リマインダー：「やることをリマインダーに追加」を押したときだけ、端末のリマインダーに追加します（Apple の EventKit。iCloud のリマインダーを使っている場合は Apple の同期に従います）。既存のリマインダーの内容は読み取りません。
• Obsidian などへの自動の書き出し（「設定 > 連携 > Obsidian」でご自身がフォルダを選んだ場合のみ・初期設定はオフ）：記録の題名・日時・名前の分かる参加者・要約・決まったこと・次にやること・議事録・気づき・関連する記録へのリンク（と、ご自身がオンにした場合だけ文字起こし）を、Markdown のファイルとしてご自身が選んだフォルダにだけ、端末の中で書き込みます。運営サーバーにも、運営者にも、ほかのどこにも送りません。心拍などの体の記録と場所の情報は書き出しません。選んだフォルダが iCloud Drive などの中にある場合は、そのサービス（Apple など）の同期に従ってほかの端末に届きます。書き出したファイルは本アプリの記録を消しても自動では消えないため（設定で「_deleted フォルダへ移す」も選べます）、不要になったらご自身で削除してください。フォルダの許可は「連携を外す」で消せます。
• Claude Code・Claude デスクトップ（MCP）：Mac 版に同梱する小さなプログラム（tsugra-mcp）をご自身が Claude Code などに登録した場合、そのプログラムは上の書き出したフォルダのファイルを読むだけで、本アプリのデータベースには触れず、通信もしません。読み取った内容がその後 AI 事業者（Anthropic など）へ送られるかどうかと、その取り扱いは、ご自身がお使いの Claude Code などの設定と各事業者の方針に従います。

2. 利用目的

• 録音、文字起こし、要約、日記、検索、「聞く」、議事録、通訳など、本サービスの機能を提供するため。
• サインイン、購入の確認、利用枠・上限の管理、不正利用の防止のため。
• 障害の調査、品質の改善、問い合わせへの対応のため。
• 法令に基づく対応のため。

取得した情報を、広告配信のための利用者の追跡や、第三者への販売に使うことはありません。

3. 第三者への提供・外部への送信

次の場合を除き、個人データを第三者に提供しません：ご本人の同意がある場合、法令に基づく場合、人の生命・身体・財産の保護に必要な場合など個人情報保護法が認める場合。下表は、本サービスの機能を提供するためにデータの取り扱いを委ねる、または機能を使うと情報が送られる外部事業者です。

外国にある事業者へ情報が送られる場合があります（上表の米国など）。各国の個人情報の保護制度は日本と異なることがあります。各事業者は自社のプライバシー方針に従ってデータを取り扱い、AI 事業者がデータを一定期間保持することがあります。詳細は各社の公開情報をご確認ください。運営者は、上記の事業者に対して、機能の提供に必要な範囲を超えて情報を送りません。

4. 保存期間

• 端末内のデータ：利用者が削除するまで（音声は設定した保持期間まで。API 利用の記録は90日）。
• AI の処理結果の一時保管：最大10分。
• 会議の文字起こし：受け取り確認まで、最長7日。
• Google カレンダーのトークンと読み取った予定（端末内）：つながりを外すまで、またはアプリを削除するまで。
• Slack の Webhook URL・Notion のトークン（端末内）：連携を外すまで、またはアプリを削除するまで。
• アカウント・購入・利用量の記録：アカウントが存在する間。削除の請求があった場合は、法令上保存が必要なものを除き、削除します。アプリの「アカウントを削除」を実行した場合、または Apple が「アカウントの削除」を通知した場合は、対応するサインイン方法の対応づけを削除します。
• データの削除の方法（Facebook などでログインした場合も同じ）：アプリの「設定 > アカウント > アカウントを削除」を実行すると、運営サーバー上のアカウントと、つないだすべてのサインイン方法の対応づけ（識別子のハッシュ値）が削除されます。アプリを使えない場合は、お問い合わせ先にご連絡ください。

5. 安全管理

運営サーバーとの通信は暗号化（HTTPS）されます。API キー、声の特徴、連携の Webhook URL とトークンは端末のキーチェーンに保存します。運営サーバーは、Apple の署名の検証、署名付きトークン、接続回数の制限、アカウントごとの隔離された保管を用いて、不正アクセスや情報の漏えいを防ぐよう努めます。ただし、完全な安全性を保証するものではありません。

6. 開示・訂正・削除などの請求

ご本人は、運営サーバーが保有する保有個人データについて、利用目的の通知、開示、訂正、利用停止、削除、第三者提供の停止を請求できます。下記の連絡先に、ご請求の内容とアカウント ID（設定 > アカウントに表示）をお知らせください。本人確認のうえ、合理的な期間内に対応します。端末内のデータは、アプリの「記録データの消去」から、また「すべての端末からサインアウト」から、ご自身で削除・解除できます。書き出したファイルや OS・iCloud のバックアップ、他社へ送信済みの内容は、運営者では削除できません。

7. 未成年の方

未成年の方は、親権者などの法定代理人の同意を得たうえで本サービスをご利用ください。13歳未満の方からの意図的な個人情報の取得は行いません。

8. 録音と周囲の方への配慮

本サービスは会話を録音・文字起こしします。他の人の声や発言を録音する場合は、その場にいる人への配慮と、お住まいの国・地域の法令（盗聴・録音・プライバシーに関する法令）、会議や職場の規則の順守が必要です。必要な告知や同意の取得は、利用者ご自身の責任で行ってください。会議の記録係を使う場合は、参加者全員に事前に伝えてください。

9. 本ポリシーの変更

法令や本サービスの変更に応じて、本ポリシーを改定することがあります。重要な変更は、本ページまたはアプリ内でお知らせします。改定後に本サービスを利用された場合、改定後のポリシーに同意したものとみなします。

10. お問い合わせ先

事業者：個人事業者 松本 有輝也
連絡先：support@tsugra.com