moon made me — プライバシーポリシー

施行日: 2026年10月1日
最終更新日: 2026年10月1日
バージョン: 2.0

はじめに（かんたんな説明）

moon made me は、集める情報をできるだけ少なくすることを前提に作られています。まず大切なことをお伝えします。年少の方にもわかるよう、この部分はやさしい言葉で書いています。

取得しないもの

• パスワード（サインインはApple・Google・メールのリンクで行います）
• GPSなどの詳しい位置情報、連絡先、写真、カレンダー、閲覧履歴。（Android版のアプリは、ふさわしいオンラインストアを開くために、インターネット接続がどの国からのものかだけを確認します。その結果を当社のサーバーに残すことはありません。）
• 生年月日や年齢
• 広告識別子（IDFA / GAID）— アプリをまたいだ追跡は行いません
• 行動ターゲティング広告のためのプロフィール
• アプリ内の第三者によるプログラマティック広告（一部の画面には当社が選んだ商品が表示され、当社が紹介料を得ることがあります）

取得するもの

• お客様が決めたお名前またはニックネーム
• ガイドの設定（アバター、名前、語り口、通知時刻）
• タイムゾーン（端末から取得。1日の切り替えを現地の深夜0時に合わせるために保存します）
• メールアドレス — サインイン方法から返される場合に限ります。メールのリンクでサインインする場合は、お客様から直接お伺いします。Apple・Googleでサインインする場合は、提供元がメールアドレス（Appleで「メールを非公開」を選ばれた場合はプライベートリレーのアドレス）をFirebase Authenticationに渡します。いずれの場合も認証記録の中にのみ保管し、退会時に削除します。
• 最後にアプリを開いた日時（使われていないアカウントや古いデータを把握するため）
• どの日にどの毎日の手紙（ささやき）をご覧になったか（365日以内に同じものが出ないようにするため）
• 商品カードのタップ。当社のデータベースに記録します。ストアへのリンクには当社のアフィリエイトタグを付けますが、お名前、メールアドレス、アカウントID、個々のタップを識別する参照値は付け加えません。
• 井戸（Echo Well）に手紙を封じるときに書き添える短いメモ（100文字まで）— 選ばれた到着日まで保管し、その日にお返しします。他のお客様が読むことはできません。

取得した情報の使いみち

• 選ばれた語り口に合う毎日の手紙をお届けする
• 毎日の通知を送る（お客様が許可された場合のみ）。また、3日・7日・15日ご利用がないときに、お戻りをお誘いする通知（「リマインダー」）を最大3回お送りします（リマインダーはサービス上のお知らせであり、広告・宣伝ではありません。初期設定で有効で、設定画面の「リマインダー」から停止できます）
• その日の気分に合う商品を、お住まいの地域のオンラインストアからご提案する
• 封じられた手紙を到着日まで預かり、届いたことをお知らせする
• アカウントに結びついた利用記録をもとにアプリを改善する（第2.2項参照）

行わないこと

• 個人情報の販売
• 広告ネットワークやデータブローカーへの提供
• 行動ターゲティング広告への利用
• 下記に挙げたサービス提供事業者とストア以外への提供

18歳未満（タイでは20歳未満）の方へ

• アプリを使う前に、親権者や保護者の方に相談してください。
• 封じる手紙やご意見に、健康、宗教、他の人の秘密など、人に知られたくないことは書かないでください。
• あなた（または親権者の方）は、いつでも、あなたの情報を見せてほしい、直してほしい、消してほしいと当社に頼むことができます。contact@hasia.ai にメールしてください。
• あなたの情報について何かおかしいと思ったら、親権者や保護者の方に伝えて、当社にメールしてください。あなたの情報が危なくなるような問題が起きた場合、法令で求められるときは、当社からお知らせします。

以下に詳細を記載します。この要約と詳細な条項の内容が食い違う場合は、詳細な条項が優先します。

1. はじめに

moon made me（以下「当社」）は、モバイルアプリケーション moon made me（以下「本サービス」）を運営しています。本ポリシーは、本サービスのご利用にあたり、当社が情報をどのように取得、利用、共有、保護するかを説明するものです。

お客様の情報について責任を負う者（管理者）: Hasia Co., Ltd.、108-1, Gasan Mobius Tower, 169-23 Gasan digital 2-ro, Geumcheon-gu, Seoul, 08504, Republic of Korea（大韓民国 08504 ソウル特別市衿川区加山デジタル2路169-23 ガサン・メビウスタワー108-1）。連絡先およびデータ保護責任者: contact@hasia.ai（第15項参照）。

本ポリシーは、本アプリのすべてのバージョンに適用されます。同じ機能でも、お使いのバージョンによって呼び方が異なることがあります。

商品カードのタップは、名前のついたイベントとしてではなく、product_clicks テーブルの行として記録します。

当社は、本サービスのご利用をもって同意とみなすことはありません。お客様の情報は、第3.1項に定める法的根拠に基づいて取り扱います。同意に基づく場合は別途同意をお願いし、その同意はいつでも撤回できます。

本ポリシーの一部は特定の国にのみ適用されます。第13項「地域別のプライバシー情報」（米国、EEA・英国、日本、フィリピン、マレーシア、タイ）をご覧ください。本ポリシーは英語・日本語・タイ語・マレー語で提供しています。翻訳版と英語版の内容が抵触する場合は英語版が優先します。ただし、現地の法令により現地語版を優先すべきものとされる場合は、この限りではありません。なお、この定めは、日本の法令によりお客様に認められる保護を制限するものではありません。

2. 取得する情報

取得元: (a) お客様がご入力になる場合はお客様ご本人、(b) 本サービスのご利用中に自動的に、お客様の端末と本アプリ、(c) お客様のサインイン方法の提供元（Apple、Google、またはFirebaseのメールリンク）。提供元からは識別子と、返される場合はメールアドレスを受け取ります。当社がお客様に関する情報を他から購入することはなく、商品カードから移動されたストアが、購入やアカウントに関する情報を当社に送ることもありません。

2.1 お客様にご入力いただく情報

初期設定と設定画面で、次の情報をご入力いただく場合があります。

自由記述欄に機微な情報を書かないでください。 ご意見と手紙に添えるメモは自由記述です。健康に関する情報、宗教的・思想的な信条、その他の機微な情報、および他の方の個人情報を含めないでください。含まれていた場合でも、当社はお返しするため（手紙）または読むため（ご意見）にのみ保管し、分析その他の目的には利用しません。

2.2 自動的に取得される情報

本サービスのご利用時に、次の情報を取得します。

2.3 取得しない情報

明確にするため、以下は取得も参照もしません。

• パスワード、そのハッシュ値、生体認証の情報（サインインは、お客様が選ばれた提供元 — Apple、Google、またはFirebaseのメールリンク — がすべて行います）
• GPS、Wi-Fi、携帯電話の基地局、または端末の位置情報サービスによる端末の正確な位置またはおおよその位置。位置情報の利用許可をお願いすることもありません。当社が用いる位置に関連する情報は、第2.4項に記載する国のみであり、市区町村、地域、座標を用いることはありません
• 連絡先、カレンダー、写真、メディアライブラリ
• 端末の動き、健康・運動・身体に関する情報、生体情報
• マイクやカメラの入力
• アプリ外の閲覧履歴（商品カードをタップした後にストアで閲覧・購入されたものを含みます）
• 広告識別子（iOSのIDFA、AndroidのGAID）— App Tracking Transparency の許可も求めません
• SMS、通話履歴、メッセージの内容
• 金融口座や決済カードの情報（本バージョンではアプリ内での決済を行いません）
• 生年月日および星座 — 過去のバージョンでは初期設定でお伺いしていましたが、現在は取得しておらず、過去に取得した値もすべて完全に削除済みで、バックアップの写しも保持していません

2.4 国の判定とストアへのリンク（ストアへのリンクの仕組み）

表示するストアの決め方　ストアは、言語ではなく地域によって選びます（利用規約6.1参照）。

• iOS: 端末の地域の設定（設定 → 一般 → 言語と地域）を読み取ります。このために当社へ送信される情報はありません。
• Android: Androidには独立した地域の設定がないため、本アプリは moonmademe.com/geo に問い合わせます。当社のCloudflare Workerは、その通信についてCloudflareがIPアドレスから判定した国コードを読み取り、端末に返します。この結果、およびこの目的でのIPアドレスを、当社のサーバーに保存することはありません（応答はキャッシュされないよう指定しています）。本アプリは、判定された国を端末内に24時間保存します。判定に失敗した場合は、端末の言語設定に含まれる国を代わりに用います。国はストアを選ぶためだけに用い、広告やプロフィールの作成には用いません。

当社の商品一覧の各商品はいずれか1つのストアに属するため、商品のタップ記録から、どのストアへ移動されたかがわかります。

リンクに含まれる情報　商品カードをタップされると、本アプリはタップを当社のデータベースに記録し、当社の中継 moonmademe.com/r/{product_id} を開きます。中継では当社のアフィリエイト識別子（例：当社のAmazonのタグ）のみを付け加え、ストアまたはアフィリエイト・ネットワークへご案内します。お客様やお客様の個々のタップを識別する情報を送ることはありません — お名前、メールアドレス、アカウントID、タップごとの参照値のいずれも送りません。このため、当社がアフィリエイト・プログラムから受け取る販売報告は、利用者ごとではなく、商品別・日付別の合計を示すものです。購入の詳細、注文の内容、ストアのアカウント情報を当社が受け取ることはありません。

当社が送る情報とは別に、お客様の端末がストアへのリンクを開くと、アフィリエイト・ネットワークとストアは、一般のウェブサイトと同様に、その中継ページでお客様のIPアドレスやブラウザ・ユーザーエージェントの情報などを受け取り、独自のCookieを設定することがあります。お客様がストアにサインインしている場合、ストアはそのストア自身のプライバシーポリシーに基づき、訪問をお客様のストアのアカウントと結びつけることがあります。第4項および第10項をご覧ください。

2.5 ご提供が必要な情報と任意の情報

3. 利用目的

取得した情報は、次の目的のために利用します。

• 毎日の内容をお届けするため: 選ばれたガイドと語り口に合う毎日の手紙を選び、365日間を通じて同じものが出ないようにします
• 通知をお送りするため: 通知を許可された場合、選ばれた時刻に端末での通知を予約します。あわせて初期設定では、3日・7日・15日ご利用がないときに、お戻りをお誘いする通知（「リマインダー」）を最大3回予約します。リマインダーは、毎日の通知を止めずに、設定画面の「リマインダー」から個別に停止できます
• 商品を選ぶため: 社内のキーワードの分類に基づき、その日の気分に合う商品を、お住まいの地域のストア（第2.4項）から選びます
• アフィリエイトの紹介料の受け取りと計測のため: 商品別・日付別の合計を示す各プログラムの販売報告を確認します
• アカウントを運用するため: サインイン、設定の変更、退会の処理
• 封じられた手紙をお届けするため: 井戸に書き添えたメモを選ばれた到着日まで保管し、届いたときに通知でお知らせし、お返しします
• 本サービスを改善するため: アプリ内の利用記録（Firebase UIDとともにSupabaseに保管。第4項参照）から、機能の使われ方、初期設定の完了率、共有のされ方を把握します
• 商品と内容の効果を把握するため: 商品の表示・タップ・戻るまでの時間の記録から、どの商品がどの気分と響き合うかを評価し、選定を改善します
• ご意見を読むため: 設定画面の「ご意見」からお送りいただいた内容を、読んで改善の優先順位を検討し、可能な場合は返信するためだけに、アカウントIDと結びつけて保管します
• お問い合わせに対応するため: サポートのご依頼、開示・削除のご請求、法令に基づくお問い合わせへの対応
• 本サービスの安全を守り、法令上の義務を果たすため: 不正利用の防止、事案の調査、法令の遵守

自動的な選択とプロファイリング　本アプリは、お客様の語り口、その日の気分、お住まいの地域に基づいて、表示する毎日の手紙と商品を自動的に選びます。これによってお客様に法的効果またはこれと同様の重大な影響が生じることはなく、当社が広告のためにお客様のプロフィールを作成することもありません。

上記の目的と合理的な関連性を有しない新たな目的でお客様の情報を利用しようとする場合は、事前にお知らせし、法令上必要な場合は同意をお願いします。利用目的を変更する場合は、変更前の利用目的と関連性を有すると合理的に認められる範囲に限り、変更後の目的を本ポリシーに反映してお知らせします。

3.1 取扱いの法的根拠

お住まいの国の法令が法的根拠を求める場合（EUのGDPR・英国GDPR、フィリピンのデータプライバシー法、マレーシアのPDPA、タイのPDPAなど）、当社は次の根拠に基づいて取り扱います。本サービスの提供に必要でないものについて、同意を本サービスのご利用の条件とすることはありません。

マレーシアのPDPAは同意を中心とする異なる仕組みをとっています。第13.5項をご覧ください。

4. 情報の共有

当社は、次のサービス提供事業者および提携先に対してのみ、定められた目的のために、必要最小限の範囲で情報を共有します。サービス提供事業者（委託先）は、各社の利用規約および標準的なデータ処理条件に基づいて当社のためにデータを取り扱います。これらの条件は、データの利用を当社へのサービスの提供に限定し、データの保護を義務づけるものです。独立した事業者（サインイン方法の提供元、アフィリエイト・プログラム、ストア）は、各社のプライバシーポリシーに基づいて情報を取り扱います。

当社が行わないこと:

• 金銭その他の対価と引き換えに個人情報を販売すること。（アフィリエイト・プログラムが当社に支払う紹介料は、お客様の情報ではなく販売に対するものです。）
• 広告ネットワークやデータブローカーに個人情報を提供すること
• 個人情報を、サービスをまたいだ行動ターゲティング広告に利用すること
• 当社が送った情報を、第三者がお客様を他のアプリ、サービス、ウェブサイトをまたいで追跡するために利用することを認めること

アプリからストアへ移動された場合　商品カードをタップすると、アフィリエイト・ネットワークとストアへ移動します。これらの事業者は、自社のサイト上で、自社のプライバシーポリシーに基づき情報（Cookie、IPアドレス、閲覧されたページなど）を取得し、時間やウェブサイトをまたいで取得することがあります。当社はその取得を管理しておらず、商品別・日付別の合計を示す販売報告を除き、取得された情報を受け取ることもありません。

4.1 法令に基づく開示

法令、正当な法的手続（令状、裁判所の命令等）に基づく場合、またはお客様もしくは公衆の安全と権利を守るために必要な場合には、情報を開示することがあります。範囲が過大または不適切な請求に対しては、可能な限り異議を述べます。

4.2 事業の承継

moon made me が合併、買収、資産の譲渡等の対象となった場合、その取引の一部としてお客様の情報が承継されることがあります。承継後にお客様の情報が本ポリシーと大きく異なるプライバシーポリシーのもとで取り扱われることになる場合は、お客様にお知らせし、アプリ内に掲示します。

5. 保管期間

情報は、記載した目的のために必要な期間に限って保管します。具体的には次のとおりです。

• プロフィール（お名前、各種設定）: アカウントが有効な間。退会のお申し出から30日以内に削除します（法令上の保存義務がある場合を除きます）。
• 毎日の手紙の閲覧履歴: 365日の経過後に順次自動削除します。
• 商品のタップ記録（別の product_clicks テーブル）: 180日の経過後に自動削除します。個人を特定しない集計値（例：「Z日に商品Yが X回タップされた」で、利用者の識別子を含まないもの）は、事業の分析のためより長く保持することがあります。
• アプリ内の操作記録（onboarding_step、share_tapped、app_open、vibe_grid_impression、talisman_drawn、whisper_viewed、product_click_return）: 365日の経過後に自動削除します。
• 利用状況の日次集計（daily_active_users テーブル）: 生の記録を削除した後も日次・週次・月次の利用者数を算出するため、（Firebase UID、日付）ごとに1行を保持します。この行にはFirebase UIDが含まれ、匿名化されていません。 アカウントが有効な間保持し、退会時にデータベースの連動削除により削除されます。 日ごとの商品を選んだ履歴（利用者・日付・気分ごとに1行）も同様です。
• ご意見・ご感想: 送信から24か月間保管し、その後自動削除します。対応中のお問い合わせがある場合を除きます。
• 封じられた手紙（メモ、封じた時点の毎日の手紙の写し、ガイドの名前）: アカウントが有効な間保管します。1年後に届くよう予約された手紙はその1年間残っている必要があり、また開封後も井戸で読み返せることがこの機能の目的であるため、期間による自動削除は行いません。退会時に削除されます。
• ストアを選ぶための国（Android）: 当社のサーバーには保存せず、端末内に24時間保存します。
• プッシュ通知トークン: 本アプリで通知を停止されたとき、または退会時に削除します。端末の設定でのみ通知を停止された場合は、本アプリの次回の同期の際に削除します。
• 認証識別子: 退会時に削除します。
• 運用ログ（不具合調査、安全確保）: 90日を上限とします。
• 異常終了の記録と操作の足跡ログ（Firebase Crashlytics）: Googleの既定に従い90日保管します。
• 漏えい等およびご請求に関する記録: 法令が安全上の事案やプライバシーに関するご請求の記録の保存を求める場合は、法令に従って保存します。

6. お客様の権利

6.1 いつでもご自身でできること

• 設定画面でのお名前・ガイド・語り口・通知時刻の確認と変更
• 通知の停止（端末の設定または本アプリの設定画面から）
• お戻りをお誘いする通知だけの停止（毎日の通知とは別に、設定画面の「リマインダー」から停止できます）
• サインアウト、および本サービスのご利用の停止
• 退会（設定画面から。手順は moonmademe.com/delete-account でご案内しています。またはご連絡により）

退会により、上記の保管の例外を除き、個人データは30日以内に削除されます。

6.2 当社にご請求いただける権利

お住まいの地域の法令に応じて、次の権利を有する場合があります。

• 当社による情報の利用方法について知らされる権利（本ポリシー）
• 情報へのアクセスとその写しの取得
• 不正確または不完全な情報の訂正
• 情報の削除またはブロック
• データポータビリティ — 一般的に利用される電子的な形式で情報を受け取ること、または技術的に可能な場合に他の事業者へ送るよう求めること
• 特定の取扱い（正当な利益に基づく取扱いなど）への異議、またはその制限の請求
• 同意に基づく取扱い（プッシュ通知など）についての同意の撤回。撤回は、撤回前に行われた取扱いには影響しません
• データ保護の監督機関への苦情の申立て（各国の監督機関は第13項をご覧ください）

当社は、特定の法令が当社に求めるかどうかにかかわらず、技術的・法的に可能な範囲で、これらの権利をすべてのお客様にご提供します。

ご請求の方法: contact@hasia.ai 宛に、件名を 「プライバシーに関するご請求」（Privacy Request）としてご連絡ください。サインインにお使いのメールアドレスによりご本人であることを確認したうえで対応します。手数料はいただきません。 30日以内の回答を目指し、お住まいの国の法令がより短い期間を求める場合はそれに従います（例：日本では2週間以内を目標としています）。法令が認める範囲で期間の延長が必要な場合や、ご請求に応じられない場合は、その理由をお知らせします。未成年の方については、親権者または保護者がご請求いただくこともできます。

7. お子様の個人情報

moon made me は、13歳未満の方を対象としていません。 13歳未満の方から、それと知りながら個人情報を取得することはありません。EEAおよび英国では、確認可能な親権者の同意がある場合を除き、最低年齢は16歳（または現地のデジタル同意年齢がこれより高い場合はその年齢）です。

お住まいの国で未成年にあたる方 — 日本・フィリピン・マレーシアでは18歳未満、タイでは20歳未満 — は、親権者または保護者の同意を得て本サービスをご利用ください（利用規約2.2参照）。未成年の方の情報について当社が同意に基づいて取り扱う場合、法令が求めるときは、その同意は親権者または保護者が行い、または承認したものである必要があります。本ポリシー冒頭の「かんたんな説明」にある**「18歳未満（タイでは20歳未満）の方へ」**の部分は、年少の方に向けてやさしい言葉で書いた要約です。

親権者または保護者の方で、13歳未満のお子様が当社に個人情報を提供したとお考えの場合は、contact@hasia.ai へご連絡ください。合理的な期間内に情報を削除し、アカウントを停止します。

本アプリには各アプリストアで年齢区分が設定されていますが、当社がそれ以外の方法で年齢を確認することはありません。既存のお客様が13歳未満であることが後に判明した場合は、アカウントを停止し、関連するデータを削除します。米国の児童オンラインプライバシー保護法（COPPA）については、第13.1.4項をご覧ください。

8. 安全管理措置

当社は、お客様の情報を保護するため、次の技術的・組織的な措置を講じています。

• 本アプリと当社のサーバーとの間の通信の暗号化（HTTPS / TLS 1.2以上）
• 保管データの暗号化（データベースの提供事業者であるSupabaseが、保管するすべてのデータとバックアップをAES-256で暗号化しています）
• データベースにおける行単位のアクセス制御 — お客様のアカウントから他のお客様のデータにアクセスすることはできません
• OAuthによる認証 — 当社がApple・Googleのパスワードを目にすることはありません
• 運用担当者のアクセスについての権限の最小化と、個人データを取り扱う者の限定
• 期間の定めがあるデータの自動削除（第5項参照）
• サーバー基盤における依存関係と脆弱性の監視
• 漏えい等の事案の報告と対応のための手順

個人情報保護法第23条に基づく安全管理措置（日本）として、上記を含め次の措置を講じています。

組織的な措置

• 個人情報の取扱いに関する責任者の設置
• 取り扱う担当者と取扱範囲の限定
• 漏えい等の事案に備えた報告連絡体制の整備

人的な措置

• 担当者に対する個人情報の取扱いに関する周知

物理的な措置

• 個人データを取り扱う端末の管理

技術的な措置

• 通信の暗号化（HTTPS / TLS 1.2以上）と保管データの暗号化
• データベースにおける行単位のアクセス制御
• 認証を第三者（Apple・Google・Firebase）に委ねる方式の採用 — 当社はパスワードを保持しません
• 権限の最小化
• 期間の定めがあるデータの自動削除（第5項）
• 依存関係と脆弱性の継続的な監視

外国において個人データを取り扱うことに伴う措置

• 保管国はアメリカ合衆国です。当該国の制度と、提供先が講じる措置については第13.3.2項に記載しています

完全に安全な仕組みは存在しません。安全上の事案がお客様の個人情報に影響する場合は、適用される法令に従い、関係する監督機関およびお客様にお知らせします。 これには次のものを含みます。

• フィリピン: 通知が必要な漏えいを知ってから72時間以内に、国家プライバシー委員会（National Privacy Commission）と影響を受けたデータ主体に通知します。お子様が影響を受けた場合は、お子様とその親権者または保護者の双方に通知します
• マレーシア: 漏えいが重大な損害を生じさせ、またはそのおそれがある場合、72時間以内に個人データ保護コミッショナーに通知し、その後7日以内に影響を受けたデータ主体に通知します
• タイ: 漏えいがリスクを生じさせるおそれがない場合を除き、可能な限り72時間以内に個人情報保護委員会（PDPC）に通知し、高いリスクがある場合は影響を受けたデータ主体に遅滞なく通知します
• 日本: 個人情報保護委員会（速報を速やかに、確報を法定の期間内に）およびご本人
• EEA / 英国: GDPR / 英国GDPRの定めに従い、所轄の監督機関、および高いリスクがある場合は影響を受けたご本人
• 米国: 適用される州の漏えい通知法の定めに従い、影響を受けたご本人と当局

9. 国外へのデータの移転

当社は大韓民国を拠点とし、主要なサーバーはアメリカ合衆国（Supabaseを通じたAWS 米国東部、バージニア北部）にあります。どこで本サービスをご利用になる場合も、お客様の情報はお住まいの国の外へ移転され、保管・処理されます。それらの国のデータ保護法は、お住まいの国のものと異なる場合があります。

移転先:

移転する情報の保護　当社は「本サービスのご利用をもって移転に同意したものとみなす」という方法にはよりません。 次のとおり保護します。

• サービス提供事業者（Google/Firebase、Supabase、Resend、Cloudflare、Expo）は、各社のデータ処理条件（該当する場合は標準契約条項を含みます）に基づいて移転された情報を受け取ります。これらの条件は、利用を当社へのサービスの提供に限定し、適切な安全管理を義務づけるものです。
• アフィリエイト・プログラムとストア（Amazon、Involve Asia、Lazada、Shopee）は、お客様が商品リンクをたどってそのサービスへ移動されることを選んだために情報を受け取ります。この移転は、お客様をそのサービスへご案内し、紹介料を計算するために必要なものであり、当社からお客様やそのタップを識別する情報を送ることはありません（第2.4項）。
• 移転するすべてのデータに、当社自身の保護措置を講じています（第8項）。

ご請求があれば、法令が求める場合には関連する条項の写しまたは概要を含め、お住まいの国についての保護措置の詳細をご提供します。

国別の補足:

• 日本: 第13.3.2項（個人情報保護法に基づく外国にある第三者への提供）をご覧ください。
• フィリピン: データプライバシー法の説明責任の原則に基づき、当社は取扱いのために他者へ移転した情報についても引き続き責任を負い、契約その他の合理的な手段により同等の水準の保護を確保します。
• マレーシア: マレーシア国外への移転は、PDPA第129条（2024年改正後のもの）に従い、実質的に同様の法令を有する場所もしくは十分な水準の保護がある場所へ、または同法が認めるその他の条件のもとで行います。
• タイ: タイ国外への移転は、PDPA第28条・第29条およびPDPCの告示に従い、該当する場合は標準契約条項などの適切な保護措置を用いて、または同法が認めるその他の根拠に基づいて行います。
• EEA / 英国: 第13.2項をご覧ください。

10. Cookie等について

moon made me はネイティブのモバイルアプリであり、ブラウザのCookieは使用しません。次のものを用います。

• 端末内の保存領域（iOS/AndroidのAsyncStorage）: プロフィール、その日の毎日の手紙、セッション識別子、サインインリンクの再送待ち時間、（Android）ストアを選ぶための国（最長24時間）を保存します。いずれも第三者へは渡しません。Appleでサインインされた方が退会される際は、本アプリがAppleにもう一度確認を求め、Appleから返される一度限りのコードを、App Storeのガイドライン5.1.1に従いAppleのサインイントークンを無効にするためだけに用います。このコードは保存しません。無効化に失敗した場合は、お客様ご自身でAppleアカウントの設定から moon made me を削除する方法を本アプリでご案内します。
• Firebase AuthenticationのIDトークン（サインイン後に発行）: ログイン状態を維持するために端末内に安全に保存します。OSにより暗号化して保存され、利用者ごとのデータベースへのアクセスを認可するため、BearerトークンとしてSupabaseに送信されます。

ウェブビーコン、ピクセルタグ、フィンガープリンティング、アプリをまたいだ追跡の技術は使用しません。

ストアとアフィリエイトのサイト　商品カードをタップすると、ページは本アプリの外（ブラウザまたはストアのアプリ）で開きます。そこでは、アフィリエイト・ネットワーク（Involve Asiaなど）とストア（Amazon、Lazada、Shopeeなど）が、各社のポリシーに基づき独自のCookieや類似の技術を設定することがあります。当社はこれらを管理していません。ブラウザまたはストアのアプリの設定から管理することができます。

11. Do Not Track（トラッキング拒否）

Do Not Track はブラウザ単位の規格であり、ネイティブのモバイルアプリには適用されないため、本アプリは Do Not Track の信号には対応していません。ただし、Do Not Track の設定にかかわらず、当社がお客様を他のアプリやサービスをまたいで追跡することはありません。 商品リンクから移動されたストアやアフィリエイト・ネットワークには、それぞれ独自の取扱いがあります（第10項）。

12. 広告について（現状：なし）

本ポリシーの施行日時点で、moon made me は第三者の広告を一切表示していません。 広告ネットワークによるバナー、全画面広告、リワード動画、スポンサーコンテンツのいずれもありません。広告配信のためのSDKを用いず、広告識別子も取り扱いません。アフィリエイトの商品カードについては、第2.4項および利用規約第6条に記載しています。

将来、広告を導入する場合または情報の取扱いを変更する場合は、次を行います。

• 本ポリシーを改定し、アプリ内で30日以上前にお知らせする
• 適用される法令が求める停止の手段と同意の手続を用意する（iOSのApp Tracking Transparencyの確認画面、該当する場合のGDPRの同意バナーなど）
• App Storeのプライバシーラベルおよび Google Play のデータセーフティの開示内容を更新する

13. 地域別のプライバシー情報

以下の各項は、該当する地域の方について本ポリシーの他の部分を補うものです。本ポリシーの他の部分と抵触する場合は、その地域の方については地域別の項が適用されます。

13.1 米国

13.1.1 カリフォルニア州（CCPA / CPRA）

当社は、CCPAが当社に適用されるかどうかにかかわらず、カリフォルニア州にお住まいの方に次の権利をご提供します。

• 知る権利 — 取得している個人情報の種類とその目的（第2項参照）、取得元（第2項）、提供先の種類（第4項）
• アクセス — 当社が保有するお客様の具体的な個人情報の写しの提供
• 削除 — 法令上の保存義務の例外を除く、個人情報の削除
• 訂正 — 不正確な個人情報の訂正
• 販売・共有の停止 — サービスをまたいだ行動ターゲティング広告のための個人情報の販売または共有の停止。当社はお客様の情報を販売せず、サービスをまたいだ行動ターゲティング広告のために共有することもありません。 当社は、アフィリエイト・プログラムにお客様やそのタップを識別する情報を送りません（第2.4項）。
• 機微な個人情報の利用制限 — 当社はCCPA/CPRAに定める機微な個人情報を取得していません
• 差別の禁止 — これらの権利を行使されたことを理由に、サービスの拒否、異なる価格の請求、異なる品質のサービスの提供を行いません

過去12か月に取得した情報の種類: 識別子（サインインの識別子、メールアドレス、プッシュ通知トークン）、インターネットその他の電子的ネットワーク上の活動（アプリ内の利用記録、商品のタップ）、国単位のおおよその位置情報のみ（Androidのストア選択、保存しません）、推論 — その日の気分と商品の組み合わせを超えるものはありません。

これらの権利を行使される場合は、contact@hasia.ai 宛に、件名を 「プライバシーに関するご請求」（Privacy Request）としてご連絡ください。サインインにお使いのメールアドレスによりご本人であることを確認したうえで、CCPAの定めに従い45日以内に回答します。カリフォルニア州司法長官またはカリフォルニア州プライバシー保護局（cppa.ca.gov）に連絡することもできます。

13.1.2 カリフォルニア州オンライン・プライバシー保護法（CalOPPA）

• 情報の種類と提供先: 第2項および第4項
• 情報の確認と訂正: 第6項
• 変更のお知らせの方法: 第14項
• Do Not Track: 第11項
• 第三者による時間・サイトをまたいだ取得: 当社は、追跡を目的として、第三者が本アプリを通じてお客様のオンライン上の活動に関する情報を取得することを認めていません。商品リンクからストアやアフィリエイト・ネットワークへ移動された場合、それらの事業者は自社のサイト上で、自社のポリシーに基づき、時間やウェブサイトをまたいでお客様の活動に関する情報を取得することがあります（第4項、第10項）。

13.1.3 米国のその他の州

包括的なプライバシー法を有する米国の州にお住まいの場合、上記と同様の権利（アクセス、訂正、削除、ポータビリティ、ターゲティング広告・販売・プロファイリングからのオプトアウト）を有する場合があります。当社は、米国にお住まいのすべての方からのこれらのご請求に、第6.2項の手続により対応します。当社がご請求をお断りした場合は、当社の回答に返信して再検討を求めることができ、お住まいの州の司法長官に連絡することもできます。

13.1.4 お子様（COPPA）

本サービスは13歳以上の一般の利用者を対象としており、13歳未満のお子様を対象としていません。13歳未満のお子様から、それと知りながら個人情報を取得することはありません。取得していたことが判明した場合は、その情報を削除し、アカウントを停止します（第7項）。当社は、書面による保管期間の定め（第5項）と安全管理の体制（第8項）を維持しています。

13.1.5 漏えい等

適用される州の漏えい通知法の定めに従い、影響を受けた住民と当局に通知します（第8項）。

13.2 欧州経済領域（EEA）および英国（GDPR / 英国GDPR）

欧州経済領域または英国にお住まいの場合、アクセス、訂正、消去、処理の制限、データポータビリティ、異議申立ての権利、およびいつでも同意を撤回する権利があります。これらの権利を行使される場合は、contact@hasia.ai へご連絡ください。お住まいの国のデータ保護監督機関（英国では情報コミッショナー事務局（ICO））に苦情を申し立てる権利もあります。

処理の法的根拠: 第3.1項の表をご覧ください。要約すると次のとおりです。

• 契約の履行 — ご依頼いただいた本サービスの提供（プロフィール、毎日の手紙の配信、井戸の手紙）
• 正当な利益 — サービスの改善、安全確保、不正防止、アフィリエイトの紹介料、ストアの選択、お戻りをお誘いする通知
• 同意 — プッシュ通知（端末またはアプリの設定から、いつでも撤回できます）

移転: お客様のデータはEEA・英国の外（主に米国）へ移転されます。必要な場合、欧州委員会の標準契約条項、英国のこれに相当する移転の仕組み、または法令が認めるその他の移転の仕組みによります（第9項）。

13.3 日本

本ポリシー（日本語版）は、個人情報の保護に関する法律（以下「個人情報保護法」）に基づいて作成しています。日本語版の全文は moonmademe.com/ja/privacy に掲載しています。日本にお住まいの方に関する主要な事項は以下のとおりです。以下の事項は本ポリシーの他の部分を補うものであり、置き換えるものではありません。

13.3.1 事業者の情報

個人情報保護法第32条第1項に基づき、以下を公表します。

13.3.2 外国にある第三者への提供

本サービスのデータは日本国外で保管・処理されます。 個人情報保護法第28条に関連して、外国における個人データの取扱いについて以下のとおりお知らせします。

移転先の国: 主としてアメリカ合衆国です。Cloudflareについては、通信の経路上、他の国の設備を経由する場合があります。

当該国における個人情報の保護に関する制度: アメリカ合衆国には、日本の個人情報保護法やEUのGDPRのような、分野を横断する包括的な個人情報保護法制はありません。分野別の連邦法（医療、金融、児童など）、州法（カリフォルニア州消費者プライバシー法など）、および連邦取引委員会法第5条に基づく不公正・欺瞞的行為の規制によって保護が図られています。詳細は個人情報保護委員会が公表する外国制度の調査結果をご参照ください。

移転の根拠: 本人の同意ではなく、個人情報保護法第28条第1項および同法施行規則第16条に定める、個人情報取扱事業者が講ずべき措置に相当する措置（相当措置）の継続的な実施を確保するために必要な体制を整備していることを根拠としています。

当該第三者が講ずる個人情報の保護のための措置: 当社が個人データの取扱いを委託する事業者（Firebase、Supabase、Resend、Cloudflare、Expo）については、契約、利用規約、データ処理に関する契約その他の適切かつ合理的な方法により、相当措置の継続的な実施を確保します。確保する内容には、利用目的の限定、再委託の制限、安全管理措置、契約終了時の返却・削除が含まれます。あわせて当社側でも、通信の暗号化、保管データの暗号化、データベースの行単位のアクセス制御、権限の最小化を行っています（第8項）。

なお、Apple・Google（サインイン）およびAmazon（アソシエイト・プログラム）は、当社が個人データの取扱いを委託する事業者ではありません。 これらは、お客様との関係においてそれぞれが独立して個人情報を取り扱う事業者です。サインインはお客様とApple・Googleとの間で直接行われます。当社からAmazonに、お客様やそのタップを識別する情報を送ることはありません（第2.4項）。

お客様からご請求があった場合には、法令に基づき、当該措置に関する情報をご提供します。

13.3.3 保有個人データに関するご請求

個人情報保護法第32条から第39条に基づき、以下をご請求いただけます。

• 利用目的の通知
• 開示（電磁的記録での提供を含みます）
• 訂正・追加・削除
• 利用の停止・消去
• 第三者への提供の停止

contact@hasia.ai 宛に、件名を 「プライバシーに関するご請求」 としてご連絡ください。ご本人であることを、サインインにお使いのメールアドレスにより確認したうえで対応します。手数料はいただきません。 原則として、ご請求を受けてから2週間以内に回答します。

13.3.4 苦情の申出先

本サービスの個人情報の取扱いに関するご意見・苦情は、まず上記の連絡先までお寄せください。あわせて、個人情報保護委員会にも申し出ることができます。

個人情報保護委員会
https://www.ppc.go.jp/

13.3.5 安全管理措置

個人情報保護法第23条に基づき当社が講じている組織的・人的・物理的・技術的な安全管理措置は、第8項に記載しています。外国において個人データを取り扱うことに伴う措置として、個人データはアメリカ合衆国で取り扱われます。当該国の制度と、提供先が講じる措置については第13.3.2項に記載しています。

13.3.6 外部送信に関する公表

電気通信事業法第27条の12の趣旨に鑑み、本アプリが端末から外部へ送信する情報を公表します。

広告や行動ターゲティングを目的とした外部送信は行っていません。

13.3.7 年齢

ご利用は13歳以上の方に限ります。18歳未満の方は、親権者の同意を得たうえでご利用ください。

13.3.8 漏えい等

報告が必要な漏えい等の事案が発生した場合は、個人情報保護法の定めに従い、個人情報保護委員会へ報告し、ご本人にお知らせします（第8項）。

13.4 フィリピン（2012年データプライバシー法）

本項は、2012年データプライバシー法（共和国法第10173号）、その施行規則、および国家プライバシー委員会（NPC）の発出文書に基づき、フィリピンのデータ主体に適用されます。

• 個人情報管理者: Hasia Co., Ltd.（詳細は第15項）
• データ保護責任者: contact@hasia.ai（件名「Privacy Request」）
• 取得する情報、目的、方法、期間、提供先: 第2項から第5項まで、および第9項
• 法的根拠: 第3.1項。黙示の同意にはよりません。同意に基づく場合は、個別具体的に同意をお願いします。
• 自動的な処理: 第3項の「自動的な選択とプロファイリング」をご覧ください。
• データ主体としての権利: 知らされる権利、アクセス権、異議を述べる権利、消去またはブロックの権利、訂正の権利、データポータビリティの権利、不正確・不完全・古い・虚偽の個人データ、違法に取得された個人データ、または無権限で利用された個人データにより被った損害の賠償を受ける権利、および苦情を申し立てる権利。お客様の死亡または行為能力の喪失後は、法令の定めに従い、法定の相続人および承継人がこれらの権利を行使できます。
• 苦情: まず当社にご連絡ください。国家プライバシー委員会（https://privacy.gov.ph/）に苦情を申し立てることもできます。
• 未成年の方: 18歳未満の方は、親権者または保護者の同意を得てご利用ください（第7項）。「かんたんな説明」の「18歳未満（タイでは20歳未満）の方へ」の部分は、お子様にもわかりやすい要約です。お子様に影響する漏えいについては、お子様とその親権者または保護者の双方に通知します。
• 機微な個人情報: 年齢、生年月日、健康、宗教その他の機微な個人情報をお伺いすることはありません。自由記述欄にも含めないでください（第2.1項）。
• 漏えいの通知: 必要な場合、72時間以内にNPCと影響を受けたデータ主体に通知します（第8項）。
• 移転: 説明責任に基づく保護（第9項）。

13.5 マレーシア（2010年個人データ保護法）

本項は、2024年個人データ保護（改正）法による改正後の2010年個人データ保護法（以下「PDPA」）が、当社によるお客様の個人データの取扱いに適用される場合に適用されます。

本ポリシーのマレー語版は、当社ウェブサイト（https://moonmademe.com/ms/privacy/）でご覧いただけます。 第1項の言語に関する定めが適用されます。

• データ管理者: Hasia Co., Ltd.（詳細は第15項）
• データ保護責任者 / お問い合わせ・苦情の窓口: Hasia Co., Ltd. データ保護責任者、メール contact@hasia.ai（件名「Privacy Request」）
• データの内容と目的: 第2項および第3項
• データの取得元: 第2項（お客様ご本人、お客様の端末、サインイン方法の提供元）
• 開示先の第三者の種類: 第4項
• お客様の選択と、取扱いを制限する手段: 第6.1項および第10項（通知の設定、リマインダーの設定、任意の機能、退会）
• データの提供が義務か任意か、および提供されない場合の結果: 第2.5項
• 取扱いの根拠: お客様がお申し込みになった本サービスの提供に必要な取扱いは、お客様との契約の履行に関するPDPAの例外に基づきます。通知は、お客様が端末で許可された場合にのみお送りし、いつでも停止できます（第6.1項）。
• お客様の権利: 個人データにアクセスする権利、訂正する権利、同意を撤回する権利、損害または苦痛を生じさせるおそれのある取扱いを防止する権利、ダイレクトマーケティングのための取扱いを防止する権利、およびPDPAが定める場合にはデータポータビリティの権利（第6.2項）。アクセスのご請求には21日以内に回答します。
• 苦情: まず当社にご連絡ください。個人データ保護コミッショナー（Jabatan Perlindungan Data Peribadi、JPDP — https://www.pdp.gov.my/）に連絡することもできます。
• 未成年の方: 18歳未満の方は、親権者または保護者の同意を得てご利用ください（第7項）。
• 漏えいの通知: 重大な損害がある場合、72時間以内にコミッショナーに、その後7日以内に影響を受けたデータ主体に通知します（第8項）。PDPAの定めに従い、個人データの漏えいの記録を保存します。
• 移転: 改正後の第129条（第9項）

13.6 タイ（仏暦2562年個人情報保護法）

本項は、仏暦2562年（2019年）個人情報保護法（以下「PDPA」）および個人情報保護委員会（PDPC）の告示に基づき、タイのデータ主体に適用されます。

• データ管理者: Hasia Co., Ltd.（詳細は第15項）
• データ保護責任者 / 連絡先: contact@hasia.ai（件名「Privacy Request」）
• 目的と法的根拠: 第3項および第3.1項。中心的な機能（アカウント、毎日の手紙、井戸）は、お客様との契約に基づいて提供します。同意に基づく場合（プッシュ通知）は、別途同意をお願いします。その同意は本サービスのご利用の条件ではなく、同意したときと同じくらい簡単に撤回できます。
• データの提供が必要か、および提供されない場合の結果: 第2.5項
• 取得するデータと保管期間: 第2項および第5項
• 提供先: 第4項。国外への移転: 第9項
• お客様の権利: データにアクセスしその写しを取得する権利（30日以内に回答します）、データポータビリティの権利、異議を述べる権利、消去の権利、処理の制限の権利、訂正の権利、および同意を撤回する権利。ダイレクトマーケティングにはいつでも異議を述べることができます。
• 苦情: まず当社にご連絡ください。個人情報保護委員会（PDPC事務局 — https://www.pdpc.or.th/）に苦情を申し立てることもできます。
• 未成年の方: 民商法典のもとでは、20歳未満の方は未成年です。当社が同意に基づいて取り扱い、法令がそれを求める場合、未成年の方の同意は親権を行う親権者または保護者とともに、（10歳以下のお子様については）親権者または保護者によって行われる必要があります（第7項）。
• 漏えいの通知: 可能な限り72時間以内にPDPCに、高いリスクがある場合は影響を受けたデータ主体に通知します（第8項）。
• 移転: 第28条・第29条およびPDPCの告示（第9項）
• タイ語版: 本ポリシーのタイ語版は、アプリ内および当社ウェブサイトでご覧いただけます。第1項の言語に関する定めが適用されます。

14. 本ポリシーの変更

当社は、適用される法令の定めに従い、本ポリシーを変更することがあります。変更する場合には、変更の内容および効力発生日を、アプリ内その他の適切な方法により、効力発生日より前にお知らせします。具体的には、次を行います。

• 冒頭の「最終更新日」を更新する
• 重要な変更についてはアプリ内でお知らせする
• 特に重要な変更（取得する情報の種類の追加、提供先の追加、広告の導入など）については30日以上前にお知らせする

適用される法令のもとでお客様の同意が必要な変更（変更前の利用目的と関連性を有すると合理的に認められる範囲を超える新たな目的や、同意に基づく新たな取扱いなど）については、同意をお願いし、ご利用の継続をもって同意とみなすことはありません。その他の変更については、変更後の本ポリシーは効力発生日から適用されます。ご同意いただけない場合は、ご利用を停止し、退会をお申し出いただくことができます。

15. お問い合わせ

本ポリシーおよび個人情報の取扱いに関するご質問、ご意見、ご請求：

moon made me
運営: Hasia Co., Ltd.
住所: 108-1, Gasan Mobius Tower, 169-23 Gasan digital 2-ro, Geumcheon-gu, Seoul, 08504, Republic of Korea（大韓民国 08504 ソウル特別市衿川区加山デジタル2路169-23 ガサン・メビウスタワー108-1）
メール: contact@hasia.ai

データ保護責任者（フィリピン、マレーシア、タイ）: contact@hasia.ai

開示、訂正、削除、ポータビリティ、異議のご請求は、件名に 「プライバシーに関するご請求」（Privacy Request）とご記入ください。サインインにお使いのメールアドレスによりご本人であることを確認したうえで対応します。