App Store版（iPhone・iPad）
シフぽん
プライバシーポリシー
合同会社DCFトレーディングは、シフぽんの提供にあたり取得する利用者情報を、以下の方針に従って取り扱います。
事業者情報
- サービス名
- シフぽん
- サービス提供者
- 合同会社DCFトレーディング
取得する情報
本サービスは、アプリ内の基本識別子である内部利用者ID（appUserId）、Firebase Authenticationの利用者識別子、Googleの利用者識別子、メールアドレス、メール確認状態、表示名、プロフィール画像URL、スタッフ名、所属店舗、希望勤務日、希望勤務時間、希望日数、希望シフトの備考、確定シフト、シフト更新履歴、および店舗オーナーが人件費概算のため任意で入力した時給を取得する場合があります。認証用のIDトークンは本人確認のためサーバーへ送信されますが、通常の業務データとして保存しません。
対象年齢と未成年者の情報
本サービスは16歳以上を対象としています。16歳または17歳の利用者に関する情報も、本ポリシーに記載した種類、目的、提供先および保存期間に従って取り扱います。iOSアプリで16～17歳を選択した場合はスタッフ用機能に限定し、自由記入欄とオーナー管理画面を表示せず、希望シフトの送信時にも備考を含めません。店舗への参加は店舗の管理者または責任者が発行した招待リンクから行い、表示名の補完が必要な場合は、個人情報を含まない共通名を使用します。16歳未満の方による利用またはその方に関する情報の登録が疑われる場合は、問い合わせ窓口へ連絡してください。本人確認と対象範囲の確認後、必要に応じて利用を制限し、対象情報を削除または匿名化します。
不適切な内容・利用者の通報情報
所属店舗内の不適切な内容または利用者を通報した場合、対象店舗、通報対象の種類、対象となる画面・情報の区分、定型の通報理由、利用者を対象とする場合は店舗内スタッフID、受付状態および受付時刻を保存します。通報者のappUserIdは、対象店舗ごとの一方向ハッシュ値に変換して保存し、通報記録にはappUserIdそのもの、メールアドレス、LINE利用者ID、電話番号、表示名または自由記述を保存しません。通報情報は、規約違反の確認、安全確保、不正利用防止、対応記録および法令対応のために利用します。
認証と自動取得される技術情報
Firebase Authenticationは、認証と不正利用防止のため、IPアドレス、利用者エージェント、端末のOS・機種などの情報、Firebase iOS App ID、Firebase SDKとそのバージョン、メールアドレス、表示名、認証プロバイダーの利用者識別子およびFirebase Authenticationの利用者IDを処理します。メールとパスワードによる認証を選択した場合、入力したパスワードは認証処理のためFirebase Authenticationへ送信されますが、本サービスの業務データベースには保存しません。本サービスのAPIは、不正利用防止、レート制限、セキュリティ確認および障害調査のため、IPアドレスと利用者エージェントを組み合わせて一方向ハッシュ化したclientHash、利用者エージェントの種類、時刻、処理区分および応答状態をログへ記録します。clientHashは端末またはブラウザに関係する識別子として取り扱います。提出対象のiOSアプリにはFirebase Installations SDKを含めていません。
音声入力機能
音声入力機能を利用した場合、利用者が録音した音声、文字起こし結果、および音声から抽出されたシフト入力候補を取得・処理します。音声入力は、音声を文字へ変換し、希望勤務日、勤務時間、必要人数、店休日等の入力候補へ変換するために利用します。音声入力機能では、文字起こしおよび入力候補の解析のためOpenAIのAPIを利用し、必要最小限の音声およびテキスト情報を送信します。本サービスは、生音声および文字起こし全文をFirestore等へ恒久保存しません。音声は解析直後に破棄し、文字起こし結果は表示・反映操作に必要な間だけ端末内へ保持します。ただし、外部サービス側の処理および不正利用監視に伴う取扱いは、当該外部サービスの契約・データ管理条件に従います。音声入力で生成された候補は、画面上で内容を確認し、利用者が明示的に「下書きに反映」を選択した後、通常の保存操作を行った場合にのみ入力データとして扱われます。
App Storeでの購入情報
iOSアプリでオーナー機能の利用権を購入した場合、署名付き取引情報（JWS）、トランザクションID、商品ID、購入状態、購入完了時刻および注文情報をApp Storeから受け取り、購入確認、不正な二重付与の防止、購読期間の算定、管理店舗上限を3店舗から10店舗へ拡張する買い切り利用権の管理、返金・取消しへの対応に利用します。購入をアプリ内アカウントへ安全に帰属させるため、App Account Token（一回限りのランダムな識別値）とappUserIdからサーバーが生成した一方向ハッシュ値を使用し、署名付き取引情報をAppleのルート証明書で検証して購入情報との一致を確認します。これらの値には氏名、メールアドレス、LINE利用者IDまたはFirebase利用者IDを平文で含めません。購入開始後にアプリ内アカウントを切り替えた状態でApp Storeから購入結果が届いた場合、現在ログイン中の認証情報は送信要求の正当性確認だけに使用し、App StoreのトランザクションIDとサーバー上の購入操作記録により購入開始時のアカウントへ帰属させます。現在ログイン中の別アカウントへ、購入開始時のアカウントの利用権情報や識別情報を返しません。業務データベースにはトランザクションIDと注文IDのハッシュ値を保存し、完全なトランザクションIDは通常の業務記録として保存しません。ただし、利用権の付与からApp Storeでの購入確認完了までに退会処理が競合した場合や、利用権へ反映できない重複購入を返金する場合は、トランザクションIDと注文IDをGoogle Cloud KMSで暗号化した返金処理記録として一時的に保存します。暗号文は返金またはApp Store側の失効を確認した時点で直ちに削除し、未完了の間は再試行に必要なため削除期限を設定せず、アクセスを課金処理用サービスに限定します。購入されずに解放または終了した一回限りの購入操作記録には終了時刻から7日後の削除期限を設定します。購入処理中の記録、購入済みの利用権および返金・二重付与防止に必要な記録には、この短期削除期限を適用しません。カード番号その他の決済手段の詳細はAppleが処理し、本サービスの業務データベースには保存しません。
端末内に保存する情報
ログイン状態とログイン後に戻る画面は、Firebase Authentication、Cookieまたはブラウザの保存機能を用いて保持します。招待リンク上のトークンは、ページ閲覧時にサーバーや中継経路へ自動送信されないURLフラグメントからだけ読み取り、認証画面との往復中に限りsessionStorageへ保存します。ログイン確認後は内部利用者ID（appUserId）ごとに分離し、利用者が参加を確定したときだけ招待確認APIへ送信します。保存から1時間後、招待の適用・破棄時、ログアウト時または退会時に削除します。通信結果を確認できないまま終わったシフト作成・設定変更などを安全に再送するため、未完了の送信内容、処理識別子、対象店舗および対象月をappUserIdごとにsessionStorageへ最大24時間保存する場合があります。完了確認後、期限到来時、アカウント切替時、ログアウト時または退会時に削除します。App Storeの購入開始の応答を確認できない場合に同じ購入だけを安全に再開するため、商品ID、ランダムな処理識別子、作成時刻およびアカウントの一方向ハッシュ値を、未解決の購入処理が安全に終了するまで商品とアカウントごとにlocalStorageへ保存する場合があります。この領域にはトランザクションID、注文ID、認証トークンまたはサーバー上の購入操作IDを保存せず、利用権の付与完了、安全が確認された購入操作の解放、終了応答、ログアウト時または退会時に削除します。最後に選択した店舗IDと初期設定の完了状態は画面復元のためappUserIdごとに分離して端末内に保存し、ログアウト時または退会時に削除します。旧仕様のアカウント共通の選択店舗IDは読み継がず削除します。店舗の内容、認証情報および購入情報はこの画面復元用領域へ保存しません。言語、更新案内の表示状態および年齢区分などの端末設定は、アカウントデータを削除する操作の対象外です。iOSアプリが受け取った起動URLそのものは保存せず、同じ起動URLの重複処理を防ぐためのSHA-256ハッシュ値だけをsessionStorageへ保存します。このハッシュ値をサーバーへ送信せず、招待トークンやURLを端末ログへ記録しません。iOSアプリでは、初回の年齢確認で選択した「16歳未満」「16～17歳」「18歳以上」の年齢区分を端末のlocalStorageだけに保存します。年齢区分の値そのものはサーバーのアカウント情報へ保存せず、アクセス解析にも送信しません。現行のiOSリリースにはアクセス解析の送信先を設定していないため、行動計測用のセッション識別子を作成・保存せず、計測イベントを端末ログまたは端末外へ出力しません。ただし、選択に応じて利用できる機能と送信項目を端末側で制限します。16～17歳向けのスタッフ機能では、招待参加時の共通の非個人表示名、選択した希望日および勤務可能時間など、当該機能に必要な情報をサーバーへ送信する場合があります。
利用目的
取得した情報は、本人識別、複数ログイン方法の明示的な紐づけ、スタッフ登録、希望シフト提出、シフト作成、確定シフト表示、店舗オーナーによる管理、人件費概算、購入確認と利用権管理、問い合わせ対応、不正利用防止、障害調査およびサービス改善のために利用します。
アプリ内アカウントとログイン方法の紐づけ
本サービスはappUserIdをアプリ内の基本識別子として使用し、iOSアプリではApple、Googleまたは確認済みメールの認証情報を明示的に紐づけます。旧サービス由来のLINE識別子は、既存データの安全な互換処理、移行または削除のためにサーバー内へ残る場合がありますが、iOSアプリはLINEログイン情報を新たに取得しません。ログイン方法の追加には、ログイン済み利用者による明示的な操作を必要とし、メールアドレスや表示名が一致するだけでアカウントを自動統合しません。
外部サービス・委託先
法令に基づく場合を除き、本人の同意なく第三者へ個人情報を提供しません。ただし、サービス提供に必要な範囲で、Google LLCのFirebase Authentication、Google Cloud、Apple Inc.のApp Store（StoreKit 2およびApp Store Server API）、ならびにドメイン・ホスティング事業者のサービスを利用します。音声入力機能を利用した場合は、文字起こしおよび入力候補の解析のためOpenAIのAPIを利用し、必要最小限の音声およびテキスト情報を送信します。これらのサービスには、認証、データ保存、購入確認、セキュリティ保護および障害調査に必要な情報が送信される場合があります。
安全管理措置
取得した情報の漏えい、滅失、毀損、不正アクセスおよび改ざんを防ぐため、HTTPSによる通信の保護、利用者と管理者の権限に応じたアクセス制限、認証情報と秘密情報の適切な管理、操作・障害ログの保護、委託先の選定と管理など、必要かつ適切な安全管理措置を講じます。セキュリティ上の問題を確認した場合は、影響範囲を調査し、必要な是正および利用者への案内を行います。
保存期間
シフト作成および店舗運用に必要な期間保存します。店舗削除後は30日間の復元可能期間を経て削除される場合があります。アカウント削除時は、本人確認と対象範囲の確認後、対象利用者のログイン連携情報、プロフィール、スタッフ情報および希望シフトを削除または匿名化します。ログイン方法を追加するための一回限りの紐づけ記録は30分で失効し、その時刻を削除期限として設定します。アカウント削除時には当該アカウントの未使用記録も削除します。スタッフ削除の進行中記録に含まれる必要最小限の識別情報は最終更新から7日を上限とし、完了または失敗時に直ちに除去します。識別情報を除いた処理件数などの監査記録は30日後を削除期限とします。購入の二重付与防止、返金・取消し対応および不正防止に必要な購入記録は、個人や店舗を直接識別する参照をハッシュ値へ置き換え、必要な期間に限って保持する場合があります。通報記録は、通報者の共通アカウントID、認証事業者の利用者IDおよび連絡先を保存せず、違反調査と不正通報防止に必要な期間として受付から365日を上限に保持します。アカウント削除後も、直接のアカウント参照を含まない通報記録をこの期間内に限って保持する場合があります。確定済みシフトや更新履歴は、店舗運営、監査、法令対応および不正防止のため、個人を識別しにくい形で一定期間保持することがあります。clientHash、利用者エージェントの種類およびAPI処理結果を含むアプリケーションログは、現在30日間保持します。アカウント削除時はUGC利用規約の同意記録も削除します。失効済みログイン方法の再利用、無料枠の再取得および購入の二重付与を防ぐため、外部の利用者識別子や連絡先を含まない最小限の内部tombstoneを保持する場合があります。Firebase側では、削除開始後もライブ環境およびバックアップからの削除完了まで最大180日かかる場合があります。
退会・ログイン連携解除
利用者は、公開しているアカウント削除申込みページまたは問い合わせ窓口から退会を申し込めます。個別のログイン方法は、別の有効なログイン方法が残る場合に限り解除できます。アカウント削除時は、同じappUserIdに紐づく旧LINE識別子を含むログイン連携を本サービス内で無効化し、関連する業務データを削除または匿名化します。本iOSアプリは、別サービスのLINE認可を外部で取り消しません。
開示・訂正・削除
登録情報の確認、訂正または削除を希望する場合は、所属店舗のオーナーまたは問い合わせ窓口へ連絡してください。アカウント削除、ログイン連携解除およびサービス提供者への問い合わせは、お問い合わせページの窓口で受け付けます。
勤務条件と個人NG申請
連続勤務日数・勤務時間の上限、勤務できない時間帯・できれば避けたい時間帯、特定の相手と勤務時間を重ねないための個人NG申請を保存します。 個人NG申請には申請者のスタッフ情報、申請者が指定した相手の呼び名、対応状況、オーナーが設定した組み合わせの制限が含まれます。 所属店舗のオーナーが相手の特定とシフト作成のために確認し、申請者は自分の申請状況を確認できます。 他のスタッフへ申請内容やオーナーが選択した相手の登録情報を表示せず、申請のためにスタッフ名簿を公開することもありません。 相手名の専用欄には職場で使う呼び名だけを記載し、連絡先、私生活に関する情報、申請理由は記載しないでください。
条件と設定済みの個人NGは店舗ごとに保持し、変更・解除まで翌月以降も継続します。 変更・解除の依頼中も既存のNGは維持します。変更・解除はアプリまたは所属店舗のオーナーへ依頼できます。 スタッフ削除、退会、店舗削除の際は、本ポリシーに記載した対象データの削除手続に従って取り扱います。
任意の携帯通知
対応するAndroid・iOSアプリで携帯通知を有効にした場合、端末の通知先トークン、ランダムな端末登録用識別子、アプリ内アカウント、選択した通知の種類、登録・更新日時を関連付けて保存します。 オーナー向けは個人NG申請と参加申請、スタッフ向けは個人NGの対応済みとシフトの確定を通知します。 通知本文にスタッフ名、NGの相手、理由、店舗名は含めず、詳細はログイン後のアプリ内で確認します。 配信のため、GoogleのFirebase Cloud MessagingまたはAppleのApple Push Notification serviceへ通知先トークンと通知内容を送信します。
端末登録の有効期間は最終更新から90日間です。通知の送信は発生から24時間以内に試み、配信記録は7日経過後、期限切れの端末登録とともに定期削除処理で削除します。 全通知の解除、ログアウト、退会時は端末登録を削除します。通信できない状態でのログアウトでは端末側の解除を試み、サーバー側の削除を通信回復後に再試行します。 配信事業者へ送信済みの通知は解除後に届く場合があります。携帯本体の設定からも通知を無効にできます。 通知の到達は保証されないため、現在の申請状況とシフトはアプリ内で確認してください。
改定日: 2026年9月22日
Google Play版（Android）
シフぽん
プライバシーポリシー
合同会社DCFトレーディングは、シフぽんの提供にあたり取得する利用者情報を、以下の方針に従って取り扱います。
事業者情報
- サービス名
- シフぽん
- サービス提供者
- 合同会社DCFトレーディング
取得する情報
本サービスは、アプリ内の基本識別子である内部利用者ID（appUserId）、Firebase Authenticationの利用者識別子、Googleの利用者識別子、メールアドレス、メール確認状態、表示名、プロフィール画像URL、スタッフ名、所属店舗、 希望勤務日、希望勤務時間、希望日数、希望シフトの備考、確定シフト、シフト更新履歴、および店舗オーナーが人件費概算のため任意で入力した時給を取得する場合があります。 音声入力機能を利用した場合、利用者が録音した音声、文字起こし結果、および音声から抽出されたシフト入力候補を取得・処理します。 認証用のIDトークンは本人確認のためサーバーへ送信されますが、通常の業務データとして保存しません。
対象年齢と未成年者の情報
本サービスは16歳以上を対象としています。16歳または17歳の利用者に関する情報も、本ポリシーに記載した種類、目的、提供先および保存期間に従って取り扱います。 Androidアプリで16～17歳を選択した場合はスタッフ用機能に限定し、自由記入欄とオーナー管理画面を表示せず、希望シフトの送信時にも備考を含めません。 店舗への参加は店舗の管理者または責任者が発行した招待リンクから行い、表示名の補完が必要な場合は、個人情報を含まない共通名を使用します。 16歳未満の方による利用またはその方に関する情報の登録が疑われる場合は、問い合わせ窓口へ連絡してください。 本人確認と対象範囲の確認後、必要に応じて利用を制限し、対象情報を削除または匿名化します。
不適切な内容・利用者の通報情報
所属店舗内の不適切な内容または利用者を通報した場合、対象店舗、通報対象の種類、対象となる画面・情報の区分、定型の通報理由、 利用者を対象とする場合は店舗内スタッフID、受付状態および受付時刻を保存します。 通報者のappUserIdは、対象店舗ごとの一方向ハッシュ値に変換して保存し、通報記録にはappUserIdそのもの、メールアドレス、LINE利用者ID、電話番号、表示名または自由記述を保存しません。 通報情報は、規約違反の確認、安全確保、不正利用防止、対応記録および法令対応のために利用します。
認証と自動取得される技術情報
Firebase Authenticationは、認証と不正利用防止のため、IPアドレス、利用者エージェント、端末のOS・機種などの情報、Firebase Android App ID、 Firebase SDKとそのバージョン、メールアドレス、表示名、認証プロバイダーの利用者識別子およびFirebase Authenticationの利用者IDを処理します。 メールとパスワードによる認証を選択した場合、入力したパスワードは認証処理のためFirebase Authenticationへ送信されますが、本サービスの業務データベースには保存しません。 本サービスのAPIは、不正利用防止、レート制限、セキュリティ確認および障害調査のため、IPアドレスと利用者エージェントを組み合わせて一方向ハッシュ化したclientHash、利用者エージェントの種類、時刻、処理区分および応答状態をログへ記録します。 これとは別に、Google Cloud Runの基盤リクエストログでは、接続元IPアドレス、完全な利用者エージェント、リクエストURL、HTTPメソッド、応答状態および処理時間等を取り扱います。これらの基盤ログは現在Google Cloud Loggingで30日間保持します。 録音に失敗した場合は、障害調査のため、エラー区分、音声・全トラック数、録音チャンク数・サイズ、MIME形式、録音状態、経過時間、およびRecorderエラー名の有無を認証済みAPIへ自動送信してアプリケーションログへ記録します。この診断情報には録音音声、文字起こし、自由記述またはRecorderエラー名そのものを含めず、現在30日間保持します。 clientHashは端末またはブラウザに関係する識別子として取り扱います。提出対象のAndroidアプリにはFirebase Installations SDKを含めていません。
Google Playでの購入情報
Androidアプリでオーナー機能の利用権を購入した場合、購入トークン、商品ID、購入オプションID、購入状態、購入完了時刻および注文情報をGoogle Playから受け取り、 購入確認、不正な二重付与の防止、月額サブスクリプションの購入状態・支払済み期間・自動更新・解約・一時停止・保留・失効の管理、管理店舗上限を3店舗から10店舗へ拡張する買い切り利用権の管理、および返金・取消しへの対応に利用します。 購入をアプリ内アカウントへ安全に帰属させるため、appUserIdからサーバーが生成した一方向ハッシュ値と、一回限りの購入操作識別値をGoogle Playへ送信し、購入情報との一致を確認します。 これらの値には氏名、メールアドレス、LINE利用者IDまたはFirebase利用者IDを平文で含めません。 購入開始後にアプリ内アカウントを切り替えた状態でGoogle Playから購入結果が届いた場合、現在ログイン中の認証情報は送信要求の正当性確認だけに使用し、Google Playが返す一方向ハッシュ値とサーバー上の購入操作記録により購入開始時のアカウントへ帰属させます。現在ログイン中の別アカウントへ、購入開始時のアカウントの利用権情報や識別情報を返しません。 業務データベースには購入トークンと注文番号のハッシュ値を保存し、完全な購入トークンは通常の業務記録として保存しません。ただし、利用権の付与からGoogle Playでの購入確認完了までに退会処理が競合した場合や、利用権へ反映できない重複購入を返金する場合は、購入トークンと注文番号をGoogle Cloud KMSで暗号化した返金処理記録として一時的に保存します。暗号文は返金またはGoogle Play側の失効を確認した時点で直ちに削除し、未完了の間は再試行に必要なため削除期限を設定せず、アクセスを課金処理用サービスに限定します。 購入されずに解放または終了した一回限りの購入操作記録には終了時刻から7日後の削除期限を設定します。購入処理中の記録、購入済みの利用権および返金・二重付与防止に必要な記録には、この短期削除期限を適用しません。 カード番号その他の決済手段の詳細はGoogle Playが処理し、本サービスの業務データベースには保存しません。
端末内に保存する情報
ログイン状態とログイン後に戻る画面は、Firebase Authentication、Cookieまたはブラウザの保存機能を用いて保持します。 招待リンク上のトークンは、ページ閲覧時にサーバーや中継経路へ自動送信されないURLフラグメントからだけ読み取り、認証画面との往復中に限りsessionStorageへ保存します。ログイン確認後は内部利用者ID（appUserId）ごとに分離し、利用者が参加を確定したときだけ招待確認APIへ送信します。保存から1時間後、招待の適用・破棄時、ログアウト時または退会時に削除します。 通信結果を確認できないまま終わったシフト作成・設定変更などを安全に再送するため、未完了の送信内容、処理識別子、対象店舗および対象月をappUserIdごとにsessionStorageへ最大24時間保存する場合があります。完了確認後、期限到来時、アカウント切替時、ログアウト時または退会時に削除します。 Google Playの購入開始APIの応答を確認できない場合に同じ購入だけを安全に再開するため、商品ID、ランダムな処理識別子、作成時刻およびアカウントの一方向ハッシュ値を、未解決の購入処理が安全に終了するまで商品とアカウントごとにlocalStorageへ保存する場合があります。この領域には購入トークン、注文番号、認証トークン、購入プロフィール識別値またはサーバー上の購入操作IDを保存せず、利用権の付与完了、安全が確認された購入操作の解放、終了応答、ログアウト時または退会時に削除します。 最後に選択した店舗ID、店舗ごとの最後に表示した対象月および初期設定の完了状態は画面復元のためappUserIdごとに分離して端末内に保存し、ログアウト時または退会時に削除します。旧仕様のアカウント共通の選択店舗IDは読み継がず削除します。店舗の内容、認証情報および購入情報はこの画面復元用領域へ保存しません。 トップ画面とログイン画面の表示を速く復元するため、ログイン状態、表示名およびメールアドレスをsessionStorageへ一時保存し、ブラウザまたはアプリのセッション終了時、ログアウト時または退会時に削除します。UGC利用規約への同意済み表示を安全に復元するため、アカウントの認証範囲から生成した照合用フィンガープリントだけをlocalStorageへ保存し、サーバーで再確認するとともに、ログアウト時または退会時に削除します。 言語、更新案内の表示状態および年齢区分などの端末設定は、アカウントデータを削除する操作の対象外です。 Androidアプリが受け取った起動URLそのものは保存せず、同じ起動URLの重複処理を防ぐためのSHA-256ハッシュ値だけをsessionStorageへ保存します。このハッシュ値をサーバーへ送信せず、招待トークンやURLを端末ログへ記録しません。 Androidアプリでは、初回の年齢確認で選択した「16歳未満」「16～17歳」「18歳以上」の年齢区分を端末のlocalStorageだけに保存します。 年齢区分の値そのものはサーバーのアカウント情報へ保存せず、アクセス解析にも送信しません。 現行のAndroidリリースにはアクセス解析の送信先を設定していないため、行動計測用のセッション識別子を作成・保存せず、計測イベントを端末ログまたは端末外へ出力しません。 ただし、選択に応じて利用できる機能と送信項目を端末側で制限します。16～17歳向けのスタッフ機能では、招待参加時の共通の非個人表示名、選択した希望日および勤務可能時間など、当該機能に必要な情報をサーバーへ送信する場合があります。
利用者が選ぶ共有・端末出力
利用者が共有、コピーまたはCSV出力を選んだ場合、招待URL、店舗名、対象月、提出期限、確定シフト、勤務日時、スタッフ表示名および役割等が、端末の共有機能、クリップボードまたはダウンロード先へ渡されます。 当社が利用者の選択なくこれらを第三者アプリへ送信することはありません。共有先、受信者および端末上の保存期間は利用者が選択し、共有後の取扱いには共有先サービスまたは端末の条件が適用されます。
利用目的
取得した情報は、本人識別、複数ログイン方法の明示的な紐づけ、スタッフ登録、希望シフト提出、シフト作成、確定シフト表示、 店舗オーナーによる管理、人件費概算、購入確認と利用権管理、問い合わせ対応、不正利用防止、障害調査およびサービス改善のために利用します。 音声入力機能では、録音した音声を文字へ変換し、希望勤務日、勤務時間、必要人数、店休日等の入力候補へ変換するために利用します。
アプリ内アカウントとログイン方法の紐づけ
本サービスはappUserIdをアプリ内の基本識別子として使用し、AndroidアプリではGoogleまたは確認済みメールの認証情報を明示的に紐づけます。 旧サービス由来のLINE識別子は、既存データの安全な互換処理、移行または削除のためにサーバー内へ残る場合がありますが、AndroidアプリはLINEログイン情報を新たに取得しません。 ログイン方法の追加には、ログイン済み利用者による明示的な操作を必要とし、メールアドレスや表示名が一致するだけでアカウントを自動統合しません。
外部サービス・委託先
法令に基づく場合を除き、本人の同意なく第三者へ個人情報を提供しません。ただし、サービス提供に必要な範囲で、 Google LLCのFirebase Authentication、Google Cloud、Google Play Billing、ならびにドメイン・ホスティング事業者のサービスを利用します。 これらのサービスには、認証、データ保存、購入確認、セキュリティ保護および障害調査に必要な情報が送信される場合があります。 音声入力機能では、文字起こしおよび入力候補の解析のためOpenAIのAPIを利用します。Audio Transcriptions APIには録音音声と時間帯ラベル等の認識補助情報を送信し、Responses APIには文字起こし全文、対象月、現在日時、タイムゾーン、時間帯、役割、および対象店舗のスタッフID・表示名・読み・別名・役割ラベルを必要な範囲で送信します。 OpenAIの現行公表条件では、Audio Transcriptions APIに不正利用監視ログまたはアプリケーション状態の保持はありません。Responses APIはstore:falseで応答のアプリケーション状態を保存しませんが、当社のOpenAIプロジェクトへZero Data RetentionまたはModified Abuse Monitoringが適用される場合を除き、既定の不正利用監視ログに送信内容が最大30日保持される場合があります。また、Zero Data Retentionが適用されない対応モデルでは、暗号化されたキー・バリュー形式の短期プロンプトキャッシュがGPUローカルストレージに最大24時間保持される場合があります。詳細はOpenAIのデータ管理条件をご確認ください。
安全管理措置
取得した情報の漏えい、滅失、毀損、不正アクセスおよび改ざんを防ぐため、HTTPSによる通信の保護、利用者と管理者の権限に応じたアクセス制限、 認証情報と秘密情報の適切な管理、操作・障害ログの保護、委託先の選定と管理など、必要かつ適切な安全管理措置を講じます。 セキュリティ上の問題を確認した場合は、影響範囲を調査し、必要な是正および利用者への案内を行います。
保存期間
シフト作成および店舗運用に必要な期間保存します。店舗削除後は30日間の復元可能期間を経て削除される場合があります。 アカウント削除時は、本人確認と対象範囲の確認後、対象利用者のログイン連携情報、プロフィール、スタッフ情報および希望シフトを削除または匿名化します。 ログイン方法を追加するための一回限りの紐づけ記録は30分で失効し、その時刻を削除期限として設定します。アカウント削除時には当該アカウントの未使用記録も削除します。 スタッフ削除の進行中記録に含まれる必要最小限の識別情報は最終更新から7日を上限とし、完了または失敗時に直ちに除去します。識別情報を除いた処理件数などの監査記録は30日後を削除期限とします。 購入の二重付与防止、返金・取消し対応および不正防止に必要な購入記録は、個人や店舗を直接識別する参照をハッシュ値へ置き換え、必要な期間に限って保持する場合があります。 通報記録は、通報者の共通アカウントID、認証事業者の利用者IDおよび連絡先を保存せず、違反調査と不正通報防止に必要な期間として受付から365日を上限に保持します。 アカウント削除後も、直接のアカウント参照を含まない通報記録をこの期間内に限って保持する場合があります。 確定済みシフトや更新履歴は、店舗運営、監査、法令対応および不正防止のため、個人を識別しにくい形で一定期間保持することがあります。 clientHash、利用者エージェントの種類およびAPI処理結果を含むアプリケーションログは、現在30日間保持します。 アカウント削除時はUGC利用規約の同意記録も削除します。失効済みログイン方法の再利用、無料枠の再取得および購入の二重付与を防ぐため、外部の利用者識別子や連絡先を含まない最小限の内部tombstoneを保持する場合があります。 Firebase側では、削除開始後もライブ環境およびバックアップからの削除完了まで最大180日かかる場合があります。 音声入力で取得した生音声および文字起こし全文は、本サービスのデータベース（Firestore等）や端末内へ恒久保存しません。ただし、外部サービス側の処理および不正利用監視に伴う取扱いは、当該外部サービスの契約・データ管理条件に従います。
退会・ログイン連携解除
利用者は、公開しているアカウント削除申込みページまたは問い合わせ窓口から退会を申し込めます。 個別のログイン方法は、別の有効なログイン方法が残る場合に限り解除できます。アカウント削除時は、同じappUserIdに紐づく旧LINE識別子を含むログイン連携を本サービス内で無効化し、関連する業務データを削除または匿名化します。 Firebase Authenticationの利用者は削除しますが、利用者のGoogleアカウント自体、他のGoogleサービス上のデータおよびGoogle Playの購入履歴は削除しません。 本Androidアプリは、別サービスのLINE認可を外部で取り消しません。外部サービス側のアカウントまたは認可の削除は、各サービスの設定から別途行う必要があります。
開示・訂正・削除
登録情報の確認、訂正または削除を希望する場合は、所属店舗のオーナーまたは問い合わせ窓口へ連絡してください。 アカウント削除、ログイン連携解除およびサービス提供者への問い合わせは、お問い合わせページの窓口で受け付けます。
勤務条件と個人NG申請
連続勤務日数・勤務時間の上限、勤務できない時間帯・できれば避けたい時間帯、特定の相手と勤務時間を重ねないための個人NG申請を保存します。 個人NG申請には申請者のスタッフ情報、申請者が指定した相手の呼び名、対応状況、オーナーが設定した組み合わせの制限が含まれます。 所属店舗のオーナーが相手の特定とシフト作成のために確認し、申請者は自分の申請状況を確認できます。 他のスタッフへ申請内容やオーナーが選択した相手の登録情報を表示せず、申請のためにスタッフ名簿を公開することもありません。 相手名の専用欄には職場で使う呼び名だけを記載し、連絡先、私生活に関する情報、申請理由は記載しないでください。
条件と設定済みの個人NGは店舗ごとに保持し、変更・解除まで翌月以降も継続します。 変更・解除の依頼中も既存のNGは維持します。変更・解除はアプリまたは所属店舗のオーナーへ依頼できます。 スタッフ削除、退会、店舗削除の際は、本ポリシーに記載した対象データの削除手続に従って取り扱います。
任意の携帯通知
対応するAndroid・iOSアプリで携帯通知を有効にした場合、端末の通知先トークン、ランダムな端末登録用識別子、アプリ内アカウント、選択した通知の種類、登録・更新日時を関連付けて保存します。 オーナー向けは個人NG申請と参加申請、スタッフ向けは個人NGの対応済みとシフトの確定を通知します。 通知本文にスタッフ名、NGの相手、理由、店舗名は含めず、詳細はログイン後のアプリ内で確認します。 配信のため、GoogleのFirebase Cloud MessagingまたはAppleのApple Push Notification serviceへ通知先トークンと通知内容を送信します。
端末登録の有効期間は最終更新から90日間です。通知の送信は発生から24時間以内に試み、配信記録は7日経過後、期限切れの端末登録とともに定期削除処理で削除します。 全通知の解除、ログアウト、退会時は端末登録を削除します。通信できない状態でのログアウトでは端末側の解除を試み、サーバー側の削除を通信回復後に再試行します。 配信事業者へ送信済みの通知は解除後に届く場合があります。携帯本体の設定からも通知を無効にできます。 通知の到達は保証されないため、現在の申請状況とシフトはアプリ内で確認してください。
改定日: 2026年9月22日
