プライバシーポリシー

責任者

ここで説明する取り扱いの責任者は Olstad Digital（登録番号 938 090 432、Selma Ellefsens vei 3H, 0581 Oslo, ノルウェー）です。お問い合わせは kontakt@nordicdigitalapp.no まで。

要約

• 予算はスマートフォンに保存されます。アカウントがなければ、当社は見ることができません。
• アカウントは任意です（Apple、Google、Facebook、メール）。アカウントと Pro があれば、予算は EU（アイルランド）にある当社のサーバーと同期され、複数の端末で使えます。
• 銀行との接続はありません。
• 銀行の CSV・Excel ファイルはスマートフォンの中だけで読み取られます。ファイルそのものが保存、コピー、送信されることはありません。
• アプリが予算を当社のサーバーに送るのは Pro で同期する場合だけで、AI 読み取り用の画像を送るのはあなたが許可した場合だけです。スマートフォンのバックアップをオンにしている場合は、Apple（iCloud）または Google（あなたの Google アカウント）がアプリのデータをバックアップに含めます。
• クラッシュレポートに名前、メールアドレス、アカウント、IP アドレスは含まれません。
• アプリ内ですべてを無料でエクスポート・削除できます。

スマートフォンに保存されるもの

アプリは以下をスマートフォン内の専用領域に保存します。当社には送られず、アプリですべてのデータを削除するか、アプリをアンインストールすると削除されます。

• あなたが作成する口座（あなたが付けた名前、残高、通貨。銀行口座ではありません）。
• 明細：日付、金額、通貨、カテゴリ、取引先、任意のメモ。
• 繰り返し入出金、貯蓄目標、自分で作ったカテゴリ、取引先ごとに記憶されたカテゴリ。
• 設定：給料日、月の予算、言語と通貨、AI での読み取りを許可するかどうか。
• ランダムな端末 ID。スマートフォンの外に出るのは一方向のコードとしてだけで、AI による読み取りの回数を数えるために使われます（下記参照）。
• ログインしている場合：ログイン情報。スマートフォンの安全な保存領域（iPhone のキーチェーン、Android Keystore）に保存され、バックアップに含まれることはありません。
• 取り込み後に残すことを選んだ画像。

支払い番号は保存されず、口座番号全体も保存されません。口座を見分けるために、口座番号の下 4 桁を保存することがあります。

スマートフォンのバックアップ

バックアップをオンにしている場合、スマートフォンはアプリのデータをバックアップに含めます。Android では Google アカウントのバックアップに、iPhone では iCloud に含まれます。これにより、新しいスマートフォンでも予算が戻ります。バックアップは Apple と Google が各社の規約に従って保存し、オン・オフはスマートフォンの設定で切り替えます。

ログイン情報と安全な保存領域の内容はバックアップに含まれないため、新しいスマートフォンではもう一度ログインすることになります。

CSV・Excel ファイルの取り込み

銀行の CSV または Excel ファイルを取り込むと、ファイルはスマートフォンの中だけで読み取られます。ファイルそのものが保存、コピー、送信されることはなく、サーバーにも AI にも送られません。

ファイルから保存されるのは、日付（ファイルにあれば記帳日も）、内容、金額、取引先、口座の照合に使う銀行の残高、口座を見分けるための口座番号の下 4 桁だけです。支払い番号、その他の参照番号、ファイルのその他の列は保存されません。

銀行でまだ確定していない取引は通常の取引として保存され、すぐに集計に含まれます。その取引が後で銀行から取り込んだデータに含まれていない場合は、削除するかどうかをアプリが確認します。自動で削除されることはありません。

次の取り込みが速くなるよう、アプリはファイルの列の並びを内容なしで記憶します。Pro でログインしている場合は、ほかの設定と一緒に同期されます。

AI による読み取りは画像と PDF だけに使われ、許可した場合に限ります。

明細・レシート・請求書の AI による読み取り（任意）

明細のスクリーンショットや写真を取り込むとき、またはレシートや請求書をスキャンするときに、AI に読み取らせることができます。アプリは最初に許可を求め、取り込み画面でいつでもオフにできます。許可がない場合はすべてスマートフォン上で読み取られ、何も送信されません。

許可した場合、画像、今日の日付、通貨、あなたの国、アプリのカテゴリ（コードとして）、その口座の列見出し（見出しのみで、内容は含みません）が Supabase（アイルランド）上の当社サーバー を経由して Anthropic（米国）に送られ、Anthropic が AI モデル（Claude）で取引を読み取って返します。リクエストはあなたに最も近い Supabase のサーバーを経由します。当社も Supabase も、画像や取引を保存しません。Anthropic は API 経由で送られたデータをモデルの学習に使わず、30 日以内に削除します（privacy.claude.com）。

サービスを上限内に保つため、当社のサーバーは端末ごと・1 日ごとに AI による読み取りの回数を数えます。スマートフォンが送るのはランダムな端末 ID から作った一方向のコードだけで、サーバーは保存する前に秘密の鍵でそこから新しいコードを作ります。そのため、この回数をあなたやあなたのアカウントと結び付けることはできません。保存されるのはコード、日付、回数だけで、カウントは 30 日後に自動的に削除されます。

無料版のみ：AI スキャンの上限のため、スマートフォンはスマートフォンの ID から作った一方向のコードを送り、ID そのものは送りません。サーバーは秘密の鍵でそこから新しいコードを作り、そのコード、月、テスト版かどうか、回数だけを保存します。ハッシュ化したデバイス ID は無料の AI スキャンを数えるためだけに使い、トラッキングには使いません。カウントは 13 か月後に自動で削除されます。Pro ではスマートフォンの ID は送られません。

レシート・請求書のスキャン

レシートや請求書をスキャンすると、画像はスマートフォン上で、または許可している場合は AI で読み取られます（上記参照）。画像は読み取りが終わるとすぐに削除されます。途中でキャンセルした場合やエラーが起きた場合も同じです。画像から保存されるのは、店名、日付、金額、カテゴリだけです。支払い番号や口座番号は保存されません。

クラッシュレポート

アプリがクラッシュしたりエラーが発生したりすると、Sentry（EU、ドイツ）にレポートが送られます。内容は、何がアプリのどこで起きたか、その直前に何があったか（予算の内容は含みません）、アプリのバージョン、端末のモデルとシステムのバージョンです。Sentry は IP アドレスを保存せず、レポートに名前、メールアドレス、アカウントは含まれません。レポートの保存期間は最長 90 日で、エラーの修正にのみ使います。

アプリのアップデート

アプリは起動するたびに、アップデートを配信するサービスである Expo（米国）に新しいアップデートがあるかを確認します。その際 Expo が受け取るのは、IP アドレス、プラットフォーム（iOS または Android）、アプリのバージョン、インストールごとのランダムな ID だけで、あなたや予算についての情報は含まれません。

Pro の購入

Pro は App Store または Google Play で購入します。支払いは Apple または Google が各社のプライバシーポリシーに従って処理し、当社がカード情報を見ることはありません。

RevenueCat（米国）は、あなたが Pro を持っているかどうかを管理します。アプリは無料版でも起動するたびに RevenueCat に接続します。その際に使うのは、RevenueCat が作る匿名の顧客 ID、またはログイン中はあなたのアカウント ID で、これにより Pro がアカウントに紐づきます。RevenueCat はストアからの購入とレシート、プラットフォーム、アプリのバージョンを受け取ります。テスト版とテスト購入では、顧客はテストとして記録されます。アカウントを削除しても購入履歴はストアと RevenueCat に残るため、購入が失われることはありません。

Pro サブスクリプションが継続中であることのお知らせ

毎月または毎年更新される Pro サブスクリプションをお持ちの場合、アプリは少なくとも 6 か月ごとに、サブスクリプションが継続中であること、料金、解約方法をお知らせします。ログインしている場合は、メールでもお届けします。このお知らせはノルウェーの法律（digitalytelsesloven 第 33 条）で義務付けられており、お知らせしたことを証明できるよう、毎回記録します。記録の内容：

• 秘密の鍵で作成した RevenueCat の顧客のコードと、ストアの購入 ID。
• ストア、商品、プラン（月額または年額）。
• お知らせの対象日、表示された日時と閉じた日時（スマートフォンのタイムゾーン付き）、「サブスクリプションを管理」をタップしたかどうか。
• チャネル（アプリ内、スマートフォンで予約された通知、プッシュ通知、メール）、言語、価格と通貨、受け取った文面のバージョン（文面のコード付き）。
• メールの場合：送信日時と Resend のメッセージ ID。

記録には、あなたの名前、メールアドレス、アカウント ID は一切含まれません。メールを送るため、アカウント ID と次のお知らせの日付は別に保存し、アカウントを削除すると削除されます。

ログインしていて、スマートフォンでアプリの通知を許可している場合、このお知らせはプッシュ通知でも届くことがあります。その場合、スマートフォンのプッシュトークン（Apple または Google がこのスマートフォンに通知を届けるためのアドレス）をアカウント ID と一緒に保存します。用途はこのお知らせの送信だけです。お知らせは Expo（米国）を通じて送信され、Expo が Apple Push Notification service（iPhone）または Google Firebase Cloud Messaging（Android）に引き渡します。内容はサブスクリプションに関する文面だけで、家計簿のデータは含まれません。トークンは、ログアウトしたとき、アカウントを削除したとき、通知をオフにしたとき（その際アプリが削除します）、そして Apple または Google が無効になったと知らせたときに削除されます。アプリの通知はスマートフォンの設定でオフにできます。

お知らせの送信とプッシュトークンの保存の根拠は、法的義務（第 6 条第 1 項(c)）です。継続中のサブスクリプションについてお知らせすることが法律で求められています（ノルウェーでは digitalytelsesloven 第 33 条、他の国にも同様の規定があります）。アプリがプッシュ通知を送れるかどうかは、スマートフォンの設定でご自身が選べます。プッシュ通知がない場合は、アプリ内で、ログインしていればメールでもお知らせが届きます。

記録はサブスクリプションの最終有効日から 3 年間保存されます。アカウントを削除した場合も保存されますが、その場合はあなたと結び付く情報は残りません。根拠は、法律で求められる情報を提供したことを証明できるようにするという当社の正当な利益（第 6 条第 1 項(f)）です。

任意のアカウントと同期（Pro）

Apple、Google、Facebook（Meta）またはメールでログインできます。ログインは アイルランド のサーバー上で Supabase が処理します。その際、メールアドレス、アカウント ID、提供元が共有する場合はお名前、アプリの言語、テスト版ではテスト用フラグを保存します。Apple ではメールアドレスを非公開にでき、その場合は Apple の中継アドレスのみが見えます。

Pro では、予算がアカウントと同期されます：口座、明細、繰り返し入出金、予算、貯蓄目標、自分で作ったカテゴリ、アプリが記憶した取引先、引き継がれる設定（給料日、給与、予算）。各変更は日時と端末とともに保存されます。データは送信中も保存時も暗号化され、あなたのアカウントだけが読み取れます。

ログイン用のコードとリンクは、あなたのアドレスと言語とともに Resend（米国）を通じてメールで送信されます。リンクは Vercel でホストされている当社のウェブサイトを開き、そこからアプリに移動します。各メールを一度だけ送るため、当社のサーバーはメッセージ ID・種類・状態のみを 7 日間保持し、アドレスは保持しません。

いつでもログアウトでき、データはスマートフォンに残ります。「アカウントを削除」で、アカウントと当社のサーバー上の関連データがすべて削除されます。残るものは、ストアと RevenueCat での購入履歴、名前やアカウントと結び付かない回数の記録（30 日後と 13 か月後に削除）、各サービスの規約に基づくサービス自体のログです。

ウィジェットとリマインダー

ウィジェットはスマートフォン内のデータから数字を表示し、繰り返し入出金のリマインダーはスマートフォン上で設定されます。どちらも何も送信しません。

データの共有先

• Supabase（アイルランド、EU）：ログイン、Pro の同期、AI 読み取り用サーバーとその回数の記録。
• Anthropic（米国）：AI 読み取り（あなたの許可がある場合のみ）。
• Resend（米国）：ログイン用コードとリンクのメール。
• RevenueCat（米国）：Pro のステータスと購入。
• Sentry（EU、ドイツ）：IP アドレスを含まないクラッシュレポート。
• Expo（米国）：アプリのアップデート、およびサブスクリプションに関するプッシュ通知の中継。
• Vercel（米国）：当社のウェブサイト（ログインリンクが開くページを含む）。
• Apple、Google、Meta：App Store、Google Play、選択した場合の各社アカウントでのログイン、スマートフォンのバックアップ、プッシュ通知の配信（Apple Push Notification service と Google Firebase Cloud Messaging）。
• 為替レート：当社のサーバーは Frankfurter と ExchangeRate-API からレートを取得します。あなたに関するデータが送られることはありません。

データが米国に送られる場合、各社は EU の標準契約条項または EU–US Data Privacy Framework を利用します。データを販売することはなく、アプリに広告やトラッキングはありません。

法的根拠

• あなたが使うアプリを提供するため（GDPR 第 6 条第 1 項(b)）：アカウントと同期（Supabase）、Apple、Google、Facebook またはメールでのログイン（Resend）、Pro の購入（App Store、Google Play、RevenueCat）。
• AI による読み取りについてのあなたの同意（第 6 条第 1 項(a)）。Supabase を経由して Anthropic に送られます。いつでも撤回できます。
• エラーの修正（Sentry）、アプリのアップデートの配信（Expo）、サービスを上限内に保つこと（回数の記録）、ウェブサイトの運営（Vercel）における当社の正当な利益（第 6 条第 1 項(f)）。

データの保存期間

• スマートフォン：アプリで削除するか、アプリをアンインストールするまで。
• アカウントと同期データ：アプリでアカウントを削除するまで。
• AI 読み取り用の画像：当社では保存しません。Anthropic では 30 日以内に削除されます。ただし、不正利用の疑いでフラグが付いたリクエストは除きます（privacy.claude.com）。
• 取り込んだ CSV・Excel ファイル：保存しません。残るのは保存した取引と、ファイルの列の並びだけです。
• AI 読み取りの回数（一方向のコード、日付、回数）：30 日間。
• 無料の AI スキャンの回数（ハッシュ化したデバイス ID、月、回数）：13 か月。
• ログインメールの記録（アドレスなし）：7 日間。
• サブスクリプションのお知らせ用プッシュトークン：ログアウト、アカウントの削除、または通知をオフにするまで。
• クラッシュレポート：最長 90 日間。
• Resend でのログインメール：30 日間（resend.com）。Supabase 自体のログとバックアップ：最長 7 日間（supabase.com）。RevenueCat（revenuecat.com）、Expo（expo.dev）、Vercel（vercel.com）：各社の規約によります。規約に決まった期間は示されていません。
• スマートフォンのバックアップ：Apple または Google のもとで、各社の規約に従い、あなたが削除するまで。

あなたの権利

アプリ内ですべてのデータを確認、修正、書き出し（マイページ → データを書き出す、どなたでも無料）、削除（マイページ → このスマートフォンのデータをすべて削除）できます。取り扱いに異議を申し立てたり、AI による読み取りへの同意をいつでも撤回したりできます。

ご質問は kontakt@nordicdigitalapp.no までお寄せください。監督機関はノルウェーのデータ保護機関（Datatilsynet）で、こちらに苦情を申し立てることができます。EU/EEA にお住まいの場合は、お住まいの国のデータ保護機関に申し立てることもできます。

お子様について

Saldo Pocket は 13 歳未満のお子様向けではなく、当社はお子様のデータを故意に取り扱うことはありません。

変更

このポリシーを変更する場合は、このページと上部の日付を更新します。データの使われ方に関わる変更の場合は、アプリでお知らせします。