ウェロディ プライバシーポリシー

翻訳ドラフト — 法務レビュー前。法的助言ではありません。 正本は韓国語版です。この日本語文は参考のための翻訳であり、韓国語の原文自体も法務レビュー前の草案（‘초안 — 법률 검토 전’）です。
この文書は、実際のサービスのコードで確認したデータの流れをもとに書いた草案です。事業者情報・保存期間など〔 〕で示した箇所はまだ決まっていません。

〔事業者の決定：運営者名（会社名または個人事業者名） — BD-30〕（以下「会社」）は、健康記録・診察準備アプリ ウェロディ（Wellody）（以下「本サービス」）を利用する方の個人情報を、個人情報保護法（「개인정보 보호법」）に従って取り扱い、保護します。このプライバシーポリシーでは、何を、なぜ、どのくらいの期間、誰と一緒に取り扱うのか、また利用者がどのように権利を行使できるのかをお知らせします。

ひと目でわかる概要

第1条 取り扱う個人情報の項目

1. 会員登録・ログイン（必須）

ログイン時、認証サーバー（Supabase Auth）は最終ログイン時刻や接続IPアドレスなどの認証記録を残します。〔確認が必要：Supabase Authの監査ログの項目・保存期間〕

2. 本サービスの利用中に利用者が自分で入力する情報

「なし」「わからない」「記録しない」は区別して保存します。空欄を0や「正常」に置き換えることはしません。

性生活に関する情報（性の健康の記録）は、より狭く扱います。 本人だけが見られ、「家族と一緒に見る」の範囲には入れられません（サーバーの権限ルールが防ぎます）。今日の画面・ウィジェット・通知・ロック画面、1日のまとめ・カウント、サンプルデータには出ません。受診サマリーにはそのサマリーを作るときに利用者が「性の健康」欄をオンにした場合だけ、マディのアシスタント（ロディ）には利用者が「アシスタントが読んでもいい」をオンにした場合だけ、書き出しファイルには書き出すときに選んだ場合だけ入ります。この領域は、オンにするその場で別途同意をいただきます（センシティブ情報（性生活）の別途同意、韓国 個人情報保護法第23条）。 同意画面には保存する項目、見られる人（本人だけ）、初期設定で入らない場所、オフと削除の方法を記載し、利用者が「同意してオンにする」を押したときだけオンになります。同意した文言の版と時刻を記録として残し、この同意がなければサーバーは性の健康の記録を新たに保存しません。領域をオフにすると同意の撤回として記録し、そのときに記録をあわせて削除する（削除後しばらくは元に戻せ、その後に破棄）か、残して隠すかを選べます。残した記録は、またオンにするか削除するまでどこにも表示されません。記録ごとに削除するか、アカウントを削除して消すこともできます。記録のロックをオンにすると、ほかの記録と同じく記録の種類（性の健康の記録であること）も端末で暗号化されて保存されます。

3. 端末・ヘルスケアアプリから取り込む情報（任意、読み取りのみ）

利用者が「端末・ヘルスケアアプリとの連携」に同意し、スマートフォンの許可画面で項目ごとに許可した場合にだけ読み取ります。ウェロディはヘルスケアアプリに 書き込みません。

4. 自動で生成・収集される情報

会社は 広告識別子、正確な位置、連絡先、通話・メッセージの履歴を収集しません。 クラッシュ分析ツールや外部の利用分析ツールは現在使っていません。〔事業者の決定：分析・クラッシュツールの導入可否 — BD-12。導入する場合は、まずこの条項を改めます。〕

5. 端末内だけで処理し、会社が受け取らない情報

• 音声：音声で記録するとき、音声は原則としてスマートフォンの中で文字に変換します。録音ファイルは保存しません。利用者が設定で「スマートフォンの音声サービス」を選んだり、Webブラウザで音声入力を使ったりすると、音声認識はスマートフォン・ブラウザの提供者（Apple・Google）が処理することがあり、その処理は各提供者の方針に従います。会社は音声を受け取りません。
• 現在地：「現在地を使う」を押すと、もっとも低い精度で一度だけ読み取って近くの市・郡・区を選び、位置の値は保存・送信しません。保存するのは地域（市・郡・区）の名前だけです。
• 話し言葉・文章の解釈：記録の文章を項目に分ける基本の解釈は、端末内のルールで行います。
• ログインせずに使う「サンプル体験」・「この端末にだけ保存」モード：記録は端末の外に出ません（薬の情報・病院検索・天気の照会は、下記第4条のとおり検索語・地域だけを送ります）。

6. 機能ごとの処理経路の概要

アプリ › 設定 › AI・個人情報 ›「送るもの・現在の処理経路」でも同じ表を見られます。

第2条 取り扱いの目的

健康データは 広告・マーケティング、個人向け広告、個人情報の販売、保険・雇用・信用の判断に使いません。 利用者の記録をAIの学習に提供しません。

第3条 取り扱いと保存の期間

• 原則：会員の退会（アカウント削除）まで保存し、削除を依頼されれば遅滞なく破棄します。
• アカウント削除を押すと その時点でアクセスが止まり、サービスのサーバーの記録・元ファイル・受診サマリー・共有リンク・家族の権限・同意の記録・会話、外部AIの使用量の記録、呼び出し回数の制限用ハッシュ、招待コード・共有リンクの試行記録、そして ログインアカウント（メール・ログイン手段の識別値） が削除されます。端末内の保存データとロックの鍵も一緒に削除します。
• 削除台帳には、削除したアカウントの識別値と時刻だけを残します（バックアップから復元するときに再度削除するため、内容はなし）。ほかの利用者が利用者に共有した記録を利用者が見たアクセス履歴は、その記録の持ち主のアクセス履歴のため、持ち主側に残ります。

アプリがない場合やアプリに入れない場合は、Webの案内ページ（/ja/delete-account）の方法で削除を依頼できます。

第4条 個人情報の取り扱いの委託と国外移転

1. 取り扱いの委託

〔事業者の決定：各委託先との委託契約（データ処理付属書・DPA）の締結 — BD-03・BD-06・BD-30〕

2. 国外移転（法第28条の8）

外部AIは 初期設定ではオフ で、利用者が設定で「同意して外部AIをオンにする」を押した場合にだけ動作します。オフにするとその時点で外部への送信が止まり、端末内のルールだけで処理します。外部AIへの同意を拒否しても、ほかの機能はそのまま使えます。

食べ物の写真による分析の結果（食べ物の名前・推定量・推定栄養値）は下書きで、利用者が確認画面で直して「このまま残す」を押してはじめて記録になります。栄養値はすべて、写真で見た量にもとづく推定値として表示します。ログインなしのサンプル体験での食事写真の結果は端末内のデモ結果で、外部には送りません。

食べ物のカロリーAI推定の結果（食べ物の名前・推定1回量・推定カロリーの範囲・三大栄養素）は下書きで、「AI推定 · 確認してから保存」と表示します。利用者がカロリーと量を確認・修正して追加してはじめて記録になり、食品医薬品安全処の食品栄養成分DBに値がある食べ物はその値を上書きしません。費用を抑えるため、同じ食べ物の名前・量の文に対する推定結果は、アカウントと結びつけずに（食べ物の文のハッシュをキーとして）サービスのサーバーに最大90日保管して再利用します。利用量の記録には食べ物の文を残しません。

外部AIの同意文（版 draft-2026-10-20）は、上の表の6つの機能をすべて記載しています（draft-2026-10-19 に同意した利用者は「食べ物のカロリーAI推定」が加わったため、draft-2026-10-18 に同意した利用者は「食べ物の写真で分析」も加わったため、改めて確認します）。文言の版が変わると、以前の版に同意した利用者には、次に外部AIの機能を使う前に変更内容を示して改めて同意をいただきます（ほかの機能はそのまま使えます）。サービスのサーバーも、依頼のたびに現在の版への同意があるかを確認します。

〔確認が必要：Supabaseは米国法人ですが、保存地域はソウルです。国外移転に当たるかどうか（遠隔アクセス・サポートなど）は法務レビューが必要。〕

3. 個人情報を送らない外部への照会

次の照会は、個人情報を送らないように設計しています。すべてウェロディのサーバー関数を経由し、外部機関には利用者のアカウント・IPは伝わりません。

薬の情報・病名の照会結果は、同じ検索語を再度呼び出さないようサーバーに一時保存（キャッシュ）し、このキャッシュには誰が探したかを残しません。

第5条 個人情報の第三者提供

会社は利用者の個人情報を第三者に提供しません。ただし、次のことは 利用者が自ら依頼した場合 にだけ行われます。

• 受診サマリーの共有リンク：利用者が内容を確認した受診サマリーをリンクにすると、リンクと（選んだ場合は）6桁の確認コードを持つ人は、ログインなしでそのサマリー1枚を見られます。リンクは決めた期間（最大30日）が過ぎるか利用者が取り消すと開けなくなります。閲覧回数と閲覧の事実は利用者に表示されます。名前・誕生日を入れるかどうかは利用者が選びます。薬のメモは「受診サマリーに入れない」をオンにしない限り一緒に含まれます。
• PDF・画像での保存・共有、診察室での画面表示：スマートフォンの共有機能で、利用者が選んだ先に送ります。すでに送ったファイルは会社が削除できません。
• 家族と一緒に見る（実験的機能、初期設定は非表示）：利用者が承認した人に、利用者が選んだ範囲だけを見せます。いつでも範囲を狭めたり取り消したりできます。記録のロックをオンにすると、現在は家族との共有を新たに設定できません。性生活に関する情報（性の健康の記録）はこの範囲に入れられません。
• 法令に特別な規定がある場合、または法令上の義務を守るためにやむを得ない場合。

第6条 個人情報の破棄の手順と方法

• 手順：削除依頼の受付 → 直ちにアクセスを遮断 → サービスのサーバーの元ファイル・記録・使用量の記録を削除 → ログインアカウントを削除 → バックアップのコピーは保存周期に従って消滅〔事業者の決定：期限 — BD-05・BD-31〕。バックアップから復元する場合も、削除台帳に従って削除した記録を再度削除します。
• 方法：電子ファイルは復元できない方法で削除します。紙の文書は作りません。
• ヘルスケアアプリとの連携を解除するときに「取り込んだ記録も削除」を選ぶと、ヘルスケアアプリから取り込んだ記録を削除します。

第7条 情報主体と法定代理人の権利・義務および行使方法

利用者はいつでも次の権利を行使できます。

• アプリで行うのが難しい場合は、下記の個人情報保護責任者に依頼でき、会社は〔事業者の決定：処理期限、法定の10日以内を推奨〕以内に回答します。
• 代理人を通じて行使することもできます（委任状が必要）。
• 記録のロックについて：パスフレーズと復元コードの両方をなくすと、会社もロックされた記録を復元できません。その場合にできるのは、ロックされた記録を削除して新しく始めることです。お問い合わせの際にパスフレーズ・復元コードを書かないでください。会社がこれらを尋ねることはありません。

14歳未満の児童

〔事業者の決定：14歳未満の利用方針 — BD-07（成人の本人確認の方法）とあわせて。草案の提案：「ウェロディは14歳未満の児童の会員登録を受け付けません。14歳未満の児童の情報が収集されたことがわかった場合は、遅滞なく削除します。」家族が子どもの記録を管理する機能を開く場合は、法定代理人の同意手続き（法第22条の2）が必要。〕

第8条 安全性確保のための措置

• 通信の暗号化：アプリ・Webとサーバー、サーバーと外部機関の間は暗号化された通信（HTTPS）を使います。〔確認が必要：食品安全ナラの照会は機関のアドレスがhttp — 検索語だけがやり取りされ、個人情報はなし〕
• アクセス制御：すべての記録の閲覧・変更は権限の確認を経ます。権限がなければ、記録が存在するかどうかも知らせません。データベースは行単位のアクセスルール（RLS）で、本人と本人が許可した人だけが読めるようにしています。ファイルの保存場所は公開されません。
• 秘密情報の管理：外部AI・公的データのキーはサーバーにだけ置き、アプリには入れません。
• ログの最小化：サーバーのログと使用量の記録に、健康記録の内容・質問の原文・写真・正確な位置を残しません。呼び出し制限にはアカウント・IPのハッシュだけを使います。
• 呼び出し制限・費用の上限：外部AIには1日の回数と月の費用の上限を設けています。共有リンク・確認コードは、誤った試行を1時間に10回までに制限します。
• 記録のロック（任意 — オンにすると一部の項目を端末で暗号化してから保存）：オンにすると、記録の内容と写真・書類のファイルを端末で暗号化（XChaCha20-Poly1305）してからアップロードします。復号の鍵は利用者のパスフレーズ・復元コードでしか開けず、会社は予備の鍵を持ちません。そのため、サーバーに保存された記録の内容は会社も開けません。ただし、次のものは暗号化の対象外です。
  外部AIをオンにして依頼するときに送る写真・文章（依頼を処理している間）
  共有リンクで送った受診サマリーのコピー（リンクが有効な間）
  アカウント・同意・利用プラン・お問い合わせ・アクセス履歴
  保存時刻・容量・記録数・プロフィール識別値などの技術情報
  Web版は開くたびにサーバーからアプリのコードを受け取るため、アプリ版より保護の水準が低い場合があります。
• 端末での保管：アプリ版は鍵をスマートフォンの安全な保存領域（Keychain/Keystore）に置きます。ログアウトすると端末の鍵を削除します。
• 〔事業者の決定：内部管理計画の策定、個人情報取扱者の指定・教育、アクセス権限の管理手順、接続記録の保管（個人情報の安全性確保措置の基準） — BD-30〕

第9条 自動で収集する装置の設置・運用および拒否

• モバイルアプリはCookieを使いません。ログイン状態と設定は端末の保存領域に置きます。
• Web版はログイン状態を保つためにブラウザの保存領域（localStorage・IndexedDB）を使います。広告・トラッキングのCookieや外部の分析ツールは使いません。ブラウザの設定でサイトデータを消すとログアウトします。〔確認が必要：公開しているWeb版の実際のCookieの有無の点検〕
• 行動情報（広告目的の利用記録）は収集しません。

第10条 ヘルスケアアプリ（Appleヘルスケア・ヘルスコネクト）のデータについての追加の約束

• 利用者が許可した項目だけを、読み取りだけで扱います。生理の項目は別にオンにしたときだけ読み取ります。
• 性行為の項目（Appleヘルスケア「性行為」・ヘルスコネクト「性行為」）は現在読み取りません。今後読み取る場合は、「性の健康」領域をオンにした利用者が別に許可したときだけ読み取ります。
• 取り込んだデータは、このアプリの毎日の記録・振り返り・受診サマリーにだけ使います。
• 広告・マーケティングに使わず、販売せず、広告プラットフォーム・データブローカーに渡しません。 保険・雇用・信用の判断に使いません。
• 利用者の明示的な依頼（共有リンク・PDFなど）なしに第三者と共有しません。
• 人が直接読むのは、利用者の依頼（お問い合わせへの添付など）・セキュリティ目的・法令上の義務がある場合に限ります。
• ヘルスケアアプリのデータをiCloudに置きません。
• クラウドアカウントの場合、取り込んだデータもほかの記録と同じくサービスのサーバーに保存され、記録のロックをオンにすると一緒に暗号化されます。連携を解除するときに、取り込んだ記録を一緒に削除できます。

第11条 個人情報保護責任者

アプリ内の「お問い合わせ・不具合報告」からも連絡できます。お問い合わせの内容は運営者が読みます。

第12条 権利侵害の救済方法

個人情報の侵害について相談や救済が必要な場合は、次の機関（韓国）にお問い合わせいただけます。

• 個人情報紛争調停委員会：（市外局番なし）1833-6972、www.kopico.go.kr
• 個人情報侵害申告センター（韓国インターネット振興院）：（市外局番なし）118、privacy.kisa.or.kr
• 大検察庁 サイバー捜査課：（市外局番なし）1301、www.spo.go.kr
• 警察庁 サイバー捜査局：（市外局番なし）182、ecrm.police.go.kr

〔確認が必要：公開直前に各機関の連絡先を再確認〕

第13条 このポリシーの変更

このプライバシーポリシーを変更するときは、施行の7日前（利用者に不利な変更や重要な変更は30日前）から、アプリ内のお知らせとこのページでお知らせします。収集項目や目的が増える変更は、改めて同意をいただきます。

• 公告日：〔事業者の決定〕
• 施行日：〔事業者の決定〕
• 以前の版：〔なし — 初版〕
• 草案の修正履歴：2026-10-21 — アプリの表示名に合わせて「診察サマリー」を「受診サマリー」に表記だけ変更（同じ機能の名前のみ — 取り扱う項目・目的・保有期間・提供範囲は変わりません）