要約
HPはアカウントなしでも利用できます。任意の「Appleでサインイン」で、HP専用の保存先に記録を保存し、別の端末で復元できます。サインインだけでは健康記録を送信しません。
写真の読み取り、ビルド5以降で別途同意した文字の読み取り、許可した天気の取得、購入の確認には外部サービスを使います。写真を送るのは HP Pro を契約していて、かつ画面で明示的に同意した場合のみです。写真解析へヘルスケアのデータを送りません。アカウントから保存する場合の対象は下記の④をご覧ください。
通常は端末内で扱うもの
- ヘルスケアのデータ(睡眠・心拍・安静時心拍・心拍変動・活動量・体組成・服薬・生理周期) — 元の取得キャッシュやクエリアンカーは転送しません。HP・能力履歴・体格などに含まれる計測値や推定値は、④の保存対象です
- 文字で書いた食事の記録 — 1.0のビルド1〜4ではAppleの端末内モデルで読み取ります。1.0のビルド5以降では、文字のクラウド読み取りに別途同意した場合だけ、入力した食事のことばをHPの中継サーバー経由でOpenAIへ送ります。写真への同意だけでは文字を送りません。保存済みの食事記録は④の対象です
- 水分・体調・設定・HP の履歴 — 端末内のファイルに保存されます
端末から出るもの
1.0のビルド5以降の文字読み取りにも、下記OpenAIの処理・保持条件が適用されます。設定 →「ことばのクラウド読み取り」で同意を取り消せます。同意しない場合は食品の手動選択を利用できます。
① 食事の写真(Pro かつ同意した場合のみ)
- 同意画面で「送って読み取る」を押すまで、写真は一度も送られません
- 送り先は HP の中継サーバー(Cloudflare Workers)経由で OpenAI です
- 中継サーバーは何も保存しません。保存領域(KV・R2・D1・キュー)を1つも持っていません
- 1.0のビルド1〜4では食品の名前と量を受け取ります。1.0のビルド5以降では名前・説明・量・栄養値・kcal・推定の印・出典を受け取ります。市販品の確認では、OpenAIのWeb検索へ食品・商品名を渡す場合があります。健康記録やアカウント情報は解析要求へ添付しません
- HP の中継サーバーは写真を保存しません。 食事を保存した場合は、長辺200ピクセル以下の縮小画像が端末内の食事・履歴に残ります。元画像や位置情報などの撮影メタデータは保存しません
- APIへ送信した写真は解析のために使います。OpenAI APIは、明示的なデータ共有への参加がない限り学習に利用しません。HPは学習への提供を目的とした送信をしません
- OpenAIでは不正利用監視のため、入力が通常最大30日保持される場合があります。法令や安全上の必要による延長、画像の安全審査などの例外があります。中継サーバーの非保存は、この保持期間がゼロであるという意味ではありません。詳細はOpenAIのデータ管理方針を参照してください
- この同意は、設定 →「写真のクラウド読み取り」でいつでも取り消せます
② おおよその位置情報(許可した場合のみ)
- 天気を読むためだけに使います。正確な位置ではなく、おおよその位置です
- 使うのは表示している天気と、その日の水分目標の2つだけです
- 許可しなければ、天気の表示が静かに消えるだけです。何も咎めません
③ 購入の処理
- 購入は App Store が処理します。HP はカード情報を受け取りません
- 契約状態の確認に RevenueCat を使っています。RevenueCat が受け取るのは App Store の購入記録、アプリが作った匿名の識別子（サインイン後はHPのアカウントID）、OS・端末・アプリのバージョンなど購入処理に必要な技術情報です。氏名も、メールアドレスも、ヘルスケアのデータも渡していません
④ Appleでサインインと記録の保存（任意）
- Appleが本人確認を行い、HPはAppleのユーザー識別子とHP固有のIDを紐づけます。氏名・メールアドレスの提供は求めません。HPのIDはプランを識別するためRevenueCatにも使います。
- 設定 → アカウントと記録 →「保存」を確認した時だけ、アプリ内の呼び名・生年・体格・妊娠設定などのプロフィール、HPと負債・計算時刻、ステータスと日次履歴、食事と栄養、飲み物、水分、体調・睡眠の自己申告をHP専用Cloudflare Workers/D1へ送ります。身体・健康に関する計測値や推定値を含みます。
- 通信はHTTPS、保存する記録とAppleの更新トークンはAES-GCMで暗号化します。暗号化・復号に使う鍵はHPのサーバーが保持するため、エンドツーエンド暗号化ではありません。HealthKitの取得キャッシュ・アンカー、写真・縮小画像、端末ごとの許可は転送しません。
- 自動統合は行いません。保存・復元は明示操作で、競合する保存は拒否します。復元前の控えはそのアカウントの端末内に残します。
- サインアウトしても保存先の記録は残ります。「HPアカウントを削除」で保存先とこの端末のアカウントデータを削除し、Appleの認可を取り消します。他の端末のオフライン記録は遠隔消去できません。運用バックアップはCloudflareの保持期間に従い残る場合があります。定期購入の解約はApp Storeで別途必要です。
使っていないもの
- 広告はありません
- アプリ内の操作を追う行動解析ツール・広告トラッキングSDKは使いません。RevenueCatでは購入情報を契約確認と売上・契約状況の集計に利用します
- データを販売せず、広告や追跡に提供しません。上記の機能を使う場合の処理先は明記しています
あなたができること
- 書き出す: 設定 →「データを書き出す」— 保存された縮小画像も含みます。書き出したファイルの保管・共有先はあなたが選びます
- 消す: 設定のデータ削除は現在開いている端末内の記録が対象です。アカウントの保存先と控えも削除する場合は「アカウントと記録 → HPアカウントを削除」を使います
- ヘルスケアの許可を取り消す: iOS の設定 → プライバシーとセキュリティ → ヘルスケア
- 写真のクラウド読み取りを止める: 設定 → 写真のクラウド読み取り
子どもについて
HP は 13 歳未満の子どもに向けて作られていません。意図的に子どもの情報を集めることはありません。
このポリシーの変更
変更したときは、この文書の最終更新日を更新します。重要な変更はアプリの更新情報でお知らせします。