隱私權政策 · Privacy Policy · プライバシーポリシー

1. 我們收集什麼

• 探訪：定位、H3 格子、探訪距離與時間。開始探訪才持續定位。
• 生活足跡（預設關閉，你自己開啟才會有）：你在 App 內開啟「生活足跡」並允許系統定位權限後，App 才會在背景記錄定位樣本，並整理成停留與旅程。原始樣本只留在這支手機，預設 30 天（可在設定改成 7／30／90 天）後自動刪除；上傳到伺服器的是壓縮過的路段摘要與 H3 足跡格，不是逐筆原始座標。你可以隨時暫停或關閉，也可以選擇不同步、只留在本機。
• 拾景：現場照片（登入後上傳保存）、拍攝時間、位置／H3、分類與你寫的筆記。
• 帳戶：Sign in with Apple 或 Google 的識別碼；你可提供稱呼、email、生日。
• 平安確認（探訪守護）：你新增的守護者 Email，也就是緊急聯絡人（加密保存）、確認時間，以及你選擇附上時的最近有效位置。
• 飛行誌：你新增或確認的航班號、機場、日期與是否搭乘；若使用轉寄，另保存 inbound.mythfog.com 專屬地址、解析出的航班，以及信件的主旨與內文（保存收到時的原樣，不是送去解析前過濾過的版本；最多 90 天，只用於解析失敗時重試與排查問題，不用於訓練模型或改進資料；撤回同意當下刪除）。
• 匯入資料（旅人通行）：從 Flighty 匯出的 CSV 在手機上解析，只上傳航班基本資料（航班號、機場、日期、航空公司），不上傳原始檔、座位、訂位代號或備註；每批匯入可整批移除。訂閱狀態本身由 Apple 的交易資訊驗證，我們保存到期日與交易識別碼，不保存付款方式。
• 誌異食物：化靈時從畫面估計的熱量與營養素。旅誌可選擇是否顯示或分享。
• 活動與健康資料：你授權後，我們讀取 Apple 健康的步數、步行距離與睡眠時數。步數與步行距離只在裝置端計算探索進度，不會上傳。睡眠時數只以當日的「分鐘數」上傳到伺服器一次，用於計算當天的靈機獎勵，不含原始樣本，不會寫回你的健康資料，也不作醫療用途。你可以在 iOS 設定隨時關閉這項授權。
• 好友即時位置：只有你在探訪中主動開啟時，才會每 15 秒把座標傳給伺服器，而且只有你選的那 1 位好友看得到。探訪結束或你手動停止就不再傳送，伺服器只保留最後一筆座標。
• 檢舉與封鎖：你送出的檢舉會保存檢舉人、被檢舉的內容與帳號、檢舉原因與時間，供我們審核與處理不當內容；你設定的封鎖名單也會保存，好讓被封鎖者的內容不再出現。
• 診斷資料：App 會以匿名方式回報當機次數、耗電相關的前景／定位累計秒數與 CPU 時間、定位授權被降級或中斷、以及舊資料遷移對不上的情形，附 iOS 版本與 App 版本。這些訊號只用來判斷 App 是否出了問題，不含任何座標、H3 格子、路徑或自由文字，帳號識別碼經不可逆雜湊後保存，無法反查回你。
• 化靈：處理用照片複本、生成圖像、工作狀態。JSON 可能帶緯經度與國家碼，作為世界脈絡，不是寫進 JPEG 的 EXIF。

2. 照片會不會上傳

按下快門時，照片會先寫入手機。登入後，每一張有效拾景都會上傳到我們的私人物件儲存（observations），並寫入觀察紀錄。化靈時另會複製一份處理複本到 genesis-inbox。生成圖存於公開的幻獸圖桶，供你在卡片上查看。人臉檢測只做「有沒有臉」，不做身份辨識；有人臉的照片不會收入誌異，也不會上傳或化靈。從相簿匯入的照片如果沒有 EXIF 位置、或有位置卻沒有拍攝時間，一律只留在手機，不會上傳。

3. 保存期間

裝置上的原圖由你控制。生活足跡的原始定位樣本只留在裝置本機，預設 30 天（可改成 7／30／90 天）後自動刪除，伺服器上只有壓縮後的停留與旅程結構。已上傳的現場照片在帳戶存續期間保存；雲端圖檔去掉定位標籤，拍攝 GPS 與時間存在資料欄位。化靈處理複本目標在完成、失敗或最長 24 小時後刪除。你終止帳戶後，雲端的個人資料、探訪格子、旅誌、幻形圖與現場照都會刪除，手機裡的同步紀錄（探訪格子、旅程、行程與每日段落）也會一併清掉，並撤銷 Sign in with Apple 的授權；旅人通行（訂閱）不會自動取消，請自行到 App Store 取消。手機裡的照片與卡片會留著，但會標成僅本機，不會再上傳，也不能再化靈。為了離線也能看，手機會在連線時把好友清單、同行旅誌清單、每週回顧、旅程 AI 回顧、探訪守護的守候狀態（守護者的稱呼與遮罩過的 Email 提示，不是完整 Email）與足跡時間軸的第一頁存進手機的快取資料夾；這些只在你的手機上，不進 iCloud 與電腦備份，登出、刪除帳號或換帳號時整批清除，在這支手機上刪除位置歷史時足跡時間軸那一頁也會清掉，撤回「AI 記憶與回顧」的同意時手機上的回顧文字也一併清除。離線時修改的 Email 與生日在送出前只存在你的手機上，送到伺服器或被伺服器拒絕就刪除。

4. 訓練與服務改善

把已上傳、且不含人臉的現場照片用於改進辨識、安全過濾與生成，是可選的。你可以在旅人頁（Profile）隨時關閉「照片用於 AI 訓練」；關閉後，我們不再把你的新照片放進訓練資料。化靈本身仍要上傳照片，那是另一個用途。已經開始的第三方模型訓練流程，我們不保證能把資料撤回。

5. 第三方

基礎設施包含資料庫與物件儲存、應用託管、化靈所用的視覺／圖像模型供應商、平安確認寄信與飛行誌轉寄所用的郵件服務，以及查航班時刻所用的航班資料服務 AirLabs（只收班號、航空公司代碼與出發、抵達機場代碼，不含你的身分、帳號或信件文字）。第三方 AI 服務供應商有兩條獨立用途，各自要同意：飛行誌轉寄機票信的解析（見第 1 條、飛行誌同意），以及「AI 記憶與回顧」的檢索索引與旅程回顧（見第 11 條）。沒有對應同意就不會為那項用途送出。他們僅在提供本服務所需範圍內處理資料，並受其條款拘束。

6. 你的權利

依台灣個人資料保護法，你得查詢、閱覽、請求補充更正、請求停止收集處理利用或刪除。請透過 App 內旅人資料或服務公告之聯絡方式提出。App 內也直接提供這些工具：在「位置與足跡」設定裡暫停或關閉生活足跡、清除某一天的足跡、刪除全部位置紀錄；在旅人頁撤回「AI 記憶與回顧」的同意、匯出你的資料（我們打包好之後給你一個短效的簽名下載連結），以及刪除帳號。刪除位置紀錄與刪除帳號都會留下一份刪除回條，讓你看得到刪了哪些、刪了幾筆。這些權利不需要訂閱，也不會被功能開關擋住。關閉定位或相機權限會使對應功能無法運作，但不影響已存在裝置上的紀錄。

7. 兒童

本服務不針對 13 歲以下兒童。若發現此類帳戶將刪除。

8. 變更

政策版本為 2026-10-05。重大變更會更新版本，並可能請你重新同意。

9. 推播通知

登入後我們會請求裝置的推播權限，第一次成功送出化靈之後才會詢問。裝置的推播 token 用於化靈完成與靈機補滿的通知；探訪守護的提醒通知也走同一組權限。你可以在旅人頁的設定裡個別關閉這幾種通知，關閉後我們就不再推播，也不影響探訪、拾景或化靈本身。刪除帳號時，裝置推播 token 會一併刪除。

10. 生活足跡與背景定位（你主動開啟才會發生）

「生活足跡」預設是關閉的。只有在你自己把它打開、並在系統對話框允許定位權限之後，App 才會記錄位置；要在你沒開著 App 的時候繼續記錄，還必須由你另外允許「永遠」定位權限。我們不會替你打開，也不會在你沒開啟時於背景取得位置。你可以隨時在「位置與足跡」設定裡暫停一段時間或整個關掉；暫停不會刪掉既有資料、不會把已散開的迷霧收回，暫停期間也不會改用別的方式推測你在哪裡。手機電量低或你長時間沒動時，取樣會自動變保守。原始定位樣本只留在裝置本機（預設 30 天，可選 7／30／90 天），逾期自動刪除；伺服器只保存壓縮後的停留與旅程結構，以及 H3 足跡格。你也可以選擇完全不同步，只留在這支手機。清除某一天的足跡與刪除全部位置紀錄的做法見第 6 條。

11. AI 記憶與回顧（明確同意才會啟用）

這項功能預設關閉。只有在你看過說明並明確同意之後，我們才會把旅誌標題與筆記、事件標題這類文字，透過我們自己的閘道送給第三方 AI 服務供應商，用來建立可檢索的索引與生成旅程回顧。能送出去的內容是白名單決定的：絕不包含精確座標、常去地點的位置、即時位置分享的座標、守護者 Email，也不包含健康資料或被你封鎖的人的內容。你可以隨時在旅人頁撤回同意；撤回後我們立刻停止送出，並刪除伺服器端已經建立的索引，這個動作不受任何功能開關影響。回顧文字是模型的推測，可能不準確，請不要當成事實紀錄。

1. What we collect

• Visits: location, H3 cells, visit distance and time. Continuous location starts only after you begin a visit.
• Life trail (off by default, only if you turn it on): only after you turn the life trail on in the app and allow location in the system dialog does it record background location samples and shape them into stays and journeys. Raw samples stay on this phone and are deleted automatically after 30 days by default (7 / 30 / 90 days if you change it in Settings); what reaches the server is compressed segment summaries and H3 trail cells, not every raw point. You can pause or turn it off at any time, and you can choose not to sync and keep the trail on this phone only.
• Captures: field photos (uploaded after sign-in), capture time, location / H3, category, and notes you write.
• Account: Sign in with Apple or Google identifiers; you may give a nickname, email, and birthday.
• Safety check-in (Visit Guardian): the guardian email you add, an emergency contact (stored encrypted), check-in times, and last valid location only if you opt to attach it.
• Flight journal: flight numbers, airports, dates, and whether you took the flight; if you forward mail, the private inbound.mythfog.com address, parsed legs, and the subject and body of the mail (kept as received, not the filtered version sent for parsing; up to 90 days, used only to retry when reading fails and to investigate problems, and not used to train models or improve data; deleted when you revoke consent).
• Import data (MythFog Pass): the CSV exported from Flighty is parsed on your phone and only basic flight details are uploaded (flight number, airports, date, airline), never the original file, seat, booking code, or notes; each batch can be removed as a whole. The subscription itself is verified from Apple's transaction data; we keep the expiry date and transaction identifier, not your payment method.
• Omen food: calorie and nutrient estimates from the photo at manifestation. The trip journal shows or shares them only if you turn that option on.
• Activity and Health data: with your permission we read step count, walking distance, and sleep hours from Apple Health. Steps and walking distance stay on the device to compute exploration progress and are never uploaded. Sleep is uploaded to the server once a day as a number of minutes, used only to compute that day's ink reward, with no raw samples, is never written back into your Health data, and has no medical use. You can turn the permission off in iOS Settings at any time.
• Live location with a friend: only while you turn it on during a visit do we send coordinates to the server every 15 seconds, and only the one friend you picked can see them. Sending stops when the visit ends or when you stop it, and the server keeps only the latest point.
• Reports and blocks: a report you send is stored with the reporter, the reported content and account, the reason, and the time, so we can review and act on objectionable content; your block list is stored so a blocked user's content stops appearing.
• Diagnostics: the app reports, anonymously, crash counts, battery-related totals (foreground seconds, location-tracking seconds, CPU time), location permission downgrades or drops, and legacy-data migration mismatches, together with the iOS and app version. These signals exist only to tell us whether the app is broken. They never contain coordinates, H3 cells, routes, or free text, and your account identifier is stored as an irreversible hash that cannot be traced back to you.
• Manifestation: working photo copies, generated images, job status. JSON may carry latitude, longitude, and a country code as world context, not as JPEG EXIF.

2. Do photos upload

The shutter first writes the photo on the phone. After sign-in, every valid capture uploads to our private object store (observations) and is written into the observation record. Manifestation copies a working file into genesis-inbox. Generated art lives in a public creature bucket so you can see it on the card. Face detection only asks whether a face is present; it does not identify anyone. Photos with a face are not taken into the chronicle, uploaded, or manifested. A photo imported from your library with no EXIF location, or a location but no capture time, stays on the phone and is not uploaded.

3. How long we keep it

Originals on the device stay under your control. Raw location samples from the life trail never leave the device: they are deleted automatically after 30 days by default (7 / 30 / 90 days if you change it), and the server holds only the compressed stay and journey structure. Uploaded field photos are kept while the account exists; cloud pixels have GPS tags stripped, and capture GPS and time live in database fields. Working copies for manifestation are aimed for deletion after success, failure, or at most 24 hours. After you end the account, cloud personal fields, visit cells, trip journals, myth images, and field photos are all deleted, synced records on the phone — visit cells, sessions, journeys, trips, and daily segments — are cleared with them, and the Sign in with Apple authorization is revoked; MythFog Pass does not cancel itself, so cancel it in the App Store. Photos and cards on your phone stay there, marked local only, and are never uploaded or manifested again. So that you can still see them offline, the phone stores the friends list, the shared-journey list, weekly reflections, journey AI recaps, the Visit Guardian status (guardian labels and a masked email hint, never a full email address) and the first page of the trail timeline in its cache folder while you are online. These copies stay on your phone only, are kept out of iCloud and computer backups, and are cleared together when you sign out, delete your account or switch accounts; deleting your location history on this phone also clears the stored timeline page, and revoking consent for AI memory and recaps also clears the recap text stored on the phone. An email or birthday you change offline is kept only on your phone until it is sent, and is deleted as soon as it is sent to the server or the server rejects it.

4. Training and improving the service

Using uploaded, faceless field photos to improve recognition, safety filtering, and generation is optional. You can turn Photos for AI training off at any time on the traveler page (Profile); after that we stop putting your new photos into training data. Manifestation still uploads the photo, which is a separate purpose. Ending the account does not guarantee we can pull data back out of a third-party model training run already in progress.

5. Third parties

Infrastructure includes the database and object store, app hosting, the vision / image model providers used for manifestation, the email delivery service used for safety check-in notices and flight-journal forwarding, and AirLabs, the flight-data service used to look up timetables (it receives only flight numbers, airline codes and departure and arrival airport codes — never your identity, account or mail text). A third-party AI provider is used for two separate purposes, each with its own consent: parsing forwarded flight-journal mail (see section 1 and the flight-journal consent), and AI memory and recaps (search index and journey recaps; see section 11). Nothing is sent for a purpose you have not consented to. They process data only as needed to provide this service and under their own terms.

6. Your rights

Under Taiwan’s Personal Data Protection Act you may request access, review, correction, to stop collection / processing / use, or deletion. Use traveler details in the app or the contact published by the service. The app also offers these directly: pause or turn off the life trail in Location and trail settings, clear one day of trail, and delete your whole location history; on the traveler page, withdraw AI memory and recap consent, export your data (we pack it and then hand you a short-lived signed download link), and delete the account. Deleting location history and deleting the account each leave a deletion receipt showing what was removed and how many rows. None of these rights need a subscription, and no feature switch can block them. Turning off location or camera stops the matching features; it does not erase records already on the device.

7. Children

This service is not directed at children under 13. Such accounts will be deleted if found.

8. Changes

The policy version is 2026-10-05. A material change updates the version and may ask you to agree again.

9. Push notifications

We ask for the device push permission only after your first successful manifestation. The device push token is used to notify you when a manifestation completes and when daily ink refills; guardian reminder notices use the same permission. You can turn each of these off individually in traveler Settings; turning them off does not affect visiting, capture, or manifestation itself. Deleting the account deletes the device push token with it.

10. Life trail and background location (only if you turn it on)

The life trail is off by default. The app records location only after you turn it on yourself and allow location in the system dialog; for recording to continue while the app is not open, you must also allow the Always location permission separately. We never turn it on for you, and we do not take location in the background while it is off. You can pause it for a while or turn it off entirely in Location and trail settings at any time; a pause deletes nothing, does not put revealed fog back, and we do not switch to some other way of guessing where you are while paused. When the battery is low or you have not moved for a long time, sampling backs off on its own. Raw location samples stay on the device (30 days by default, 7 / 30 / 90 days selectable) and are deleted automatically once they expire; the server keeps only the compressed stay and journey structure and H3 trail cells. You may also choose not to sync at all and keep everything on this phone. Clearing one day of trail and deleting the whole location history are described in section 6.

11. AI memory and recaps (explicit consent required)

This is off by default. Only after you have read the explanation and explicitly consented do we send text — journey titles and notes, event titles — through our own gateway to a third-party AI provider, to build a searchable index and write journey recaps. What may be sent is decided by an allowlist: never precise coordinates, the location of your familiar places, live-location coordinates, or guardian emails, and never health data or content from someone you blocked. You can withdraw consent at any time on the traveler page; we stop sending immediately and delete the index already built on the server, and no feature switch can hold that up. A recap is the model's guess and can be wrong — please do not treat it as a record of fact.

1. 収集するもの

• 探訪：位置、H3 セル、距離と時間。探訪を始めてから継続測位します。
• 生活の足跡（既定はオフ。自分で入れたときだけ）：アプリで「生活の足跡」を自分でオンにし、システムの位置情報の許可を出したあとに限り、背景で位置のサンプルを記録し、滞在と旅にまとめます。生のサンプルはこの端末だけに残り、既定 30 日（設定で 7／30／90 日に変えられます）で自動的に削除します。サーバへ上がるのは圧縮した区間の要約と H3 の足跡セルで、生の座標を一点ずつ送るのではありません。いつでも一時停止・オフにでき、同期せずこの端末だけに残すことも選べます。
• 拾景：現場写真（ログイン後にアップロードして保存）、撮影時刻、位置／H3、分類、あなたが書いたメモ。
• アカウント：Sign in with Apple または Google の識別子。呼び名、email、誕生日を出せます。
• 平安確認（探訪守護）：追加した守護者の Email、つまり緊急連絡先（暗号化保存）、確認時刻、および付けることを選んだ場合の直近の有効位置。
• 飛行誌：追加または確認した便名、空港、日付、搭乗の有無。転送を使う場合は inbound.mythfog.com の専用アドレス、解析した便、およびメールの件名と本文（受け取ったままのもので、解析に送る前に処理したものではありません。最長 90 日、読み取りに失敗したときの再試行と不具合の調査にだけ使い、モデルの学習やデータの改善には使いません。同意撤回時に削除）。
• データの取り込み（MythFog Pass）：Flighty から書き出した CSV は端末の中で読み、便の基本情報（便名、空港、日付、航空会社）だけを送ります。元のファイル、座席、予約番号、メモは送りません。一回分はまとめて外せます。サブスクリプションは Apple の取引情報で確認し、有効期限と取引 ID を保存します。支払い方法は保存しません。
• 誌異の食べ物：化霊時に画面から見積もる熱量と栄養素。旅誌で表示・共有するかどうか選べます。
• 活動と健康データ：許可をいただいたとき、Apple ヘルスケアの歩数、歩行距離、睡眠時間を読みます。歩数と歩行距離は端末の中だけで探索の進みを計算し、アップロードしません。睡眠時間はその日の「分数」としてサーバへ一度だけ送り、その日の霊機の報酬の計算にだけ使います。生データは含めず、ヘルスケアに書き戻すこともなく、医療目的にも使いません。iOS の設定でいつでも許可を切れます。
• 友だちへのリアルタイム位置：探訪中に自分で入れたときだけ、15 秒ごとに座標をサーバへ送ります。見えるのは選んだ 1 人だけです。探訪の終了、または手動の停止で送信は止まり、サーバは最後の一点だけを残します。
• 通報とブロック：送った通報は、通報者、通報された内容とアカウント、理由、時刻を保存し、不適切な内容の確認と対応に使います。設定したブロックの一覧も保存し、ブロックした相手の内容が表示されなくなるようにします。
• 診断データ：アプリは匿名で、クラッシュ回数、電池に関わる累計秒数（前景・位置取得・CPU 時間）、位置情報の許可の降格や中断、旧データ移行の不一致を、iOS とアプリの版とともに報告します。これらはアプリが壊れていないかを見るためだけのものです。座標、H3 セル、経路、自由記述は一切含まず、アカウント識別子は復元できないハッシュとして保存され、あなたに遡ることはできません。
• 化霊：作業用の写真複製、生成画像、ジョブ状態。JSON に緯度経度と国コードが世界の文脈として入ることがあります。JPEG の EXIF ではありません。

2. 写真は上がるか

シャッターを押すと、まず端末に書きます。ログイン後、有効な拾景は私有オブジェクト保存（observations）へ上がり、観察記録に書かれます。化霊では作業複製を genesis-inbox へコピーします。生成図は公開の幻獣バケットに置き、カードで見られます。顔検出は「顔があるか」だけを見ます。身元は特定しません。顔がある写真は誌異に入れず、アップロードも化霊もしません。アルバムから取り込んだ写真に EXIF の位置がない、または位置はあっても撮影時刻がないときは、端末に残るだけでアップロードしません。

3. 保存期間

端末上の原図はあなたが管理します。生活の足跡の生の位置サンプルは端末から出ません。既定 30 日（変えれば 7／30／90 日）で自動的に削除し、サーバには圧縮した滞在と旅の構造だけが残ります。アップロード済みの現場写真はアカウントがある間保存し、クラウド画素から位置タグを外し、撮影 GPS と時刻は欄に置きます。化霊の作業複製は成功、失敗、または最長 24 時間後の削除を目標にします。アカウント終了後、クラウドの個人情報・探訪格子・旅誌・幻形・現場写真はすべて削除し、端末に残る同期の記録（探訪格子、探訪の記録、旅程、毎日の区間）も一緒に消し、Sign in with Apple の許可も取り消します。MythFog Pass は自動では解約されないので、App Store で解約してください。端末の写真とカードはそのまま残りますが、端末のみと印を付け、二度とアップロードせず、化霊もできません。オフラインでも見られるように、端末は友だち一覧、同行の旅誌の一覧、毎週のふりかえり、旅の AI ふりかえり、探訪守護の見守り状態（守護者の呼び名とマスクされたメールアドレスの手がかりだけで、完全なメールアドレスは含みません）、足あとタイムラインの最初の1ページを、オンラインのときに端末のキャッシュフォルダへ保存します。これらは端末の中だけに置かれ、iCloud やパソコンのバックアップには入らず、サインアウト・アカウント削除・アカウントの切り替えのときにまとめて消去されます。この端末で位置履歴を削除したときは、保存された足あとタイムラインの1ページも消えます。「AI の記憶と回顧」の同意を取り消したときは、端末に保存されたふりかえりの文章も一緒に消えます。オフラインで変更したメールアドレスと誕生日は、送信されるまで端末にだけ保存され、サーバに送られるか拒否された時点で削除されます。

4. 学習と改善

アップロード済みで顔のない現場写真を、認識、安全フィルタ、生成の改善に使うことは任意です。旅人の設定でいつでも「写真を AI の学習に使う」を切れます。切ったあとは、新しい写真を学習データに入れません。化霊そのものは写真のアップロードが要りますが、それは別の目的です。すでに第三者のモデル学習に入ったデータを撤回できる保証はありません。

5. 第三者

基盤にはデータベースとオブジェクト保存、アプリのホスティング、化霊に使う視覚／画像モデル事業者、平安確認の送信と飛行誌転送のメールサービス、および時刻表を調べる航空データサービス AirLabs（受け取るのは便名・航空会社コード・出発空港と到着空港のコードだけで、あなたの身元、アカウント、メールの文面は含まれません）が含まれます。第三者の AI 事業者には二つの独立した用途があり、それぞれ同意が要ります。飛行誌の転送メール解析（第 1 条および飛行誌の同意）と、「AI の記憶と回顧」の検索索引および旅の回顧（第 11 条）です。同意していない用途には何も送りません。本サービスの提供に必要な範囲だけで処理し、それぞれの規約に従います。

6. あなたの権利

台湾の個人資料保護法に基づき、照会、閲覧、補充訂正、収集・処理・利用の停止、削除を求められます。アプリ内の旅人資料、またはサービスが公示する連絡先から申し出てください。アプリの中にも道具があります。「位置と足跡」の設定で生活の足跡を一時停止・オフにし、ある一日の足跡を消し、位置の履歴を全部削除できます。旅人のページでは「AI の記憶と回顧」の同意を撤回し、データを書き出し（こちらでまとめたあと、短時間だけ有効な署名付きのダウンロードリンクをお渡しします）、アカウントを削除できます。位置履歴の削除とアカウントの削除は、どちらも削除の受領書（何をいくつ消したか）を残します。これらの権利にサブスクリプションは要らず、機能のスイッチで塞ぐこともありません。位置やカメラの権限を閉じると対応機能は動きませんが、すでに端末にある記録は消えません。

7. 子ども

本サービスは 13 歳未満の子どもを対象にしません。そのようなアカウントは削除します。

8. 変更

ポリシーの版は 2026-10-05 です。重要な変更では版を更新し、再同意をお願いすることがあります。

9. プッシュ通知

端末のプッシュ通知の許可は、最初に化霊を送って成功したあとに初めて求めます。端末のプッシュトークンは、化霊完了と霊機補充の通知に使います。探訪守護のリマインダ通知も同じ許可を使います。旅人の設定でそれぞれ個別に切ることができ、切っても探訪・拾景・化霊そのものには影響しません。アカウントを削除すると、端末のプッシュトークンも一緒に削除します。

10. 生活の足跡と背景の位置情報（自分で入れたときだけ）

「生活の足跡」の既定はオフです。自分でオンにし、システムの画面で位置情報を許可したあとに限って記録します。アプリを開いていない間も記録を続けるには、別に「常に」の位置情報の許可が要ります。こちらで勝手にオンにすることはなく、オフの間に背景で位置を取ることもありません。「位置と足跡」の設定で、いつでも一定時間の一時停止や完全なオフにできます。一時停止しても既存のデータは消さず、晴らした霧を戻すこともせず、その間に別の方法で居場所を推測することもしません。電池が少ないとき、長く動いていないときは、サンプリングが自動的に控えめになります。生の位置サンプルは端末だけに残り（既定 30 日、7／30／90 日から選べます）、期限を過ぎたら自動的に削除します。サーバに残るのは圧縮した滞在と旅の構造、そして H3 の足跡セルだけです。まったく同期せず、この端末だけに残すことも選べます。ある一日の足跡の削除と位置履歴の全削除は第 6 条をご覧ください。

11. AI の記憶と回顧（明確な同意が必要）

既定はオフです。説明を読んで明確に同意したときにだけ、旅誌の題名とメモ、出来事の題名といった文章を、当方のゲートウェイ経由で第三者の AI 事業者へ送り、検索できる索引をつくり、旅の回顧を書きます。送れるものはホワイトリストで決まっています。正確な座標、よく行く場所の位置、リアルタイム位置共有の座標、守護者の Email は絶対に含めず、健康データや、あなたがブロックした相手の内容も含めません。同意は旅人のページでいつでも撤回でき、撤回すると送信を直ちに止め、サーバにできている索引も削除します。この動作はどの機能のスイッチにも左右されません。回顧はモデルの推測で、誤ることがあります。事実の記録として扱わないでください。