プライバシー
SNS Manager プライバシーポリシー・データ管理（レビュー稿）
版：phase1-review-20261024-retention-access。未承認・購入禁止。正式な同意文書ではありません。
1. 管理者・窓口
確定済みの運営方針：販売主体は個人事業主、屋号Potteri Studio、事業所は自宅、販売開始未定。バーチャルオフィスは現時点で採用しません。正式氏名・自宅住所・個人電話は公開コード・ログ・Git管理文書へ記載しません。氏名・住所・電話番号の請求時開示方式を検討中ですが、法的条件・回答体制の確認と本人承認前に正式採用済みとは表示しません。屋号だけで法定表示を満たすとは判断しません。 個人情報の窓口・回答体制の正式承認は【要本人判断：本人確認】です。
2. 情報と利用目的
利用対象は18歳以上です。この方針の反映で生年月日・身分証を新たに収集する機能は追加しません。
メールアドレス、パスワードのソルト付きハッシュ、メール確認・再設定の検証情報、セッションのダイジェスト、所属と権限は本人認証とアクセス制御に使います。投稿本文・写真・動画・note紹介URL・下書き・予約・履歴は投稿準備と履歴表示に使います。保存失敗・認証切れ時の復旧のため、入力を本人・所属・対象投稿に結び付けて同一タブのsessionStorageに退避する場合があります。認証後に同じ対象でのみ復旧し、別画面が更新した投稿へ自動上書きしません。ログアウト時は画面から本文を消します。タブ内復旧コピーの終了時処理と端末共用時の案内も正式運用で確認します。SNSアカウント識別子・OAuthトークン・権限・期限は連携と送信可否の検証に使います。トークンは専用保管領域で扱い、画面・個人情報エクスポートに含めません。
X手動投稿の本文・素材参照・本人の自己申告日時・計上月は投稿準備と月間枠・履歴表示に使います。X APIやOAuthによる情報取得・自動送信は行いません。利用者がXの投稿画面へ移動し、本文・素材を自身で投稿します。
契約・利用量・Stripe顧客／契約／請求イベントの識別子は決済照合、重複防止、利用枠制御に使います。プラン変更の見積り・確認者・変更段階・期末予約・不確定結果の最小記録は、本人確認、二重請求防止、契約同期と復旧に使用します。カード情報やStripe応答全文は記録しません。カード番号はStripeで扱い、本アプリの通常入力欄へ送信しません。常駐ワーカーの予約委任・実行日時・固定エラー分類・結果確認の記録は、本人の承認した予約処理、二重送信防止、障害復旧に使います。監査・問い合わせ・障害記録は安全運用と対応履歴に使います。【要本人判断：実運用で取得するアクセスログ項目・Cookie説明・分析ツール利用の有無と一覧】。
3. 外部サービス・国外移転・委託
Stripe、接続したSNS、正式採用するホスティング・メール・オブジェクトストレージ等へ、機能上必要な情報を送信する場合があります。Render・R2を含む実運用の委託先、保存国、再委託先、安全管理措置、国外提供の取扱いは【要本人判断：事業者契約・実構成・法務確認】です。未承認の外部接続を完了済みとは扱いません。広告目的の提供の有無なども【要本人判断：本人の運用確認】です。
4. 安全管理と利用者操作
テナント分離、役割制御、CSRF、OAuth state、セッション失効、秘密の別管理、署名検証、暗号化バックアップと隔離復元を利用する構造です。具体的な運用体制と事故時通知は【要本人判断：責任者・連絡先・対応手順の確認】です。安全性を絶対保証するものではありません。
本人情報エクスポートは再認証を必要とし、本人の登録情報・所属・同意・利用記録・本人向け対応履歴・所属内の本人の作業下書きを対象とします。他人の情報、SNS秘密、共有素材全体、内部メモは含みません。開示・訂正・利用停止などの請求手順、本人確認方法・費用の有無は【要本人判断：法務・運営確認】です。
5. 保持・失効・削除
別紙「データ保持・削除レビュー」に区分、起点、例外、実装範囲を整理しています。運営方針は、未参照素材が登録後90日を削除候補、投稿履歴は利用中保持・退会後90日以内の削除を基本、請求記録は法令・記録区分別、監査記録は退会後180日を上限候補、問い合わせは対応完了・却下確定から180日、バックアップは作成から30日を基本とします。削除は原則7日前通知で、安全・セキュリティ等の例外は別途区別します。予約中素材・未確定投稿・紛争・返金調査・法定保存対象は保護します。対象範囲・例外・実装起算点の照合は【要本人判断：本人・法務・税務確認】です。候補値を自動処理へ適用せず、正式承認前の削除は停止を維持します。OAuthの有効期限切れとアプリ内記録の削除は別です。接続中の更新用資格情報の保管と失効は媒体条件に従い、トークンの一律保存日数は定めません。OAuth連携解除・退会ではアプリ内資格情報の削除を行う構造ですが、SNS事業者側の許可解除は本人が別途行います。
退会はセッションと新規利用を停止し、共有組織に所属する他人のデータを消しません。消去申請は正式方針と個別承認、保持例外の照合後に実行します。請求・監査等を一律同時消去しません。バックアップは復元時に現行の退会・保持台帳と照合し、セッション失効と送信保留を維持します。バックアップの消去時期・例外解除・運用上の完了基準は【要本人判断：正式方針】です。
6. 改定
適用日、変更通知・再同意の要否と方法は【要本人判断：法務・運営確認】です。正式文書は版とハッシュを管理し、同意対象の版を記録します。本レビュー稿は同意受付・購入許可に利用しません。
今回の運営方針と公開前受付（未承認）
確定済みの運営方針：販売主体は個人事業主、屋号Potteri Studio、事業所は自宅、販売開始未定。バーチャルオフィスは現時点で採用しません。正式氏名・自宅住所・個人電話は公開コード・ログ・Git管理文書へ記載しません。氏名・住所・電話番号の請求時開示方式を検討中ですが、法的条件・回答体制の確認と本人承認前に正式採用済みとは表示しません。屋号だけで法定表示を満たすとは判断しません。
未ログイン受付では用件区分（開示請求／通常相談）、返信用メール、本文、受付・対応日時、正式privacy版、回答経路・非個人の参照番号を対応目的で扱います。公開回答・マーケティングに転用しません。短期のCSRF対策・重複受付防止の検証情報と回数制限用ダイジェストを使用します。受付nonceの有効期間は10分、検証レコードは作成後24時間を超えた次のchallenge受付時に除去します（問い合わせ本体の保持日数とは別）。本体と返信先は保護されたサービスDBへ保存し、運営対応権限のある担当だけが参照します。正式文書未承認または受付設定が無効の場合は送信を受け付けません。事業者の秘密情報を自動返信・公開APIへ含めません。
今回の最終整合（phase1-review-20261024-retention-access、正式未承認）
個人事業主・屋号Potteri Studio・自宅事業所・販売開始未定・現在バーチャルオフィス不採用は確定済みです。実氏名・自宅住所・個人電話は非公開ファイルへ本人が設定します。請求時開示方式の正式採用、適法な回答体制・担当・不在時対応・費用、返金・保持の対象範囲と例外、起算点の実装対応、正式文書の最終承認は【要本人判断】です。今回示した日数を未決定に戻す趣旨ではなく、候補を無条件の自動処理へ適用しません。屋号のみ・フォーム設置のみで法定条件を満たすとは判断しません。
将来法人化する場合：新しい販売主体・責任者・登記上の表示・窓口・個人情報管理者・請求税務・Stripe契約主体を確認→契約承継と利用者通知／必要な再同意を法務確認→法務3正式文書と保持方針を新しい版・hashで登録→本人承認後の通常手順で反映します。既存契約の請求主体・tenant所有者やSNS資格情報を自動移管しません。通知期間・同意要否・承継条件は【要本人判断】です。
回答目標（運用上の時刻）、変更者・対応状態・回答経路・個人情報を含まない参照番号の履歴を見落とし防止に使います。返金調査の区分・判断候補・金額案・正式方針版hash・承認者・照合状態は調査と二重処理防止に使い、カード・事業者実住所・実電話を含めません。用途・保持起点／期間・最小記録の例外は【要本人判断】です。
改訂記録（2026-10-24）
前版 phase1-review-20261024-five-stage から本人提示の運営方針との差分のみ反映。承認状態は未承認のままです。確認先は `docs/SNS_PHASE1_OWNER_DECISIONS_20261024.md`、条項別差分は `docs/SNS_LEGAL_POLICY_DELTA_20261024.md`。既存の正式文書・同意履歴・保持設定を書き換えるものではありません。
3件の実装追記（2026-10-24）：退会確定起点・削除予告台帳・契約終了後認可の実装と隔離試験の詳細は `docs/SNS_RETENTION_ACCESS_COMPLETION_20261024.md`。正式承認・実環境受け入れ・公開許可とは別です。