プライバシー · Adopt a Plant

要点

Adopt a Plantは、データ部門を持つ会社ではなく、1人の個人によって運営されています。このアプリには、アクセス解析、広告、クラッシュレポート、いかなる種類のトラッキングコードもありません。あなたに関する情報が販売されたり、マーケティングのために誰かに渡されたりすることはありません。そもそも、ここにはそれを売る相手がいないからです。

お願いするのは、ログインのためのメールアドレスだけです。相手が誰と話しているのかわかるように、表示名はそのアドレスからこちらで作成しますが、自由に変更できます。場所は、植物が近くの人と出会えるようにするためのもので、設定は任意です。あなたの正確な場所が公開されることはありません。郵送先の住所を見られるのは、あなたに植物を送る1人だけです。

このページの残りの部分は詳細です。何が保存され、どこに置かれ、ほかに誰がそれに触れることがあるのか、そしてそれについてあなたが私たちに何を求められるのかを説明します。

責任者

Adopt a Plantは、dev24（Pepermuntstraat 12, Utrecht, the Netherlands）が運営しています。GDPRのもとでは、これによりdev24が、ここに記載された個人データの管理者となります。

このページに関することは、hello@adoptaplant.euまでご連絡ください。人が直接読みます。

保存している情報

あなたのメールアドレス。ログインの手段であり、リクエスト、メッセージ、発送についてお知らせする手段でもあります。パスワードは一切保存しません。パスワードそのものが存在しないからです。1通のメールで、1回限りのログインリンクと6桁のコードが届きます。どちらもハッシュとしてのみ保存され、コードの入力を間違えた回数と一緒に保管されます。入力されたとおりのアドレスとは別に、小文字にして前後の空白を除いた識別用の形も保存します。gmailのアドレスの場合は、さらにドットとプラス記号以降の部分も取り除きます。こうした書き方はすべて同じ受信箱に届くのに、知らないうちに別々のアカウントになってしまっていたからです。

あなたのプロフィール：表示名と、希望すれば短い自己紹介とアバター写真。ほかのメンバーにはそれらが表示され、あわせて、あなたが設定した地域名、ほかのメンバーが残した評価とレビューの件数、あなたが新しい居場所へ送り出した植物の数（植物を受け取った人が確認した引き取り1件につき1と数えます）、参加した日、最後にアクセスした日時も表示されます。登録時に名前を考えてもらうことはしないため、最初の名前は、メールアドレスのアットマークより前の部分から作られます。つまり、「jane.doe」で始まるアドレスなら、最初の名前は「jane doe」になります。設定でいつでも変更できます。アドレスそのものがほかのメンバーに表示されることはなく、表示されるのは管理者に対してだけです。

あなたの場所。2つの地点と、その場所の名前です。あなたが設定した正確な地点は非公開で保管され、ほかの誰にも表示されることはありません。そこから、最大1キロメートルずらした2つ目の地点を作ります。地図、API、検索エンジンに届くのは、このずらした地点だけです。それに付随する地域名（あなたの町や地区の名前）はテキストとして保存され、そのテキストはあなたのプロフィールと出品に表示されます。

あなたの出品：タイトル、説明、種類、数量、形態、受け取り方法、発送についてのメモ、お返しに希望するもの、アップロードした写真。

出品には、閲覧数のカウンターもあります。これは、その出品のページが表示された回数を数えるだけのものです。関心の度合いを測るものでも、その植物を待っている人の数でもありません。明日また訪れた同じ訪問者はもう1回と数えられ、閲覧されたからといって、見た人がそれを欲しがったかどうかはわかりません。まったく数えられない訪問もあります。ログインしている限り、自分の出品を自分で見た場合は数えられません。ログアウトしているとき、プライベートウィンドウのとき、一度もログインしたことのない端末のときは、あなたを識別する手がかりがないため、ほかの訪問と同じように数えられます。私たち自身による訪問も数えられません。管理者アカウント、Appleがアプリを審査するために存在するアカウント、検索エンジンやチャットアプリのためにページを取得するクローラーやリンクプレビュー、そしてデプロイのたびに出品を開く自動チェックです。

その集計によるプライバシーへの影響：訪問についての情報はデータベースに一切書き込まれず、カウンターはアドレスを保持しません。1日の間、訪問者を互いに区別するために、動作中のプログラムは自身のメモリにハッシュを保持します。このハッシュは、毎日深夜0時に破棄されて作り直される乱数と、あなたのアカウントID、またはログインしていない場合はあなたのネットワークアドレスから計算されます。どちらもハッシュから復元することはできず、ディスクに書き込まれるものは何もありません。サーバーが再起動すると、その日のハッシュは失われます。そのため、訪問者は1つの出品につき、ちょうど1回ではなく、おおよそ1日1回数えられます。このリストの後半にある通常のウェブサーバーのログは別のもので、カウンターが参照する場所ではありません。

あなたとほかのメンバーとのチャットメッセージ（添付した写真を含む）。

引き取りの記録：誰が誰に何を譲ったか、いつリクエストされ、承認され、発送され、受け取られ、完了したか、入力された追跡番号、そしてそのあとにお二人が残したレビューと評価。

配送先の住所。ただし、郵送による引き取りの場合だけ、譲る人が承認したあとにだけ保存され、読めるのはお二人だけです。内容は、氏名、番地、郵便番号、市区町村、地域、国、任意の電話番号です。直接受け取りの引き取りでは住所は一切保存されず、待ち合わせの場所や日時も保存されません。それはチャットの中にとどまります。

あなたが保存したお気に入りと、出品、メッセージ、メンバーについてあなたが私たちに送った通報。通報には、何を通報したか、その理由が記録されます。通報がメッセージについてのものである場合、対応する管理者には、そのメッセージの冒頭部分が表示されます。

モデレーションの記録。モデレーターが下したすべての判断は、その場で記録されます。誰が判断したか、どんな判断か、どのアカウント、出品、通報についてのものか、いつか、そしてモデレーターが入力した理由です。その理由は、ある人が別の人について書いたものなので、あなたの名前を挙げたり、あなたがしたことを説明したりすることがあります。ほかのメンバーに表示されることはありません。

管理者に見えるもの。この場所を安全に保つため、管理者はすべてのアカウントを確認できます。各アカウントについて表示されるのは、表示名、メールアドレス、国、参加した日、出品の数、そのアカウントについての通報のうち未対応のものと対応済みのものの数、そして追放されているか削除済みかどうかです。あなたの正確な場所、配送先の住所、ほかのメンバーとの会話は表示されません。管理者があなたに連絡する必要がある場合は、Adopt a Plant チームと表示されたアカウントから、アプリ内のチャットでメッセージを送ります。ほかの会話と同じように、そこで返信、通報、ブロックができます。

あなたがブロックした人。ブロックすると、誰が誰をいつブロックしたかが保存され、お二人はお互いが見えなくなり、メッセージを送り合うこともできなくなります。あなた自身のリストは設定にあり、そこでブロックを解除できます。

アプリに表示される通知：何が起きたか、どのメンバーからか、新しいメッセージの場合はその短いプレビュー。戻ってきたときにも一覧が残っているように、保存されています。

ウェブサイトを運営することで生じる技術的な記録：ログイン中のセッションごとに1件の記録（セッショントークンのハッシュ、作成に使われたブラウザまたはアプリ、タイムスタンプ）、ログインリンクのリクエストに付随するIPアドレス、通常のウェブサーバーのアクセスログ。iOSアプリを使っていて通知を許可している場合は、その端末のプッシュトークンも保存されます。

私たちがしないこと

アクセス解析、広告、クラッシュやパフォーマンスのレポート、トラッキングピクセル、サードパーティのCookie、フィンガープリンティング、プロファイリング、あなたに関する自動化された意思決定は、一切ありません。

このウェブサイトが設定するCookieは4つで、どれもあなたが求めた役割を果たしています。aap_sessionはログイン状態を保つためのもので、読み取れるのはサーバーだけで、ページ上のスクリプトから読むことはできません。aap_localeは、サイトをどの言語で読んでいるかを記憶します。aap_browse_countryは、どの国を閲覧していたかを記憶し、アカウントのない訪問者が訪れるたびに国を選び直さなくて済むようにします。aap_schemeは、この端末がライトとダークのどちらで表示されたかを記憶し、サーバーが最初に描くページが間違った表示にならないようにします。この4つのどれも、ほかの場所であなたを追跡することはありません。そのため、閉じなければならないCookieバナーもありません。また、あなたのブラウザは、言語、ライトかダークかの好み、「さがす」ページで閉じたカード（チームからのカードなど）を、あなたの端末上の独自のストレージに保存します。モバイルアプリは、セッショントークンを端末上のアプリ専用のストレージに保存します。

パスワード、支払い情報、身分証明書は一切保有していません。アプリがそのどれもあなたに求めることはないからです。

場所を守る仕組み

場所を設定すると、正確な地点を保存し、すぐにぼかした地点を計算します。ずらす量は半径最大1キロメートルの円の中でランダムに決まり、あなたのアカウントID（出品の場合は出品ID）から導き出されるため、毎回同じ結果になります。この最後の点が重要です。ページを読み込むたびに新しい位置へ跳ぶマーカーは、平均をとることで玄関先まで割り出されてしまう可能性があります。あなたのマーカーは、一度決まった場所にとどまります。

検索、距離順の並べ替え、地図に描かれるものはすべて、ぼかした地点を使います。正確な地点はサーバーにとどまり、あなた自身のピンを置いた場所に保つためと、ぼかした地点を導き出すために使われます。

場所の設定は任意です。空欄のままにしておくことも、玄関ではなく通りの角に手動で設定することも、あとで設定から消去することもできます。

「現在地を使う」ボタンもあります。場所の選択画面と、「さがす」ページの地図にあり、アプリの中で端末の位置センサーを読み取るのは、このボタンだけです。ブラウザやスマートフォンは、答える前にあなたの許可を求めます。このボタンを押さなければ、アプリが端末に現在地を尋ねることはありません。押した場合、読み取った位置は3つのことに使われます。いる場所の名前を調べること、地図の中心を合わせること、そして出品を距離順に並べることです。最後のものは座標をページのアドレスに含めるため、座標は私たちのサーバーに届き、そのアクセスログに残ります。座標があなたのアカウントに書き込まれることはありません。あなたの場所として保存されるのは、そのあとにあなたが確定した場所であり、ほかの場所と同じようにぼかされます。

写真はアップロードされる前に、あなたの端末上でサイズ変更と再エンコードが行われます。これにより、カメラがファイルに書き込んだ情報（GPSタグを含む）が取り除かれます。写真は、それを含まない状態でここに届きます。スマートフォンでは、アプリがカメラやフォトライブラリへのアクセスを求めるのは写真を追加するときだけで、受け取るのはあなたが選んだ写真だけです。

データの保管場所

サイトを支えるすべてのもの（データベース、API、ウェブサイト、アップロードされたすべての写真）は、オランダにある運営者の自宅の、1台の小さなコンピューターで動いています。その手前には、アムステルダムにあるレンタルの仮想マシンがあり、その唯一の役割は、あなたのブラウザからのHTTPS接続を終端し、暗号化されたプライベートな回線を通じてそのコンピューターに転送することです。コンテンツ配信ネットワークも、サードパーティのプロキシもなく、プロジェクトの外部の誰かが途中であなたの通信を復号することもありません。このトレードオフは、はっきり述べておく価値があります。あなたのデータはクラウド事業者のデータセンターに分散されてはいませんが、警備員や発電機のある施設ではなく、自宅にあるハードウェアの上に置かれています。

これは意図的な選択であり、そのために簡単な選択肢を手放しました。最初の計画は、サイトの前にCloudflareを置くことでした。無料で、半日で設定できます。しかし、データの流れを書き出した時点で、この案は取りやめました。トンネルやCDNは通過する通信を復号するため、EU域外の企業に、すべての人のチャットメッセージ、メールアドレス、郵送先の住所を読める形で渡すことになってしまうからです。ここでは、途中にいる誰もあなたの通信を読むことはできません。途中には誰もいないからです。

データベースのバックアップは毎晩同じマシンに作成され、14日より古いコピーは削除されます。1日に1回、それらのバックアップとアップロードされた写真は、同じ家にある別のコンピューターに接続された、暗号化された別のディスクにもコピーされます。そのディスクはデータベースのバックアップを90日間保管し、写真のコピーはサイトに合わせて扱われます。ここで削除された写真は、そこで30日間取り置かれたあと、削除されます。その家の外には、どこにもコピーは保管されていません。

利用している数少ない外部サービス

メール。トランザクションメールの配信事業者であるBrevo（フランス）が、ログインリンクと通知メールを配信します。Brevoには、あなたのメールアドレスとそれらのメールの内容が見えます。内容には、出品のタイトル、相手の表示名、リクエストに添えて送られたメッセージ、追跡番号が含まれることがあります。私たちがあなたのアカウントを停止した場合、その理由を伝えるお知らせも同じ経路で送られ、モデレーターが書いた理由がそこに含まれます。郵送先の住所がメールに記載されることはありません。

地図タイル。地図は、OpenStreetMapのデータから作られたOpenFreeMapのタイルで描かれています。ブラウザやアプリがそれらのタイルを直接取得するため、OpenFreeMapには、あなたのIPアドレスと、どのあたりの地域を見ているかがおおよそわかります。地図を一度も開かなければ、OpenFreeMapに接続されることはありません。種類の参考写真はWikimedia Commonsのものですが、私たちが保管しているコピーを配信しているため、閲覧中にWikimediaに何かが伝わることはありません。

地名の検索。場所を設定するために地名を入力すると、その言葉は座標に変換するため、ドイツのKomootが運営するオープンなジオコーダーであるPhotonに送られます。逆方向にも使われます。「現在地を使う」を押すと、端末が報告した座標がPhotonに送られ、地名が返されます。どちらの方向でも、私たちのサーバーがあなたの代わりに問い合わせるため、あなたのIPアドレスが問い合わせと一緒に送られることはありません。回答は30日間キャッシュされます。

荷物の追跡。譲る人が追跡番号を入力すると、アプリは荷物追跡サービスの17TRACKに、その荷物の状況を問い合わせることがあります。送られるのは追跡番号と配送業者だけです。あなたの名前と住所はここにとどまります。

プッシュ通知。iOSアプリを使っていて通知を許可している場合、通知はAppleのプッシュサービスを通じてあなたの端末に届きます。スマートフォン上のすべてのアプリの通知と同じです。

Oracle。Oracleは、あなたのブラウザに応答してリクエストを転送する、アムステルダムの小さなマシンを私たちに貸しています。Oracleはその下のハードウェアを運用していますが、ソフトウェアとTLS証明書は私たちのものです。あなたのデータがそこに保存されることはなく、私たちに代わって処理させるためにOracleに渡されるものは何もありません。

以上がすべてです。もし増えることがあれば、まずこのページが変わります。

保存が認められている根拠

ほとんどは、あなたが私たちにサービスの運営を求めたからです。アカウント、出品、チャット、リクエスト、引き取りは、その裏にあるデータなしには機能しません。GDPRのもとでは、これは契約（第6条第1項(b)）にあたります。

あなたの場所とプッシュ通知は、同意（第6条第1項(a)）に基づいています。どちらも任意で、場所を消去するか通知をオフにすることで、いつでもどちらの同意も撤回できます。

不正利用を防ぐことは、正当な利益（第6条第1項(f)）に基づいています。具体的には、回数制限、ログインのリクエストとともに保存されるIPアドレス、誰が誰をブロックしたかの記録、そして誰かが不適切な行動をとったときに対応するための通報とモデレーションの記録です。

モデレーションの記録も、同じ根拠に基づいています。人々が共有する場所は安全でなければならず、私たちが誰かについて下した判断は、あとからでも説明できるものでなければなりません。そのため、ここでは消去にできることに限りがあります。アカウントを削除しても、あなたについて下された判断の記録は削除されません。

保管期間

ログインリンクは15分、同じメールに記載された6桁のコードは10分で有効期限が切れます。コードの入力を5回間違えると、コードとリンクの両方が無効になります。定期的なジョブが、有効期限切れまたは使用済みになってから1日後に記録を削除します。

セッションは30日間有効です。ログインした時点からではなく、最後にアプリを使った時点から数えるため、よく開いていればログアウトされることはありません。ログアウトすると、そのセッションはすぐに削除されます。

出品は、公開から60日後に掲載が終了します。出品そのものは残るので再び掲載できますが、その間は誰にも表示されません。

キャッシュされた地名の検索結果は、30日後に削除されます。毎晩のデータベースのバックアップは、サイトを動かしているマシンでは14日間、別のディスクでは約90日間保管されます。別のディスクでは、削除された写真も約30日間保管されます。あなたが削除したもの（アカウントを含む）は、その期間、それらのコピーの中に残ることがあります。

チャットメッセージ、引き取りの記録、レビューには、期限が一切ありません。これらは2人の間で起きたことの記録なので、退会したアカウントよりも長く残ります。あなたのアカウントを削除するとそこからあなたの名前が消えますが、あなたが書いたものは、相手が引き続き読める場所に残ります。

配送先の住所は、その引き取りが存在する限り、つまり無期限に、その引き取りに残ります。アカウントを削除すると、あなた自身が伝えた住所は消去されます。ほかの人があなたに伝えた住所はその人のものであり、その人が自分の住所を削除するまで残ります。

通報は、対応が済んだあとも保管されます。あなたについての通報も含まれます。消えてしまうモデレーションの記録は、記録とは呼べません。

モデレーションの記録は無期限に保管され、アカウントを削除しても消えません。記録を書いたモデレーターがのちに自分のアカウントを削除した場合、その行は引き続きそのアカウントを指しますが、そこには名前もアドレスも残っていません。判断、その日付、当時書かれた理由は残ります。

あなたの権利

あなたは、自分のデータのコピーを求めること、訂正してもらうこと、削除してもらうこと、利用を制限してもらうこと、持ち運び可能なファイルで受け取ること、私たちによる処理に異議を唱えることができます。hello@adoptaplant.euまでご連絡いただければ、30日以内にお答えします。

その一部は、今すぐ自分でできます。設定で名前、自己紹介、アバター、場所を変更または消去すること、出品を削除すること、セッションからログアウトすることです。

アカウントの削除は、あなた自身が行います。設定を開き、「アカウントを削除」を選び、求められた言葉を入力してください。削除はすぐに行われ、元に戻すことはできません。これを止める唯一のものは、進行中の引き取りです。相手があなたからの植物を待っているか、あなたに植物を送ることになっているからです。先にそれを完了するかキャンセルしてから、戻ってきてください。確定する前に、削除されるものと残るものが画面に一覧で表示されます。下のセクションは、その一覧を詳しく説明したものです。

私たちのデータの扱いが不適切だと思われる場合は、オランダのデータ保護機関であるAutoriteit Persoonsgegevens、またはあなたが住んでいるEU加盟国の機関に苦情を申し立てることができます。

難しいところ：2人のものである記録

完了した引き取りは、2人のものです。それにまつわる会話も、レビューも同じです。あなたがアカウントの消去を求めても、相手があなたの記録を消せないのと同じように、私たちは、あなたとの間で起きたことについての相手の記録を消去することはできません。

代わりに私たちが行うこと：あなたのメールアドレス、名前、自己紹介、国、場所をアカウントから消去し、アバターのファイルをサーバーから削除します。お気に入り、一覧にある通知、ブロックリスト、すべてのセッションとプッシュトークン、まだ有効なログインリンクは、完全に削除します。引き取る側として伝えた配送先の住所は、すべて消去します。あなたの出品はサイトから取り下げられ、それを待っていた人たちには植物がなくなったことが伝えられ、あなたが送った返答待ちのリクエストは取り下げられます。

そのうえで、残る引き取りとレビューからあなたの名前が外されます。残るのは、やりとりがあったという事実と、それについての相手自身の記録だけです。あなたが送ったメッセージは相手の会話の中に残り、あなたの名前ではなく削除済みの名前で表示されます。すでに添付された写真も、その会話とともに残ります。誰かが引き取ったあなたの出品は、会話と同じ理由で、その人の引き取りの記録の中に写真が残ります。これは、その引き取りがのちにキャンセルされた場合も同じです。引き取りの記録は、その人のもとに残るからです。それ以外の出品の写真は、元のファイルとそこから作成したすべてのサイズを含め、サーバーから完全に削除されます。すでにあなた自身が削除した出品の写真も含まれます。

それでは納得できない場合は、ご連絡の際にそうお伝えください。何かに手をつける前に、あなたの場合に何が残るのかを正確にお伝えします。

変更について

このポリシーが重要な点で変更される場合は、変更が有効になる前にアプリでお知らせします。上部の日付は、最後に変更された日です。