プライバシーポリシー
Privacy Policy
Tasteform · 合同会社Appnics / Appnics, LLC
Tasteform Privacy Policy
Effective date: October 24, 2026
Tasteform is a drink journal for iPhone provided by Appnics, LLC ("we"). It has no accounts and no sign-in. This policy explains what stays on your device, what leaves it, who handles it and for how long.
1. What stays on your device and in your iCloud
Your records (kind, cocktail type, name, stars, taste ratings, tags, notes, date, place, number of servings, serving size and strength (ABV)), their photos, the cards and the copies of explanations you received are stored on your iPhone. If iCloud is on for Tasteform, they are also synced through your own iCloud account, in the app's private CloudKit database, which Apple holds for you and which we cannot read. Calories and grams of alcohol are calculated on the device from the serving and strength. Your answer to the age question is kept only on the device. So is the name you ask the app to call you, your other answers at the first launch, your taste type and your settings (unit, the kinds of drink you usually have, usual serving for each kind, whether to show calories); they are not synced through iCloud. Nothing in this section is sent to us, except the options you choose on six of the first-launch questions, which are counted in analytics (section 5).
About once a day the app downloads from our server the catalogue of drinks it suggests names from (names, producers, strength and size; no logos or photos). This request carries nothing about you, your device or your records, and nothing you typed, only what any internet request carries (such as the IP address and the app and iOS version). The suggestions are searched on your iPhone.
2. AI explanations and bottle shapes
Tasteform explains your drinks and shows them as 3D bottles and cans with the help of an external AI provider (Anthropic, below). There is no consent screen and no switch: this section, and the "Snap the label, meet the drink" page at the first launch, tell you what is sent and when, and you decide what to give a record. A record with neither a label photo nor a drink name sends nothing. For the others, the app sends our server the drink name, the text read from the label, or the label photo, and the kind you chose for the record (one of the fixed kinds listed in section 5, such as beer, gin or sake), as described below. The rest of the record (cocktail type, stars, taste ratings, tags, notes, date, place, servings, serving size, strength) is not sent, and neither the name the app calls you nor your answers at the first launch are sent.
- When. For a record with a drink name, the name is sent when you open the record, whether you drank it or it is in stock (at most once each time the app runs, and not when the record already has its explanation), and, on the form of a new record, as soon as the name is decided (you pick it from the suggestions, the label photo reads it, or you finish typing it), so the AI's estimate of the taste can be shown on the taste axes, marked Estimated. The label photo is never sent by opening a record: the label text and the photo go only when you tap About this drink, for a record whose name found nothing or that has no name. The bottle or can's shape is read when you add a photo to a record (below).
- Drink name. For a record with a name, the name is sent to our server with the kind you chose and, when the name is one of the app's built-in catalogue drinks, that drink's producer. Our server first compares the name with the explanations we already have; only when there is no match does it pass the name, kind and producer to Anthropic to identify the drink. An explanation is written only when the AI is confident that the name is a real drink; otherwise nothing is written and nothing is stored. The name you typed is not stored and is not written to our logs; an explanation is stored under the drink's official name as identified by the AI, not under your spelling. An explanation first written from a typed name is shown only on the device that asked for it, and our server keeps that device's hashed key (section 3) with the explanation, until another device's photo or typed name is identified as the same drink or we confirm it ourselves; the device key is then removed, and it is removed in any case 13 months after the device was last used.
- Label text. For a record with a label photo and no name, or whose name the AI does not know for sure, the text that your iPhone read from the label photo is sent to our server and compared with explanations we already have. This step is sent even when no text was read (the text is then empty). It is not stored and is not sent to Anthropic.
- Label photo and kind. Only when the text finds no match, or when you tap Identify again after reporting a wrong drink (which skips the text step), the photo is sent to our server, together with the kind you chose for the record. Before sending, the app removes all metadata (including EXIF and location) and reduces it to at most 1568 pixels on the long side and 1 MB. Our server passes the photo and the kind (as a hint) to Anthropic, which provides the Claude AI model, to identify the drink. We never store the photo and never write it to our logs.
- How Anthropic handles what is sent. Anthropic receives the photo or the typed name, the kind you chose for the record and, to write an explanation, the drink's identified name (kind, producer, product, year or age, region) and the language to write it in (one of the app's nine languages, following the app's language; English for any other). It does not receive the label text, the rest of your records (notes, place and so on) or any identifier of you or your device. Under Anthropic's commercial terms, inputs and outputs of its API are not used to train its models, and Anthropic deletes them within 30 days, except where it must keep them longer for safety or legal reasons (for example, up to 2 years when its automated trust and safety systems flag a possible usage policy violation).
- Bottle or can shape. When you add a photo to a record, and when you open a record whose photo has not been read on that iPhone yet (for example a photo added on another device), the app sends that photo (prepared the same way: no metadata, at most 1568 pixels and 1 MB) and the kind you chose for the record to our server, which passes them to Anthropic to read the bottle or can's shape, colours, label area and label text (name, producer, strength), so the app can show the record as a 3D bottle or can. We never store the photo and never write it to our logs. The result is kept only in the app's cache on that iPhone and is not synced through iCloud. It is deleted when you delete the record, and the oldest results are removed when the cache grows large. A photo already read is not sent again; it is sent again only when the earlier request failed (at the app's next launch at the soonest) or its result was removed from the cache.
- Shared explanations. The explanation of a drink is written by AI, stored on our server under the drink's name, and shown to anyone who asks about the same drink. It contains nothing about you.
- Checking for updates. When you open a record that has an explanation, the app asks our server whether that explanation was corrected or removed, sending only the explanation's key and its language.
- Reports. If you report an explanation (Not right: wrong drink, wrong details or something else), the app sends only the explanation's key and the reason. We store the report with the drink and your device's hashed key (section 3).
- There is nothing to withdraw: to keep a drink away from the AI, give its record neither a label photo nor a name. Deleting a record also deletes the bottle or can shape read for it from the app's cache on that iPhone.
Explanations are written by AI and may contain mistakes.
3. Device check and usage limits
To keep the AI explanations and bottle shapes free of abuse and to count how many of each you used (counted separately, per day and per month), the app uses Apple's App Attest. It creates a key on your device and keeps the key's ID in the device's Keychain; our server keeps a one-way hash (SHA-256) of the key's ID, the public key, a counter, the attestation data Apple issues for the key, and the times it was first and last seen. The app makes a new key when the current one can no longer be used. We do not use the advertising identifier (IDFA), and we cannot tell who you are from the hash.
4. Purchases
Tasteform Pro is bought through Apple; Apple handles the payment and we never see your payment details or Apple Account. When you ask for an AI explanation or a bottle shape, the app sends the App Store's signed records of your subscription (the latest transaction and, when there is one, its auto-renewal status) so our server can check that Pro is active, including during a billing grace period, and apply Pro's monthly limit. The server checks them and does not store them. To stop one purchase from being shared across many devices, it keeps a keyed one-way hash (HMAC) of the purchase's identifier together with your device's hash (section 3) and the times they were first and last seen together; a purchase counts as Pro on up to five devices in any 30 days, and beyond that a request is counted at the free limit. Apple also notifies our server when a purchase is refunded or revoked; we record the same hash of that purchase so it no longer counts as Pro, and clear it if the refund is reversed. We never store the purchase's identifier itself. Completed purchases (which plan, and from where) are also counted in analytics (section 5).
5. Analytics
We use TelemetryDeck (TelemetryDeck GmbH, Germany) to count how the app is used. The events the app sends are a fixed list: a record was created and its kind (one of a fixed list of 14: beer, wine, whisky, gin, sake, shochu, rum, tequila and mezcal, vodka, cider, chuhai and hard seltzer, non-alcoholic, cocktail, or other), a card was exported (square or story, with or without watermark), the paywall was shown and from where, a purchase was completed (plan and where), how an AI explanation ended (which route, or failed), and that the first launch was completed. From the first launch, the app also sends how far you went (which of its pages were shown) and, for six of its questions only, the options you chose from fixed lists: what you want to do with Tasteform, which kinds of drink you usually have, how familiar you are with drinks, the unit (ml or oz), and whether to show calories and grams of alcohol. In addition, TelemetryDeck's software in the app sends these automatically:
- App starts. A signal each time a session starts (when the app is launched, or comes back after more than five minutes in the background), and one the first time the app runs after being installed, with that date.
- Basic information on every signal. Device model, operating system and its version, app version and build, the app's language and your preferred language, locale and region setting, time zone, screen size, scale and orientation, light or dark appearance, text direction, accessibility settings (such as text size, bold text, reduce motion, reduce transparency, invert colors), the day, week, month, quarter and hour when it was sent, whether the app was installed from the App Store or TestFlight, technical details (processor architecture, whether it is a simulator or a debug build, the SDK's version), and usage counts kept on the device (date of first use, number of sessions, average and previous session length, number of days used in total and in the last month). A random session ID is also sent.
- Identifier. A hash made on your device from the device's identifier for vendor (IDFV), mixed with a value unique to this app. It is not tied to your name or to any account.
No drink name, note, photo or place is ever sent. Nor is the name the app calls you, the cocktail type, serving size or strength of a record, or any other first-launch answer (such as the drink styles you like, how you keep track today, what bothers you, the tastes you like or your usual serving). These stay on your device, and the records in your own iCloud; they are sent neither to us nor to Anthropic. Analytics are not used to track you across apps or websites.
6. Who handles the data, and where
| Provider | What it does | Where |
|---|---|---|
| Vercel Inc. | Runs our server (region iad1, Washington, D.C.) | United States |
| Turso (ChiselStrike, Inc.) | Our database | United States |
| Anthropic, PBC | AI that identifies the drink and writes the explanation | United States |
| TelemetryDeck GmbH | Usage analytics | Germany (European Union) |
| Apple Inc. | App Store purchases and their refund notices, App Attest, iCloud | Apple's own policy |
If you live outside the United States, the data in sections 2 to 4 is transferred to and processed in the United States, which may not offer the same level of protection as your country's laws. We use these providers only to run Tasteform and do not sell or share your data for advertising.
Our server's provider (Vercel) processes your IP address to deliver requests and to limit abusive traffic, and keeps short-lived request logs. We do not store IP addresses in our database and do not use them to find your location.
7. How long we keep it
| Data | Kept for |
|---|---|
| Label photo | Not stored (only while the request is being handled) |
| Label text | Not stored |
| Typed drink name | Not stored (only while the request is being handled) |
| Device key on an explanation first written from a drink name (section 2) | Until another device is identified as the same drink or we confirm it, and at most 13 months after the device was last used |
| Signed purchase record | Not stored |
| Purchase and device pairs (hash of the purchase's identifier, device hash; section 4) | 13 months after that device last used Pro with that purchase |
| Refunded or revoked purchases (hash of the purchase's identifier) | While the service runs, or until Apple reverses the refund |
| Apple's refund notices (the notice's ID, type and environment; no purchase contents) | 90 days |
| Request records (device hash, which explanation was returned) | 48 hours, to avoid counting the same request twice (deleted by the daily job, so at most about 73 hours) |
| Daily attempt counts | Until one day after that day ends (UTC) |
| Monthly usage counts | Until one day after that month ends (UTC) |
| Device record (section 3) | 13 months after the device was last used |
| Reports | 13 months after the device that sent them was last used |
| AI usage records (model, tokens, cost, route and result; no photo, text or device hash) | While the service runs; once the request record is deleted, they can no longer be linked to a device |
| Shared explanations | While the service runs; they contain nothing about you |
| Analytics | Under TelemetryDeck's data retention; it contains no identifier of you |
Data past its period is deleted by a job that runs once a day, so it may stay up to about one more day. "Last used" is the last time the device's key was accepted by our server.
8. Your choices
- Give a record neither a label photo nor a drink name; nothing about it is sent to the AI.
- Edit or delete any record in the app; a deleted record is also deleted from your iCloud.
- Export all your records as a CSV file in Settings.
- Turn off iCloud for Tasteform in the Settings app to stop syncing. Records already in your iCloud stay there until you delete them in the app or remove Tasteform's data in your iCloud storage settings.
To have the data we hold for your device (section 3, the usage counts and reports) deleted, write to us at the contact below. Because we hold no name, email or account, we cannot look up data by person, so we may ask you for details that help us find it, and we will do what we can with the information you provide. The same applies to any other question or request.
9. Age
Tasteform is only for people of legal drinking age where they live, and asks this at the first launch. It is not directed to children.
10. Changes and contact
We will post any change on this page with a new effective date. Contact: Appnics, LLC, contact@appnics.io
Tasteform プライバシーポリシー
施行日: 2026 年 10 月 24 日
Tasteform は、合同会社 Appnics（以下「当社」）が提供する iPhone 向けのお酒の記録アプリです。アカウントやログインはありません。このポリシーでは、端末に残るもの、端末から送られるもの、それを扱う事業者と保持期間を説明します。英語版と食い違いがある場合は英語版が優先します。
1. 端末とお客様の iCloud に残るもの
記録（種類、カクテルの種類、銘柄、星、味の評価、タグ、メモ、日付、場所、杯数、1 杯の量と度数）、その写真、カード、受け取った解説の写しは iPhone に保存されます。Tasteform の iCloud がオンなら、お客様ご自身の iCloud アカウントの、このアプリ用の非公開の CloudKit データベースでも同期されます。これは Apple がお客様のために保管するもので、当社は読めません。カロリーと純アルコール量は、1 杯の量と度数から端末で計算します。年齢の確認の回答は端末にだけ保存します。アプリに呼んでほしい名前（呼び名）、初回起動のそのほかの回答、味のタイプ、設定（単位、よく飲む種類、種類ごとのいつもの量、カロリーを表示するか）も同じく端末にだけ保存し、iCloud では同期しません。この節のものは当社には送られません。ただし、初回起動の 6 つの質問で選んだ選択肢は分析（第 5 節）で数えます。
アプリは日に 1 回ほど、銘柄の名前の候補に使う目録（銘柄名、作り手、度数、容量。ロゴや写真は含みません）を当社のサーバーから受け取ります。この通信では、お客様・端末・記録についての情報も、入力した文字も送らず、インターネットの通信に通常含まれるもの（IP アドレス、アプリと iOS の版など）だけが届きます。候補は iPhone の中で探します。
2. AI 解説と缶・ボトルの形
Tasteform は、外部の AI 事業者（下記の Anthropic）の助けで、お酒を解説し、3D の缶・ボトルとして表示します。同意の画面や切り替えはありません。何をいつ送るかはこの節と、初回起動の「ラベルを撮ると、お酒が分かる」の画面で説明し、記録に何を付けるかはお客様が決めます。ラベルの写真も銘柄の名前も無い記録については、何も送りません。 それ以外の記録では、アプリは当社のサーバーに、銘柄の名前、ラベルから読んだ文字、またはラベルの写真と、記録に選んだ種類（第 5 節に挙げる決まった種類のどれか。ビール・ジン・日本酒など）を、次のとおり送ります。記録のそれ以外の項目（カクテルの種類、星、味の評価、タグ、メモ、日付、場所、杯数、1 杯の量、度数）も、呼び名と初回起動の回答も送りません。
- いつ送るか: 銘柄の名前のある記録では、その記録を開いたとき（飲んだ記録もストックの記録も。アプリを起動しているあいだに 1 回まで。すでに解説のある記録では送りません）と、新しい記録の入力画面で銘柄が決まった時点（候補から選ぶ、ラベルの写真から読み取る、入力を終える）に名前を送り、AI が推定した味を「推定」の印つきで味の欄に出します。記録を開いただけではラベルの写真を送りません。ラベルの文字と写真を送るのは、「このお酒について」を押したときだけ（名前で見つからなかった記録と、名前の無い記録）です。缶・ボトルの形は、記録に写真を付けたときに読み取ります（下記）
- 銘柄の名前: 名前のある記録では、その名前を、記録に選んだ種類と、その名前がアプリ内蔵の目録のお酒のものであればその作り手とともに当社のサーバーに送ります。当社のサーバーはまず作成済みの解説と名前を照合し、一致しないときだけ、お酒を識別するために名前・種類・作り手を Anthropic に渡します。解説を作るのは、AI がその名前を実在のお酒だと確信できたときだけで、そうでなければ何も作らず何も保存しません。入力した名前は保存せず、ログにも残しません。解説は、お客様の書き方ではなく、AI が識別した正式な銘柄名のもとに保存します。入力した名前から初めて作られた解説は、求めた端末にだけ表示され、当社のサーバーはその端末の鍵のハッシュ（第 3 節）を解説とともに保持します。別の端末の写真または入力した名前が同じお酒と識別されたとき、または当社が確認したときに端末の鍵は消し、いずれにしても端末が最後に使ってから 13 か月で消します
- ラベルの文字: ラベルの写真があり名前の無い記録、または名前が AI に実在の銘柄と確信できなかった記録では、写真から iPhone が読み取った文字を当社のサーバーに送り、作成済みの解説と照合します。文字が読み取れなかったときも、この照合は送ります（文字は空）。保存せず、Anthropic にも送りません
- ラベルの写真と種類: 文字で一致しなかったとき、または「銘柄が違う」と報告したあとに「識別し直す」を押したとき（文字の照合は行いません）だけ、写真を、記録に選んだ種類とともに当社のサーバーに送ります。送る前に、アプリが EXIF・位置情報を含むメタデータをすべて取り除き、長辺 1568 ピクセル・1MB 以下にします。当社のサーバーは、お酒を識別するために、AI モデル Claude を提供する Anthropic に写真と種類（手がかりとして）を渡します。当社は写真を保存せず、ログにも残しません
- Anthropic での扱い: Anthropic が受け取るのは、写真または入力した名前、記録に選んだ種類、解説を書くための識別した銘柄（種類・生産者・銘柄・年または熟成年数・地域）と、解説を書く言語（アプリの表示言語に合わせた 9 言語のどれか。それ以外の言語では英語）です。ラベルの文字、記録のそれ以外の項目（メモ・場所など）、お客様・端末の識別子は受け取りません。Anthropic の商用規約では、API の入力と出力はモデルの学習に使われず、30 日以内に削除されます（安全上・法令上の理由で長く保持する場合を除く。たとえば、利用ポリシーへの違反の疑いが自動の仕組みで検知されたときは最長 2 年）
- 缶・ボトルの形: 記録に写真を付けたとき、またはその iPhone でまだ読み取っていない写真のある記録を開いたとき（別の端末で付けた写真など）、アプリはその写真（同じく、メタデータを取り除き長辺 1568 ピクセル・1MB 以下にしたもの）と記録に選んだ種類を当社のサーバーに送ります。当社のサーバーは、記録を 3D の缶・ボトルで表示するため、Anthropic に渡して缶・ボトルの形・色・ラベルの範囲とラベルの文字（銘柄・作り手・度数）を読み取ります。当社は写真を保存せず、ログにも残しません。 結果はその iPhone のアプリのキャッシュにだけ置き、iCloud では同期しません。記録を削除したときに消し、キャッシュが大きくなると古いものから消します。読み取り済みの写真は送りません。送り直すのは、前の問い合わせが失敗したとき（早くても次にアプリを起動したとき）と、結果がキャッシュから消えたときだけです
- 共有される解説: お酒の解説は AI が書いたもので、当社のサーバーに銘柄ごとに保存され、同じお酒を問い合わせた人に表示されます。お客様に関する情報は含みません
- 更新の確認: 解説のついた記録を開くと、その解説が直された・外されたかを当社のサーバーに確かめます。送るのは解説の鍵と言語だけです
- 報告: 解説を報告すると（「内容が違う」から、銘柄が違う・解説の内容が違う・その他）、アプリは解説の鍵と理由だけを送ります。当社はその報告を、お酒と端末の鍵のハッシュ（第 3 節）とともに保存します
- 取り消すものはありません。お酒を AI に送りたくないときは、その記録にラベルの写真も銘柄の名前も付けないでください。記録を削除すると、その記録のために読み取った缶・ボトルの形もその iPhone のアプリのキャッシュから消えます
解説は AI が書いたもので、誤りを含むことがあります。
3. 端末の確認と回数の制限
AI 解説と缶・ボトルの形の読み取りの乱用を防ぎ、それぞれ使った回数を（別々に、1 日と 1 か月ごとに）数えるため、Apple の App Attest を使います。端末で鍵を作って鍵 ID を端末のキーチェーンに保存し、当社のサーバーは、鍵 ID の一方向のハッシュ（SHA-256）、公開鍵、カウンター、Apple がその鍵に発行する証明のデータ、最初と最後に確認した時刻を保存します。今の鍵が使えなくなったときは、アプリが新しい鍵を作ります。広告識別子（IDFA）は使わず、ハッシュからお客様を特定することはできません。
4. 購入
Tasteform Pro は Apple を通じて購入します。決済は Apple が処理し、当社が支払いの情報や Apple アカウントを見ることはありません。AI 解説や缶・ボトルの形を問い合わせるとき、Pro が有効かを確かめて Pro の月の回数を適用するため、アプリは App Store が署名した購読の記録（最新の取引と、あれば自動更新の状態）を送ります。サーバーはこれで、請求の猶予期間中を含めて Pro が有効かを確かめるだけで、保存しません。1 つの購入が多数の端末で使い回されるのを防ぐため、購入の識別子の鍵つきの一方向のハッシュ（HMAC）を、お客様の端末のハッシュ（第 3 節）と、両方を最初と最後に確認した時刻とともに保存します。1 つの購入は 30 日のあいだに 5 台まで Pro として数え、それを超えた要求は無料の回数で数えます。購入が返金・取消されたときは Apple から当社のサーバーに通知が届き、その購入の同じハッシュを記録して Pro として扱わなくします（返金が取り消されれば戻します）。購入の識別子そのものは保存しません。購入の完了（プランと表示元）は、分析（第 5 節）でも数えます。
5. 分析
アプリの使われ方を数えるため、TelemetryDeck（TelemetryDeck GmbH、ドイツ）を使います。アプリが送る出来事は決まった一覧だけです: 記録の作成とその種類（決まった 14 の値のどれか: ビール、ワイン、ウイスキー、ジン、日本酒、焼酎、ラム、テキーラ・メスカル、ウォッカ、シードル、チューハイ・ハードセルツァー、ノンアルコール、カクテル、その他）、カードの書き出し（正方形か縦長か、透かしの有無）、購入画面の表示とその表示元、購入の完了（プランと表示元）、AI 解説の結果（経路または失敗）、初回起動の完了。初回起動からは、どこまで進んだか（どの画面を表示したか）と、次の 6 つの質問だけについて、決まった選択肢のうちどれを選んだかも送ります: Tasteform で何をしたいか、よく飲むお酒の種類、お酒にどのくらい詳しいか、単位（ml か oz）、カロリーと純アルコール量を表示するか。加えて、アプリに組み込んだ TelemetryDeck の仕組みが、次のものを自動で送ります。
- 起動と初回インストール: 利用の始まり（アプリを起動したとき、または 5 分を超えてバックグラウンドにいたあと戻ったとき）ごとに 1 件、インストールして初めて動いたときにその日付とともに 1 件
- すべての出来事に付く端末の基本情報: 機種、OS とそのバージョン、アプリのバージョンとビルド番号、アプリの言語とお客様の優先する言語、ロケールと地域の設定、タイムゾーン、画面の大きさ・倍率・向き、ライトかダークか、文字の向き、アクセシビリティの設定（文字の大きさ、太字、視差効果を減らす、透明度を下げる、色の反転など）、送った日・週・月・四半期・時刻、App Store と TestFlight のどちらから入れたか、技術的な情報（CPU のアーキテクチャ、シミュレーターかデバッグ用のビルドか、SDK のバージョン）、端末に記録した利用の統計（初めて使った日、利用の回数、平均と前回の利用時間、使った日数の合計と直近 1 か月の日数）。ほかに、利用ごとのランダムな ID を送ります
- 識別子: 端末のベンダー ID（IDFV）を、このアプリ固有の値と混ぜて端末でハッシュにしたもの。お客様の名前やアカウントには結び付きません
銘柄・メモ・写真・場所は一切送りません。 呼び名、記録のカクテルの種類・1 杯の量・度数、初回起動のそのほかの回答（好きなスタイル、いまの残し方、困っていること、好きな味、いつもの量など）も送りません。これらは端末（記録はお客様ご自身の iCloud にも）にだけあり、当社にも Anthropic にも送られません。他のアプリやサイトをまたいだ追跡には使いません。
6. データを扱う事業者と場所
| 事業者 | 役割 | 場所 |
|---|---|---|
| Vercel Inc. | 当社のサーバーの運用（リージョン iad1、ワシントン D.C.） | 米国 |
| Turso（ChiselStrike, Inc.） | 当社のデータベース | 米国 |
| Anthropic, PBC | お酒を識別し解説を書く AI | 米国 |
| TelemetryDeck GmbH | 利用状況の分析 | ドイツ（EU） |
| Apple Inc. | App Store の購入とその返金の通知、App Attest、iCloud | Apple のポリシーによる |
米国の外にお住まいの場合、第 2〜4 節のデータは米国に移転され、米国で処理されます。米国の個人情報の保護の制度は、お住まいの国と同じ水準でない場合があります。当社はこれらの事業者を Tasteform の運用のためだけに使い、データを販売したり広告のために共有したりしません。
サーバーの事業者（Vercel）は、要求を届けるためと乱用を制限するために IP アドレスを処理し、短期間の要求のログを残します。当社は IP アドレスをデータベースに保存せず、位置の推定にも使いません。
7. 保持期間
| データ | 保持期間 |
|---|---|
| ラベルの写真 | 保存しない（要求を処理するあいだだけ） |
| ラベルの文字 | 保存しない |
| 入力した銘柄の名前 | 保存しない（要求を処理するあいだだけ） |
| 入力した名前から初めて作られた解説に付く端末の鍵（第 2 節） | 別の端末が同じお酒と識別されるか当社が確認するまで。長くても端末が最後に使ってから 13 か月 |
| 署名済みの購入の記録 | 保存しない |
| 購入と端末の組（購入の識別子のハッシュ、端末のハッシュ。第 4 節） | その端末がその購入を Pro として最後に使ってから 13 か月 |
| 返金・取消された購入（購入の識別子のハッシュ） | サービスを続けるあいだ（Apple が返金を取り消せば消す） |
| Apple からの返金の通知（通知の ID・種類・環境。購入の中身は含まない） | 90 日 |
| 問い合わせの記録（端末のハッシュ、返した解説） | 同じ要求を二重に数えないための 48 時間（毎日の処理で消すため、最大で約 73 時間） |
| 1 日の試行の回数 | その日が終わってから 1 日（UTC） |
| 月の利用回数 | その月が終わってから 1 日（UTC） |
| 端末の記録（第 3 節） | その端末が最後に使ってから 13 か月 |
| 報告 | 報告した端末が最後に使ってから 13 か月 |
| AI の利用の記録（モデル、トークン数、費用、経路と結果。写真・文字・端末のハッシュは含まない） | サービスを続けるあいだ（問い合わせの記録が消えたあとは、端末と結び付けられない） |
| 共有される解説 | サービスを続けるあいだ（お客様に関する情報は含まない） |
| 分析 | TelemetryDeck のデータ保持の方針による（お客様の識別子は含まない） |
期間を過ぎたデータは 1 日 1 回動く処理で削除するため、最大で約 1 日長く残ることがあります。「最後に使って」は、その端末の鍵を当社のサーバーが最後に受け付けた時刻です。
8. お客様が選べること
- 記録にラベルの写真も銘柄の名前も付けなければ、その記録について AI には何も送りません
- 記録はアプリで編集・削除できます。削除した記録は iCloud からも消えます
- 設定から全記録を CSV で書き出せます
- 設定アプリで Tasteform の iCloud をオフにすると、同期を止められます。すでに iCloud にある記録は、アプリで削除するか、iCloud のストレージの設定で Tasteform のデータを削除するまで残ります
当社がお客様の端末について保存しているデータ（第 3 節、利用回数、報告）の削除をご希望の場合は、下の連絡先へご依頼ください。当社は氏名・メールアドレス・アカウントを持たないため、人ごとにデータを探すことはできません。探す手がかりになる情報をお伺いすることがあり、いただいた情報でできる範囲で対応します。そのほかのご質問やご請求も同じ連絡先へお送りください。
9. 年齢
Tasteform は、お住まいの国・地域の法律で飲酒できる年齢以上の方だけが使えるもので、初回起動で確認します。子どもを対象としていません。
10. 変更と連絡先
変更はこのページに新しい施行日とともに掲載します。連絡先: 合同会社 Appnics、contact@appnics.io