PingPong プライバシーポリシー

最終更新：2026年9月15日 · 施行日：2026年9月13日

概要

PingPongは、エンドツーエンド暗号化を採用したメッセージアプリです。メッセージ、写真、音声、通話はお使いの端末上で暗号化され、受信者の端末でしか開くことができません。サーバーは、自分では読めないものを届けるだけです。これは「見ない」という約束ではなく、そもそも見る対象が存在しない仕組みです。

• メールアドレス、本名、生年月日はお尋ねしません。
• 電話番号の登録は任意です。
• アプリには広告、トラッキング、利用状況の分析ツール、第三者のSDKは一切組み込まれていません。
• データを販売することは、相手を問わず一切ありません。
• 例外はサポートチャットです。サポートチャットはエンドツーエンドで暗号化されておらず、そこに書かれた内容はサポートチームが読みます。このことは、サポートとの会話を始めるたびにアプリ内でお知らせします。
• 作成したボットも、エンドツーエンド暗号化の対象外です。ボットが送る内容と、ボットのボタンのタップはサーバーを経由します。ボットとのトークは、アプリ内で区別して表示します。

本ポリシーは、国や地域を問わず、PingPongを利用するすべての方に適用されます。お住まいの地域の法律で固有の権利が定められている場合は、「お住まいの地域ごとの権利」に記載しています。本ポリシーでは、実際に存在するものをぼかさずに記載し、限界がある箇所はその限界も明記しています。

個人情報の取扱責任者

個人データの管理者（データをどのように、何のために取り扱うかを決める者）は、PingPongを開発・運営する個人、Thomaz Juniorです。プライバシーに関するご質問や、各国の個人情報保護法に基づくご請求は、すべて thomaz@xtech.international までご連絡ください。

このメールアドレスは、データ保護責任者（DPO）の設置を求める法律における連絡窓口も兼ねており、管理者本人が対応します。

私たちのサーバーに保存するデータ

PingPongのサーバーは、Amazon Web Servicesのインフラ上で稼働しています（所在地は「データの保管場所」をご覧ください）。サーバーに保存するのは、次のデータだけです。

• アカウント：氏名・電話番号・メールアドレスとは結びつかない、ランダムに生成された識別子。暗号化用の公開鍵。アカウントの作成日と最終アクセス日（時刻は含みません）。
• アカウントパスワード：端末上で暗号化された金庫と、同じく暗号化されたつながりのコピー（「アカウントパスワードと別の端末でのログイン」を参照）。サーバーからは、パスワードもその中身も見えません。
• ユーザー名：アカウント作成に必須で、サーバーの外に出ない秘密鍵を使ったハッシュ値としてのみ保存します。誰かが@を検索したときに「この@は存在する」と答えることはできますが、ユーザー名の一覧を作ることはできません。@を変更した場合、なりすましを防ぐため、以前の@は90日間あなたのために予約されます（これもハッシュ値のみです）。
• 電話番号（確認した場合のみ）：番号そのものではなく、番号から計算したハッシュ値。「Find me by my number」をオンにした場合は、連絡先による検索を可能にする値も保存します。
• Appleがあなたの端末に割り当てる通知用の識別子。
• ブロックリスト：識別子の組のみで、名前や理由は含みません。
• 配信待ちのメッセージと添付ファイル：暗号化されており、私たちには読めません。
• あなたが送った招待：招待コード、送信経路、そして招待から登録した人や後から招待を受け入れた人がいれば、そのアカウント。
• ボット（作成した場合）：各ボットの番号と名前、APIキー（ハッシュ値のみ。各キーに付けた名前、作成日、最終使用日を含む）、保存したメッセージのテンプレート、開発者ポータルのセッション（ブラウザと日付）。また短期間だけ、ボットが送ってまだアプリに届いていないメッセージと、ボットがまだ取得していないボタンのタップを保存します。
• 以前の停止措置：通報を受けてチームがアカウントを停止していた時期のもので、日付のみです。現在はこの方法で停止されることはありません。既存の停止は、チームが解除するまで有効です。
• 不正利用対策の制限または通報によるブロック（アカウントが制限を超えた場合や、利用停止となった場合）：段階（1時間の一時停止、24時間の一時停止、または永久停止）、作動した制限の名前（または「通報」、サポートによる停止の場合はその旨と問い合わせ番号）、サーバーが数えた数値（回数、期間、上限）、アカウントの端末番号（1〜8）、日付。内容、連絡先、IPアドレスは一切含みません。
• アカウントに対する通報（自動停止のため）：通報されたアカウント、選ばれた理由、その通報がカウントされたかどうか（されなかった場合はその理由）、日付。通報した人は、サーバーの外に出ない秘密鍵を使ったハッシュ値としてのみ保存します。同じ人を二重に数えないためのもので、元のアカウントに戻すことはできません。

このほか、保護のための短期間のデータがあり、保存期間の表に記載しています。SMS送信の管理、端末ごとのアカウント数の制限、置き換えられた端末に関するデータです。

サーバーに保存しないもの

メッセージや通話の内容、写真、動画、音声、書類、ステッカー、位置情報、プロフィール名、プロフィール写真、ひとこと、アドレス帳、相手に付けたニックネーム、グループのメンバー一覧と名前、トークと通話の履歴、トークの壁紙、そしてあなたのIPアドレス。

機能ごとのデータの取扱い

画面上の名前は、アプリの英語版の表記で記載しています。

アカウントとユーザー名

アカウントは、ユーザー名（@）とアカウントパスワード（後述）で作成します。端末が自分で鍵を生成し、サーバーから認証情報を受け取ります。メールアドレスは使いません。プロフィール名、写真、ひとことは、暗号化されたメッセージの中で、連絡先と一対一でトークしている相手に送られ、サーバーに送られることはありません。連絡先にない人からメッセージが届いた場合、その人が送った名前と写真は、誰からのトークかを表示するために、暗号化されてあなたの端末の中だけに保存されます。それによってその人が連絡先になることはありません。

アカウントの大量作成を防ぐため、登録時にはAppleによる証明（App Attest）を付けて、本物のアプリからの要求であることを確かめます。サーバーはこれを検証し、保存しません。また、1台の端末で作れる新規アカウントを1日3つまでに制限するため、アプリが自ら作成したランダムな端末識別子を送ります。サーバーが保存するのはそのハッシュ値と日付だけで、期間は2日間、作成されたアカウントと結びつける情報は一切ありません。ネットワークごとの制限もあり、こちらはアドレスをハッシュ化したうえでサーバーのメモリ上だけで数え、サーバーの再起動で消えます。

登録時、アプリは端末に設定された国（例：「JP」）を送ります。これはその日のその国の新規アカウント数に1を足すためだけに使われ、あなたのアカウントには保存されません。

アカウントパスワードと別の端末でのログイン

@とアカウントパスワードがあれば、どの端末からでも自分のアカウントにログインできます。パスワードが端末の外に出ることはありません。サーバーに送られるのは256バイトの金庫で、パスワードとサーバーの秘密鍵から導いた鍵で、端末上で暗号化されています（OPRFという計算で、サーバーはパスワードを見ずに計算に参加します）。金庫の中にあるのは、アカウントの識別子、アカウントのマスターキー、プロフィールの鍵、復旧用トークンです。トークの内容や、それを開く鍵は入っていません。サーバーは、計算に使うソルトとパラメータ、失敗した試行の回数と日時、そしてハッシュ化した復旧用トークンも保存します。

金庫を開けるための試行はすべてサーバーを通り、サーバーが回数を数えます。最初の10回は自由で、その後は待ち時間が最大1時間まで伸びていき、初日はおよそ40回、以降は1日24回までです。存在しない@やパスワードのない@について問い合わせても、同じ形式の応答が返るため、誰がアカウントを持っているかは分かりません。正直にお伝えすべき限界として、サーバーの秘密鍵とデータベースの両方を同時に手に入れた者は、推測1回ごとに重い計算をすることで、サーバーの外でパスワードを試せます。弱いパスワードなら数日で破られますが、アプリが提案するような無作為な4語のフレーズなら破られません。そのため、アプリは一定以上の強さのパスワードを求め、強さを表示します。iCloudキーチェーンにパスワードを保存するかどうかはあなたの選択で、保存した場合はApple Accountの安全性にも左右されます。

金庫と一緒に、アプリはつながりのコピーをサーバーに保存します。これまでに話した相手（@、表示されていた名前、それぞれのセーフティキーとその日時）、「Connect」でつながった相手（つながった日時を含む）、ブロックまたは確認済みにした相手、そしてあなたのプロフィールです。これは、端末と金庫の中にしか存在しないアカウントのマスターキーで端末上で暗号化されており、サーバーからは相手が誰なのか、何人いるのかも分かりません。「Connect」の申請は、メッセージと同じくエンドツーエンドで暗号化されて送られ、サーバーはその存在を知りません。

新しい端末でログインすると、アカウント、@、プロフィール、つながりが戻ります。過去のトークは戻りません。それらは元の端末の中に暗号化された状態でしか存在しないためです。古い端末はその時点で使えなくなり、連絡先にはあなたのセーフティナンバーが変わったことが表示されます。パスワードと端末の両方を失うと、アカウントは復旧できません。私たちにも復旧する手段はありません。アプリのPINはこれとは別のもので、端末の中だけにあり、サーバーには送られません。

電話番号（任意）とSMS

電話番号がなくても、アカウントを作ってすべての機能を使えます。番号を確認したい場合は、SMSでコードを送ります。番号は送信の瞬間にだけサーバーのメモリを通り、SMS事業者に渡されます。保存されるのは、不正利用対策のための番号とコードのハッシュ値（10分間）と、送信回数のカウンターです。確認が済むと、アカウントに残るのはハッシュ値だけです。

アドレス帳から連絡先を探す

アドレス帳の読み取りは任意で、iPhoneでの許可が必要です。PingPongを使っている知り合いを探すとき、端末は各番号を変換してからサーバーに問い合わせます。これはブラインド計算と呼ばれる方法で、サーバーはどの番号が問い合わされたかを知らないまま応答します。アドレス帳がアップロードされることはありません。PingPongを使っていない連絡先の番号は、どのような形でも保存しません。

自分の番号で見つけてもらうには、「Find me by my number」をオンにする必要があります（初期設定はオフです）。お伝えすべき限界として、サーバーの鍵を持つ者は、こうして変換された値に対して大量の番号を試すことができます。電話番号を任意とし、検索を初期設定でオフにしているのはそのためです。

メッセージ

メッセージはエンドツーエンドで暗号化されます。サーバーは暗号化されたメッセージを、受信側の端末が受け取りを確認するまでの間だけ保存し、確認後に削除します。誰にも受け取られなかったものは30日で消えます。

送信者秘匿（sealed sender）では、メッセージは誰が送ったかを示さずにサーバーに届きます。送信者はメッセージの中に暗号化されて運ばれます。アプリがまだこの方法を使えない場合は、送信者を示した状態で送られ、配信されるまで送信者のアカウントが一緒に記録されます。既読通知と「入力中」も、オンにしている場合は同じように暗号化されて送られます。

写真・動画・書類などの添付ファイル

添付ファイルは、それぞれ専用の鍵で端末上で暗号化され、その鍵はメッセージの中で運ばれます。サーバーが受け取るのは、名前も種類もサムネイルもない暗号化されたファイルです。サーバーはこれを、メッセージを受け取ったすべての端末がダウンロードし終えるまでの間だけ保存し、最後の端末がダウンロードした時点で削除します。ダウンロードされなかったものも最長14日で消え、送信した人がメッセージを全員に対して削除した場合も、まだ誰にも届いていないメッセージ（相手の参加待ち、または未送信）を削除した場合も、すべてのトークを削除した場合も、ファイルは削除されます。すべての端末がダウンロードし終えたかを知るため、サーバーはダウンロード済みの端末の数を数えますが、その記録からどの端末かは分かりません。

1回表示の写真

写真は、1回だけ開ける形で送ることもできます。通常の写真と同じくエンドツーエンドで暗号化され、サムネイルは付きません。説明文を付けた場合は一緒に暗号化されて送られ、写真を開いている間だけ表示され、写真と一緒に消えます。トークには残りません。受け取った人は、設定で画面保護をオフにしていても、常に画面保護がオンの状態でこの写真を1回だけ開けます。iOSが対応している範囲で、スクリーンショットは真っ白になり、画面収録やミラーリング中は写真が隠されます。スクリーンショットが誰かに通知されることはありません。別のカメラで画面を撮影することは、どの端末でも防げません。開いた時点で写真は受け取った人の端末から削除され、送った人の端末のコピーは送信が終わった時点で削除されます。サーバー上の暗号化されたファイルは、ほかの添付ファイルと同じく、受け取った全員がダウンロードした時点、または最長14日で削除されます。1対1のチャットで既読通知がオンの場合、送った人には写真が開かれたことが伝わります。

音声メッセージ

音声は一時ファイルに録音され、その直後に削除されたうえで、暗号化された添付ファイルと同じ経路をたどります。音声メッセージを受け取るかどうかは、全員に対して、または連絡先ごとに選べます。この設定は端末に保存され、プロフィールの中に暗号化されて送られるため、相手は録音する前に分かります。受け取らないと決めた相手からの音声は保存されません。

通話

音声通話とビデオ通話はエンドツーエンドで暗号化され、ネットワークが許す限り2台の端末を直接つなぎます。直接つながらない場合は、私たちの中継サーバーを経由します。中継サーバーには暗号化されたデータしか見えず、ログも残しません。通話中、このサーバーには自分を通る通話があることとその長さが分かり、また各端末にそれぞれのグローバルアドレスを知らせる役割も担います。通話を録音することはありません。通話履歴はあなたの端末にだけ残ります。ダイヤルパッドに入力したままの番号も端末にだけ残り、10時間後、または連絡先として保存した時点で消えます。その番号の持ち主の名前を表示するとき、アプリはサーバーに問い合わせず、iPhone上のアドレス帳だけを確認します。通話中、Dynamic Islandとロック画面には、通話相手、経過時間、音声レベルが表示されます。これらはiPhone上で作られ、私たちのサーバーもAppleも経由しません。

グループ

サーバーは、グループが存在すること自体を知りません。グループへのメッセージはメンバーそれぞれに個別に暗号化して送られ、グループ名、写真、メンバー一覧はその暗号化されたメッセージの中で運ばれます。グループで自分が送ったメッセージの詳細には、受け取った人と読んだ人が、それぞれの時刻とともに表示されます。この時刻は各確認があなたの端末に届いた時刻で、端末にだけ、バックアップの対象外として最長90日間保存されます。

位置情報

現在地を送ったり、15分、1時間、8時間のいずれかの間、位置情報をリアルタイムで共有したりできます。iPhoneでの許可がある場合に限り、アプリの使用中だけ、あなたがタップした後にのみ行われます。位置情報は暗号化されたメッセージの中で送られ、共有は、期間が終わったとき、あなたが止めたとき、トークが削除されたとき、アプリが閉じられたときに停止します。サーバーが位置情報を受け取ることはありません。共有中は、Dynamic Islandとロック画面に、共有中であること、相手、残り時間が表示されます。これもiPhone上で作られ、私たちのサーバーもAppleも経由しません。

アプリ内の地図はAppleマップ（MapKit）のものです。地図を描くため、地図を使うアプリ全般と同様に、端末は表示している範囲のデータをAppleから取得します。「Open in Maps」をタップしたときにだけ、座標がAppleの「マップ」アプリに渡されます。Google MapsやWazeがインストールされている場合は、位置情報をタップするとどのアプリで開くかを尋ねます。座標は端末から選んだアプリに直接渡され、そのアプリのポリシーに従います。PingPongのサーバーは経由しません。

ステッカー

ステッカーのライブラリは、暗号化された状態であなたの端末にだけ保存されます。写真からステッカーを作る処理はiPhone上で行われ、写真がどこかに送られることはありません。ファイル（WhatsAppから書き出したトークや .wastickers パック）からステッカーを取り込むとき、アプリはステッカーだけを読み取り、テキスト、写真、動画は無視し、ファイルのコピーを削除します。動画やGIFから作るアニメーションステッカーもiPhone上で作られ、動画はどこにも送られません。トークで送ったステッカーは、暗号化された添付ファイルとして送られます。

GIF

GIFの検索はKLIPY（KIKLIKO, Inc.）が提供していますが、あなたの端末がKLIPYと直接通信することはありません。アプリは私たちのサーバーに要求し、私たちのサーバーがKLIPYに要求します。KLIPYが受け取るのは、検索した語句、アプリの言語（「ja_JP」など）、私たちのサーバーのアドレスだけです。あなたのネットワークアドレス（IP）、アカウント、電話番号、端末に関する情報は受け取りません。プレビューとGIFも私たちのサーバーを経由します。サーバーは、何を検索したか、どのGIFを見たり送ったりしたかを保存も記録もしません。送ったGIFは、写真と同じくエンドツーエンドで暗号化された添付ファイルとして届き、受け取った人がKLIPYやGIF用のサーバーと通信することもありません。

リンクプレビュー

メッセージにリンクを書くと、プレビュー（サイト名、タイトル、説明、小さな画像）を作るために、あなたの端末がそのページを開きます。このとき、ブラウザでリンクを開いたときと同じように、サイトにはあなたのネットワークアドレス（IP）が見えます。この通信はPingPongのサーバーを経由せず、Cookie、アカウント、端末に保存された情報も送りません。プレビューはエンドツーエンドで暗号化されてメッセージの中で送られ、受け取った人の端末がサイトと通信することはありません。リンクが開かれるのは、その人がタップしたときだけです。プレビューの読み込みが終わる前にメッセージを送った場合は、プレビューがすぐ後から、同じく暗号化されて届きます。ローカルネットワークのアドレスにはプレビューを作りません。端末では、プレビューはメッセージと一緒に暗号化して保存され、メッセージと一緒に削除されます。

トークの壁紙

選んだ壁紙は、その端末にだけ保存されます。メッセージにも含まれず、サーバーにも送られず、バックアップにも入りません。壁紙に使った写真は、端末上に暗号化して保存されます。

連絡先

PingPongの連絡先、相手に付けたニックネーム、トークは端末にだけ保存されます。相手の追加は、@またはQRコードで行えます。iPhoneの「連絡先」への保存をタップすると、アプリは確認済みの名前と番号で連絡先を作成し、それ以外にアドレス帳に対して何もしません。

誰かをブロックすると、その人からのメッセージと通話はトークに届かなくなり、相手には通知されません。ブロック中に送られたもの（テキスト、位置情報、連絡先、写真やファイルの暗号化された参照。ファイル本体はサーバー上の添付ファイルの通常の期間に従います）は、あなたの端末にだけ暗号化して非表示で保存され、iCloudのバックアップには含まれず、最長369日23時間58分後に開かれないまま削除されます。サーバーはこれらのメッセージを保持せず、ほかのメッセージと同じように配信します。ブロックを解除するときに、表示するか破棄するかを選べます。ブロックや解除をしたことは、あなたのトークにだけ表示されます。

招待

まだPingPongを使っていない人を招待し、すぐにメッセージを書き始めることができます。そのメッセージはあなたの端末に暗号化して保存され、相手が登録した時点でエンドツーエンドで暗号化されて送られます。招待画面には、あなたの招待者コードが表示されます。これは、チームが管理画面で見る招待ランキングであなたのアカウントに付く仮名と同じもので、サーバーがアカウントの識別子から計算します。管理画面はどのコードが誰のものかを知りません。自分のコードを見られるのはあなただけで、認識してほしい場合にだけ相手に見せます。

招待は、あなたのWhatsApp、SMS、またはiPhoneの共有メニューから、コード付きのリンクとして送られます。サーバーが保存するのは、コード、あなたのアカウント、送信経路、日付、そして相手が登録した場合は招待から登録したアカウントです。招待した相手の電話番号や名前がサーバーに届くことはありません。あなたの名前はリンクの末尾の、ブラウザがサーバーに決して送らない部分（#de=）に入ります。これはあなたのメッセージの中で相手に届き、WhatsAppや通信事業者からは、あなたがそこから送るほかのメッセージと同じように見えます。リンク先のページはトラッカーを使わず、ほかのサイトから何も読み込まず、開いた人について何も保存しません。

招待ページでApp Storeのダウンロードをタップすると、招待リンク（コードと、あれば招待した人の名前）が、受け取った人の端末のクリップボードにコピーされます。ページはタップの前にそのことを伝えます。登録時、PingPongはiOSに対して、内容を読まずに、リンクがコピーされているかどうかだけを尋ねます。コピーされていれば、システムの「Paste」ボタンを表示します。アプリがクリップボードを読むのは、あなたがそのボタンをタップしたときだけで、読み取った内容を使うのはPingPongの招待だった場合だけです。その場合は招待コードを入力し、招待した人の名前を表示します。それ以外の内容は無視し、保存しません。その後、招待リンクはクリップボードから消去されます。登録時に招待コードとしてサーバーに送られるコード以外は、何も端末の外に出ません。ページとアプリを結びつけるために、IPアドレス、端末の機種、ブラウザ、その他のフィンガープリントは使いません。

招待された人が招待コードを使ってアカウントを作ると、サーバーは招待した人にすぐ知らせ、その人の端末で待っていたメッセージがすぐに送られるようにします。知らせは招待した人にだけ届き、アプリを開いていれば接続を通じた合図（コードと新しいアカウント）として、アプリを閉じていればAppleを通じたサイレント通知（本文も招待のデータも含みません）として送られます。そのために新しく保存するものはありません。どのアカウントがどのコードから来たかは、もともと保存していた情報です。登録画面では、招待した人に登録したことが伝わる旨を事前に表示します。

すでにアカウントを持っていて、別の人から招待を受け取った場合は、アプリにリンクを貼り付けて（「New contact」から）受け入れることができます。受け入れると、そのコードがあなたのアカウントに紐づきますが、紹介として数えずに扱われ、招待した人には同じ方法で知らせが届きます。アプリは事前に確認します。各コードは1回だけ有効で、招待は送信から90日以内であれば受け入れられます。コードがない場合、招待した人があなたを見つけられるのは、@か、あなたが許可していれば相手のアドレス帳にあるあなたの電話番号だけです。招待された人の番号をサーバーが受け取ることはありません。

WhatsAppで招待を自動送信する機能があります。招待をタップし、画面で確認したときだけ動きます。そのときにかぎり、招待相手の電話番号とあなたの名前が端末を離れ、当社のサーバーを経由してKapsoとMetaに渡され、PingPongの名前でWhatsAppからメッセージが送られます。どちらも当社には保存されず、ログにも残りません。招待された番号については、ハッシュ化した値（HMAC）だけを30日間保持します。目的は一つで、10人が同じ人を招待しても、その人が受け取るメッセージは1通だけにするためです。Metaは、その番号がいつ招待されたかを知ることになります。あなた自身のWhatsAppから送る通常の招待は、これまでどおりサーバーを経由しません。

通知

何かが届いたことを知らせるために、Appleの通知サービス（APNs）を使います。通知は内容を含まず、「New message」のような固定の文言だけでサーバーから送られます。画面に表示される内容は、端末が復号した後に作ります。Appleには、あなたの端末が通知を受け取ったことと、その日時が分かります。

サポート

サポートチャット（「Settings」→「Support」）は、独自のデータベースを持つ別のサービスで、私たちのサーバーと同じインフラ上にあります。サポートチャットはエンドツーエンドで暗号化されていません。そこに書かれた内容はPingPongのチームが読みます。ほかのトークがサポートを経由することはありません。

サポートが保存するのは、アカウントの識別子、@、選んだ件名と質問への回答、やり取りしたメッセージ、対応に対する0から10までの評価（コメントを書いた場合はそのコメント）、担当者、日付です。評価はサポートチームに表示され、管理画面には合計と担当者ごとの平均評価だけが表示されます。アプリのバージョン、iOSのバージョン、端末の機種は、「Send this information」をタップした場合にだけ送られます。サポートは、電話番号、連絡先、トーク、端末の認証情報を受け取りません。アプリは15分間有効な鍵でサポートにログインします。チームが返信すると、「Support replied」という固定の文言の通知が届きます。

解決済みの問い合わせは、返信がないまま7日たつと自動的に終了し、終了した問い合わせは終了から2年後に削除されます。問い合わせの殺到を防ぐため、サポートはアカウントのハッシュ値と、問い合わせを開いた時刻を31日間保存します。チームはパスワードと確認コードで管理画面にログインし、その操作はすべて2年間記録されます。

ボット

開発者ポータルでは、番号と名前を持つボットを最大5つ作成でき、あなたのシステムがPingPongであなたに通知を送るためのAPIキーを発行できます。現時点では、ボットがメッセージを送れるのは作成した本人だけです。

ポータルにログインするには、ページに表示されるQRコードをPingPongのカメラで読み取り、アプリのロックで確認します。ポータルはメールアドレスやパスワードを求めず、トークを開くこともありません。ポータルから見えるのは、あなたのボットだけです。確認の前に、アプリはログインを求めたブラウザとシステムを表示します。この記録はログインに使われた時点で削除され、使われなかった場合も最長75分で削除されます。ポータルのセッションは最長12時間で、操作がないまま1時間たつと終了します。セッションはアプリから確認し、終了させることができます。

ボットとのトークはエンドツーエンドで暗号化されていません。ボットが送る内容と、あなたがタップしたボタンはPingPongのサーバーを経由し、ボットを作成した人に届きます。ほかのトークがボットに届くことはありません。サーバーがボットのメッセージを保存するのは、アプリが受け取りを確認するまで（最長7日）、ボタンのタップを保存するのは、ボットが取得するまで（最長24時間）です。ボットのメッセージの通知は固定の文言で、内容、ボットの名前、番号は含まれません。

APIキーの全体が表示されるのは作成時の一度だけです。サーバーは、サーバーの外に出ない秘密鍵を使ったハッシュ値だけを保存します。キーはポータルまたはアプリから無効にでき、ボットを削除すると、そのキー、テンプレート、配信待ちのものも削除されます。

通報とアカウント停止

相手を通報するには、トークの中から（「Info」→「Report」）か、サポートチャットから行います。トークからの場合は、理由を選び、相手から受け取ったテキストメッセージのうち見せたいものを1件ずつ選びます。PingPongに送られるのは選んだメッセージだけで、それぞれの本文と時刻が含まれます。このことはボタンの前に画面で説明します。それ以外のメッセージが端末の外に出ることはありません。サポートチャットからの場合は、相手の@を伝え、該当部分を貼り付けるか入力します。アプリが通報を作るためにトークを読むことはなく、通報された人に誰が通報したかが伝わることもありません。

通報はサポートの問い合わせとなり、チームはあなたが見せた部分を読みます。サーバーは、各アカウントを何人の異なる人が通報したかを数え、7日以内に10人の異なる人が同じアカウントを通報すると、そのアカウントは自動的に利用停止になります。同じ人による再度の通報、通報されたアカウントがすでにブロックしていた人の通報、作成から7日未満のアカウントによる通報は数えません。示し合わせた通報やアカウントの作成によって、誰かを停止に追い込むことを防ぐためです。サポートチームも利用停止にできますが、有効な通報が1件以上あるアカウントに限られ、必ず理由を書き、通報と問い合わせに紐づけます。それ以外に、チームの誰かがアカウントを一時停止、ブロック、利用停止にすることはありません。一時停止とブロックは、次に説明する制限によって自動で行われます。

利用停止は永久的です。アカウントはメッセージを送受信できなくなりますが、見直しを求めるためにサポートと話すことや、アカウントを自分で削除することは引き続きできます。利用停止を解除できるのはサポートチームだけです。サポートでの通報（該当部分と判断を含む）は判断から90日後に、サーバー上の通報のカウントは通報から90日後に削除されます。この仕組みができる前にチームが停止したアカウントは、チームが見直すまで停止のままで、チャットから見直しを求めることができます。

不正利用対策の制限

スパム、ボット、過負荷からサービスを守るため、サーバーは各アカウントの利用のペースと量を数えます。1分あたりのリクエスト数、再接続、1時間あたりに検索した異なる相手の数、そして制限を超えたと伝えられた後も試行を続けているかどうかです。内容は見ておらず、メッセージを読むこともできないままです。このカウントはサーバーのメモリ上にだけ最長24時間保持され、再起動で消えます。

ペースを少し超えた程度なら、「少しお待ちください」と表示されるだけで、何の影響もありません。通常の利用では届かない上限を超えると違反となり、1回目はアカウントが1時間、2回目は24時間一時停止され、3回目は永久に利用停止となります。各違反は90日間カウントされます。一時停止中や利用停止中、アプリは理由、残り時間、続けた場合に何が起きるかを表示します。24時間の一時停止と利用停止の場合は、理由が入力された状態でサポートチャットを開き、見直しを求めることができます（1時間の一時停止は自然に終わります）。アカウントの削除は引き続き可能です。アカウントがブロックされたときと解除されたときには、「Your account has been blocked」または「Your account is back」という固定の文言の通知が届きます。理由や期間は通知に含まれず、アプリの中でだけ表示されます。

各ブロックは、終了から1年間記録されます。サポートチームはこの記録を見てあなたの申し立てを検討し、誤りだった場合はアカウントのブロックを解除できます（違反を取り消してカウントから外すことができるのは、チームの管理者だけです）。誰がなぜ判断したかはチームの操作記録に残り、チームにはそのアカウントが以前に一度解除されたことが分かるようになります。管理画面には合計が表示され、個々のブロックはアカウントの識別子ではなく、そのアカウントの仮名だけで表示されます（「利用状況の集計」を参照）。アカウントに関する自動的な判断は、どれでも人による見直しを求めることができます。サポートチャットはそのためにあります。

アカウントが作られる前（登録時とSMS）には違反はありません。制限は端末ごと、番号ごと、ネットワークごとで、制限を大きく超えて要求を続けるネットワークは数分間一時停止されます。これもアドレスをハッシュ化したうえで、サーバーのメモリ上だけで数えます。

データの保管場所

PingPongは多くの国で使われていますが、ここで説明するデータが置かれている場所は限られており、以下がその一覧のすべてです。管理者はブラジルに所在しています。私たちのサーバー、データベース（サポートのものを含む）、暗号化された添付ファイル、通話の中継は、ブラジルにあるAmazon Web Servicesのサンパウロリージョンにあります。サービスの運営にはいくつかの企業が関わっており、それぞれが見るものは限られています。

電話番号を使わない場合、SMS事業者があなたについて何かを受け取ることはありません。

あなた自身がほかのアプリに何かを送る場合（WhatsAppやSMSでの招待、Google MapsやWazeで開く位置情報など）、そのアプリは送られた内容を受け取り、そのアプリのポリシーに従って取り扱います。PingPongのサーバーは関与しません。

外国への移転

私たちのサーバーは1か所にあるため、ブラジル以外でPingPongを使うと、データは国境を越えることになります。実際のデータの流れは次のとおりです。

• あなたの端末から、ブラジルにある私たちのサーバーへ：アカウント、暗号化されたメッセージと添付ファイル、サポートチャットに書いた内容など、アプリがサーバーとサポートに送るすべてのもの。
• 私たちのサーバーからアメリカ合衆国へ：Appleには、通知用の識別子と通知があったという事実。KLIPYには、GIFの検索語句とアプリの言語（検索した人を特定できる情報は含みません）。ブラジル以外の番号への送信を有効にした場合は、Twilioを通じて、そのSMSの番号とコード。
• あなたの端末からAppleへ直接：アプリで開いた地図の範囲。
• Cloudflare：あなたに最も近い拠点からDNS問い合わせに応答します。

お住まいの国の法律が外国へのデータ移転に保護措置を求めている場合は、その法律が定める方法に基づきます。移転先の国について十分性認定がある場合はその認定に、表に記載した企業のデータ保護条件に含まれる標準契約条項（欧州委員会、英国、ブラジルのANPDのものなど）に、あるいは法律が認めていてほかに方法がない場合は、あなたが求めたサービスを提供するための必要性またはあなたの同意に基づきます。アメリカ合衆国には連邦レベルの包括的な個人情報保護法がないため、同国へは上記の最小限のデータだけを送っています。利用している保護措置の写しは、お問い合わせ窓口のメールアドレスでご請求いただけます。

保存期間

サーバーが何かを削除するときは、本当に削除します。ごみ箱はありません。ただし、ディスクが故障してもサービスを復旧できるよう、自動バックアップを7日間保存しています。削除したものも、そのバックアップの期限が切れるまでは残っている可能性があります。バックアップの中でも、メッセージと添付ファイルは暗号化されたままです。

アカウントが別の端末に移ると、サーバーは古い端末の認証情報のハッシュ値と通知用の識別子を90日間保存します。古い端末が何日も電源を切ったままでも、使用を止めるよう知らせるためです。

技術ログ

不具合が起きたときに原因を突き止めるため、サーバーは各リクエストのメソッド、経路、結果を記録します。技術ログにはIPアドレス、ヘッダー、アカウントの識別子、内容は含まれず、サーバー自身のディスクにだけ保存され、14日で消えます。通話の中継サーバーはログを残さず、サーバーの入口もアクセスログを残しません。

利用状況の集計

サービスの状況は、どのアカウントとも結びつかない1日ごとの合計で把握しています。国別の新規アカウント数、受け付けて配信したメッセージの数、事業者ごとのSMS送信数、送信経路ごとの招待数、発行した通話中継用の認証情報の数、サービスが稼働していた時間、1日あたりの自動ブロックの件数、サポートの数値（問い合わせ数、平均評価、担当者ごとの評価）です。これらの合計から個人が特定されることはなく、期限を定めずに保存します。

管理画面には、アカウントの一覧もあります。各アカウントは仮名で表示されます。仮名は、アカウントの識別子とサーバーの鍵から計算した短いコードで、識別子の一部ではなく、識別子に戻すこともできません。一覧に表示されるのは、各アカウントについて次の項目だけです。作成された日と最後に利用された日（時刻なし）、@があるかどうかと電話番号を確認したかどうか（はい・いいえのみで、@や番号そのものは表示しません）、連絡先による検索がオンかどうか、端末の数、利用中・一時停止中・停止措置中・永久に利用停止のどれか、過去90日間にそのアカウントを通報した異なる人の数、送った招待の数とそのうちアカウント作成につながった数です。一覧には、@、電話番号、名前、写真、メッセージ、連絡先、誰とやり取りしているか、いつメッセージを送ったかは一切表示されません。サーバーはこれらを平文では持っておらず、ハッシュ値として保存しているものも表示しません。一覧はサーバーがすでに保存している情報からその場で作られ、新しいデータは生まれません。

利用目的と法的根拠

個人情報保護に関する法律は、データの利用ごとに根拠（法的根拠）があることを求めています。私たちの根拠は次の4つで、各法律での呼び方は「お住まいの地域ごとの権利」に記載しています。

• あなたが求めたサービスを提供するため：アカウント、鍵、アカウントパスワードと別の端末でのログイン（金庫とつながりのコピー）、メッセージと添付ファイルの配信、通知、通話、招待、サポート。
• あなたの同意に基づくもの：電話番号の確認、連絡先による検索、アドレス帳と位置情報へのアクセス、サポートでの端末情報。いずれもいつでもオフにでき、それ以前に行われた取扱いには影響しません。
• 正当な利益に基づくもの：不正利用対策の制限、技術ログ、利用状況の集計、通報の審査。いずれも必要最小限のデータで行います。その利益とは、サービスを安全に保ち、正常に動かし、スパムや利用者への嫌がらせのない状態に保つことです。あなたはこれに異議を述べることができます（後述）。
• 法的義務を果たすため：権限のある機関からの有効な命令への対応。

ユーザー名とアカウントパスワードは、アカウントの作成に必要です。これらがないとサービスは機能しません。それ以外はすべて任意です。

お住まいの地域ごとの権利

どの国にお住まいでも、あなたは次のことができます。

• 私たちがあなたのデータを取り扱っているかを確認し、そのデータにアクセスする。
• 誤っているデータや不完全なデータを訂正する。
• データの削除、または不要なデータの匿名化や利用停止を求める。
• ほかのサービスに持ち出せる形式でデータを受け取る（データポータビリティ）。
• データの取扱いに異議を述べる、または取扱いの制限を求める。
• 与えた同意を、いつでも撤回する。
• アカウントに関する自動的な判断について、人による見直しを求める。
• データの共有先と、同意しなかった場合にどうなるかを知る。
• これらの権利を行使したことを理由に、差別されたり不利益な扱いを受けたりしない。

具体的には、次のとおりです。

• プロフィール、トーク、連絡先、ステッカーはあなたの端末にあり、アプリの中ですべて変更・削除できます。私たちの手元には、訂正や提供のためのコピーはありません。
• 「Find me by my number」をオフにすると、電話番号の検索用の値がすぐに削除されます。
• アカウントを削除すると、サーバーとサポートにあるデータが削除されます（後述）。
• その他のご請求は、thomaz@xtech.international までメールでお送りください。15日以内に、無料で回答します。

私たちはあなたが誰なのかを知らないため、特定のアカウントに関するご請求の場合、あなたのデータを他人に渡してしまわないよう、アプリのサポートチャットから本人確認をお願いすることがあります。書面による委任があれば、代理人が請求することもできます。その場合は、委任の事実をあなたに確認します。

ブラジル（LGPD）

ブラジルの個人データ保護一般法（LGPD）は、上記の権利を保障しています（第18条）。これには、同意しない選択肢についての情報を得る権利や、自動的な処理だけで下された判断の見直しを求める権利（第20条）も含まれます。自動的な一時停止と利用停止は、サポートチャットを通じて人が見直します。LGPDのもとでの私たちの根拠は、契約の履行、同意、正当な利益、法的義務の履行に当たります（第7条）。ブラジル国家データ保護機関（ANPD）に、gov.br/anpd に掲載された窓口から苦情を申し立てることができます。

EU・欧州経済領域・英国（GDPR・UK GDPR）

一般データ保護規則（GDPR）とその英国版（UK GDPR）は、アクセス、訂正、消去、処理の制限、データポータビリティ、異議（正当な利益に基づく処理に対するものを含みます）、同意の撤回の各権利と、人による見直しを求められないまま自動処理のみに基づく判断の対象とされない権利を保障しています。私たちの根拠は、契約の履行、同意、正当な利益、法的義務に当たります（第6条第1項(b)(a)(f)(c)）。お住まいまたはお勤めの国のデータ保護機関に苦情を申し立てることができます。欧州各国の機関の一覧は欧州データ保護会議（EDPB）のウェブサイトにあります。英国の場合は情報コミッショナー事務局（ICO）です。

カリフォルニア州（CCPA・CPRA）

カリフォルニア州にお住まいの場合、カリフォルニア州消費者プライバシー法（CCPA）とその改正法であるカリフォルニア州プライバシー権法（CPRA）により、私たちが収集する個人情報の内容、その取得元、利用目的、共有先を知る権利、削除や訂正を求める権利、そしてこれらの権利の行使を理由に差別されない権利があります。私たちは個人情報を販売せず、広告目的で共有することもありません。過去12か月にも行っていないため、「販売しないこと」を求める手続きは必要ありません。過去12か月に収集した個人情報の分類は、識別子（アカウントの識別子、ユーザー名と電話番号のハッシュ値、通知用の識別子）、暗号化された金庫の中にあるアカウントのログイン認証情報（法律上の機微な個人情報に当たる唯一のもので、あなたがログインするためだけに使います）、そしてサポートを利用したり通報したりした場合に、そこで書いた内容や見せることを選んだ内容です。正確な位置情報は収集しません。位置情報は端末間を暗号化されて移動するだけです。これらはすべてあなたまたはあなたの端末から取得し、本ポリシーに記載した目的と企業のために、表に記載した期間保存します。監督機関はカリフォルニア州司法長官とカリフォルニア州プライバシー保護局（CPPA）です。

日本（個人情報保護法）

日本にお住まいの場合、個人情報の保護に関する法律（個人情報保護法）に基づき、私たちが保有するあなたの個人データ（保有個人データ）について、利用目的の通知、開示（第三者提供記録の開示を含みます）、内容の訂正・追加・削除、利用の停止・消去、第三者への提供の停止を求めることができます。ご請求はお問い合わせ窓口のメールアドレスで受け付け、手数料はいただきません。利用目的は「利用目的と法的根拠」と各機能の説明に、安全管理のために講じた措置は「安全管理措置」に記載しています。

外国にある第三者への提供について：データは、私たちのサーバーがあるブラジルと、アメリカ合衆国（Apple、KLIPY、送信を有効にした場合はTwilio）に送られます。ブラジルには包括的な個人情報保護法（LGPD）と、それを監督する機関（ANPD）があります。アメリカ合衆国には連邦レベルの包括的な個人情報保護法はありませんが、カリフォルニア州などの州法や分野ごとの法律があります。これらの企業は、それぞれのデータ保護条件とプライバシーポリシーに基づいてデータを保護しています。監督機関は個人情報保護委員会です。

その他の国・地域

その他の国にお住まいの場合も、少なくとも上記の一覧にある権利があり、私たちはどの国でもそれを尊重します。また、お住まいの地域のデータ保護機関に苦情を申し立てることができます。お住まいの国の法律がより多くの権利やより短い回答期限を定めている場合は、その法律に従います。

アカウントの削除

「Settings」→「Account」→「Delete my account」から削除できます。アプリはこの端末のデータを消去し、サーバーに対して、アカウント、鍵、通知用の識別子、配信待ちのメッセージと添付ファイル、電話番号のハッシュ値、ブロックリスト、ほかの人があなたをブロックした記録、招待、@の予約の削除を求めます。削除はすぐに行われ、猶予期間はありません。サポートを利用していた場合、アプリはまずサポートに問い合わせの削除を求めます。この要求が届かなかった場合（インターネットに接続していないときなど）は、上記のメールアドレスまでご連絡ください。

あなたとやり取りした人の端末には、その人自身のトークのコピーが残ります。あなたのアカウントに対する通報がある場合は、不正利用に対応するため、表に記載した期間保存します。バックアップに残っているものは、その期限が切れる7日以内に消えます。

アカウントを残したままトークだけを削除するには、「Settings」→「Account」→「Delete all chats」を選びます。この端末からすべて削除されます。「Also delete from the recipients' phones」にチェックを入れると、アプリは受け取った人の端末に、あなたが送ったメッセージの削除を求めます。この要求は通常のメッセージと同様にエンドツーエンドで暗号化され、あなたが書いたメッセージにだけ有効です。古いバージョンのアプリを使っている人には、引き続き表示される場合があります。

法的な開示請求

裁判所の命令など、権限のある機関から有効な命令を受けた場合は、存在するものを提供します。サーバーから提供できるのは、アカウントの作成日と最終アクセス日、公開鍵、通知用の識別子、ブロックリスト、そしてまだ配信されていないメッセージ（暗号化されており、私たちにも読めません）です。その人がサポートを利用していれば、その問い合わせも含まれます。トークの内容、履歴、連絡先、位置情報は保有しておらず、保存していないものを提供することはできません。

安全管理措置

会話がiCloudバックアップに入ることはありません。メッセージを含むデータベース、鍵、添付ファイル、入力途中の内容は、アプリがバックアップ対象外に指定したフォルダに保存され、データベースを開く鍵はこの端末専用としてキーチェーンに保存され、iCloudにはアップロードされません。PingPongの通話は、iCloudで同期される電話アプリの履歴にも残りません。そのため、機種変更をしても会話は引き継がれません。@とパスワードでログインすると、アカウントと連絡先が戻ります。

• メッセージ、添付ファイル、通話に、エンドツーエンド暗号化を採用しています。
• サーバーは自分では開けないものを中継するだけで、ユーザー名と電話番号はハッシュ値としてのみ保存しています。
• 端末上のアプリのデータは暗号化され、アプリのPINとFace IDを設定できます。Face IDはiOSの機能で、アプリが生体情報を受け取ることはありません。
• アカウントパスワードがサーバーに届くことはありません。パスワードは端末上で、サーバーが読めない状態で保管している金庫を開けるためだけに使われ、試行はすべてサーバーが数えます。
• 通信はTLSで保護し、データベースは暗号化されたディスク上でTLSを必須とし、秘密情報はコードの外で管理しています。
• サポートチームのアクセスには、パスワード、確認コード、すべての操作の記録を義務づけています。
• データの種類ごとに期限を定め、1時間ごとに自動で削除しています。

完璧なシステムは存在しません。だからこそ、PingPongはサーバーに置くものが最小限になるよう設計しています。

年齢制限

PingPongは、どの国でも16歳以上の方を対象としており、これはApp Storeでの年齢区分と同じです。お住まいの国の法律が、このようなサービスの利用や、ご自身だけでデータの取扱いに同意するために、より高い年齢を定めている場合は、その年齢が適用されます。あなたについてのデータを増やさないため、生年月日はお尋ねしません。法律で求められる同意なしに子どもや未成年者のアカウントが作られていることが分かった場合は、そのアカウントを削除します。

漏えい等が発生した場合

あなたに重大なリスクや損害をもたらすおそれのあるセキュリティ上の事故が発生した場合は、各法律が定める期限内に、あなたと法律上必要なデータ保護機関に対し、何が起きたか、どのデータが影響を受けたか、どのような対応をとったかをお知らせします。

本ポリシーの変更

アプリが取り扱うデータが変わるときは、本ポリシーも同時に変更し、ページ上部の「最終更新」の日付も更新します。重要な変更（新しいデータ、新しい企業、より長い保存期間）は、ここに掲載した時点から適用し、App Storeのアプリのリリースノートでもお知らせします。

お問い合わせ窓口

PingPong 個人データ管理者：Thomaz Junior メールアドレス：thomaz@xtech.international