プライバシーポリシー（草案）

1. Google認証・アカウント

Googleのopenid・profileで本人を確認します。Googleの安定したsubject IDとGamishio内部の投稿者IDを紐付け、表示名を保存します。初回に受け取る名前は表示名の候補として利用します。emailスコープを要求せず、メールアドレス・プロフィール画像は認証用DBに保存していません。Googleのパスワードを取得しません。IDトークン、アクセストークン、リフレッシュトークンを永続保存しません。

既存方式では復元コードのハッシュ、認証セッションのハッシュ・期限を保存します。OAuthのstate、nonce、PKCE検証情報は短命な認証処理に使用します。退会の本人確認では認証時刻を検証し、操作目的とセッションに結び付いた短命な権限のハッシュを保存します。認証情報を投稿ゲームへ渡しません。

2. 作品・反応・利用情報

作品ファイル、タイトル、説明、カテゴリ、画面比率、開始方式、公開範囲、サムネイル、審査状態、投稿者ID・日時を保存します。いいね、アカウント保存、コメント、ブロック、通報と運営対応も機能提供・安全な運営のために保存します。

プレイ数の概算には匿名CookieのID・ゲームID・日付を使います。詳細な訪問経路や検索語を分析用DBへ保存する仕組みは実装していません。Cookieの削除・別端末・ボットによる重複は防ぎきれません。アプリがIPアドレスを独自の分析DBへ保存する実装はありませんが、配信事業者にはHTTP通信に伴うIPアドレスや端末情報が渡ります。事業者側のログの保存条件は確認が必要です。

3. Cookieと端末内保存

• gf_visitor：匿名の反応・通報・ブロック等に用いるID。Cookieの設定期間は1年。
• gf_creator_session：認証セッション。HttpOnly・SameSite、HTTPSではSecureを設定。最大30日。
• OAuthのブラウザー照合：最大10分。Googleの管理者テスト用権限：最大30分か設定期限まで。
• ゲーム配信側のプレビュー権限：最大5分。別オリジンのHttpOnly・Secure・Partitioned Cookie等で保護します。
• 退会・復旧の本人確認権限：最大10分。HttpOnlyでゲームから利用できません。

localStorageに音設定、端末内の作品保存、旧下書きHTML、作品ごとの進行度、開始・再挑戦・表示・滞在等の端末内記録を保存します。セーブSDKの端末内データは本体ページが作品・検証範囲・ブラウザーごとに仲介して保存し、Googleアカウント別には分かれません。共有端末では同じブラウザーを使う人に見られる可能性があります。プライベートモードやブラウザーデータ削除で失われることがあります。これらがすべてクラウド同期されるわけではありません。アカウント保存への旧データ取り込みは本人の明示操作で行います。端末内データはブラウザー設定等から削除できます。

上記は有効期限であり、期限到来と同時に物理削除が完了することを保証しません。期限切れOAuth・セッション・一時プレビューの掃除は後続処理等でも行われます。正式公開前に定期的な整理を整備します。

4. コメント・通報・権利申告

公開可能な作品のコメントは未ログインの人も読めます。コメントはテキストで表示し、本人削除と管理者の非公開・削除に対応します。作品が非公開・停止・退会中であれば外部に表示しません。

権利申告フォームの本番受付は現在無効です。メールでの相談はsupport@gamishio.comへご連絡ください。有効化した際は氏名・返信先メール、作品URL、権利の種類、確認資料、侵害理由を受け付け、本人・権限の確認と対応連絡に利用します。連絡先の専用項目は管理者だけが閲覧できます。申告本文・権利の説明と確認資料は、対応のため投稿者へ提示します。申告者の氏名や連絡先を本文に書くと、その本文も提示対象となります。

申告・異議・運営通知は独立した権利対応記録として保存します。通常のアカウント削除と同時に無条件で削除する実装ではありません。法的な保持の必要性、対象、期間、終了時の消去を運営者が確認する必要があり、現時点で法定保存期間を断定しません。

5. 外部サービスと隔離

Gamishio本体はChatGPT Sites、ゲーム配信・ストレージ・DBはCloudflare Workers・R2・D1を使用します。Googleはログインに使用します。これらの事業者が配信・認証に必要な通信情報を扱います。問い合わせメールはCloudflare Email Routingで運営のGmailへ転送して受信します。メールに記載された連絡先・相談内容を対応に利用します。保存期間と終了時の消去手順は正式公開前に確定します。広告SDK、決済、LLMによる作品生成機能は導入していません。Data API・セーブ・ランキングSDKは一般提供していません。許可済みのGoogleテストユーザーと指定作品だけで限定検証し、テスト中のオンライン保存には既存のD1を使用します。クラウドセーブには内部アカウントID、作品ID、作品ごとの識別子、開発者が決めたJSONデータ、更新日時等を保存します。非公開データは本人だけが読み書きし、公開スコア等は同じ許可済み作品・検証範囲の利用者が読み取れます。ゲーム側へGoogleのsubject IDやメールアドレスは渡しません。プレビュー・限定テスト・公開用のデータ領域は区別します。データ内容に連絡先や機微情報を入れないでください。

投稿作品はsandbox等で隔離し、不要な外部通信を制限します。公開されたHTMLや画像には投稿者が含めた内容が配信されるため、投稿ファイルに秘密情報や個人情報を入れないでください。

6. 保存・退会・削除

退会申請後はアカウントの操作とプロフィール・作品の公開を止め、30日間は本人確認後に復旧できます。期限後の処理は認証の紐付け・セッション・作品ファイル・サムネイル・アカウントに紐づく保存や反応を削除し、作品・投稿者・コメントを削除済みの最小限の記録へ置き換える設計です。SDKのユーザーデータとアカウント別利用制限カウンター、作品のプレビュー権限も削除対象です。削除作品のコメント・保存・スコア・セーブは他の利用者の分も作品とともに削除されます。他作品にある他人のデータには適用しません。匿名Cookieはブラウザーの識別子であり、退会者と同じ端末を使う別人の履歴まで削除しないよう、アカウントとの関連を推測して他作品の匿名記録を削除しません。端末内保存や第三者が取得済みのコピーを遠隔消去する仕組みではありません。管理者の停止は復旧でも解除しません。

現在、実削除と定期実行は本番無効です。削除処理の監視は実行状態・件数・固定のエラー分類を最大48回分のリング記録に保存し、トークン・復元コード・例外全文を保存しません。独立した読み取り専用監視タスクの登録と、削除Cronの定期到着は区別します。削除の監視・再試行、権利対応記録や基盤バックアップの保存条件、匿名記録の扱いを確定してから一般公開します。猶予中は復旧のために保持し、期限後は再試行可能な段階処理を予定しています。現段階で申告記録・匿名利用記録・削除済みの最小記録・基盤バックアップの一律な消去期限は確定しておらず、無期限保存への同意を求める趣旨ではありません。必要な目的・対象・責任者・見直し期限を決定し、運用を検証するまで草案として扱います。IDを残す処理を、法律上の匿名加工情報が完成したことと同じ意味では用いていません。

7. 本人からの請求・変更

アカウント画面で表示名を変更し、退会・復旧を申請できます。開示・訂正・利用停止・消去等の請求や一般問い合わせの窓口はsupport@gamishio.comです。本人確認を行い、適用法と必要な保持理由を確認して対応する方針です。重要な変更は正式な通知方法を定めて案内します。

確認資料：個人情報保護委員会・通則編ガイドライン、Google OpenID Connectの公式仕様。完全な法令適合の保証ではありません。