1. 対象と運営者

本ポリシーはMuggyTeaが提供するHeldLine: Boundaryと本ウェブサイトに適用します。以下のAIチャット・通知の説明はBoundary 4.0以降を対象とし、利用可能な機能はOSとアプリのバージョンによって異なります。

2. 端末に保存する情報

気持ち・出来事の記録、感情ラベル、記録日時、会話と返信案、振り返り、設定を端末に保存します。開発者が閲覧できる会話履歴の保管サービスはなく、氏名・メールアドレスの登録も不要です。AndroidのAI会話とその感情ツリーは端末の鍵で暗号化して保存します。購入権利とクレジットの管理については第6項をご確認ください。

3. AI利用時に送信する情報と目的

回答・感情の整理・返信案を作るため、入力文章、必要な直近の会話や関連する過去の記録、処理に必要な日付などを、HTTPSでCloudflareを経由してAI提供者へ送信します。OpenAI対応版の送信先はOpenAIです。従来版はAnthropicのClaude APIを使用します。アプリ内の案内では、提供者を「外部のAIサービス」と表示する版があります。提供者は上記のとおりです。初回送信前と、対応版で提供者を変える時に、アプリで同意を確認します。感情や健康に関する内容が入力に含まれる場合、それらも送信対象になります。AIを利用しない手動の記録・閲覧にこの送信は必要ありません。

メールアドレスや電話番号などを自動で伏せる処理を行いますが、氏名・住所を含むすべての個人情報を除去できるものではありません。ご自身と第三者を特定できる情報は入力から省いてください。

4. 送信先での保管

当社の通信処理は会話本文を履歴データベースやアプリケーションログに保存しません。OpenAIへの送信では、回答を後から取得するための保存を無効にしています。ただし、同社の不正利用監視のために入力・出力等が通常最長30日保持される場合があり、法令や安全上の例外があります。処理を高速化する暗号化された一時キャッシュも最長24時間保持される場合があります。APIデータは、同社の標準方針ではモデル学習に使われません。詳細はOpenAIのデータ取り扱いをご確認ください。

従来版が使用するAnthropic APIの入力と出力は、同社の標準方針では30日以内に削除されますが、不正利用の調査や法令等の例外があります。詳細はAnthropicのデータ保持方針をご確認ください。いずれも即時削除やゼロ保持を保証するものではありません。処理は日本国外で行われる場合があります。

アプリ内でAI回答を報告する場合に限り、送信前に確認した文章・理由・アプリのバージョンをCloudflareへ保存します。会話全体は添付しません。報告は改善のために利用し、最長31日で削除します。

5. 通信の保護・利用制限

Cloudflareは配信と不正利用対策のためIPアドレス等の通信情報を処理します。Boundaryの利用制限には、IPアドレスから日ごとに変わる鍵付きハッシュを作成し、利用回数を管理します。従来版では月ごとのハッシュを使用します。このカウンターに会話本文や生のIPアドレスは保存しません。通信基盤が扱う情報にはCloudflareのプライバシーポリシーも適用されます。

サーバーでクレジットを管理する対応版では、Firebase App CheckとApple App AttestまたはGoogle Play Integrityを使い、正規のアプリ・端末からの接続かを確認します。アプリや端末の検証情報と通信情報を各提供者が処理し、当社サーバーは検証結果を確認します。この保護処理は任意の利用状況共有とは別で、会話本文を検証サービスへ送りません。詳細はFirebase App CheckとGoogleのプライバシーポリシーをご確認ください。

6. 決済と広告

購入とサブスクリプションはApple App StoreまたはGoogle Playで処理します。開発者はカード番号を受け取りません。対応版では、残高の保護と購入・更新・返金・復元の照合のため、Cloudflare上のサーバーでクレジットを管理します。氏名・メールアドレスを使わない利用識別子、認証用の照合値、ストアの商品・取引・有効期限、残高、付与・消費・移行の履歴を保存します。再確認に必要な購入証明は暗号化して保存し、AppleまたはGoogleの購入照合サービスで確認します。従来版は主に端末内で残高を管理します。

Androidの復旧コード対応版では、購入残高を引き継ぐため、コードの照合値・発行と使用の状態・接続する端末の利用識別子を保存します。コードそのものはサーバーに保存せず、チャットや記録の復元にも使用しません。

二重送信の防止と費用管理のため、リクエスト識別子、文章を保存せずに同じ送信かを判別する鍵付き照合値、処理結果・時刻・利用量・原価の集計も保存します。残高管理用の記録に会話本文やAI回答は含めません。Boundaryに広告はありません。気持ちの振り返り集計は端末内で行います。

利用状況の共有（任意）

対応バージョンでは、使いやすさの改善と利用の継続状況を把握するため、同意した場合に限りGoogle Analytics for Firebaseを利用します。画面・機能の利用、アプリのバージョン、端末やOSの種類、言語、アプリインスタンス識別子、セッション情報、ストアの購入イベント（商品・価格）、IPアドレスから推定されるおおよその地域などがGoogleへ送られます。IPアドレスそのものをGoogle Analyticsに記録・保存するものではありません。記録・会話・返信の本文、感情ラベル、氏名やメールアドレスは計測イベントに含めません。

共有は初期状態ではオフです。オンボーディングまたは設定で選択でき、設定からいつでも停止できます。停止後の収集は行わず、端末内のAnalyticsデータとアプリインスタンス識別子をリセットします。すでに送信した集計データを遡って削除する操作ではありません。広告ID、広告パーソナライズ、他社のアプリ・サイトを横断する広告トラッキングは利用しません。処理先や権利についてはGoogleのプライバシーポリシーをご確認ください。共有しなくてもアプリの機能・料金は変わりません。

7. ウェブサイト・お問い合わせ

本ウェブサイトの一部ではGoogle Analyticsによるアクセス解析、Google Fontsによるフォント配信を利用しています。アプリの会話本文はウェブサイトのアクセス解析へ送信しません。お問い合わせの際はメールアドレスとご自身が送った内容を、回答のために取り扱います。個別の記録や会話を送る必要はありません。

8. 削除・バックアップ

記録はアプリ内の削除機能で管理できます。アプリを削除すると端末内のアプリデータも削除されますが、OSやご自身が作成したバックアップ、コピー・共有した内容、すでにAI処理へ送信した内容は別に取り扱われます。Android 4.0では端末の暗号鍵を別端末へ移せないため自動バックアップ・端末間転送を無効にしています。端末内データの削除だけではストアのサブスクリプションは解約されません。

端末内の削除操作では、サーバーの残高・購入照合・不正利用対策の記録は削除されません。これらは未使用残高の保護、購入復元、重複付与・不正利用の防止に必要な間保持します。データの取り扱いや削除に関するご相談は、下記の連絡先へお寄せください。法令や取引の保護のため保持が必要な情報は、その理由をご案内します。

9. その他

データを広告目的で販売しません。上記のサービス提供先へ処理を委託します。本アプリは13歳未満を対象としていません。重要な変更はこのページまたはアプリでお知らせします。

1. Scope and operator

This policy covers HeldLine: Boundary, provided by MuggyTea, and this website. AI chat and reminder descriptions below apply to Boundary 4.0 and later; features vary by OS and version.

2. Information on your device

Feelings, events, labels, dates, conversations, reply drafts, reflections and settings are stored on your device. There is no developer-hosted conversation archive, and no name or email registration is required. Android AI conversations and their feeling timelines are encrypted with a key held on the device. Section 6 explains purchase and credit management.

3. Information sent for AI

To generate replies, organize feelings and draft messages, the app sends your input, relevant recent conversation or past records, and contextual dates through Cloudflare to an AI provider using HTTPS. Versions supporting OpenAI send this information to OpenAI; earlier versions use Anthropic’s Claude API. Some app versions refer to the provider as an external AI service; the providers are as described above. The app requests consent before the first transmission and, in supported versions, when the provider changes. Feelings or health information in your text are included. Manual recording and reading do not require this transmission.

We mask some email addresses and phone numbers automatically, but cannot remove all personal information, including names and addresses. Please omit identifying information about yourself and others.

4. Retention by service providers

Our gateway does not save conversation text in its history database or application logs. We disable OpenAI response storage for later retrieval. OpenAI may still retain inputs, outputs and related data in abuse-monitoring logs for up to 30 days, with legal and safety exceptions. Encrypted temporary caches may remain for up to 24 hours. Under its default policy, API data is not used to train models. See OpenAI’s data controls.

Earlier versions use Anthropic’s API, whose standard policy deletes inputs and outputs within 30 days, with exceptions including abuse investigations and legal requirements. See Anthropic’s retention policy. Neither arrangement promises immediate deletion or zero retention. Processing may take place outside your country.

If you explicitly report an AI response in the app, the text you review, your reason and app version are stored on Cloudflare for improvement and deleted within 31 days. The full conversation is not attached.

5. Security and usage limits

Cloudflare processes IP addresses and connection information to operate and protect the service. Boundary’s usage limiter uses a daily keyed hash of the IP address and request counts. Earlier versions use a monthly hash. These counters do not contain conversation text or raw IP addresses. See Cloudflare’s privacy policy.

Versions with server-managed credits use Firebase App Check with Apple App Attest or Google Play Integrity to verify app and device authenticity. These providers process app and device verification and connection information; our server checks the result. This protection is separate from optional usage sharing and does not send conversation text to the verification services. See Firebase App Check and Google’s privacy policy.

6. Payments and advertising

Apple App Store or Google Play processes purchases. We do not receive card numbers. Supported versions manage credits on our Cloudflare server to protect balances and verify purchases, renewals, refunds and restoration. We store a usage identifier that does not require a name or email, authentication verification values, store product and transaction information, validity periods, balances, and grant, spending and migration history. Purchase proofs needed for re-verification are encrypted at rest and checked with Apple or Google. Earlier versions mainly manage balances on the device.

Android versions with recovery codes store a verification hash, issuance and usage status, and the usage identifier of the connected installation to restore access to purchased balances. We do not store the code itself on the server. Recovery codes do not restore chats or journal entries.

To prevent duplicate requests and manage costs, we also store request identifiers, keyed verification values that distinguish repeated submissions without storing their text, processing status, timestamps, usage amounts and cost totals. Credit records do not include conversation text or AI replies. Boundary has no ads. Feeling and journal statistics are calculated on the device.

Optional usage sharing

Supported versions use Google Analytics for Firebase only with your consent, to improve usability and understand continued use. Google receives feature usage, app version, device and OS details, language, an app-instance identifier, session information, store purchase events (product and price), and approximate region derived from IP addresses. Google Analytics does not log or store the IP address itself. Event data excludes journal text, conversations, reply text, feeling labels, names and email addresses.

Sharing is off by default. You can opt in during onboarding or in Settings and turn it off anytime. Turning it off stops future collection and resets local Analytics data and the app-instance identifier; it does not retroactively erase previously sent aggregates. We do not use advertising IDs, ad personalization or cross-app advertising tracking. See Google’s privacy policy for processing and your rights. Sharing does not change app features or pricing.

7. Website and support

Some website pages use Google Analytics and Google Fonts. App conversation text is not sent to website analytics. If you contact us, we use your email address and the information you provide to respond. You do not need to send your journal or conversations.

8. Deletion and backups

Use the app’s deletion controls to manage records. Uninstalling removes local app data, but does not delete OS or personal backups, copies you shared, or content previously sent for AI processing. Android 4.0 disables automatic backup and device transfer because its encryption key cannot be transferred. Deleting local data does not cancel a store subscription.

Local deletion does not remove server-side balance, purchase-verification or abuse-prevention records. We retain these for as long as needed to protect unused credits, restore purchases and prevent duplicate grants or abuse. Contact us below about data handling or deletion. We will explain when legal obligations or transaction protection require us to retain information.

9. Other information

We do not sell data for advertising. We use the service providers described above to deliver features. The app is not intended for children under 13. Material updates will be announced here or in the app.

1. Ámbito y responsable

Esta política se aplica a HeldLine: Boundary, ofrecida por MuggyTea, y a este sitio web. Las descripciones del chat con IA y de los recordatorios se aplican a Boundary 4.0 y versiones posteriores; las funciones varían según el sistema operativo y la versión.

2. Información en tu dispositivo

Los sentimientos, sucesos, etiquetas, fechas, conversaciones, borradores de respuesta, reflexiones y ajustes se guardan en tu dispositivo. No existe un archivo de conversaciones alojado por el desarrollador ni se pide registrar un nombre o un correo electrónico. En Android, las conversaciones con la IA y su línea de sentimientos se cifran con una clave guardada en el dispositivo. La sección 6 explica la gestión de compras y créditos.

3. Información que se envía a la IA

Para generar respuestas, ordenar sentimientos y redactar mensajes, la app envía por HTTPS, a través de Cloudflare, tu texto, la conversación reciente o los registros anteriores relevantes y las fechas de contexto a un proveedor de IA. Las versiones compatibles con OpenAI envían esta información a OpenAI; las versiones anteriores usan la API Claude de Anthropic. Algunas versiones de la app se refieren al proveedor como un servicio de IA externo; los proveedores son los indicados arriba. La app pide tu consentimiento antes del primer envío y, en las versiones compatibles, cuando cambia el proveedor. Si tu texto incluye sentimientos o información de salud, también se envían. Registrar y leer de forma manual no requiere este envío.

Ocultamos automáticamente algunas direcciones de correo electrónico y números de teléfono, pero no podemos eliminar toda la información personal, como nombres y direcciones. Omite los datos que puedan identificarte a ti o a otras personas.

4. Conservación por parte de los proveedores

Nuestra pasarela no guarda el texto de las conversaciones en su base de datos de historial ni en los registros de la aplicación. Desactivamos el almacenamiento de respuestas de OpenAI para su recuperación posterior. Aun así, OpenAI puede conservar entradas, salidas y datos relacionados en registros de supervisión de abusos durante un máximo de 30 días, con excepciones legales y de seguridad. Pueden quedar cachés temporales cifradas durante un máximo de 24 horas. Según su política predeterminada, los datos de la API no se usan para entrenar modelos. Consulta los controles de datos de OpenAI.

Las versiones anteriores usan la API de Anthropic, cuya política estándar elimina las entradas y salidas en un plazo de 30 días, con excepciones como las investigaciones de abusos y las obligaciones legales. Consulta la política de conservación de Anthropic. Ninguno de los dos casos garantiza un borrado inmediato ni la ausencia total de conservación. El tratamiento puede realizarse fuera de tu país.

Si informas expresamente sobre una respuesta de la IA en la app, el texto que revisas, el motivo y la versión de la app se guardan en Cloudflare para mejorar el servicio y se eliminan en un plazo de 31 días. No se adjunta la conversación completa.

5. Seguridad y límites de uso

Cloudflare trata direcciones IP e información de conexión para operar y proteger el servicio. El limitador de uso de Boundary utiliza un hash diario con clave de la dirección IP y recuentos de solicitudes. Las versiones anteriores usan un hash mensual. Estos contadores no contienen texto de conversaciones ni direcciones IP sin procesar. Consulta la política de privacidad de Cloudflare.

Las versiones con créditos gestionados en el servidor usan Firebase App Check con Apple App Attest o Google Play Integrity para verificar la autenticidad de la app y del dispositivo. Estos proveedores tratan la información de verificación de la app y del dispositivo y la información de conexión; nuestro servidor comprueba el resultado. Esta protección es independiente del uso compartido opcional de datos de uso y no envía texto de conversaciones a los servicios de verificación. Consulta Firebase App Check y la política de privacidad de Google.

6. Pagos y publicidad

Las compras las procesa Apple App Store o Google Play. No recibimos números de tarjeta. Las versiones compatibles gestionan los créditos en nuestro servidor de Cloudflare para proteger los saldos y verificar compras, renovaciones, reembolsos y restauraciones. Guardamos un identificador de uso que no requiere nombre ni correo electrónico, valores de verificación de autenticación, información de productos y transacciones de la tienda, periodos de validez, saldos e historial de concesiones, gastos y migraciones. Las pruebas de compra necesarias para volver a verificar se guardan cifradas y se comprueban con Apple o Google. Las versiones anteriores gestionan los saldos principalmente en el dispositivo.

Las versiones de Android con códigos de recuperación guardan un hash de verificación, el estado de emisión y uso, y el identificador de uso de la instalación vinculada para restaurar el acceso a los saldos comprados. No guardamos el código en el servidor. Los códigos de recuperación no restauran chats ni registros del diario.

Para evitar solicitudes duplicadas y controlar los costes, también guardamos identificadores de solicitud, valores de verificación con clave que distinguen envíos repetidos sin guardar su texto, el estado de procesamiento, marcas de tiempo, cantidades de uso y totales de coste. Los registros de créditos no incluyen texto de conversaciones ni respuestas de la IA. Boundary no tiene anuncios. Las estadísticas de sentimientos y del diario se calculan en el dispositivo.

Uso compartido opcional de datos de uso

Las versiones compatibles usan Google Analytics para Firebase solo con tu consentimiento, para mejorar la facilidad de uso y entender el uso continuado. Google recibe el uso de funciones, la versión de la app, detalles del dispositivo y del sistema operativo, el idioma, un identificador de instancia de la app, información de la sesión, eventos de compra en la tienda (producto y precio) y la región aproximada derivada de las direcciones IP. Google Analytics no registra ni guarda la dirección IP en sí. Los datos de eventos excluyen el texto del diario, las conversaciones, el texto de las respuestas, las etiquetas de sentimientos, los nombres y las direcciones de correo electrónico.

El uso compartido está desactivado de forma predeterminada. Puedes activarlo durante la introducción o en Ajustes, y desactivarlo en cualquier momento. Al desactivarlo se detiene la recogida futura y se restablecen los datos locales de Analytics y el identificador de instancia de la app; no se borran de forma retroactiva los datos agregados enviados anteriormente. No usamos identificadores publicitarios, personalización de anuncios ni seguimiento publicitario entre apps. Consulta la política de privacidad de Google sobre el tratamiento y tus derechos. Compartir o no compartir no cambia las funciones ni los precios de la app.

7. Sitio web y soporte

Algunas páginas del sitio web usan Google Analytics y Google Fonts. El texto de las conversaciones de la app no se envía a la analítica del sitio web. Si nos contactas, usamos tu dirección de correo electrónico y la información que nos des para responderte. No necesitas enviarnos tu diario ni tus conversaciones.

8. Eliminación y copias de seguridad

Usa los controles de eliminación de la app para gestionar los registros. Al desinstalar la app se eliminan los datos locales, pero no las copias de seguridad del sistema o personales, las copias que hayas compartido ni el contenido enviado anteriormente para su tratamiento por la IA. En Android, la versión 4.0 desactiva la copia de seguridad automática y la transferencia entre dispositivos porque su clave de cifrado no se puede transferir. Borrar los datos locales no cancela una suscripción de la tienda.

La eliminación local no borra los registros del servidor sobre saldos, verificación de compras y prevención de abusos. Los conservamos el tiempo necesario para proteger los créditos no usados, restaurar compras y evitar concesiones duplicadas o abusos. Escríbenos a la dirección de abajo para cualquier consulta sobre el tratamiento o la eliminación de datos. Te explicaremos cuándo las obligaciones legales o la protección de las transacciones nos exigen conservar información.

9. Otra información

No vendemos datos con fines publicitarios. Usamos los proveedores de servicios descritos arriba para ofrecer las funciones. La app no está dirigida a menores de 13 años. Los cambios importantes se anunciarán aquí o en la app.