1. 対象と運営者

本ポリシーはMuggyTeaが提供するHeldLine: Boundaryと本ウェブサイトに適用します。以下のAIチャット・通知の説明はBoundary 4.0以降を対象とし、利用可能な機能はOSとアプリのバージョンによって異なります。

2. 端末に保存する情報

気持ち・出来事の記録、感情ラベル、記録日時、会話と返信案、振り返り、設定、購入権利とクレジットの利用履歴を端末に保存します。開発者が閲覧できる会話履歴の保管サービスやアカウント登録はありません。AndroidのAI会話とその感情ツリーは端末の鍵で暗号化して保存します。

3. AI利用時に送信する情報と目的

回答・感情の整理・返信案を作るため、入力文章、必要な直近の会話や関連する過去の記録、処理に必要な日付などを、HTTPSでCloudflareの通信サービスを経由してAnthropicのClaude APIへ送信します。感情や健康に関する内容が入力に含まれている場合、それらも送信対象になります。4.0以降では初回送信前に説明と同意を表示します。AIを利用しない手動の記録・閲覧にこの送信は必要ありません。

メールアドレスや電話番号などを自動で伏せる処理を行いますが、氏名・住所を含むすべての個人情報を除去できるものではありません。ご自身と第三者を特定できる情報は入力から省いてください。

4. 送信先での保管

当社の通信処理は会話本文を履歴データベースやアプリケーションログに保存しません。Anthropic APIの入力と出力は、同社の標準方針では30日以内に削除されますが、不正利用の調査や法令等の例外があります。即時削除やゼロ保持を保証するものではありません。詳細はAnthropicのデータ保持方針をご確認ください。処理は日本国外で行われる場合があります。

アプリ内でAI回答を報告する場合に限り、送信前に確認した文章・理由・アプリのバージョンをCloudflareへ保存します。会話全体は添付しません。報告は改善のために利用し、最長31日で削除します。

5. 通信の保護・利用制限

Cloudflareは配信と不正利用対策のためIPアドレス等の通信情報を処理します。Boundaryの利用制限用にはIPアドレスを月ごとに変わる鍵付きハッシュへ変換した識別値と回数を保存します。このカウンターに会話本文や生のIPアドレスは保存しません。日別の回数は数日、月別の集計は月単位で期限管理し、約3か月以内に削除します。通信基盤が扱う情報にはCloudflareのプライバシーポリシーも適用されます。

6. 決済と広告

購入とサブスクリプションはApple App StoreまたはGoogle Playで処理します。開発者はカード番号を受け取りません。アプリはストアから購入権利を取得し、残高を管理します。Boundaryに広告はありません。記録の振り返り集計は端末内で行います。

利用状況の共有（任意）

対応バージョンでは、使いやすさの改善と利用の継続状況を把握するため、同意した場合に限りGoogle Analytics for Firebaseを利用します。画面・機能の利用、アプリのバージョン、端末やOSの種類、言語、アプリインスタンス識別子、セッション情報、ストアの購入イベント（商品・価格）、IPアドレスから推定されるおおよその地域などがGoogleへ送られます。IPアドレスそのものをGoogle Analyticsに記録・保存するものではありません。記録・会話・返信の本文、感情ラベル、氏名やメールアドレスは計測イベントに含めません。

共有は初期状態ではオフです。オンボーディングまたは設定で選択でき、設定からいつでも停止できます。停止後の収集は行わず、端末内のAnalyticsデータとアプリインスタンス識別子をリセットします。すでに送信した集計データを遡って削除する操作ではありません。広告ID、広告パーソナライズ、他社のアプリ・サイトを横断する広告トラッキングは利用しません。処理先や権利についてはGoogleのプライバシーポリシーをご確認ください。共有しなくてもアプリの機能・料金は変わりません。

7. ウェブサイト・お問い合わせ

本ウェブサイトの一部ではGoogle Analyticsによるアクセス解析、Google Fontsによるフォント配信を利用しています。アプリの会話本文はウェブサイトのアクセス解析へ送信しません。お問い合わせの際はメールアドレスとご自身が送った内容を、回答のために取り扱います。個別の記録や会話を送る必要はありません。

8. 削除・バックアップ

記録はアプリ内の削除機能で管理できます。アプリを削除すると端末内のアプリデータも削除されますが、OSやご自身が作成したバックアップ、コピー・共有した内容、すでにAI処理へ送信した内容は別に取り扱われます。Android 4.0では端末の暗号鍵を別端末へ移せないため自動バックアップ・端末間転送を無効にしています。端末内データの削除だけではストアのサブスクリプションは解約されません。

9. その他

データを広告目的で販売しません。上記のサービス提供先へ処理を委託します。本アプリは13歳未満を対象としていません。重要な変更はこのページまたはアプリでお知らせします。

1. Scope and operator

This policy covers HeldLine: Boundary, provided by MuggyTea, and this website. AI chat and reminder descriptions below apply to Boundary 4.0 and later; features vary by OS and version.

2. Information on your device

We store feelings, events, labels, dates, conversations, reply drafts, reflections, settings, purchase entitlements and credit history on your device. There is no developer-hosted conversation archive or account registration. Android AI conversations and their feeling timelines are encrypted with a key held on the device.

3. Information sent for AI

To generate replies, organize feelings and draft messages, the app sends your input, relevant recent conversation or past records, and contextual dates through Cloudflare to Anthropic’s Claude API using HTTPS. Feelings or health information in your text are included. Version 4.0 and later explain this and request consent before the first transmission. Manual recording and reading do not require this transmission.

We mask some email addresses and phone numbers automatically, but cannot remove all personal information, including names and addresses. Please omit identifying information about yourself and others.

4. Retention by service providers

Our gateway does not save conversation text in its history database or application logs. Anthropic’s standard API policy deletes inputs and outputs within 30 days, with exceptions including abuse investigations and legal requirements. We do not promise immediate deletion or zero retention. See Anthropic’s retention policy. Processing may take place outside your country.

If you explicitly report an AI response in the app, the text you review, your reason and app version are stored on Cloudflare for improvement and deleted within 31 days. The full conversation is not attached.

5. Security and usage limits

Cloudflare processes IP addresses and connection information to operate and protect the service. Boundary’s usage limiter stores a monthly keyed hash of the IP address and request counts, without conversation text or raw IP addresses. Daily counters expire within a few days; monthly totals are expired by calendar month within about three months. See Cloudflare’s privacy policy.

6. Payments and advertising

Apple App Store or Google Play processes purchases. We do not receive card numbers. The app uses store entitlements to manage credits. Boundary has no ads. Journal statistics are calculated on the device.

Optional usage sharing

Supported versions use Google Analytics for Firebase only with your consent, to improve usability and understand continued use. Google receives feature usage, app version, device and OS details, language, an app-instance identifier, session information, store purchase events (product and price), and approximate region derived from IP addresses. Google Analytics does not log or store the IP address itself. Event data excludes journal text, conversations, reply text, feeling labels, names and email addresses.

Sharing is off by default. You can opt in during onboarding or in Settings and turn it off anytime. Turning it off stops future collection and resets local Analytics data and the app-instance identifier; it does not retroactively erase previously sent aggregates. We do not use advertising IDs, ad personalization or cross-app advertising tracking. See Google’s privacy policy for processing and your rights. Sharing does not change app features or pricing.

7. Website and support

Some website pages use Google Analytics and Google Fonts. App conversation text is not sent to website analytics. If you contact us, we use your email address and the information you provide to respond. You do not need to send your journal or conversations.

8. Deletion and backups

Use the app’s deletion controls to manage records. Uninstalling removes local app data, but does not delete OS or personal backups, copies you shared, or content previously sent for AI processing. Android 4.0 disables automatic backup and device transfer because its encryption key cannot be transferred. Deleting local data does not cancel a store subscription.

9. Other information

We do not sell data for advertising. We use the service providers described above to deliver features. The app is not intended for children under 13. Material updates will be announced here or in the app.