プライバシーポリシー

最終更新：2026年8月23日

本サービス「DM注文」の運営者は濱村拓巳（個人。開業届は未提出のため、屋号や法人名ではなく 個人名で運営しています。以下「当社」）です。本ポリシーの施行日は2026年9月1日です。 お問い合わせは support@dm-order.app までご連絡ください。

住所については、上記の連絡先までお問い合わせいただければ、遅滞なくお答えします。

本ポリシーは、DM注文が実際に行っている個人情報の取扱いを説明するものです。まだ実装していない 機能については、その旨を明記し、実装していないことを現在形では記載しません。

1. 取得する情報

店舗オーナー（アプリ利用者）について、次の情報を取得します。

• アカウント情報：メールアドレス、ログイン方法（メール／Google）
• 店舗情報：店名、Instagramユーザー名、振込先案内文、送料等の設定

買い手（お客様）について、店舗オーナーがDM等の内容をもとに入力する、またはInstagram連携 （3章）により自動で読み取る次の情報を取得します。

• 氏名、Instagramアカウント名、メールアドレス、電話番号
• お届け先住所、配達希望
• 注文内容（商品名・数量・金額）、支払い方法
• 店舗オーナーが記録する社内メモ（買い手には非公開）
• Instagram連携をしている店舗については、受信したDMの本文そのもの（読み取り前の原文）。 読み取り結果が正しいかを店舗オーナーが本文と見比べて確認・修正できるように、一時的に 保存します（6章）

このほか、次の情報を取得します。

• プッシュ通知用の端末トークン：将来のプッシュ通知に備えて登録する仕組みがありますが、 通知の送信機能自体はまだ実装していません
• アプリの利用状況（分析情報）：氏名・住所・電話番号・DM本文などは含みません（7章）
• 先行案内（ウェイトリスト）登録情報：本サービスの紹介サイトから登録する方について、 メールアドレス・Instagramユーザー名・流入経路（utm）

2. 利用目的

注文の受付・管理・発送、DM等の文章から注文内容を読み取る機能の提供、買い手向け注文追跡ページの 提供、サポート、品質改善、先行案内の登録管理・ご案内のために利用します。

3. 外部サービスへの提供・連携

• Google Cloud Vertex AI（Gemini 2.5 Flash・東京リージョン）：注文を自動で読み取る機能を使うと、DMの文章またはスクリーンショット画像を送信して解析します。 店舗オーナーがDMの文章を貼り付けたりスクリーンショットをアップロードして読み取らせた場合、 送信した内容はデータベースには保存されません。一方、Instagram連携により自動で受信した DMを読み取る場合は、読み取り前のDM本文がデータベースに保存されます（1章・6章）。 いずれの場合も、送信した内容はAIの学習には使用されません。
• Supabase（東京リージョン）：アカウント・店舗・買い手・注文などのデータを保存します。データベース基盤（Supabase）側の 機能により、保存データは暗号化された状態で保管されます。
• Google Cloud Run（東京リージョン）：本サービスのサーバー・APIを稼働させています。
• Apple：現時点では、プッシュ通知の送信、App内課金による決済のいずれも行っていません（未実装）。

Instagram / Meta：店舗オーナーがInstagramのプロフェッショナルアカウント（ビジネス／クリエイター）を連携すると、 以後そのアカウント宛に届いたDMは、Meta（Instagram）からの通知（Webhook）により自動的に受信します。受信時にMetaからの正当な通知であることを検証したうえで、 DMの本文をGeminiに送って注文候補を自動で作成し、店舗オーナーの確認画面に表示します。 自動で返信する機能、既読をつける機能は実装していません。DMの内容はこの自動受信のほか、 店舗オーナーがDMの文章をコピー＆ペーストするか、スクリーンショットをアップロードする方法でも システムに入力できます。

店舗オーナーがアプリ側でInstagram連携を解除した場合、またはInstagram側の設定で連携を 取り消した場合は、連携情報を無効化します。Metaからのデータ削除の要求（Data Deletion Request）を受けた場合は、Instagram連携に関する情報（アクセストークン等）を削除します。 この削除は連携情報のみが対象で、既に登録された注文・買い手情報までは削除されません （アカウントごと削除する方法は6章）。

上記の委託先を除き、法令に基づく場合を除いて、取得した個人情報を第三者に提供することは ありません。

なお、上記のうちSupabase, Inc.およびGoogleはいずれも外国法人です。データの保存・処理は 東京リージョンで行われますが、運営会社が外国法人であることから、個人情報保護法上「外国に ある第三者への提供」に該当するかどうかの整理については、現在専門家に確認しています。

4. 買い手の個人情報の取扱いについて

お届け先住所・電話番号などは、店舗オーナーが発送等の目的で扱う個人情報です。当社は、店舗 オーナーからの委託を受けてこれを保存・処理する立場（処理者）です。取扱いにあたっては、通信の 暗号化（TLS）、データベース基盤側での保存データの暗号化、店舗ごとのアクセス制御（7章）を 行っています。

5. 買い手向け注文追跡ページについて

注文ごとに、推測が困難なランダムな文字列（トークン）を含むURLを発行しています。このURLを 知っている人は誰でも、ログインなしでその注文の状況（店舗名・注文番号・状態・注文内容・金額・ 配送業者・追跡番号）を閲覧できます。お届け先住所・電話番号・買い手氏名・店舗オーナーの社内 メモは表示されません。このURLを第三者と共有すると、その第三者も同じ内容を閲覧できてしまう ため、URLの取り扱いにはご注意ください。

6. 保存期間・削除

店舗オーナーがアカウントを削除すると、その店舗情報・商品・買い手情報・注文（明細を含む）・ メッセージテンプレート・配送方法設定・プッシュ通知用の端末トークンなど、紐づくデータは データベースからすべて消去されます。アプリからこれらを元に戻すことはできません。 法令上必要な範囲で一部保持する場合があります。

なお、障害からの復旧に備えてデータベースのバックアップを保持しています。削除したデータは、 バックアップの保持期間が過ぎるまでバックアップ内に残ります（バックアップは特定の時点の まとまりとして保存されるため、その中から特定のデータだけを取り出して消すことはできません）。 バックアップは復旧の目的にのみ使用します。

Instagram連携により自動で受信したDMから作成した注文候補（読み取り前のDM本文を含みます）は、 店舗オーナーが注文として確定した時点で削除されます。確定されなかった候補についても、 一定期間（現時点では作成から30日を目安としています）が経過したものは削除します。この日数は 今後の専門家への確認結果を踏まえて見直す場合があります。

上記のほか、一定期間が経過すると自動的にデータを削除する仕組みはありません。削除をご請求 いただかない限り、データは保存され続けます。

買い手ご自身がログインしてデータを削除する手段は現時点ではありません。買い手ご本人の情報の 削除・訂正等をご希望の場合は、注文をした店舗（店舗オーナー）、または下記のお問い合わせ窓口 までご連絡ください。

先行案内（ウェイトリスト）の登録情報の削除をご希望の場合は support@dm-order.app までご連絡ください。

7. 安全管理措置

お届け先住所などの個人情報を取り扱うため、次の安全管理措置を講じています。

• 通信の暗号化（TLS）
• データベース基盤（Supabase）側の機能による、保存データの暗号化（インフラ・ディスクレベル）
• 店舗ごとのアクセス制御（Row Level Security）。ログインした店舗は、自店舗のデータのみ参照・ 変更できます
• アプリの利用状況を把握するための分析ログには、氏名・住所・電話番号などの個人情報を含めません

8. 開示・訂正・利用停止等のご請求、苦情・お問い合わせ

ご本人からの、保有する個人情報の開示・訂正・追加・削除・利用停止等のご請求、本ポリシーに 関する苦情、その他お問い合わせは support@dm-order.app までご連絡ください。 ご本人確認のうえ、法令に従って対応します。買い手の方は、注文をした店舗を通じてご請求 いただくこともできます。

9. 本ポリシーの改定

本ポリシーは必要に応じて改定します。重要な変更は本サイト等でお知らせします。Instagram連携 機能や有料提供の開始など、実装状況に変化があった場合は、その内容にあわせて本ページを更新します。