短く言うと、アプリにはアカウントが必要で、どの端末でも学習できるよう、単語、回答、進捗はそのアカウントとともに保存されます。AI 機能は必要な部分を Google の Gemini API に送り、発音チェックは短い録音を Microsoft に送り、購入は Apple と RevenueCat を通じて行われます。広告もトラッキングもなく、販売も一切なく、アカウントはアプリ内でいつでも削除できます。
1. 責任者
管理者（GDPR 第4条(7)およびトルコ個人データ保護法第6698号（KVKK）にいう管理者）は Murathan Bakti です。
- メール： contact@wordmi.com
- 設立地： Türkiye
2. アプリが何をするか、何を求めるか
Wordmi AI は語彙アプリです。単語を集め、短いゲームで学習し、AI 講師がそれを手助けします。そのために端末に求める許可は三つだけで、いずれも機能がそれを必要とする時点で求めます。
- マイクと音声認識：スピーキング、シャドーイング、発音の演習のためだけに、マイクのボタンを押している間だけ使います。
- 写真：プロフィール画像を選ぶ場合のみ。アプリが読むのは選んだ1枚の画像だけで、ライブラリのほかのものは読みません。
アプリが位置情報、連絡先、カレンダー、広告識別子を求めることは ありません。プッシュ通知も送りません。
3. 何を、なぜ、どの法的根拠で扱うか
アプリはアカウントで動作します。下の表にあるものはすべて、そのアカウントとともに当方のデータベースに保存され、より短い期間が示されていない限り、アカウントを削除するまで保持されます。
| データ | 目的 | 法的根拠 | 保持期間 |
|---|---|---|---|
| メールアドレス | アカウントの識別と、ログイン・登録確認・パスワード再設定のコードの送信のため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| パスワード（ソルト付きハッシュのみ保存） | 本人確認のため。ログイン時には照合のため当方のサーバー関数を通りますが、平文がどこかに保存されることはありません | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| 電話番号：メールアドレスとパスワードでの登録時は必須。Google でのログインでは求めません | アカウントの復旧のために保存します。コードはこの番号ではなくメールに届きます。この番号に SMS を送ることも、電話をかけることもありません | 正当な利益（GDPR 第6条(1)(f) · KVKK 第5条2項f） | アカウントを削除するまで |
| 表示名とプロフィール画像 | アプリ内での識別のため。表示名はリーダーボードにも出ます。Google でログインした場合、名前と画像は Google から提供されます。画像はご自身で選ぶこともできます | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | 画像を外すか、アカウントを削除するまで |
| プロフィール情報：母語、学習中の言語、レベル、1日の目標、学習の目的、興味のある分野 | 単語、演習、AI の回答をご本人に合わせるため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| 保存した単語：単語、その意味、言語ペア、例文、および出どころ（ディスカバー、単語パック、AI 講師、ご自身の手入力、または拡張機能で保存したときに視聴していた作品） | これが製品そのものです。学習の材料です | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | 単語またはアカウントを削除するまで |
| 間隔反復の状態：反復回数、間隔、易しさ、次回予定日、失敗、回答履歴 | 各単語をいつ再提示するか決めるため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | 単語またはアカウントを削除するまで |
| 演習の記録：ゲームの種類、設問と表示された文、回答、正誤、回答時間、使ったヒント、設問の表示中にアプリを離れたかどうか。スピーキング問題では、音声認識が聞き取ったテキスト とその採点（音声の録音ではありません） | 進捗を採点し、難易度を調整し、AI 講師がつまずいている箇所を把握できるようにするため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| 利用イベント：学習セッションの開始と終了、単語の保存と削除、1日の目標の達成、レベルの変化、単語パックの追加と削除、今日の会話を開いたこと、購読画面を開いたこと、購入または復元の結果。各イベントにはプラットフォームとアプリのバージョンが付きます | AI 講師とレポートがご本人を把握できるようにするため。製品の使われ方と、同期や購入のエラーを確認するため | 正当な利益（GDPR 第6条(1)(f) · KVKK 第5条2項f） | アカウントを削除するまで |
| AI 講師との会話 | どの端末でも、会話を中断したところから続けられるようにするため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | 会話またはアカウントを削除するまで |
| AI がご本人向けに生成したもの：演習セットと進捗レポート。今日の会話の進み具合 | 過去のレポートを開き直し、続きから再開できるようにするため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| プランと利用カウンター：プランの名称と最後に変わった日時。リーダーボードのスコアとレベル。AI の週ごとの利用枠と、発音チェック・音声・会話の1日のカウンター | 支払った内容を利用可能にし、リーダーボードを作成し、AI 機能の利用上限を適用するため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| 確認コードと信頼済み端末の記録：メールに送った6桁のコードのハッシュ、この端末を記憶するトークンのハッシュ、クライアントの種類（ユーザーエージェント）、最終利用時刻 | 当方が認識していない端末からのメールアドレスとパスワードでのログインを、第二の手順で保護するため | 正当な利益（GDPR 第6条(1)(f) · KVKK 第5条2項f） | コードは10分間、端末トークンは30日間有効です。記録そのものはアカウントを削除するまで残ります |
| レート制限のカウンター：メールアドレスごと、アカウント ID ごと、およびリクエスト元の IP アドレス ごとの試行回数 | パスワードの試行とコード送信を総当たりから制限するため | 正当な利益（GDPR 第6条(1)(f) · KVKK 第5条2項f） | 集計の区間は15分から24時間です。1日を過ぎたカウンターは自動的に削除されます |
アプリに 広告も、第三者のアナリティクス SDK も、トラッキングもありません。広告識別子は使わず、他社のアプリやウェブサイトをまたいで追跡することもないため、アプリが Apple のトラッキング許可ダイアログを表示することはありません。上記の利用イベントは当方自身のデータベースにのみ書き込まれます。データを販売せず、広告用のプロファイルも作成しません。
4. 端末に残るもの
オフラインでも動作し、すばやく開けるよう、アプリは単語、復習の予定、まだ送信されていない回答、設定、最近再生した音声のコピーを端末に保持します。ログインのセッションは iOS の Keychain に保存されます。このコピーは、アプリまたはアカウントを削除すると取り除かれます。ログアウトするとセッションは終わりますがコピーは残るため、同じアカウントは続きから再開できます。別のアカウントがその端末でログインした場合は、前のアカウントのコピーが消去されます。
ウィジェット。 Wordmi のウィジェットをホーム画面またはロック画面に追加すると、アプリは単語の一部とその意味・例文を、同じ端末上でウィジェットが読める保存領域に書き込みます。そのためにどこかへ何かが送られることはありません。ロック画面のウィジェットは、画面が見える人なら誰でも見られる点にご注意ください。
5. AI 機能
AI 講師とのチャット、AI Arena の演習セット、進捗レポート、文中での単語の意味、追加の例文、今日の会話、発音チェックの一文のアドバイスは Google の Gemini API が生成します。回答のために送るのは、その回答に必要な部分だけです。対象の単語とその文、演習の回答と利用イベントの要約、プロフィール（表示名、言語、レベル、目標、学習の目的、興味のある分野）、そして入力されたメッセージです。メールアドレスと電話番号は送りません。
この点で Google は当方の処理者として行動します。Gemini API の 有償 条件のもとでは、送信した内容が Google のモデルの学習に使われることはありません。保存された単語は、関連語を探せるように同じ API で数値ベクトル（埋め込み）にも変換されます。
AI の回答は自動的に生成されるもので、誤っていることがあります。学習の手助けであって専門的な助言ではありません。アプリ利用規約 をご覧ください。
6. 音声、マイク、発話
リスニング
単語と文は Google Cloud Text-to-Speech が読み上げます。このサービスに渡るのはテキストと言語だけで、アカウント ID は送りません。生成された音声は、同じ文を二度生成しないよう共有キャッシュに保存されます。キャッシュの記録にアカウント ID は含まれません。今日の会話 は言語・レベル・日ごとに一度だけ書かれて音声化され、その日に開いた全員に同じものが届くため、ご本人に関する情報は一切含まれません。これらのサービスに接続できない場合は、端末自身の音声がテキストを読み上げます。
スピーキングとシャドーイング
これらの演習は、端末に組み込まれた音声認識（iPhone では Apple の音声認識）を使います。アプリはまず許可を求め、ボタンを押している間だけ聞き取ります。ご自身の言語の認識モデルが端末にインストールされていれば認識は端末上で行われ、そうでなければ端末は Apple 自身のプライバシー条件のもとで音声を Apple の音声サービスへ送ります。音声が当方のサーバーに届くことはありません。 当方に届くのは認識されたテキストだけで、演習の記録とともに保存されます。シャドーイングでは、お手本の音声と並べて再生できるよう、録音は端末に保持されます。
発音チェック
発音チェックのボタンを押したとき、そしてそのときだけ、直前に録音した短い音声と読んでいた文が、当方のサーバーを経由して Microsoft Azure Speech へ送られ、各音をどう発音したかが採点されます。その後 Gemini がその採点を一文のアドバイスにまとめます。Gemini に渡るのは採点と文で、音声は渡りません。録音を当方のサーバーに保存することはありません。 Microsoft は採点を返すために当方の処理者としてそれを処理します。1日に行えるチェックの回数には上限があります。
7. 翻訳と単語の情報
単語にまだ意味がなく、当方のサーバーからも提供できない場合、アプリは端末から直接 Google 翻訳 に問い合わせ、それが失敗すると MyMemory（Translated s.r.l.）に問い合わせます。ウィジェットに表示される例文も、同じ方法で翻訳されます。これらのリクエストに含まれるのはテキストと言語ペアだけで、アカウントは含まれません。MyMemory は送信されたテキストを公開の翻訳メモリに保持することがあります。
文中での単語の意味は、単語とその文を当方のサーバーへ送り、そこから Gemini へ送って求めます。結果は、同じ内容を次の人のために再生成せずに済むよう共有キャッシュに保存されます。キャッシュには、単語、文、回答、そして 最初に要求したアカウントの ID が入り、ID は1日の利用上限を数えるために保持します。他の利用者が受け取るのは意味だけで、誰が要求したかは誰にも示されません。
新しい単語を追加すると、当方のサーバーが、公開され自由なライセンスのもとにある情報源（kaikki.org 経由の Wiktionary のデータ、例文には Tatoeba）でその単語を調べることがあります。送るのは単語とその言語だけで、ご本人を特定するものは何も含まれません。
8. 購入
Premium は Apple を通じたアプリ内サブスクリプションとして販売されます。支払いは Apple が処理し、当方がカードや銀行口座の情報を目にすることはありません。 何を購入したかを確認するため、アプリは RevenueCat を使います。RevenueCat が受け取るのは、ユーザー ID としての Wordmi のアカウント ID、Apple が提供する購入とレシートの情報（商品、価格、通貨、ストアの国、購入日と更新日）、端末とアプリのバージョンに関する基本的な技術情報です。サブスクリプションの開始、更新、終了、返金があると RevenueCat が当方のサーバーに知らせ、当方はプランの名称と変更の日時だけを保存します。
9. リーダーボードは他の利用者に公開されます
リーダーボードでは、表示名・語学レベル・ゲームレベル・スコアが、ログイン中の他の Wordmi 利用者に見えます。 メールアドレス、電話番号、保存した単語、チャット履歴がそこに出ることはありません。
アップロードしたプロフィール画像はリーダーボードには表示されませんが、誰でも読み取れるストレージに置かれます。アドレスを知っている人は誰でも開くことができ、そのアドレスにはアカウント ID が含まれます。
練習を励みのあるものにするという正当な利益に基づいて行っています（GDPR 第6条(1)(f)）。GDPR 第21条により異議を述べる権利があります。 contact@wordmi.com までご連絡いただければ、アカウントを他の面で制限することなく掲載から外します。
10. 共有先
データを販売しません。 広告主やデータブローカーへ渡すこともなく、言語を教えること以外の目的に使うこともありません。関わる第三者は製品を動かすための事業者だけで、そのうち個人データを処理する事業者は GDPR 第28条にいう当方の処理者として行動します。
| 受領者 | 目的 | 所在 |
|---|---|---|
| Supabase Inc. | データベース、認証、ファイルの保存（プロフィール画像、音声）、AI 機能の背後にあるサーバー関数 | 米国拠点。データはプロジェクトで設定したリージョンの AWS 基盤上 |
| Google LLC（Gemini API） | 講師、演習セット、レポート、単語の意味、例文、今日の会話、発音のアドバイス、埋め込み | 米国拠点。グローバル基盤 |
| Google LLC（Cloud Text-to-Speech） | 単語と文の読み上げ（テキストと言語のみ） | 米国拠点。グローバル基盤 |
| Google LLC（Google 翻訳） | 端末から要求される代替翻訳（テキストと言語ペアのみ） | 米国拠点。グローバル基盤 |
| Google LLC（Google でログイン） | この方法を選んだ場合のみ。Google が本人確認を行い、名前・メールアドレス・プロフィール画像が Google から提供されます | 米国拠点。グローバル基盤 |
| Microsoft Corporation（Azure Speech） | 発音チェックで送った録音の採点 | 米国拠点。当方が設定したリージョンの Azure 基盤 |
| RevenueCat, Inc. | App Store での購入の記録と確認、および当方のサーバーへの通知 | 米国拠点 |
| Apple Inc. | App Store の支払いとサブスクリプション。端末上で行われない場合の音声認識 | 米国拠点。グローバル基盤 |
| Translated s.r.l.（MyMemory） | Google 翻訳へのリクエストが失敗したときの代替翻訳 | イタリア（EU） |
| 当方のメール事業者 | ログイン、登録確認、パスワード再設定のコードの配信 | 当該事業者自身の基盤に従う |
| 公開の辞書情報源（kaikki.org、Tatoeba） | 新しい単語の意味と例文の検索。送るのは単語だけで、個人データは届きません | さまざま |
Apple と Google は、ご本人がそのサービス（App Store、Apple ID、Google でログイン）を直接使う場合にも、それぞれ自身の条件のもとでデータを処理します。それ以外では、法的に強制される場合（裁判所の命令や明示的な法令上の要求）に限って開示します。
11. 国際移転
これらの事業者は世界規模で運営しているため、データは Türkiye 域外・EEA 域外（米国を含む）で処理されることがあります。米国拠点の処理者への移転は、GDPR 第46条(2)(c)にいう欧州委員会の 標準契約条項 に基づき、各事業者のデータ処理条件に組み込まれています。KVKK 上は、他の根拠が適用されない場合、国外移転は第9条に基づく明示的な同意に依拠します。
12. アカウントの削除
アカウントはアプリ内でいつでも削除できます：プロフィール → アカウントを削除。 アカウントは直ちに、かつ完全に削除され、当方のサーバー上でそれに紐づくデータ（単語、復習履歴、演習の記録、利用イベント、会話、レポート、プロフィール情報、プロフィール画像、電話番号、メールアドレス）も一緒に削除されます。バックアップのコピーは独自のサイクルで 30日以内に 入れ替わります。端末上のコピーも同時に消去されます。contact@wordmi.com までご連絡いただき、削除を依頼することもできます。
ご本人だけのものではない記録や、法律が求める記録は残ります。他の利用者にも使われる共有の AI キャッシュと、Apple と RevenueCat がそれぞれの保持ルールと税務上の義務に従って保管する購入記録です。
13. 権利
GDPR（第15〜22条）および KVKK（第11条）により、当方が保持する内容を知り、その写しを受け取り、訂正させ、消去させ、取扱いを制限しまたは異議を述べ、ポータビリティを求め、いつでも同意を撤回する権利があります。撤回は、それ以前に適法であったことに影響しません。トルコ法はこれに加えて、データが国内外のどの第三者に移転されたかを知る権利と、違法な取扱いによって生じた損害の賠償を求める権利を定めています。
プロフィールの訂正と、単語・会話・アカウント全体の削除は、アプリ内でご自身で行えます。それ以外（データの写しを含む）は contact@wordmi.com までご連絡ください。30日以内に回答し（KVKK：30日、GDPR：1か月、複雑な請求では2か月延長可）、無償で対応します。請求がアカウント保有者からのものであることを確認する情報をお願いすることがあります。
14. 監督機関への申立て
扱いに問題があったとお考えの場合は、まず当方へお知らせください。直せるほうがよいと考えています。トルコの Kişisel Verileri Koruma Kurumu（KVKK）、または EEA にお住まいなら居住地・勤務地の監督機関へ申し立てることもできます。
15. 保護の方法
通信は HTTPS を通ります。パスワードは認証事業者がソルト付きハッシュとしてのみ保存し、スマートフォン上のログインのセッションは iOS の Keychain に保存されます。すべてのテーブルに 行レベルセキュリティ があり、アカウントは自分の行しか読めません。ログインとコード送信は総当たり対策としてレート制限され、当方が認識していない端末でメールアドレスとパスワードでログインするには、メールに送るコードが必要です。事業者の API キーは当方のサーバーに留まり、アプリに組み込まれることはありません。
完全に安全なシステムはありません。侵害が権利を危うくするおそれがある場合、GDPR 第33条および KVKK 第12条5項の求めるとおり72時間以内に監督機関へ通知し、GDPR 第34条が求める場合はご本人に直接お知らせします。
16. 子ども
アプリは13歳未満の子ども向けではなく、そのデータを知りながら集めることはありません。子どもがアカウントを作成したとお考えの場合は contact@wordmi.com までご連絡ください。削除します。
17. 自動化された決定
AI 機能は演習、提案、解説を生成し、復習アルゴリズムは単語を再提示する時期を決めます。いずれもご本人に法的効果や同様に重大な影響を生じないため、GDPR 第22条にいう自動化された意思決定には当たりません。
18. 変更
何を集めるか、誰が受け取るかに関わる形で本ポリシーが変わる場合、上部の日付を更新し、変更の発効前にアカウント保有者へアプリ内またはメールでお知らせします。
19. 連絡先
データ保護に関するご質問、開示請求、削除請求は contact@wordmi.com まで。