セキュリティポリシー

転送中の暗号化

アプリと Supabase、AI サーバー関数、Google の広告サービスとの間の通信は、HTTPS/TLS を使用します。アプリは暗号化されていない HTTP 通信を許可しません。

保存時の暗号化

Supabase はデータベースのストレージを暗号化します。ゲームのセーブデータは、お客様の端末上にあるアプリの非公開ストレージに保存されたままです。

アクセス制御

Supabase のすべてのテーブルで Row Level Security（RLS）が有効になっているため、公開キーは規則で許可された操作のみ行えます。たとえば、アナリティクスイベントの追加や共有コンテンツの読み取りなどです。サービスロールキーがアプリに組み込まれることはありません。

秘密情報の管理

OpenAI API キーは Supabase Edge Function のサーバー側の秘密情報であり、アプリには組み込まれていません。

不正利用の防止

AI 関数は、クライアントごとのリクエスト数を制限し、現在のメッセージと直近のメッセージ最大6件のみを転送します。

最小権限の原則

管理者権限は2名の開発者に限定されています。Supabase、Google Play Console、AdMob、OpenAI は2段階認証を使用しています。

依存関係とリリース

当社は SDK やライブラリを定期的に更新し、各リリースの前にセキュリティ勧告を確認します。アプリは Play App Signing で署名されています。

AI アシスタントの保護措置

• 初めて利用する前に、プレイヤーにメッセージが OpenAI に送信されることを伝え、個人情報を共有しないよう注意を促します。
• プレイヤーは、チャット画面から不適切または有害な AI の回答を報告できます。
• 会話は当社のデータベースに保存されず、当社のサーバーログにはメッセージのテキストが保存されません。また、当社は会話を当社独自のモデルの学習に使用しません。

個人データの侵害

個人データの侵害を発見した場合、当社は被害を封じ込め、リスクを評価し、必要な場合は72時間以内にデータ保護当局へ通知します。影響を受けるプレイヤーにとってリスクが高い場合は、不当な遅滞なく本人にも通知します（GDPR 第33条～第34条）。当社は、インシデントの内部記録を保管します。

セキュリティ問題の報告

セキュリティの問題を発見した場合は、詳細を contact@arojentarinat.com までお送りください。公表する前に、当社が問題を修正するための合理的な期間をお与えください。報告は5営業日以内に受領を確認し、誠実に行われた調査に対して法的措置を取ることはありません。