プライバシーポリシー

TITU アプリおよび titu.app サイトを通じて収集されるデータの管理者は、次のとおりです。

KAWLET、entreprise unipersonnelle à responsabilité limitée（フランス法に基づく一人会社）。本店所在地は 15 Square Rameau, 59000 Lille (France)、Lille Métropole 商業・会社登記簿における登録番号 993 159 250（以下「TITU」または「当社」）。

データ保護に関するご質問、または権利の行使に関するご連絡先： yo@titu.app

本店所在地宛に郵送でご連絡いただくこともできます。

KAWLET は、GDPR 第37条の意味におけるデータ保護責任者を選任する義務を負いません。ご請求は当社の経営陣が直接処理します。

管轄する監督機関： 情報処理と自由に関する国家委員会（CNIL）、3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr。欧州連合の他の加盟国に居住されている場合は、居住国の監督機関に申し立てることもできます。

本ポリシーは、次のものに適用されます。

• TITU モバイルアプリ（iOS および Android）。メンバー向けのプロダクトです。
• titu.app サイト。公開ページ、招待の導線 /j/{code}、およびコートとクラブのディレクトリを含みます。

本ポリシーは、規則（EU）2016/679（GDPR）および1978年1月6日法律第78-17号（改正後。いわゆる「情報処理と自由に関する法律」）に従って作成されています。

最低年齢：16歳。 TITU は16歳未満の方を対象としておらず、当社がその方々のデータを意図的に収集することはありません。アカウントの作成は、16歳以上であることを前提とします。親権者の方で、16歳未満の未成年者がアカウントを作成したことに気づかれた場合は、連絡先アドレス宛にご一報ください。当該アカウントは削除されます。

本ポリシーが対象とするデータ主体は2種類です。

1. TITU アカウントを作成したメンバー。
2. メンバーによってデータを入力された第三者 — セッションに招かれた「+1」、または電話番号によって確保された枠。第6項は、これらの方々に特に充てられています。

以下の約束は意向表明ではありません。本サービスがどのように作られているかによって検証できるものです。

• 当社はいかなるデータも販売しません。 誰に対しても、いかなる形でも販売しません。
• 行動ターゲティング広告は一切なく、広告目的のプロファイリングも、データブローカーも、広告ネットワークもありません。
• GDPR 第22条の意味における自動化された決定は一切ありません。
• 端末に設置される第三者のアクセス解析トラッカーは一切ありません。Google Analytics も、ピクセルも、広告 SDK も、セッション記録もありません。
• アプリは、連絡先にも、写真ライブラリにも、カメラにも、マイクにもアクセスを求めません。 これらへのアクセスを可能にするライブラリは、アプリに一切組み込まれていません。通知以外に求められる任意の許可は位置情報のみで、それもコートの地図を現在地に合わせるためだけに使われます。この位置情報は送信も保存もされません。
• 識別子は最小限に。 当社はメールアドレスを一切収集しません。認証は電話番号によって行われ、パスワードも、ソーシャルログインもありません。TITU のいかなるアプリケーションテーブルにも、IP アドレスやユーザーエージェントは含まれません。
• 機微なロジックはサーバー上にあります。 データを守る規則（誰が何を見られるか、誰が何を書き込めるか）は、アプリではなくデータベース自身によって適用されます。端末からこれを回避することはできません。

本項は本ポリシーの背骨です。各処理を個別に、GDPR 第6条の意味においてそれを正当化する法的根拠とともに記載します。

すべての処理に共通する技術的な受領者（ホスティング事業者、処理者）は第12項に詳述します。以下の「Supabase」への言及は、欧州連合内に所在する当社のデータベースホスティング事業者を指します。

4.1 — アカウントの作成と認証

• データ： 電話番号、表示される名前またはニックネーム、プロフィール写真（任意）、アカウントの言語、作成日。
• 技術上の補足： 電話番号は認証サービスに保存され（auth.users）、プロフィールのアプリケーションテーブルには保存されません。TITU のいかなる業務テーブルにも電話番号は含まれません。
• 目的： アカウントを作成し、SMS で受け取るワンタイムコード（OTP）でログインし、チームメイトから識別されるようにすること。
• 法的根拠： 契約の履行（第6条1項(b)）— アカウントがなければサービスは成り立ちません。
• 保存期間： アカウントが存続する間。削除時に消去または匿名化されます（第16項）。
• 受領者： Supabase（ホスティングおよび認証サービス）、ワンタイムコードの送達のために認証サービス側で設定された SMS 送信事業者（Twilio）。名前と写真は、カードの公開範囲の設定に応じて、所属グループのメンバーに表示されます。

4.2 — セッション、待機列および出欠

• データ： 枠の取得、確認、欠席の申告、待機列における順位、繰り上げ、メンバー確定時に割り当てられたチーム、無断欠席（「no-show」）、セッションのイベント履歴。
• 目的： グループの仕組み、すなわち予約枠、能動的な確認、早い者勝ちの待機列、キックオフ前のメンバー確定を機能させること。
• 法的根拠： 契約の履行（第6条1項(b)）。
• 保存期間： アカウントが存続する間。削除時には、今後の試合の行は消去され、枠はグループに返還されます。すでに行われた試合の行は、匿名化された形で保持されます（第16項）。
• 受領者： 所属グループの活動中メンバー、Supabase。

4.3 — スコア、順位表および MVP

• データ： 試合のスコア、得点、アシスト、オウンゴール、投票（MVP、ベストプレー、戦犯）、算出されたグループの順位表。
• 目的： グループのスコア、順位表および表彰を管理すること。
• 法的根拠： 契約の履行（第6条1項(b)）。
• 保存期間： アカウントが存続する間。その後は匿名化された形で保持されます。試合の結果は、そのときピッチにいた他のプレイヤーのものでもあるからです。
• 受領者： 所属グループの活動中メンバー、Supabase。
• 特別な保証 — 相互性のロック： 他人の投票が見えるのは、自分自身が投票した場合に限られます。この規則はアプリによって適用されるのではなく、データベースの行レベルのセキュリティポリシーに書き込まれています（ポリシー votes_select_reciprocal、関数 has_voted）。したがって、改造したクライアントから発行された問い合わせでも、これを回避することはできません。

4.4 — サッカープロフィール、道具およびフォロー中のクラブ

• データ： ポジション、利き足、自己申告のレベル、現在のクラブ、チーム名、足のサイズ、好きなブランド、自由記入の経歴と実績、登録した用具（カテゴリー、サイズ、状態、メモ、任意の写真）、フォロー中のクラブ、グループ内に投稿したコメントとリアクション。
• 目的： プレイヤーカードを充実させ、グループの活動を盛り上げること。これらの情報はすべて任意です。
• 法的根拠： 契約の履行（第6条1項(b)）— これらの機能は、利用者が当社に提供を求めているサービスの一部です。
• 保存期間： 利用者が変更または削除するまで。アカウントの削除時に消去されます。
• 受領者： 公開範囲の設定によって許可された方々、Supabase。

4.5 — プレイヤーカードの公開範囲

• データ： 2つの設定 — カードの公開範囲（vestiaire：本人と所属グループの活動中メンバー、members：ログイン中のすべての TITU アカウント）と、公式戦の成績を表示するかどうか。
• 目的： 誰が何を見られるかを利用者自身が決められるようにすること。
• 法的根拠： 契約の履行（第6条1項(b)）、および公式戦の成績の表示については同意（第6条1項(a)）。既定では無効です。
• 既定の設定： 公開範囲は vestiaire、公式戦の成績は非表示。「TITU の外を含め全員に見える」という段階は存在しません。本サービスは、その値の書き込みを拒否します。
• 保存期間： アカウントが存続する間。

4.6 — 「+1」：第三者のデータ

この処理については第6項で扱いますので、そちらをご参照ください。

• データ： +1の名前、任意の電話番号、招いたメンバーの識別情報。
• 法的根拠： 正当な利益（第6条1項(f)）。

4.7 — 確保された枠（当然スタメン）

• データ： グループの運営者が入力した電話番号、任意の参考用の名前、招待を行った者の識別情報。
• 目的： グループの創設者が、中核メンバーのプレイヤーがまだアカウントを持たない段階で枠を確保し、登録時にそれを本人へ引き渡せるようにすること。
• 法的根拠： 正当な利益（第6条1項(f)）— すでに互いを知り、一緒にプレーしているプレイヤーのグループを構成すること。
• 保存期間：自動的な最小化。 引き取られなかった確保枠は、メンバー確定の時点でサーバーによって削除されます（既定ではキックオフの2時間前）。したがって、一度も登録しなかった第三者の番号が試合より長く残ることはありません。引き取られた枠は、それを作成した者がアカウントを削除した時点で消えます。
• 受領者： グループのメンバー（確保枠が見えます）、Supabase。

4.8 — 地理的な参加可否（「近所で参加できる」）

• データ： 利用者自身が地図上に置く地点（GPS の現在地ではありません）、1〜30 km の半径、有効化のフラグ、および最後に呼びかけを受けた日付。
• 目的： 近くのグループが人数を補うためにプレイヤーを探しているときに知らせを受けること。
• 法的根拠： 同意（第6条1項(a)）。この機能は既定では無効であり、プロフィール内の明示的なスイッチによって有効になります。理由を述べることなくいつでも無効にでき、撤回は将来に向かって効力を生じます。
• 制限： 検索は、すでにグループに関係する方々を常に除外します。同一のプレイヤーが呼びかけを受けるのは20時間につき1回までです。1回の呼びかけが届くのは最大30人で、近い順です。これらの上限はサーバーによって適用されます。
• 保存期間： 無効化またはアカウントの削除まで。アカウントの削除時にその行は消去され、一時停止の際にはフラグが停止に設定されます。
• 受領者： 利用者の地点を受け取る第三者はいません。呼びかけを行うグループには、丸めた距離しか見えません。

4.9 — 公式戦の公開結果における名義の申し出

この処理については第7項で扱いますので、そちらをご参照ください。

• 法的根拠： 同意（第6条1項(a)）。タイムスタンプとバージョンが付されます。

4.10 — プッシュ通知

第8項に詳述します。

• データ： 端末の通知トークン、プラットフォーム（iOS / Android）、トークンの言語、送信待ちの通知のキュー。
• 法的根拠： 通知の内容は厳密に機能的なものであるため、契約の履行（第6条1項(b)）。システム上の許可は、端末の設定からいつでも撤回できます。

4.11 — 利用状況の計測

第9項に詳述します。

• 法的根拠： 正当な利益（第6条1項(f)）— トラッカーもプロファイリングもなしに、プロダクトが機能しているかを把握すること。

4.12 — 試合の天気

• データ： コートの座標とキックオフの時刻。利用者に関するデータは一切送信されません。
• 目的： グループの履歴に、試合当時の天気を表示すること。
• 法的根拠： 契約の履行（第6条1項(b)）。
• 受領者： Open-Meteo。鍵もアカウントもなしに照会される欧州のサービスです。同サービスが受け取るのは地点と日付のみであり、プレイヤーの識別子を受け取ることはありません。
• 保存期間： 天気は試合とともに一度記録され、グループの履歴とともに保持されます。

4.13 — コートとクラブのディレクトリ、およびパートナーのオファーへのクリック

第10項に詳述します。

• 法的根拠： 正当な利益（第6条1項(f)）。この処理は、閲覧者の側についてはいかなる個人データも対象としません。

4.14 — セキュリティ、不正の防止および技術ログ

• データ： アカウントごとの、24時間のスライディングウィンドウにおける名義検索および申し出の回数（検索30回、申し出5回）、申し出の請求の記録、認証サービスが保持する認証ログ（セッションの IP アドレスとユーザーエージェントを含みます）。
• 目的： 不正、とりわけ第三者の身元を暴く手段としての名義検索の悪用を防ぐこと、およびアカウントの安全を確保すること。
• 法的根拠： 正当な利益（第6条1項(f)）— 本サービスの安全を保証し、データが露見しうる方々を保護すること。
• 保存期間： カウンターは24時間のウィンドウが変わるたびにゼロに戻ります。これらの記録は、認証ログを含め、アカウントの削除時に消去されます。認証ログは、アカウント識別子と電話番号の双方によって消去されます。
• 受領者： Supabase、およびセキュリティ上の目的で当社自身。

4.15 — アカウントのライフサイクルに関する決定の追跡可能性

• データ： 一時停止、再開および削除を記録する追記専用のログ。日付、イベントの種類、およびカウンター（返還された枠の数、取り消された+1の数、切り離された端末の数）を含みます。このログはアカウントの技術的な識別子を保持しますが、削除後は識別につながる属性を一切保持しません。
• 目的： 削除の請求が確かに実行されたことを証明できるようにし、障害を診断すること。
• 法的根拠： 正当な利益（第6条1項(f)）および法的義務（第6条1項(c)、GDPR 第5条2項：アカウンタビリティ）。
• 保存期間： 識別につながらない形で、期限を定めずに保持されます。このログは anon にもログイン中のアカウントにもアクセスできません。サービスロールのみがアクセスできます。

4.16 — ご請求への対応

• データ： メッセージの内容、および本人を識別するために必要な要素。
• 目的： 権利行使のご請求およびサポートのご請求に対応すること。
• 法的根拠： 権利行使のご請求については法的義務（第6条1項(c)）、サポートについては正当な利益（第6条1項(f)）。
• 保存期間： 請求への対応を証明する目的で、最後のやり取りから3年間。

以下の約束は、社内の指示ではなくデータベースの構造によって守られています。これらは、開発上の良い慣行にも、戻し忘れうる設定にも依存しません。これらが禁じるデータには、書き込む場所そのものが存在しないからです。

5.1 — 競技データに人は含まれない。 協会の公開データ（クラブ、コート、大会、チーム、参加登録、日程、結果、順位）を受け入れるテーブルには、人の氏名、電話番号、メールアドレス、生年月日、審判、氏名入りのメンバー表を受け取れるカラムが一切ありません。そこで「名称」と呼ばれるカラムは、もっぱらクラブ、チーム、コート、大会または節を指します。これら56のテーブルは、さらに完全に閉じられています。行レベルのセキュリティがポリシーなしで有効化されており、匿名ロールおよび認証済みロールにはいかなる権限も付与されていません。公開の問い合わせがこれらを読むことはできません。

5.2 — プロフィール写真は公開されない。 プロフィール写真の保存領域は非公開です。本サービスは公開の画像アドレスを返すことはなく、単なるパスを返すのみです。表示は、アクセス規則が許可する場合、すなわち本人または共有するグループの活動中メンバーに対してのみ発行される、短時間（5分）有効な署名付きリンクを介して行われます。改造したクライアントが、顔を見る権利を自分に与えることはできません。

5.3 — 「+1」は構造上、順位表の対象外である。 招待者は、メンバー表のテーブルとは別の専用テーブルに記録されます。順位表、結果および個人成績は、もっぱらメンバー表のテーブルから算出されます。したがって+1が順位表に現れることはありません。それはフィルターで除外しているからではなく、そもそもそこに存在しないからです。

5.4 — 申し出のない名義には、書き込む場所がない。 公式戦の名義を受け入れるテーブルでは、アカウントの識別子が主キーです。TITU アカウントを持たず、本人であると確認もしていない人物の記録をそこに保存することは、構造上不可能です。

5.5 — Google Places のコンテンツは当社のデータに入らない。 当社がこのサービスから保持するのは不透明な識別子のみであり、それも、その制約上、場所の紐づけ以外の目的も、他の提供者も受け付けない別個のテーブルに保持されます。Places のコンテンツ（名称、レビュー、写真、説明）が、当社のコートのページにも、いかなる自動的な文章生成処理にも入ることはありません。

5.6 — アプリケーションデータに IP アドレスはない。 TITU のいかなる業務テーブルにも、IP アドレスやユーザーエージェントのカラムはありません。これらの情報は、アカウントの安全のために認証サービスのログにのみ存在し、アカウントの削除時に消去されます。

これは本サービスで最もデリケートな点であり、当社はこれを余すところなく説明します。

何が起きるか。 セッションの人数が足りないとき、メンバーは「+1」、すなわち TITU アカウントを持たない友人を登録することができます。その際、メンバーはその人の名前と、任意でその電話番号を入力します。これらは、当社と契約したことのない人物のデータであり、その人は入力の時点で、自分の名前がメンバー表に載っていることを知らないかもしれません。

法的根拠：正当な利益（GDPR 第6条1項(f)）。追求される利益は、すでに互いを知っている者どうしの試合の運営です。招いたメンバーは、一緒にプレーすることをすでに約束した友人を誘っているのです。対象となるデータは最小限（名前と、場合により番号）であり、処理は短期間で、プロファイリングも、営業活動も、第三者への提供も伴いません。当社は利益衡量を行い、+1の私生活への影響は必要最小限にとどまると判断しています。

データ主体への情報提供。 +1を登録するにあたり、招いたメンバーは、TITU のセッションに登録することをその人に知らせてあること、およびその番号を伝えることについて同意を得ていることを約束します。+1として登録されており、それを望まない場合には、2つの道があります。登録したメンバーに取り消してもらうか、連絡先アドレス宛に直接ご連絡いただくことです。当社が消去を行います。

行うこと、そして行わないこと：

• +1は決して順位表に入りません。 +1は専用テーブルに記録されます（第5.3項を参照）。個人成績にも、統計にも、グループの順位表にも現れることはありません。これは表示上の選択ではなく、データの構造です。
• 番号はただ1つのことにしか使われません。登録時の照合です。 その人が後日、同じ番号で TITU アカウントを作成した場合、本サービスは一致を認識し、+1の記録をそのアカウントに結び付けます。その人は、実際にプレーした試合の記録を取り戻します。番号がメッセージ、招待またはリマインドの送信に使われることは決してありません。
• 番号は正規化され（数字のみが保持されます）、同じ番号を同じセッションに二重に登録することはできません。
• サーバーによる制限。 +1を追加できるのは、枠が実際に空いており、待機列が空であり（待っている人を追い越してはなりません）、かつグループが定めた上限の範囲内である場合に限られます。これらの規則はアプリではなくデータベースによって適用されます。
• +1の無断欠席は、その人ではなく招いたメンバーの責めに帰されます。

保存期間。 +1の名前はグループのメンバー表に記載され、そこに残ります。それが他のプレイヤーの共通の履歴の一部だからです。一方、電話番号は次の場合に消去されます。招いたメンバーがアカウントを削除したとき。+1がアカウントを作成して正式なメンバーになったとき。または、当社の連絡先アドレス宛のご請求があったとき。透明性のために申し添えると、招いたメンバーが+1をセッションから外しても、その行は取消済みとして記録されるだけで、それだけでは番号は削除されません。消去のご請求を当社宛にいただく必要があり、当社はこれに対応します。

コミュニティの呼びかけ。 プレイヤーがコミュニティの呼びかけ（第4.8項）からセッションに参加した場合、その人は同じ専用テーブルに、出自の表示とともに記録されます。その人はグループのメンバーではなく、グループの順位表にも入りません。

TITU では、希望される場合、公式戦の公開結果の中から見つけ出されたプレイヤーの成績を、ご自身のアカウントに結び付けることができます。

⚠️ 誤解の余地のない、極めて重要な補足： いかなる協会も当社にデータを提供しておらず、当社はいかなる協会ともデータ提供の提携関係を持っていません。当社が読み取るのは、ご請求をいただいた時点における、公に公表された競技結果のみです。これに反する印象を与えるいかなる表現も、正確ではありません。

法的根拠：本人の同意（GDPR 第6条1項(a)）。処理の前に取得され、タイムスタンプとバージョンが付されます。同意の文言にはバージョン番号（現時点では 2026-07-30.1）が付され、確認とともに記録されます。基準となるのはサーバーです。表示のあとに文言が変わっていた場合、申し出は拒否され、最新版について改めて同意を与える必要があります。この機能は完全に任意です。何もしないことも、まったく正当な答えです。

どのように機能するか、その順序：

1. 請求に応じてのみ。事前に行うことは決してありません。 利用者ご自身がクラブを申告するまで、何も読み取られません。プレイヤーの記録をあらかじめ作っておくことも、申し出を待つ名義のデータベースを持つことも、一切ありません。
2. 検索は何も保存しません。 公開されたメンバー表は、その瞬間に、いかなるデータベースにも書き込まない専用の関数によって読み取られます。その唯一の状態は5分間の上限付きメモリキャッシュであり、プロセスとともに消えます。ファイルも、行も、あなた以外の人々の痕跡も残りません。
3. 提示される候補は匿名化されています。 第三者の氏名がそのまま表示されることは決してありません。表示されるのは、名前と姓のイニシャル（「Luca A.」）、情報源が公表している場合の生年、およびスポーツ上の要素（チーム、大会、シーズン、試合数、得点、背番号）のみです。実際の協会側の識別子が平文で出ることはありません。
4. 候補へのリンクは暗号化され、短命で、個人に紐づいています。 提示される各候補には、実際の識別子、利用者のアカウント識別子、および10分の有効期限を含む暗号化されたトークンが付されます。他人に提示されたトークンは拒否され、期限切れのトークンも拒否されます。申し出ができるのは、自分に提示されたものについて、かつ10分以内に限られます。
5. 保存されるのは利用者本人の記録だけです。 確認の後、保存されるのは本人の記録のみです。他の候補には、構造上、書き込む場所がありません。名義を受け入れるテーブルでは、アカウントの識別子が主キーだからです（第5.4項）。
6. 1つの名義に1つのアカウント。 同一の公式戦の名義を複数の TITU アカウントに結び付けることはできません。

確認後に保持されるデータ： 情報源が公表しているとおりの姓名、大会の識別子、クラブとチーム、情報源のアドレス、同意のバージョン、申し出の日付。ならびにシーズンごとの成績（大会、カテゴリー、チーム、背番号、試合数、得点、カード、初戦と最終戦の日付）。

生年月日： 本人であることを確認した人についてのみ保持されます。他の候補については、年は表示の時間だけ存在し、記録されることはありません。情報源が年しか公表していない場合、当社が記録するのも年のみです。1月1日を勝手に作り出すことはしません。 カードに表示されるのは年のみであり、完全な日付が表示されることはありません。本ポリシーの日付の時点では、現在接続されているいずれの情報源も、生年月日も生年も公表していません。したがって、生年に関するデータは実際には一切収集されていません。

表示： 公式戦の成績は既定では非表示です。カードに表示するには、利用者が明示的に有効化する2つ目の設定が必要です（第4.5項）。

対応範囲： この機能は、公開情報源が対応している国についてのみ利用できます。対応する情報源がない国の場合、本サービスはそのことをお伝えし、何も読み取りません。

いつでも撤回できます。 プロフィール内のボタンで名義の紐づけを解除できます。撤回により、名義の記録と公式戦の成績のすべてが直ちに消去されます。保管も、複製も、ゴミ箱もありません。 申し出の内部ログでは、人を指し示す識別子がゼロに戻され、イベントの痕跡（いつ、どの協会について、どのクラブについて申し出があったか）だけが、氏名なしで残ります。

異議。 あるアカウントがご自身の名義に結び付いたと考えられる場合は、連絡先アドレス宛にご連絡ください。当社は、その名義に異議あり（表示から直ちに外れます）の印を付け、その後に紐づけを解除することができます。

悪用の防止。 1つのアカウントにつき、24時間あたり検索30回、申し出5回に制限されています。この制限は、意図的にある悪用の可能性を封じています。申し出と取消を繰り返して、毎回氏名を表示させるという手口です。

当社が保持するもの： 端末ごとの通知トークン、プラットフォーム（iOS または Android）、およびトークンの言語。広告識別子も、ハードウェア識別子もありません。

許可を求める時点。 アプリの初回起動時に求めることは決してありません。求めるのは、グループを作成または参加したあと、すなわち通知がようやく意味を持つ時点です。拒否しても、本サービスの他の部分には影響しません。

通知の内容は当社のサーバー上で組み立てられ、内部のキューをもとに、宛先の端末の言語で作成されます。通知には、グループ名、コート名、試合の日付、および場合によりプレイヤーの名前（たとえば枠が確保されたとき、またはプレイヤーがセッションに参加したとき）が含まれることがあります。

受領者： 組み立てられたメッセージと端末のトークンは、送達のために Google（Firebase Cloud Messaging）に、iOS では Apple（APNs）に送信されます。これはモバイル通知の標準的な送達の仕組みであり、これらのサービスを経由せずにプッシュ通知を届ける手段は存在しません。

保存期間： トークンは、アプリがインストールされ、アカウントが有効である間、保持されます。アカウントを一時停止または削除した場合は直ちに消去され、送達サービスから無効になったと通知された場合には自動的に取り除かれます。

撤回： 許可は、OS の設定からいつでも取り消すことができます。TITU の設定画面には、許可の現在の状態と、元に戻すための道筋が表示されます。

当社は、プロダクトが機能しているかを把握するために、欧州連合リージョンの PostHog を利用しています。

当社が行っていること：

• 当社のコードによって明示的に発火する、名前付きのイベントのみ。 操作の自動取得は一切なく、セッション記録（いわゆる「session replay」）も、ヒートマップも、入力の追跡もありません。
• イベントの一覧は短く、閉じています。アプリ内：group_created、group_joined、place_taken、slot_confirmed、absence_declared、score_submitted、motm_voted、guest_added、community_opened、community_joined、card_shared、push_permission。サイト上：web_join_viewed、web_otp_sent、web_otp_verified、web_group_joined、web_lang_switch、web_confirm、web_declare_absence、web_undo_absence、web_pass_offer、web_take_place、web_submit_score。
• 各イベントには、最小限の技術的な属性、すなわち対象となるオブジェクト（セッション、グループ）の識別子、プラットフォームおよび環境が付随します。利用者が入力した内容が送信されることはありません。
• ログイン後、イベントはアカウントの技術的な識別子（UUID）に結び付けられます。ログイン前は、識別子 anon で送信されます。
• アクセス解析クッキーも、端末上の保存も、広告識別子もありません。 送信は単純な HTTP リクエストであり、当社は PostHog の開発キットを組み込んでいません。したがってこの処理は、フランス情報処理・情報ファイル・自由に関する法律第82条の意味において、端末への情報の記録もアクセスも伴わず、その名目で事前の同意を取得する必要はありません。
• あらゆるネットワーク通信と同様、PostHog のサーバーは呼び出し元の IP アドレスを認識します。当社の側でこれを記録することはなく、他のいかなる処理とも突合しません。

法的根拠： 正当な利益（第6条1項(f)）。この処理には、連絡先アドレス宛にご連絡いただくことで、いつでも異議を申し立てることができます。

保存期間： 当社は、これらのイベントを25か月を超えて保持しないことをお約束します。

設定用の鍵がない場合、計測は完全に無効です。 コードは何も送信しません。

titu.app サイトは、公開データ（公開されたオープンデータ、公的登録簿、協会が公表する情報）をもとに構築された、サッカーコートとクラブのディレクトリを公開しています。これらのページには個人データが一切含まれません。これらが記述するのは、場所、施設、クラブおよび大会です。役員、氏名入りの連絡先および氏名入りのメンバー表は、構造上そこから除外されています（第5.1項）。

閲覧。 ディレクトリの閲覧に、アカウントも追跡クッキーも必要ありません。当社のいかなるテーブルも、閲覧者の IP アドレスを保持しません。

パートナーの予約オファーへのクリック。 予約オファーをクリックすると、カウンターを1つ増やす技術的なリダイレクトを経由します。このカウンターが含むのは、正確に次のものだけです。オファーの識別子、当日の日付、クリック元の画面（コートのページ、街のページ、地図）、クリック数、およびその日の最初と最後のクリックのタイムスタンプ。IP アドレスも、クッキーも、アカウントも、プレイヤーの識別子も、ブラウザのフィンガープリントもありません。 したがって、このカウンターから誰がクリックしたかを知ることはできません。

さらにこのリダイレクトは、パートナーのサイトにリファラーを一切送信しないよう設定されており、外部リンクには nofollow sponsored noopener noreferrer の属性が付されています。したがってパートナーは、利用者が TITU のどのページから来たのかを知りません。

地図上の位置。 コートの地図にある「近くを表示」ボタンは、端末の位置情報を表示を中央に合わせるためだけに使用します。この位置がサーバーに送信されることも、記録されることもありません。これは、第4.8項に記載した地理的な参加可否の地点とは別のものです。後者は利用者自身が置くものであり、同意に基づいて記録されます。

TITU は、広告クッキーもアクセス解析クッキーも一切設置しません。したがって同意バナーもありません。同意すべきものが何もないからです。

ブラウザに置かれるのは、サイトの動作に厳密に必要であり、フランス情報処理・情報ファイル・自由に関する法律第82条により同意が免除される要素のみです。

モバイルアプリでは、これに相当する設定は端末上にローカルに保持され、アンインストールとともに消えます。

利用者のデータが販売、貸与または譲渡されることは決してありません。データにアクセスできるのは、必要な範囲に厳密に限って権限を与えられた KAWLET の担当者、および以下に列挙する技術的な処理者です。各社は当社の指示に基づいて行動し、GDPR 第28条に適合する委託契約に拘束されます。

欧州連合域外への移転。 データの中核（アカウント、グループ、セッション、スコア、カード）は欧州連合内でホスティングされています。アメリカ合衆国への移転は、技術的に避けられないもの、すなわちサイトのページの配信、SMS の送達、およびプッシュ通知の送達に限られます。これらは GDPR 第5章が定める仕組み（十分性認定、標準契約条項）によって保護されています。

その他ありうる受領者： 第4項に記載した範囲における所属グループの他のメンバー、および必要な場合には、正規の要請に基づく司法当局または行政当局。

この点についての透明性： 上記に期間が明示されている場合を除き、アカウントに紐づくデータはアカウントが存在する限り保持されます。当社は経過年数による自動的な削除を行っていません。それらの行方を決めるのは、第15項および第16項に記載する一時停止と削除です。

GDPR 第32条に従い、当社は次の措置を実施しています。

• アプリとサイトのすべての通信について、TLS による通信の暗号化。
• ホスティング事業者による保存データの暗号化。
• データベースの行レベルのセキュリティ。 機微な各テーブルには、データベースエンジンが評価するアクセス規則が付されています。クライアントは、どのような問い合わせを発行しても、規則が許す行しか読み取れません。投票の相互性のロック（第4.3項）とプロフィール写真の非公開性（第5.2項）を支えているのは、この仕組みです。
• 機微な操作はすべてトランザクションであり、サーバー側で実行されます。 枠を取ること、欠席を申告すること、確認すること、名義を申し出ること、アカウントを削除すること。クライアントは呼び出すだけで、決めることはありません。
• 時間による遷移（待機列の開放、メンバー確定、オファーの失効）は、端末ではなくサーバー上の定期タスクによって起動されます。端末の時刻を変更しても効果はありません。
• 競技データの隔離：アクセス規則なしで行レベルのセキュリティを有効化し、公開ロールにはいかなる権限も付与していません。
• 機微な関数におけるレート制限、および名義の申し出に関する監査ログ。
• 写真の保存領域は非公開で、5分間有効な署名付きリンクによってアクセスします。

利用者の権利および自由に対するリスクを生じさせうるデータ侵害が発生した場合、当社は72時間以内に CNIL に通知し（GDPR 第33条）、リスクが高い場合には利用者に直接お知らせします（第34条）。

一時停止は、履歴を壊さずに自分を流れから外す、元に戻せる操作です。設定 › 危険ゾーン › 一時停止から実行します。

直ちに起きること：

1. 今後の枠がグループに返還されます — 今後のセッションへのエントリーが解放され、次の控えが呼ばれます。これは、利用者がホストであった「+1」や、コミュニティの呼びかけから参加したセッションについても同様です。
2. 地理的な参加可否が停止されます（復元できるよう、行自体は保持されます）。
3. 通知トークンが削除されます。以後、何も届きません。
4. 利用者宛の未送信の通知が削除されます。
5. プレイヤーカードが他の人から閲覧できなくなります。

保たれるもの： 名前、写真、言語、グループへの所属、試合の履歴、順位表、サッカープロフィール、道具、コメント、および申し出た公式戦の名義がある場合はその名義。

一時停止中にできなくなること： 枠を取ることも確認することも、グループに参加することも、「+1」を追加することも、投票することも、コメントすることも、リアクションすることも、地理的な参加可否を変更することもできません。いずれの試みも、データベース自身によって、明確なメッセージとともに拒否されます。

復帰は、同じ画面からワンアクションで行えます。地理的な参加可否は、一時停止の前に有効だった場合にのみ再開されます。一方、返還された枠は戻りません。誰かが代わりにプレーしたかもしれず、当社は誰からも枠を奪わないからです。

1つの留保： 他にメンバーがいるグループの最後の運営者であるプレイヤーは、鍵を引き継ぐまで一時停止できません。これは権利の妨げではありません。引継ぎはロッカールームの画面から2つの操作で完了します。

削除は、設定 › 危険ゾーン › アカウントを削除から、明示的な確認とともに実行します。削除は即時、確定的で、ゴミ箱もありません。猶予期間も、バックアップも、復元の可能性もありません。削除されたアカウントを再有効化することはできません。

凍結の前に、枠が返還されます。 これが最初の操作であり、アカウントが押さえうるあらゆる形態の枠を対象とします。今後のセッションへのエントリー、利用者がホストであった「+1」、コミュニティの呼びかけから参加したセッション、そして利用者が作成した確保枠および利用者に宛てられた確保枠です。このうち1つでも忘れれば幽霊の枠が残ります。10人だと思っているグループが9人で試合をすることになるのです。これは表示上の細部ではありません。それは、当社が損なうことになる他人のデータです。

複製も保管もなく、消去されるもの：

• 電話番号。認証ログの中のものも含みます。このログはアカウントと技術的なリンクで結ばれておらず、アカウントの削除だけでは届きません。そのため、識別子と番号の双方によって明示的に消去されます。
• プロフィール写真：参照は直ちに消去され、ファイルは5分ごとに実行される自動タスクによって保存領域から削除されます。
• 言語、サッカープロフィール、道具、フォロー中のクラブ。
• コメントおよびリアクション。
• 地理的な参加可否の地点とその半径。
• 端末のトークンと通知のキュー。利用者の名前を挙げていた他人宛の通知も含みます。
• 利用者の名前を平文で含んでいたセッションのイベントログ（「誰それが枠を取った」）。同じ文言の中にあった、利用者が連れてきた「+1」の名前も同様です。
• 公式戦の名義と成績のすべて、および利用者に関する申し出のログ。
• 利用者が作成した確保枠、および利用者の番号を含んでいた確保枠。
• 利用者が連れてきた「+1」の電話番号。
• 認証上の身元情報ならびにすべてのセッションおよびトークン。

匿名化して保持されるもの：

プロフィールは、識別につながる属性を一切持たない抜け殻になります。表示名は意味を持たない技術的な仮名（#a3f91c のような形式）に置き換えられ、写真と言語はゼロに戻されます。

それ以降、利用者を指していた行は、裸の識別子しか指さなくなり、したがって一度の操作で匿名化されます。

• すでに行われた試合のメンバー表。
• それらの試合の得点、アシストおよび成績。
• 利用者が投じた投票と、利用者が受けた投票。
• 利用者が連れてきた「+1」が載っていたメンバー表 — その名前は残ります。それは利用者のデータではないからです。それは、自分たちの履歴を保つ権利を持つグループのメンバー表に載った第三者のデータです。

なぜすべてを消さないのか。 試合のスコアは利用者だけのデータではないからです。それは、そのときピッチにいた他の9人のものでもあります。行を消すことは、その人たちの履歴、順位表および成績を損ないます。そこで当社は、グループの共通の記憶を壊すのではなく、利用者への結び付きを破壊します。それによってこれらの行は規則の適用範囲から外れます。

一時停止と同じ留保： 他にメンバーがいるグループの最後の運営者であるプレイヤーは、まず鍵を引き継がなければなりません。引継ぎはロッカールームの画面から2つの操作で完了します。もしこれを実行できない場合は、当社宛にご連絡ください。当社が削除を行います。

透明性のための2点：

1. 技術的な代替経路として、認証の行が同じ操作の中で削除できない場合、アカウントはあらゆる消去の試みの前に利用停止されます。消去に失敗しても、ログインは不可能になります。この順序こそが保証であり、残余の削除はその後、当社の手で完了させます。
2. アカウントの削除はモバイルアプリでのみ利用できます。アプリにアクセスできなくなった場合は、連絡先アドレス宛にご連絡ください。当社が削除を実行します。

利用者は、自らの個人データについて次の権利を有します。

• アクセス権（第15条）— 当社が利用者のデータを処理していることの確認を得て、その写しを取得すること。
• 訂正権（第16条）— 不正確または不完全なデータを訂正すること。ほとんどの情報はアプリ内で直接変更できます。
• 消去権（第17条）— データの削除を求めること。アカウントの削除（第16項）によって直接行使でき、ご請求によっても行使できます。
• 処理の制限を求める権利（第18条）。
• 異議申立権（第21条）— 当社の正当な利益に基づく処理、とりわけ利用状況の計測に異議を申し立てること。
• 可搬性の権利（第20条）— 当社に提供したデータを、構造化され機械可読な形式で受け取ること。
• 同意をいつでも撤回する権利。同意に基づく処理について、与えたときと同じ容易さで撤回できます。対象は、地理的な参加可否（プロフィール内のスイッチ）、名義の申し出（プロフィール内の解除ボタン）、公式戦の成績の表示、およびプッシュ通知（OS の設定）です。撤回は、それ以前に行われた処理の適法性に影響しません。
• 死後のデータの扱いに関する指示を定める権利（フランス情報処理・情報ファイル・自由に関する法律第85条）。

アプリ内で、いますぐ自分だけでできること： プロフィール、プレイヤーカード、道具および公開範囲の設定を閲覧し変更すること。地理的な参加可否を有効または無効にすること。公式戦の名義の紐づけを解除し、関連する成績を消去すること。アカウントを一時停止すること。何が消去され何が匿名化されるかの説明とともに、アカウントを削除すること。

⚠️ 正直に申し上げて、アプリでまだできないこと： データを機械可読なファイルに自動で書き出す機能はありません。また、保有するデータと与えた同意の全体を一画面でまとめて示す画面もありません。したがって、アクセス権（第15条）と可搬性の権利（第20条）は、yo@titu.app 宛のご請求によって行使していただきます。当社は構造化された形式のエクスポートをお送りします。当社はこれについて事実と異なる主張はせず、この機能は今後の開発予定に含まれています。

権利の行使方法： ご本人であることを確認できる手段から yo@titu.app 宛にご連絡いただき、ご請求の内容をお知らせください。合理的な疑いがある場合、本人確認書類の提出をお願いすることがあります。当社は1か月以内に回答します。複雑なご請求の場合は2か月延長することがあり、その場合はその旨をお知らせします。

ご自身がメンバーではなく、あるメンバーによって名前と場合により番号を入力された「+1」である場合： 権利は同一です。連絡先アドレス宛にご連絡いただくか、登録したメンバーに取り消すよう求めてください。

苦情： 権利が尊重されていないと考えられる場合、CNIL（cnil.fr/plaintes）または居住国の監督機関に苦情を申し立てることができます。

本ポリシーは、新しい機能、処理者の変更または法令の改正を反映するために変更されることがあります。

実質的な変更がある場合は、効力発生の前に、アプリ内またはサイト上のメッセージでお知らせします。変更が同意に基づく処理に関わる場合には、改めて同意をお願いします。とりわけ名義の申し出がこれに当たり、その文言にはバージョン番号が付され、確認とともに記録され、申し出のたびにサーバーによって検証されます。

効力を有するバージョンは、titu.app サイトおよびアプリの設定からいつでも参照できます。最終更新日は文書の冒頭に記載しています。

バージョン 1.0 — 2026年7月30日より効力を有します。