赤ちゃんのデータをEU内に置いている理由

赤ちゃんが生後1か月になるころには、記録アプリの中に、生まれて4週間の人についての記録が数百件たまっていることがあります。何が入って、何が出たか。どれだけ眠ったか。午前2時の体温は何度だったか。その子について誰かが残すことになる記録の中で、もっとも詳しいものの一つです。しかも本人は、そのどれひとつにも口を出せませんでした。

Bunaviを作るうえで、私がいちばん長く考えているのはこの点です。だから全体をお伝えします。この記録に何が入っているのか、どこに保管しているのか、決してしないことは何か、そしてこの約束がどこまでなのか。

記録に実際に入っているもの

育児記録アプリと聞くと、授乳した時刻の一覧を思い浮かべがちです。でも実際は違います。数週間分の記録を並べると、そこにあるのはこういうものです。

• お子さまの名前、あるいは呼んでいるニックネーム。生年月日。ときには性別、ときには写真。
• 健康の記録。成長の計測値、体温、症状、薬、予防接種。
• 授乳と睡眠のパターン。これは同時に、家の大人が何時に起きていて、どれくらい起きっぱなしなのかの地図でもあります。
• おむつの細かい記録。ふつうは小児科の診察室の外では話さないような内容です。

体温や薬のあたりは「健康に関するデータ」にあたり、GDPR第9条が、規則のなかでもっとも厳しく守る特別な種類の個人データに位置づけているものです。同じ規則の前文第38項は、子どもは「その個人データに関して特別な保護に値する」と述べ、リスクとして特にマーケティングとプロファイリングを挙げています。多くの親が、子どもの名前を初めて入力欄に打ち込んだときに感じることを、法律のほうが認めているわけです。

お子さまはいつか大人になります。そしてこの記録のどれも、本人が決めたことではありません。

サーバーがフランクフルトにある理由

赤ちゃんのプロフィールと、それにひもづくすべての記録は、欧州連合（EU）内のデータベースにあります。ホスティングはSupabase、場所はAmazonが「ヨーロッパ（フランクフルト）」と呼ぶリージョン、eu-central-1 です。宣伝ページの飾りではありません。ここから、実際に効いてくることが3つあります。

• GDPRが適用されます。好意としてではなく。私はブルガリアを拠点とする個人開発者で、第3条により、EU域内の拠点の活動に関連して行われる処理には規則が適用されます。あとからアップデートでこっそり緩められる方針とは違います。
• 権利は実際に行使できます。第20条は、構造化され、一般に使用され、機械可読な形式でデータの写しを受け取る権利を与えます。第17条は消去の権利です。そしてもし私が期待を裏切ったときは、第77条によって監督機関に苦情を申し立てられます。私の場合はブルガリアの個人データ保護委員会、あるいはお住まいの国の監督機関です。
• 相手には名前があります。データ管理者は私で、プライバシーポリシーに氏名、国、実際に届くメールアドレスを書いています。苦情には、ちゃんと届く先があります。

ここからは正直な話です。置き場所そのものは盾になりません。ずさんに運用されたフランクフルトのサーバーは、きちんと運用されたどこかのサーバーより家族を守れません。地理が決めるのは、私に対してどのルールを行使できるかだけです。お子さまの記録を実際に守るのは、ソフトウェアが毎日していることです。

私が約束していること

• スマートフォンとサーバーの間の通信はTLSで暗号化しています。
• アクセス制御はデータベースの行単位で効いていて、アカウントが読み書きできるのは、自分が所有する赤ちゃんか、招待された赤ちゃんの記録だけです。ある家族の行に別の家族のアカウントから届くことはありません。このルールはアプリの画面側ではなく、データベースの中にあります。
• 広告はありません。広告用の識別子もありません。データを広告会社に販売・貸与・共有することもありません。あなたやお子さまの広告・追跡プロファイルも作りません。
• 共有は、自分でオンにするまでオフのままです。招待コードは1回きりで、7日で期限が切れ、アクセス権は設定からすぐに取り消せます。パートナーや祖父母にコードを渡す前に知っておくと安心です。
• アプリはオフライン優先の作りです。電波のない午前3時でも使えるように、最近の記録の小さな控えを端末の中に持っています。この控えは、サインアウトすると消えます。
• データの書き出しも削除も、設定の中のボタンです。私に依頼を送る必要はありません。

この中でいちばん強く守りたいのが「既定ではオフ」です。GDPR第25条は既定によるデータ保護を求めています。本人の関与なしに、個人データが不特定多数の人からアクセスできる状態になってはいけない、ということです。子どもの健康記録にとって、漏れる既定値は小さな設計ミスではありません。

EUだけで完結していない部分

一人で作っているアプリでも、ほかの会社に頼っている部分はあります。そうでないふりをするなら、それこそ疑うべき主張です。サブスクリプションの決済はAppleが行い、私がカード情報を見ることはありません。RevenueCat（米国）はプランで何が使えるかを管理していて、アカウントの識別子と購入イベントを受け取ります。Resendはメール（パスワードの再設定や領収書）を配信し、宛先アドレスと本文を受け取ります。米国の会社ですが、送信インフラはアイルランドで動いています。Sentryは、クラッシュレポートを有効にしたビルドから、端末の機種、OSのバージョン、スタックトレースといった技術的な情報を受け取ります。EUの外で個人データを扱う場合は、欧州委員会の標準契約条項でカバーしていて、これらの会社はすべてプライバシーポリシーに名前を書いています。

どこにも渡らないのが、赤ちゃんの記録です。授乳、お昼寝、成長の計測値、体温、名前、生年月日は、EUのデータベースの中にとどまります。

本当の試金石は削除です

プライバシーについて心地よい一段落を書くことは、どのアプリにもできます。約束に意味があるのは、やめたいときにちゃんとやめられる場合だけです。子どもの健康記録を消すのにメールを3通とサポートの順番待ちが必要なら、その約束は飾りだったということです。

ですからBunaviでは、設定 →「アカウントを削除」で、アカウントと、ほかに誰も招待していないあなた所有の赤ちゃん全員、そしてそのすべての記録がすぐに消えます。アプリの中でやりたくなければ、アカウントのメールアドレスから [email protected] に連絡してください。30日以内、たいていはもっと早く削除します。これが第17条の消去の権利を、申請フォームではなくボタンにつないだ形です。

どの育児アプリにも求めていい基準

ここまでの話を、私の言葉だけで信じる必要はありません。むしろ信じないでください。それぞれ1分ほどでできる4つの確認のほうが、紹介ページよりずっと多くのことを教えてくれます。

これは、私自身に当てはめてほしい基準であり、赤ちゃんの最初の1年を預かろうとするほかの誰にも当てはめる基準です。あなたはこの記録を、まだ自分の意見を言えない人の代わりに残しています。ソフトウェアにできる最低限のことは、それにふさわしく扱うことです。私のやり方をもっと詳しく知りたいときは、プライバシーポリシーとこのアプリについてのページに書いてあります。どちらも、耐えて読むものではなく、読めるように書いています。

よくいただく質問

赤ちゃんのデータはどこに保管されていますか？

欧州連合（EU）の中です。Amazonのヨーロッパ（フランクフルト）リージョン eu-central-1 にあるSupabaseのデータベースに保管しています。通信はTLSで暗号化し、保存時も暗号化しています。アクセスは行単位で制御しているので、ある家族の記録に別の家族のアカウントから届くことはありません。

本当に自分ですべて削除できますか？

はい。設定から「アカウントを削除」を選ぶと、アカウント、あなたが所有するすべての赤ちゃんのプロフィール、そのすべての記録がすぐに消えます。アカウントのメールアドレスから [email protected] に連絡してもかまいません。暗号化されたバックアップに残る写しは、通常のローテーションで30日以内に消えます。

EUでホスティングしていれば、データがEUの外に出ることはないのですか？

いいえ。そう言い切るのは誤解を招きます。サブスクリプションの決済はApple、プランで何が使えるかの管理はRevenueCat、メールの配信はResend、クラッシュ情報の受け取りはSentryが担っています。これらのサービスには、識別子やメールアドレス、技術的なデータが標準契約条項にもとづいて渡ります。赤ちゃんの授乳、睡眠、成長、健康の記録が渡ることはありません。

家族のデータが広告に使われることはありますか？

ありません。広告も広告用の識別子もなく、データを広告会社に販売・貸与・共有することもありません。あなたやお子さまの広告・追跡プロファイルを作ることはなく、入力された記録をAIモデルの学習に使うこともありません。