1. 収集する情報

• 会員登録・ログインはありません。台帳を作る方からは（入力した場合のみ）管理リンクを取り戻すためのメールアドレスを1つお預かりします。
• 台帳を一緒に使う方が端末に入力した名前（例：新郎の父）は、「誰が修正したか」として変更履歴に残ります。
• 台帳に記録するゲスト情報：名前、区分、金額（紙幣の枚数・その他の金額）、メモ
• ゲストの電話番号・口座番号・住所は受け取りません。メモ欄にも書かないでください。
• 受付の端末と共有リンクはアカウントなしで使います。
• 「ご祝儀袋の写真から名前を読む」を使うと、文字認識のためその写真を Anthropic（Claude API）に送ります。Tie は写真を保存せず、読み取った名前は確認を経て台帳にのみ残ります。
• サービス改善のため、Google Analytics（Firebase）でアクセス統計を集めています：見たページのパス、端末・ブラウザの種類、おおよその地域、Cookie に保存される無作為の識別子。台帳の内容とリンク（アドレスの # 以降と ?id=）は送らず、広告には使いません。 ブラウザで Cookie をブロックするか、Google アナリティクス オプトアウト アドオンを使うと収集されません。

2. 利用目的

ご祝儀の記録・集計・共有、管理リンクの送信・再取得、保存期間満了のお知らせメール、アクセス統計にのみ使います。広告やほかのサービスには使いません。

3. 保存期間と削除

• 行事の日付（未入力の場合は最後に記録を追加した日）から12か月が過ぎると、台帳全体（記録・名簿・メールアドレス・リンク・履歴）を自動で削除します。削除の30日前にお知らせし（メールアドレスを登録した場合はメールで）、お知らせから30日が過ぎてから削除します。
• 管理リンクを持つ方は、1回だけ12か月延長するか、いつでもすぐに削除できます。
• バックアップからも削除後35日以内に消えるよう、バックアップの保存期間を合わせています。

4. 誰が見られるか

• リンクを持つ人だけが見られます：管理リンク、管理者が作って送った編集・閲覧リンクと共有リンク、受付のQR＋PIN。
• リンクは持っている人なら誰でも開けます。不要になったリンクは無効にし、管理リンクが漏れた場合は再発行してください。
• 運営者は障害対応などどうしても必要な場合を除き、台帳の内容を見ません。

5. 安全に守る方法

すべての通信は暗号化（TLS）し、データベースとバックアップは保存時に暗号化しています。すべてのリンクと受付のPINは原文ではなくハッシュだけを保存します。