AI・プライバシー・限界

家庭の情報が保存される場所、家族に共有される範囲、外部へ送られる条件を説明します。AIの役割と、まだ検証が必要なこともまとめています。

まず知っておきたいこと

• 端末内で使う入口があります。 クラウドやAIを使わずに、家・場所・モノの登録や管理を行う経路を残しています。
• 共有と外部送信には操作が伴います。 クラウド同期、写真解析、商品検索など、利用者が選ぶ機能ごとに扱う情報が異なります。
• AIの候補は利用者が確認します。 自治体のルール、料金、施設の安全性をAIで作ったり、確認済みとして表示したりしません。
• 実装済みと検証済みは別です。 実機・本番サービスで確認が残る項目は、ページ後半に記載しています。

データはどこに保存される？

端末内での利用、世帯のクラウド共有、外部サービスの利用を分けています。クラウドやAIの設定がないことを理由に、端末内の基本機能まで使えなくしない方針です。

端末内で使う場合

ゲスト利用では、家・場所・モノなどを端末内で管理します。写真や文書も、端末内のファイルとして扱う経路があります。端末内に保存することと、ほかの端末へ同期することは別です。

クラウド共有を選ぶ場合

ログインし、クラウドで利用する場合は、対象の家庭データを世帯単位で保存・共有します。写真や文書には非公開の保存領域を使い、所属世帯と役割に応じてアクセスを制限します。

データの種類と保存先の一覧

表は横にスクロールできます。

データ	保存先	利用・送信の場面
家・場所・モノ、購入情報、期限、保証	端末内。クラウド利用時は世帯のデータベース	登録・編集、選択したクラウド利用
写真・文書	端末内。アップロード時は非公開ストレージ	ファイルを選んで登録・共有するとき
認証情報・世帯の役割	クラウドの認証・データベース	ログイン、招待、権限管理
自治体の公開情報	同梱データ、キャッシュ、公式の原典	案内の表示、更新、原典の確認
商品検索・写真解析の結果	必要に応じて端末内や関連する履歴	利用者が検索・解析を実行したとき

家族には何が共有される？

家族共有は、同じ家の情報を、世帯のメンバーで確認・更新するための機能です。ログインしているだけで、別の世帯の情報を見られる仕組みにはしません。

• owner（所有者）: メンバーの招待、役割変更、所有権の管理を行います。
• editor（編集者）: 家・場所・モノなど、共有する家庭の情報を追加・編集します。
• viewer（閲覧者）: 共有された情報を閲覧します。

買い物リストは、共有できる機能の一つです。登録済みのモノに紐付いた項目では、購入完了が在庫数の更新につながります。これは家族共有そのものとは別の動作で、利用者が完了操作をする前に関係を示す必要があります。

招待や役割の制限は実装されていますが、構成済み本番サービスでの複数利用者・複数実機による確認は別途必要です。

いつ外部サービスへ送られる？

写真解析や商品検索は任意です。サービスごとに、実行する操作と必要な情報を分けています。

写真をAIで解析するとき

利用者が解析を選んだ写真と、解析に必要な補助情報を送ります。登録された写真をすべて解析する前提ではありません。解析が使えない場合は、手入力、JAN・バーコード、URLなどの登録経路へ戻れます。

商品を検索・比較するとき

検索語、JANコード、型番などを商品検索に使います。外部サービスの取得結果がないときに、価格や在庫を作って埋めることはしません。手動検索やリンクの登録を代替経路として残します。

プッシュ通知を受け取るとき

通知を許可した場合、配信に必要なトークンと通知内容を扱います。プッシュ配信の確認と、アプリ内のお知らせ・カレンダーを表示できることは別です。

自治体の原典を開くとき

公式案内へのリンクを選ぶと、外部の公開ページへアクセスします。通信できないときは、保存済みの情報とその取得状態を示します。保存済みの情報が、現在の公式情報と一致するとは限りません。

現在地はどう使う？

避難ナビで近い候補を探すため、利用者がその機能を操作したときに位置情報の許可を求めます。候補の並び順に使う直線距離は、実際に歩く距離や通行可能性とは異なります。

正確な現在座標は家庭データへ保存せず、継続的な追跡のためには使いません。新しい参考ルートを外部地図で開く場合は通信が必要です。

近くに表示されることは、施設の開設・受け入れ・安全を保証しません。 自治体の最新情報と現地の状況を優先してください。

AIができること・任せないこと

AIは入力や検索の補助に使います。候補をそのまま確定せず、利用者が確認・修正してから保存する流れを設けています。

補助すること

• 写真などから、モノの名前・メーカー・型番の候補を出す。
• 商品や自治体情報を探すための検索語を整理する。
• 情報の構造化や、説明・出品文の下書きを助ける。

AIだけでは決めないこと

• ごみの分別区分、収集日、料金などの公式ルール。
• 施設の座標、開設状況、受け入れ条件や安全性。
• 取得していない価格・在庫・保証条件を、最新情報として表示すること。
• 利用者の同意、購入、削除などの確定操作。

情報が古い・取得できない場合は？

取得した情報、保存済みの情報、同梱した公式資料、未対応の情報を区別して表示します。取得できない値を、確認済みの値に見せかけて補いません。

• 取得結果: 提供元と取得時点を確認できます。取得時点の情報であり、その後の変更を保証するものではありません。
• キャッシュ: 過去に取得した情報です。取得日と保存済みであることを示します。
• 同梱した公式資料: アプリに含まれる資料の範囲で案内します。対象地域や更新時点に制限があります。
• 未対応・取得失敗: 判定できないことを明示し、原典確認や手動操作へ案内します。

オープンデータと出典では、情報の由来と対応範囲を説明しています。

データを書き出したり、削除したりできる？

データ書き出しとアカウント削除の経路を設けています。ただし、端末内の処理が成功したことと、クラウド上の関連データまで削除できたことは分けて確認します。

設定済みのリモート環境では削除後の残存確認を行った記録がありますが、それだけで、すべての本番環境の削除を保証するものではありません。構成済みSupabaseでの本番確認が必要です。

データを守るための仕組み

利用者の操作に加えて、サーバー側でもアクセスする世帯や役割を確認します。技術用語の意味と、何を制限するための仕組みかを以下にまとめます。

• 所属世帯と役割の確認: データベース側のアクセス制御（RLS）で、読み書きできる範囲を制限します。
• 非公開のファイル保存: 写真・文書を公開フォルダーに置かず、有効期限の短いURLなどで必要なアクセスを提供します。
• サーバー側での外部サービス接続: AIや商品サービスの秘密鍵をアプリ内に入れず、サーバー側の処理（Edge Functions）で扱います。
• 送信する情報の限定: 選んだ操作に必要な情報に絞り、端末内のファイルURIなどをクラウドのバックアップへ混ぜない方針です。

システム構成では、各処理の役割を説明しています。

確認できたことと、まだ確認が必要なこと

以下は記録がある検証の範囲です。設計の説明、コードの実装、自動検証、物理端末・本番環境での確認を、同じ「完了」とは扱いません。

リモート環境で自動確認した項目

2026年8月26日の記録では、設定済みリモート環境と一時アカウントで次の項目を確認しています。

• owner・editor・viewerと世帯外ユーザーのデータベース権限の境界。
• 世帯への招待、役割変更、メンバー削除。
• 非公開ストレージへの書き込み、拒否、世帯間の分離、削除。
• アカウント削除後の、対象リモートデータの残存がないこと。

別途確認が必要な項目

• 実メールでの認証コード到達と、Google・Appleログインの失効処理。
• 物理iPhone・Androidでのカメラ、文書、通知。
• 複数の実機で同時に編集したときの競合と再接続。
• Expo PushからAPNs・FCMを通した実際の通知配信。
• 公開URL、運営者表示、専門家による確認、ストアのプライバシー表示との一致。

これらの未検証項目を「安全確認済み」「本番検証済み」とは表示しません。詳しい区分は実装・検証状況にまとめています。

関連する説明

• 実装・検証状況: 実装と検証の範囲。
• オープンデータと出典: 公式情報の由来と取得状態。
• システム構成: 端末、クラウド、外部サービスの役割。
• ロードマップ: 今後の改善と公開判断の条件。