Balance — データ保持・削除ポリシー

Effective date: 28 June 2026 Last updated: 28 June 2026

年次レビュー: 次回の予定レビューは2027年6月9日まで。 適用対象: Balanceが処理するすべての個人データカテゴリー。

これは、米国の児童オンライン個人情報保護法(「COPPA」)16 CFR § 312.10に基づいて要求される書面によるデータ保持・削除ポリシーです。また、GDPRおよびUK GDPR第5条(1)(c)および(1)(e)に基づく保存制限およびデータ最小化義務、チリ法21.719第14条、コロンビア法1581およびその規制枠組みに基づく保持規則、およびその他すべての国の同等の規則を満たします。

本文書は retention.html で公開されており、プライバシーポリシー(第8条にユーザー向け要約を含む)および子どものプライバシー通知(第8条に子どものデータに関するCOPPA固有の書面によるスケジュールを含む)を補完するレイヤーA文書です。

プライバシーポリシーまたは子どものプライバシー通知のユーザー向け文言が本保持ポリシーと矛盾するように見える場合、本保持ポリシーが運用上の保持期間を規定します(プライバシーポリシーおよび子どものプライバシー通知は公開向けの要約であり、明確化が必要な場合があります; 矛盾がある場合は にご連絡いただければ調整いたします)。

1. 原則

Balanceの保持は4つの原則によって規定されます。本ポリシーのすべての保持期間はこれらの各原則を満たさなければなりません:

1. 目的の限定 (GDPR第5条(1)(b)、COPPA § 312.7)。私たちは、保護者が契約したペアレンタルコントロールサービスを提供するため、法的義務を遵守するため、または正当な権利主張を防御するために必要な期間のみ個人データを保持します。保持期間を都合の良い数字に「切り上げ」ることはありません。
2. 保存制限 (GDPR第5条(1)(e)、COPPA § 312.10)。以下に記載する保持期間は最大であり、最小ではありません。保護者がより早く削除を開始した場合、または運用上の目的がより早く終了した場合、データはより早く削除されます。
3. データ最小化 (GDPR第5条(1)(c))。私たちは目的が必要とする最小のデータセットを保持します。必要のないカテゴリーを保持することは決してありません。
4. デフォルトでの削除 (英国子どもコード、OECDプライバシー原則)。新しい機能ごとに、保持に特定の明記された目的がない限り、デザインの選択はデフォルトでの削除です。

以下の第3条の各保持規則は、「この期間の理由」列でこれらの原則の1つ以上にマッピングされています。

2. 役割

• データ管理者: BabaYaga Program, TOO(カザフスタン; BIN 260540024651)。
• プロセス責任者: 、ディレクター — プライバシー責任者()および指定された子ども安全責任者()としても機能します。
• データのコピーを保有するサービス提供者(サブプロセッサー): リストはプライバシーポリシー第6条にあります。管理者は、各サブプロセッサーが以下の保持規則を遵守するようにする責任があります — これは各提供者とのデータ処理契約に明記されています。
• 年次レビュー担当者: 、ディレクターが、年次レビュー(第12条)および保持期間の変更を承認します。

3. マスター保持表 — カテゴリー別

これは正となる保持表です。プライバシーポリシー(§8)および子どものプライバシー通知(§8)は、この表から導出されたユーザーフレンドリーな要約を表示します。

3.1 アカウント側のカテゴリー

3.2 子どものデバイスから派生するカテゴリー

3.3 エンドツーエンド暗号化された証拠メディアとキー

3.4 一時的な確認およびペアリングトークン

3.5 運用データ

4. 削除メカニズム

4.1 保護者が開始する子どもの削除(子ども単位の削除)

保護者がプライバシー設定内のアプリ内「子どもを削除」アクションを使用して確認した場合、または特定の子どもの削除を要求して にメールを送った場合、バックエンドは:

1. 子どものデバイスからのさらなる収集を即座に停止する(子どものデバイスのフォアグラウンドサービスは次回のヘルスチェックで終了信号を受け取る; デバイスのペアリングが無効化され、今後のアップロードはAPIゲートウェイで拒否される)。
2. 子どものレコードを削除対象としてマークし、アプリ内1時間の冷却期間後にカスケードが実行されるようにスケジュールする。 にメールで送信された要求は、1時間の冷却期間ではなく§5の法定期限(GDPR 30日; COPPA 10営業日; CCPA 45日)に従って処理される。
3. 冷却期間ウィンドウが経過すると削除カスケードを実行する: - 子どもの使用記録、インストール済みアプリカタログ、子ども別設定、通知、タスクの定義とインスタンス、獲得時間台帳と決済、連続記録、復旧エンベロープ、および家族生成フラグを削除; - その子どもに属するすべての暗号化されたデバイスキーを削除; - その子どもに紐づく保護者のメディアキー資料を削除; - 当社のGoogle Cloudストレージロケーションに保存されているその子どものすべての証拠メディアオブジェクトを削除 — 削除が即時であるように直接オブジェクト削除を使用、ライフサイクルではない; - その子どもを参照するすべてのメディアメタデータレコードを削除; - 子どものレコード自体を削除。
4. アカウントの保護者に確認メールを送信する。

4.2 保護者が開始する保護者アカウントの削除(アカウント削除)

保護者がプライバシー設定内のアプリ内「アカウント削除」アクションを使用して確認した場合、または にメールを送った場合:

アプリ内「アカウント削除」アクションは1時間の冷却期間を適用する(§4.1と同じメカニズム): アカウントは削除対象としてマークされ、冷却期間が経過するとカスケードが実行される。 に送信されたメール/手動リクエストは、1時間の冷却期間ではなく§5の法定期限に従って処理される。

1. 家族に紐づくすべての子どもに対して§4.1の子ども単位のカスケードを実行する。
2. 家族レコードを削除する。
3. 保護者に属するすべての暗号化されたデバイスキーを削除する。
4. 保護者アカウントレコードを削除する。
5. 要求時点で登録されていたアドレスに確認メールを送信する。
6. サブスクリプションステータス: アクティブなGoogle Playサブスクリプションは当社によって自動的にキャンセルされない — 保護者にGoogle Play → サブスクリプションでキャンセルするよう指示する(保護者が付与していないOAuthスコープのアクションなしに、保護者に代わってGoogle Playサブスクリプションをキャンセルすることはできない)。保護者は削除確認ステップでこのことを再確認される。

4.3 アカウントの休眠(任意)

私たちは長期間非アクティブなアカウントを閉鎖し削除することがあります。特定のアカウントについてそれを決定した場合、削除の前に保護者に通知メールを送信し、ログインしてアカウントをアクティブに保つ合理的な機会を与える。固定された休眠期間はない — これは、明らかに放棄されたデータをクリーンアップする道を提供しつつ、Balanceをたまにしか使用しない保護者を保護する任意の条項である。(これはプライバシーポリシー§8を一言一句反映しており、2026年6月9日に採用された同じ緩和された立場の一部である。)

4.4 同意の撤回

保護者はいつでも子どものデバイスからの継続的な収集への同意を撤回できる。最も直接的な方法は子どもを削除することである(§4.1)。子どもを削除すると、さらなる収集が即座に停止し、アプリ内1時間の冷却期間が経過すると(またはメール/手動リクエストの場合は§5の法定期限に基づいて)削除カスケードがトリガーされる。撤回前に行われた過去の処理の合法性には影響しない。

4.5 子どもを削除せずに特定のカテゴリーを削除する

子どもを維持しながら1つのカテゴリーを削除したい保護者(例: 「7日以上前のすべての証拠動画を削除」)は: - アプリ内で: 子どものメディアタブを開き、各アイテムで「削除」をタップする、またはアプリ内メディアタブの一括選択アクションを使用する; - メールで: にリクエストを書く。以下の§5の期限内に返信する。

4.6 バックアップ

運用バックアップは、§3.5に記載されているローリングバックアップウィンドウの間、削除から保護されたスナップショットを継続して保持する。Google Cloudとの独自の定期的なバックアップは30日のローリングウィンドウで保持される; バックアップがローテーションから外れると、削除されたデータは復元できなくなる。ホスティングプロバイダー自身の運用スナップショットは、公開されたバックアップ保持ポリシーに従ってローテーションされる。プライバシーポリシーはこの例外を開示する(§8)。これは「削除は即時である」という約束の唯一の法的な例外である。

5. 本人の権利のタイムライン

私たちは、権利(アクセス、訂正、削除、制限、可搬性、異議)を行使する保護者に適用されるすべての法定期限を遵守します:

• GDPR / UK GDPR: リクエスト受領から30暦日; 複雑なリクエストの場合、書面による通知とともに最大60日追加延長可能。
• 米国の州のプライバシー法(CCPA/CPRA、VCDPA、CPA、CTDPA、UCPA、TDPSA、その他の州法): 45暦日、通知とともに45日延長可能。
• COPPA検証済み保護者削除リクエスト: 不当な遅延なく、実務上は10営業日以内。
• その他の国: 現地のデータ保護法が定める期限。

プライバシー責任者()は、 の下で内部DSARログにすべてのリクエストを追跡します。各リクエストは書面による処分で完了します。

6. 法的保持および例外の登録簿

私たちは、以下の状況においてのみ、かつその状況が要求する期間のみ、§3が示すよりも長く特定のレコードを保持することがあります:

1. カザフスタン法に基づく税務および会計上の保持(サブスクリプションレコード — §3.1参照)。
2. 管轄当局からの法的保持命令(裁判所命令、規制当局の保全通知、合法的な提出要求) — 期間は命令によって定められる。
3. 子ども安全基準§7に基づいて分類される事案について、18 U.S.C. § 2258A(h)に基づく子どもの安全のための保全(90日、当局の要求によりさらに90日延長可能)。
4. 私たちが当事者である進行中の法的紛争 — 期間: 事案が終結するまで、加えて適用される手続法に基づく控訴の制限期間。

§3を超える保持は、プライバシー責任者によって書面で承認され、 の下で維持される保持例外登録簿に記録されなければなりません。登録簿は毎年のレビュー(§12)で確認されます。

7. カスケードの検証 — バックエンドテスト

バックエンドの各リリースについて、私たちは削除カスケードをエンドツーエンドで実行するリグレッションテストを維持しています。私たちの自動削除テストは以下を検証します:

• アカウントを削除すると、保護者に紐づくすべての子どもの保存されたすべてのレコードが削除される;
• 家族のために保存されたすべての証拠メディアオブジェクトが削除される(単にライフサイクル失効のマークだけではない);
• 保護者または保護者の子どものいずれかに紐づくすべての暗号化されたデバイスキー、メディアキーレコード、およびメディアメタデータレコードが削除される;
• 削除確認メールが送信される。

私たちは、削除に関連するコードパスについて、すべてのCI実行でカスケードテストを実行します。失敗したカスケードテストはリリースをブロックします。

8. サブプロセッサーの保持の整合性

各サブプロセッサー(プライバシーポリシー第6条)は、以下を義務付ける書面によるデータ処理契約に拘束されます:

• 明記されたサービスを提供するために必要な期間より長く個人データを保持しないこと;
• 私たちの指示に従って個人データを削除または返還すること(個別の削除要求時、およびDPA終了時の即時対応を含む);
• 該当する場合、自社のバックアップ保持ウィンドウを30日以内に維持すること;
• 要求に応じて保持慣行について書面で確認すること。

具体的には:

9. 暗号化キーのローテーション

暗号化キー自体もライフサイクルの対象です。当社のキーローテーション運用手順書は以下を文書化しています:

• 保存されたメールを保護するサーバー側キー(保護者のメールアドレスを保存時に暗号化するために使用されるAES-256-GCMキー): 年次ローテーション周期; 侵害が疑われる場合はアドホックローテーション。ローテーションには、単一の移行ジョブで保存されているすべてのメールを再暗号化することが必要。
• 一回限りのコードハッシュに追加されるサーバー側ペッパー(一回限りのコードを保存する前にSHA-256と結合されるサーバー専用の秘密): 年次ローテーション周期; ローテーション時に、すべての有効な一回限りのコードが検証不能になり、1時間以内に削除される。一回限りのコードのウィンドウは意図的に短く、ユーザーに見える影響は限定的である。
• デバイスごとのE2EEキーペア(保護者と子どもが保持するX25519デバイスキー): クライアントによって管理される; バックエンドは公開鍵の半分のみを保存する。ローテーションは、ユーザーが再ペアリングするか新しいデバイスに移行するときにデバイスによって駆動される — プライバシーポリシー第9条を参照。

運用手順書は の管理下にあります。

10. 継続的な改善

私たちは、本ポリシーとの整合性を維持するために、自動化された保持および削除ジョブを定期的にレビューし改善しています。実装された保持ウィンドウまたは削除ジョブが調整されている場合、暫定的な運用上の動作は既存の自動削除スケジュールおよびカスケードロジックによって規定され、いかなる逸脱も保持例外登録簿(§6)に記録され、年次レビュー(§12)で調整されます。

11. 保護者が保持を確認する方法

保護者は、いつでも当社の保持をエンドツーエンドで確認できます:

1. エクスポート。 プライバシー設定内のアプリ内データエクスポートアクションを使用して、家族のデータをエクスポートする。エクスポートは、各行に記録/作成/最終確認のタイムスタンプが付いた、当社が保持するすべてのカテゴリーのダウンロード可能なJSONアーカイブを提供する。カテゴリーの保持ウィンドウより古いものは保持の失敗を示している — に報告してください。
2. 削除。 子どもまたはアカウントを削除し、30日後に再度エクスポートする。エクスポートは空であるべきである(または保護者アカウントの場合、削除後の確認レコードのみを含むべきである)。
3. 直接お問い合わせください。 にメールを送り、「私の家族について保持しているすべてを見せてください」と尋ねてください。私たちは、§5の期限内に、他に何も存在しないという書面による確認とともに同じエクスポートを提供します。

不一致を発見した保護者には、報復のリスクなく報告するようお願いしています — 私たちは保持エラーをバグとして扱い、報告者に感謝します。

12. 年次レビュー

プライバシー責任者は、毎年6月9日までに少なくとも年1回本ポリシーをレビューします。レビューは以下を対象とします:

• §3のマスター表 — 各行とその自動削除スケジュール;
• 削除カスケードのテストスイート — §3のすべての行をカバーしていることを確認;
• 保持例外登録簿(§6) — 記録された理由なしに公開されたスケジュール外で何も保持されていないことを確認;
• サブプロセッサーのDPA(§8) — それぞれが最新であることを確認;
• 継続的改善のレビュー(§10) — 自動化された保持および削除ジョブが整合性を維持していることを確認;
• キーローテーションの周期(§9) — 最後のローテーションが過去12か月以内であったことを確認。

保持期間の重大な変更には以下が必要です:

• 本文書の最上部の「最終更新日」;
• 変更が影響する範囲について、プライバシーポリシー§8および子どものプライバシー通知§8への対応する更新;
• 変更が保持期間を延長する場合、アカウントの保護者への30日間のアプリ内+メール通知;
• 変更が保持の削減である場合、事前通知は不要である(変更は保護者に有利である)。

13. 国別附属書

国別の保持に関する特有の事項(例: 特定の国でより長い強制的な税務文書保持、またはより短い強制的な削除カスケット期限)は、本ポリシーに付随して retention.html で公開される国別附属書セットで公開されます。継承された領土は、プライバシーポリシー第18条と一致して、親国の附属書に従います。

14. 簡易連絡先

• プライバシー / 開示請求(DSAR) / データエクスポート / 削除: ()
• 子どもの安全に関する報告: (も兼任)
• 一般サポート:
• EU代表者: Prighter EU Rep GmbH、Schellinggasse 3, 1010 Vienna, オーストリア
• 英国代表者: Prighter Ltd (UK)、20 Mortlake High Street, London SW14 8JN, 英国
• 郵送: BabaYaga Program, TOO, ul. Ongarsynova 10, kv. 175, Esil district, Astana 010000, カザフスタン
• 電話:
• 関連文書:
• プライバシーポリシー: privacy.html
• 子どものプライバシー通知: children.html
• 利用規約: terms.html
• サブスクリプション規約: subscription-terms.html
• 子どもの安全基準: child-safety.html

データ保持・削除ポリシー終わり。