プライバシーポリシー

最終更新：2026年10月14日

概要

• アカウントは不要で、当社からコンテンツを提供することもありません。 Tunvioはプレーヤーです。ストリームは、ユーザー自身が入力した配信元から直接届きます。
• 当社はログイン情報を求めません。 当社は、パスワード、配信元のアドレス、チャンネル名を求めず、意図的に受け取ることもありません。エラーテキストはウェブアドレスとログイン情報について自動的にフィルタリングされますが、これを完璧にすることはできません（第7項）。映画情報と字幕のために当社のプロキシが受け取るのは、IDまたは整形したタイトルのみです（第8項）。画像そのものは、TMDBの画像サーバーから直接読み込まれます（第8項）。端末間同期を使用する場合、プレイリストはユーザー自身のストレージに送られます（第10項）。
• ユーザーが任意で共有するものは、すべて既定でオフです。 利用データとクラッシュレポート、共有されるスキップ位置、端末間同期、端末のペアリングは、ユーザーがオンにした場合にのみ有効になり、いつでもオフに戻せます。
• 当社独自のサービスは、IPアドレスを保存せず、アクセスログも保持しません（ウェブサーバーtunv.ioについては第3項を参照）。
• 決済はストアまたはRevenueCatを通じて行われます — 当社が決済データを目にすることはありません。

詳細は以下のとおりです。

1. 管理者およびサービスの性質

「Tunvio」アプリに関するGDPR上の管理者は、法的情報（https://tunv.io/impressum）に記載されたTunvioプロジェクトの運営者（以下「当社」）です。データ保護に関するお問い合わせ先：support@tunv.io

Tunvioは、再生専用のアプリです。当社は、コンテンツを提供せず、ストリームをホストせず、メディアサービスを運営しません。IPTVの接続はすべて、ユーザーがプレイリストとして自ら入力したサーバー（Xtream Codes、M3Uプレイリスト、ストリームの直接URL、またはStalker Portal）に直接接続されます。ソースを選ぶ際のユーザーの責任については、利用規約（https://tunv.io/terms-of-use）をご覧ください。

2. 端末上のデータ

Tunvioは、端末に次の情報を保存します。

• 配信元のサーバーURL、ユーザー名、パスワードを含むプレイリスト（任意のプレイリスト名を含む）
• プレイリストごとの視聴履歴、お気に入り、設定、および任意の保護者用PIN
• キャッシュとしてのサムネイルとTMDBのメタデータ（第8項）
• 作成した場合は、ダウンロードと録画
• プレイリストごとの、シリーズ内でイントロやエンドクレジットをスキップした位置（アプリがそこで「イントロをスキップ」や「次のエピソード」を表示できるようにするため）。共有をオンにしている場合は、まだ送信されていない提供分も含まれます（第8項）
• ブラウザでの購入のための匿名の購入識別子（第5項）、および端末をペアリングした後の世帯識別子と端末識別子（第5.1項）

ログイン情報、保護者用PIN、端末間同期のサインインデータ、ペアリングの識別子は、OSの暗号化されたストレージに保存されます。そのようなストレージのないSamsungテレビ（Tizen）では、アプリの内部ストレージに保存されます。履歴とお気に入りは設定から消去できます。アプリをアンインストールすると、すべて削除されます。

例外：ユーザー自身のフォルダー。 録画とダウンロードの保存先としてユーザー自身のフォルダー（たとえばSDカード上）を選択した場合、ファイルはそのフォルダーに属します。アンインストール後も残り、フォルダーやプラットフォームによっては他のアプリから読み取れる場合があります。その場合、ユーザー自身で削除する必要があります。当社は、いかなる場合も、これらのファイルにアクセスできません。

当社は、これらのデータを受け取りません。例外は次の2つのみで、どちらもユーザーがオンにした場合に限られます。端末をペアリングする場合、当社のペアリングサービスが世帯識別子と端末識別子を保存します（第5.1項）。スキップ位置を共有する場合、収集された提供分は、プレイリストや配信元との紐付けなしに、当社のスキップ位置サービスに送られます（第8項）。端末間同期を使用する場合、プレイリスト、履歴、お気に入り、設定は、当社ではなくユーザー自身のストレージに送られます（第10項）。

3. 当社独自のサーバー

一部の機能は、当社が運営するサーバーを使用します。端末のペアリング（pair.tunv.io）、エラーレポート（diag.tunv.io）、メタデータとスキップ位置（tmdb.tunv.io）、字幕（subs.tunv.io）、更新の確認と法的文書（tunv.io）です。

• 所在地： ペアリング、エラーレポート、メタデータプロキシ、スキップ位置は、ドイツにある当社のサーバーで稼働しています。ペアリング、エラーレポート、スキップ位置については、処理者は関与せず、第三国への移転も行われません。
• IPの非保存： ペアリング、エラーレポート、メタデータ、スキップ位置、字幕のサービスは、アクセスログを保持しません。IPアドレスは、リクエストを伝送するためにのみ必要であり、保存されず、いかなる識別子とも紐付けられず、第三者にも渡されません。
• ウェブサーバーtunv.io（更新の確認、法的文書）は、ウェブサイトの通常のウェブサーバーです。通常の短期間のアクセス記録（IPアドレス、時刻、要求されたファイル）を保持する場合があります。アプリは、これらのリクエストに識別子もプレイリストのデータも付けません。
• 不正利用対策： リクエストの頻度を制限し、自動化された探索をブロックするため、ペアリング、メタデータ、スキップ位置、字幕については、IPアドレスが到着時に短期間のみ有効な仮名に変換されます。その鍵はメモリ上にのみ存在し、定期的に入れ替えられます。その後、仮名をどのアドレスとも結び付けることはできなくなります。診断サーバーは、この目的のためにアドレスをメモリ上で一時的に保持するだけです。法的根拠は、安全な運用に対する当社の正当な利益（GDPR第6条第1項(f)、前文第49項）です。

4. IPTV配信元への接続

Tunvioは、ユーザーが入力したサーバーに直接接続します。そのサーバーがデータをどのように処理するかは、当社ではなく配信元の責任です。配信元のプライバシーポリシーをご確認ください。

キャスト。 ChromecastまたはDLNA機器にキャストする場合（提供されている場合）、アプリは、配信元のアドレス（Xtreamの場合はアクセスデータを含む）を含むストリームのアドレスを、ローカルネットワーク経由でその機器に渡します。機器は、その後、配信元から自らストリームを読み込みます。機器にポスターが表示される場合は、TMDB画像のアドレスも併せて渡されることがあり、その場合、機器はそれをimage.tmdb.orgから直接読み込みます（第8項）。これらはいずれも当社のサーバーを経由しません。

4.1 再生の診断（「何が問題ですか？」）

再生が停止または失敗したとき、Tunvioは原因を自動的に確認します。具体的には、配信元のサーバーへの短いテスト用リクエスト（名前解決、接続の確立、暗号化接続、ストリームの短い取得、XtreamとStalkerについては保存されたログイン情報を使ったアカウントインターフェースの呼び出し）を行います。これらは再生時と同じ接続です。アプリはまた、VPNやフィルターアプリが有効かどうか、ネットワークがインターネットアクセスを報告しているかどうか、プライベートDNSが設定されているかどうかを、端末上で読み取ります。結果は、不具合レポートと一緒に送信しない限り、端末上にとどまります（第7.1項）。

「詳しく確認」。 ユーザーがこれをタップした場合にのみ（かつプライベートDNSが有効でない場合に限り）、Tunvioは、配信元のサーバー名が知られているかどうかを、暗号化された接続でCloudflare、またはフォールバックとしてGoogle Public DNSに問い合わせます。送信されるのはこのサーバー名のみで、ログイン情報、パス、端末識別子は含まれません。あらゆる接続と同様に、サービスはユーザーのIPアドレスを認識します。結果は、不具合レポートと一緒に送信しない限り、端末上にとどまります（第7.1項）。法的根拠は、ユーザーの要求です（GDPR第6条第1項(b)または(f)）。Cloudflare（cloudflare.com/privacypolicy）またはGoogle（policies.google.com/privacy）のプライバシー通知が適用され、米国への移転が行われる可能性があります。

5. 購入とサブスクリプション

Premium機能は任意です。何も販売されていない場合（たとえばSamsungテレビ）、この目的でのデータ送信は行われません。

• ストアでの購入： アプリがApple App Store、Google Play、またはAmazon Appstoreから入手されたものである場合、決済はストアが処理します。
• ブラウザでの購入： ストア外のバージョン（たとえばデスクトップ）では、アプリはRevenueCat, Inc. のチェックアウトページを開きます。そこで入力した内容はRevenueCatと、決済を処理するその決済サービスプロバイダーに送られます。
• どちらの場合も、当社は決済データを受け取らず、保存もしません。
• サブスクリプションの管理： 購入が有効かどうかを確認するため、当社はRevenueCat, Inc.（米国）を使用します。RevenueCatは、アプリから、匿名でランダムに生成されたユーザーIDと、利用した経路の購入レシートを受け取ります。氏名や決済データは含まれず、メールアドレスはチェックアウトページの入力補完（後述）としてのみ使われます。プライバシー通知：https://www.revenuecat.com/privacy
• ブラウザでの購入の復元： アカウントがないため、別の端末では、チェックアウト時に使用したメールアドレスでブラウザでの購入を復元します。アプリは、そのアドレスを端末上で派生識別子（ハッシュ）に変換します。照会に使われるのも端末に保持されるのもその識別子のみです。アドレス自体は恒久的には保存されません。その後にチェックアウトページを再び開くと、そこに入力補完されます。

法的根拠は、契約の履行です（GDPR第6条第1項(b)）。

5.1 複数の端末でのPremium（端末のペアリング）

Premiumを購入した場合は、他の端末でも利用できます。購入した端末に8桁のコードが表示されるので、それをもう一方の端末に入力します。すると両方の端末が、共有されたランダム生成の購入IDを持つ1つの世帯（最大7台）に属することになります。これは当社のサービスpair.tunv.io（第3項）を通じて行われます。アプリがこれに接続するのは、ユーザーがコードを表示させたとき、またはコードを入力したときのみで、自動的に、またはバックグラウンドで接続することはありません。

世帯ごとに保存されるのは、次のもののみです。 アプリが端末ごとに生成するランダムな端末識別子（OSの識別子、広告ID、シリアル番号、MACアドレスではありません）、表示名としての端末モデル（例：「Pixel 8」、それ以外の場合は「Samsung TV」などの端末の種類）、ペアリングの日時、ランダムな世帯識別子、世帯が作成された日時、コードが一度でも使用されたかどうか、および要求されたコードの1日あたりのカウンターです。コード自体の有効期間は10分で、その後削除されます。使用されたコードは、直ちに失効します。

これは、当社独自のサーバーのうち、永続的な端末識別子を保存する唯一のものです。端末を削除できる端末の一覧は、そうでなければ実現できません。

保存されないもの： IPアドレス、メールアドレス、氏名、アカウント。購入に関する情報は何も保存されません（コードを要求するとき、既存の世帯を認識できるよう、アプリは自らの購入IDを送信します。個々のインストールの匿名識別子は破棄され、利用資格の確認も行われません）。プレイリスト、配信元、チャンネル、作品に関する情報も保存されません。サービスのログには、コードも識別子も含まれません。

ペアリング後のRevenueCat： 第5項のユーザーIDは、世帯内のすべての端末で同一、すなわちランダムな世帯識別子になります。

保持と削除： ペアリングされた端末は、ユーザーが削除するまで保存されます。自動的に失効することはありません。設定 → Premiumで、世帯のすべての端末を確認でき、任意の端末を削除できます。エントリは直ちに削除され、最後の端末が削除されると世帯も削除されます。ご自身の端末を削除すると、その端末には再び独自の購入IDが付与されます。「自動的な失効はない」ことの唯一の例外：コードが一度も使用されなかったペアリングの試行は、30日後に削除されます。

法的根拠は、ユーザーの同意です（GDPR第6条第1項(a)）。同意は、コードを表示させる、または入力することで行われ、端末を削除することで撤回されます。

6. Firebase（Google）— 分析とクラッシュレポート

TunvioがGoogle Ireland Ltd. / Google LLCのFirebaseを使用するのは、AndroidとiOSのみで、しかもユーザーの同意がある場合に限られます。どちらも既定でオフです。初回起動時にお尋ねし、お断りになった場合は、最大でもう1回だけお尋ねします。

• Firebase Analytics： 仮名化された利用統計（例：表示した画面、端末とアプリのバージョン、おおよその地域）。アプリを改善するため、仮名化された識別子を使って分析されます。
• Firebase Crashlytics： クラッシュとエラーのレポート（プログラムのどの部分でエラーが発生したかという技術的な詳細、端末とアプリのバージョン）。クラッシュを修正するために使われます。

これらのレポートに、当社はログイン情報、パスワード、プレイリスト名、再生アドレスを追加しません。システムや使用しているライブラリが生成したエラーテキストは、そのままCrashlyticsに渡され、当社によるフィルタリングは行われません。そこにサーバーやウェブのアドレスが含まれる場合があります。クラッシュレポートには、短い状態の説明も含まれます。同期フェーズ、メモリ使用量、最長のフリーズ、プレイリストの種類、カタログの規模区分、メタデータ照会の進行状況（10%刻み）です。米国への移転が行われる可能性があり、その際、GoogleはEUの標準契約条項に依拠しています。プライバシー通知：https://policies.google.com/privacy

法的根拠は、ユーザーの同意です（GDPR第6条第1項(a)、§ 25(1) TDDDG）。同意は、設定 → データとストレージ → 「利用データとクラッシュレポート」 で、いつでも即時に撤回できます。

7. 当社独自のエラーレポート（diag.tunv.io）

この「利用データとクラッシュレポート」のスイッチは、当社の診断サーバーへの自動エラーレポート（第3項）も制御します。これは、テレビやデスクトップを含むすべてのプラットフォームで動作します。同意がなければ、何も送信されません。

目的は、エラーの修正のみです。すなわち、エラーの検出、類似エラーのグループ化、修正、修正の効果の確認です。利用状況の分析、プロファイリング、広告は行いません。

送信されるのは、次のもののみです。

• エラーの種類とクラス（例：再生、ログイン、同期のエラー、クラッシュ、インターフェースのフリーズ。タイムアウト、デコーダーエラー、接続数の上限。ある場合は数値としてのHTTPステータスコード）
• 技術的な状況：再生エンジンとデコードの段階、コンテンツの種類または範囲（ライブ、映画、ドラマ・シリーズ、番組表、ダウンロード。同期、キャスト、エクスポートのエラーについては、対象の種類や原因も。たとえば選択された同期ストレージ）、プレイリストの種類（配信元ではありません）、および統合されたプレイリストについては、1つ、一部、またはすべてのソースが影響を受けたかどうか
• アプリのバージョンとビルドの種類、プラットフォーム、OSのメジャーバージョン、端末モデル、言語と地域の設定、および端末のメモリの大まかな区分
• フリーズや一部の再生エラーについて：直前の数秒間に、アプリがキー入力の処理でどれだけ忙しかったか（大まかなレベル：低、中、高）と、どの種類の内部バックグラウンド処理が実行されていたか（たとえばカタログや番組表の読み込み）— 処理の種類のみで、ファイル、アドレス、プレイリスト、件数は含まれません
• 前回のセッションが強制終了した後：OSが付けたその種類（例：「応答なし」）。OSが種類を特定できなかった場合は、その理由（記録がない、または一致する記録がない）と、最後の生存の兆候から最も近いシステム記録までの大まかな時間区分（分、時間、日）
• アプリの起動が遅い、または失敗した場合：どの起動ステップが最も遅かった、または失敗したか（固定の内部名）と、起動にかかったミリ秒数。セーフモードでの起動が開かれる場合は、そのきっかけと、最近の未完了の起動に関する小さなカウンター
• システムによって終了されたクラッシュやハングについて：プログラムのどこでエラーが発生したかの技術的な詳細、マスク処理されたエラーメッセージ、アプリの画面名（例：「player」— コンテンツの項目ではありません）。メモリや接続のクラッシュでは、メッセージに短い状態行も含まれます。同期フェーズ、アプリのメモリ使用量（メガバイト）、プレイリストの種類（ソースの数は含まれません）、最長のフリーズ（ミリ秒）、メタデータ照会の進行状況（10%刻み）、およびカタログとその照会の規模区分のみ（例：「3,000～10,000件」）— 正確な件数は含まれません
• 端末の時計から読み取ったイベントの発生時刻（キューに入ったレポートの順序付けに使用され、レポートとともに保存されます）
• 毎日新たにランダム化される日替わり識別子。同じ日のレポートを関連付けますが、日をまたいで端末を識別することはできません。端末IDやインストールIDはありません。

設計上、収集しないもの： チャンネル、映画、ドラマ・シリーズのタイトル、検索語、プレイリスト名とユーザー名、パスワードその他のログイン情報、MACアドレスとシリアル番号。自由記述のエラーテキストは、アドレスとログイン情報についてのみフィルタリングされます。アドレス： ウェブアドレス、IPアドレス、ログイン情報の形をした文字列は、送信前に端末上でマスクされます。さらに、当社のサーバーが、アドレスなしで書かれたホスト名を2回目の処理で削除しますが、この処理ですべてのホスト名を認識できるわけではありません（第7.1項）。したがって、再生アドレスとサーバーアドレスは、認識できる範囲で、端末上でマスクされ、サーバー上で削除されます。

法的根拠は、ユーザーの同意です（GDPR第6条第1項(a)、§ 25(1) TDDDG）。第6項と同じ方法で撤回できます。保持： 個々のレポートは90日後に削除されます。エラーパターンごとの集計値（件数、最初と最後の発生、影響を受けたバージョン）のみが残り、レポートや端末との紐付けはありません。アクセスと削除については第12項をご覧ください。

7.1 ユーザー自身が送信する不具合レポート

設定 → 「問題を報告」、またはプレーヤー内の「何が問題ですか？」→「問題を報告」から、自分でレポートを送信できます。レポートが端末から出るのはユーザーが送信したときのみで、バッファされることも、後から再送されることもありません。また、「利用データとクラッシュレポート」のスイッチには左右されません。送信ダイアログでは、自動レポートをオンにするよう案内されますが、これは任意で、あらかじめ選択されてはいません。

送信される内容： ユーザーが入力したテキスト、直近のプログラムエラーを含むセッションの技術ログ（事前に「送信する内容」で確認できます）、問題の種類、アプリのバージョン、ビルドの種類、プラットフォーム、OSのメジャーバージョン、端末モデル、言語と地域の設定、再生エンジン、プレイリストの種類、Premiumが有効かどうか、端末の時計から読み取ったレポートの時刻。プレーヤーからのレポートの場合は、第4.1項の診断結果も、サーバー名、IPアドレス、ログイン情報を含まない短い値として送信されます。

テキストとログは、送信前に端末上で自動的にマスクされます。ウェブアドレス（https://などのスキームを持つもの）、IPv4アドレス、メールアドレス、ログイン情報の形をした文字列（password=…やuser:pass@hostなど）です。当社のサーバーはこれを繰り返し、アドレスなしで書かれたホスト名も削除しますが、この2回目の処理ですべてのホスト名を認識できるわけではありません。それでも、テキストにパスワードを書かないでください。通常の文の中にあるパスワードは、マスク処理では認識できません。

レポートには、端末と結び付ける識別子は含まれず、ユーザーに表示されるランダムな参照番号のみが付きます。この番号を使って、support@tunv.ioでアクセスまたは削除を請求できます。法的根拠は、送信することによるユーザーの同意です（GDPR第6条第1項(a)）。保持：90日。

8. メタデータと画像 (TMDB)

Tunvioは、The Movie Database（TMDB）から、映画やドラマ・シリーズに説明、評価、ロゴ、ポスター、年齢制限を追加します。これはカタログの表示方法の一部であり、個別のスイッチはありません。キャッシュされたメタデータは、設定 → データとストレージで削除できます。

説明、評価、画像アドレスは、TMDBから直接ではなく、当社のプロキシtmdb.tunv.io（第3項）を通じて要求されます。送信されるのは、リクエストに必要なものだけです。検索の場合は整形したタイトルと、検出できればその公開年。それ以外の場合はTMDBのIDと、シーズンについてはシーズン番号です。すべてのリクエストには、アプリの言語と、配信サービスの提供状況のための端末の地域も含まれます。どのエピソードを視聴しているか、その長さは送信されません。プレイリスト、ログイン情報、再生データも送信されません。結果は、プロキシと端末にキャッシュされます。

画像ファイルそのものは、TMDBから直接届きます。 ポスター、背景画像、タイトルロゴ、エピソードのスチル、配信サービスのロゴ、出演者やスタッフの写真は、当社のプロキシを経由せず、端末がTMDBの画像サーバーimage.tmdb.orgから読み込みます。そのためTMDBは、ユーザーのIPアドレス、端末が送信するUser-Agent（有効なプレイリストに設定されているもの。既定では一般的なメディアプレーヤーの文字列）、および要求された画像のファイルパスを受け取ります。ファイルパスから、そのポスターや写真が特定でき、これとIPアドレスから、TMDBはどの作品が表示されているかを知ることができます。ただし、ログイン情報、プレイリスト、再生データは受け取りません。これは、画像が端末に保存されていない（またはもう保存されていない）場合（キャッシュされた画像は約1週間保持されます）に、プロキシが作品の画像アドレスを返した時点で発生します。メタデータと同様に、個別のスイッチはありません。TMDBがこのデータをどう扱うかは、TMDB自身のプライバシーポリシーに従い、当社には影響力がありません。

予告編。 予告編をタップすると（Samsungテレビを除く）、アプリはYouTubeアプリまたはブラウザを開きます。これはTunvioの外でのユーザーの操作であり、その時点からYouTube（Google）のプライバシーポリシーが適用され、動画のアドレスがそこに渡されます。

共有されたスキップ位置の取得。 シリーズのエピソードを再生するとき、Tunvioは同じプロキシを通じて、そのシーズンのイントロとエンドクレジットについて、他の視聴者が位置を提供しているかどうかを問い合わせます（後述）。送信されるのはTMDBのIDとシーズン番号のみで、エピソード、その再生時間、タイトルは送信されません。該当するエピソードは、アプリが端末上で選びます。アプリはボタンを表示しますが、自動でジャンプすることはありません。

これらすべての法的根拠は、便利な表示と再生に対する当社の正当な利益です（GDPR第6条第1項(f)）。ユーザーは異議を述べることができます（GDPR第21条）。メタデータと画像のリクエストについてはsupport@tunv.ioから、スキップ位置の取得については、設定 → データとストレージの「共有されたスキップ位置を表示」スイッチから行えます。TMDB自体は、TMDB独自の規約（https://www.themoviedb.org/privacy-policy）に従います。当社はTMDBと提携していません。

Tunvioプロキシ経由のオンライン字幕（OpenSubtitles）

オンライン字幕を検索する場合（または自動読み込みをオンにした場合。既定ではオフ）、リクエストは当社のプロキシsubs.tunv.io（第3項）を通じて行われます。送信されるのは、作品のTMDBまたはIMDBのID（ない場合は整形したタイトル、公開年、シーズンとエピソードの番号）と、要求された言語のみで、プレイリスト、ログイン情報、再生データは送信されません。プロキシは当社のアクセス権でOpenSubtitlesに問い合わせるため、ユーザー自身のアカウントは不要です。字幕は、プロキシと端末にキャッシュされます。法的根拠は、当社の正当な利益です（GDPR第6条第1項(f)）。OpenSubtitlesは、独自のプライバシーポリシー（https://www.opensubtitles.com）に従います。当社はOpenSubtitlesと提携していません。

共有されるスキップ位置（任意）

共有されるスキップ位置には、任意で協力できます。イントロをスキップするとき、またはエンドクレジット中に次のエピソードへ進むとき、Tunvioはその位置を、個人との関連付けなしに、当社がドイツで自ら運営するサービスtmdb.tunv.io/skipに送信します。

同意がある場合のみ。 共有は既定でオフで、「利用データとクラッシュレポート」のスイッチとは独立しています。初めてイントロをスキップした後、アプリが小さなプロンプトで尋ねます。回答しなければオフのままで、3回回答がなかった場合、アプリは尋ねるのをやめます。同意はこの端末にのみ適用され、端末間同期では引き継がれません。

提供1件ごとに送信されるのは、次のもののみです。 イントロかエンドクレジットか、シリーズのTMDB ID、シーズンとエピソードの番号、エピソードの再生時間、スキップ位置（イントロの場合はジャンプ元とジャンプ先、エンドクレジットの場合は次へ進んだ位置）。いずれも整数秒に丸められます。

送信されないもの： タイトル、配信元、プレイリスト、視聴した日時、および端末、インストール、日替わりのいかなる識別子。すでに共有されている位置を使ったスキップは、送り返されません。

まとめて送信され、即時ではありません。 提供分は端末上に集められ（エピソードと種類ごとに最新のもののみ）、最大で1日に1回送信されます。

IPアドレス。 保存されません（第3項）。1台の端末がエピソードと日ごとに1回しか数えられないよう、仮名とエピソードから導出された暗号化値が、次の鍵の入れ替えまで追加で保持され、その後破棄されます。アドレスも仮名も、提供分には書き込まれません（正当な利益、GDPR第6条第1項(f)）。

保存と公開。 上記の値と受信日（時刻は含まない）が保存されます。位置が他の人に表示されるのは、異なる日の複数の独立した提供分が一致した場合のみで、その場合も件数を付けた中央値としてのみ表示され、個々の提供分が表示されることはありません。個々の提供分は、180日後に完全に削除されます。すでに公開された位置のみが、提供分の件数と受信日数を付けた中央値として残ります。その後、十分な数の新しい提供分がそれと矛盾する場合は、それも削除されます。

法的根拠は、ユーザーの同意です（GDPR第6条第1項(a)、§ 25(1) TDDDG）。設定 → データとストレージ → 「スキップ位置を共有」 で、いつでも撤回できます。それ以降は何も送信されず、まだ送信されていない提供分は削除されます。共有された位置の取得には影響しません。すでに送信された提供分には識別子がないため、当社はそれをユーザーと結び付けたり、アクセスを提供したり、個別に削除したりすることができません（GDPR第11条、第12項を参照）。

9. 更新の確認 (tunv.io)

AndroidとiOSでは、Tunvioは起動時と手動確認時に、https://tunv.io/app/config.jsonから設定ファイルを読み込みます（第3項）。これにはアプリに関する情報のみが含まれます。現在の最新バージョンとサポートされる最低バージョン、およびダウンロードまたはストアのアドレスです。プレイリスト、配信元、コンテンツに関する情報は送信されません。IPアドレスについては第3項を参照してください。法的根拠は、安全で最新のアプリに対する当社の正当な利益です（GDPR第6条第1項(f)）。

ストア外のAndroidでユーザー自身が更新をインストールする場合、アプリはこの設定ファイルに記載されたアドレスからインストールファイルをダウンロードすることがあります。その場合、そのサーバーはユーザーのIPアドレスと通常のリクエストデータを受け取ります。

法的文書。 アプリ内でプライバシーポリシー、利用規約、法的情報、アクセシビリティに関する声明を開くと、Tunvioはすべてのプラットフォームで、https://tunv.io/legal/から最新版を読み込もうとします（制限時間は6秒）。失敗した場合は、アプリに同梱されたコピーが表示されます。行われるのはファイルのリクエストのみで、プレイリストやコンテンツに関する情報は送信されません。IPアドレスについては第3項を参照してください。法的根拠は、最新の文面を表示することに対する当社の正当な利益です（GDPR第6条第1項(f)）。

10. 端末間同期 (iCloud / Google Drive / OneDrive / WebDAV)

任意で、Tunvioはプレイリスト、お気に入り、履歴、設定を端末間で同期します。これは既定でオフです。設定 → 端末間同期で接続し、含めるカテゴリーを選択します。当社は同期サーバーを運営せず、このデータを受け取ることもありません。データは、ユーザーが選択したストレージに直接送られます。

• iCloud（iOS）またはGoogle Drive（Android）：ユーザー自身のアカウント内の、他のアプリが読み取れないアプリ専用のプライベート領域。
• Microsoft OneDrive： デバイスコードを使ってMicrosoftに直接サインインします。アプリにパスワードを入力することはありません。Microsoftは、OneDriveのファイルへのアクセスを求めます。これは、アプリが専用のフォルダーを作成するためにMicrosoftが必要とするもので、使用されるのはそのフォルダーのみです。アクセスはaccount.live.com/consent/Manageで取り消せます。
• WebDAV： 自分のNextcloudやNASなど、ユーザーが選んだサーバー。アドレスとサインインデータは、端末に保持されます（第2項）。

プレイリスト（サーバーURL、ユーザー名）と保護者用PINは含まれます。IPTVアカウントのパスワードはアップロードされません。新しい端末では、一度入力します。ただし、M3U、直接URL、Stalkerのプレイリストでは、アクセス情報がアドレス自体（プレイリストURLまたはMACアドレス）の一部であるため、一緒に送られます。

接続を解除した後も、同期ファイルはユーザーが削除するまでストレージに残ります（iCloud：設定 → ご自身の名前 → iCloud → アカウントのストレージを管理。Google Drive：設定 → アプリの管理 → 非表示のアプリデータを削除。OneDrive：アプリのフォルダーを削除。WebDAV：サーバー上のファイルを削除）。

法的根拠は、ユーザーの同意です（GDPR第6条第1項(a)）。同意は接続することで行われ、接続を解除することで撤回されます。Apple（https://www.apple.com/legal/privacy）、Google（https://policies.google.com/privacy）、Microsoft（https://privacy.microsoft.com/privacystatement）のプライバシーポリシー、またはWebDAVサーバーの運営者の規約が適用されます。

ホームネットワーク（LAN）での同期

追加で、または代わりに、端末はローカルネットワーク上で直接同期します。クラウド同期のないテレビも含まれます。これも既定でオフです。6桁のPINで端末を一度ペアリングすると、以後はエンドツーエンドで暗号化されたデータを直接やり取りします。鍵はユーザーの端末にのみ存在します。第三者のストレージが介在しないため、ここではパスワードも含まれます。サーバーもインターネット接続も使わず、第三者も関与しません。法的根拠は、ユーザーの同意です（GDPR第6条第1項(a)）。ペアリングの解除、または機能をオフにすることで撤回されます。

11. 受領者の一覧

12. ユーザーの権利

GDPRに基づき、ユーザーには、アクセス権、訂正権、消去権、処理の制限を求める権利、データポータビリティの権利、異議を述べる権利、およびデータ保護監督機関に苦情を申し立てる権利があります。連絡先：support@tunv.io。同意は、設定から直接、いつでも将来に向かって撤回できます。端末上のデータは、設定から、またはアンインストールによって、ユーザー自身で削除します。

異議を述べる権利（GDPR第21条）。 当社が正当な利益（第3項、第4.1項、第8項、第9項）に基づいてデータを処理する場合、ユーザーは、ご自身の特定の状況に関する理由により、いつでも異議を述べることができます。方法は、support@tunv.ioへのメールです。共有されたスキップ位置の取得については、「共有されたスキップ位置を表示」スイッチで足ります。

当社がユーザーに結び付けられないデータ（GDPR第11条）。 自動エラーレポート（第7項）と共有されたスキップ位置（第8項）には、人物や端末に結び付けることができる識別子を、意図的に付けていません。当社はそこでユーザーを特定できないため、その限りでGDPR第15条から第20条の権利は適用されません。ただし、ユーザーが結び付けを可能にする追加の情報を提供した場合は別です（GDPR第11条第2項）。同意を撤回する権利と、苦情を申し立てる権利には影響しません。次の場合は異なります。

• ユーザー自身が送信した不具合レポート： 参照番号により、当社はレポートを特定して削除します（第7.1項）。
• 端末のペアリング： こちらも氏名やアカウントは保存しませんが、設定 → Premiumで世帯の記録全体を確認でき、そこでエントリをユーザー自身が削除できます（第5.1項）。

13. 変更

当社は、アプリの変更に伴い、本ポリシーを更新します。最新版はhttps://tunv.io/privacy-policy、およびアプリの設定 → アプリについて → プライバシーポリシーでご覧いただけます。

---

このウェブサイト：訪問者の統計

この項目が対象とするのはウェブサイトtunv.ioのみで、アプリは対象外です。アプリ自体にウェブサイトの統計機能はありません。アプリが処理する内容は、上記に記載しています。

当社は、ウェブサイトへの訪問をUmamiで集計しています。Umamiは統計ソフトウェアで、当社が自社のサーバー（stats.tunv.io）で自ら運用しています。データの送信先となる事業者はありません。

• 集計する内容： 閲覧したページ、遷移元のページ（リファラー）、ブラウザ、オペレーティングシステム、端末の種類、画面サイズ、言語、国（IPアドレスから推定）、およびダウンロードボタン（Google Play、APK）のクリック。
• 行わないこと： Cookieの使用、端末のストレージへの書き込み、IPアドレスの保存、複数のウェブサイトにまたがる追跡、第三者への提供は行いません。ブラウザの「Do Not Track」の設定は尊重します。
• 法的根拠： ウェブサイトがどのように利用されているかを把握し、改善することについての正当な利益（GDPR第6条第1項(f)）。Cookieも端末のストレージも使用しないため、同意は不要です。
• 異議の申し立て： この分析には、いつでも異議を述べることができます。法的情報に記載の連絡先からご連絡いただくか、ブラウザで「Do Not Track」をオンにしてください。
• 保持期間： データは、この目的に不要になり次第、削除します。