Slime
Privacy Policy
Slime is a bowel-movement log for your own use. Your detailed log stays on your device. Sharing a friend update is optional and uses a separate sharing service. An optional Supporter subscription is sold through Apple.
1. Your private log stays on your device
- Entries you create (date and time, optional shape, amount, color and note) and the "no bowel movement" check-ins.
- Your settings (language, motion, reminder time, companion name, and whether the widget shows today's count).
These are stored only in the app's private storage on your iPhone and are included in your iPhone backups (iCloud Backup or a computer backup) according to your device settings. You do not need an account to keep your own log. Your entries and notes are never sent to us and are never included in friend updates.
- Home Screen widget: the app shares a small snapshot with its widget on the same iPhone: the companion's look and the privacy mode. By default the widget shows no count. Only if you turn on "Show today's count" in Settings does the snapshot include today's number of entries (and today's date) — never times, shapes, amounts, colors, notes or streaks. Anyone who can see your widget can then see that count. This is a setting of this iPhone, not of your sharing account. Turning it off, or deleting local data, returns the widget to private; iOS may keep showing an older widget image for a while, so we cannot promise the count disappears immediately.
- Reminders: a daily reminder is a local notification scheduled on your iPhone. No server is involved.
- Export: Settings › Export CSV creates a file of your entries (notes only if you choose) and hands it to the iOS share sheet. Where you send it is your choice; we do not receive a copy.
2. Optional sharing with friends
Nothing in this section applies unless you choose to use sharing. Sharing requires Sign in with Apple, a sharing profile, and confirming that you are 18 or older. The sharing service stores:
| What | Details |
|---|---|
| Account | Your opaque Apple user identifier (from Sign in with Apple — Slime requests neither your email address nor your name) and your sharing account ID; the version and time of the sharing terms you accepted; your confirmation that you are 18 or older; an encrypted Apple token used only to revoke Sign in with Apple when you delete your sharing account. |
| Profile | The display name you choose (1–24 characters), avatar color, pose and accessory. Friends and people you invite can see it. |
| Connections | Invitations (codes are stored only as hashes), your friends (up to 20) and the people you block. |
| Friend updates | The date you chose and that you logged, the companion pose, the time the service created the update, and who receives it. Friend updates never include the exact bowel-movement time, shape, amount, color, symptoms or notes. The time an update arrives can still give clues. |
| Reactions, hides and reports | Reactions to an update; updates you hide; reports you file (a reason and a minimal snapshot: author, date, kind and pose — no health details). |
| Notifications | Notification records for friend updates and reactions; when friend notifications are enabled, your device's push token (stored encrypted), an installation ID, the environment and your app language. Push messages carry a generic text ("You have an update in Slime.") and no names, dates or health information. Friend notifications (Settings › Sharing & privacy › Friend notifications) are OFF by default and register with Apple Push Notification service (APNs) only when you turn them ON; allowing local reminder notifications does not turn them on. |
| Operational records | Request receipts that make retries safe, rate-limit counters, and service logs that record the function, outcome, duration and a short one-way hash of your account ID — never tokens, profiles or health data. |
Service providers:
- Supabase provides our managed database, authentication and server Edge Functions in Northeast Asia (Tokyo,
ap-northeast-1). Daily database backups on the Pro plan are retained for up to 7 days, and operational service logs are retained for up to 7 days. - Cloudflare provides a stateless Worker that verifies Apple App Store JWS signatures, a private R2 storage bucket in APAC that holds 35-day deletion-ledger tombstones (opaque IDs and HMACs only, never names, notes, tokens or health details) used solely to re-apply deletions if a database backup is restored, and Cloudflare Pages for these static legal and support web pages.
- Apple provides Sign in with Apple, push notification delivery (APNs), StoreKit 2 and the App Store Server API / Server Notifications.
3. Supporter subscription
- Payment is handled by Apple. We never receive your payment card details.
- To unlock Supporter features, the service verifies your signed App Store transactions with Apple and stores: a keyed hash of your Apple user identifier as the purchaser, the environment, transaction IDs, the product, purchase / expiry / revocation dates, the status and when it was verified. App Store server notifications are kept encrypted for 7 days and their records for 30 days.
- Deleting local data, deleting the app or deleting your sharing account does not cancel a subscription. Manage or cancel it in your App Store account settings. See also the Terms of Use.
4. How long sharing data is kept
| Data | Kept |
|---|---|
| Friend updates and their recipients | Shown for 7 days; deleted within 24 hours after they expire or you withdraw them |
| Reactions and hides | Deleted with the update they refer to |
| Notification records | Until the update they refer to expires (7 days) |
| Invitations | Valid 24 hours; deleted 24 hours after they expire |
| Friends, blocks and your profile | While your sharing account exists |
| Push token | Kept only while registered. Turning off friend notifications (ST06), signing out, Apple reporting the token permanently invalid, or starting sharing-account deletion deletes the push registration row immediately |
| Deletion-ledger tombstones | 35 days in the database and private R2 mirror (opaque IDs and token hashes only — no names, notes, tokens or health data) so deletions can be re-applied after any backup restore |
| Request receipts | 14 days (or until your sharing account deletion completes, if earlier) |
| Reports | 30 days |
| Rate-limit counters | 2 days |
| Purchase records | While your sharing account exists; after account deletion, 90 days after no subscription is active |
| Sign-in account (authentication record, Apple identifier, sharing-terms consent and 18+ confirmation) | Until your sharing account deletion completes; the service revokes your Apple token and deletes the Supabase authentication account (retried until confirmed), and these records are deleted with it |
| Service provider backups and logs | Supabase daily backups: up to 7 days; operational logs: up to 7 days |
5. Deleting your data
- Delete local data (Settings › Privacy & data › Delete local data) removes your local log, settings and app-managed copies from this iPhone, and returns the widget to private. It does not delete your sharing account or Apple purchases. Requests to withdraw friend updates that are still pending are kept so they can finish.
- Delete sharing account (Settings › Sharing & privacy › Delete sharing account, after signing in with Apple again) blocks reads immediately, deletes your push registration, deletes your sharing profile, friend updates, reactions, friendships, invitations, blocks and notifications, revokes your Sign in with Apple token with Apple, and deletes your Supabase authentication user (together with your Apple identifier, consent record, 18+ confirmation and request receipts). If you later sign in with the same Apple ID, you start as a new sharing account. Your local log on the iPhone is not touched.
- After account deletion the service keeps, for the periods above, abuse reports (30 days), deletion-ledger tombstones (35 days, opaque IDs/hashes only) and purchase records (90 days after no subscription is active).
- Copies outside the app cannot be erased by the app: OS backups, exported CSV files, notifications already delivered, and copies other people kept, such as screenshots.
6. Tracking, advertising and analytics
Slime does not track you, shows no ads, contains no analytics or advertising software, and does not sell your data.
7. Children
Slime is not directed at children under 13. Sharing requires confirming that you are 18 or older.
8. Changes
If this policy changes, the new version will be published at this address with a new effective date.
9. Contact
プライバシーポリシー
Slime は、ご自身のための排便記録アプリです。詳細な記録は端末内に保存します。友だちへの報告は任意で、別の共有サービスを使います。任意の Supporter 購読は Apple を通じて販売します。
1. 自分の記録は端末内にとどまります
- 作成した記録（日時と、任意の形・量・色・メモ）、「出なかった」チェックイン。
- 設定（言語、動き、リマインダーの時刻、相棒の名前、ウィジェットに今日の件数を表示するかどうか）。
これらは iPhone 内のアプリ専用領域にだけ保存され、端末の設定に従って iPhone のバックアップ（iCloud バックアップやコンピュータへのバックアップ）に含まれます。自分の記録にアカウントは不要です。記録とメモが私たちに送られることはなく、友だちへの報告に含まれることもありません。
- ホーム画面のウィジェット: 同じ iPhone 上のウィジェットと小さな要約（相棒の見た目、プライバシー表示の設定）だけを共有します。初期設定では件数を表示しません。設定で「今日の記録件数を表示」をご自身でオンにした場合だけ、要約に今日の記録件数（と今日の日付）を含めます。時刻・形・量・色・メモ・連続日数は含みません。オンにすると、ウィジェットを見る人に記録件数が見えるようになります。これはこの iPhone の設定で、共有アカウントには紐付きません。オフにするか端末内データを削除すると件数を表示しない状態に戻りますが、iOS が古いウィジェットの表示をしばらく残すことがあるため、すぐに消えることは保証できません。
- リマインダー: 毎日のリマインダーは iPhone 内で予約するローカル通知です。サーバーは使いません。
- 書き出し: 設定 › CSVを書き出す で記録の CSV ファイル（メモは選んだ場合のみ）を作成し、iOS の共有シートに渡します。送り先はあなたが選びます。私たちに控えが届くことはありません。
2. 任意の友だちとの共有
この節の内容は、共有を使うことを選んだ場合にだけ当てはまります。共有には Sign in with Apple、共有用のプロフィール、18 歳以上であることの確認が必要です。共有サービスには次を保存します。
| 項目 | 内容 |
|---|---|
| アカウント | Apple の不透明なユーザー識別子（Sign in with Apple。メールアドレスと氏名は要求しません）と共有アカウント ID、同意した共有規約の版と日時、18 歳以上であることの確認、共有アカウント削除時に Sign in with Apple を取り消すためだけに使う Apple の token（暗号化）。 |
| プロフィール | 自分で決める表示名（1〜24 文字）、アバターの色、ポーズ、アクセサリ。友だちと招待した相手に表示されます。 |
| つながり | 招待（コードはハッシュのみ保存）、友だち（最大 20 人）、ブロックした相手。 |
| 友だちへの報告 | 選んだ日と記録したこと、相棒のポーズ、サービスが報告を作成した時刻、宛先。厳密な排便時刻・形・量・色・症状・メモは含みません。届いた時刻から推測される可能性はあります。 |
| 反応・非表示・通報 | 報告への反応、非表示にした報告、通報（理由と最小限の記録: 投稿者・日・種類・ポーズ。健康の詳細は含みません）。 |
| 通知 | 友だちの報告と反応の通知記録、および友だちからの通知をオンにしている間の端末の push token（暗号化して保存）、インストール ID、環境、アプリの言語。push の本文は一般的な文（「Slimeにお知らせがあります」）だけで、名前・日付・健康情報を含みません。友だちからの通知（設定 › 共有とプライバシー › 友だちからの通知）は初期状態でオフであり、ご自身でオンにしたときだけ Apple Push Notification service（APNs）へ登録します。リマインダーの通知を許可しても友だちからの通知はオンになりません。 |
| 運用の記録 | 再送を安全にするための要求の受領記録、利用回数の制限用カウンタ、関数・結果・所要時間・アカウント ID の短い一方向ハッシュを記録するサービスログ（token・プロフィール・健康データは記録しません）。 |
委託先・利用サービス:
- Supabase: データベース、認証、サーバー関数（Edge Functions）を北東アジア（東京
ap-northeast-1）リージョンで運用します。Pro プランの日次バックアップ保持は最大 7 日間、運用ログ保持は最大 7 日間です。 - Cloudflare: Apple App Store の JWS 署名を検証するステートレスな Worker、バックアップ復元時に削除を再適用するためだけの削除台帳（不透明な ID と HMAC のみ、35 日間保持。名前・メモ・token・健康情報は含みません）を保管する APAC リージョンの非公開 R2 バケット、および本法務・サポートページの静的配信（Cloudflare Pages）に利用します。
- Apple: Sign in with Apple、push 通知の配信（APNs）、StoreKit 2 および App Store Server API / Server Notifications を提供します。
3. Supporter 購読
- 支払いは Apple が処理します。私たちがカード情報を受け取ることはありません。
- Supporter の機能を有効にするため、共有サービスは署名済みの App Store 取引を Apple に照会して検証し、購入者としての Apple ユーザー識別子の鍵付きハッシュ、環境、取引 ID、商品、購入・期限・取消の日時、状態、検証日時を保存します。App Store サーバー通知は暗号化したまま 7 日、その記録は 30 日保持します。
- 端末内データの削除、アプリの削除、共有アカウントの削除では購読は解約されません。 管理・解約は App Store のアカウント設定で行ってください。あわせて利用規約もご確認ください。
4. 共有データの保持期間
| データ | 保持 |
|---|---|
| 友だちへの報告と宛先 | 表示は 7 日。期限切れまたは取消から 24 時間以内に削除 |
| 反応・非表示 | 対象の報告とともに削除 |
| 通知の記録 | 対象の報告の期限（7 日）まで |
| 招待 | 24 時間有効。期限切れから 24 時間後に削除 |
| 友だち・ブロック・プロフィール | 共有アカウントがある間 |
| push token | 登録中のみ保持。友だちからの通知をオフにしたとき（ST06）、ログアウト時、Apple が恒久的に無効と応答したとき、または共有アカウント削除の push 解除段階で直ちに行を削除します |
| 削除記録（墓標） | バックアップ復元時に削除を再適用するため、不透明な ID とハッシュのみをデータベースと非公開 R2 バケットに 35 日間保持（名前・メモ・token・健康情報は含みません） |
| 要求の受領記録 | 14 日（それより前に共有アカウント削除が完了した場合はその時点まで） |
| 通報 | 30 日 |
| 利用回数のカウンタ | 2 日 |
| 購入の記録 | 共有アカウントがある間。アカウント削除後は、有効な購読がなくなってから 90 日 |
| サインイン用アカウント（認証の記録、Apple ユーザー識別子、共有規約への同意、18 歳以上の確認） | 共有アカウントの削除が完了するまで。削除処理の中で Apple の token を取り消し、Supabase の認証ユーザーを削除し（削除を確認できるまで再試行）、これらの記録も一緒に削除します |
| 委託先のバックアップ・運用ログ | Supabase 日次バックアップ: 最大 7 日間、運用ログ: 最大 7 日間 |
5. データの削除
- 端末内データを削除（設定 › プライバシーとデータ › 端末内データを削除）は、この iPhone から記録・設定・アプリ管理のコピーを削除し、ウィジェットを件数を表示しない状態に戻します。共有アカウントと Apple の購入は削除しません。保留中の共有取消の要求は、取消を完了させるため保持します。
- 共有アカウントの削除（設定 › 共有とプライバシー › 共有アカウントを削除、Apple で再度サインインしたうえで実行）は、ただちに読み取りを遮断し、push 登録を削除し、プロフィール・友だちへの報告・反応・つながり・招待・ブロック・通知を削除し、Sign in with Apple の token を Apple に対して取り消し、完了前に Supabase の認証ユーザーを（Apple ユーザー識別子・同意の記録・18 歳以上の確認・要求の受領記録とともに）削除します。後で同じ Apple ID でサインインすると、新しい共有アカウントとして始まります。iPhone 内の記録には触れません。
- アカウント削除後も、上記の期間、通報（30 日）、削除記録の墓標（35 日、不透明な ID とハッシュのみ）、購入の記録（有効な購読がなくなってから 90 日）は残ります。
- アプリの外にあるコピーはアプリから消せません: OS バックアップ、外部に保存した CSV、配信済みの通知、相手が保存したスクリーンショットなどのコピー。
6. トラッキング・広告・分析
Slime はトラッキングを行わず、広告を表示せず、分析・広告のソフトウェアを含まず、データを販売しません。
7. お子さまについて
Slime は 13 歳未満のお子さまを対象としていません。共有には 18 歳以上であることの確認が必要です。
8. 変更
このポリシーを変更する場合は、新しい施行日とともにこのページで公開します。