技術の話ではありませんが、公開したあとで一番面倒になるのがここです。しかも、対応そのものは1日で終わります。
先に断っておくと、この記事は一般的な整理であって、法的助言ではありません。事業として本格的に運用するなら、最終的な文面は専門家の確認を通してください。ここで扱うのは「何が必要かを知らないまま公開してしまう」状態を避けるための地図です。
1. どこから対象になるのか
よくある誤解を先に潰します。
「個人でやっているから対象外」 — 対象外ではありません。個人情報保護法が対象とするのは「個人情報取扱事業者」で、法人格は要件ではありません。個人でも、事業として個人情報を取り扱えば対象です。
「無料だから対象外」 — 無料かどうかは要件ではありません。
「まだユーザーが数人だから」 — 件数の下限はありません（かつてあった5,000件要件は2017年に撤廃されています）。
「メールアドレスだけだから個人情報ではない」 — メールアドレスは、氏名が含まれる形式や他の情報と組み合わせて個人を識別できる場合、個人情報になります。実務上は個人情報として扱うのが安全です。
つまり——メールアドレスを1件でも預かるなら、対象と考えてください。
2. プライバシーポリシー — 何を書くか
個人情報保護法は、個人情報を取り扱う際に利用目的を特定し、公表または通知することを求めています。プライバシーポリシーは、その公表の手段です。
最低限の項目
（1）事業者の情報 名称（屋号でも可）、連絡先。個人事業主の場合、住所の記載を避けたいことが多いですが、問い合わせ手段は必須です。
（2）取得する個人情報 何を集めているかを具体的に。ここで漏れやすいのが以下です。
- 会員登録の情報（メールアドレス、氏名）
- 問い合わせフォームの内容
- アクセス解析の識別子（Cookie、端末情報、IPアドレス）
- 決済に関する情報（Stripe等が扱う場合は「当社では保持しない」旨も書く）
- AIに送信する入力内容 ← 見落としやすい
（3）利用目的 「サービスの提供のため」だけでは不十分です。何のために使うのかを具体的に。マーケティングメールを送る予定があるなら、それも書いておかないと後から送れません。
（4）第三者提供・外部サービス 利用している外部サービスを列挙します。
例:
- アクセス解析: Google Analytics / Microsoft Clarity
- 決済: Stripe
- メール送信: Resend
- ホスティング: Vercel
- データベース: Supabase
- AI処理: OpenAI / Anthropic
（5）保存期間と削除 どれくらい保持するか、削除を求められたときの窓口。
（6）問い合わせ窓口 メールアドレスなど、連絡が取れる手段。
掲載場所
フッターから全ページでリンクします。会員登録画面と問い合わせフォームからも到達できるようにしてください。「探せばある」では公表として弱いです。
3. AIのAPIを使っている場合の追加対応
ここは AI で作ったアプリ特有の論点で、見落とされがちです。
利用者が入力した内容を OpenAI や Anthropic のAPIへ送信している場合、それは外部への提供にあたり得ます。
確認すべきこと
（1）何が送信されているか把握する チャット機能なら会話の内容。要約機能ならアップロードされた文書。画像生成なら入力画像。「AIに投げているもの」を全部書き出してください。
（2）そのデータが学習に使われないか確認する 主要なAIサービスのAPI（コンソール経由ではなくAPI利用）は、既定で学習に使わない方針を取っていることが多いですが、サービスとプランによって異なります。必ず現在の利用規約で確認してください。
（3）プライバシーポリシーに書く 「入力内容の処理のため、〇〇社のAPIへ送信します」という趣旨を明記します。書いていなければ、利用者は自分のデータが外部に出ることを知らないまま使っていることになります。
（4）機微な情報を扱う場合は再検討する 健康、思想信条、犯罪歴などの要配慮個人情報を扱うなら、取得自体に原則として本人同意が必要です。それをAIに投げる設計は、その前提から見直す必要があります。
4. 特定商取引法に基づく表記 — 有料なら必須
無料のみで提供しているなら、この章は飛ばして構いません。
オンラインで有料のサービスを提供する場合、特定商取引法により、事業者に関する一定の事項の表示が義務づけられています。
主な記載項目
- 販売業者の名称
- 代表者または業務責任者の氏名
- 所在地
- 連絡先（電話番号、メールアドレス）
- 販売価格（消費税の内税・外税を明示）
- 商品代金以外に必要な費用
- 支払方法と支払時期
- 商品・役務の提供時期
- 返品・キャンセルの条件
デジタルサービスで特に重要な点
返品・キャンセルの扱い。 デジタルコンテンツは一般に返品に馴染まないため、その旨を明示しておく必要があります。何も書かないと、後から争いになります。
サブスクリプションの解約方法。 解約手順、解約後にいつまで使えるか、日割り返金の有無。定期購入をめぐるトラブルは消費者庁が特に注視している領域なので、ここは丁寧に書いてください。
自動更新の明示。 自動で更新されること、更新のタイミング、更新前の通知の有無。
決済審査との関係
実務的な話として、Stripe をはじめとする決済サービスの審査では、この表記の有無が確認されます。整っていないと審査に通らず、決済が使えません。
「コードは完成したのに決済が有効化できない」という状態は、たいていここが原因です。コードを書き終える前に用意しておくほうが早いです。
住所の記載について
個人事業主にとって自宅住所の公開は現実的な懸念です。バーチャルオフィスの利用や、条件を満たす場合の一部省略といった選択肢がありますが、省略できる条件は限定的です。ここは消費者庁のガイドを確認するか、専門家に相談してください。
5. 削除請求 — 実際にできるか試す
個人情報保護法では、本人からの利用停止・消去の請求に、一定の要件のもとで応じる義務があります。
法律の話としてはそれだけですが、技術的な問題のほうが大きいです。
AI生成のスキーマでよく起きること
AI が作ったデータベース構造では、ユーザーを削除しようとすると次のいずれかが起きがちです。
- 外部キー制約でエラーになって削除できない（関連データが残っているため）
- ユーザーだけ消えて関連データが残る（投稿・注文・ログなどが孤児になる）
- 意図せず連鎖削除される（消してはいけない決済履歴まで消える）
3番目は逆に危険です。決済履歴や取引記録には、法令上の保存義務がある場合があります。
やるべきこと
テスト用アカウントを1つ作り、実際に削除してみてください。 公開前に、1回だけ。
- エラーにならずに削除できるか
- 関連データが残っていないか
- 消してはいけないものまで消えていないか
設計の考え方
法令上の保存義務がありそうなデータ（決済履歴、取引記録）は、削除ではなく匿名化するのが定石です。個人を識別できる情報だけを消し、金額や日付といった記録は残します。
6. 利用規約 — 義務ではないが実務上ほぼ必須
法律で一律に義務づけられているものではありませんが、無いとトラブル時に何も主張できません。
最低限、次を定めておきます。
- 禁止事項 — 何をされたらアカウントを止められるか
- 免責の範囲 — サービスが止まったとき、データが消えたときの責任
- サービスの変更・終了 — 個人開発では特に重要。いつでも止められる旨
- 準拠法と管轄 — 日本法、どこの裁判所か
無料で提供する場合ほど、免責の範囲を明示する意味があります。 「趣味で作った無料ツール」でも、業務に使われてトラブルになれば話は別です。
7. AIに貼る指示
法務文書そのものはAIに全部任せるべきではありませんが、「何を集めているかの棚卸し」はAIが得意です。ここが正確でないと、正しいポリシーは書けません。
このアプリについて、次を洗い出して表にしてください。
(1) 収集している個人データの項目と、それをどの画面/機能で取得するか
（会員登録、問い合わせフォーム、アクセス解析、Cookie、ログを含む）
(2) 利用している外部サービスと、それぞれに送信しているデータの内容
（ホスティング、データベース、決済、メール送信、アクセス解析、
AI API、エラー監視）
(3) 課金がある場合、その価格・課金タイミング・解約条件を、コードから
読み取れる範囲で
(4) ログやエラー通知に個人データがそのまま記録されている箇所
そのうえで、(1)(2) の実態に合わせたプライバシーポリシーの雛形と、
(3) に基づく特定商取引法に基づく表記の雛形を作成してください。
条件:
- 実際にこのアプリが収集しているものだけを書き、一般的な雛形の
コピーにしないこと
- 事業者情報など私が埋める必要がある箇所は【要記入】と明示すること
- 最終的な文面は専門家の確認が必要である旨を、成果物の冒頭に
注記すること
さらに、削除の実装についてはこちら。
このアプリのデータベーススキーマを読んで、あるユーザーを削除したときに
関連データがどうなるか（連鎖削除されるか、残るか、外部キー制約でエラーに
なるか）を表にしてください。
そのうえで、ユーザーのアカウントと関連データを完全に削除する処理を実装
してください。決済履歴など法令上の保存義務がありそうなデータについては、
削除ではなく個人を識別できる情報だけを消す匿名化の案も添えてください。
8. 公開前チェックリスト
全員
- プライバシーポリシーを作成し、フッターからリンクした
- 収集している個人データを実態に合わせて列挙した
- 利用している外部サービスを全部列挙した
- AI APIに送信している内容を明記した
- 問い合わせ窓口を明記した
- 利用規約を用意した（免責・禁止事項・サービス終了の条件）
- テストアカウントで削除を実際に試した
有料で提供する場合
- 特定商取引法に基づく表記を作成し、購入導線から到達できるようにした
- 価格と消費税の扱いを明示した
- 返品・キャンセルの条件を書いた
- （サブスクの場合）解約方法・自動更新・更新タイミングを書いた
- 決済サービスの審査に必要な書類を確認した
まとめ
- メールアドレスを1件でも預かるなら、利用目的の公表は義務。個人・無料は免除の理由にならない
- 有料なら特定商取引法に基づく表記が必要。決済サービスの審査でも見られるので、コードより先に用意するほうが早い
- AIのAPIに利用者の入力を送っているなら、それをプライバシーポリシーに書く。書いていなければ説明がついていない状態
- 削除請求には応じる義務がある。AI生成のスキーマは削除で壊れがちなので、公開前に1回試す
- 利用規約は義務ではないが、無いとトラブル時に何も主張できない
繰り返しますが、この記事は一般的な整理であって法的助言ではありません。事業として運用するなら、最終的な文面は専門家の確認を通してください。
技術面の確認項目は AIで作ったアプリを公開する前に にまとめています。