プライバシーポリシー
いっしょシフト · 2026年10月28日 改定
要約：いっしょシフトは、お店のシフト表をなくさないために、入力された内容をサーバーに保存します。それ以外の目的には使わず、販売も共有もしません。広告、解析ツール、トラッキングは使っていません。お名前やメールアドレスの登録はいりません。アプリやWeb版からいつでもすべて削除できます。
このポリシーは、NEXUSCORTEX LLC（以下「当社」）が提供するiPhone・Androidアプリ「いっしょシフト」、そのWeb版（nexuscortex.dev/shift/app/）、スタッフが希望シフトを入力するウェブページ（nexuscortex.dev/shift/f/）、公開されたシフト表をスタッフが見るウェブページ（nexuscortex.dev/shift/v/）と、スタッフが出勤・退勤を打刻するウェブページ（nexuscortex.dev/shift/clock/）に適用されます。以下「アプリ」にはWeb版を含みます。
1. 当社が預かる情報
店長がアプリに入力する内容
- お店の設定：お店の名前、締め日、定休日・休業日、シフトの種類と時間、必要な人数、役割（キッチン・ホールなど）とシフトごとの最低人数、勤務間インターバル
- スタッフの情報：名前（ニックネームでも構いません）、色、時給、1か月の日数・時間の上限、連続勤務の上限、毎週の休み（固定休）、役割、18歳未満かどうか、メモ
- シフト表：各日のシフト、メモ
- 変更の履歴：お店の設定とシフト表それぞれ、直近60回分の保存内容
スタッフが希望シフトのページで送る内容（Proプラン）
- 選んだ自分の名前、日ごとの出勤できる・できない・時間指定、メモ、送信日時
スタッフ用のシフト表（「スタッフに公開」を使った場合）
- 公開したシフト表：店長が「スタッフに公開」を押した時点の、お店の名前、スタッフの名前と色、シフトの種類と時間、各日のシフト、メモ、公開日時。変更のあった所を示すため、1つ前に公開したシフトも保存します。公開し直すたびに置き換わり、12期間より古い公開分は自動で消えます。
- 交代リクエスト：スタッフが選んだ自分の名前、出られない日とシフト、メモ、代わりを申し出た人の名前、店長の承認・見送りとその日時。対象の日から60日たつと自動で消えます。
- 公開用のリンクは、お店ごとに1つのランダムな文字列です。店長はいつでも新しいリンクに変えたり、止めたりできます。
スタッフのブラウザには、次回すぐ選べるように、選んだ名前だけを保存します（そのページのローカルストレージ）。
打刻（「打刻（タイムカード）を使う」をオンにした場合・Proプラン）
- 打刻：どのスタッフか（お店の中の番号）、出勤・退勤・休憩開始・休憩終了の別、その時刻（当社のサーバーの時計）。店長が追加・修正・取り消しをした場合は、その理由と日時、修正前の打刻も残します。打刻はお店またはアカウントを削除するまで保存します（労働基準法第109条が求める記録の保存のためです）。
- 暗証番号：店長が決めたスタッフごとの4桁の番号と、続けて間違えた回数（5回でしばらく打刻できなくなります）。暗証番号はお店の設定や変更の履歴には入りません。
- 打刻時の写真：「打刻時に写真を撮る」がオンのお店（打刻を使うと最初はオン）では、打刻ボタンを押したときに端末の前面カメラで小さな写真を1枚撮り、その打刻と一緒に保存します。他人による打刻（なりすまし）を防ぐためだけに使い、そのお店の店長だけが見られます。写真は打刻から90日後に自動で削除します。カメラを許可しなかった場合も打刻はでき、「写真なし」と記録します。顔の認識や照合はしません。
- 打刻した端末：打刻のページがそのブラウザに作るランダムな端末番号と、端末の種類（iPhone、iPad、Android、パソコン）。いつもと違う端末からの打刻を店長が確認できるようにするためです。端末番号はそのブラウザのローカルストレージにも保存します。
- 打刻のページはスタッフ用のシフト表と同じリンクで開きます。位置情報は使いません。「この端末を自分専用にする」を選んだ場合だけ、そのブラウザに名前と暗証番号を保存します（ローカルストレージ）。
アカウント
- アプリを初めて開いたときに作る、ランダムな番号のアカウント。ログインを保つための鍵は、当社側では元に戻せない形（ハッシュ値）でだけ保存します。
- 「Appleでサインイン」（iPhone）や「Googleでサインイン」（Android・Web版）を使った場合は、AppleまたはGoogleが発行するアカウントの識別子だけを保存します。お名前とメールアドレスは保存しません。
- 別の端末で同じデータを開くための8文字のコードは、元に戻せない形（ハッシュ値）で10分間だけ保存し、使われるか期限が過ぎると消えます。
購入
- Proプランを購入した場合、iPhoneではAppleが署名した購入記録（取引番号、プランの種類、有効期限、返金の有無）を、AndroidではGoogle Playの購入トークンを受け取り、Google Playに有効期限を問い合わせて、Proプランを有効にするために使います。支払い方法やカード情報を当社が受け取ることはありません。
- Web版でProプランを購入した場合、お支払いはStripe, Inc.（米国）の決済画面で行われ、当社はStripeから定期購入の番号、プランの種類、有効期限、解約の予定を受け取って、Proプランを有効にするために使います。決済画面で入力されたメールアドレス、お名前、国、カードのブランドと下4桁は、Stripe上の当社のアカウントに保存され、領収書の送付、お支払いに関するお問い合わせへの対応、返金のためにだけ使います。カード番号は当社に届きません。Stripeが扱う情報についてはStripeのプライバシーポリシーをご覧ください。
受け取らない情報
位置情報、連絡先、写真、端末の広告識別子、利用状況の解析データは受け取りません。サーバーへのアクセスのIPアドレスは、短時間に大量のアクセスを防ぐ目的で一時的に使うだけで、保存しません。
2. 使い道
預かった情報は、シフト表を保存し、別のiPhoneでも開けるようにし、履歴から戻せるようにし、希望シフトの集計と自動作成を行い、公開したシフト表と交代リクエストをスタッフに表示し、打刻を記録して勤怠を集計し（打刻時の写真と端末はなりすまし防止のためだけに使います）、Proプランを有効にするためだけに使います。広告、販売、プロファイリング、AIの学習には使いません。法令にもとづく開示請求があった場合を除き、第三者に提供しません。
3. 保存場所と委託先
サーバーとデータベースには、Cloudflare, Inc.（米国）のサービス（Cloudflare Workers、D1）を利用しており、データはアジア太平洋地域のデータセンターに保存されます。通信はすべて暗号化（HTTPS）されています。Cloudflareは当社の委託先として、当社の指示の範囲でのみデータを扱います。Web版の決済にはStripe, Inc.（米国）を利用しており、Stripeは決済に必要な範囲で上記の情報を扱います。
このほか、アプリ内の情報は端末にも保存され、端末のバックアップの設定に従ってバックアップに含まれます。ログインの鍵は、iPhoneではiCloudキーチェーンに保存されてご自身の他のApple製品に同期され、AndroidではGoogleアカウントへのバックアップに含まれます。Web版では、入力した内容とログインの鍵をそのブラウザの中（ローカルストレージ）に保存します。ブラウザのサイトデータを消すと、Googleでサインインしているか別の端末のコードを使わない限り、同じデータを開けなくなります。
4. スタッフの情報について（店長の方へ）
スタッフの名前や時給などはお店（店長）が管理する個人情報で、当社はシフト表の保存と表示のためにお預かりしています。入力は必要な範囲にとどめ、スタッフにはこのアプリでシフトを管理していることをお伝えください。希望シフトのページとスタッフ用のシフト表のページは、リンクを知っている人なら誰でも開け、お店の名前、スタッフの名前、シフトの時間（シフト表のページでは各日のシフト、メモ、交代リクエストとそのメモ）が表示されます。どちらのページも名前を選ぶだけで使え、本人確認はしません。打刻のページは同じリンクで開き、名前を選んで店長が決めた暗証番号を入れたときだけ打刻できます。リンクはスタッフのグループにだけ送ってください。
5. 保存期間と削除
- アカウントの削除：アプリやWeb版の「アカウントとデータ」→「アカウントとデータを削除」で、サーバーとその端末から、お店、スタッフ、シフト表、履歴、集めた希望、公開したシフト表、交代リクエスト、打刻と暗証番号、購入記録をすぐに削除します。
- お店の削除：そのお店のスタッフ、シフト表、履歴、集めた希望、公開したシフト表、交代リクエスト、打刻と暗証番号をサーバーからすぐに削除し、スタッフ用のリンクも使えなくなります。
- 障害復旧用の記録：データベースの障害に備えた復旧用の記録に、削除したデータが最長30日残り、その後自動で消えます。この記録は障害の復旧以外には使いません。
- アプリを削除しただけでは、サーバーのデータは消えません（新しいiPhoneで同じデータを開けるようにするためです）。アプリを削除する前に、上の方法で削除してください。アプリを削除してしまった場合は、下のお問い合わせ先にご連絡いただければ削除します。
6. AppleやGoogleから届く情報
iPhoneの設定で「Appディベロッパと共有」をオンにしている場合や、Androidで使用状況と診断情報をGoogleと共有している場合、AppleまたはGoogleから個人を特定しないクラッシュレポートと利用統計が当社に届くことがあります。不具合の修正にだけ使います。
7. 開示・訂正・削除のご請求
ご自身の情報の開示、訂正、利用停止、削除をご希望の場合は、下のお問い合わせ先までご連絡ください。ご本人であることを確認したうえで対応します。スタッフの方は、まずお店の店長にご相談ください。
8. 子ども
このアプリはお店の業務用で、子どもを対象にしていません。
9. 改定
情報の扱いを変える場合は、その機能を含むアプリを公開する前にこのページと上の日付を更新します。
10. お問い合わせ
NEXUSCORTEX LLC · support@nexuscortex.dev
Privacy Policy (English)
Last updated October 28, 2026. This policy covers the iPhone and Android app “いっしょシフト” (Isshō Shift), its web version (nexuscortex.dev/shift/app/), the web page where staff send their availability (nexuscortex.dev/shift/f/) and the web page where staff see the published schedule (nexuscortex.dev/shift/v/) and the web page where staff punch in and out (nexuscortex.dev/shift/clock/), published by NEXUSCORTEX LLC (“we”). If the Japanese and English versions differ, the Japanese version applies.
Summary: the app stores what you enter on our server so that your schedules are never lost, and uses it for nothing else. No ads, no analytics, no tracking, no name or email needed. You can delete everything from the app at any time.
- What we store: the shop’s settings (name, cutoff day, closed days, shift types and times, staffing needs, roles such as kitchen or floor with the minimum per shift, the rest hours between shifts); staff names (nicknames are fine), colors, hourly wages, monthly limits, days-in-a-row limits, fixed weekly days off, roles, whether the person is under 18, and notes; the schedules and notes; the last 60 saved versions of the shop and of each schedule; staff availability answers sent through the web form (Pro): the name chosen, availability per day, a note and the time sent. When the manager uses “スタッフに公開”: the published schedule (shop name, staff names and colors, shift types and times, each day’s shifts, notes, time published) and the one published before it (to mark changes), replaced at each publish and deleted after 12 periods; swap requests from the staff page (the name chosen, the day and shift, a note, the name of whoever offered to cover, the manager’s decision and its time), deleted 60 days after the day concerned. The link is one random string per shop, which the manager can replace or stop at any time. The staff pages remember the chosen name in that browser’s local storage. When the shop turns on the time clock (Pro): punches (the person, clock-in/out or break start/end, the time by our server’s clock, and for the manager’s additions, corrections and removals the reason, time and the punch before the change), kept until the shop or account is deleted (record keeping under Labour Standards Act article 109); each person’s 4-digit PIN set by the manager and a count of wrong tries (five lock the person out for a while), kept outside the shop settings and history; when the shop's “打刻時に写真を撮る” is on (the default once the time clock is on), one small photo from the device's front camera taken when a punch button is pressed, used only against punching for someone else, seen only by that shop's manager and deleted automatically 90 days after the punch (no face recognition; refusing the camera still punches, marked “no photo”); a random device number the page keeps in that browser and the device kind (iPhone, iPad, Android, computer), so the manager can spot punches from an unusual device. The time clock page opens with the same link as the staff schedule page and does not use location; only when “この端末を自分専用にする” is chosen does that browser keep the name and PIN.
- Account: a random account created on first launch; the sign-in key is stored on our side only as a hash. With Sign in with Apple (iPhone) or Google (Android) we store only Apple’s or Google’s account identifier, never your name or email. The 8-letter code for opening the same data on another device is stored as a hash for 10 minutes and deleted once used or expired.
- Purchases: for Pro we receive Apple’s signed transaction (transaction id, plan, expiry, refund status) on iPhone, or the Google Play purchase token on Android, which we check with Google Play, to turn Pro on. On the web, payment goes through Stripe, Inc. (USA) and we receive the subscription id, plan, expiry and cancellation status from Stripe. What you enter on Stripe’s checkout page (email address, name, country, card brand and last four digits) is kept in our Stripe account and used only for receipts, payment questions and refunds. Card numbers never reach us.
- Not collected: location, contacts, photos, advertising identifiers, usage analytics. IP addresses are used briefly to limit abusive traffic and are not stored.
- Use: only to save and sync the schedules, keep the history, run the availability form and the automatic draft, show the published schedule and swap requests to staff, record punches and total attendance, and enable Pro. Never for ads, sale, profiling or AI training. Not shared with third parties except where required by law.
- Where: on Cloudflare, Inc. (USA) services (Workers, D1), stored in Asia-Pacific data centers, always over HTTPS. Cloudflare processes the data on our behalf, and Stripe, Inc. (USA) handles web payments. The app also keeps the data on the device (included in its backups); the sign-in key is kept in iCloud Keychain on iPhone and in the Google account backup on Android. The web version keeps the data and the sign-in key in that browser’s local storage.
- Staff data: staff details are personal information managed by the shop; we hold them to store and show the schedules. The availability form and the staff schedule page open for anyone with their link and show the shop name, staff names and shift times (the schedule page also each day’s shifts, notes and swap requests with their notes); both work by picking a name, without identity checks; the time clock page, on the same link, punches only with the PIN the manager set. Share the links only with your staff.
- Deletion: “アカウントとデータを削除” in the app deletes the account, shops, staff, schedules, history, answers, published schedules, swap requests, punches and PINs and purchase records from our server and the device at once; deleting a shop deletes its data at once and stops its staff link. Deleted data stays in the database’s disaster-recovery records for up to 30 days, then disappears. Deleting the app alone does not delete server data; email us and we will delete it.
- Crash reports: if you share diagnostics with app developers (Apple) or with Google, they may send us anonymous crash reports and usage statistics, used only to fix bugs.
- Your rights: to access, correct, stop the use of or delete your data, email us. Staff should first ask their shop’s manager.
- Children: the app is a business tool and is not directed at children.
- Changes: if a new version handles data differently, we update this page and its date before that version is released.
Contact: NEXUSCORTEX LLC, support@nexuscortex.dev.