アカウントおよびデータの削除、ならびにデータ主体からの請求（DSAR／ARCO）に関する手続

1. 目的

本書は、Happy Songsが、アカウントおよびそのデータの削除請求、またはその他のデータ主体の権利（アクセス、訂正、取消／消去、異議、ポータビリティ、オプトアウト、および同意の撤回 — メキシコにおけるderechos ARCO、米国におけるCCPA/CPRA、テキサス州TDPSA、および改正COPPA規則の消費者プライバシー権）の行使に係る請求を、受領し、検証し、実行し、そして完了させる運用手続である。

本書は、顧客向け（アプリ内画面、ウェブ削除ページ、および確認文言）であると同時に、内部的（受付、検証、実行、および監査のエンジン）でもある。本書は、請求が失われないこと、誤った人物に対して実行されないこと、および適用される法定期限内にすべてのデータストアが文書化された結果を返す前に完了しないことを確保するよう記述されている。

2. 定義

• 顧客（the Customer）。 アカウント保有者。すなわち、成人 — 18歳以上、または顧客の居住地における成年年齢に達した者 — であって、本サービスを登録し、操作し、その料金を支払う者であり、本手続に基づく請求を提起し、かつその応答を受領する唯一の権利を有する者。顧客の記録上の識別子は、検証済みの電話番号である（第7条）。
• 親権者または法定後見人。 顧客が未成年者の情報を提供する際に顧客が行為する資格。顧客が未成年者のファーストネームを提供する場合、顧客は自らが当該未成年者の親権者または法定後見人であり、当該子どもに代わって処理に同意することを表明する。未成年者は決してアカウントを保有せず、決して本サービスを操作せず、決して請求を提起しない。未成年者のデータに関するすべての権利は顧客が行使する（第8条）。
• 受領者のファーストネーム。 楽曲が作成される対象者についてHappy Songsが保存する唯一の情報項目。すなわちファーストネームのみ。Happy Songsは、当該人物の姓、ニックネーム、年齢、生年月日、プロフィール、正確な位置情報、またはその他の特別カテゴリーのデータを一切保存しない。年齢またはライフステージは、楽曲を閲覧または調整するためにその場で使用されることがあり、保存はされない。
• アカウント削除。 アカウント全体および第9条のカスケードの消去。顧客がアプリ内コントロールまたはウェブ削除ページを通じて開始する。
• DSAR／ARCO請求。 データ主体の権利の行使のいずれか。すなわち、アクセス／Acceso、訂正／Rectificación、取消・消去／Cancelación、異議／Oposición、ポータビリティ、「販売」／「共有」のオプトアウトおよびGlobal Privacy Controlの尊重、ならびに同意の撤回。
• サーバー側データ。 Happy Songsまたはその副処理者が保持するすべて。第11条の保存の調整に従うことを条件として、削除の範囲に含まれる。
• デバイス上キャッシュ。 アプリ内でのオフライン再生のみを目的としてデバイスに保存される、アプリが管理する楽曲のコピー。クローズドエコシステム型アクセスモデル（第3条）の下では、これは顧客が所有するファイルではなく、エクスポート可能ではなく、アプリの手の届く範囲内にある。削除時またはアクセス終了時に消去される（第9.4条）。
• SLAクロック。 検証済みの請求が受領された時点で開始し、各制度ごとに測定される（第12条）。
• 抑制リスト（suppression list）。 バックアップからの復元または再登録によって、削除されたデータが復活したり、元顧客が再びターゲティングされたりしないよう、削除後に保持される最小限かつ非センシティブなキー化された記録（第9.5条および第13条）。

3. 本手続が執行するアクセスモデル

Happy Songsはクローズドエコシステムを運営する。顧客は、各楽曲をアプリ内でのみアクセスし再生するための、個人的、非独占的、かつ取消可能なライセンスを受領する。楽曲は顧客が所有するものではなく、ダウンロード可能またはエクスポート可能なファイルとして提供されるものではなく、また一意的または独占的なものでもない（ネームフィルは再利用され、受領者が同じファーストネームを共有する別の顧客が同じ楽曲を受領する可能性がある）。エクスポート可能なファイルが一切提供されないため、削除は完全である。すなわち、削除が残す顧客保有のコピーは存在しない。デバイス上キャッシュはオフライン再生を可能にするためにのみ存在し、アクセスが終了すると消去される。これが、本手続全体を通じてなされる削除およびキャッシュ消去に関する表明の事実上の前提であり、顧客向けの文言によってこれと矛盾させてはならない（第15条）。

4. 対象となる権利（請求メニュー）

アプリ内の「プライバシーとデータ」画面、ウェブ削除ページ、およびプライバシー受信箱は、最低限、以下の権利を提供しなければならない。すべてのチャネルは、初回の請求については無料である。明らかに根拠を欠くまたは過度な反復請求は、適用される制度の規則に基づき、狭く適用され、決して真正な請求に対する障壁として用いられることなく、取り扱われることがある。

未成年者のデータに関するいかなる権利についても、顧客が唯一の適格な請求者である（第8条）。

5. フローA — アプリ内アカウント削除（セルフサービス、ストア義務）

入口。 設定 → 「プライバシーとデータ」 → 「アカウントを削除」。設定から2タップ以内で到達可能とする。Appleは削除がアプリ内で開始可能であることを要求し、Google Playはこれに加えてウェブ削除URL（フローB）を要求する。

手順。

1. 確認前の開示（画面文言。第15条に従う）。当該画面は、真実かつ罪悪感や摩擦を伴わずに、以下を示す。
   • 何が削除されるか：アカウント、顧客のデータ（電話番号、任意のメールアドレス、デバイス／技術データ、利用状況／分析、および通信）、顧客が提供したすべての受領者のファーストネーム、ならびに生成されたすべての楽曲（歌詞、カバーアート、および音声） — Happy Songsのサーバー上および当社のプロバイダにおいて。
   • アプリ内にキャッシュされた楽曲も削除されること：楽曲はアプリ内でのみ存在し、エクスポート可能なファイルは存在しないため、削除により再生が停止され、デバイス上キャッシュがすべてのサーバーコピーとともに消去される。その後、再生可能なものは一切残らない。
   • その代償として何が生じるか：不可逆性、すべての楽曲へのアクセスの喪失、アプリ内の権利および報酬（Jacks）の喪失、ならびに「購入の復元」およびコードによる遡及的回復のリンクの切断。
   • Happy Songsが法的に保持を義務付けられている記録 — 主として取引、サブスクリプション、および税務記録、ならびに有効なリーガルホールドまたはセキュリティ記録 — は、最小化され、アクセス制限された形式でアカウント削除後も存続すること（第11条）。
   • タイミング：無効化は即時である。サーバーおよび副処理者による完全な消去は30日以内に完了する。これはデータ保存スケジュール（D17 §6.2）から反映された単一の値であり、第11条に基づき適法に保持される記録を除く。
2. 記録上の電話へのワンタイムパスコード、または認証済みセッションのステップアップにより、再認証を行う（第7条）。
3. 入力による確認または明示的なトグルにより、確認を行う。ダークパターン的な摩擦および引き留めのナッジは一切許容されない。本画面は成人である顧客が操作するものであり、不当な操作を防止する基準は当該顧客に適用される。
4. 即時無効化。 セッショントークンが失効され、ログインが無効化され、コンテンツがアカウントから非掲載化される。請求は削除キューに入る。
5. 画面上、および記録上の電話またはメールへのメッセージによる確認。請求が受領されたこと、完了までの期間、アプリ内アクセスが終了したこと、およびデバイス上キャッシュが消去されたことを示す。
6. SLAクロックを開始した状態で、エンジン内にチケットが作成される（第10条）。

猶予／取消ウィンドウ。 任意のソフト削除ウィンドウ（推奨：72時間以内）により、ハード消去の前に顧客が取消を行えるようにすることができる。採用する場合は開示されなければならず、適用されるいかなる法定期限も決して超過してはならない。既定の姿勢：短期、またはなし。

6. フローB — ウェブ削除ページ（Google Playが要求）

• https://happysongs.ai/delete-account（およびそのスペイン語版）にある公開ページ。アプリをインストールせずに、かつログインやペイウォールを通過せずに到達可能であり、Play ConsoleのData Safetyフォームおよびプライバシー通知からリンクされる。
• 当該ページは、フローAと同一の真実の範囲文言を提示し、記録上の電話を収集し、第三者が顧客のアカウントを削除できないよう、ワンタイムパスコード検証（第7条）を惹起する。
• 検証後、請求はフローAと同一のエンジンおよびキューに入る。検証できない顧客（例えば番号を失った場合）は、手動の本人確認のためDSAR/ARCOチャネル（第7条のフォールバック）へルーティングされる。
• 当該ページは、タイムラインおよび保存の調整（第11条）を示す。

7. フローC — DSAR／ARCOチャネル、および本人確認

チャネル。 アプリ内「プライバシーとデータ」請求フォーム、ウェブ削除ページ（削除用）、および監視された受信箱privacy@happysongs.ai（ARCO請求は書面で行うことができる）。すべてのチャネルは初回の請求については無料であり、単一のSLAクロックを備えた単一のチケッティングシステムに集約される。いかなる請求も受信箱のスレッド内にのみ存在してはならない。

受付で取得する内容。 請求者の身元、資格（本人、または未成年者のために行為する親権者／法定後見人）、請求された権利、範囲、期限を決定づける居住地シグナル（第12条）、および識別子。

本人確認（濫用防止ゲート）。 削除およびアクセスは破壊的かつ開示的である。Happy Songsは実行前に検証を行い、かつ検証データを最小化する。すなわち、検証データは他の目的に転用されず、当初収集されたデータより機微であることは決してない。

• 一次的方法。 アカウント識別子は顧客の電話番号である。検証は当該番号へのワンタイムパスコード（Twilio経由）による。これは比例的かつセルフサービスである。
• セッションのステップアップ。 すでに認証されているアプリ内セッションは、新たなワンタイムパスコードまたはデバイスの生体認証ロック解除により再確認することができる。
• フォールバック（番号喪失、エッジケース）。 プライバシー運用担当者が、限定された一連の非センシティブかつアカウント固有の事実を用いて手動で検証する。センシティブデータは決して要求されない。
• 未成年者に関する請求。 顧客は顧客自身のアカウントを検証する。未成年者は決してアカウントを保有しないため、別個の子ども本人確認ステップは存在しない。請求者のアカウントに紐づかない人物に関する請求は拒否され、記録される。
• 検証失敗。 開示せず、削除しない。当該試行を記録する。身元を検証できなかった旨、および再試行の方法を、アカウントが存在するか否かを明かすことなく（列挙攻撃を防止するため）応答する。

8. 未成年者 — 親権者または法定後見人が行使する権利

Happy Songsは顧客が操作するサービスである。未成年者は決して登録せず、操作せず、支払わず、データを提供せず、請求を提起しない。成人である顧客が唯一の利用者である。これは適法処理モデルであり、児童保護の免除ではない。Happy Songsは、子どもに対してマーケティングや広告を行わず、子どもを追跡、プロファイリング、またはそのデータを収集せず、子どもがアカウントを操作することを故意に許容しない。本サービスが子どもによってアクセスされうる限りにおいて、それは比例的に対処される — すなわち、子どもにマーケティングを行わないこと、および未成年者に関するデータを成人である顧客が同意の上で提供するファーストネームに限定することによってであり、子ども向けのユーザーインターフェースを設計することによってではない。改正COPPA規則の親権者による削除およびデータ最小化の保護は当該ファーストネームに適用され、本手続はこれを狭めるものではない。

子どもによる、親の監督下での付随的なアクセスは、Happy Songsを子ども向け（directed to children）のものとするものではない。あらゆる一般利用者向けアプリと同様に、成人である顧客が、自らのデバイスで子どもに楽曲を聴かせることはあり得る。その付随的かつ監督下での視聴は、子どもが利用者として本サービスを「使用」または「アクセス」することではなく、成人が操作するサービスを子ども向けのものに転換させるものではない — また、改正COPPA規則の下で、Happy Songsに対し子どもから個人情報を収集しているという「現実の認識（actual knowledge）」を与えるものでもない。この一線を保つ、製品の作り方に関する3つの積極的事実がある。すなわち、(1) Happy Songsは子どものプロフィールを一切構築しない — 成人が提供するファーストネームのみを保持する、(2) Happy Songsは、いかなる機能、画面、コンテンツ、キャラクター、またはメッセージも子どもに向けない — 子ども用のログインも、子ども向けモードも、子どもに行動、獲得、または取引を促すものも存在しない、そして (3) Happy Songsは子どもからデータを一切収集しない — すべての入力は成人である顧客が提供し、アカウントは成人である顧客が操作する。本手続が過大に主張しない誠実な境界線は次のとおりである。すなわち、未成年者のファーストネームは、成人の親権者としての同意を得て処理されるが、それでもなおHappy Songsは子どもに対してマーケティングや広告を行わず、追跡もプロファイリングもしない。将来の機能が子どもに語りかけたり、子どもによって操作されたりするようなことがあれば、それはこの分析を変えることになり、Happy Songsはリリース前に再評価を行う。

• Happy Songsが未成年者について保持する唯一の情報は、当該未成年者のファーストネーム — 顧客が受領者のファーストネームとして提供したもの — およびそのファーストネームが楽曲の歌詞と音声の中に現れる態様である。Happy Songsは、いかなる未成年者の姓、ニックネーム、年齢、生年月日、プロフィール、正確な位置情報、または特別カテゴリーのデータも保持しない。
• 顧客が未成年者のファーストネームを提供する場合、顧客は、自らが当該未成年者の親権者または法定後見人であり、当該子どもに代わって処理に同意することを表明し、保証する。
• 顧客は、未成年者のデータに関するすべての権利を行使する。すなわち、受領者記録、および当該ファーストネームを参照する楽曲または派生データへのアクセス、その訂正、およびその消去。アカウントを削除するとそのようなすべての記録が削除される。顧客はまた、アプリ内マネージャーを通じて、アカウント全体を削除することなく個々の受領者記録を削除することもできる。
• 未成年者のデータは、カスケードにおいて優先的な対象として取り扱われる。すなわち、最初に消去され、技術的に不可避な範囲を超えるソフト削除の待機はなく、最小化された抑制キーのみが保持される。
• 改正COPPA規則と整合的に、未成年者のデータは無期限には保持されない。第11条の保存の例外は未成年者のデータについて最も狭く解釈され、データ保存スケジュール（D17）は、何ものも「永久に」保持されないよう、積極的な非アクティブ上限を課す。

9. 削除カスケード（サーバー側） — 何が、どこで消去されるか

検証済みのアカウント削除に際して、エンジンは以下のカスケードを実行する。各対象には、担当アクション、メカニズム、および完了チェックがある。削除は、すべての対象が成功または文書化された適法な例外（第11条）を返すまで「完了」とはならない。

9.1 一次データストア（Supabase — システムオブレコード）

取引、サブスクリプション、および税務記録は、カスケードによってハード削除されない。これらは第11条に基づき、最小化され、アクセス制限された形式で保持される。

9.2 オブジェクトストレージおよびCDN

音声オブジェクト（Google SynthID（電子透かし技術）のウォーターマークを保持するもの）およびカバー画像オブジェクトをオブジェクトストレージから削除し、CDNのエッジキャッシュを消去することで、いかなる再ダウンロードURLも404を返すようにする。

9.3 副処理者

副処理者リスト（D11）が、プロバイダおよび各プロバイダが受領するデータについての真正な出典である。各プロバイダのDPA（データ処理契約）には、本カスケードが依拠する削除支援義務が含まれていなければならない。エンジンは各プロバイダの削除メカニズムを呼び出し、その結果を記録する。キーの最小化が適用される。すなわち、受領者の実際のファーストネームは、それを歌う音楽プロバイダにのみ送信され、歌詞プロバイダはプレースホルダー名を受領し、実際の名前はローカルで挿入される。これにより、実際のファーストネームがプロバイダ側で保持されうる箇所が狭められる。

エンジンが尊重しなければならない区別：楽曲を生成するためにプロバイダを経由したデータは、canciones内の保存された出力とは別物である。Happy Songsは保存された出力を削除する。プロバイダ側の入力は各DPAに従って取り扱われる。いずれも対象に含まれる。

9.4 デバイス上キャッシュの消去

• アクセスモデルの下では、楽曲はアプリ内アクセスによってのみ提供される。デバイス上のコピーはアプリが管理するオフラインキャッシュであり、顧客が所有するファイルではなく、アプリの手の届く範囲内にある。
• アカウント削除時（またはアクセスの終了もしくは取消時）に、アプリは再生を停止し、デバイス上キャッシュを消去し、その一方でHappy Songsはサーバーおよびプロバイダのコピーを削除する。楽曲がエクスポート可能なファイルとして提供されることは決してないため、アプリの外に顧客のコピーが残ることはない。これは確認前の画面（第5条）および確認メッセージに記載される。
• デバイス上キャッシュは、第11条のすべての保存例外の対象外である。すなわち、いかなるリーガルホールド、税務、セキュリティ、またはアカウンタビリティの根拠も、再生可能なコピーを保存することは決してない。例外は、最小限かつアクセス制限されたサーバー側の記録にのみ及ぶ。したがってキャッシュは、適法に存続するいかなるサーバー側記録があるかにかかわらず、削除時またはアクセス終了時に完全かつ即時に消去される。
• キャッシュは技術的保護手段によって保護される。アプリの外で楽曲を抽出、コピー、再ホスト、または共有することは規約（D1/D7）により禁止されており、技術的保護手段が回避される場合には、17 U.S.C. § 1201（回避禁止規定）の適用を惹起することがある。これはエンジニアリング上の依存関係である。すなわち、当該保護は、技術的手段が実際に実装されている場合にのみ利用可能である。

9.5 バックアップ

削除されたデータは、暗号化されアクセス制御されたバックアップ内に、バックアップローテーションで期限切れとなるまで存続することがある（第13条）。削除は抑制リストに記録され、いかなる復元も削除を再適用し、データが本番環境に返されることは決してない。バックアップの遅延はプライバシー通知（D2）で開示される。

10. エンジン — 受付 → 検証 → ルーティング → 実行 → 確認 → 監査

単一のチケッティング／ケース管理システムが真正な出典である。すべてのチャネル（第5条〜第7条）からのすべての請求は、SLAクロックが開始された1つのチケットとなる。

ライフサイクル。

1. 受付。 チャネル、請求者、権利、範囲、法域／居住地、識別子、およびタイムスタンプを取得し、請求者へ自動受領確認を行う。
2. 検証。 第7条に従った本人確認。実質的アクションのクロックが進行する。検証の遅延は記録されるが、法定制限を無期限に一時停止させるものではない。
3. 分類およびルーティング。 権利の類型および法域を判定し、期限（第12条）および必要な手順（削除カスケード、アクセスエクスポート、ポータビリティ、オプトアウト）を導出する。
4. 実行。 各対象を呼び出し、対象ごとの成功または失敗を記録するオーケストレーターを通じて、カスケード（第9条）を実行する。失敗はバックオフを伴って再試行され、運用担当者に警告する。完了できない対象はエスカレーションされる。
5. 例外の適用。 各保存例外およびその法的根拠を記録する（第11条）。
6. 完了の検証。 すべての対象範囲内の対象が成功または記録された例外を返したことを自動チェックする。未処理の対象があるチケットはクローズされない。
7. 請求者への確認。 期限内に、何が削除されたか（サーバーおよびプロバイダのコピーならびにデバイス上キャッシュ）、アプリ内アクセスが終了したこと、ならびに何が適法に保持され、その理由を示す。
8. 監査。 不変のログ記録（リクエストID、アクション、対象、タイムスタンプ、運用担当者、例外）を、最小化／匿名化し、D17に従って保持する。

ロール。 プライバシー運用の責任者 = Happy Songsのプライバシー責任者（privacy@happysongs.ai）、同一チーム内に指名されたバックアップを置き、連絡先はprivacy@happysongs.ai。エンジニアリングのオンコールがカスケードオーケストレーターおよび副処理者連携を所管する。Happy Songsの法務連絡先（legal@happysongs.ai）が例外の判断、リーガルホールド、および期限設定を所管する。

エスカレーションのトリガー。 身元が検証不能なこと、副処理者の削除APIが再試行を超えて失敗すること、有効なリーガルホールド、例外にまたがる請求、既定より厳しい期限に服する請求、詐欺または列挙の疑いのある活動。

モニタリング。 期限に対する未処理チケットのダッシュボード、いずれの期限についても設定された日数前における警告、月次メトリクス（件数、完了までの中央値時間、期限内割合、例外）。目標：法定期限の違反ゼロ。

自動化。 フローAおよびフローBの削除は実質的に自動化されている（セルフサービスからキューへ、そしてオーケストレートされたカスケードへ）。より広範なDSAR/ARCO請求および例外ケースは、同じクロック上で運用担当者が主導する。

11. 保存の調整 — 削除後も適法に存続しうるもの

削除は絶対的ではない。エンジンは、Happy Songsが必要最小限のものを、表明された目的のために、アクセス制限された形式で保持し、その根拠が消滅した時点で削除することを適用し、確認文言はこれを反映する。期間はデータ保存スケジュール（D17）によって規律される。以下のカテゴリーは、アカウント削除後も存続しうる根拠である。

• 取引、サブスクリプション、および税務記録。 Happy Songsは有料サブスクリプションサービスであり、現在は無料のプロモーションアクセス（プロモーション期間中はカードを取得せず、自動課金も行わない）で提供されている。有料取引が発生した場合、それは専らApple／Googleのアプリ内購入（RevenueCat経由のサブスクリプションのステータスおよびレシート）を通じて行われ、それについてはアプリストアが加盟店／記録上の売主である。Happy Songsは公開者およびデータ管理者／responsableであり、記録上の加盟店ではない。Happy Songsは取引、サブスクリプション、および税務記録を法定期間保持する。Happy Songsはカード番号を保存しない。無料のプロモーションアクセス期間中は、一般に保持すべきそのような記録は存在しない。
• 紹介プログラム記録（アプリ内では「Familia Emprendedora」として提示される）。 Happy Songsが成人である顧客に紹介報酬の支払を行った、または行わなければならない場合（受取人は常に成人である顧客であり、未成年者は決して参加者でも受取人でもない）、Happy Songsは支払、チャージバック・クローバック、および税務報告の記録（メキシコにおけるCFDI／源泉徴収、米国におけるForm 1099）を法定期間保持する。これらは通常の成人受取人の記録であり、アカウントの削除は税務義務を消去しない。支払レールはWiseであり、独自のKYCおよび保存を行う。
• 広告識別子およびアトリビューション — 成人である顧客のみ。 成人である顧客の広告識別子（IDFA／Android AD_ID）およびMMPのアトリビューション／計測データは、ローリング180日間保持された後に消去される（MMPの削除API経由）。これはデータ保存スケジュール（D17）カテゴリーPおよびプライバシー§12と整合的である。アカウント削除時には、成人のアトリビューション記録は当該ウィンドウに先立って消去され、オプトアウトが伝播される（ATTの撤回／販売・共有しない）。絶対的な子どもカーブアウト： 子どものデータがこの識別子／アトリビューションのパイプラインに入ることは決してないため、未成年者に関するものがここに保持されることは一切ない。
• ウェブサイトの先行アクセス・ウェイトリスト／リード — 成人データのみ。 ウェブサイトの「#waitlist」フォームによって収集される連絡先記録（氏名、メールおよび／または電話番号、同意フラグおよびタイムスタンプ、概略の国、CTA／流入元）は、専用のhappy-songs-growth Supabaseプロジェクト（第9.3条）に、同意を法的根拠として保持され、先行アクセス、ローンチ、および関連する製品の最新情報についてその者に連絡し、ウェイトリストを管理するためのみに使用される。これらは、その者が配信を停止するまたは削除を求めるまで、かつデフォルトでは収集から24か月を超えない期間保持され、その後削除される。同意の撤回、配信停止、または削除請求は、当該ウィンドウに先立って記録を消去する。本ウェイトリストは成人向けであり、Happy Songsはこれを通じて子どもの情報を故意に収集しないため、絶対的な子どもカーブアウトは影響を受けず、未成年者に関するものがここに保持されることはない。
• セキュリティ、濫用、および不正のログ、ならびにリーガルホールド。 紛争、調査、または当局からの請求が有効である場合、関連する記録はリーガルホールドの下で保存される（D15参照）。
• 同意の証跡および請求の証跡。 可能な限り匿名化された、最小限のアカウンタビリティ記録。
• 抑制リストのキー。 最小限かつ非センシティブなキー（第13条）。

規則。保持されるデータは最小化され、アクセス制限され、目的で固定され、その根拠が消滅した時点で削除される。例外は未成年者のデータについて最も狭く解釈される（改正COPPA規則）。デバイス上キャッシュは決して保存対象とならず、常に消去される（第9.4条）。特定の請求に適用された各例外は、その法的根拠とともに記録され、請求者に提示される（例えば「あなたのデータを削除しました。定められた法的理由により、特定の記録を定められた期日まで保持することが求められています」）。

12. 期限（米国およびメキシコ）

チケットの期限は、請求者の法域および居住地から設定される。Happy Songsはグローバルな内部基準を約束し、各個別制度を充足または上回る。他の法域に関する差分は、別個の法域差分文書で取り扱われる。

備考。米国州法上の請求については、「販売」／「共有」のオプトアウトおよびGlobal Privacy Control（D6）を尊重する。メキシコについては、（INAIの解散に伴い）2025年Ley Federal de Protección de Datos Personales en Posesión de los Particulares（民間主体が保有する個人データの保護に関する連邦法）の下で、当局はSecretaría de Anticorrupción y Buen Gobierno（反腐敗・良き統治省）である。スペイン語チャネルが必須である。

13. アクセス、訂正、ポータビリティ、バックアップ、および抑制

• アクセスおよびポータビリティ。 検証済みの請求に対して、Happy Songsが顧客について保持するデータおよび顧客が提供した受領者のファーストネームを、構造化され、広く用いられ、機械可読な形式（JSON または CSV）で、適用される期限内に提供する。アクセスモデルの下では、楽曲はアプリ内アクセスとして提供され、エクスポートされたファイルとしては提供されない。エクスポートにはデータ記録が含まれ、ダウンロード可能な音声ファイルは含まれない。
• ウェブサイトのウェイトリスト／リードも対象に含まれる。 本手続のアクセス、消去、異議、および同意撤回のプロセスは、happy-songs-growth Supabaseプロジェクト（第9.3条および第11条）に保持されるウェブサイトの先行アクセス・ウェイトリスト／リードのデータに及ぶ。すなわち、ウェイトリストに参加したデータ主体は、いつでもprivacy@happysongs.aiを通じて、同意を撤回し、配信を停止し、または当該記録へのアクセスもしくはその削除を請求することができ、エンジンは、メールアドレスおよび／または電話番号をキーとしてこれを消去またはエクスポートする。顧客のアカウント／データの削除も、該当するウェイトリスト記録を併せて消去する。本ウェイトリストは成人向けであり、そこに未成年者のデータは一切保持されない（絶対的な子どもカーブアウト）。
• 訂正。 電話番号、任意のメールアドレス、または受領者のファーストネームは訂正することができ、大部分はプロフィール内でのセルフサービスである。
• 抑制リスト。 削除時に、「削除済み — 復元しないこと、再ターゲティングしないこと」を示す最小限かつ非センシティブなキー（例えばハッシュ化された電話番号）を保存する。それは目的で固定され、不要になった時点でそれ自体も削除される。
• 復元手続。 いかなるバックアップの復元も、データが本番環境に返される前に抑制リストを再適用しなければならず、削除された主体が決して復活しないようにする。
• バックアップの経時的期限切れ。 バックアップ内の削除されたデータは、35日のバックアップローテーション（D17 §6.4から反映）で期限切れとなる。これはD2で開示される。

14. その他の法域

本手続は、米国およびメキシコのベースラインを定める。顧客またはデータ主体が欧州連合、英国、ブラジル、またはその他のラテンアメリカの法域にいる場合、別個の法域差分文書が、追加のまたはより短い期限、ポータビリティおよび異議の具体的内容、現地語要件、ならびに現地代理人へのルーティングを提供する。これらの差分は本書の保護に付加されるものであり、決してこれを減じるものではない。

15. 顧客向け文言 — 正確性の要件

すべての画面およびメッセージは、真実かつ非操作的でなければならない。すなわち、アカウントを保持させるための罪悪感や喪失感のナッジ、削除経路の隠蔽、および虚偽の「当社は何も保持しません」（適法な例外は存在する）を含んではならない。アクセスモデルの下では、削除がアプリ内アクセスを終了させ、再生可能なものが一切残らないようデバイス上キャッシュを消去すること、および残されるエクスポートされたコピーは存在しないことを顧客に伝えることは正確である。各確認は、平易な言葉で以下を示す。すなわち、何が削除されたか（サーバー、プロバイダ、およびデバイス上キャッシュ）、アクセスが終了したこと、何が適法に保持され、その理由、およびタイムライン。文言はWCAG 2.2 AA（D10）を充足し、メキシコ居住者およびスペイン語で対応される顧客のためにスペイン語にローカライズされる。

16. 整合性および調整

本手続は、以下と整合的でなければならず、かつそれぞれの主題については以下に従う。すなわち、D2（プライバシー通知 — 権利メニューおよびチャネル）、D17（データ保存スケジュール — すべての期間）、D1/D7（規約／EULA — アクセスモデルのライセンスおよび回避禁止）、D9（ストア設定 — ウェブ削除URLおよびData Safety宣言）、およびD11（副処理者リストおよびDPA — プロバイダおよびその削除支援義務）。

本v0.2によってフラグされた調整アクション（兄弟文書は以下の確定した決定に先行しており、これに適合させなければならない）：

1. ファーストネームのみの最小化。 本手続は、楽曲の対象者について、ファーストネームのみを保存する。兄弟ドラフト（特にD17およびD11）は、依然として当該記録を「名前、ニックネーム（apodo）、および年齢層」と記述している。これらはファーストネームのみの基準に適合させなければならない。年齢またはライフステージはその場でのみ使用され、保存されない。
2. 行為者 = 顧客。 アカウント保有者は成人である顧客であり、一般的な操作者としての「親」ではない。「親権者または法定後見人」は、顧客が未成年者のファーストネームを提供し、子どもに代わって同意する場合にのみ用いられる。
3. 決済は稼働中。 Happy Songsは有料サブスクリプションサービスであり、現在は無料のプロモーションアクセス中である。第11条の取引／サブスクリプション／税務の保存根拠は稼働中（「該当なし」ではない）であり、カード番号は決して保存されない — すべてのサブスクリプション課金はApple／Googleのアプリ内購入（RevenueCat経由）を通じて行われ、それについてはアプリストアが加盟店／記録上の売主である。直接のウェブ販売は存在しない。
4. 成人である受取人のための紹介プログラム記録（第11条）は、削除時に保持される。未成年者は決して受取人ではない。
5. 成人の広告アトリビューションの姿勢（v0.2）。 本書はv0.2の成人広告アトリビューションの姿勢に適合させられた。すなわち、モバイル計測パートナー（MMP。プロバイダはグロースが選定、候補はSingular）を用いた成人側のATT ＋ IDFA／Android AD_ID、およびApp Storeの「あなたを追跡するために使用されるデータ」ラベル。アカウント削除は、いまやMMP（その削除API経由）、Meta（Meta Pixel／Ads）、およびGoogle Adsにカスケードし、ATTの撤回／販売・共有しない／オプトアウトの伝播を伴う（第9.3条）。販売／共有のオプトアウト対象はそれに応じて是正され（第4条）、180日間の成人のみの広告識別子／MMPアトリビューション保存項目が追加される（第11条。プライバシー§12およびデータ保存カテゴリーPによる）。子どもカーブアウトは絶対的である。すなわち、子どものデータが広告／IDFA／MMP／アトリビューションのパイプラインに入ることは決してないため、これらのフローのいずれも未成年者のデータに一切触れない。
6. ウェブサイトの先行アクセス・ウェイトリスト／リード（v0.2.3）。 ウェブサイトの「#waitlist」フォームの連絡先データ — 氏名、メールおよび／または電話番号、同意フラグおよびタイムスタンプ、概略の国（Cloudflare cf-ipcountry、法令遵守目的のルーティングのみ）、およびCTA／流入元 — は、専用のhappy-songs-growth Supabaseプロジェクト（米国ホスト、INSERTのみ、アプリの一次データストアとは別個）に、同意を法的根拠として、マーケティング／連絡目的のためにのみ保持される。本手続は、いまや当該ストアを削除＋DSARの枠組みに調整する。すなわち、アカウント／データの削除および単独のウェイトリストの配信停止／削除請求のそれぞれが該当するリードに到達しこれを消去するよう、削除／副処理者カスケードに追加され（第9.3条）、24か月上限の保存項目が追加され（第11条）、アクセス／消去／異議／同意撤回のプロセスがprivacy@happysongs.aiを通じてこれをカバーすることが確認される（第13条）。本ウェイトリストは成人向けかつ成人データのみである。絶対的な子どもカーブアウトは影響を受けない（子どものデータがこのリードストアに入ることは決してない）。