セキュリティとプライバシー

このページの内容

AIインサイト & ピープルは、メンバーの個人データとあわせて 生体情報（顔画像と、そこから導出される顔の数学的な参照データ）を処理します。このページでは、何が、どこに保存され、誰が閲覧でき、どのくらいの期間保持され、どのように削除されるのか、そして運用者として引き続き責任を負う事項について説明します。

このページでは人物と AI のレイヤーについて説明します。映像のセキュリティ（転送中の暗号化、ストレージリージョン、カメラの分離、共有）については、監視カメラのセキュリティとプライバシーで説明しています。

この機能が保持するデータ

区分	内容
顔の参照データ	施設ごとに分離された 3 つのコレクションに含まれる、顔の数学的なテンプレートです。識別済みのメンバー、未識別の来訪者（シャドウプロフィール）、ブラックリストです
顔画像	検出時の切り抜き画像、プロフィール写真、シャドウ写真です。施設専用のストレージプレフィックスの下に保存されます
検出のメタデータ	誰が、いつ、どのカメラで確認されたかです。タイムラインとレポートの基になる記録です
メンバーのプロフィールデータ	メンバー管理システムから同期されます。本人確認のフィールドは常に同期され、任意の連絡先フィールド（メールアドレス、携帯電話番号、住所）は有効にした場合にのみ同期されます
AI による推定属性	人物ごとの推定年齢の範囲、性別、民族、眼鏡の着用、感情と態度です

保存、分離、リージョン

施設ごとの分離。 各施設には、独自の顔コレクション（識別済み、未識別、ブラックリスト）があります。認識が施設をまたぐことはありません。ある拠点の顔の参照データが、同じブランド内であっても、別の拠点で一致することはありません。
リージョンでの保存。 顔画像と AI メタデータは、施設の監視カメラのストレージに設定されたストレージリージョンに保存されます。データの保管場所の選択は、映像と同じように人物データにも適用されます。
処理の分担。 カメラと映像の取り込みは拠点のエッジプロセッサ上で行われます。顔照合と分析は、施設専用のコレクションに対してクラウドで実行されます（仕組み → 各処理の実行場所）。

人物データにアクセスできるユーザー

ロール。 人物と AI の機能は、施設の管理ロール（クラブマネージャーおよび管理者レベル）が、監視カメラモジュールと同じロールとモジュールの付与を通じて利用できます。監視カメラモジュールへのアクセス権がないスタッフには何も表示されません。
機能による制限。 すべての People API では、さらに施設で People 機能が有効になっているかどうかが確認されます。有効でない場合、呼び出しは "People feature is not enabled for this facility" を返します。
ゲストは設計上除外されます。 監視カメラのゲスト共有リンクでは、カメラ、録画、再生を公開できますが、人物データと顔検出のタイムラインはゲストトークンでは 明示的に利用できません。映像を共有しても、身元が共有されることはありません。
MCP。 insights_* ツールでも同じ 2 つの層が適用されます。呼び出し元に監視カメラモジュールへのアクセス権が必要で、かつ施設で People 機能が有効である必要があります。連携と MCP を参照してください。

AI による推定属性：その性質と限界

プロフィールとレポートには、推定年齢、性別、民族、眼鏡の着用、感情から導出された態度が表示されます。その性質を理解しておいてください。

これらは 画像からの統計的な推定 であり、事実ではなく、メンバーシステムのデータでもありません。UI でも、AI によって追跡された情報は "may not match the data in your member management system." と明示しています。
これらは 集計の分析（レポートの属性、ゾーン別のセンチメント）と、人物ごとの参考情報（態度）のために存在します。何かを許可または拒否するために使われることはありません。アクセスゾーンのルールは、推定属性ではなく、会員プラン、種類、タグに基づいて照合します。
センチメントと態度は、表情の分類から導出され、Sentiment Scoring の設定に基づいて重み付けされます。個人の評価ではなく、おおよその傾向を示すシグナルとして扱ってください。

保持期間

データ	保持期間
AI メタデータ（顔の検出、タイムラインのブロック、検出画像）	監視カメラのストレージと保持期間の AI Metadata 保持カテゴリーに従います。デフォルトは 24 か月で、施設ごとに設定できます。期限切れの記録と画像は自動クリーンアップによって削除されます
シャドウ写真	プロフィールが存在する間は保持されます（過去の映像ではなく、人物の現在の認識用の参照データであるため）。人物が削除されると削除されます
メンバーのプロフィールデータ	メンバーの同期に従います。任意のフィールドを無効にすると、保存されている値が削除されます
映像	監視カメラの録画の保持期間によって別途管理されます

AI メタデータの保持期間は、プライバシーポリシーと現地の法律に合わせて設定してください。24 か月はデフォルト値であり、推奨値ではありません。

人物のデータの削除

削除は 3 つのレベルで行えます。

未識別の人物："Delete this person"（タイムラインまたはプロフィールのメニュー）で、シャドウプロフィール（顔の参照データ、検出の記録、画像）を恒久的に削除します。"This action cannot be undone."
メンバー：プロフィールパネルの Advanced アコーディオンから削除します。"Permanently remove this member and all associated data from the system. This action cannot be undone." なお、メンバーがメンバー管理システムにまだ存在する場合、今後の同期によってプロフィールが再作成される可能性があります。忘れられる権利に基づく正式な要求の場合は、元のシステムからも削除したうえで、ここで削除してください。
期間に基づく削除：AI メタデータの保持期間によるクリーンアップで、残りのデータを自動的に処理します。

Person Data 設定セクション（Settings → People → Person Data）が、これらの管理機能をまとめた場所です。ブラックリストの項目は、Settings → Face Recognition → Blacklist Faces から別途削除します。

運用者の義務

生体情報の処理は、多くの法域で規制されています（例：欧州の GDPR、イリノイ州の BIPA、オーストラリアの Privacy Act と APPs）。Performance Hub は管理機能を提供しますが、適法な運用は運用者としての責任です。実際には次のことを行ってください。

周知する。 カメラによる監視と顔認識・分析の利用を示す掲示を行い、何を、なぜ、どのくらいの期間収集するかを説明するプライバシーポリシーを用意します。
適法な根拠を持つ。 メンバーについては、通常、入会時に取得する同意が根拠になります。未識別のプロフィールとして表示される非メンバー（ゲスト、体験利用者）に対する義務も検討してください。
最小化する。 必要な任意のプロフィールフィールドのみを有効にし、人物インテリジェンスに目的があるカメラでのみ人物追跡を有効にします。プライバシーに配慮が必要な場所（トイレ、更衣室）には、カメラを絶対に設置しないでください。
削除の要求に対応する。 元のメンバーシステムも含め、上記の手順を使用します。
アクセスを制限する。 人物データは監視カメラモジュールへのアクセス権に従います。そのロールは慎重に付与してください。
ブラックリストと Self Learning のキューを定期的に確認する。 どちらも生体情報に関する判断が蓄積される場所であり、人による監督が必要です。

法域や顧客層にとって顔認識そのものが適切でない場合でも、People 機能は段階的に機能を縮小して動作します。メンバーの写真がなくても、人物は未識別の来訪者として表示され、集計の分析（ゾーンのアクティビティ、センチメント、属性）は引き続き機能します。

監視カメラのセキュリティとプライバシー：映像のレイヤー
ストレージと保持期間：リージョンと AI Metadata カテゴリー
Settings → Person Data：削除の管理機能