プライバシーポリシー（Curlew / Maptint 共通）

最終更新: 2026年7月2日

合同会社 Coyote and Powell (以下「当社」といいます) は、当社が提供するモバイルアプリケーション「Curlew」および「Maptint」(以下、当社の提供するサービスを総称して「本サービス」といい、個別に言及する場合は各サービス名で表記します) における個人情報および個人データ (以下「個人情報」といいます) の取扱いについて、以下のとおりプライバシーポリシー (以下「本ポリシー」といいます) を定めます。

本ポリシーは、当社が提供する全てのサービスに共通して適用されます。ただし、取得する情報の内容・利用目的・委託先等はサービスごとに異なるため、該当箇所ではサービス名を明記します。

本ポリシーは、日本の個人情報の保護に関する法律 (個人情報保護法)、EU 一般データ保護規則 (GDPR)、米国カリフォルニア州消費者プライバシー法 (CCPA/CPRA) その他適用される法令を踏まえて定めています。

1. 当社のプライバシー方針 (要約)

Curlew

本サービスは、予約書類をスキャンして旅程を作る性質上、ユーザーが入力・撮影する書類に含まれる情報を取り扱います。当社は以下の原則を遵守します。

1. 取得する情報を、本サービスの提供に必要な範囲に限定します。予約書類の画像および当該画像から読み取った予約情報を、旅程の作成・表示・管理のために取り扱います。
2. OCR・AIによる読み取りのため、画像または旅程データを外部のAI・OCR事業者へ送信します。送信先・目的は本ポリシー第5条・第7条に明記します。AIコンシェルジュ利用時は、確認番号その他の識別情報を可能な範囲でマスキングし、送信するデータを必要最小限に留めるよう努めます。
3. 広告目的のトラッキングを行いません。本ポリシー策定時点で、当社はユーザーの行動を追跡する第三者にデータを提供していません (Apple App Store プライバシーラベルにおいて “Data Used to Track You” は なし)。提携先 (アフィリエイト) リンクの取扱いは第3条・第6条に記載します。

Maptint

本サービスは、設計の中心にプライバシーを置いています。以下の原則を遵守します。

1. 正確な GPS 座標を保存しません。訪問記録に保存される座標は、ユーザーが選択した都市の中心座標 (代表点) のみであり、端末の現在地・写真の撮影地点・店舗ピン等の正確な位置情報は当社のサーバーに送信・保存されません。
2. 写真の GPS EXIF 情報は端末からアップロードされません。写真のアップロード前に GPS EXIF 情報をクライアント側で除去します。
3. 広告目的のトラッキングを行いません。本ポリシー策定時点で、当社はユーザーの行動を追跡する第三者にデータを提供していません (Apple App Store プライバシーラベルにおいて “Data Used to Track You” は なし)。

2. 取得する個人情報

当社は、各サービスの提供のために、以下の個人情報を取得します。

2.1 Curlew — ユーザーが提供する情報

予約書類には、ユーザー本人以外 (同行者・予約者等) の氏名・連絡先が含まれることがあります。これらの取扱いについては Curlew 利用規約 第8条もご確認ください。

2.2 Maptint — ユーザーが提供する情報

2.3 自動的に取得する情報 (共通)

2.4 取得しない情報 (共通)

当社は、以下の情報を 取得しません。

• 端末の正確な GPS 座標・常時位置追跡 (Curlew: 地図機能は、ユーザーが登録した地名・住所をもとに端末標準の地図アプリ等を呼び出すものであり、当社が現在地を追跡するものではありません。Maptint: 訪問記録に保存される座標はユーザーが選択した都市の中心座標のみであり、端末の正確な位置情報は取得しません)
• 写真の正確な GPS 座標 (緯度・経度) および raw EXIF データ (Maptintのみ。詳細は第2.5項)
• 連絡先 (アドレス帳)
• 端末識別子 (IDFA / Android Advertising ID) — ※ 将来広告機能を導入する場合は ATT 同意を得たうえで取得することがあります
• 決済情報 (クレジットカード番号等。有償機能は Apple IAP / Google Play Billing を通じて提供され、当社は決済情報を一切預かりません)
• 要配慮個人情報 (人種、信条、社会的身分、病歴、犯罪歴、犯罪被害事実、性的指向、組合所属その他) を、本項に基づき網羅的・積極的に収集することはありません。Curlewでは、ユーザーが診察・受診に関する書類等をスキャンした場合に取得しうる要配慮個人情報の取扱いおよび取得同意について第2.6項に定めます。Maptintには要配慮個人情報を取得する機能はありません。

2.5 Maptint — 写真の EXIF GPS 情報の特別な扱い

ユーザーが訪問記録に写真を添付する際、当社は、撮影場所の自動推定のために、写真の EXIF GPS 情報を 端末内で一時的に 読み取ることがあります。読み取った緯度経度は、国コードおよび都市名の推定にのみ使用され、推定が完了した後は破棄されます。当社のサーバーには、推定結果である国コード・都市名・都市の中心座標 (代表点) のみが保存され、写真の正確な GPS 座標は一切送信・保存されません。

2.6 Curlew — 要配慮個人情報の取得と同意

Curlew は、医療機関の診察・受診予約その他の医療関連書類を読み取り対象のカテゴリとしていません (該当書類は「その他」として扱い、医療に関する項目の抽出は行いません)。ただし、ユーザーが任意に医療関連書類をスキャンした場合、その画像や記載内容から、受診の事実その他の要配慮個人情報 (個人情報保護法第2条第3項) を偶発的に取得することがあります。

当社は、これらの要配慮個人情報を、スキャンの前にアプリ内で表示する確認画面において、ユーザーが「同意して続ける」を選択したこと (ユーザーの明示的な同意) に基づいて取得し、旅程の作成・管理およびOCR・AIによる読み取り・分類の目的に限って利用します。読み取りのため、当該画像および抽出結果は、第7条に記載のとおり海外 (米国) のAI事業者へ送信して処理されます。

要配慮個人情報の取得に同意しない場合は、当該書類をスキャンしないでください。当社は、取得した要配慮個人情報を、本項に定める目的以外に利用せず、第7条に定める委託先を除く第三者に提供しません。

3. 利用目的

当社は、取得した個人情報を以下の目的のために利用します。

Curlew

1. アカウントの認証および本人確認
2. 本サービスの提供 (予約書類の保存、OCR・AIによる読み取り・抽出・分類、旅程・予定の保存・表示・整理、地図・発信等の動線提供)
3. AIコンシェルジュによる旅程の確認・要約・助言の提供
4. お問い合わせへの対応
5. 本サービスの改善、新機能の検討、統計的分析 (原則として個人を識別できない形に加工して実施)
6. 提携先 (アフィリエイト) 情報の表示および手数料精算 (ユーザーの予約情報そのものを提携先に提供するものではありません)
7. 不正利用の検知・防止、利用量・コストの管理
8. 本サービスに関する重要なお知らせの配信 (規約改定、障害連絡等)
9. 法令または裁判所その他の公的機関の命令に基づく対応

Maptint

1. アカウントの認証および本人確認
2. 本サービスの提供 (訪問記録の保存・表示、地図表示、写真の保存・表示等)
3. 友達機能の提供 (検索、リクエスト、閲覧範囲の制御)
4. お問い合わせへの対応
5. 本サービスの改善、新機能の検討、統計的分析
6. 不正利用の検知・防止、モデレーション (通報・ブロック機能の運用)
7. 本サービスに関する重要なお知らせの配信 (規約改定、障害連絡等)
8. 法令または裁判所その他の公的機関の命令に基づく対応

4. 法的根拠 (GDPR 該当ユーザー向け)

EU 域内に所在するユーザーに対しては、当社は GDPR 第6条に基づき、以下の法的根拠により個人情報を処理します。

5. データの保存先および保存期間

5.1 主たる保存先

各サービスのデータベース、認証情報、スキャン画像・写真等は、Supabase Inc. が提供する Supabase プラットフォーム上に保存されます。データの主たる保存リージョンは AWS 東京リージョン (ap-northeast-1) であり、データは原則として日本国内のデータセンターに保存されます。Curlew の OCR・AI処理のために外部のAI事業者へ送信されるデータについては、第7条に記載します。

5.2 保存期間

6. 第三者提供

当社は、以下のいずれかに該当する場合を除き、ユーザーの個人情報を第三者に提供しません。なお、第7条に記載する業務委託は、本条の「第三者提供」には該当しません。

1. ユーザーの同意がある場合
2. 法令に基づく場合
3. 人の生命、身体または財産の保護のために必要な場合であって、本人の同意を得ることが困難であるとき
4. 公衆衛生の向上または児童の健全な育成の推進のために特に必要な場合であって、本人の同意を得ることが困難であるとき
5. 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合

Curlew において、提携先 (アフィリエイト) のリンクをユーザーが経由した場合、当該提携先の取得・利用するデータには提携先のプライバシーポリシーが適用されます。当社は、提携先に対し、ユーザーの予約書類・旅程の内容を提供しません。

7. 業務委託 (委託先)

当社は、各サービスの運営に必要な範囲で、以下の事業者に個人情報の取扱いを委託します。委託先に対しては、適切な監督を行います。

Curlew の OCR・AI処理についての補足: スキャン画像および旅程データは、予約情報の抽出・分類・要約・助言の生成のために Anthropic 等のAI事業者へ送信され処理されます。当社は、AIコンシェルジュにおいて確認番号その他の識別情報を可能な範囲でマスキングするなど、送信データの最小化に努めます。AI事業者は、当社との契約に基づき、受領したデータを当社のための処理の目的に限って取り扱います。

注: 以下のサービスは将来導入する場合に追加で記載します。導入時には本ポリシーを更新します。 - アナリティクス (例: Firebase Analytics / Google Analytics 4 等) - クラッシュレポート (例: Crashlytics / Sentry 等) - 広告ネットワーク (例: Google AdMob 等) - メール送信 (例: Resend / SendGrid 等。現状はパスワード再設定等のため Supabase Auth 標準のメール送信機能を使用) - AI API (Maptint。例: OpenAI / Anthropic / Google Gemini 等)

8. 個人データの海外移転

主たるデータは日本国内 (AWS 東京リージョン) に保存されますが、第7条に記載の委託先 (Supabase, Anthropic, Mapbox, Vercel, Apple, Google 等) のサービス運用過程において、ユーザーの個人情報が以下の地域へ移転されることがあります。

• 米国: Supabase、(Curlew: Anthropic)、(Maptint: Mapbox)、Vercel、Apple、Google、(将来導入されるアナリティクス・クラッシュレポート・広告・メール送信・AI API 等)

これらの移転については、本ポリシーへのユーザーの同意をもって、適切な保護措置 (各社の標準契約条項 [SCC] その他各国法令に基づく仕組み) のもとで実施されます。EU 域内に所在するユーザーから米国への移転については、ユーザーは EU 圏内と同等のレベルの保護を享受できないリスクがあることを認識したうえで同意するものとします。

9. ユーザーの権利

9.1 すべてのユーザー (個人情報保護法に基づく権利)

ユーザーは、当社が保有する自己の個人情報について、利用目的の通知、開示、訂正・追加・削除、利用の停止・消去、第三者提供の停止を請求できます。

請求方法: 以下の連絡先メールアドレスまでご連絡ください。本人確認のうえ、原則として 30 日以内 に対応します。なお、Curlew にはユーザー自身が旅程・予定を編集・削除する機能およびデータをエクスポートする機能が、Maptint にはユーザー自身が訪問記録を編集・削除する機能が、それぞれ用意されています。

9.2 EU 域内のユーザー (GDPR に基づく権利)

EU 域内のユーザーは、上記に加え、GDPR に基づき以下の権利を有します。

• アクセス権 (Art. 15)
• 訂正権 (Art. 16)
• 削除権 / 忘れられる権利 (Art. 17)
• 処理の制限権 (Art. 18)
• データポータビリティ権 (Art. 20) — Curlew は機械可読形式 (JSON) でのエクスポートに対応しています。Maptint は機械可読形式 (JSON または CSV) での提供に対応しており、アプリ内の自動エクスポート機能は将来追加予定です
• 異議申立権 (Art. 21)
• 自動化された意思決定に関する権利 (Art. 22) — 当社は、ユーザーに法的効果等を生じさせる自動化された意思決定を行っていません。Curlew の OCR・AIによる読み取り結果は、ユーザーが確認・修正できる補助情報として提供されます
• 監督機関への苦情申立権 (Art. 77)

9.3 カリフォルニア州ユーザー (CCPA/CPRA に基づく権利)

カリフォルニア州の住民であるユーザーは、知る権利、削除権、訂正権、オプトアウト権 (当社は 個人情報の販売・共有を行いません)、および非差別の権利を有します。

10. 子供の個人情報

本サービスは、満 13 歳以上の方を対象としています。当社は、13 歳未満の児童から個人情報を意図的に取得することはありません。13 歳未満の方が本サービスに登録したことが判明した場合、当社は当該アカウントを削除し、収集した個人情報を消去します。13 歳未満の児童に係る個人情報を当社が取得していると思われる場合は、本ポリシー末尾の連絡先までお知らせください。

11. セキュリティ

当社は、個人情報の漏えい、滅失または毀損を防止するため、以下の措置を講じます。

• 通信の暗号化 (HTTPS/TLS による全通信の暗号化)
• データベースおよびストレージへのアクセス制御 (Supabase Row Level Security によるユーザー単位のアクセス制御)
• Curlew: AIコンシェルジュ送信時の識別情報マスキングおよび送信データの最小化
• Maptint: 写真アップロード前のクライアント側 GPS EXIF 除去
• 認証情報の適切な保管 (パスワードのハッシュ化等)
• 委託先の選定および監督

ただし、インターネット上のデータ送信およびオンラインストレージの方式について、絶対的な安全性を保証することはできません。

12. Cookie および類似技術について

各サービス (モバイルアプリ) においては、Web 上の Cookie に相当する技術は基本的に使用していません。詳細は Cookieポリシー (Curlewをご利用の場合はこちら / Maptintをご利用の場合はこちら。内容は共通です) をご参照ください。

13. 本ポリシーの変更

当社は、必要と判断した場合、本ポリシーを変更することができるものとします。本ポリシーの変更は、変更後の本ポリシーをアプリ内通知、本サービス上の表示、または当社ウェブサイト上の掲載のいずれかの方法により告知することにより、効力を生じるものとします。重要な変更については、合理的な期間 (原則として変更の効力発生日の 14 日以上前) に告知するよう努めます。

14. お問い合わせ・連絡先

本ポリシーに関するお問い合わせ、ユーザーの権利の行使、その他個人情報に関するご相談は、以下までご連絡ください。

• 個人情報取扱事業者: 合同会社 Coyote and Powell
• 個人情報保護管理者: 合同会社 Coyote and Powell 個人情報保護窓口
• お問い合わせ: coyoteandpowell@gmail.com

EU 域内のユーザーに関する代理人 (GDPR Art. 27): 必要となった場合に別途指定し、本ポリシーに記載します (現時点では未指定)。

附則: 本ポリシーは2026年7月2日より効力を生じます。

Privacy Policy (Curlew / Maptint)

Last updated: July 2, 2026

Coyote and Powell LLC (the “Company”) establishes this Privacy Policy (“Policy”) regarding the handling of personal information and personal data (“Personal Information”) in the mobile applications “Curlew” and “Maptint” provided by the Company (collectively, the “Service”; where a matter applies to only one application, that application is named specifically).

This Policy applies to all services the Company provides. Because the information collected, purposes of use, and processors differ by service, the applicable service is identified where relevant.

This Policy is established in light of Japan’s Act on the Protection of Personal Information (APPI), the EU General Data Protection Regulation (GDPR), the California Consumer Privacy Act (CCPA/CPRA), and other applicable laws.

The Japanese version of this Policy is the authoritative text; this English version is a reference translation, and the Japanese version prevails in the event of any discrepancy.

1. Our Privacy Approach (Summary)

Curlew

Because the Service creates itineraries by scanning reservation documents, it handles information contained in the documents that users enter or photograph. The Company observes the following principles.

1. We limit the information we collect to what is necessary to provide the Service. We handle images of reservation documents and the reservation information read from them in order to create, display, and manage itineraries.
2. For OCR/AI reading, we transmit images or journey data to external AI/OCR providers. Recipients and purposes are stated in Sections 5 and 7. When the AI concierge is used, we endeavor to mask confirmation numbers and other identifiers where possible and to keep transmitted data to the necessary minimum.
3. We do not perform tracking for advertising purposes. As of the date of this Policy, the Company does not provide data to third parties that track user behavior (“Data Used to Track You” is None on the Apple App Store privacy label). The handling of affiliate (partner) links is described in Sections 3 and 6.

Maptint

The Service is designed with privacy at its core. We adhere to the following principles.

1. We do not store precise GPS coordinates. The only coordinates stored in a Visit Record are the center coordinates of the city the User selects (a representative point). Your device’s current location, photo capture coordinates, point-of-interest pins, and similar precise location data are never transmitted to or stored on our servers.
2. Photo GPS EXIF data is not uploaded from your device. GPS EXIF data is stripped on the client side before any photo is uploaded.
3. We do not perform tracking for advertising purposes. As of the date of this Policy, we do not provide any data to any third party for the purpose of tracking your behavior (the “Data Used to Track You” section of our Apple App Store privacy label is None).

2. Personal Information We Collect

The Company collects the following Personal Information to provide each service.

2.1 Curlew — Information provided by the user

Reservation documents may contain the names and contact details of persons other than the user (companions, bookers, etc.). Please also review Article 8 of the Curlew Terms of Service regarding their handling.

2.2 Maptint — Information provided by the user

2.3 Information collected automatically (common)

2.4 Information we do not collect (common)

The Company does not collect the following.

• Precise GPS coordinates of the device or continuous location tracking (Curlew: the map feature invokes the device’s standard map app based on place names/addresses registered by the user; the Company does not track the current location. Maptint: the only coordinates stored in a Visit Record are the center coordinates of the city the user selects; the Company does not collect the device’s precise location)
• Precise GPS coordinates (latitude/longitude) of photos, or raw EXIF data (Maptint only; see Section 2.5)
• Contacts (address book)
• Device identifiers (IDFA / Android Advertising ID) — if advertising features are introduced in the future, they may be collected after obtaining ATT consent
• Payment information (credit card numbers, etc.; paid features are provided through Apple IAP / Google Play Billing, and the Company never holds payment information)
• Special-care-required personal information (race, creed, social status, medical history, criminal record, facts of being a crime victim, sexual orientation, union membership, etc.) is not collected comprehensively or proactively under this section. For Curlew, the handling of, and consent to acquire, any special-care-required personal information that may be obtained when a user scans medical-related documents is set out in Section 2.6. Maptint has no feature that acquires special-care-required personal information.

2.5 Maptint — Special Treatment of Photo EXIF GPS Data

When a user attaches a photo to a Visit Record, the Company may read photo EXIF GPS data temporarily and only on the device to estimate the location of the photo. The latitude and longitude read are used only to estimate the country code and city name and are discarded immediately after estimation. Only the resulting country code, city name, and city center coordinates (representative point) are sent to the Company’s servers; the precise GPS coordinates of the photo are never transmitted or stored.

2.6 Curlew — Acquisition of and Consent to Special-Care-Required Personal Information

Curlew does not offer scanning of medical appointment cards, appointment slips, or other medical-related documents as a supported category (such documents are treated as “Other,” and medical items are not extracted). However, if a user voluntarily scans a medical-related document, the Company may incidentally acquire special-care-required personal information (Article 2(3) of the APPI), such as the fact of receiving medical care, from the image or its contents.

The Company acquires such information based on the user’s explicit consent, given by selecting “Agree and continue” on the confirmation screen shown in the app before scanning, and uses it solely to create and manage itineraries and to read/classify via OCR/AI. For reading, the relevant images and extracted results are sent to and processed by an overseas (U.S.) AI provider as described in Section 7.

If you do not consent to the acquisition of special-care-required personal information, please do not scan such documents. The Company does not use the acquired information for any purpose other than those set out in this section, and does not provide it to any third party other than the subcontractors listed in Section 7.

3. Purposes of Use

The Company uses the collected Personal Information for the following purposes.

Curlew

1. Account authentication and identity verification
2. Providing the Service (storing reservation documents; reading/extracting/classifying via OCR/AI; storing, displaying, and organizing journeys and steps; providing maps, calling, and other actions)
3. Providing confirmation, summaries, and advice on itineraries via the AI concierge
4. Responding to inquiries
5. Improving the Service, considering new features, and statistical analysis (in principle performed in a form that cannot identify individuals)
6. Displaying affiliate (partner) information and reconciling commissions (the Company does not provide the user’s reservation information itself to partners)
7. Detecting and preventing misuse, and managing usage and cost
8. Delivering important notices about the Service (terms revisions, outage notices, etc.)
9. Responding under laws or orders of courts and other public authorities

Maptint

1. Account authentication and identity verification
2. Providing the Service (storage and display of Visit Records, map display, photo storage and display, etc.)
3. Providing friend functionality (search, friend requests, visibility control)
4. Responding to inquiries
5. Improving the Service, considering new features, and statistical analysis
6. Detecting and preventing misuse, and operating moderation features (reports, blocks)
7. Delivering important notices about the Service (terms revisions, outage notices, etc.)
8. Responding under laws or orders of courts and other public authorities

4. Legal Basis (for GDPR-applicable users)

For users located in the EU, the Company processes Personal Information under the following legal bases pursuant to Article 6 of the GDPR.

5. Storage Location and Retention Period

5.1 Primary storage location

Each service’s database, credentials, and scanned images/photos are stored on the Supabase platform provided by Supabase Inc. The primary storage region is the AWS Tokyo region (ap-northeast-1), and data is in principle stored in data centers in Japan. Data transmitted to external AI providers for Curlew’s OCR/AI processing is described in Section 7.

5.2 Retention period

6. Provision to Third Parties

Except in any of the following cases, the Company does not provide users’ Personal Information to third parties. The outsourcing described in Section 7 does not constitute “provision to third parties” under this Section.

1. Where the user consents
2. Where based on law
3. Where necessary to protect the life, body, or property of a person and it is difficult to obtain the person’s consent
4. Where particularly necessary to improve public health or promote the sound development of children and it is difficult to obtain the person’s consent
5. Where it is necessary to cooperate with a national or local government body or its delegate in performing statutory affairs

For Curlew, where a user follows an affiliate (partner) link, the data collected/used by that partner is governed by the partner’s privacy policy. The Company does not provide the contents of users’ reservation documents or itineraries to partners.

7. Outsourcing (Processors)

To the extent necessary to operate each service, the Company outsources the handling of Personal Information to the following providers, and supervises them appropriately.

Note on Curlew’s OCR/AI processing: Scanned images and journey data are transmitted to and processed by AI providers such as Anthropic in order to extract, classify, summarize reservation information, and generate advice. The Company endeavors to minimize transmitted data, including by masking confirmation numbers and other identifiers in the AI concierge where possible. Under contract with the Company, AI providers handle received data only for the purpose of processing on the Company’s behalf.

Note: The following services will be added if introduced in the future, at which time this Policy will be updated. - Analytics (e.g., Firebase Analytics / Google Analytics 4) - Crash reporting (e.g., Crashlytics / Sentry) - Advertising networks (e.g., Google AdMob) - Email delivery (e.g., Resend / SendGrid; currently Supabase Auth’s standard email is used for password resets, etc.) - AI APIs (Maptint; e.g., OpenAI / Anthropic / Google Gemini)

8. Cross-Border Transfer of Personal Data

Although the primary data is stored in Japan (AWS Tokyo region), in the course of operating the processors listed in Section 7 (Supabase, Anthropic, Mapbox, Vercel, Apple, Google, etc.), users’ Personal Information may be transferred to the following region.

• United States: Supabase, (Curlew: Anthropic), (Maptint: Mapbox), Vercel, Apple, Google (and any analytics, crash reporting, advertising, email delivery, AI API, etc. introduced in the future)

These transfers are carried out, with the user’s consent to this Policy, under appropriate safeguards (each company’s standard contractual clauses [SCC] and other mechanisms based on the laws of each country). Users located in the EU consent to transfers from the EU to the United States while recognizing the risk that they may not enjoy a level of protection equivalent to that within the EU.

9. User Rights

9.1 All users (rights under the APPI)

Users may request notification of the purpose of use, disclosure, correction/addition/deletion, suspension of use/erasure, and suspension of provision to third parties of their own Personal Information held by the Company.

How to request: please contact the email address below. After identity verification, we will in principle respond within 30 days. Curlew provides features for users to edit and delete their own journeys and steps and to export their data; Maptint provides a feature for users to edit and delete their own Visit Records.

9.2 EU users (rights under the GDPR)

In addition to the above, EU users have the following rights under the GDPR.

• Right of access (Art. 15)
• Right to rectification (Art. 16)
• Right to erasure / right to be forgotten (Art. 17)
• Right to restriction of processing (Art. 18)
• Right to data portability (Art. 20) — Curlew supports export in a machine-readable format (JSON). Maptint supports data in a machine-readable format (JSON or CSV); an in-app export feature is planned for a future release
• Right to object (Art. 21)
• Rights related to automated decision-making (Art. 22) — the Company does not make automated decisions that produce legal or similar effects on users. Curlew’s OCR/AI reading results are provided as auxiliary information that users can review and correct
• Right to lodge a complaint with a supervisory authority (Art. 77)

9.3 California users (rights under the CCPA/CPRA)

California residents have the right to know, the right to delete, the right to correct, the right to opt out (the Company does not sell or share personal information), and the right to non-discrimination.

10. Children’s Personal Information

The Service is intended for persons aged 13 or older. The Company does not intentionally collect Personal Information from children under 13. If it is found that a person under 13 has registered for the Service, the Company will delete that account and erase the collected Personal Information. If you believe the Company holds Personal Information of a child under 13, please notify the contact at the end of this Policy.

11. Security

To prevent leakage, loss, or damage of Personal Information, the Company takes the following measures.

• Encryption of communications (encryption of all communications via HTTPS/TLS)
• Access control to the database and storage (per-user access control via Supabase Row Level Security)
• Curlew: masking of identifiers and minimization of transmitted data when sending to the AI concierge
• Maptint: client-side stripping of GPS EXIF data before photo uploads
• Appropriate storage of credentials (hashing of passwords, etc.)
• Selection and supervision of processors

However, the Company cannot guarantee absolute security of data transmission over the Internet or of online storage methods.

12. Cookies and Similar Technologies

In each service (mobile app), technologies equivalent to web cookies are basically not used. For details, please see the Cookie Policy (for Curlew / for Maptint; the content is the same).

13. Changes to This Policy

The Company may change this Policy when it deems necessary. Changes to this Policy take effect upon being announced by in-app notice, display within the Service, or posting on the Company website. For important changes, the Company will endeavor to give notice for a reasonable period (in principle at least 14 days before the effective date).

14. Contact

For inquiries regarding this Policy, exercise of user rights, or other consultations on personal information, please contact:

• Personal information handling business operator: Coyote and Powell LLC
• Personal information protection manager: Coyote and Powell LLC Personal Information Protection Desk
• Contact: coyoteandpowell@gmail.com

EU representative (GDPR Art. 27): to be separately designated and stated in this Policy if required (currently not designated).

Supplementary provision: This Policy takes effect on July 2, 2026.