プライバシーポリシー

digiCats（運営責任者: 高島 淳司。以下「当方」）は、SNS Creator Studio（以下「本ツール」）における情報の取扱いについて、以下のとおり定めます。

最終更新日: 2026年10月16日

English version

1. 本ツールについて

本ツールは、利用者自身の TikTok アカウントを運用するためのWeb Consoleおよびコマンドラインツール（CLI）です。動画の投稿、下書きへの送信、動画一覧と実績の表示を提供します。

当方は、TikTok OAuthの認可コード交換、トークン更新および失効を行う認証サーバーを運用します。Web Consoleで選択された投稿動画は、このサーバーがHTTPS通信上でチャンク単位に受信し、メモリ上からTikTokへ中継します。動画をサーバーのディスクへ保存しません。CLIからの投稿は利用者のコンピュータとTikTokの間で直接通信します。

2. 取得する情報と保存場所

本ツールは、利用者が TikTok アカウントとの連携を許可した場合に限り、TikTok の API を通じて以下を取得します。

• アカウント情報（open_id、union_id、表示名、アイコン画像の URL）
• アカウントの統計（フォロワー数、フォロー数、いいね数、動画数。利用者が許可した場合のみ）
• 投稿情報（動画 ID、タイトル、説明文、投稿日時、再生時間、サムネイル画像の URL、共有用 URL）
• 投稿の指標（再生数、いいね数、コメント数、シェア数）
• 投稿前に取得するアカウントの設定状態（選択できる公開範囲、コメント・デュエット・ステッチの可否、投稿できる動画の長さの上限）
• 短期のアクセストークン
• 長期のリフレッシュトークン
• 認証サーバーのセッションIDおよびランダムなセッション資格情報

投稿の指標は取得のたびに表示するだけで、端末にも認証サーバーにも保存しません。Web Consoleから投稿する動画と投稿設定はTikTokへの送信に必要な間だけ認証サーバーを通過しますが、ディスクやデータベースへ保存しません。プロフィール画像と指標も永続保存しません。アカウントの統計も同じく、取得のたびに表示するだけで保存しません。

3. 利用目的

取得した情報は、本ツールの機能（動画の投稿、下書きへの送信、投稿の一覧表示、投稿の実績の表示）を提供する目的でのみ利用します。

広告の配信・ターゲティングには利用しません。利用者の行動プロファイリングも行いません。

4. 第三者提供

当方は、法令に基づく場合を除き、認証サーバーで取り扱う情報を第三者へ販売・提供しません。本ツールは機能提供に必要な範囲でTikTokおよび当方の認証サーバーと通信します。

5. TikTok の API の利用について

本ツールは TikTok の API（Login Kit、Display API、Content Posting API）を利用しています。

本ツールを利用することにより、利用者は以下に同意したものとみなされます。

• TikTok 利用規約
• TikTok プライバシーポリシー

5.1 取得した TikTok データの取扱い

• 取得したデータは、本ポリシー §3 に定める目的の範囲でのみ利用します。
• 販売・第三者提供・広告利用は行いません。
• 操作の対象は、連携したアカウント自身に限られます。
• 取得した指標を、他のプラットフォームの数値と合算した独自の指標として表示することはありません。

5.2 保存期間

• 投稿情報および指標は保存せず、実行のたびに TikTok から取得して表示します。
• Web Consoleから送信される動画データはTikTokへの転送中だけメモリ上で処理し、転送後に保持しません。投稿処理を追跡する一時的なIDとバイト位置は1時間で失効します。
• 端末のAccess Tokenとセッション資格情報、および認証サーバーのRefresh Tokenは、利用者がログアウトするかTikTok側で接続を解除するまで保存されます。Refresh Token自体の有効期間を超えたデータは削除対象とします。
• 中断した投稿の再開情報は、24時間を過ぎたものから順に破棄されます。

5.3 アクセス権の取り消し

利用者は、以下のいずれかの方法で、本ツールによる TikTok アカウントへのアクセス権をいつでも取り消すことができます。

1. 本ツールでログアウトの操作を行う（TikTokトークンを失効させ、認証サーバーのトークンと手元の認証セッションを削除します）
2. TikTok アプリの 設定とプライバシー → セキュリティと権限 → アプリの管理 から接続を解除する

取り消し後、本ツールは TikTok のデータにアクセスできなくなります。端末を紛失した場合など、CLIからログアウトできないときはTikTokアプリから接続を解除し、当方へサーバー上の認証情報削除を依頼できます。

6. 安全対策

• TikTokのClient Secretは認証サーバーの環境変数としてのみ設定し、公開サイト、ソース配布物およびCLI設定には含めません。
• Refresh Tokenを含むサーバー側のトークン保管ファイルはAES-256-GCMで暗号化し、暗号鍵と分離して管理します。
• Web Consoleのセッション資格情報はSecure、HttpOnly、SameSite属性を設定したCookieで扱います。CLIのAccess Tokenとセッション資格情報は、利用者本人のみが読み書きできる権限（0600）で保存します。
• OAuthのstateを検証し、認証サーバーから端末への受け渡しには有効期限付き・一回限りのランダムなチケットを使用します。
• Web Console、認証サーバーおよびTikTokとの通信はTLSにより暗号化します。CLIの認証完了時に限り、同じ端末内のループバック通信（127.0.0.1）を使用します。

7. 本ポリシーの変更

当方は、本ツールの機能変更に応じて本ポリシーを変更することがあります。変更した場合は、本ページに掲載します。

8. お問い合わせ

• 提供者: digiCats（運営責任者: 高島 淳司）
• メールアドレス: takashima@digicats.jp

以上

Privacy Policy (English)

digiCats (operator: Junji Takashima; “we”) sets out below how SNS Creator Studio (“the Service”) handles information. This is a translation of the Japanese policy above; if the two differ, the Japanese version prevails.

Last updated: October 16, 2026

1. About the Service

The Service is a Web Console and a command-line tool (CLI) for operating the user’s own TikTok account. It uploads and publishes videos, sends videos to TikTok drafts, and lists the user’s videos with their performance metrics.

We operate an authentication server that exchanges TikTok OAuth authorization codes and refreshes and revokes tokens. When a video is posted from the Web Console, this server receives it in chunks over HTTPS and relays it to TikTok from memory. Videos are never written to the server’s disk. Posts made from the CLI go directly between the user’s computer and TikTok.

2. Information collected and where it is stored

Only after the user authorizes the connection with their TikTok account, the Service obtains the following through TikTok’s APIs:

• Account information (open_id, union_id, display name, avatar URL)
• Account statistics (follower count, following count, likes count, video count; only if the user grants it)
• Video information (video ID, title, description, creation time, duration, cover image URL, share URL)
• Video metrics (view, like, comment, and share counts)
• Account settings fetched before posting (available privacy levels, whether comments, duets, and stitches are allowed, maximum video duration)
• Short-lived access tokens
• Long-lived refresh tokens
• The authentication server’s session ID and a random session credential

Metrics and account statistics are only displayed when fetched; they are not stored on the user’s computer or on our server. Videos and post settings submitted from the Web Console pass through the authentication server only for as long as needed to send them to TikTok and are not saved to disk or to a database. Avatar images are not stored persistently either.

3. Purpose of use

The information is used solely to provide the Service’s features: publishing videos, sending videos to drafts, listing the user’s videos, and showing their performance. It is not used for advertising or ad targeting, and we do not profile users’ behavior.

4. Disclosure to third parties

Except as required by law, we do not sell or provide the information handled by the authentication server to any third party. The Service communicates only with TikTok and our authentication server, as needed to provide its features.

5. Use of TikTok APIs

The Service uses TikTok APIs (Login Kit, Display API, and Content Posting API). By using the Service, the user agrees to the TikTok Terms of Service and the TikTok Privacy Policy.

5.1 Handling of TikTok data

• TikTok data is used only for the purposes in section 3.
• It is never sold, shared with third parties, or used for advertising.
• The Service only operates on the connected user’s own account.
• Metrics are never combined with figures from other platforms into derived metrics.

5.2 Retention

• Video information and metrics are not stored; they are fetched from TikTok and displayed each time.
• Video data sent from the Web Console is processed in memory only while it is being transferred to TikTok and is not kept afterwards. The temporary ID and byte offset used to track an upload expire after one hour.
• Access tokens and session credentials on the user’s computer, and refresh tokens on our server, are kept until the user logs out or disconnects the app in TikTok. Data past the refresh token’s own lifetime is deleted.
• Data for resuming an interrupted upload is discarded after 24 hours.

5.3 Revoking access

The user can revoke the Service’s access to their TikTok account at any time by either:

1. Logging out in the Service (this revokes the TikTok tokens and deletes the tokens on our server and the local session), or
2. Removing the app in the TikTok app under Settings and privacy → Security and permissions → Manage app permissions.

After revocation the Service can no longer access the user’s TikTok data. If the user cannot log out from the CLI (for example, because the computer was lost), they can disconnect the app in TikTok and ask us to delete the credentials on our server.

6. Security measures

• The TikTok Client Secret is set only as an environment variable on the authentication server and is never included in the website, the distributed source, or CLI settings.
• Server-side token files, including refresh tokens, are encrypted with AES-256-GCM, and the key is managed separately.
• Web Console session credentials are held in cookies with the Secure, HttpOnly, and SameSite attributes. The CLI stores its access token and session credential with permissions readable and writable only by the user (0600).
• OAuth state is verified, and handoff from the authentication server to the user’s computer uses a random, single-use, expiring ticket.
• Communication between the Web Console, the authentication server, and TikTok is encrypted with TLS. Only when completing CLI login is loopback communication (127.0.0.1) on the same computer used.

7. Changes to this policy

We may change this policy as the Service’s features change. Changes will be posted on this page.

8. Contact

• Provider: digiCats (operator: Junji Takashima)
• Email: takashima@digicats.jp