プライバシーポリシー
digiCats（運営責任者: 高島 淳司。以下「当方」）は、SNS Creator Studio（以下「本ツール」）における情報の取扱いについて、以下のとおり定めます。
最終更新日: 2026年8月28日
1. 本ツールについて
本ツールは、利用者自身の TikTok アカウントを運用するためのコマンドラインツールです。投稿、動画一覧の取得および表示は利用者のコンピュータ上で動作します。
当方は、TikTok OAuthの認可コード交換、トークン更新および失効を行う認証サーバーを運用します。このサーバーは投稿動画を受信せず、投稿や指標取得のAPI通信は利用者のコンピュータとTikTokの間で直接行われます。
2. 取得する情報と保存場所
本ツールは、利用者が TikTok アカウントとの連携を許可した場合に限り、TikTok の API を通じて以下を取得します。
- アカウント情報（
open_id、union_id、表示名、アイコン画像の URL） - 投稿情報（動画 ID、タイトル、説明文、投稿日時、再生時間、サムネイル画像の URL、共有用 URL）
- 投稿の指標（再生数、いいね数、コメント数、シェア数）
- 投稿前に取得するアカウントの設定状態（選択できる公開範囲、コメント・デュエット・ステッチの可否、投稿できる動画の長さの上限）
- 短期のアクセストークン
- 長期のリフレッシュトークン
- 認証サーバーのセッションIDおよびランダムなセッション資格情報
| 保存先 | 内容 |
|---|---|
利用者端末の ~/.config/ttops/tokens.json |
短期Access Token、アカウント情報、認証サーバー用セッション資格情報（0600で保存） |
~/.config/ttops/uploads.json |
中断した投稿を再開するための情報（24時間で失効） |
| 当方の認証サーバー | Refresh Token、Access Token、スコープ、TikTokのopen_id（暗号化して保存） |
投稿の指標は取得のたびに表示するだけで、端末にも認証サーバーにも保存しません。投稿動画、タイトル、指標およびプロフィール画像は認証サーバーへ送信しません。
3. 利用目的
取得した情報は、本ツールの機能（動画の投稿、下書きへの送信、投稿の一覧表示、投稿の実績の表示）を提供する目的でのみ利用します。
広告の配信・ターゲティングには利用しません。利用者の行動プロファイリングも行いません。
4. 第三者提供
当方は、法令に基づく場合を除き、認証サーバーで取り扱う情報を第三者へ販売・提供しません。本ツールは機能提供に必要な範囲でTikTokおよび当方の認証サーバーと通信します。
5. TikTok の API の利用について
本ツールは TikTok の API（Login Kit、Display API、Content Posting API）を利用しています。
本ツールを利用することにより、利用者は以下に同意したものとみなされます。
5.1 取得した TikTok データの取扱い
- 取得したデータは、本ポリシー §3 に定める目的の範囲でのみ利用します。
- 販売・第三者提供・広告利用は行いません。
- 操作の対象は、連携したアカウント自身に限られます。
- 取得した指標を、他のプラットフォームの数値と合算した独自の指標として表示することはありません。
5.2 保存期間
- 投稿情報および指標は保存せず、実行のたびに TikTok から取得して表示します。
- 端末のAccess Tokenとセッション資格情報、および認証サーバーのRefresh Tokenは、利用者がログアウトするかTikTok側で接続を解除するまで保存されます。Refresh Token自体の有効期間を超えたデータは削除対象とします。
- 中断した投稿の再開情報は、24時間を過ぎたものから順に破棄されます。
5.3 アクセス権の取り消し
利用者は、以下のいずれかの方法で、本ツールによる TikTok アカウントへのアクセス権をいつでも取り消すことができます。
- 本ツールでログアウトの操作を行う（TikTokトークンを失効させ、認証サーバーのトークンと手元の認証セッションを削除します）
- TikTok アプリの 設定とプライバシー → セキュリティと権限 → アプリの管理 から接続を解除する
取り消し後、本ツールは TikTok のデータにアクセスできなくなります。端末を紛失した場合など、CLIからログアウトできないときはTikTokアプリから接続を解除し、当方へサーバー上の認証情報削除を依頼できます。
6. 安全対策
- TikTokのClient Secretは認証サーバーの環境変数としてのみ設定し、公開サイト、ソース配布物およびCLI設定には含めません。
- Refresh Tokenを含むサーバー側のトークン保管ファイルはAES-256-GCMで暗号化し、暗号鍵と分離して管理します。
- 端末側のAccess Tokenとセッション資格情報は、利用者本人のみが読み書きできる権限（
0600）で保存します。 - OAuthのstateを検証し、認証サーバーから端末への受け渡しには有効期限付き・一回限りのランダムなチケットを使用します。
- 認証サーバーおよびTikTokとの通信はTLSにより暗号化します。認証完了後に限り、同じ端末内のループバック通信（
127.0.0.1）を使用します。
7. 本ポリシーの変更
当方は、本ツールの機能変更に応じて本ポリシーを変更することがあります。変更した場合は、本ページに掲載します。
8. お問い合わせ
- 提供者: digiCats（運営責任者: 高島 淳司）
- メールアドレス: takashima@digicats.jp
以上